עדכונים בתחום הגנת הפרטיות: החלטות אכיפה של הרשות להגנת הפרטיות

1. עירית בית שמש: הרשות להגנת הפרטיות הטילה על עיריית בית שמש עיצום כספי בסך 64,000 ש"ח בעקבות אירוע אבטחת מידע במערכת ה-GIS. בעקבות תקלה נחשף דרך אתר העירייה מידע אישי רגיש על כ-4,600 תושבים, לרבות מידע רפואי. 

הרשות קבעה שתי הפרות של תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017:

1. אי תיעוד ספק חיצוני כמחזיק במאגר (תקנה 2(א)(7)): העירייה לא ציינה במסמך הגדרות המאגר חברה חיצונית שסיפקה שירותי תמיכה ועיבוד מידע והייתה בעלת גישה מתמשכת למאגר, אף שנחשבה ל"מחזיק" במאגר.
2. אי-הסדרת חובות אבטחת המידע ביחס לספקים חיצוניים (תקנה 15(א)(3)): נוהל אבטחת המידע של העירייה לא פירט את תנאי הגישה והשימוש במידע על ידי ספקים חיצוניים, לרבות מטרות השימוש, סוגי המידע המותרים בעיבוד, מערכות הגישה ומשך ההתקשרות. הרשות הבהירה כי אין די בנוהל כללי ובהסכמים חיצוניים בלבד ללא התייחסות מתאימה בנוהל אבטחת המידע.

מומלץ לחברות לבחון את הנושאים הבאים:

• למפות ספקים בעלי גישה למאגרים ולבחון אם יש לתעד אותם כמחזיקים; 

• לוודא שנוהל האבטחה מסדיר את מטרות השימוש, סוגי המידע המותרים בעיבוד, מערכות הגישה ומשך ההתקשרות; 

• לבדוק שהנוהל כולל הפניות מפורשות להסכמי ההתקשרות ולנהלי האבטחה של הספקים. לפי עמדת הרשות בהליך, נוהל כללי והסכמים חיצוניים בלבד אינם מספיקים.

לעיון בפרטי ההחלטה לחצו כאן

2. משרד החינוך:הרשות להגנת הפרטיות קבעה כי משרד החינוך הפר את הוראות חוק הגנת הפרטיות ותקנות אבטחת המידע, בעקבות חשיפת מידע אישי ורפואי רגיש של כ־21,000 תלמידי חינוך מיוחד.

במסגרת הליך הפיקוח מצאה הרשות מספר ליקויים:

• העברת מידע רגיש ללא אמצעי הצפנה מתאימים וללא הגבלת גישה.
• הפקת מידע על ידי עובדת שלא נכללה ברשימת בעלי ההרשאות התקפות למערכת.
• היעדר מסמך הגדרות מאגר ונוהל אבטחת מידע כנדרש.
• אי ביצוע סקר סיכוני אבטחת מידע כנדרש.

הרשות הבהירה כי חשיפת מידע ללא הרשאה עשויה להוות אירוע אבטחה חמור גם ללא מתקפת סייבר, וכי הסמכה לתקן ISO/IEC 27001 אינה פוטרת אוטומטית מעמידה בדרישות התקנות.

מומלץ לחברות לבחון את אופן העברת המידע האישי, ניהול הרשאות הגישה, קיומם ועדכניותם של מסמכי אבטחת המידע וביצוע סקרי סיכונים בהתאם לדרישות הדין.

לעיון בפרטי ההחלטה לחצו כאן

*יובהר כי האמור לעיל הוא מידע כללי בלבד, ואינו מחליף את הוראות החוק או בחינה משפטית פרטנית.