הרשות להגנת הפרטיות הטילה עיצום כספי בסך 256 אלף שקל על חברת מנורה מבטחים ביטוח בע"מ בשל אי-דיווח מיידי על אירוע אבטחה חמור - כך עולה מהודעה שפרסמה הרשות. מדובר בפעם השלישית שבה הרשות להגנת פרטיות מפעילה את סמכויותיה ומטילה עיצומים כספיים לאחר כניסתו לתוקף של תיקון 13 לחוק הגנת הפרטיות.
● משרד החינוך הפר את החוק, ומידע רגיש על 21 אלף תלמידים דלף
● עיריית בית שמש נקנסה בעקבות חשיפת מידע אישי של 4,600 תושבים
● לראשונה: קנס לקופת חולים מאוחדת בעקבות תיקון 13 לחוק הגנת הפרטיות
במסגרת ההחלטה על הטלת עיצום, הרשות קבעה כי חברת מנורה מבטחים ביטוח בע"מ הפרה את חובת הדיווח המיידי על אירועי אבטחה חמורים, לאחר שדיווחה באיחור של למעלה משבועיים על אירוע שבו נחשף מידע אישי של מבוטחים לסוכן ביטוח שלא היה מורשה לעיין בו.
הרשות הבהירה כי אין להמתין להשלמת התחקור הפנימי או לזיהוי מקור הכשל לצורך דיווח על אירוע אבטחה חמור. בעקבות כך, הרשות הטילה עיצום כספי בסך 256 אלף שקל על החברה.
במסגרת הליך בירור מינהלי שניהלה הרשות, נמצא כי סוכן ביטוח קיבל בשגגה הרשאת גישה לדוח שכלל מידע אישי על אודות 138 מבוטחים המשויכים לסוכן ביטוח אחר. המידע נשלף ממאגר הלקוחות של החברה, המוגדר ברמת אבטחה גבוהה ומכיל מידע אישי על אודות כ-2 מיליון בני אדם, לרבות מידע בעל רגישות מיוחדת, כגון מידע פיננסי, נתוני שכר ומידע רפואי. הדוח שנחשף כלל, בין היתר, פרטי זיהוי של מבוטחים, מצב משפחתי, פרטי מעסיקים, נתוני שכר, פרטי פוליסות ביטוח, תשלומים וחובות.
אף שהאירוע נודע לחברה כבר ביום 12 בנובמבר 2025, הדיווח לרשות הועבר רק ביום 27 בנובמבר 2025, לאחר שהחברה השלימה את בדיקותיה הפנימיות. בכך, קבעה הרשות, מנורה מבטחים הפרה את חובתה לדווח באופן מיידי על אירוע אבטחה חמור.
ממנורה מבטחים נמסר: "מדובר באירוע נקודתי במערכת פנימית המשמשת את סוכני הקבוצה, אשר נגע למספר מצומצם ביותר של מבוטחים, וטופל באופן מיידי ויסודי. העיצום הכספי הוטל אך ורק בגין מועד הדיווח, שנבע מהצורך לבצע בדיקה מעמיקה, ולא על מהות המקרה עצמו. מנורה מבטחים מחויבת באופן בלתי מתפשר להוראות הדין ולהגנה על פרטיות לקוחותיה".
מנורה: חיכינו עד להשלמת הבדיקה הפנימית
במסגרת ההליך טענה מנורה מבטחים, בין היתר, כי חובת הדיווח מתגבשת רק לאחר השלמת הבדיקות הפנימיות ובירור מקור הכשל הטכנולוגי שהוביל לאירוע, תוך אימות שמקור הכשל הוא במערכות החברה.
הרשות דחתה עמדה זו והבהירה כי חובת הדיווח המיידי נועדה לאפשר לרשות להפעיל את סמכויות הפיקוח והבקרה שלה בסמוך ככל האפשר למועד גילוי האירוע, גם כאשר מלוא נסיבותיו והיקפו טרם התבררו.
בהחלטתה הדגישה הרשות כי אין להמתין להשלמת התחקור הפנימי כתנאי למסירת הדיווח. מטבע הדברים, דיווח ראשוני עשוי להתבסס על תמונת מצב חלקית, וניתן להשלים בהמשך פרטים נוספים, ככל שנדרש. פרשנות שלפיה ניתן לעכב את הדיווח עד להשלמת כלל הבדיקות הפנימיות, אינה מתיישבת עם דרישת המיידיות הקבועה בתקנות ועלולה לסכל את תכליתה. הפרדה טכנולוגית אינה משנה כשלעצמה את רמת האבטחה של מאגר המידע.
