אירוע אבטחת מידע חמור במוסד חינוכי בבת ים: פרטים רגישים על עשרות קטינים נחשפו

פרטי קטינים, גלויים לכל: הרשות להגנת הפרטיות במשרד המשפטים החלה הבוקר (שלישי) בחקירת אירוע אבטחת מידע חמור שהתרחש במוסד חינוך בבת ים, במסגרתו נחשף מידע אישי ורגיש על אודות תלמידי המוסד. חקירת האירוע החלה עקב דיווח שהתקבל מגורם פרטי, ממנו עלה כי המוסד השליך כמויות עצומות של תיקים אישיים של תלמידים הכוללים מידע אישי רב לרבות תמונות קטינים, שאלונים, הערכות פסיכולוגיות ועוד, באופן גלוי וזמין לכל עובר אורח.

בעקבות הדיווח, שהתקבל ברשות להגנת הפרטיות במשרד המשפטים, בו הושלכו כמויות עצומות של תיקים אישיים של תלמידים הלומדים במוסד וכוללים מידע אישי כגון: תמונות של התלמידים, שאלונים, הערכות פסיכולוגיות וחומרים נוספים אישיים, פנתה הרשות לנציגי מוסד החינוך והעירייה בדרישה לטיפול דחוף ומיידי.

בעקבות הפנייה, פעל מוסד החינוך לשם טיפול באירוע ואסף את החומרים החשופים. יחד עם זאת, עד כה טרם הועבר דיווח על אירוע אבטחה חמור, כמתחייב על פי תקנות הגנת הפרטיות.

במסגרת האירוע, הרשות להגנת הפרטיות הדגישה כי על כל גוף המנהל או מחזיק מידע אישי אודות אנשים, בוודאי מוסד חינוך המחזיק במידע רגיש הנוגע לתלמידים וקטינים, לוודא כי הוא פועל לשמור ולהגן על המידע בהתאם לחובתו לפי תקנות הגנת הפרטיות. עוד יצוין כי חובות האבטחה החלות על מידע במאגר מידע, תקפות גם כשמדובר בתדפיס של המידע מתוך המאגר, בפרט כשמדובר במידע רגיש שחלה עליו גם חובת סודיות.

האחריות לאבטחת המידע מוטלת על כל גוף המנהל או מחזיק מידע, לשם הגנה על המידע האישי של האנשים עליהם הוא מחזיק מידע, ובכלל זה גם בכל הנוגע לתהליכי הארכוב, הביעור או ההשמדה של מידע כזה. אי עמידה בהוראות תקנות הגנת הפרטיות יכולה לחשוף את הגוף להליכי אכיפה מינהליים ופליליים של הרשות ואף לתביעות אזרחיות מצד האנשים שעל אודותיהם דלף המידע, וזאת בנוסף לפגיעה במוניטין של הגוף המפר.

יצוין, כי הרשות פועלת לשם חיזוק שיתופי הפעולה עם כלל משרדי הממשלה, לרבות משרד החינוך, לשם חיזוק ההגנה על תחום הפרטיות בארגון ובכלל זה הטמעת מנגנוני עיצוב לפרטיות כבר בשלבים הראשונים של פרויקטים חדשים המקודמים על ידו.  

הרשות קוראת לאזרחים להמשיך ולעדכן אותה על אירועי אבטחת מידע חמורים, לרבות דלפי מידע, פגיעות או פרצות באתרי אינטרנט, אפליקציות או שירותים הכוללים מידע אישי, על מנת שתוכל לפעול ולטפל באירועים אלה במטרה לצמצם את היקף הפגיעה בפרטיות הציבור. הפנייה לרשות תעשה לתיבת הדוא"ל ppa@justice.gov.il כשבשורת הנושא יש לציין "דיווח על אירוע אבטחת מידע".