משרד החינוך הפר את הוראות חוק הגנת הפרטיות

הרשות להגנת הפרטיות סיימה הליך פיקוח מנהלי בעניינו של משרד החינוך, בעקבות חשיפת מידע אישי ורפואי רגיש על כ־21,000 תלמידי חינוך מיוחד במחוז החרדי

 

הליך הפיקוח נפתח ביוזמת הרשות, מכוח סמכויות הפיקוח שהיו נתונות לה במועד האירוע, טרם כניסתו לתוקף של תיקון מס' 13 לחוק הגנת הפרטיות.
 

במסגרת הליך הפיקוח נמצא כי מידע רגיש שהופק ממערכת של משרד החינוך לצורך שיבוץ תלמידים, ניתן היה לגישה של גורמים בלתי מורשים דרך קישור פתוח שנשלח לגורמים מחוץ למשרד החינוך. המידע כלל, בין היתר, שמות ומספרי תעודות זהות, גיל ותאריך לידה, מין, אזור מגורים, מוסד לימודים ושכבת גיל, השתייכות דתית וכן מידע רפואי בדבר סוג המוגבלות של תלמידי החינוך המיוחד. המידע דלף והופץ.

 

במסגרת הליך הפיקוח נמצאו, בין היתר, הליקויים הבאים:

המידע הועבר ללא אמצעי הצפנה מתאימים וללא הגבלת גישה לקבצים.

המידע הופק על ידי עובדת שלא נכללה ברשימת בעלי ההרשאות התקפות למערכת

במועד הרלוונטי לא היה בידי המשרד מסמך הגדרות מאגר כנדרש, לא היה נוהל אבטחת מידע העומד בדרישות התקנות ולא בוצע סקר סיכוני אבטחת מידע למערכת כנדרש.

 

הרשות קבעה כי חשיפת המידע והשימוש בו ללא הרשאה מהווים אירוע אבטחה חמור כהגדרתו בתקנות, וזאת ללא תלות בשאלה אם מקור האירוע במתקפת סייבר.

 

טענת המשרד שלפיה הסמכתו לתקן ISO/IEC 27001 פוטרת אותו מקיום הוראות התקנות נדחתה. הרשות הבהירה כי הסתמכות על התקן כפופה לעמידה בתנאים שנקבעו בהנחיית הרשות.

 

בתום הליך הפיקוח קבעה הרשות כי משרד החינוך הפר את חובתו לפי סעיף 17 לחוק הגנת הפרטיות, שעניינה אחריות בעל השליטה במאגר לאבטחת המידע במאגר, וכן את הוראות תקנות הגנת הפרטיות (אבטחת מידע) הנוגעות למסמך הגדרות המאגר, נוהל אבטחת מידע, סקר סיכונים, ניהול הרשאות והעברת מידע ברשת.

 

שמירה על פרטיותם ואבטחת המידע של נושאי מידע, ובפרט כאשר מדובר במידע רגיש על קטינים, היא חובה המוטלת על בעל השליטה במאגר מכוח הדין.