טענה נוספת שהעלתה החברה הייתה כי המידע שנחשף הועבר לתת-מערכת מבודדת, הכוללת היקף מצומצם של מידע, ועל כן יש לראות בה מאגר מידע נפרד ברמת אבטחה בסיסית, שאירוע אבטחה בו אינו מחייב דיווח מיידי לרשות.
גם טענה זו נדחתה. הרשות קבעה כי עצם שליפת המידע ממאגר הלקוחות והצגתו באמצעות מערכת טכנולוגית נפרדת אינן מנתקות, כשלעצמן, את מקור המידע שהוצא ממאגר המוגדר ברמת אבטחה גבוהה.
הרשות הבהירה כי לא ניתן להפחית את רמת האבטחה החלה על מאגר מידע רק בשל אופן העברתו, עיבודו או הצגתו של מידע שנשלף ממנו. בחינת רמת האבטחה וחובת הדיווח הנגזרת ממנה נעשית בהתאם למאפייני מאגר המידע ולנסיבות האירוע, ולא על בסיס ההפרדה הטכנולוגית בלבד.
סכום הקנס הופחת
יש לציין כי אין זה הסכום הגבוה ביותר שניתן היה להטיל בגין האירוע. הסכום הראשוני עמד על 640 אלף שקל, ובשים לב לכך שמדובר במאגר מידע ברמת אבטחה גבוהה הכולל מידע על יותר ממיליון בני אדם, הסכום הופחת בהמשך בשיעור מצטבר של 60%, בהתחשב בנסיבות הבאות:
20% הפחתה בגין היעדר הפרות קודמות בחמש השנים האחרונות; 30% הפחתה בגין דיווח יזום של החברה לרשות (הפסקת ההפרה); 10% הפחתה בגין מינוי ממונה על הגנת הפרטיות כדין.
עוד נזכיר כי ביולי האחרון הרשות להגנת פרטיות הטילה עיצום כספי בסך 256 אלף שקל על קופת חולים מאוחדת בגין הפרת החוק להגנת פרטיות, וזאת לראשונה מאז נכנס לתוקף תיקון 13 המאפשר לרשות להטיל עיצומים כספיים.
בנוסף, הרשות להגנת הפרטיות הטילה בספטמבר עיצום בסך 64 אלף שקל על עיריית בית שמש, לאחר שמידע אישי מתחום הרווחה היה נגיש דרך אתר העירייה, בעקבות תקלה במערכת שהופעלה באמצעות ספק חיצוני.
בהמשך, לפני שבועיים הרשות להגנת פרטיות הודיעה כי משרד החינוך הפר את חוק הגנת הפרטיות, לאחר שמידע רגיש על כ-21 אלף תלמידי חינוך מיוחד דלף, מדובר בהפרה שהתרחשה לפני שנכנס לתוקף תיקון 13 לחוק הגנת הפרטיות, המאפשר קביעת עיצומים כספיים, ולכן לא הוטל עיצום או קנס, ורק נקבעה הפרה.
"בירור פנימי לא מצדיק עיכוב בדיווח"
עו"ד עדי מנחם-באר, מנהלת מערך האכיפה ברשות להגנת הפרטיות מסרה: "תקנות הגנת הפרטיות (אבטחת מידע) קובעות חובה מפורשת לדווח לרשות באופן מיידי על אירוע אבטחה חמור. חובה זו קמה עם היוודע דבר התרחשותו של אירוע העונה להגדרה הקבועה בתקנות, ואינה מותנית בהשלמת תחקור פנימי, בזיהוי מקור הכשל או במיצוי פעולות הטיפול באירוע.
"על ארגונים למסור דיווח ראשוני גם כאשר תמונת המצב עדיין חלקית, ולהשלים פרטים נוספים בהמשך, ככל שנדרש. על חברות וארגונים להיערך במנגנון פנימי התומך בכך.
"ההחלטה בעניינה של מנורה מבטחים מבהירה כי אין בפעולות בירור וטיפול פנים-ארגוניות, חשובות ככל שיהיו, כדי להצדיק עיכוב בדיווח. דרישת המיידיות נועדה לאפשר לרשות להפעיל את סמכויות הפיקוח שלה בסמוך לגילוי האירוע ולפעול לצמצום הסיכון לפגיעה בפרטיות הציבור".
