נקודות עיקריות
- העיצום הוטל בגין הפרת חובת הדיווח המיידי על אירוע אבטחה חמור, ולא בגין התקלה הטכנית עצמה.
- תקלה במערכת דיגיטלית אפשרה למבוטחים לצפות במידע רפואי רגיש של קרובי משפחה; הקופה התעדכנה בנובמבר 2025 ודיווחה בינואר 2026.
- לפי הרשות, ״חובת הדיווח המיידי קמה עם היוודע על התרחשות אירוע האבטחה החמור״ — לא בסיום הבירור הפנימי.
- דיווח ראשוני שמבוסס על המידע הידוע באותו רגע מספיק; את הפרטים משלימים בהמשך.
- הסכום הסופי, 256,000 ש״ח, נקבע לאחר הפחתות שהחוק מאפשר.
תוכן עניינים
- מה בדיוק קרה במקרה של מאוחדת?
- למה הקנס הוטל על הדיווח ולא על התקלה?
- מתי ״נודע״ לארגון על אירוע אבטחה חמור?
- מה מותר ומה אסור לעשות לפני הדיווח?
- מה המשמעות לעסקים קטנים ובינוניים?
- נוהל דיווח ב-6 צעדים
- שאלות ותשובות
עיצום כספי הוא סנקציה מינהלית שהרשות להגנת הפרטיות מטילה בעצמה, בלי הליך פלילי, על מי שהפר את חוק הגנת הפרטיות או את התקנות שלו. העיצום הכספי על מאוחדת, שפורסם ביולי 2026, הוא המקרה הראשון שבו הרשות השתמשה בסמכות הזו מאז שתיקון 13 נכנס לתוקף באוגוסט 2025 — ולכן הוא מסמן לשוק כולו איך הרשות קוראת את החובות. מי שמחפש את התמונה הרחבה של סכומי הקנסות ימצא אותה במדריך קנסות הגנת הפרטיות לפי תיקון 13. כאן נתמקד בלקחים המעשיים מהמקרה, ובאופן שבו ארגון יכול להיערך מראש בעזרת מערכת ניהול הציות של Privorify.
מה בדיוק קרה במקרה של מאוחדת?
תקלה במערכת דיגיטלית של קופת החולים אפשרה למבוטחים לצפות במידע רפואי רגיש של קרובי משפחה שלהם. הקופה למדה על כך בנובמבר 2025, כשמבוטח דיווח שראה את התיק הרפואי של אחותו, אבל הודיעה לרשות להגנת הפרטיות רק כחודשיים לאחר מכן, בינואר 2026, אחרי שהשלימה בדיקות ותיקנה את התקלה.
לפי הדיווח באתר law.co.il, מדובר במאגר שכולל מידע אישי ורפואי על מספר רב של אנשים. מידע רפואי הוא מידע בעל רגישות מיוחדת לפי החוק, ומאגרים כאלה מחויבים לרוב ברמת אבטחה גבוהה יחסית. בבירור המינהלי שערכה הרשות התברר שהאירוע עונה להגדרת ״אירוע אבטחה חמור״ — ולכן חלה עליו חובת דיווח מיידית.
| פרט | מה ידוע |
|---|---|
| מועד גילוי האירוע | נובמבר 2025, בעקבות פנייה של מבוטח |
| מועד הדיווח לרשות | ינואר 2026, כחודשיים לאחר מכן |
| סוג המידע | מידע אישי ורפואי של מבוטחים |
| ההפרה שבגינה הוטל העיצום | אי קיום חובת הדיווח המיידי על אירוע אבטחה חמור |
| סכום העיצום | 256,000 ש״ח, לאחר הפחתות |
| מועד ההחלטה | 21 ביולי 2026 |
למה הקנס הוטל על הדיווח ולא על התקלה?
כי בעיני הרשות, דיווח מיידי הוא הכלי שמאפשר לצמצם נזק לאנשים שהמידע שלהם נחשף. ארגון שמחכה עד שהבירור הפנימי מסתיים מונע מהרשות להתערב בזמן, להנחות על צעדים ולוודא שהנפגעים מקבלים הגנה. לכן העיכוב עצמו נחשב להפרה עצמאית, נפרדת מהכשל הטכני.
תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017, מחייבות בעל מאגר להודיע לרשות מיד על אירוע אבטחה חמור, ולדווח לה על הצעדים שננקטו בעקבותיו. ההגדרה של ״אירוע חמור״ תלויה ברמת האבטחה של המאגר ובהיקף המידע שנפגע. כדי לדעת איזו רמה חלה על המאגר שלכם, ראו את המדריך איך קובעים את רמת האבטחה של המאגר.
ההבחנה הזו חשובה לכל עסק: תקלה יכולה לקרות גם לארגון שמשקיע הרבה באבטחה. מה שהרשות בחרה להעניש במקרה הראשון הוא התגובה הארגונית לתקלה. במילים אחרות, ארגון שמתגלה אצלו כשל ומדווח עליו בזמן נמצא בעמדה טובה בהרבה מארגון שמסתיר או מעכב, גם אם הכשל זהה.
מתי ״נודע״ לארגון על אירוע אבטחה חמור?
לפי עמדת הרשות במקרה מאוחדת, החובה קמה ברגע שהארגון יודע שהתרחש אירוע אבטחה חמור — לא ברגע שהוא יודע את כל הפרטים. פנייה של לקוח שמתארת חשיפה של מידע של אדם אחר, התראה ממערכת ניטור או הודעה מספק יכולות כולן להיות הרגע שבו השעון מתחיל לתקתק.
בציטוט מתוך החלטת הרשות, כפי שפורסם: ״חובת הדיווח המיידי קמה עם היוודע על התרחשות אירוע האבטחה החמור״. הרשות הבהירה גם שדיווח ראשוני יכול להתבסס על המידע הידוע במועד הדיווח, ושאין צורך להמתין להשלמת הבדיקות. בפועל, המשמעות היא שהמשפט ״נדווח כשנבין מה קרה״ אינו עומד עוד בסטנדרט.
אילו אותות צריכים להדליק נורה אדומה?
- לקוח או עובד מדווחים שהם רואים מידע שאינו שלהם.
- מערכת הניטור או הלוגים מראים גישה חריגה להיקף גדול של רשומות.
- ספק חיצוני מודיע על פריצה או על חשיפה של מידע שהוא מעבד בשבילכם.
- מידע של הארגון מופיע ברשת, בפורום או בקבוצת מסרים.
לרשימה המלאה של סוגי האירועים ושל החובות הנלוות ראו את המדריך אירוע אבטחת מידע: מתי מדווחים לרשות.
מה מותר ומה אסור לעשות לפני הדיווח?
מותר, ואף רצוי, לפעול מיד לבלימת האירוע: לנתק מערכת פגועה, לחסום גישה, לשמור ראיות ולהתחיל בירור. מה שאסור הוא להתנות את הדיווח לרשות בסיום הפעולות האלה. הבלימה והדיווח צריכים לרוץ במקביל, לא בזה אחר זה.
| פעולה | מתי | הערה |
|---|---|---|
| בלימת החשיפה | מיד | לא מחליפה את הדיווח |
| תיעוד ושמירת ראיות | מיד | לוגים, צילומי מסך, זמני גילוי |
| דיווח ראשוני לרשות | מיד עם היוודע האירוע החמור | על בסיס מה שידוע באותו רגע |
| השלמת פרטים | במהלך הבירור | עדכון הרשות על ממצאים וצעדים |
| תיקון שורש הבעיה | אחרי הבלימה | כולל עדכון נוהל האבטחה |
מה המשמעות לעסקים קטנים ובינוניים?
המקרה הראשון נגע לגוף גדול עם מידע רפואי, אבל העיקרון חל על כל בעל מאגר: אם קרה אירוע חמור, הדיווח חייב להיות מיידי. עסק קטן שאין לו נוהל ברור למצב כזה עלול לבזבז ימים על התלבטות, ובדיוק הימים האלה הם מה שהרשות בוחנת.
