עיצום כספי על קופת חולים מאוחדת: מה לומדים ממקרה האכיפה הראשון על דיווח מיידי לרשות להגנת הפרטיות
תקציר מנהלים: הרשות להגנת הפרטיות פרסמה ב-21.7.2026 כי הטילה על קופת חולים מאוחדת עיצום כספי בסך 256,000 ש"ח בגין אי-דיווח מיידי על אירוע אבטחה חמור לפי תקנה 11(ד)(1) לתקנות אבטחת מידע. זהו, לפי פרסום הרשות, המקרה הראשון מאז כניסת תיקון 13 לתוקף שבו הוטל עיצום על הפרת חובת הדיווח המיידי. הלקח המרכזי פשוט: הרשות מצפה לדיווח ראשוני סמוך לגילוי, גם כשהבירור העובדתי עוד לא הושלם.
הניתוח בעמוד זה נשען על הודעת הרשות לציבור ועל נוסח החוק והתקנות, לא על נוסח מלא ומנומק של החלטת העיצום. לכן איננו מסיקים מההודעה עובדות או קביעות שלא פורסמו בה.
רקע: מה קרה בקופת חולים מאוחדת ומה קבעה הרשות
לפי פרסום הרשות, תקלה טכנולוגית במערכת דיגיטלית אפשרה במקרים מסוימים גישה לא מורשית למידע רפואי של מבוטחים. הדוגמה שצוטטה היא מבוטח שפנה, ויכול היה לצפות בתיק הרפואי של אחותו החורגת.
הרשות הדגישה נקודה שצריך לדייק בה: העיצום שעליו דווח הוטל בגין אי-קיום חובת הדיווח המיידי לרשות על אירוע אבטחה חמור לפי תקנה 11(ד)(1). הפרסום אינו מציין כי הוטל עיצום או נקבעה הפרה נפרדת בגין עצם התרחשות התקלה.
זה חשוב משתי סיבות. ראשית, הוא מראה שחובת הדיווח היא חובה עצמאית, עם חשיפה אכיפתית משל עצמה. שנית, הוא מלמד שגם ארגון שפועל לתיקון התקלה עלול להיחשף לעיצום כספי לפי תקנות אבטחת מידע אם הדיווח לרשות מתעכב.
ציר הזמן שיצר את ההפרה
לפי הרשות, זה היה הרצף העובדתי:
| שלב | מה קרה לפי פרסום הרשות |
|---|---|
| נובמבר 2025 | הקופה ידעה על האירוע |
| כחודש וחצי לאחר מכן | התברר שהתקלה רוחבית |
| סוף ינואר 2026 (מועד מדויק לא פורסם) | התקלה תוקנה |
| 27.1.2026 | הדיווח לרשות נמסר |
| 21.7.2026 | הרשות פרסמה על הטלת העיצום |
הודעת הרשות אינה מציינת את המועד המדויק שבו הושלם תיקון התקלה, ולכן לא ניתן לדעת אם התיקון הושלם לפני הדיווח ביום 27.1.2026 או לאחריו.
במילים פשוטות, לפי פרסום הרשות חלפו כחודשיים מפניית המבוטח ועד הדיווח לרשות. מבחינת הרשות, זה מאוחר מדי.
המסר כאן אינו רק כרונולוגי. הוא נוגע לנקודת ההפעלה של החובה. עמדת הרשות היא שחובת הדיווח קמה עם היוודע על אירוע אבטחה חמור, בסמוך למועד הגילוי וללא דיחוי. כלומר, לא מחכים לסיום התחקיר, לא מחכים למיפוי מלא של היקף ההשפעה, ולא מחכים לניסוח "נקי" של כל העובדות.
דיווח מיידי על אירוע אבטחה: מה פירוש "מיידי" לפי עמדת הרשות
בתקנה 11(ד)(1) נקבעה חובת דיווח לרשות על אירוע אבטחה חמור. בפרסום על מאוחדת, הרשות חידדה את הפרשנות המעשית שלה למונח "מיידי".
עמדת הרשות היא שדיווח מיידי אינו דורש תיק חקירה סגור. להיפך. הרשות כתבה כי עמדה שלפיה יש להמתין להשלמת כלל הבדיקות "מרוקנת מתוכן את דרישת 'המיידיות'". במקום זאת, הדיווח הנדרש הוא דיווח ראשוני לפי המידע הידוע באותו שלב, ואחריו ניתן למסור דיווח משלים.
