מחדל אבטחת מידע חמור בעיריית בית שמש מסתיים בעיצום כספי ובקביעות קשות של הרשות להגנת הפרטיות במשרד המשפטים.
פרשת הדליפה נחשפה בעקבות פניית עיתונאי שהציג פרצת אבטחה במערכת ה-GIS העירונית, אשר אפשרה גישה חופשית לנתוני רווחה ולמידע רפואי רגיש של אלפי מתושבי העיר.
עם קבלת הדיווח הושבתה המערכת באופן מיידי והגישה לנתונים נחסמה, אך הליך אכיפה מנהלי שנפתח בעקבות המקרה חשף שורת מחדלים מתמשכים.
ממצאי הבירור המנהלי מעלים כי העירייה הפרה את תקנות הגנת הפרטיות במספר מישורים מרכזיים. בין היתר נקבע כי העירייה נמנעה מלהגדיר את הספק החיצוני של המערכת כמחזיק במאגר הרווחה, אף שלפועל הייתה לו גישה רציפה ומתמשכת למערכות הליבה במשך קרוב לשנתיים.
בנוסף, נחשפו ליקויים חמורים בנוהלי אבטחת המידע הנוגעים להתקשרות עם גורמים חיצוניים, ובכלל זה היעדר הסדרה מפורשת של מטרות השימוש במידע, גבולות עיבוד הנתונים ומשך ההתקשרות כמתחייב בחוק.
ברשות להגנת הפרטיות דחו על הסף את טענות העירייה לפיהן ההפרות נבעו מ"פער מנהלי בתום לב" עקב תיקוני חקיקה, או שהספק החיצוני אינו נחשב כמחזיק במאגר.
סכום העיצום הכספי המקורי נקבע על 80,000 שקלים, אך הופחת ל-64,000 שקלים בשל היעדר היסטוריית אכיפה קודמת נגד העירייה בחמש השנים שקדמו לאירוע. ברשות הבהירו כי הליך הבירור המקביל מול הספק החיצוני עצמו עדיין נמשך.
עו"ד עדי מנחם באר, מנהלת מערך האכיפה ברשות להגנת הפרטיות, הבהירה בעקבות ההחלטה: "החובה לעמוד בדרישות חוק הגנת הפרטיות נועדה להבטיח הגנה על المידע האישי שנאסף במאגרים. במקרה הנוכחי מדובר היה במידע אישי בעל רגישות מיוחדת, שכלל נתוני רווחה ורפואה שהיו חשופים לציבור. ארגון שמעניק לספקים חיצוניים גישה למאגרים מסוג זה נדרש להקפיד קלה כחמורה על הוראות החוק, ונמשיך לפעול בנחישות לשם חיזוק ההגנה על פרטיות האזרחים".