עיצום של 256,000 ש"ח על איחור בדיווח על אירוע אבטחה חמור

מה חדש?

הרשות להגנת הפרטיות פרסמה בתאריך 22 באוקטובר עיצום כספי של 256,000 ש"ח על חברת מנורה מבטחים ביטוח. לפי הרשות, החברה דיווחה באיחור על אירוע אבטחה חמור, ובכך הפרה את תקנה 11(ד)(1) לתקנות אבטחת מידע, שמחייבת דיווח מיידי.

באירוע, סוכן ביטוח קיבל בטעות הרשאה לצפות בדוח עם מידע אישי על 138 מבוטחים של סוכן אחר. המידע נשלף ממאגר ברמת אבטחה גבוהה. החברה ידעה על האירוע בתאריך 12 בנובמבר 2025, ודיווחה לרשות בתאריך 27 בנובמבר 2025.

החברה טענה שהמידע הוצג במערכת נפרדת ברמת אבטחה בסיסית, ושחובת הדיווח קמה רק אחרי הבירור הפנימי. הרשות דחתה את הטענות. הסכום הבסיסי היה 640,000 ש"ח, והרשות הפחיתה אותו בשיעור של 60%, בין היתר כי החברה הפסיקה את ההפרה ביוזמתה ומינתה ממונה על הגנת הפרטיות כדין.

למה זה חשוב?

הרשות הבהירה שני עקרונות. הראשון: חובת הדיווח היא מיידית, והיא לא מחכה לסיום הבירור הפנימי. אפשר לדווח כשהתמונה עדיין חלקית, ולהשלים בהמשך. השני: הצגת מידע במערכת נפרדת לא משנה, כשלעצמה, את רמת האבטחה של המאגר שממנו הוא נשלף.

מה כדאי לעשות?

לבדוק שנוהל אירועי האבטחה קובע מי מחליט שאירוע הוא חמור, ומי מדווח לרשות מיד, גם לפני שהבירור הסתיים. ולבדוק אילו מערכות מציגות מידע ממאגר ברמת אבטחה גבוהה, ושההרשאות בהן נבדקות כמו במאגר עצמו.