זו פרשנות מעשית מאוד, ולהערכתנו זו גם הנקודה המרכזית שכל ארגון צריך להפנים. בהרבה ארגונים יש אינסטינקט ניהולי להחזיק את האירוע "בתוך הבית" עד שמבינים בדיוק מה קרה. עמדת הרשות הולכת בכיוון ההפוך: אם כבר יש מידע מספק על קיום אירוע חמור, הדיווח לא צריך להמתין.
לפי הפרסום, במקרה הזה הרשות סברה שלכל המאוחר במועד חסימת הרשאות הפונה כבר היה בידי הקופה מידע מספק על קיום אירוע חמור. זהו מבחן פרקטי, לא תיאורטי. השאלה אינה אם הושלמה כל הבדיקה, אלא אם יש כבר בסיס מספיק כדי להבין שמדובר באירוע שמחייב דיווח.
מתי מדובר באירוע אבטחה חמור
החובה לדווח תלויה כמובן בכך שמדובר ב"אירוע אבטחה חמור". בתקנות אבטחת מידע ההגדרה תלויה גם ברמת האבטחה של המאגר.
לשון התקנות מתייחסת לשימוש במידע ללא הרשאה או בחריגה מהרשאה, או לפגיעה בשלמות המידע: ברמת אבטחה גבוהה לגבי המאגר בכלל, וברמת אבטחה בינונית לגבי חלק מהותי מהמאגר.
בדף הדיווח הרשמי (עודכן 12.5.2026) הרשות מפרטת פרשנות מעשית רחבה יותר. ברמת אבטחה גבוהה, לעמדת הרשות חובת הדיווח קמה גם כאשר זוהתה כניסה למערכות המאגר שאפשרה גישה למידע ללא הרשאה, אף אם עדיין לא הוכח שימוש במידע בפועל. ברמת אבטחה בינונית, הרשות מונה גם מצב שבו נוצר עותק של המידע. והרשות מבהירה שפגיעה בשלמות המידע כוללת גם הצפנה או מניעת גישה למידע, גם כשהעותק נשאר בתוך מערכות המאגר. במילים אחרות, לעמדת הרשות גם מתקפת כופרה בלי הוצאת מידע יכולה להיות אירוע החייב בדיווח. חשוב לזכור את המדרג: זו הנחיה מעשית של הרשות, והיא עצמה מציינת בדף שבמקרה של סתירה גוברות הוראות הדין. מבחינת ניהול סיכונים, זהו הרף שהרשות אוכפת לפיו.
במקרה של קופת חולים, עצם ההקשר מלמד שמדובר בעיבוד מידע רפואי, שהוא מידע בעל רגישות מיוחדת. אבל בפרסום הספציפי של הרשות, ההפרה שנקבעה היא כאמור אי-דיווח מיידי, ולא פורסמו שם כל הפרטים הטכניים המלאים על היקף המאגר, מספר נושאי המידע שנפגעו או סכום הבסיס לפני ההפחתות. לא נכון להשלים את החסר.
מה המשמעות הכספית של האיחור
כל הסכומים הם סכומי בסיס (לפני הצמדה למדד); מתעדכנים כל 1 בינואר החל מ-2026 (סעיף 23לב(ב)). במקרה קונקרטי יש לבדוק את הסכום המעודכן החל במועד הקבוע בסעיף 23לב.
לפי המדריך לתיקון 13, הפרת חובת הדיווח לרשות על אירוע אבטחה חמור לפי תקנה 11(ד)(1) נמצאת בקבוצת העיצומים השלישית של תקנות אבטחת מידע.
| רמת אבטחה | סכום בסיס |
|---|---|
| בינונית | 80,000 ש"ח |
| גבוהה | 320,000 ש"ח |
אם מדובר במאגר ברמת אבטחה גבוהה שיש בו מידע על 1,000,000 בני אדם ומעלה, ראש הרשות רשאי להטיל עיצום בסכום כפול (סעיף 23כו(ח) לחוק). הכפל אינו אוטומטי, ואינו חל מכוח הוראה זו על מאגר ברמת אבטחה בינונית. במקרה של מאוחדת הרשות פרסמה רק את הסכום הסופי: 256,000 ש"ח לאחר הפחתות בהתאם להוראות החוק. סכום הבסיס לפני ההפחתות לא פורסם, ולכן לא נכון לשחזר את החישוב.
