מידע רגיש על 21 אלף תלמידי חינוך מיוחד דלף: משרד החינוך הפר את חוק הגנת הפרטיות
הרשות להגנת הפרטיות קבעה שמשרד החינוך הפר את חוק הגנת הפרטיות ואת תקנות אבטחת המידע, אחרי שמידע אישי ורפואי על כ-21,000 תלמידי חינוך מיוחד דלף ברשת.
עובדות מהירות
- הרשות להגנת הפרטיות במשרד המשפטים סיימה הליך פיקוח מנהלי נגד משרד החינוך, שנפתח ביוזמתה במרץ 2025 בעקבות פרסומים בתקשורת (ובהם באתר שווים) על דלף מידע אישי ורפואי רגיש של תלמידי חינוך מיוחד מהמגזר החרדי, וקבעה כי משרד החינוך הפר את סעיף 17 לחוק הגנת הפרטיות, שעניינו אחריות בעל מאגר מידע לאבטחתו.
- מממצאי הפיקוח עלה שבסמוך למאי 2024 יצרו עובדות במשרד החינוך טופס דיגיטלי וקובץ נתונים נלווה, לצורך ייעול שיבוץ תלמידי חינוך מיוחד במגזר החרדי, שכללו מידע אישי ורפואי רגיש על כ-21,000 תלמידים: פרטים מזהים, פרטי מגורים ולימודים, השתייכות דתית ופירוט על המוגבלות של כל תלמיד.
- הן הטופס והן קובץ הנתונים הוגדרו ברמת הרשאה פתוחה לכל מי שהחזיק בקישור אליהם, ללא סיסמה וללא הגבלה, וניתן היה להעביר את הקישור הלאה לנמענים נוספים. הקישור לטופס נשלח בחודש מאי 2024 לבעלי תפקידים במוסדות החינוך החרדי, ובמרץ 2025 נודע שהמידע דלף לגורמים בלתי מורשים והופץ ברבים.
- לצד הפרת סעיף 17 לחוק, קבעה הרשות להגנת הפרטיות כי משרד החינוך הפר גם כמה מתקנות הגנת הפרטיות (אבטחת מידע): היעדר ניהול הרשאות תקין (המידע הופק על ידי עובדת שלא הייתה ברשימת המורשים), היעדר מסמך הגדרות מאגר, היעדר נוהל אבטחת מידע, היעדר סקר סיכוני אבטחה, והעברת המידע בקישור פתוח ללא הצפנה כנדרש.
- משרד החינוך טען בהליך כי הסמכתו לתקן הבינלאומי ISO/IEC 27001 פוטרת אותו מחלק מהוראות תקנות אבטחת המידע. הרשות להגנת הפרטיות דחתה את הטענה, וקבעה כי הסמכה לתקן בינלאומי אינה מקנה כשלעצמה פטור מתחולת התקנות הישראליות.
הרשות להגנת הפרטיות במשרד המשפטים סיימה הליך פיקוח מנהלי נגד משרד החינוך, וקבעה שהמשרד הפר את חוק הגנת הפרטיות ואת תקנותיו, לאחר שמידע אישי ורפואי רגיש של כ-21,000 תלמידי חינוך מיוחד מהמגזר החרדי דלף ברשת. הפיקוח נפתח במרץ 2025 בעקבות פרסומים בתקשורת, ובהם באתר שווים.
איך זה קרה
לפי ממצאי הפיקוח, בסמוך למאי 2024 יצרו עובדות במשרד החינוך טופס דיגיטלי שנועד לייעל את הליכי שיבוץ תלמידי חינוך מיוחד במגזר החרדי. לצורך כך חולץ ממערכת המשרד קובץ נתונים שכלל מידע אישי ורפואי רגיש על כ-21,000 תלמידים: פרטים מזהים, פרטי מגורים ולימודים, השתייכות דתית, ופירוט על המוגבלות של כל תלמיד. הן הטופס והן קובץ הנתונים הוגדרו ברמת הרשאה פתוחה, ללא סיסמה וללא הגבלה, כך שכל מי שהחזיק בקישור יכל לצפות בהם, להוריד אותם ואף להעביר את הקישור הלאה. במאי 2024 נשלח הקישור לבעלי תפקידים במוסדות החינוך החרדי, ובמרץ 2025 נודע שהמידע דלף לגורמים בלתי מורשים והופץ ברבים.
מה בדיוק הופר
הרשות להגנת הפרטיות קבעה שמשרד החינוך הפר את סעיף 17 לחוק הגנת הפרטיות, העוסק באחריות בעל מאגר מידע לאבטחתו, וכן שורה של תקנות הגנת הפרטיות (אבטחת מידע): לא הייתה ניהול הרשאות תקין (המידע הופק בפועל על ידי עובדת שלא נכללה ברשימת המורשים לכך), לא היה למשרד מסמך הגדרות מאגר כנדרש, לא היה נוהל אבטחת מידע, לא בוצע סקר סיכוני אבטחה למערכת, והמידע הועבר באמצעות קישור פתוח ללא שימוש בהצפנה מקובלת.
