מנורה מבטחים נקנסה ב-256 אלף שקל בעקבות חשיפת מידע אישי

הרשות להגנת הפרטיות במשרד המשפטים הטילה עיצום כספי בסך 256 אלף שקל על חברת מנורה מבטחים ביטוח, לאחר שקבעה כי החברה הפרה את חובתה לדווח מיד על אירוע אבטחה חמור. האירוע התרחש לאחר שסוכן ביטוח קיבל בשגגה גישה למידע אישי ורגיש על 138 מבוטחים שלא היו משויכים אליו. אף שהחברה ידעה על האירוע, היא דיווחה עליו לרשות רק כעבור יותר משבועיים.

מבירור מנהלי שערכה הרשות עלה כי סוכן ביטוח קיבל בטעות הרשאת גישה לדוח שהכיל מידע אישי על מבוטחים המשויכים לסוכן אחר. הדוח כלל בין היתר פרטי זיהוי, מצב משפחתי, פרטי מעסיקים, נתוני שכר, פרטי פוליסות ביטוח, תשלומים וחובות.

המידע נשלף ממאגר הלקוחות של מנורה מבטחים, המוגדר כמאגר ברמת אבטחה גבוהה ומכיל מידע אישי על כשני מיליון בני אדם. המאגר כולל גם מידע בעל רגישות מיוחדת, ובהם נתונים פיננסיים, נתוני שכר ומידע רפואי.

על-פי ממצאי הרשות, האירוע נודע לחברה כבר ב-12 בנובמבר 2025, אולם הדיווח הועבר לרשות רק ב-27 בנובמבר, לאחר שהחברה השלימה את בדיקותיה הפנימיות. הרשות קבעה כי פרק הזמן שחלף בין גילוי האירוע לדיווח מהווה הפרה של חובת הדיווח המיידי הקבועה בתקנות הגנת הפרטיות.

הרשות דחתה את טענת החברה: אין להמתין לסיום הבדיקות

במהלך ההליך המנהלי טענה מנורה מבטחים כי חובת הדיווח מתגבשת רק לאחר השלמת הבדיקות הפנימיות, בירור מקור הכשל הטכנולוגי ואימות שהכשל אכן נבע ממערכות החברה.

הרשות דחתה את הפרשנות הזאת והבהירה כי חובת הדיווח נועדה לאפשר לה להפעיל את סמכויות הפיקוח והבקרה שלה סמוך ככל האפשר למועד גילוי האירוע, גם כאשר מלוא נסיבותיו והיקפו עדיין אינם ידועים.

בהחלטתה נקבע כי ארגונים אינם רשאים לעכב דיווח על אירוע אבטחה חמור עד להשלמת התחקיר הפנימי. דיווח ראשוני יכול להתבסס על מידע חלקי, ובהמשך ניתן להשלים פרטים נוספים בהתאם להתקדמות הבדיקה.

הרשות הדגישה כי פרשנות המאפשרת לארגונים להמתין עד לסיום כל הבדיקות הפנימיות אינה מתיישבת עם דרישת המיידיות שבתקנות, ועלולה לפגוע ביכולתה לפעול לצמצום הסיכונים לפרטיות הציבור.

האם מערכת מבודדת פוטרת מחובת הדיווח?

טענה נוספת שהעלתה מנורה מבטחים נגעה למאפייני המערכת שבה נחשף המידע. החברה טענה כי המידע הועבר לתת-מערכת מבודדת, שהכילה היקף מצומצם של מידע, ולכן יש להתייחס אליה כאל מאגר נפרד ברמת אבטחה בסיסית, שאירוע אבטחה בו אינו מחייב דיווח מיידי לרשות.

גם טענה זו נדחתה. הרשות קבעה כי העובדה שמידע נשלף ממאגר ברמת אבטחה גבוהה והוצג באמצעות מערכת טכנולוגית נפרדת אינה מנתקת אותו בהכרח ממאגר המקור.

לפי עמדת הרשות, לא ניתן להפחית את רמת האבטחה החלה על מאגר מידע רק בשל האופן שבו המידע מועבר, מעובד או מוצג. בחינת חובת הדיווח צריכה להיעשות בהתאם למאפייני מאגר המידע ולנסיבות האירוע, ולא רק על בסיס ההפרדה הטכנולוגית בין המערכות.

לקביעה זו יש משמעות גם עבור ארגונים אחרים המפעילים מערכות מידע נפרדות המבוססות על נתונים שנשלפים ממאגר מרכזי: עצם ההפרדה הטכנולוגית אינה מספיקה כדי לשנות את רמת האבטחה החלה על המידע.

העיצום המקורי עמד על 640 אלף שקל והופחת ב-60%

בהתאם להוראות חוק הגנת הפרטיות, ובהתחשב בכך שמדובר במאגר מידע ברמת אבטחה גבוהה הכולל מידע על יותר ממיליון בני אדם, סכום העיצום הכספי הראשוני שנקבע למנורה מבטחים עמד על 640 אלף שקל.

עם זאת, לאחר שמיעת טענות החברה ובהתאם להוראות התוספת החמישית לחוק, החליטה הרשות להפחית את סכום העיצום בשיעור מצטבר של 60%.

ההפחתה כללה שלושה רכיבים: 20% בשל היעדר הפרות קודמות בחמש השנים האחרונות, 30% בשל הדיווח היזום של החברה לרשות שהביא להפסקת ההפרה, ו-10% נוספים בשל מינוי ממונה על הגנת הפרטיות כדין. לאחר ההפחתות נקבע העיצום הסופי על 256 אלף שקל.

הרשות: חובת הדיווח חלה גם כשהמידע עדיין חלקי

עו"ד עדי מנחם באר, מנהלת מערך האכיפה ברשות להגנת הפרטיות, הבהירה בעקבות ההחלטה כי חובת הדיווח אינה מותנית בהשלמת בירור נסיבות האירוע.

"תקנות הגנת הפרטיות (אבטחת מידע) קובעות חובה מפורשת לדווח לרשות מיד על אירוע אבטחה חמור. חובה זו קמה עם היוודע דבר התרחשותו של אירוע העונה להגדרה הקבועה בתקנות, ואינה מותנית בהשלמת תחקור פנימי, בזיהוי מקור הכשל או במיצוי פעולות הטיפול באירוע", מסרה.

לדבריה, ארגונים נדרשים להקים מנגנונים פנימיים שיאפשרו דיווח ראשוני גם כאשר תמונת המצב אינה מלאה, ולהשלים את הפרטים בהמשך ככל שיידרש.

"ההחלטה בעניינה של מנורה מבטחים מבהירה כי אין בפעולות בירור וטיפול פנים-ארגוניות, חשובות ככל שיהיו, כדי להצדיק עיכוב בדיווח", הוסיפה.

הרשות הדגישה כי מטרת חובת הדיווח המיידי היא לאפשר פיקוח בזמן אמת ככל האפשר, ולפעול לצמצום הסיכון לפגיעה בפרטיותם של אנשים שמידע אישי עליהם נחשף.