אחרי שהרשות להגנת הפרטיות הטילה לפני כחודש וחצי עיצום כספי בסך רבע מיליון שקל על קופת חולים מאוחדת, בעקבות אי קיום חובת הדיווח המיידי על אירוע אבטחה חמור, הגיע תורה של עיריית בית שמש.
על העירייה הוטל קנס בסך 64 אלף שקל, בשל הפרת הוראות תקנות הגנת הפרטיות. במסגרת האירוע, כך נכתב, התאפשרה באמצעות אתר האינטרנט של העירייה גישה למידע אישי מתחום הרווחה של כ־4,600 תושבי העיר. המידע כלל, בין היתר, מידע רפואי, המוגדר כמידע בעל רגישות מיוחדת. זאת, בעקבות תקלה במערכת ה־GIS, שלצורך הפעלתה התקשרה העירייה עם ספק חיצוני.
● אילו עסקים קטנים יהיו מוגנים מתובענות ייצוגיות? הכנסת דנה בתיקון החוק
● הקורקינטים נשארים בינתיים בחולון: ביהמ"ש עיכב את החלטת העירייה
האירוע נודע לעירייה ולרשות להגנת הפרטיות בעקבות פנייה של עיתונאי, שאיתר את האפשרות לגשת למידע ודיווח עליה. בעקבות זאת פתחה הרשות בהליכי בירור מינהלי מול העירייה ומול הספק החיצוני. המערכת הושבתה והגישה למידע נחסמה.
זוהי סנונית נוספת בהוצאה לפועל של תיקון 13 לחוק הגנת הפרטיות, שנכנס לתוקף באוגוסט 2025. נראה כי מוסדות ציבוריים הם במוקד פעילות האכיפה של הרשות, וכי אנחנו צפויים לראות עוד מקרים כאלה בהמשך.
רשות הפרטיות: היה על העירייה להיערך לתיקון בחוק
בתום הליך הבירור שקיימה הרשות נמצא כי עיריית בית שמש הפרה את תקנות הגנת הפרטיות, לאחר שלא ציינה במסמך ההגדרות של מאגר הרווחה את הספק החיצוני כמחזיק במאגר. זאת, אף שהספק שימש גורם חיצוני שעיבד מידע אישי עבור העירייה והייתה לו גישה מתמשכת למערכות המאגר.
כמו כן, נמצאו ליקויים בנוהל אבטחת המידע בכל הנוגע להתקשרות עם גורם חיצוני. הנוהל לא הסדיר את מטרות השימוש, את סוגי המידע המותרים בעיבוד, את מערכות הגישה ואת משך ההתקשרות עם הספקים החיצוניים. כמו כן, הנוהל לא כלל הפניה להסכמי ההתקשרות ולנהלי האבטחה של אותם גורמים.
הרשות דחתה את טענות העירייה, לפיהן הספק לא היה בגדר "מחזיק" או כי ההפרות נבעו מ"פער מנהלי בתום לב", לאחר כניסת תיקון 13 לחוק לתוקף. הרשות קבעה, כי הספק עונה על הגדרת "מחזיק" בנסיבות העניין, משניתנה לו גישה למערכות המאגר במשך קרוב לשנתיים, וכי היה על העירייה להיערך ולעמוד בהוראות החוק והתקנות במועד. כמו כן, נדחתה הטענה כי ניתן להסתפק בנוהל רוחבי ובשמירת ההוראות בהסכמים חיצוניים בלבד.
סכום העיצום הכספי המקורי בגין שתי ההפרות עמד על 80 אלף שקל, 40 אלף שקל בגין כל הפרה. עם זאת, הסכום הופחת, מאחר שבחמש השנים שקדמו להפרה לא הוטלו על העירייה עיצומים כספיים או אמצעי אכיפה מינהליים בשל הפרת אותן הוראות. בסך הכול הועמד העיצום הכספי הסופי לתשלום על 64 אלף שקל. הרשות מציינת כי הליך הבירור המינהלי שפתחה מול הספק טרם הסתיים.
עו"ד עדי מנחם באר, מנהלת מערך האכיפה, הרשות להגנת הפרטיות מסרה: "החובה לעמוד בדרישות חוק הגנת הפרטיות והתקנות מכוחו, נועדו להבטיח הגנה על המידע האישי שנאסף במאגרי מידע בארגונים שונים. במקרה הנוכחי, דובר היה במידע אישי בעל רגישות מיוחדת, אשר כלל מידע רפואי ונתוני רווחה על תושבים, שהיה חשוף לציבור, על כל המשתמע מכך. ארגון המתקשר עם ספקים חיצוניים ומאפשר להם גישה למאגר מידע מסוג זה, נדרש להקפיד על הוראות החוק והתקנות, בכל הקשור להסדרת ההתקשרות עם הספקים החיצוניים המשמשים כמחזיקים במאגר המידע. נמשיך לאכוף את החובות המנויות בחוק ובתקנות לשם חיזוק ההגנה על פרטיות הציבור".
מעיריית בית שמש נמסר: "החלטת הרשות להגנת הפרטיות מעוררת תמיהה ואינה משקפת, לטעמנו, את מכלול נסיבות האירוע ואת הטענות והנתונים שהוצגו בפניה בהרחבה במסגרת הליך השימוע. מדובר באירוע שמקורו בכשל של ספק חיצוני, אשר בעקבותיו נקטנו שורה של צעדים מיידיים ומשמעותיים - טכנולוגיים, ארגוניים וחוזיים - לצמצום הסיכון, לתיקון הכשל ולחיזוק מנגנוני הבקרה והפיקוח.
לכך מצטרף עיתוי האירוע, בסמיכות ממש לכניסתו לתוקף של תיקון 13 לחוק הגנת הפרטיות ולשינוי המשמעותי במשטר האכיפה. בנסיבות אלה הציפייה היתה כי מכלול השיקולים שהוצגו בשימוע יקבל משקל משמעותי יותר בהחלטה הסופית.
אף שהעיצום הופחת בעקבות השימוע, שיעור ההפחתה נמוך ואינו משקף, לדעתנו, את נסיבות המקרה ואת הפעולות שננקטו בעקבותיו. היה מקום לבטל את העיצום, ולמצער להעמידו על סכום נמוך משמעותית. אנו מכבדים את הרשות להגנת הפרטיות ואת תפקידה החשוב, אך מצרים על ההחלטה שהתקבלה המחייבת אותנו לשקול את צעדינו המשפטיים".
