הרשות להגנת הפרטיות במשרד המשפטים הודיעה על הטלת עיצום כספי בסך 256 אלף שקלים על חברת מנורה מבטחים ביטוח בע"מ, בעקבות הפרת חובת הדיווח המיידי על אירוע אבטחת מידע חמור, כאשר ההחלטה התקבלה לאחר הליך בירור מנהלי שניהלה הרשות, ובמסגרתו התברר כי סוכן ביטוח קיבל בשגגה הרשאת גישה לדוח שהכיל מידע אישי על 138 מבוטחים, אשר היו משויכים לסוכן ביטוח אחר.
המידע שנחשף כלל פרטים אישיים ורגישים, ובהם מספרי זיהוי, מצב משפחתי, פרטי מעסיקים, נתוני שכר, פרטי פוליסות ביטוח, תשלומים וחובות.
המידע נשלף ממאגר הלקוחות של מנורה מבטחים, המוגדר כמאגר ברמת אבטחה גבוהה ומכיל מידע אישי על כשני מיליון בני אדם, לרבות מידע פיננסי ורפואי ומדובר במאגר המחייב עמידה בדרישות אבטחת מידע מחמירות, בשל היקף המידע והרגישות שלו.
החברה ידעה על האירוע, אך דיווחה רק כעבור 15 ימים
על פי ממצאי הרשות להגנת הפרטיות, האירוע נודע לחברת מנורה מבטחים כבר ביום 12 בנובמבר 2025, אולם הדיווח לרשות הועבר רק ביום 27 בנובמבר, לאחר שהחברה השלימה את בדיקותיה הפנימיות וברשות קבעו כי מדובר בהפרת חובת הדיווח המיידי הקבועה בתקנות הגנת הפרטיות (אבטחת מידע).
במהלך הבירור טענה החברה כי חובת הדיווח מתגבשת רק לאחר השלמת הבדיקות הפנימיות, בירור מקור הכשל הטכנולוגי ואימות העובדה שמקור התקלה במערכות החברה.
אלא שברשות להגנת הפרטיות דחו את הטענה והבהירו כי אין צורך להמתין לסיום הבדיקות כדי לדווח על אירוע אבטחה חמור.
לפי עמדת הרשות, חובת הדיווח נועדה לאפשר לרגולטור להפעיל את סמכויות הפיקוח והבקרה שלו בזמן אמת, או בסמוך ככל האפשר לגילוי האירוע, גם כאשר מלוא נסיבותיו עדיין אינן ידועות.
ברשות הדגישו כי ניתן להגיש דיווח ראשוני המבוסס על המידע הקיים ולהשלים פרטים נוספים בהמשך.
גם מערכת נפרדת אינה פוטרת מחובת הדיווח
במסגרת ההליך העלתה מנורה מבטחים טענה נוספת, שלפיה המידע שנחשף הועבר לתת מערכת טכנולוגית מבודדת, הכוללת היקף מצומצם של מידע.
לטענת החברה, יש לראות במערכת זו מאגר מידע נפרד ברמת אבטחה בסיסית, ולכן האירוע אינו מחייב דיווח מיידי לרשות וגם טענה זו נדחתה.
הרשות קבעה כי העובדה שמידע נשלף ממאגר מרכזי ומוצג באמצעות מערכת טכנולוגית אחרת אינה מנתקת את הקשר למאגר המקורי, המוגדר ברמת אבטחה גבוהה.
משמעות הקביעה היא כי ארגונים אינם יכולים להסתמך על הפרדה טכנולוגית בלבד כדי להפחית את דרישות האבטחה והדיווח החלות על מידע שנשלף ממאגרים רגישים.
העיצום המקורי עמד על 640 אלף שקל והופחת ב-60%
בהתאם להוראות חוק הגנת הפרטיות, ובשים לב לכך שמדובר במאגר מידע ברמת אבטחה גבוהה הכולל מידע על יותר ממיליון בני אדם, נקבע תחילה עיצום כספי בסך 640 אלף שקלים.
עם זאת, לאחר בחינת נסיבות המקרה ושמיעת טענות החברה, החליטה הרשות להפחית את סכום העיצום בשיעור מצטבר של 60%.
