מידע על ילדים: מה מוסד חייב לדעת על אבטחת מידע ופרטיות

הערה לפני הכול

בישראל חלה חקיקה בתחום הגנת הפרטיות, ולצדה תקנות שעוסקות באבטחת מידע במאגרי מידע. החובות הקונקרטיות תלויות בסוג המידע, בהיקפו, במספר האנשים שיש להם גישה אליו ובאופי הפעילות, וההחלה שלהן על מוסד מסוים אינה דבר שאפשר להסיק ממאמר. הטקסט הזה עוסק בפרקטיקה, כלומר במה שאפשר לעשות בפועל כדי להקטין חשיפה, ואינו מהווה ייעוץ משפטי.

מסקנה פרקטית אחת כדאי לאמץ כבר עכשיו: אם אתם מחזיקים מידע רפואי על קטינים, כדאי שתבינו אילו חובות חלות עליכם, ולשם כך שווה ייעוץ חד-פעמי. זו הוצאה קטנה יחסית לעלות של טעות.

איזה מידע בכלל יש לכם

הצעד הראשון הוא רשימה ולא פעולה טכנית, וכמעט אף מוסד לא עשה אותו. כתבו על דף אחד אילו סוגי מידע אתם מחזיקים. הרשימה תהיה ארוכה מהצפוי, וזו בדיוק הנקודה.

• פרטי זיהוי של הילד: שם, תאריך לידה, לעתים מספר זהות.
• פרטי המשפחה: שמות, טלפונים, כתובות מייל, לעתים כתובת מגורים ומקום עבודה.
• מידע רפואי: אלרגיות, מצבים כרוניים, תרופות, אישורים רפואיים. זו הקטגוריה הרגישה ביותר שיש לכם, בפער.
• מידע התפתחותי או חינוכי: הערכות, אבחונים, דוחות שנמסרו על ידי ההורים או על ידי גורם מקצועי.
• מידע משפטי-משפחתי: הסדרי משמורת, צווים, מגבלות קשר. רגיש קיצונית, ולעתים קרובות נמסר בעל פה ונרשם באיזשהו מקום זמני.
• מידע כספי: היסטוריית תשלומים, חובות, הסדרים, הנחות שניתנו מטעמי מצוקה.
• תיעוד אירועים: פציעות, אירועי התנהגות, תלונות. מידע שנוצר אצלכם ולא נמסר לכם, ולעתים קרובות נשכח בגלל זה.

איפה המידע יושב היום

אחרי הרשימה מגיעה השאלה הלא נוחה: איפה כל אחד מהפריטים האלה נמצא כרגע. במוסד טיפוסי התשובה מפוזרת על פני שישה מקומות לפחות, ורק שניים מהם מוכרים להנהלה.

המקומות הנפוצים הם קלסר במשרד, גיליון בענן שנפתח פעם לצורך מסוים, קבוצת הודעות של הצוות, הטלפון האישי של הגננת, מייל של ההנהלה, ופתקים. הבדיקה הפשוטה שחושפת את התמונה: קחו ילד אחד ושאלו כמה עותקים של המידע הרפואי שלו קיימים ואיפה. במוסדות רבים התשובה היא ארבעה, ואחד מהם נמצא במכשיר של אדם שכבר לא עובד אצלכם.

המסקנה המעשית היא לצמצם למקורות ספורים ומוגדרים ולסמן מהו המקור הרשמי, במקום לאסור. עותק שאיש לא יודע שהוא עותק הוא מקור המידע השגוי הבא.

מזעור: לא לאסוף מה שלא צריך

האמצעי היעיל ביותר להגן על מידע הוא לא להחזיק אותו. זה נשמע כמו התחמקות, ובפועל זו ההחלטה שמצמצמת חשיפה יותר מכל צעד טכני.

עברו על טופס ההרשמה שדה-שדה ושאלו לכל אחד: לאיזה שימוש קונקרטי הוא נדרש, מי ישתמש בו בפועל, ומה יקרה אם לא יהיה לנו. שדה שאין לו תשובה על שלוש השאלות נמחק. מספר תעודת זהות הוא הדוגמה השכיחה: הוא נאסף כמעט תמיד, נדרש בפועל להסכם או לדיווח, וכמעט אף פעם לא בשלב הטופס הפתוח.

אותו היגיון חל על מסמכים. צילום של אישור רפואי או של תעודה נשמר לעתים קרובות "ליתר ביטחון" אחרי שכבר הוזן מה שנדרש ממנו. עותק שלא נדרש הוא חשיפה בלי תמורה.

הרשאות: מי רואה מה

העיקרון הוא פשוט לניסוח וקשה ליישום: כל אדם רואה את המידע שדרוש לו לתפקידו, ולא את השאר. במוסד קטן זה מתנגש עם תרבות של אמון הדדי, ולכן שווה להסביר את ההיגיון. המטרה היא לצמצם נזק, וככל שפחות אנשים רואים מידע, כך פחות מקומות שממנו הוא יכול לדלוף בטעות.

