מידע רפואי ונתוני רווחה של 4,600 תושבי בית שמש נחשף באתר האינטרנט של העירייה בגלל תקלת מחשוב: הרשות להגנת הפרטיות קנסה את העירייה ב-64 אלף שקל
החלטת אכיפה אמיתית של הרשות להגנת הפרטיות במשרד המשפטים עוסקת בחשיפת מידע אישי ורפואי רגיש של 4,600 תושבי בית שמש, שחלק ניכר ממנו הגיע ממחלקת הרווחה, דרך אתר האינטרנט של העירייה. התקלה התגלתה בזכות עיתונאי, והעירייה נקנסה בעיצום כספי על הפרת תקנות הגנת הפרטיות.
עובדות מהירות
- הרשות להגנת הפרטיות במשרד המשפטים הטילה על עיריית בית שמש עיצום כספי בסך 64,000 שקל, בתום הליך בירור מנהלי שנפתח בעקבות אירוע אבטחה חמור במערכת ה-GIS המשמשת את העירייה.
- בשל אירוע האבטחה התאפשרה גישה, דרך אתר האינטרנט של העירייה, למידע אישי מתחום הרווחה של 4,600 תושבי העיר, כולל מידע רפואי בעל רגישות מיוחדת. האירוע התרחש בשל תקלה במערכת שקיבלה העירייה מידי ספק חיצוני, והוא התגלה רק אחרי שעיתונאי איתר את האפשרות לגשת למידע ודיווח עליה.
- הרשות קבעה כי העירייה הפרה את תקנות הגנת הפרטיות, משום שלא ציינה במסמך ההגדרות של מאגר הרווחה את הספק החיצוני כמחזיק במאגר, אף שהספק שימש גורם חיצוני שעיבד מידע אישי עבור העירייה והייתה לו גישה מתמשכת למערכות המאגר במשך קרוב לשנתיים.
- הרשות דחתה את טענות העירייה שהספק לא היה בגדר "מחזיק" וכי ההפרות נבעו מ"פער מינהלי בתום לב", והדגישה שלאחר כניסתו לתוקף של תיקון 13 לחוק הגנת הפרטיות, שהחמיר מאוד את האחריות המוטלת על מחזיקי מידע רגיש, נמצאו גם ליקויים בנוהל אבטחת המידע של העירייה בנוגע להתקשרות עם גורמים חיצוניים, שלא הסדיר את מטרות השימוש, סוגי המידע המותרים בעיבוד ומשך ההתקשרות.
- העיצום המירבי האפשרי היה 80,000 שקל, אך הרשות הפחיתה אותו ב-20 אחוז מאחר שבחמש השנים הקודמות לא הפרה העירייה את הוראות הגנת הפרטיות. עורכת דין עדי מנחם-באר, מנהלת מערך האכיפה ברשות להגנת הפרטיות, הדגישה כי מדובר היה במידע אישי בעל רגישות מיוחדת, שכלל מידע רפואי ונתוני רווחה על תושבים, שהיה חשוף לציבור.
החלטת אכיפה אמיתית של הרשות להגנת הפרטיות במשרד המשפטים נותנת מענה לשאלה שרלוונטית לכל מי שמקבל שירות ממחלקת רווחה עירונית, ובפרט לקשישים ולאנשים עם מוגבלות שמידעם הרפואי והסוציאלי נשמר במאגרים ציבוריים: מה קורה כשתקלת מחשוב חושפת את המידע הרגיש הזה לציבור הרחב?
מה קרה
הרשות להגנת הפרטיות הטילה על עיריית בית שמש עיצום כספי בסך 64,000 שקל, בתום הליך בירור מנהלי שנפתח בעקבות אירוע אבטחה חמור במערכת ה-GIS המשמשת את העירייה. בשל האירוע התאפשרה גישה, דרך אתר האינטרנט של העירייה עצמה, למידע אישי מתחום הרווחה של 4,600 תושבי העיר, כולל מידע רפואי בעל רגישות מיוחדת. התקלה נבעה ממערכת שקיבלה העירייה מידי ספק חיצוני, והיא נודעה לעירייה ולרשות רק לאחר שעיתונאי איתר את האפשרות לגשת למידע ודיווח עליה, מה שהוביל להשבתת המערכת וחסימת הגישה.
