הטור החודשי בנושא הגנת הפרטיות בארץ ובעולם 10-2026
הגנת הפרטיות - בישראל
ניסיון הפריצה למיטב טרייד כתוצאה מדליפת מידע דרך ספק חיצוני
ניסיון פריצה לאלפי חשבונות במיטב טרייד חשף חולשת אבטחה בממשק API של ספק חיצוני. במסגרת האירוע נשלחו כ- 3,000 מסרונים עם קודי אימות חד־פעמיים, ונעשו מספר ניסיונות כושלים לשינוי מספרי טלפון. לפי דיווח החברה, מידע אישי של לקוחות נשלף אבל ניסיונות הגישה והשינוי לא צלחו. כתוצאה מכך, החברה חסמה את הממשק הפגיע והודיעה כי לקוחות שמידע עליהם נשלף יקבלו הודעה. האירוע דווח לרשות להגנת הפרטיות, שפתחה בהליך פיקוח לבדיקת עמידת מיטב להספק בהוראות הדין.
קיימת חשיבות בהבנה כי האחריות להגנת הפרטיות אינה מסתיימת בגבולות הארגון אלא שגם ספק חיצוני בעל חולשת אבטחה עלול לחשוף מידע של אלפי לקוחות. ארגונים חייבים לפקח על ספקיהם, לצמצם הרשאות ולבצע בקרה על ממשקים טכנולוגיים. עבור הלקוחות, אירוע זה הוא גם תמרור אזהרה מפני הודעות מתחזות, ניסיונות פישינג והונאות שינצלו את המידע שנחשף.
המידע נמצא אצלנו – אבל הוא לא שלנו לחשוף
פרסום סיפורן של מלי וליאל יהלומי בתקשורת, הביאה לדרישת הרשות להגנת הפרטיות ממשטרת ישראל לערוך בירור בחשד לפגיעה בפרטיותן, לאחר שפורסמו סרטונים שלהן ומידע אישי ורגיש בנוגע אליהן. בפרסומים נחשפו תיעודים של השתיים ברגעים פגיעים, לצד מידע אישי רגיש, לרבות התכתבויות פרטיות, מידע כלכלי ופיננסי, חיפושים בכלי בינה מלאכותית, מיקום ותנועות. לפי הרשות, חלק מהמידע הגיע ככל הנראה ממשטרת ישראל. במסגרת הבירור נדרשה המשטרה לבדוק כיצד הועבר המידע לכלי התקשורת, אילו שיקולים הנחו את אישור הפרסומים, ככל שאושרו, ולהפיק לקחים למניעת מקרים דומים בעתיד. ממצאי הבדיקה יועברו לרשות להגנת הפרטיות.
מקרה זה ממחיש עיקרון שחשוב לכל ארגון, האחריות על מידע אישי אינה מסתכמת בשמירה עליו מפני פריצות אלא שהיא כוללת גם הקפדה על מי נחשף למידע, כיצד נעשה בו שימוש ולמי הוא מועבר.
התכתבויות והדלפתן והיכן עובר הגבול בין עניין ציבורי לפגיעה בפרטיות
הדלפת התכתבויות הוואטסאפ של יונתן אוריך, יועצו של ראש הממשלה, עוררו שאלות משפטיות בנוגע לפגיעה בפרטיות ולהפצת מידע שהושג ללא רשות.
בעקבות הפרשה, עורכי דינו של אוריך החלו לשלוח מכתבי התראה לאנשים ששיתפו את ההתכתבויות. לפי מומחים משפטיים, חדירה בלתי מורשית לחשבון והעתקת מידע פרטי עלולות להוות עבירות פליליות ועילות לתביעה אזרחית. גם מי שמפיץ את ההתכתבויות עלול לשאת באחריות משפטית, בהתאם לנסיבות, לתוכן שפורסם ולמידת העניין הציבורי שבו.
לצד זאת, קיים האינטרס הציבורי וחופש הביטוי והאיזון הנדרש בינו לבין הזכות לפרטיות. העובדה כי קיים מידע אישי שכבר דלף, אינה הופכת את הפצתו למותרת; גם מי שמשתף אותו עלול לשאת באחריות משפטית.
