הרשות להגנת הפרטיות לבנקים: "אירוע אבטחה חמור מחייב דיווח"

ראש הרשות להגנת הפרטיות, עו"ד גלעד סממה, פנה באחרונה למנכ"לי הבנקים והדגיש בפניהם את חובת הדיווח של הבנקים לרשות בכל מקרה של אירוע אבטחת מידע חמור.

פנייתו של ראש הרשות נעשתה בעקבות תלונות שהתקבלו על אירוע אבטחה במוסד בנקאי גדול, במסגרתו מידע אישי על לקוחות הבנק נחשף בתיבת דוא"ל הגלויה לכל הלקוחות שפנו לבנק, ועל סמך מספר אירועים שהתרחשו לאחרונה בבנקים, אשר לא קיימו את חובת הדיווח בעת אירוע אבטחת מידע חמור, ובמסגרתם התגלה ונחשף מידע אישי רגיש על לקוחות הבנקים לגורמים בלתי מורשים.

חובת הבנקים לדווח לה על הפרות מידע חמורות. הרשות להגנת פרטיות.

יצוין כי על רקע חשיבותם של המוסדות הבנקאיים ומרכזיותם במארג הסקטור הפיננסי בישראל, ולנוכח סוג ומהות המידע האישי הנאסף על ידם במהלך פעילותם העסקית, חלה על מאגרי המידע המנוהלים על ידם רמת אבטחת המידע הגבוהה ביותר על פי התקנות.

כמו כן, הרשות המליצה לבנקים לרענן את הנחיות אבטחת המידע, להדגיש את חובת הדיווח המיידית לרשות על כל אירוע אבטחת מידע חמור, וכן ליישם תהליכי הפקת לקחים, במטרה למנוע הישנות של אירועי אבטחת מידע, במיוחד כאלה שמקורם בכשל אנושי או טכנולוגי.

הרשות הדגישה כי אי עמידה בחובת הדיווח על התרחשות אירוע אבטחת מידע חמור היא הפרה של התקנות, וכי לא תהסס לנקוט בהליכי אכיפה בגין הפרה זו.