אירוע אבטחה: מידע רגיש דלף ממאגר מידע של עיריית נהריה

הרשות להגנת הפרטיות במשרד המשפטים קיימה הליך אכיפה מנהלי לבירור נסיבות אירוע אבטחה שהביא לדליפתו של מידע רגיש ממאגר מידע של עיריית נהריה.

מממצאי הפיקוח שערכה הרשות להגנת הפרטיות, עלה כי אירוע האבטחה הוביל לחשיפתם של מסמכים אישיים ורפואיים של תושבי העיר כגון צילומי תעודות לידה ומסמכי אשפוז.

בעקבות אירוע אבטחת המידע פתחה הרשות בהליך אכיפה מנהלי. מממצאי הפיקוח שערכה הרשות במסגרת הליך האכיפה, עלה כי במועד אירוע האבטחה לא היו בידי עיריית נהריה נהלים רלוונטיים הנוגעים לתהליכי עבודת תחזוקה ופיתוח של מאגר המידע בהתאם לנדרש בחוק הגנת הפרטיות ובתקנות אבטחת מידע.

כמו כן, ממצאי הפיקוח העלו כי עיריית נהריה לא נקטה באמצעים הנדרשים על מנת לוודא כי גישה למאגר המידע שברשותה תיעשה רק על ידי המורשים לכך. בנוסף, נמצא כי חיבור אתר העירייה לרשת האינטרנט לא בוצע באמצעות פרוטוקול תקשורת מאובטח.

בהתאם לממצאי הפיקוח קבעה הרשות להגנת הפרטיות כי עיריית נהריה הפרה את הוראות סעיף 17 לחוק הגנת הפרטיות ותקנות 4(ד)(5), 9(א), ו- 14(ב) לתקנות אבטחת מידע.

בנוסף, לעירייה ניתנו הנחיות לפעול להתאמת רמת אבטחת המידע לנדרש בהוראות תקנות אבטחת מידע. הרשות אף הודיעה לעירייה כי תבחן את האפשרות לעריכת בדיקה חוזרת של עמידתה בהוראות החוק והתקנות.

הרשות שבה ומזכירה כי תקנות אבטחת מידע מחייבות כל גורם במשק בישראל, ציבורי ופרטי, המנהל מידע אישי, לעמוד בדרישות אבטחת מידע הקבועות בחוק ובתקנות, וזאת בהתאם לרמת הסיכון שיוצרת פעילות עיבוד המידע.