דליפת מידע של 21,000 תלמידי חינוך מיוחד
הרשות להגנת הפרטיות קבעה כי משרד החינוך הפר את חוק הגנת הפרטיות ותקנות אבטחת המידע, בעקבות דליפת מידע אישי ורפואי רגיש של 21,000 תלמידי חינוך מיוחד מהמגזר החרדי. הדליפה נגרמה בעקבות יצירת טופס דיגיטלי לשיבוץ תלמידים, שקושר לקובץ מידע שההרשאות אליו היו למעשה פתוחות. המידע כלל כאמור מידע רגיש כגון פרטים מזהים, כתובות, השתייכות דתית ומידע רפואי על מוגבלויות תלמידים.
מאחר וההפרה התרחשה בטרם כניסת תיקון 13 לחוק לתוקפו, לא הוטל על משרד החינוך קנס כספי. הליך הפיקוח של הרשות הסתיים בקביעה כי משרד החינוך הפר את סעיף 17 לחוק ואת הוראות הגנת הפרטיות. חשוב לזכור שגם מהלך תפעולי שנועד לייעל עבודה עלול לגרום לכשל חמור בהגנת הפרטיות ובדגש על הרשאות גישה מצומצמות, בקרות אבטחת מידע ופיקוח הדוק בייחוד כשמדובר במידע רגיש על קטינים בכלל, ומידע רפואי על תלמידים בעלי מוגבלויות בפרט.
פריצה למאות מצלמות בגבול לבנון – כשההגנה הופכת לפגיעה בפרטיות
פריצה ליותר מ- 250 מצלמות אבטחה בישראל בשנתיים האחרונות פורסמה בתחקיר של ה"וול סטריט ג'ורנל", כאשר חלקן הוצבו בקרבת מתקנים אסטרטגיים, צירי תנועה ואזורים שבהם פועלים כוחות הביטחון. צויין כי אחד המקרים התגלה בלול תרנגולות בצפון הארץ, כאשר בעל העסק הבחין ששפת הממשק באפליקציית המצלמה השתנתה לערבית.
במקרה אחד, מצלמה שהותקנה בלול תרנגולות בצפון הארץ נפרצה, והייתה עלולה לחשוף תנועת כוחות ביטחון סמוך לגבול לבנון. בעל הלול חשד בפריצה לאחר ששפת הממשק באפליקציה השתנתה לערבית, ופנה למערך הסייבר הלאומי, שפעל להפסקת החשיפה. לפי המערך, אין שיוך ודאי של הפריצה לגורם מסוים, אך קיימות אינדיקציות למעורבות של אחד מאויבי ישראל.
מקרה זה ממחיש לנו כי מצלמות שנועדו להגן עלינו, עלולות להפוך דווקא לנקודות תורפה ולחשוף לא רק מידע אישי אלא גם מידע בטחוני. צמצום הסיכון כולל החלפת סיסמת ברירת מחדל בסיסמה חזקה ומורכבת, הפעלת אימות דו שלבי, הקפדה על עדכוני תוכנה והגבלת הגישה רק למי שבאמת צריך ומורשה לכך, ובחינה חוזרת מה בדיוק המצלמה מצלמת על מנת שלא לחשוף מידע מיותר.
הגנת הפרטיות - בעולם
פריצת ענק בדנמרק: כך סיסמה של שש ספרות חשפה 8.8 מיליון רשומות אוכלוסין
בספטמבר התרחש אירוע אבטחה מהחמורים ביותר בדנמרק, כאשר מידע אישי של כ-8.8 מיליון אזרחים ותושבים נחשף בפני גורם בלתי מורשה.
על פי הדיווחים, האירוע לא נבע מחדירה ישירה למערכות המרשם הממשלתי, אלא ברשלנות אבטחתית חמורה בחברה פרטית המספקת שירותי טכנולוגיית מידע. לחברה זו הייתה הרשאה חוקית לגשת למרשם האוכלוסין הלאומי לצורך אימות נתונים. התוקף ניצל פרטי התחברות של חשבונות בחברה באמצעות שמות משתמש של עובדים שהוגנו בסיסמה הפשוטה והחלשה ביותר, והיא 123456.
