דלף מידע על כ־21 אלף תלמידי חינוך מיוחד

הרשות להגנת הפרטיות קבעה כי משרד החינוך הפר את חוק הגנת הפרטיות ואת תקנות אבטחת המידע, בעקבות דליפת מידע אישי ורפואי רגיש על כ־21 אלף תלמידי חינוך מיוחד במחוז החרדי. המידע כלל שמות ומספרי תעודות זהות, גיל ותאריך לידה, מין, אזור מגורים, מוסד לימודים ושכבת גיל. הקובץ כלל גם השתייכות דתית ומידע רפואי שפירט את סוג המוגבלות של התלמידים.

הרשות להגנת הפרטיות קבעה כי חשיפת המידע והשימוש בו ללא הרשאה היו אירוע אבטחה חמור, גם אם מקורו לא היה במתקפת סייבר.

טופס לשיבוץ תלמידים ללא סיסמה

לפי ממצאי הפיקוח, בסביבות מאי 2024 ביקשו עובדות במשרד החינוך ליצור טופס דיגיטלי לייעול שיבוצם של תלמידי החינוך המיוחד במגזר החרדי. לצורך הכנת הטופס הופק ממערכת המשרד קובץ ובו מידע אישי ורפואי על התלמידים. הקובץ שעליו התבסס הטופס הוגדר באופן שאפשר לכל מי שהחזיק בקישור לצפות בו ולהורידו.

הטופס והקובץ לא הוגנו בסיסמה, והקישור היה ניתן להעברה. במאי 2024 הוא נשלח לבעלי תפקידים במוסדות חינוך חרדיים, באמצעות כתובות דואר אלקטרוני ארגוניות ופרטיות.

המידע הגיע לגורמים בלתי מורשים

במרץ 2025 התברר כי המידע הגיע לאזרחים ולגורמים שלא היו מורשים לקבלו והופץ ברבים. בדיווח הראשון על האירוע נמסר כי הקובץ כלל נתונים על 21,439 ילדים, ואילו בהודעתה הרשמית נקטה הרשות בניסוח "כ־21 אלף תלמידים". משרד החינוך טען כי ככל הנראה אירעה תקלה נקודתית בהגדרת ההרשאות, שאפשרה לגורם חיצוני לאתר את קובץ הנתונים לאחר כניסה לקישור. הרשות מצאה ליקויים רחבים יותר בהתנהלות המשרד.

הליך הפיקוח העלה כי המידע הופק בידי עובדת שלא נכללה ברשימת בעלי ההרשאות התקפות למערכת. עוד נמצא כי המידע הועבר ללא הצפנה מתאימה וללא הגבלת גישה. במועד האירוע לא היה בידי משרד החינוך מסמך הגדרות מאגר כנדרש, לא היה נוהל אבטחת מידע שעמד בדרישות התקנות ולא נערך למערכת סקר סיכוני אבטחת מידע בתקופה הנדרשת.

המאגר כולל מידע רגיש על יותר מ־100 אלף אנשים, ולכן חלות עליו דרישות אבטחה ברמה גבוהה.

התקן הבינלאומי אינו מעניק פטור

משרד החינוך טען כי הסמכתו לתקן הבינלאומי לאבטחת מידע ISO 27001 פוטרת אותו מחלק מהוראות התקנות. הרשות להגנת הפרטיות דחתה את הטענה והבהירה כי הסמכה בינלאומית אינה מחליפה את החובות הקבועות בדין הישראלי. בסיום ההליך נקבע כי משרד החינוך הפר את סעיף 17 לחוק הגנת הפרטיות וכן הוראות בתקנות העוסקות בניהול מאגר, הרשאות, אבטחת מערכות והעברת מידע ברשת.

משרד החינוך מסר כי לאחר שנודע לו על האירוע הוא פעל לחסימת הגישה למידע ולהסרתו. לדבריו, נערך תחקיר, הופקו לקחים, הנהלים חודדו ומנגנוני הבקרה ואבטחת המידע חוזקו. הרשות להגנת הפרטיות הדגישה כי גופים ציבוריים ובעלי מאגרי מידע מחויבים לנקוט את אמצעי האבטחה הקבועים בחוק, במיוחד כאשר הם מחזיקים במידע רפואי ואישי רגיש על קטינים.