לראשונה מאז כניסתו לתוקף של תיקון 13 לחוק הגנת הפרטיות, הטילה הרשות להגנת הפרטיות במשרד המשפטים עיצום כספי בסך 256 אלף שקלים על קופת חולים מאוחדת, לאחר שקבעה כי הפרה את חובת הדיווח המיידי על אירוע אבטחת מידע חמור, כפי שנדרש על פי החוק ותקנות אבטחת המידע.
ההליך החל בעקבות דיווח שהעבירה מאוחדת לרשות במהלך חודש ינואר השנה, לאחר שהתגלתה תקלה טכנולוגית במערכת הדיגיטלית של הקופה ועל פי ממצאי הרשות, התקלה אפשרה במקרים מסוימים גישה בלתי מורשית למידע רפואי של מבוטחים.
מהבירור המנהלי שערכה הרשות עלה כי לקופת החולים נודע על האירוע כבר במהלך חודש נובמבר 2025, בעקבות פנייתו של מבוטח שדיווח כי הצליח לצפות בתיקה הרפואי של אחותו החורגת ולמרות זאת, הדיווח לרשות הועבר רק כחודשיים לאחר מכן ולא באופן מיידי כפי שמחייב הדין.
עוד התברר כי לאחר כחודש וחצי של בדיקות פנימיות זוהתה התקלה כתקלה רוחבית, אשר בנסיבות מסוימות אפשרה למבוטחים לצפות במידע רפואי של קרובי משפחתם ובסוף חודש ינואר 2026 השלימה הקופה פיתוח לתיקון התקלה, והיא נסגרה.
ברשות להגנת הפרטיות ציינו כי מאגר המידע שבו אירע הכשל כולל מידע אישי רגיש במיוחד של מספר רב של מבוטחים ובהם נתונים רפואיים המוגנים גם מכוח חוק זכויות החולה ועם זאת, במאוחדת טענו כי בפועל רק מקרה אחד של חשיפה בלתי מורשית אותר במהלך השנתיים האחרונות וכי מספר הנפגעים בפועל היה מצומצם מאוד.
לאחר בחינת כלל הממצאים ודחיית טענות הקופה, קבעה הרשות כי הופרה חובת הדיווח המיידי על אירוע אבטחה חמור ובהתאם לכך הוטל על מאוחדת עיצום כספי בסך 256 אלף שקלים, לאחר הפחתות שנקבעו בהתאם להוראות החוק.
ברשות הדגישו כי חובת הדיווח קמה כבר עם גילוי אירוע אבטחת המידע, גם כאשר מלוא היקף התקלה עדיין אינו ידוע ולדבריה, אין להמתין לסיום כלל הבדיקות לפני מסירת דיווח ראשוני, וניתן להשלים פרטים בהמשך ככל שמתבררים ממצאים נוספים.
ראש הרשות להגנת הפרטיות, עו"ד גלעד סממה, מסר: "הפרות של חוק הגנת הפרטיות לאחר כניסתו לתוקף של תיקון 13 טומנות בחובן סנקציות ועיצומים כספיים משמעותיים, כפי שניתן להיווכח גם במקרה זה.
על החברות והארגונים לבחון היטב את מערכות המידע על מנת להבטיח שהמידע הרגיש של אזרחי ישראל מוגן באופן מיטבי".
מנהלת מערך האכיפה ברשות, עו"ד עדי מנחם באר, הוסיפה כי חובת הדיווח המיידי אינה תלויה בהשלמת החקירה הפנימית או בזיהוי מלוא היקף התקלה ולדבריה, האחריות מוטלת על כל גוף המחזיק במאגרי מידע רגישים להקים מנגנונים שיבטיחו עמידה בדרישות החוק, והרשות תמשיך לאכוף את הוראות תיקון 13 באמצעות הכלים שהוענקו לה.
מקופת חולים מאוחדת נמסר לחדשות NWS: "הקופה היא זו שיזמה דיווח לרשות ברגע שהתבררו הפרטים של המקרה הנקודתי, שנגע למטופל אחד בלבד.
הדרישה לדיווח מיידי לעיתים אינה ריאלית ולא מאפשרת בירור מלא של הפרטים לטובת דיווח.
תמוה בעינינו שהרשות בוחרת להטיל קנס על ארגון ציבורי ובכוונתנו לבחון אפשרות לערער על ההחלטה".