לאחר שהשיג התוקף גישה ראשונית, השתמש התוקף בקוד אוטומטי מבוסס AI והריץ כ- 14 מיליון חיפושים אוטומטיים במאגר במשך עשרה ימים רצופים, מבלי שהמערכות זיהו או חסמו את העומס החריג. הנתונים שנחשפו כוללים מספרים מזהים לאומיים ופרטים אישיים של מיליוני בני אדם.
האירוע עורר סערה ציבורית וביקורת נוקבת בדנמרק ובעולם על העדר בקרת איכות, מנגנוני אימות זהות רב-שלביים וניטור פעילות חריגה אצל חברות צד שלישי שקיבלו גישה למאגרי מידע מדינתיים רגישים.
קנס למטא בסך 25 מיליארד דולר, כחלק מתביעת פרטיות על פרשה מלפני כעשור
מטא תשלם קנס בסך 25 מיליארד דולר בגין הטעיית אזרחים והפרת פרטיות. כך קבע בית המשפט בניו מקסיקו בהליך המתנהל סביב פרשת קיימברידג' אנליטיקה - חברת ייעוץ פוליטית.
הפרשה פרצה בשנת 2018 סביב אירועי דלף המידע בשנים 2014-2013, בהם קיימברידג' אנליטיקה השתמשה בפרטים של כ-87 מיליון משתמשי מטא לצורך הצגת פרסומות לקמפיינים פוליטיים. במסגרת ההליך קבע חבר המושבעים, כי מטא הפרה את חוק הגנת הצרכן במדינה יותר מ- 43 מיליון פעמים. עוד נקבע, כי מתוך 29 הצהרות של הנהלת מטא, 26 הצהרות נמצאו מטעות - בייחוד בנושאי גישה למידע, שיח שטנה ופילטור מידע מוטעה.
החוק בניו מקסיקו קובע, כי על כל הפרה בודדת, ניתן להטיל קנס של עד 5,000 דולר. ניו מקסיקו דרשה מבית המשפט להטיל את הרף המקסימלי עבור כל אחת מ-43 מיליון ההפרות, בסך מסתכם של כ- 40 מיליארד דולר. מטא דרשה להגביל את הקנס ל- 3.45 מיליארד דולר, כינתה את הדרישה "אסטרונומית", וטענה שלא הוכח שצרכן כלשהו הוטעה.
וביום 21 באוקטובר 2026, קבע בית המשפט בניו מקסיקו, כי מטא תשלם 25 מיליארד דולר לניו מקסיקו, וזאת לאחר שבתחילה קבע קנס בסך 219.5 מיליארד דולר, אך הוא הופחת. הקנס הוטל כשברקע הדברים מטא כבר שילמה בעבר מיליארדי דולרים בהסדרים דומים. מטא מצידה הודיעה, כי בכוונתה לערער על הקנס שנפסק.
גוגל אירלנד נקנסה במאות מיליוני יורו עקב שימוש פסול בנתוני מיקום
נציבות הגנת המידע באירלנד פתחה בחקירה עצמאית נגד גוגל, בעקבות תלונות מארגוני זכויות צרכנים באירופה. החקירה התמקדה באופן בו גוגל אוספת ומעבדת נתוני מיקום של משתמשים בתקופה שבין מאי 2018 לפברואר 2020.
החקירה העלתה, כי גוגל הפרה מספר היבטים קריטיים מתקנות ה- GDPR. כך קבעה הנציבות, כי גוגל לא פעלה בשקיפות, הסתירה מנגנוני מעקב ממשתמשיה, ולא סיפקה בסיס חוקי תקף לאיסוף הנתונים. כתוצאה מכך, משתמשים רבים לא היו מודעים לכך שנתוני המיקום האישיים שלהם נאספים ונשמרים לפרקי זמן ממושכים מהנדרש כדי להתאים להם פרסומות ולהסיק מסקנות על תחומי העניין שלהם.
לבסוף החליטה הנציבות להטיל על גוגל קנסות מנהליים בסך כולל של 403 מיליון יורו. נוסף על כך, הרשות הוציאה צו המחייב את גוגל לתקן את הפרותיה ולהביא את כל תהליכי עיבוד נתוני המיקום שלה לתאימות מלאה מול דרישות ה- GDPR בתוך שישה חודשים.