עבור עסקים שמחזיקים מידע רפואי, כמו קליניקות ומכונים, הלקח חד במיוחד, ופירטנו אותו במדריך אבטחת מידע רפואי במרפאות ובקליניקות. עבור כל עסק אחר, הלקח הוא להכין מראש: מי מחליט שאירוע הוא ״חמור״, מי מדווח, ואיזה מידע מינימלי צריך כדי לשלוח דיווח ראשוני. חשוב לזכור גם שלא כל הפרה מגיעה ישר לעיצום — לפעמים הרשות פותחת בהתראה מינהלית, אבל מקרה מאוחדת מראה שבהפרת חובת הדיווח הרשות מוכנה להגיע לעיצום.
איך בונים נוהל דיווח שעומד בסטנדרט החדש?
נוהל דיווח טוב הוא מסמך קצר שמגדיר מראש מי מזהה, מי מחליט ומי מדווח, כך שאיש לא צריך לאלתר ברגע האמת. ששת הצעדים הבאים מבוססים על הלקחים שהרשות הדגישה במקרה מאוחדת.
- הגדירו ערוץ קליטה אחד לכל דיווח על חשיפת מידע — מלקוחות, מעובדים ומספקים.
- מנו גורם מחליט (בדרך כלל ממונה אבטחת המידע או הממונה על הגנת הפרטיות) שקובע בתוך שעות אם האירוע חמור.
- הכינו תבנית דיווח ראשוני עם השדות הבסיסיים: מה קרה, מתי נודע, איזה מידע, כמה אנשים בערך, ומה נעשה עד כה.
- הפרידו בין בלימה לדיווח — צוות אחד בולם, גורם אחר מדווח, במקביל.
- תעדו את מועד ״ההיוודעות״ בכתב, כי זה הנתון שהרשות תבדוק ראשון.
- תרגלו פעם בשנה תרחיש של חשיפת מידע, ועדכנו את נוהל האבטחה לפי הלקחים.
סיכום
- העיצום הראשון לפי תיקון 13 הוטל על עיכוב בדיווח, לא על התקלה.
- החובה קמה עם היוודע האירוע החמור; דיווח ראשוני חלקי מספיק.
- נוהל דיווח כתוב ומתורגל הוא ההגנה הטובה ביותר מפני אותה הפרה.
שאלות ותשובות
על מה הוטל העיצום הכספי על מאוחדת?
על אי קיום חובת הדיווח המיידי לרשות להגנת הפרטיות על אירוע אבטחה חמור. הקופה ידעה על האירוע בנובמבר 2025 ודיווחה רק כחודשיים לאחר מכן, בינואר 2026.
כמה היה גובה העיצום?
256,000 ש״ח, לאחר הפחתות שהחוק מאפשר. ההחלטה פורסמה ב-21 ביולי 2026 והייתה העיצום הראשון מסוגו מאז כניסת תיקון 13 לתוקף.
האם צריך לסיים את הבדיקה לפני שמדווחים לרשות?
לא. לפי עמדת הרשות, דיווח ראשוני יכול להתבסס על המידע הידוע במועד הדיווח, ואין להמתין להשלמת הבדיקות. את הפרטים משלימים בהמשך.
מתי מתחילה חובת הדיווח על אירוע אבטחה חמור?
לפי הרשות, החובה קמה עם היוודע על התרחשות האירוע החמור. פנייה של לקוח, התראת ניטור או הודעת ספק יכולות להיות נקודת ההתחלה.
האם המקרה רלוונטי גם לעסק קטן?
כן. חובת הדיווח על אירוע חמור חלה על כל בעל מאגר מידע לפי תקנות אבטחת המידע. ההבדל הוא בהגדרת האירוע החמור, שתלויה ברמת האבטחה של המאגר.
לקריאה נוספת ומקורות
- law.co.il — עיצום ראשון מסוגו מאז כניסת תיקון 13 לתוקף: קופ״ח מאוחדת (21.7.2026)
- גלובס — לראשונה: קנס לקופ״ח מאוחדת עקב תיקון 13
- אתר הרשות להגנת הפרטיות
המידע במאמר זה הוא כללי ואינו מהווה ייעוץ משפטי. לפני קבלת החלטות יש להיוועץ בבעל מקצוע מוסמך.
להמשך קריאה
