ת"ק 64360-08-24

תקציר

להלן ניתוח משפטי מקיף של פסק הדין, תוך התמקדות בעקרונות משפטיים וחידושים, בהתבסס אך ורק על המידע שסופק: **ניתוח משפטי – ת"ק 64360-08-24 דושניצקי נ' משרד האוצר/המשרד הראשי** **מבוא:** פסק דין זה, שניתן בבית משפט לתביעות קטנות, עוסק בתביעתה של גמלאית משרד הבריאות, רונית דושניצקי, נגד משרד האוצר, בטענה לפגיעה בפרטיותה עקב פרצת אבטחת מידע במערכת המידע של הנתבעת. התובעת טענה כי כל אדם המחזיק במספר תעודת הזהות שלה ובארבע הספרות האחרונות של חשבון הבנק שלה, יכול היה לקבל גישה למידע אישי אודות קצבת הפנסיה שלה ולבצע פעולות נוספות. הנתבעת, מנגד, טענה כי פעלה כדין, בהתאם להנחיות אבטחת מידע מחמירות, וכי המערכת שפיתחה נועדה להקל על גמלאים תוך שמירה על פרטיותם. **עקרונות משפטיים מרכזיים:** 1. **חוק הגנת הפרטיות, התשמ"א-1981:** * **פגיעה בפרטיות:** עילת התביעה העיקרית מתבססת על טענה לפגיעה בפרטיות, כהגדרתה בחוק. סעיף 2 לחוק מגדיר "פגיעה בפרטיות" בין היתר כ"שימוש בידיעה אודות ענייניו הפרטיים של אדם, שנודע בדרך כלל משיחה פרטית או הקלטת שיחה, שבה נמסר שיחה פרטית, או כאמור בהוראות סעיף 10, או על ידי שימוש בתמונה או בקול של אדם, או שמו ותכנו, באופן המגלה את זהותו, ושבדרך כלל אין לייחס לפרסומו הסכמה. (1) שימוש בידיעה אודות ענייניו הפרטיים של אדם, כהגדרתה בסעיף 4 לחוק זה; (2) שימוש בידע שאין על אדם אלא לפרסמו, בשם שאינו בשמו.". * **חובת זהירות:** החוק מטיל חובות על גופים המחזיקים במידע אישי לנקוט באמצעי אבטחה סבירים למניעת דלף מידע. * **הגנה על פעולה בתום לב:** סעיף 19 לחוק הגנת הפרטיות קובע כי "לא יישא אדם באחריות בנזיקים על פגיעה בפרטיות אם פעל כאמור בסעיף 61(ג) לחוק העונשין, התשל"ז–1977, או אם פעל בדרך סבירה, ללא כוונת תרמית או זדון, תוך מילוי תפקידו או סביב מילוי תפקידו". טענת הנתבעת כי פעלה במסגרת תפקידה באופן סביר נשענת על סעיף זה. 2. **חוק הנזיקים האזרחיים, התשי"ב-1952 ופקודת הנזיקין [נוסח חדש]:** * **היעדר אחריות בנזיקים על מעשה שנעשה ברשות חוקית:** סעיף 3 לחוק הנזיקים האזרחיים וסעיף 6 לפקודת הנזיקין קובעים כי "לא תשמש הרישאה חוקית הגנה בתובענה בנזיקין על מעשה שנעשה שלא כדין, אלא אם כן נעשה המעשה בתחום הרישאה, ובתום לב". הנתבעת טענה כי פעלה בתום לב ובהתאם להרשאתה החוקית. * **נטל ההוכחה:** בהליך אזרחי, נטל ההוכחה מוטל על התובע להוכיח את עילת תביעתו, לרבות נזק שנגרם לו. 3. **סעיף 15(ב) לתקנות שיפוט בתביעות קטנות, תשל"ז-1976:** * **נימוק תמציתי:** קובע כי פסק הדין ינומק באופן תמציתי, כפי שנעשה בפסק הדין הנדון. **ניתוח פסיקתי והשלכותיו:** 1. **הכרעה בנוגע לנזק:** * **דרישת הוכחת נזק:** בית המשפט קבע כי על התובעת להוכיח שנגרם לה נזק. גם אם קיימת טענה כי אין חובת הוכחת נזק *במובן של גובה הנזק* בהיבט של פגיעה בפרטיות, עדיין נדרש להצביע על *קיומו* של נזק. * **"תביעה תאורתית