למה העירייה נמצאה אחראית, ולא רק הספק
הרשות קבעה כי העירייה הפרה את תקנות הגנת הפרטיות, מאחר שלא ציינה במסמך ההגדרות של מאגר הרווחה את הספק החיצוני כ"מחזיק" במאגר, אף שהספק עיבד עבורה מידע אישי והייתה לו גישה מתמשכת למערכות המאגר במשך קרוב לשנתיים. בנוסף נמצאו ליקויים בנוהל אבטחת המידע של העירייה בנוגע להתקשרות עם גורמים חיצוניים: הנוהל לא הסדיר את מטרות השימוש המותרות, את סוגי המידע המותרים בעיבוד, את מערכות הגישה, את משך ההתקשרות, ולא הפנה להסכמי ההתקשרות ולנהלי האבטחה של אותם גורמים.
"פער מינהלי בתום לב"? הרשות לא קנתה את הטענה
העירייה טענה שהספק לא היה בגדר "מחזיק" במידע, וכי ההפרות נבעו מפער מינהלי בתום לב. הרשות דחתה את שתי הטענות באופן נחרץ, וקבעה שלאחר כניסתו לתוקף של תיקון 13 לחוק הגנת הפרטיות, שהחמיר מאוד את האחריות המוטלת על מחזיקי מידע רגיש, העירייה הייתה צריכה להיערך מראש ולעמוד בהוראות החוק והתקנות במועד, ולא להמתין לכך שהתקלה תתגלה בפועל.
התוצאה
העיצום המירבי האפשרי בנסיבות המקרה היה 80,000 שקל, אך הרשות הפחיתה אותו ב-20 אחוז, בשל כך שבחמש השנים הקודמות לא הפרה העירייה את הוראות הגנת הפרטיות. עורכת דין עדי מנחם-באר, מנהלת מערך האכיפה ברשות להגנת הפרטיות, הדגישה כי מדובר היה במידע אישי בעל רגישות מיוחדת, שכלל מידע רפואי ונתוני רווחה על תושבים, שהיה חשוף לציבור, וכי ארגון המתקשר עם ספקים חיצוניים ומאפשר להם גישה למאגר מידע מסוג זה נדרש להקפיד על הוראות החוק והתקנות בכל הקשור להסדרת ההתקשרות עם אותם ספקים.
מה המשמעות עבורכם
אם אתם או קרוב משפחה מקבלים שירות ממחלקת רווחה עירונית, בעקבות מוגבלות, גיל מבוגר או כל סיבה אחרת, המידע האישי והרפואי שלכם נשמר במאגרי מידע של הרשות המקומית, ולעיתים גם בידי ספקים חיצוניים שמפעילים עבורה מערכות מחשוב. כפי שהראתה ההחלטה שתוארה כאן, תקלה במערכת כזו עלולה לחשוף מידע רגיש מאוד לציבור הרחב, ולפעמים התגלית מגיעה דווקא מגורם חיצוני ולא מהרשות עצמה. אם יש לכם חשש שמידע שלכם נחשף, אתם רשאים לפנות לרשות להגנת הפרטיות במשרד המשפטים ולברר את הנושא, ובמקרים מתאימים גם לבחון זכאות לפיצוי בגין פגיעה בפרטיות.
ליווי חינם בעברית
אם אתם חוששים שמידע רפואי או אישי שלכם נחשף בתקלת מחשוב של רשות ציבורית, או שאתם זקוקים לעזרה בהבנת הזכויות שלכם מול מחלקת רווחה או גוף ציבורי אחר, צוות For You ישמח לעזור לכם בחינם בטלפון 03-382-5888. המידע כאן כללי בלבד ואינו מהווה ייעוץ משפטי אישי, ואינו תחליף לבדיקת המקרה הספציפי שלכם מול עורך דין.