• גננת זקוקה למידע הרפואי והבטיחותי של הילדים בקבוצה שלה, ולפרטי הקשר שלהם. היא אינה זקוקה למידע הכספי של המשפחה ולא לנתונים של קבוצות אחרות.
• הנהלה זקוקה לתמונה מלאה, ולכן דווקא אצלה חשוב שהגישה תהיה אישית ולא משותפת.
• איש צוות מחליף או זמני זקוק למינימום ולתקופה מוגדרת. גישה שניתנה לשבוע ולא נשללה היא הפרצה הנפוצה ביותר במוסדות קטנים.
• הורה רואה את המידע על ילדו בלבד. זה נשמע מובן מאליו עד שמסתכלים על קבוצת ההודעות המשותפת, שבה כל הורה רואה את מספרי הטלפון של כל השאר.
• מידע משפטי-משפחתי נמסר רק למי שנדרש לפעול לפיו, ובמידה הנדרשת לפעולה. זהו מידע שדליפה שלו עלולה לפגוע ישירות בילד.

החשבון הוא אישי

חשבון משותף מבטל את כל מה שנכתב בסעיף הקודם. אם ארבעה אנשי צוות נכנסים באותם פרטים, אין הרשאות, אין דרך לדעת מי עשה מה, ואי אפשר לשלול גישה מאדם אחד בלי לשנות סיסמה לכולם, ולכן לא משנים אותה אף פעם.

שלושה כללים בסיסיים משנים כאן יותר מכל מוצר אבטחה. חשבון אישי לכל אדם. סיסמה שאינה משמשת גם במקום אחר, ורצוי שתנוהל במנהל סיסמאות ולא בפתק. ושלילת גישה כחלק מנוהל סיום העסקה, באותו יום ולא בשבוע שאחריו. הפריט השלישי הוא זה שהכי מרבים לדלג עליו, והוא היחיד שבו מדובר בגישה של אדם שכבר אין לכם שום קשר איתו.

תמונות של ילדים

תמונות הן קטגוריה בפני עצמה, כי הן מרגישות כמו תיעוד חמוד ומתנהגות כמו מידע אישי מלא. שלוש שאלות שכדאי שתהיה עליהן תשובה כתובה: האם צילום מותר, מי רשאי לצלם ובאיזה מכשיר, ולאן התמונה מגיעה אחר כך.

הנקודה הקריטית היא ההבחנה בין שימוש פנימי לפרסום. הסכמה של הורה לכך שהצוות יצלם את היום אינה הסכמה לפרסום בעמוד השיווקי של המוסד, ובוודאי לא לתמונה קבוצתית שבה מופיעים ילדים של משפחות אחרות. אם אתם מפרסמים תמונות, ההסכמה צריכה להיות נפרדת ומפורשת, וגם ניתנת לביטול: הורה חוזר בו, והתמונה יורדת.

ודבר אחד פרקטי: תמונות בטלפון הפרטי של איש צוות הן ברירת המחדל בכל מוסד, והן גם נקודת החשיפה הפחות מנוהלת. כלל פשוט עדיף כאן על איסור גורף שאיש לא יקיים: צילום לצורכי המוסד נמחק מהמכשיר האישי אחרי שהועבר ליעדו.

שיתוף עם צד שלישי

ברגע שמידע יוצא מהמוסד, האחריות עליו לא יוצאת איתו. זה רלוונטי בשלושה הקשרים שקורים בכל מוסד.

• ספקי תוכנה: מערכת ניהול, גיליון בענן, שירות הודעות. שווה לדעת מי הספק, מה הוא שומר, איפה, ומה קורה למידע אם תפסיקו להשתמש בו. גם מיקום השרתים הוא שאלה שיש לה משמעות משפטית כשהוא מחוץ למדינה.
• גורמים מקצועיים: יועצת, מרפאה בעיסוק, פסיכולוגית. העברת מידע על ילד אליהם דורשת הסכמה של ההורה, וכדאי שההסכמה תהיה ספציפית למי ולאיזה מידע ולא כללית.
• רשויות. יש מצבים שבהם חלה חובת דיווח, והם קודמים לשיקולי פרטיות. חשוב שהצוות יידע שהם קיימים, ושהטיפול בהם נעשה לפי נוהל ובהתייעצות מקצועית ולא בהתלבטות פנימית.

הסכמה, וגרסה

הסכמה שנרשמה בלי הנוסח שעליו הסכימו כמעט חסרת ערך. אם מדיניות הפרטיות שלכם השתנתה מאז, אין דרך להראות על מה בדיוק חתמו. הפתרון פשוט: לכל מסמך מדיניות יש מספר גרסה, וכשהורה מאשר נשמרים מי אישר, מתי, ואיזו גרסה.

מכאן נובע גם שאין להעלות את מספר הגרסה בכל תיקון פסיק. גרסה חדשה נדרשת בשינוי מהותי בנוסח, וכשהיא עולה צריך להיות ברור מה קורה עם ההסכמות הקיימות. זו נקודה שכדאי לסגור עם עורך דין פעם אחת ולעבוד לפיה.

ויש נושא שנוטים לדחות: הסכמת הורים כשיש שני הורים, ובמיוחד כשיש הסדר משמורת. השאלה מי מוסמך לתת הסכמה ובאילו נסיבות אינה שאלה שכדאי להכריע לבד.