ומוקדמת":** בית המשפט הגדיר את התביעה כתאורתית ומוקדמת, שכן לא הוכח כי נגרם לתובעת נזק בפועל. העובדה שהתובעת ערכה בדיקות בעצמה, ובן זוגה ואחיה הצליחו לקבל מידע, לא הוכחה כפרצת אבטחה שאיפשרה *לגורם בלתי מורשה* גישה בלתי מורשית. * **הבחנה בין בדיקה להרשאה:** בית המשפט הבחין בין בדיקה עצמית של המערכת (שנעשתה, לדוגמה, באמצעות קבלת המידע מהטלפון הנייד של התובעת עצמה) לבין גישה בלתי מורשית של גורם חיצוני. 2. **בחינת רמת האבטחה:** * **עמידה בדרישות החוק:** עד מטעם הנתבעת, מנהל ביטחון טכנולוגיית סייבר, העיד כי רמת אבטחת המידע *לפני השינוי* עמדה בדרישות החוק. השוואתו לחברות אשראי (הדורשות מספר ת.ז. ו-4 ספרות אחרונות של כרטיס אשראי) מדגישה את הסטנדרט המקובל בתחום. * **מטרת הפשטות:** בית המשפט קיבל את טענת הנתבעת כי המטרה הייתה ליצור מנגנון פשוט לשימוש הגמלאים, תוך איזון עם הצורך באבטחה. * **פעולות הנתבעת:** בית המשפט התייחס לעובדה כי הנתבעת פעלה וביצעה פיתוח מערכת חדשה בעקבות פניית התובעת, והדגיש כי נעשה מאמץ למצוא פתרון ספציפי עבורה. 3. **פרשנות סעיף 19 לחוק הגנת הפרטיות:** * הנתבעת טענה כי גם אם הייתה פגיעה, היא חוסה תחת הגנת סעיף 19 לחוק הגנת הפרטיות, שכן פעלה באופן סביר במסגרת תפקידה. בית המשפט, בדחותו את התביעה, למעשה אימץ גישה זו, לפיה פעולותיה של הנתבעת היו בגדר הסביר ולשם מילוי תפקידה. **חידושים משפטיים ונקודות חשובות:** * **הדין החל על תביעות קטנות:** פסק הדין ממחיש את אופן יישומו של סעיף 15(ב) לתקנות שיפוט בתביעות קטנות, המחייב נימוק תמציתי. * **נטל ההוכחה בנזק:** פסק הדין מדגיש את חובת התובע להוכיח לא רק את קיום הפגיעה, אלא גם את הנזק שנגרם לו, גם אם אין דרישה להוכיח את גובה הנזק במקרים מסוימים (כמו בתביעת פרטיות). * **איזון בין נגישות לאבטחה:** פסק הדין נוגע בסוגיה רגישה של איזון בין הצורך לספק שירות נגיש וידידותי למשתמש (במיוחד לאוכלוסיות מבוגרות) לבין הצורך להבטיח אבטחת מידע גבוהה. בית המשפט קיבל את הטענה שהפשטות הייתה מטרה, אך גם ציין את השינויים שבוצעו כדי לחזק את האבטחה. * **הוכחת "פירצת אבטחה":** בית המשפט דחה את התביעה משום שלא הוכח שהייתה *פירצת אבטחה* שאיפשרה גישה לגורם *בלתי מורשה*. בדיקות עצמיות, גם אם הראו אפשרות לקבלת מידע, לא הוכחו ככאלו המעידות על חולשה מערכתית המאפשרת גישה זדונית. **סיכום:** בית המשפט לתביעות קטנות דחה את תביעתה של התובעת, רונית דושניצקי, נגד משרד האוצר, בנימוק שלא הוכח כי נגרם לתובעת נזק בפועל כתוצאה מפרצת אבטחה. בית המשפט קבע כי הנתבעת פעלה במסגרת תפקידה, בהתאם להנחיות אבטחת מידע, וכי המערכת, גם אם לא הייתה מושלמת מלכתחילה, עמדה בדרישות החוק בזמן הרלוונטי, וכי הצעדים שננקטו בעקבות פניית התובעת הוכיחו את מחויבותה של הנתבעת לשיפור האבטחה. פסק הדין מדגיש את חשיבות הוכחת הנזק כתנאי הכרחי לזכייה בתביעה, גם בתביעות הנוגעות לפגיעה בפרטיות.