שאלות נפוצות
אני מקבל או מקבלת שירות ממחלקת הרווחה בעירייה, למשל בעקבות מוגבלות או גיל מבוגר. איך אני יכול לדעת אם המידע שלי היה חלק מאירוע כזה?
ככלל, רשות שחווה אירוע אבטחה חמור במאגר מידע רגיש מחויבת לדווח על כך לרשות להגנת הפרטיות, וככל שנדרש גם לתושבים הנוגעים בדבר. כפי שעלה במקרה שתואר כאן, לא תמיד הגוף עצמו מגלה את הפרצה, ולעיתים הדיווח מגיע רק בעקבות חשיפה חיצונית. אם יש לכם חשש קונקרטי, אפשר לפנות ישירות לעירייה או לרשות ולברר אם פרטיכם נכללו באירוע ספציפי.
מה זה בעצם תיקון 13 לחוק הגנת הפרטיות, ולמה הוא מוזכר כאן?
תיקון 13 הוא תיקון משמעותי לחוק הגנת הפרטיות שהחמיר את האחריות המוטלת על גופים המחזיקים במידע אישי, ובמיוחד במידע רגיש כמו מידע רפואי. כפי שעלה בהחלטה שתוארה כאן, הרשות דחתה את טענת העירייה שהיא פטורה מאחריות בשל פער מינהלי בתום לב, בדיוק משום שהתיקון מטיל חובה מוגברת על ארגונים, כולל רשויות מקומיות, להיערך כראוי מראש לפני שהם מעבירים גישה למידע רגיש לספקים חיצוניים.
מה ההבדל בין "מחזיק" מידע לבין סתם ספק טכני שמתקין מערכת?
כפי שהובהר בהחלטה שתוארה כאן, ספק חיצוני שמקבל גישה מתמשכת למערכות של מאגר מידע, גם אם תפקידו הרשמי הוא טכני בלבד, עשוי להיחשב "מחזיק" במידע לצורך החוק. המשמעות היא שהגוף שמתקשר עם אותו ספק חייב להגדיר אותו ככזה במסמכי המאגר ולוודא שההתקשרות עומדת בדרישות החוק, ולא להסתמך על כך שמדובר "רק" בספק מערכת.
יש לי חשד שמידע רפואי או רווחה שלי נחשף בתקלה כלשהי. למי פונים ומה אפשר לדרוש?
אפשר להגיש תלונה לרשות להגנת הפרטיות במשרד המשפטים, הגוף המוסמך לאכיפת חוק הגנת הפרטיות. כפי שעלה בהחלטה שתוארה כאן, הרשות בוחנת לא רק את עצם קיומה של תקלה, אלא גם את האופן שבו הגוף הציבורי התנהל מולה, כולל אם הסדיר כראוי את ההתקשרות עם ספקים חיצוניים שיש להם גישה למידע.
העירייה או רשות ציבורית אחרת שבה אני מטופל טוענת שהתקלה היא "באשמת הספק" ולא שלה. האם זה פוטר אותה מאחריות?
לא בהכרח. כפי שנקבע בהחלטה שתוארה כאן, רשות ציבורית שמעבירה לספק חיצוני גישה למאגר מידע רגיש אינה יכולה פשוט לגלגל את האחריות אל הספק. היא נדרשת להסדיר מראש את ההתקשרות, להגדיר את הספק ככזה שיש לו גישה למידע, ולוודא נהלי אבטחת מידע נאותים, ואי עמידה בכך עשויה להטיל עליה אחריות ישירה ועיצום כספי, גם אם התקלה הטכנית המקורית נבעה מהספק.
קישורים רשמיים
המידע בעמוד זה כללי בלבד ואינו ייעוץ משפטי. סכומים ותנאים מתעדכנים, ותשובה מחייבת תתקבל רק מהגורם הרשמי. עודכן לאחרונה: 26.10.2026. יש לכם שאלה על המצב האישי שלכם? חייגו חינם: 03-382-5888