משרד החינוך בישראל: הפרות אבטחה חמורות הובילו לדליפת מידע אישי של אלפי קטינים

משרד החינוך בישראל הפר את חוק הגנת הפרטיות ואיפשר דליפה נרחבת של מידע אישי רגיש של אלפי קטינים, כך קבעה הרשות להגנת הפרטיות במשרד המשפטים לאחר בדיקה מנהלית. על פי הדיווח, מידע אישי מפורט של 21,439 תלמידים ממערכת החינוך המיוחד במגזר החרדי פורסם ברבים. הנתונים שדלפו כללו שמות מלאים, מספרי תעודות זהות, תאריכי לידה, כתובות מגורים, שמות מוסדות חינוך, שיוך דתי, ומסמכים רפואיים מפורטים הכוללים אבחנות ספציפיות וסוגי מוגבלויות.

במהלך הבדיקה, נמצאו כשלים חמורים בתפקוד המשרד, לרבות חלוקת הרשאות גישה לשרתים ללא בקרה נאותה, העברת מידע קריטי דרך ערוצים לא מוצפנים וללא הצפנה קריפטוגרפית, והיעדר הערכת סיכוני סייבר. בנוסף, לא היו במשרד נהלי אבטחת מידע או דרכון מאושר למאגר הנתונים. טענות המשרד בדבר קיום תעודת ISO/IEC 27001 בינלאומית נדחו, שכן התקנים הבינלאומיים אינם פוטרים את המשרד מחובותיו על פי החוק הישראלי. המשרד הוכר כמי שהפר את סעיף 17 לחוק הגנת הפרטיות, המחייב בעלי ארכיונים באחריות לשמירתם, וכן שמונה תקנות משנה נוספות.

האירוע התרחש במאי 2024, כאשר עובדי המשרד יצרו טופס מקוון פתוח לצורך שיבוץ ילדים במוסדות חינוך. לטופס זה הועלתה טבלת אקסל עם כל הרישומים האישיים. הקישור לטופס, שהיה זמין ללא צורך באימות או סיסמה, נשלח על ידי פקידי המשרד לעובדי בתי ספר דתיים, הן במייל השירות והן במייל הפרטי, ומכאן החל להתפשט לגורמים חיצוניים. הפרשה פורסמה לראשונה בעקבות תחקיר עיתונאי.

עבור משפחות מהמגזר הדתי, חשיפת מידע זה גררה השלכות חברתיות קשות. הורים דיווחו כי פרטים על ילדים עם אוטיזם או תסמונת דאון התפשטו במהירות בבתי כנסת ובקהילות, ופגעו בסיכויי השידוך של בני משפחה. קבוצת הורים כבר הגישה תביעה משפטית נגד משרד החינוך בבית המשפט המחוזי בלוד. הנפגעים מציינים את חוסר האונים שלהם: המשפחות מחויבות למסור למדינה תיקים רפואיים לצורך קבלת סיוע, אך המערכת כשלה באבטחת מידע בסיסי זה. דו"ח הרגולטור הממשלתי לא כלל המלצות לקנסות אישיים או צעדים פליליים נגד האחראים לדליפה.