הרשות להגנת הפרטיות: עיצום של 64,000 ש"ח על בית שמש בעקבות חשיפת מידע של כ-4,600 תושבים

הרשות להגנת הפרטיות החליטה להטיל על עיריית בית שמש עיצום כספי של 64,000 ש"ח, לאחר שמצאה כי העירייה הפרה את תקנות אבטחת המידע, בעקבות אירוע שבו נחשפו פרטים אישיים ורפואיים של כ-4,600 תושבים.

בשורה התחתונה: עיצום מקורי של 80,000 ש"ח, שהופחת ב-20% לסכום סופי של 64,000 ש"ח.

ההחלטה ניתנה בסיום בירור מנהלי שנפתח לאחר תקלה חמורה במערכת ה-GIS העירונית, שעליה דווח ב-20 באוגוסט 2025. בשל התקלה ניתן היה להגיע דרך אתר העירייה למידע רגיש מתחום הרווחה, שנועד לשימוש פנים-ארגוני בלבד. לפי הרשות, המידע כלל גם נתונים רפואיים, המסווגים כמידע בעל רגישות מיוחדת. לאחר שהאירוע התגלה הושבתה המערכת והגישה אליה נחסמה.

שתי ההפרות שנמצאו

לפי ממצאי הבירור והשימוע שנערך לעירייה, ההפרה הראשונה נוגעת לתקנה 2(א)(7). חברה חיצונית שנתנה לעירייה שירותי תמיכה ועיבוד מידע, ונהנתה מגישה רציפה למערכות מאגר הרווחה במשך כמעט שנתיים, נחשבה "מחזיק" במאגר, אך לא נרשמה ככזו במסמך הגדרות המאגר. העירייה טענה כי מדובר בפער מנהלי שנעשה בתום לב, משום שתיקון 13 לחוק נכנס לתוקף כשבוע לפני האירוע. הרשות דחתה את הטענה, בנימוק שלגופים ניתנה שנה שלמה להיערך ליישום החוק ולעדכון המסמכים.

ההפרה השנייה היא של תקנה 15(א)(3). לפי הרשות, הנוהל העירוני לאבטחת מידע לא הגדיר את החובות החלות בהתקשרות עם גורמים חיצוניים שמקבלים גישה למאגר, כמו מטרות השימוש, סוגי המידע שמותר לעבד, מערכות הגישה ומשך ההתקשרות, וגם לא הפנה במפורש להסכמים עם הספקים ולנהלי האבטחה שלהם. הרשות לא קיבלה את העמדה שנוהל כללי והסדרת האבטחה בהסכמים חיצוניים בלבד מספיקים.

שתי ההפרות הובילו לעיצום מקורי של 80,000 ש"ח, 40,000 ש"ח בגין כל אחת. מאחר שבחמש השנים שקדמו להפרה לא הוטל עליה עיצום כספי ולא ננקטו נגדה אמצעי אכיפה מנהליים בגין אותן הוראות, הופחת הסכום ב-20% בהתאם לתוספת החמישית לחוק, והסכום הסופי עומד על 64,000 ש"ח.

מקור הידיעה: הרשות להגנת הפרטיות, 16.09.2026 · לידיעה המקורית