הרשות להגנת הפרטיות במשרד המשפטים הטילה עיצום כספי בסך 256 אלף שקלים על חברת מנורה מבטחים ביטוח בע"מ, לאחר שקבעה כי החברה הפרה את חובתה לדווח באופן מיידי על אירוע אבטחת מידע חמור. במסגרת האירוע נחשף מידע אישי ורגיש של 138 מבוטחים בפני סוכן ביטוח שלא היה מורשה לעיין בו, אולם החברה המתינה יותר משבועיים עד שדיווחה על המקרה לרשויות.
על פי הודעת משרד המשפטים, במסגרת הליך בירור מנהלי שניהלה הרשות התברר כי סוכן ביטוח קיבל בשגגה הרשאת גישה לדו"ח שהכיל מידע אישי על מבוטחים המשויכים לסוכן אחר. הדו"ח כלל בין היתר פרטי זיהוי, מצב משפחתי, פרטי מעסיקים, נתוני שכר, פרטי פוליסות ביטוח, תשלומים וחובות.
תביעת ענק נגד מנורה: 63 מיליון שקל עקב סירוב תשלום ללקוח
המידע נשלף ממאגר הלקוחות של מנורה מבטחים, המכיל פרטים אישיים על כשני מיליון בני אדם ומוגדר ברמת אבטחה גבוהה. המאגר כולל גם מידע בעל רגישות מיוחדת, לרבות נתונים פיננסיים ומידע רפואי, אף שלא נקבע כי מידע רפואי נכלל בדו"ח הספציפי שנחשף.
החברה ידעה על האירוע – אך דיווחה רק לאחר 15 ימים
מהחלטת הרשות עולה כי מנורה מבטחים ידעה על האירוע כבר ב-12 בנובמבר 2025, אולם הדיווח לרשות להגנת הפרטיות הועבר רק ב-27 בנובמבר, לאחר שהחברה השלימה את בדיקותיה הפנימיות. ברשות קבעו כי ההמתנה להשלמת הבדיקות מהווה הפרה של חובת הדיווח המיידי על אירוע אבטחה חמור.
במסגרת ההליך טענה החברה כי חובת הדיווח מתגבשת רק לאחר השלמת התחקור הפנימי ובירור מקור הכשל הטכנולוגי שהוביל לחשיפת המידע. לטענתה, היה צורך לוודא תחילה כי מקור התקלה אכן נמצא במערכות החברה.
אלא שהרשות דחתה את הטענה והבהירה כי ארגונים אינם רשאים להמתין עד להשלמת התחקיר לפני שהם מדווחים על אירוע אבטחה חמור. על פי עמדת הרשות, גם כאשר נסיבות האירוע אינן ברורות במלואן, יש להעביר דיווח ראשוני ולהשלים את הפרטים בהמשך.
המשטרה פשטה על משרדי חברת "מנורה מבטחים", 3 עוכבו לחקירה
מנורה מבטחים העלתה טענה נוספת, שלפיה המידע שנחשף הועבר לתת-מערכת מבודדת הכוללת היקף מצומצם של מידע, ולכן יש לראות בה מאגר נפרד ברמת אבטחה בסיסית שאינו מחייב דיווח מיידי. גם טענה זו נדחתה, לאחר שהרשות קבעה כי העברת מידע ממאגר בעל רמת אבטחה גבוהה למערכת נפרדת אינה מפחיתה כשלעצמה את רמת האבטחה החלה עליו.
הקנס המקורי עמד על 640 אלף שקלים
בהתאם להוראות חוק הגנת הפרטיות, סכום העיצום הכספי הראשוני שנקבע לחברה עמד על 640 אלף שקלים, בין היתר בשל העובדה שמדובר במאגר מידע ברמת אבטחה גבוהה הכולל פרטים על יותר ממיליון בני אדם.
עם זאת, לאחר בחינת נסיבות המקרה ושמיעת טענות החברה, הוחלט להפחית את הקנס בשיעור מצטבר של 60%. ההפחתה ניתנה בשל היעדר הפרות קודמות בחמש השנים האחרונות, הדיווח היזום שהעבירה החברה בסופו של דבר ומינוי ממונה על הגנת הפרטיות כנדרש בחוק. בעקבות ההפחתה נקבע סכום העיצום הסופי על 256 אלף שקלים.
עו"ד עדי מנחם באר, מנהלת מערך האכיפה ברשות להגנת הפרטיות, הבהירה בעקבות ההחלטה כי "תקנות הגנת הפרטיות (אבטחת מידע) קובעות חובה מפורשת לדווח לרשות באופן מיידי על אירוע אבטחה חמור. חובה זו קמה עם היוודע דבר התרחשותו של אירוע העונה להגדרה הקבועה בתקנות, ואינה מותנית בהשלמת תחקור פנימי, בזיהוי מקור הכשל או במיצוי פעולות הטיפול באירוע".
לדבריה, על חברות וארגונים להיערך מראש למקרים מסוג זה ולדווח גם כאשר תמונת המצב חלקית. "אין בפעולות בירור וטיפול פנים-ארגוניות, חשובות ככל שיהיו, כדי להצדיק עיכוב בדיווח. דרישת המיידיות נועדה לאפשר לרשות להפעיל את סמכויות הפיקוח שלה בסמוך לגילוי האירוע ולפעול לצמצום הסיכון לפגיעה בפרטיות הציבור", הדגישה.
