تغريم بلدية بيت شيمش بسبب كشف بيانات 4,600 من السكان
فرضت سلطة حماية الخصوصية غرامة قدرها 64,000 شيكل على بلدية بيت شيمش، بعدما كُشفت عبر الموقع الإلكتروني للبلدية بيانات شخصية تخص نحو 4,600 من السكان. وشملت التفاصيل التي أمكن الوصول إليها بيانات طبية ومعلومات من دوائر الخدمات الاجتماعية، وهي معلومات تُعد شديدة الحساسية.
الوقائع الأساسية
- •الجهة: سلطة حماية الخصوصية
- •تأثرت بيانات نحو 4,600 من السكان
- •الغرامة النهائية: 64,000 شيكل
- •المبلغ الأصلي: 80,000 شيكل
- •دخل التعديل رقم 13 حيز النفاذ في أغسطس 2025
- •لم يكتمل بعد التحقيق مع المزوّد الخارجي
كيف كُشفت البيانات
أصبح الوصول إلى المعلومات ممكناً بسبب خلل في نظام معلومات جغرافية شغّلته البلدية من خلال مزوّد خارجي. واكتشف صحفي إمكان الاطلاع على التفاصيل، وأبلغ البلدية وسلطة حماية الخصوصية بذلك. ونتيجة لذلك، أُوقف النظام، وحُجب الوصول إلى البيانات، وفتحت السلطة تحقيقاً إدارياً مع البلدية والمزوّد.
المخالفات التي رصدتها السلطة
في الوثيقة التي تصف قاعدة بيانات المعلومات الاجتماعية، لم تُعرّف البلدية المزوّد الخارجي باعتباره «حائزاً» لقاعدة البيانات، رغم أنه عالج معلومات شخصية وكان يتمتع بوصول منتظم إلى أنظمتها لمدة قاربت عامين. إضافة إلى ذلك، لم تحدد إجراءات أمن المعلومات أغراض استخدام البيانات، أو أنواع المعالجة المسموح بها، أو الأنظمة التي يمكن الوصول إليها، أو مدة التعاقد مع المزوّدين. كما لم تتضمن إشارات إلى عقود مزوّدي الخدمات الخارجيين وإجراءاتهم الأمنية.
لماذا رُفضت حجج البلدية
ادعت البلدية أن المزوّد لم يكن «حائزاً»، وأن المخالفات نتجت عن فجوة إدارية حسنة النية عقب دخول التعديل رقم 13 لقانون حماية الخصوصية حيز النفاذ. ورفضت السلطة هذه الحجج؛ إذ إن وصول المزوّد المطوّل إلى أنظمة قاعدة البيانات يتوافق مع صفة الحائز، وكان ينبغي للبلدية الاستعداد للمتطلبات الجديدة في الوقت المناسب. كما رفضت السلطة الادعاء بأن الإجراءات الداخلية العامة والبنود الواردة في العقود الخارجية كانت كافية.
كيف حُددت الغرامة
حُددت العقوبة المالية للمخالفتين في البداية بمبلغ 80,000 شيكل، بواقع 40,000 شيكل عن كل مخالفة. وخُفضت إلى 64,000 شيكل لأنه، خلال السنوات الخمس السابقة للمخالفة، لم تُفرض على البلدية أي عقوبات مالية أو تدابير إدارية بسبب عدم الامتثال للمتطلبات نفسها. ولم يكن التحقيق المتعلق بالمزوّد الخارجي قد اكتمل بعد وقت النشر.
ماذا يعني هذا لك
تتحمل السلطات الحكومية والبلدية مسؤولية الحماية التقنية للمعلومات الشخصية، وكذلك مسؤولية التنظيم الدقيق لعلاقاتها مع المزوّدين الخارجيين الذين يمكنهم الوصول إلى قواعد البيانات. وبالنسبة إلى السكان، يعني ذلك وجوب حماية المعلومات الطبية والاجتماعية أيضاً عند معالجتها من قبل متعاقد، وأن اكتشاف واقعة كشف قد يؤدي إلى تحقيق إداري وغرامة.