הטענה שנדחתה
משרד החינוך ניסה לטעון שההסמכה שלו לתקן הבינלאומי ISO/IEC 27001 פוטרת אותו מחלק מהוראות תקנות אבטחת המידע הישראליות. הרשות להגנת הפרטיות דחתה את הטענה הזו באופן נחרץ, והבהירה שהסמכה לתקן בינלאומי אינה מקנה כשלעצמה פטור מהדרישות הספציפיות שקובעות התקנות הישראליות, אלא אם מתקיימים תנאים מסוימים שבמקרה הזה לא התקיימו.
למה זה חמור במיוחד
מהרשות להגנת הפרטיות נמסר כי היא "שבה ומדגישה את חובתם של גופים ציבוריים ושל בעלי מאגרי מידע להבטיח את אבטחת המידע האישי המצוי ברשותם ולנקוט את האמצעים הנדרשים על פי דין להגנתו, וביתר שאת כאשר מדובר במידע אישי רגיש הנוגע לקטינים". מידע על מוגבלות של ילד הוא בדיוק הסוג הזה של מידע רגיש: הוא יכול לחשוף את הילד ואת משפחתו לפגיעה, לסטיגמה או לאפליה אם הוא מגיע לידיים הלא נכונות.
מה זה אומר למשפחות
אם הילד שלכם לומד או למד במסגרת חינוך מיוחד במגזר החרדי, ואתם חוששים שהמידע שלו נכלל באירוע הדלף הזה, אפשר לפנות למוסד החינוכי או למחוז הרלוונטי במשרד החינוך כדי לברר זאת. חשוב לדעת שמידע רפואי ואישי על מוגבלות מוגן בחוק הגנת הפרטיות באופן מיוחד, ושבמקרים של פגיעה בפרטיות קיימת אפשרות לפנות לייעוץ משפטי לגבי האפשרויות העומדות לרשותכם.
המידע כאן כללי בלבד ואינו מהווה ייעוץ משפטי אישי. אם אתם זקוקים לעזרה בהבנת הזכויות שלכם כהורים לילד עם מוגבלות שמידעו האישי נפגע, צוות For You ישמח לסייע בחינם בטלפון 03-382-5888.
שאלות נפוצות
אילו נתונים בדיוק דלפו?
מידע אישי ורפואי רגיש על כ-21,000 תלמידי חינוך מיוחד במגזר החרדי: פרטים מזהים, פרטי מגורים ולימודים, השתייכות דתית, ופירוט על המוגבלות של כל תלמיד. המידע נאסף לצורך טופס לייעול שיבוץ תלמידים, ודלף דרך קישור פתוח ללא הגנה.
מה בדיוק קבעה הרשות להגנת הפרטיות נגד משרד החינוך?
שמשרד החינוך הפר את סעיף 17 לחוק הגנת הפרטיות, העוסק באחריות בעל מאגר מידע לאבטחתו, וכן כמה תקנות הגנת הפרטיות (אבטחת מידע), בשל שרשרת כשלים: היעדר ניהול הרשאות, היעדר נוהל אבטחת מידע, היעדר סקר סיכונים, והעברת המידע ללא הצפנה.
האישור הבינלאומי של משרד החינוך לתקן ISO/IEC 27001 לא היה אמור לפתור את הבעיה?
משרד החינוך טען שהוא פטור בזכות ההסמכה לתקן הזה, אבל הרשות להגנת הפרטיות דחתה את הטענה במפורש, וקבעה שהסמכה לתקן בינלאומי אינה מקנה כשלעצמה פטור מהדרישות הספציפיות שבתקנות הגנת הפרטיות הישראליות.
אני הורה לילד בחינוך מיוחד. מה אני יכול לעשות אם אני חושש שהמידע של הילד שלי נחשף?
אפשר לפנות למוסד החינוכי או למחוז הרלוונטי במשרד החינוך כדי לברר אם המידע של הילד נכלל באירוע, ובמקביל לשקול פנייה לייעוץ משפטי לגבי זכויותיכם במקרה של פגיעה בפרטיות של מידע רפואי ואישי של קטין. המידע כאן כללי בלבד ואינו ייעוץ משפטי אישי.
קישורים רשמיים
המידע בעמוד זה כללי בלבד ואינו ייעוץ משפטי. סכומים ותנאים מתעדכנים, ותשובה מחייבת תתקבל רק מהגורם הרשמי. עודכן לאחרונה: 26.10.2026. יש לכם שאלה על המצב האישי שלכם? חייגו חינם: 03-382-5888