עיצום של 64,000 ש"ח על עיריית בית שמש:
האם סכום כזה באמת ירתיע?

בשבוע שעבר הרשות להגנת הפרטיות הטילה עיצום כספי על עיריית בית שמש בגין הפרת תקנות הגנת הפרטיות (אבטחת מידע). זה נראה כמו עוד כותרת — אבל מאחורי הסכום מסתתרות שתי הפרות שכל ארגון שעובד עם ספקים צריך להכיר. ושאלה אחת פתוחה: האם סכום כזה באמת מרתיע?

מה קרה

ב-20 באוגוסט 2025 דווח על אירוע אבטחה חמור במערכת ה-GIS העירונית. בעקבות תקלה, התאפשרה גישה דרך אתר האינטרנט של העירייה למידע אישי רגיש מתחום הרווחה, שיועד לשימוש פנימי בלבד, הנוגע לכ-4,600 תושבים, ובכלל זה מידע רפואי המוגדר כמידע בעל רגישות מיוחדת. עם גילוי האירוע המערכת הושבתה והגישה אליה נחסמה.

בתום בירור מנהלי ושימוע קבעה הרשות כי העירייה הפרה את תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, והטילה עליה עיצום כספי בסך 64,000 ש"ח.

שתי ההפרות — ושתיהן נוגעות לספקים

• ספק שלא צוין כמחזיק במאגר (תקנה 2(א)(7)). חברה שסיפקה שירותי תמיכה ועיבוד מידע, ובעלת גישה מתמשכת למערכות המאגר במשך כשנתיים, שימשה כ"מחזיק" במאגר הרווחה. למרות זאת, העירייה לא ציינה אותה כמחזיקה במסמך הגדרות המאגר.
• נוהל אבטחת מידע שלא הסדיר את ההתקשרות עם גורמים חיצוניים (תקנה 15(א)(3)). הנוהל לא הסדיר את החובות הנדרשות ביחס לגורמים חיצוניים הנהנים מגישה למאגר — כגון מטרות השימוש, סוגי המידע המותרים בעיבוד, מערכות הגישה ומשך ההתקשרות — ולא כלל הפניה מפורשת להסכמי ההתקשרות ולנהלי האבטחה של הספקים.

איך נקבע הסכום

בגין שתי ההפרות הועמד העיצום המקורי על 80,000 ש"ח (40,000 ש"ח לכל הפרה). מאחר שבחמש השנים שקדמו להפרה לא הוטלו על העירייה עיצומים או אמצעי אכיפה מנהליים בשל הפרת אותן הוראות, הסכום הופחת ב-20% — לסך סופי של 64,000 ש"ח.

מהרשות הודגש כי חובות אבטחת המידע חלות על כלל מגזרי המשק, וכי התקשרות עם ספק חיצוני אינה פוטרת ארגון מהחובות הקבועות בתקנות. על כל ארגון לוודא באופן שוטף שגם הספקים שלו פועלים בהתאם להוראות התקנות.

הסקר: האם סכום כזה ירתיע?

שאלנו את הקהילה ב-LinkedIn אם עיצום בסדר גודל כזה ידרבן ארגונים להשקיע יותר בניהול הפרטיות. אלו התוצאות:

רוב המצביעים סבורים שהעיצום קטן ממה שיעלה לארגון לנהל פרטיות כראוי. בתגובות עלו שני טיעונים משלימים:

• הקנס הוא רק חלק מהמחיר. אירוע פרטיות כרוך גם בעלויות טיפול באירוע, סיכון לתביעות, פגיעה באמון התושבים או הלקוחות, ופגיעה במוניטין.
• מה שמזיז הנהלות הוא אמון. הצגת ההשקעה בפרטיות כהגנה על המשכיות עסקית לטווח ארוך עובדת טוב יותר מהשוואת עלות מול קנס.

והיקף האירוע חשוב: במקרה הזה דלפה כמות קטנה יחסית של רשומות. במאגר גדול יותר, הנזק וגובה העיצום היו גבוהים יותר — וכנראה גם אפקט ההרתעה.

מה כדאי לעשות עכשיו

בלי קשר לגובה הקנס, שתי ההפרות הן בדיוק מה שאפשר לבדוק בארגון שלכם כבר היום:

• רשמו כל ספק עם גישה למאגר כמחזיק, במסמך הגדרות המאגר — כולל ספקי תמיכה ועיבוד שיש להם גישה מתמשכת.
• הסדירו בנוהל האבטחה את ההתקשרות עם גורמים חיצוניים: מטרות השימוש, סוגי המידע המותרים, מערכות הגישה ומשך ההתקשרות, והפנו להסכמים ולנהלי האבטחה של הספקים.
• הפכו את זה לתהליך שוטף ולא לבדיקה חד-פעמית.

זה בדיוק האתגר שתיארנו בניהול גורמים חיצוניים ושרשרת האספקה: ב-VDPO כל ספק מתועד במקום אחד, מקושר למאגרי המידע שהוא נוגע בהם ולסוג המידע שהוא מעבד, עם מעקב אחר הסכמי DPA ותאריכי חידוש.

מה דעתכם? האם עיצום בסדר גודל כזה משנה התנהלות בארגונים? שתפו אותנו בתגובה לפוסט המקורי ב-LinkedIn.