בשורה התחתונה (TL;DR): הרשות להגנת הפרטיות הטילה עיצום כספי בסך 256,000 ש"ח על חברת "מנורה מבטחים" (מתוך קנס בסיס של 640,000 ש"ח), לאחר שסוכן ביטוח קיבל בשגגה גישה למידע אישי ופיננסי של 138 מבוטחים והחברה התעכבה כ-15 ימים בדיווח על האירוע. תחת תיקון 13 לחוק הגנת הפרטיות, האכיפה והקנסות חלים על כל עסק המחזיק מידע אישי.
מה קרה באירוע של מנורה מבטחים ומה קבעה הרשות?
בעקבות תקלת הרשאות במערכות המידע של החברה, נחשפו לעיני סוכן ביטוח לא מורשה נתונים אישיים ורגישים של 138 מבוטחים – לרבות מספרי תעודות זהות, מצב משפחתי, פרטי מעסיקים, נתוני שכר, פוליסות וחובות. האירוע התגלה בעקבות תלונה ב-12 בנובמבר 2025, אך החברה דיווחה עליו לרשות להגנת הפרטיות רק ב-27 בנובמבר 2025, לאחר שהשלימה את התחקיר הפנימי שלה.
בהחלטתה קבעה הרשות להגנת הפרטיות שני עקרונות תקדימיים המחייבים כל חברה וארגון בישראל:
- חובת דיווח מיידית בעת גילוי אירוע (ללא המתנה לתחקיר): הרשות דחתה את הטענה כי יש להמתין לסיום הבירור הטכנולוגי הפנימי לפני מסירת דיווח. חובת הדיווח המיידי לפי תקנה 11(ד)(1) לתקנות אבטחת מידע קמה ברגע גילוי האירוע, ואיחור של שבועיים מהווה הפרה עצמאית הגוררת קנס כבד.
- בקרת הרשאות הדוקה במאגרי מידע: הרשות קבעה כי גם אם המידע הוצג בתת-מערכת מבודדת ולמספר מוגבל של לקוחות, רמת האבטחה החלה עליו נגזרת ממאגר הלקוחות המרכזי שממנו נשלף המידע.
למה המקרה הזה קריטי גם לעסקים קטנים ובינוניים (SMB)?
בעלי עסקים רבים סבורים שאכיפת הרשות להגנת הפרטיות מכוונת רק לתאגידי ביטוח ובנקים, אך תיקון 13 לחוק הגנת הפרטיות (שנכנס לתוקף באוגוסט 2025) שינה את כללי המשחק מן היסוד. כל משרד רואי חשבון, עורכי דין, סוכנות ביטוח, מרפאה, חברת מסחר או עסק שמחזיק מאגר לקוחות ועובדים כפוף לחובות אבטחת מידע ודיווח:
- סמכויות אכיפה וקנסות מנהליים ישירים: הרשות מוסמכת להטיל עיצומים כספיים של עשרות ומאות אלפי שקלים בגין היעדר בקרות אבטחה, ניהול הרשאות לקוי או איחור בדיווח על דליפת מידע.
- יישום עקרון ההרשאה המינימלית (Least Privilege): חובה לוודא שכל עובד או ספק חיצוני נחשף אך ורק למידע הדרוש לתפקידו, תוך שימוש באימות רב-שלבי (MFA) ותיעוד לוגים מלא.
- ניטור רציף ונוהל תגובה לאירוע (Incident Response): הטמעת מערכת ניטור איומים מנוהלת (כגון Guardz) שמזהה בזמן אמת גישה חריגה לקבצים, פישינג או פריצה לחשבונות ענן, ומאפשרת בלימה ודיווח מיידי כחוק.
שאלות נפוצות (FAQ)
תוך כמה זמן חובה לדווח לרשות להגנת הפרטיות על אירוע אבטחה חמור?
החוק מחייב דיווח "באופן מיידי" עם גילוי האירוע. יש למסור דיווח ראשוני מיידי על בסיס המידע הקיים ולהשלים את ממצאי התחקיר בהמשך.
לא בטוחים אם העסק שלכם עומד בדרישות תיקון 13? פנו עוד היום ל-Base2 לבדיקת מוכנות, הקשחת הרשאות והטמעת מעטפת הגנת סייבר מנוהלת.