מהלך שנועד לייעל את שיבוץ תלמידי החינוך המיוחד הסתיים בחשיפת מידע אישי ורפואי של כ-21 אלף ילדים. הרשות להגנת הפרטיות במשרד המשפטים, שבדקה את הדליפה, קבעה כי משרד החינוך הפר את חוק הגנת הפרטיות ואת הוראות תקנות אבטחת המידע. בין הפרטים שהופצו ברשת: כתובות מגורים, פרטי לימודים, השתייכות דתית ופירוט על מוגבלויות התלמידים.
מידע נגיש לכולם
האירוע החל במאי 2024, כשעובדות במשרד החינוך ביקשו ליצור טופס דיגיטלי לשיבוץ תלמידים במוסדות החינוך המיוחד במגזר החרדי. הן הוציאו נתונים ממערכת המשמשת את המשרד, ריכזו אותם בקובץ וקישרו אליו טופס למילוי בידי מוסדות החינוך. הטופס הוגדר בהרשאה פתוחה, והקובץ עצמו לא הוגן בסיסמה, כך שכל מי שהחזיק בקישור אליו יכול היה לצפות במידע ולהורידו.
באותו חודש נשלח הקישור לטופס לבעלי תפקידים במוסדות החינוך החרדי, לכתובות דוא"ל ארגוניות ופרטיות, ללא מגבלה על העברתו לנמענים נוספים. בהמשך הגיע המידע לגורמים בלתי מורשים והופץ ברבים. משרד החינוך טען כי ככל הנראה אירעה תקלה נקודתית בהגדרת ההרשאות של אחד הטפסים, שאפשרה לגורם חיצוני להפעיל מנגנוני חיפוש ולאתר את קובץ הנתונים לאחר לחיצה על קישור.
פרצת אבטחה חמורה
בעקבות פרסום בתקשורת על הדליפה פתחה הרשות במרץ 2025 בהליך פיקוח מנהלי. היא קבעה כי השימוש במידע והעברתו לגורמים בלתי מורשים מהווים אירוע אבטחה חמור כהגדרתו בתקנות. הבדיקה העלתה כי ניהול המערכת ותפעולה לא תאמו את החובה המוטלת על בעל מאגר מידע להבטיח את תקינותם.
לאחר בחינת הממצאים וטענות משרד החינוך, קבעה הרשות כי המשרד הפר את סעיף 17 לחוק הגנת הפרטיות, המטיל על בעל מאגר אחריות לאבטחת המידע שבו, וכן שורה של הוראות בתקנות הגנת הפרטיות (אבטחת מידע).
טעינו? נתקן! אם מצאתם טעות בכתבה, נשמח שתשתפו אותנו