הרשות להגנת הפרטיות הטילה עיצום כספי בסך 64,000 שקל על עיריית בית שמש, בעקבות אירוע אבטחת מידע במערכת ה-GIS העירונית, שבמסגרתו התאפשרה גישה דרך אתר העירייה למידע אישי רגיש של כ-4,600 תושבים.

ההחלטה פורסמה ב-16 בספטמבר 2026, בתום הליך בירור מנהלי ושימוע שנערך לעירייה.

מה קרה?

האירוע דווח לרשות להגנת הפרטיות ב-20 באוגוסט 2025. בעקבות תקלה במערכת ה-GIS של העירייה, התאפשרה גישה דרך אתר האינטרנט העירוני למידע מתחום הרווחה שיועד לשימוש פנימי בלבד.

המידע כלל פרטים אישיים הנוגעים לכ-4,600 תושבים, ובין היתר גם מידע רפואי, המוגדר בחוק כמידע בעל רגישות מיוחדת.

עם גילוי האירוע, העירייה השביתה את המערכת וחסמה את הגישה למידע.

שתי הפרות שנקבעו בהליך

לאחר הבירור המנהלי והשימוע, קבעה הרשות להגנת הפרטיות כי העירייה הפרה שתי הוראות בתקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017.

ההפרה הראשונה נגעה לספק חיצוני שסיפק לעירייה שירותי תמיכה ועיבוד מידע והחזיק בגישה מתמשכת למערכות המאגר במשך קרוב לשנתיים. לפי הרשות, הספק נחשב ל"מחזיק" במאגר המידע של אגף הרווחה, אך העירייה לא ציינה אותו כמחזיק במסמך הגדרות המאגר.

העירייה טענה כי מדובר בפער מנהלי שנוצר בתום לב, בין היתר על רקע כניסתו לתוקף של תיקון 13 לחוק הגנת הפרטיות זמן קצר לפני האירוע. הרשות דחתה את הטענה וציינה כי לגופים ניתנה תקופת היערכות של שנה ליישום החוק ולעדכון המסמכים הנדרשים.

ההפרה השנייה נגעה לנוהל אבטחת המידע של העירייה. לפי הרשות, הנוהל לא הסדיר באופן מספק את החובות הנוגעות להתקשרות עם גורמים חיצוניים המקבלים גישה למאגרי מידע.

בין היתר, הנוהל לא פירט את מטרות השימוש במידע, סוגי המידע שהספקים רשאים לעבד, מערכות הגישה ומשך ההתקשרות, ולא כלל הפניה מפורשת להסכמים ולנהלי האבטחה של הספקים.

הרשות דחתה את עמדת העירייה שלפיה די בנוהל כללי ובהסדרת תנאי האבטחה במסגרת ההסכמים מול הספקים.

איך נקבע סכום הקנס?

בגין שתי ההפרות נקבע בתחילה עיצום כספי כולל של 80,000 שקל - 40,000 שקל עבור כל הפרה.

עם זאת, הסכום הופחת ב-20%, בהתאם להוראות החוק, מאחר שבחמש השנים שקדמו להפרות לא הוטלו על העירייה עיצומים כספיים או אמצעי אכיפה מנהליים בגין הפרת אותן הוראות.

בסופו של דבר הועמד העיצום על 64,000 שקל.

תגובת עיריית בית שמש: "ההחלטה אינה משקפת את מכלול נסיבות האירוע"

בעיריית בית שמש חולקים על החלטת הרשות להגנת הפרטיות וסבורים כי היא אינה משקפת את מלוא נסיבות האירוע ואת הנתונים והטענות שהוצגו במסגרת השימוע.

בעירייה מדגישים כי האירוע נבע, לטענתם, מכשל של ספק חיצוני, וכי מיד לאחר גילוי האירוע ננקטו צעדים טכנולוגיים, ארגוניים וחוזיים לצמצום הסיכון, תיקון הכשל וחיזוק מנגנוני הבקרה והפיקוח.

עוד טוענת העירייה כי יש להביא בחשבון את עיתוי האירוע, שהתרחש בסמוך מאוד לכניסתו לתוקף של תיקון 13 לחוק הגנת הפרטיות, אשר הכניס שינויים משמעותיים במערך האכיפה.

לדברי העירייה, בנסיבות אלה היה מקום לתת משקל גדול יותר לטענות ולשיקולים שהוצגו במהלך השימוע.

העירייה מוסיפה כי אף שהעיצום הופחת בעקבות השימוע, ההפחתה אינה מספקת לדעתה ואינה משקפת את נסיבות המקרה ואת הצעדים שננקטו לאחר האירוע. לטענתה, היה מקום לבטל את העיצום או לכל הפחות להפחית אותו באופן משמעותי יותר.

בעירייה מסרו כי הם מכבדים את הרשות להגנת הפרטיות ואת תפקידה, אך מצרים על ההחלטה וכעת שוקלים את צעדיהם המשפטיים.

ההחלטה והעיצום הכספי הם של הרשות להגנת הפרטיות; הטענות בדבר נסיבות האירוע והצעדים שננקטו מובאות בהתאם לעמדת עיריית בית שמש.