הדליפה ממשרד החינוך: 5 לקחים לכל עסק שמחזיק מידע רגיש
ב-8 באוקטובר 2026 פרסמה הרשות להגנת הפרטיות את מסקנותיה: משרד החינוך הפר את חוק הגנת הפרטיות ואת תקנות אבטחת המידע. מידע על כ-21,000 תלמידי חינוך מיוחד במחוז החרדי הגיע לאזרחים ולגורמים לא מורשים. המידע כלל פרטים מזהים, כתובות, מוסדות לימוד, השתייכות דתית ופירוט רפואי של המוגבלות של כל ילד.
הרשות סיווגה את המקרה כ"אירוע אבטחה חמור". אבל מה שבאמת מעניין כאן הוא איך זה קרה, כי זה יכול לקרות כמעט בכל ארגון.
איך זה קרה: לא פריצה, קישור
במאי 2024 עובדות במשרד רצו לייעל את שיבוץ התלמידים, ובנו טופס דיגיטלי. לשם כך הוציאו נתונים מהמערכת לקובץ, וחיברו אליו את הטופס.
לפי ממצאי הרשות, גם הטופס וגם הקובץ היו פתוחים לכל מי שמחזיק בקישור. לא הייתה סיסמה, אפשר היה לצפות ולהוריד, והקישור עצמו ניתן להעברה. הוא נשלח לצוותים במוסדות החינוך, גם לכתובות מייל פרטיות. בסוף המידע הסתובב ברשת.
משרד החינוך טען שמדובר בתקלה נקודתית בהרשאות של טופס אחד. הרשות לא קיבלה את זה, ומצאה כשלים בניהול ההרשאות, בתפעול המערכת ובאופן העברת המידע.
מה הרשות מצאה
- הרשאות: העובדת שהפיקה את הנתונים בפועל לא הופיעה ברשימת בעלי ההרשאות.
- הצפנה: המידע הועבר בקישור פתוח, בלי אמצעי הצפנה מקובלים.
- מסמכים: במועד הפיקוח לא היה למשרד מסמך הגדרות מאגר, ולא היה נוהל אבטחת מידע שעומד בדרישות.
- סקר סיכונים: לא בוצע בתקופה הנדרשת.
- רמת אבטחה גבוהה: המאגר מכיל מידע רגיש על יותר מ-100,000 נושאי מידע, ולכן חלה עליו רמת האבטחה הגבוהה בתקנות.
הרשות קבעה הפרה של סעיף 17 לחוק, שמטיל על בעל מאגר אחריות לאבטחתו, ושל שורה של תקנות אבטחת מידע.
"אבל יש לנו ISO 27001"
המשרד טען שהסמכת ISO/IEC 27001 פוטרת אותו מחלק מהוראות התקנות. הרשות דחתה את הטענה: הסמכה לתקן בינלאומי לא פוטרת כשלעצמה מהתקנות.
זה לקח שחשוב במיוחד לחברות טכנולוגיה. תקן הוא כלי טוב, אבל הוא לא מחליף את המסמכים והנהלים שהתקנות הישראליות דורשות במפורש.
למה אין קנס, ולמה זה לא אמור להרגיע אתכם
לפי הדיווחים, ההפרה התרחשה לפני שתיקון 13 לחוק נכנס לתוקף, ולכן נקבעה הפרה בלבד ולא הוטל עיצום כספי.
עסק פרטי שיעבור היום אירוע דומה כבר נמצא בעולם של תיקון 13, שבו לרשות יש סמכות להטיל עיצומים כספיים. ראינו את זה בעיצום של 256 אלף ₪ על קופ"ח מאוחדת. ההחלטה על משרד החינוך מראה בדיוק מה הרשות בודקת כשהיא מגיעה.
5 דברים לבדוק השבוע
- מי מורשה: האם רשימת בעלי ההרשאות לכל מאגר מעודכנת ותואמת את המציאות?
- קישורים פתוחים: אילו קבצים, טפסים ותיקיות משותפים "לכל מי שיש לו קישור"? (Google Drive, SharePoint, Forms)
- העברת מידע: האם מידע רגיש עובר מוצפן, ולא דרך מייל פרטי?
- מסמכים: האם יש מסמך הגדרות מאגר ונוהל אבטחת מידע עדכניים?
- סקר סיכונים: מתי בוצע לאחרונה, והאם הוא בתדירות שהתקנות דורשות?
לא בטוחים לגבי אחת מהשאלות? זה המקום להתחיל. בביקורת פרטיות אנחנו עוברים על המאגרים, ההרשאות והנהלים ומחזירים לכם רשימת צעדים, לא דוח למגירה. אפשר גם ללוות אתכם באופן שוטף כממונה הגנת פרטיות חיצוני (DPO כשירות).
מקורות: גלובס · ynet · mako · The Jerusalem Post
The Education Ministry Data Leak: 5 Lessons for Any Business Holding Sensitive Data
On 8 October 2026, Israel's Privacy Protection Authority found that the Ministry of Education violated the Privacy Protection Law and the Data Security Regulations. Data on roughly 21,000 special-education students in the Haredi district reached unauthorized people. It included identifying details, addresses, schools, religious affiliation, and medical details of each child's disability.
The Authority classified it as a "serious security incident". But what really matters is how it happened, because it could happen in almost any organization.
Not a Hack: a Link
In May 2024, ministry staff wanted to streamline student placement and built a digital form. They exported data from the ministry's system into a file and linked the form to it.
According to the Authority, both the form and the file were open to anyone with the link: no password, viewable and downloadable, and forwardable. The link was sent to school staff, including to private email accounts, and the data ended up circulating online.
The ministry called it an isolated permissions error in one form. The Authority disagreed, finding failures in access management, system operation and data transfer.
What the Authority Found
- Access: the employee who actually exported the data was not on the list of authorized users.
- Encryption: data was sent via an open link without accepted encryption.
- Documentation: at the time of the audit there was no database definitions document and no compliant security procedure.
- Risk assessment: not carried out within the required period.
- High security level: the database holds sensitive data on more than 100,000 data subjects, so the high security level applies.
The Authority found violations of Section 17 of the law, which makes the database owner responsible for its security, and of several data security regulations.
"But We're ISO 27001 Certified"
The ministry argued that its ISO/IEC 27001 certification exempted it from parts of the regulations. The Authority rejected this: an international certification does not, by itself, exempt anyone from the regulations.
This is an important lesson for tech companies. A standard is a good tool, but it does not replace the documents and procedures Israeli regulations explicitly require.
Why No Fine, and Why That Shouldn't Reassure You
According to reports, the violation predates Amendment 13, so the Authority found a violation but imposed no financial sanction.
A private business facing a similar incident today is already under Amendment 13, which allows the Authority to impose financial sanctions. We saw this in the NIS 256K sanction on Meuhedet HMO. The Education Ministry decision shows exactly what the Authority looks at when it comes knocking.
5 Things to Check This Week
- Who has access: is the list of authorized users for each database up to date?
- Open links: which files, forms and folders are shared with "anyone with the link"? (Google Drive, SharePoint, Forms)
- Data transfer: is sensitive data transferred encrypted, and never through personal email?
- Documents: do you have an up-to-date database definitions document and security procedure?
- Risk assessment: when was the last one, and is it as frequent as the regulations require?
Unsure about any of these? That's where to start. In a privacy audit we review your databases, permissions and procedures and hand you a list of concrete steps, not a report for the drawer. We can also support you on an ongoing basis as your external DPO-as-a-service.
Sources: גלובס · ynet · mako · The Jerusalem Post