הרשות להגנת הפרטיות קובעת כי חברת לולהטק הפרה את הוראות חוק הגנת הפרטיות

בהליך פיקוח שביצעה הרשות התגלו ליקויים בהתנהלות החברה שהובילו להתרחשותו של אירוע אבטחה, במסגרתו פרצת אבטחה אפשרה גישה למידע של לקוחותיה. חברת לולהטק מחזיקה במאגרי מידע של רשויות מקומיות
הרשות הטילה על החברה קנס ע"ס 25,000 ₪ ונתנה לה שורת הנחיות לתיקון הליקויים שנתגלו במסגרת הליך פיקוח

הרשות להגנת הפרטיות ביצעה הליך פיקוח בחברת לולהטק זאת בהמשך למידע שהועבר אליה ואשר פורסם באמצעי התקשורת על אודות אירוע אבטחה במסגרתו התרחשה פרצת אבטחה שארעה בחברה בחודש ספטמבר 2019.

חברת לולהטק מחזיקה במאגרי מידע של רשויות מקומיות ובמסגרת כך מספקת להן שירותי פיתוח מערכות לבקרה ושליטה לניהול צוותי עבודה, פקחים, מערכות תווי חניה וכדומה. כתוצאה מפרצת האבטחה ניתנה אפשרות גישה למידע אישי של לקוחות החברה שכלל פרטים רבים ובהם שמות פרטיים ומשפחה, כתובת מגורים, מספרי וצילומי תעודות זהות, פרטי בני זוג, בעלות על רכב, תאריכי רישוי, תווי חניה ועוד.

במסגרת אירוע האבטחה, בעת הקלדת רצף תווים בהמשך לכתובת האתר, ניתן היה לגשת לפרטי מידע אודות תושבים במספר רשויות מקומיות, ללא הרשאה. פרטים אלו היו של משתמשים במערכות החברה. הגישה לפרטי המידע התאפשרה בעקבות יכולת גישה למבנה ה-URL באתר, באמצעות קוד המקור של העמוד.

ממצאי הפיקוח שביצעה הרשות העלו כי חברת לולהטק לא הפעילה אמצעי הגנה מתאימים, לא נקטה במנגנון אמצעי זיהוי רב-שלבי בעת אירוע האבטחה ולא נקטה בהליך פיתוח מאובטח של האפליקציה, כפי שנדרש בהתאם בתקנות הגנת הפרטיות (אבטחת מידע).

בנוסף, על פי הצהרותיה, חברת לולהטק משמשת כמחזיקה במאגרי מידע של למעלה מ-60 בעלי מאגרי מידע שונים. בהתאם לכך, עומדות לה חובות מוגברות לפי חוק הגנת הפרטיות ובפרט הבטחת הרשאה למורשי גישה, ודיווח שנתי לרשות להגנת הפרטיות אודות רשימת המאגרים שבאחזקתה.

הרשות להגנת הפרטיות קבעה כי החברה הפרה את החובה הכללית המוטלת עליה לאבטחת המידע והטילה על החברה קנס על סך 25,000 ₪. בנוסף, הרשות דרשה מהחברה לבצע שורה של פעולות מתקנות ובהן התאמת רמת אבטחת המידע לדרישות הקבועות בחוק ובתקנות, ביצוע סקר סיכונים במערכותיה ועריכת מבדקי חוסן לתשתיות טרם העלאת שירות או אפליקציה לאוויר.

כמו כן, הרשות דרשה מחברת לולהטק לדווח על התיקונים שביצעה לשם עמידה בחובותיה על פי חוק הגנת הפרטיות ותקנות הגנת הפרטיות (אבטחת מידע), ובכלל זאת, נדרשה החברה לדווח לבעלי מאגרי המידע השונים שבהחזקתה אודות ביצוע חובותיה לפי התקנות. חברת לולהטק עדכנה את הרשות כי הקנס שהוטל עליה שולם, היא ביצעה את הפעולות המתקנות שהתבקשו ואף עדכנה את לקוחותיה בממצאי התחקיר של האירוע.