הודעה לעיתונות מטעם הרשות להגנת הפרטיות במשרד המשפטים
לראשונה: עיצום כספי של רבע מיליון ש"ח הוטל על קופת חולים 'מאוחדת' על ידי הרשות להגנת הפרטיות מאז כניסתו לתוקף של תיקון 13 לחוק הגנת הפרטיות
העיצום הכספי הוטל בגין אי קיום חובת הדיווח המיידי על אירוע אבטחה חמור שהתרחש במערכות החברה כמתחייב על פי חוק הגנת הפרטיות והתקנות מכוחו
הרשות להגנת הפרטיות במשרד המשפטים פתחה בהליך בירור מנהלי נגד קופת חולים מאוחדת, בהמשך לדיווח על אירוע אבטחה חמור שהעבירה הקופה לרשות.
בינואר השנה העבירה הקופה דיווח לרשות, ולפיו התגלתה תקלה טכנולוגית במערכת דיגיטלית של הקופה, שאפשרה במקרים מסוימים גישה לא מורשית למידע רפואי של מבוטחים. בשל יסוד סביר להניח כי הדיווח לא היה מיידי, כנדרש בתקנה 11(ד) לתקנות הגנת הפרטיות (אבטחת מידע), פתחה הרשות בהליך בירור מנהלי בעניין.
מההליך עלה, כי לקופה נודע על האירוע כבר בחודש נובמבר 2025, אך היא לא דיווחה עליו באופן מיידי כמתחייב בדין.
האירוע החל בעקבות פניה של אחד ממבוטחי קופת החולים ללשכה המשפטית של הקופה, במסגרתה ציין כי באפשרותו לצפות בתיקה הרפואי של אחותו החורגת.
מאגר המידע שבו התרחש האירוע כולל מידע אישי על מספר רב מאוד של נושאי מידע, לרבות מידע בעל רגישות מיוחדת המתייחס למצב בריאותו של אדם, ובכלל זה מידע רפואי כהגדרתו בחוק זכויות החולה.
לאחר כחודש וחצי, בעקבות בדיקות שערכה הקופה, התברר כי התקלה במאגר המידע הייתה רוחבית, ובהתקיים שילוב של תנאים מסוימים יכלו מבוטחים לצפות במידע רפואי של קרובי משפחתם. בסוף חודש ינואר 2026 ביצעה הקופה פיתוח לתיקון התקלה והיא תוקנה. לטענת הקופה, הצפייה בניגוד להרשאה התאפשרה רק למספר מצומצם של אנשים ובשנתיים האחרונות רק הפונה נחשף בפועל למידע.
לאחר בחינת ממצאי הבירור המנהלי, ולאחר שקילת טענות הקופה בעניין, קבעה הרשות כי הקופה הפרה את חובת הדיווח המיידי על האירוע לרשות. בגין הפרה זו הוטל על הקופה עיצום כספי בסך 256,000 ש"ח, לאחר הפחתות בהתאם להוראות החוק.
הרשות מדגישה כי חובת הדיווח המיידי קמה עם היוודע על התרחשותו של אירוע אבטחה חמור, ויש לקיימה בסמוך למועד הגילוי וללא דיחוי. עמדה אחרת לפיה יש להמתין עם הדיווח עד להשלמת כלל הבדיקות, זיהוי התקלה, היקפה והשלכותיה, מרוקנת מתוכן את דרישת "המיידיות" הקבועה בתקנות. יתכנו מצבים בהם במועד הדיווח לא תהיה בידי הגורם המדווח התמונה העובדתית המלאה באשר לאירוע. מטעם זה, הדיווח הנדרש הינו דיווח ראשוני, המבוסס על המידע הידוע במועד הדיווח, וככל שמתבררים פרטים נוספים במהלך בחינת האירוע, ניתן להשלימם בהמשך בדיווח משלים.
הרשות מבהירה כי התקנות אינן מתנות את חובת הדיווח המיידי במקורו של האירוע או בזהות הגורם המטפל בו. השאלה הרלוונטית היא האם נודע לחברה כי אירעה גישה בלתי מורשית למידע, שימוש בלתי מורשה בו או פגיעה בשלמות המידע, ולא מהו הכשל שהוביל לכך, האם הוא רוחבי וכמה מבוטחים הושפעו ממנו. יתכנו מצבים בהם תקלה נקודתית, טעות או אי-הבנה יהוו כשלעצמם אירוע אבטחה חמור המחויב בדיווח מיידי, מקום שבו הן מאפשרות גישה בלתי מורשית למידע או פוגעות בשלמותו. בנסיבות מקרה זה, לכל המאוחר במועד שבו נחסמו הרשאותיו של הפונה, כבר היה בידי הקופה מידע מספק המלמד על קיומו של אירוע אבטחה חמור. האירוע דווח בפועל רק כחודשיים לאחר מכן.
ראש הרשות להגנת הפרטיות, עו"ד גלעד סממה: "הפרות של חוק הגנת הפרטיות לאחר כניסתו לתוקף של תיקון 13 טומנות בחובן סנקציות ועיצומים כספיים משמעותיים, כפי שניתן להיווכח גם במקרה זה. על החברות והארגונים לבחון היטב את מערכות המידע על מנת לעמוד על כך שהמידע הרגיש של אזרחי ישראל מוגן באופן מיטבי".
מנהלת מערך האכיפה ברשות להגנת הפרטיות, עו"ד עדי מנחם באר: ״חובת הדיווח המיידי על אירועי אבטחת מידע חמורים קמה עם היוודע על האירוע, ואין להמתין להשלמת כלל הבדיקות של הגוף בו התרחש האירוע. הרשות לא תקבל פרשנויות המרוקנות מתוכן את דרישת המיידיות. באחריותם של בעלי שליטה ומחזיקים במאגרי מידע, ובפרט כשמדובר בארגונים שהם בעלי שליטה של מאגרי מידע עם מידע בעל רגישות מיוחדת בהיקפים גדולים, לייצר את המנגנונים המתאימים על מנת לקיים את חובת הדיווח המיידי לפי הדין. מערך האכיפה של הרשות יפעל בנחישות, תוך הפעלת כלי האכיפה שניתנו לרשות בתיקון 13, לשם העלאת רמת הציות לחוק."