אירוע אבטחה: מה עושים

אירוע אבטחה אינו רק פריצה. ברוב המוסדות הוא ייראה כך: קובץ עם רשימת ילדים נשלח לכתובת שגויה, טלפון עם הודעות של ההורים נגנב, איש צוות לשעבר עדיין נמצא בקבוצה, או קישור לגיליון שהועבר הלאה. חשוב שהצוות ידע לזהות את זה כאירוע ולא כמבוכה שצריך להשתיק.

• לעצור את ההתפשטות מיד: לבטל קישור, לשלול גישה, להסיר מהקבוצה. הצעד הראשון הוא תמיד טכני ומיידי.
• לתעד: מה קרה, מתי התגלה, איזה מידע היה חשוף, ושל כמה אנשים. התיעוד נעשה באותו יום, כי הפרטים מיטשטשים תוך שבוע.
• להעריך את הפגיעה האפשרית לאנשים שהמידע עליהם נחשף. מידע רפואי או משפחתי מחייב התייחסות רצינית יותר מרשימת שמות.
• לבדוק מהן חובות הדיווח החלות עליכם. זו נקודה מובהקת לייעוץ משפטי, ולא לשיקול דעת פנימי.
• להחליט על יידוע ההורים המושפעים. גם כשאין חובה, יידוע יזום ומדויק כמעט תמיד עדיף על גילוי מאוחר בדרך אחרת.
• לתקן את מה שאפשר. אירוע שנסגר בלי שינוי אחד בנוהל יחזור, וכשיחזור לא תהיה לכם תשובה טובה.

שמירה ומחיקה

מידע נשמר לתקופה שיש לה סיבה, ולא לנצח כברירת מחדל. ילד שעזב לפני שש שנים אינו אמור להיות בגיליון פעיל, וודאי לא בקבוצת הודעות. מנגד, יש מסמכים שדווקא נכון לשמור לתקופה ארוכה, בהם תיעוד אירועים, הסכמים ורישומים כספיים. משך השמירה הנכון לכל סוג הוא שאלה משפטית וחשבונאית, לא שאלה של העדפה.

הפעולה המעשית היא לקבוע פעם בשנה תאריך שבו עוברים על מה שנצבר: לארכב את מה שצריך להישמר במקום מוגן ומוגבל בגישה, ולמחוק את מה שאין לו סיבה. במיוחד שווה לעבור על עותקי עבודה, כלומר גיליונות זמניים, קבצים שהורדו, ורשימות שהוכנו לצורך שכבר הסתיים.

בדיקה רבעונית של עשרים דקות

רשימה קצרה שעוברים עליה ארבע פעמים בשנה מספיקה, ואין צורך בתוכנית אבטחה מלאה. כל פריט ברשימה הבאה מתגלה לפחות פעם אחת כלא בסדר.

• למי יש גישה למידע היום, והאם כל אחד מהם עדיין צריך אותה.
• האם יש מישהו ברשימה שכבר לא עובד כאן, או בקבוצת הודעות של הצוות.
• אילו קישורים לשיתוף פתוחים, ומי יכול להיכנס דרכם.
• האם המידע הרפואי עדכני, ואם הוא קיים בעותק אחד או בארבעה.
• האם נאסף בטופס שדה שאף אחד לא השתמש בו מאז.
• האם היה ברבעון האחרון אירוע שהיה צריך להיחשב אירוע אבטחה ולא נחשב.

ומה מכל זה דורש מערכת

החלק הגדול כאן הוא החלטות: מה אוספים, מי רואה, כמה זמן שומרים, ומה עושים כשמשהו קורה. אפשר לקיים אותן גם בלי תוכנה ייעודית, ומוסד ממושמע שעובד בגיליון עם גישה מוגבלת יהיה מוגן יותר ממוסד עם מערכת שכולם נכנסים אליה באותו חשבון. מה שמערכת כן משנה הוא שתי נקודות שקשה מאוד להחזיק ידנית: הפרדת גישה שנאכפת מעצמה, וביטול פיזור המידע לעותקים.

ב-EduKal לכל איש צוות יש חשבון אישי. ההזמנה נשלחת במייל, הכניסה אפשרית גם עם חשבון Google, וההרשאות נקבעות לפי תפקיד וקבוצה, כך שגננת רואה את הקבוצה שלה. הורה נכנס ורואה את המידע על ילדו בלבד ולא על ילדים אחרים, במקום קבוצת הודעות שחושפת את כולם לכולם. ההסכמה למדיניות הפרטיות ולתנאי השימוש נשמרת עם מספר הגרסה ומועד האישור, המידע הרפואי נאסף בטופס ההרשמה ומגיע לצוות שנמצא עם הילד, והודעות נשלחות עם סימון קריאה במקום להיבלע בשרשור. הכול עובד בעברית מהטלפון.

ועדיין, הדבר היחיד שאי אפשר לקנות הוא ההחלטה מה לא לאסוף. היא נשארת אצלכם, והיא זו שמקטינה את החשיפה יותר מכל השאר.