ההפחתה התבססה על שלושה נימוקים מרכזיים:
20% הפחתה: בשל היעדר הפרות קודמות בחמש השנים האחרונות.
30% הפחתה: בעקבות הדיווח היזום של החברה לרשות, שהביא להפסקת ההפרה.
10% הפחתה: בשל מינוי ממונה על הגנת הפרטיות בהתאם להוראות הדין.
בסופו של ההליך הועמד העיצום הכספי על 256 אלף שקלים.
חשוב להדגיש כי העיצום הוטל בגין האיחור בדיווח על אירוע האבטחה, ולא בגין עצם החשיפה של המידע האישי.
הרשות להגנת הפרטיות: "אין להמתין להשלמת התחקור הפנימי"
עו"ד עדי מנחם באר, מנהלת מערך האכיפה ברשות להגנת הפרטיות, התייחסה להחלטה והבהירה כי חובת הדיווח אינה תלויה בהשלמת הבירור הפנימי של החברה.
"תקנות הגנת הפרטיות (אבטחת מידע) קובעות חובה מפורשת לדווח לרשות באופן מיידי על אירוע אבטחה חמור.
חובה זו קמה עם היוודע דבר התרחשותו של אירוע העונה להגדרה הקבועה בתקנות ואינה מותנית בהשלמת תחקור פנימי, בזיהוי מקור הכשל או במיצוי פעולות הטיפול באירוע.
על ארגונים למסור דיווח ראשוני גם כאשר תמונת המצב עדיין חלקית ולהשלים פרטים נוספים בהמשך, ככל שנדרש.
על חברות וארגונים להיערך במנגנון פנימי התומך בכך.
ההחלטה בעניינה של מנורה מבטחים מבהירה כי אין בפעולות בירור וטיפול פנים ארגוניות, חשובות ככל שיהיו, כדי להצדיק עיכוב בדיווח.
דרישת המיידיות נועדה לאפשר לרשות להפעיל את סמכויות הפיקוח שלה בסמוך לגילוי האירוע ולפעול לצמצום הסיכון לפגיעה בפרטיות הציבור".
המשמעות המשפטית: חובת הדיווח קודמת להשלמת החקירה הפנימית
להחלטת הרשות להגנת הפרטיות משמעות החורגת מהמקרה הפרטני של מנורה מבטחים.
היא מחדדת את אחריותם של גופים המחזיקים במידע אישי רגיש, ובכללם חברות ביטוח, בנקים, מוסדות פיננסיים, גופים רפואיים וחברות מסחריות המחזיקות במאגרי מידע גדולים.
המסר המשפטי העולה מההחלטה ברור: כאשר מתגלה אירוע העונה להגדרת אירוע אבטחה חמור המחייב דיווח, אין להמתין עד להשלמת הבירור הטכנולוגי או לקביעת מלוא היקף החשיפה.
ארגונים נדרשים להחזיק במנגנוני דיווח ובקרה שיאפשרו להם לזהות אירועים חריגים, להעביר דיווח ראשוני לרשות ולפעול במקביל לבדיקת נסיבות האירוע ולצמצום הפגיעה האפשרית בפרטיות.
במקרה הנוכחי, אף שהמידע נחשף ל-138 מבוטחים בלבד, חישוב העיצום התבסס על מאפייני מאגר המידע המקורי, הכולל מידע על כשני מיליון בני אדם.
החלטה זו מדגישה את החשיבות שמייחסת הרשות להגנה על מידע אישי ולחובת הדיווח, גם כאשר אירוע החשיפה עצמו מוגבל בהיקפו.
תגובת מנורה מבטחים: "העיצום הוטל אך ורק בגין מועד הדיווח"
מחברת מנורה מבטחים נמסר בתגובה: "מדובר באירוע נקודתי במערכת פנימית המשמשת את סוכני הקבוצה, אשר נגע למספר מצומצם ביותר של מבוטחים וטופל באופן מיידי ויסודי.
העיצום הכספי הוטל אך ורק בגין מועד הדיווח, שנבע מהצורך לבצע בדיקה מעמיקה ולא על מהות המקרה עצמו.
מנורה מבטחים מחויבת באופן בלתי מתפשר להוראות הדין ולהגנה על פרטיות לקוחותיה".
