Тысячи израильтян под угрозой: как в сеть попали их медицинские данные
Управление по защите частной жизни при министерстве юстиции Израиля оштрафовало мэрию Бейт-Шемеша на 64 тыс. шекелей. Решение было принято по итогам проверки, начатой после серьезного инцидента с информационной безопасностью.
В результате сбоя на сайте муниципалитета оказалась доступна личная и чувствительная информация примерно о 4600 жителях города. Речь шла, в частности, о данных из сферы социального обеспечения, включая медицинскую информацию, которая относится к категории особо чувствительных персональных данных.
Утечка произошла из-за неисправности в городской системе GIS — географической информационной системе, которая использовалась при помощи внешнего подрядчика. Проблему обнаружил журналист, случайно получивший доступ к открытой информации и сообщивший об этом. Только после его обращения система была отключена, а доступ к данным заблокирован. Управление по защите частной жизни начало проверку в отношении муниципалитета и подрядчика. Разбирательство в отношении самого подрядчика по-прежнему продолжается.
В ходе проверки регулятор установил, что муниципалитет нарушил правила защиты частной жизни сразу по нескольким направлениям. Во-первых, не были надлежащим образом оформлены отношения с внешним подрядчиком. Он имел постоянный доступ к базе данных почти два года, однако муниципалитет вообще не указал его в документации к базе как «держателя» данных.
Во-вторых, в рабочих процедурах муниципалитета отсутствовали необходимые правила безопасности. В частности, не были четко определены цели использования информации, объем данных, которые подрядчику разрешено обрабатывать, системы, к которым он может получать доступ, а также срок предоставления такого доступа.
Кроме того, в процедурах не было ссылки на договоры с подрядчиками или на их собственные правила информационной безопасности. По мнению регулятора, муниципалитет должен был заранее установить эти требования и обеспечить их соблюдение.
В мэрии Бейт-Шемеша заявили, что внешний подрядчик не соответствует юридическому определению «держателя» базы данных. Также муниципалитет назвал ситуацию «добросовестным административным пробелом», который возник на фоне изменений законодательства, связанных с поправкой №13. Кроме того, в мэрии утверждали, что заключенных внешних соглашений и общей рабочей процедуры было достаточно.
Управление по защите частной жизни отклонило все эти аргументы. Регулятор постановил, что муниципалитет должен был заранее подготовиться к требованиям закона и действовать в соответствии с ними.
Первоначально размер штрафа составлял 80 тыс. шекелей — по 40 тыс. за каждое нарушение. Однако сумма была снижена до 64 тыс. шекелей, поскольку за последние пять лет аналогичных нарушений со стороны муниципалитета зафиксировано не было.
Руководитель отдела правоприменения Управления по защите частной жизни адвокат Ади Менахем-Бар заявила: «Обязанность соблюдать требования Закона о защите частной жизни и подзаконных актов, принятых на его основе, направлена на обеспечение защиты персональной информации, которая собирается и хранится в базах данных различных организаций. В этом случае речь шла о персональной информации особой чувствительности, включая медицинские и социальные данные жителей, которая была доступна широкой публике со всеми вытекающими из этого последствиями».
Она добавила: «Организация, которая заключает договоры с внешними поставщиками и предоставляет им доступ к базе данных такого типа, обязана тщательно соблюдать требования закона и подзаконных актов в части оформления отношений с внешними поставщиками, выступающими в качестве держателей базы данных. Мы продолжим обеспечивать соблюдение обязанностей, установленных законом и подзаконными актами, чтобы усилить защиту частной жизни граждан».
Ранее Курсор писал, что минздрав срочно предупреждает — не употребляйте этот салат (ФОТО).
