הרשות להגנת הפרטיות במשרד המשפטים הטילה על קופת חולים מאוחדת עיצום כספי בסך 256 אלף שקל, לאחר שקבעה כי הקופה לא דיווחה באופן מיידי על אירוע אבטחה חמור שאפשר גישה לא מורשית למידע רפואי של מבוטחים.
3+האירוע התגלה לאחר שמבוטח פנה ללשכה המשפטית של הקופה וציין כי באפשרותו לצפות בתיק הרפואי של אחותו החורגת. מאגר המידע כלל מידע אישי על מספר רב מאוד של אנשים, ובהם מידע רפואי ומידע בעל רגישות מיוחדת.
מהליך בירור מנהלי שקיימה הרשות עלה כי מאוחדת ידעה על האירוע כבר בנובמבר 2025, אך דיווחה עליו רק בינואר 2026. כחודש וחצי לאחר גילוי האירוע, בבדיקות שערכה הקופה, התברר כי מדובר בתקלה רוחבית: בהתקיים שילוב של תנאים מסוימים, מבוטחים יכלו לצפות במידע רפואי של קרובי משפחתם.
3+בסוף ינואר 2026 ביצעה הקופה פיתוח לתיקון התקלה, והיא תוקנה. לטענת מאוחדת, האפשרות לצפייה בניגוד להרשאה הייתה זמינה רק למספר מצומצם של אנשים, ובשנתיים האחרונות רק הפונה נחשף בפועל למידע.
הרשות קבעה כי חובת הדיווח המיידי קמה עם היוודע דבר אירוע האבטחה החמור, גם כאשר הבדיקות טרם הושלמו והתמונה העובדתית אינה מלאה. לפי הרשות, ניתן למסור דיווח ראשוני ולהשלימו בהמשך באמצעות דיווחים נוספים.
3+עוד הבהירה הרשות כי חובת הדיווח אינה תלויה במקור התקלה, בזהות הגורם המטפל בה, בהיקפה או במספר המבוטחים שנפגעו. לדבריה, גם תקלה נקודתית, טעות או אי-הבנה עשויות להיחשב אירוע אבטחה חמור אם הן מאפשרות גישה לא מורשית למידע.
ראש הרשות להגנת הפרטיות, עו"ד גלעד סממה, אמר: "הפרות של חוק הגנת הפרטיות לאחר כניסתו לתוקף של תיקון 13 טומנות בחובן סנקציות ועיצומים כספיים משמעותיים, כפי שניתן להיווכח גם במקרה זה. על החברות והארגונים לבחון היטב את מערכות המידע על מנת לעמוד על כך שהמידע הרגיש של אזרחי ישראל מוגן באופן מיטבי".
תגובת קופת מאוחדת: "הקופה היא זו שיזמה דיווח לרשות ברגע שהתבררו הפרטים של המקרה הנקודתי, שנגע למטופל אחד בלבד. הדרישה לדיווח מיידי לעיתים אינה ריאלית ולא מאפשרת בירור מלא של הפרטים לטובת דיווח. תמוה בעינינו שהרשות בוחרת להטיל קנס על ארגון ציבורי, ובכוונתנו לבחון אפשרות לערער על ההחלטה".