למי שרוצים תמונה רחבה יותר של מנגנון האכיפה, הרחבנו על כך במדריך על עיצומים כספיים לפי חוק הגנת הפרטיות.
מעבר לכסף, יש כאן גם מחיר תפעולי ותדמיתי. פרסום האכיפה מבהיר בפומבי כיצד הרשות מפרשת את דרישת המיידיות ומצמצם את מרחב אי-הוודאות. מעתה קשה יותר לטעון שהחובה לא הייתה ברורה.
איך לבנות נוהל פנימי שמונע איחור בדיווח
הלקח המעשי מהמקרה אינו "לדווח על כל תקלה". הלקח הוא לבנות מסלול קבלת החלטות קצר וברור.
מומלץ שנוהל הטיפול באירועי אבטחה יכלול לפחות את המרכיבים הבאים:
- טריגר הסלמה מיידי: כל אינדיקציה לגישה לא מורשית, חריגה מהרשאה או פגיעה בשלמות מידע עולה מיידית לבחינה משפטית וציותית.
- בעל תפקיד מכריע בזמן אמת: מי מוסמך להחליט אם קיים בסיס ראשוני לדיווח לרשות.
- הפרדה בין בלימה לבין תחקור: תיקון התקלה והגבלת הגישה אינם מחליפים החלטה על דיווח.
- תבנית דיווח ראשוני: פרטי המקרה הידועים, מועד הגילוי, הפעולות המיידיות שננקטו, וציון שהמידע יעודכן או יושלם לפי הצורך.
- יומן החלטות: תיעוד שעה, תאריך, מי ידע מה, ומתי הוחלט לדווח או לא לדווח.
- מנגנון דיווח משלים: הנוהל צריך להניח מראש שהדיווח הראשון חלקי.
בפרקטיקה, זו אחת הנקודות שבהן ארגונים נופלים. יש להם נוהל IR טכנולוגי, אבל לא נוהל שמחבר בין צוות האבטחה, הלשכה המשפטית, ההנהלה והממונה על הגנת הפרטיות.
מה תפקיד הממונה על הגנת הפרטיות בזיהוי ובהסלמה
אם הארגון חייב במינוי ממונה על הגנת הפרטיות, או מינה כזה וולונטרית, הממונה צריך להיות מעורב מהותית בתהליך. עמדת הרשות בגילוי הדעת בנושא מינוי ממונה היא שהממונה אינו חייב לדווח בעצמו על אירוע אבטחה חמור, אך עליו להיות מעורב בתהליך ולוודא דיווח כדין. הרשות הוסיפה שרצויה מעורבות מהותית בכל הטיפול באירוע.
זה משתלב ישירות עם סעיף 17ב2 לחוק. תפקידי הממונה כוללים בקרה על העמידה בהוראות החוק, וידוא קיומם של נוהל אבטחת מידע ומסמך הגדרות מאגר, וכן תפקיד של איש קשר מול הרשות. תפקידו של ה-DPO אינו תפקיד טכני של ניטור או בלימת האירוע, אבל גם כשהוא אינו הגורם הטכני המטפל, עליו להיות משולב במסלול ההסלמה וההחלטה, ולוודא שהטיפול הטכנולוגי אינו מנתק את הארגון מחובות הדיווח.
בארגונים שמסתמכים על ממונה חיצוני, מה שמכונה כיום DPO as a Service, הנקודה הקריטית היא זמינות. אם הממונה אינו חלק ממסלול ההסלמה הראשוני, הארגון עלול לגלות את האירוע בזמן אבל לקבל החלטה משפטית מאוחר. פירטנו על מבנה העבודה הזה במדריך על ממונה חיצוני.
צ'ק ליסט: מה עושים מיד אחרי גילוי אירוע אבטחה
להלן רשימת פעולות קצרה שמתאימה לרוב הארגונים:
| פעולה | המטרה |
|---|---|
| לעצור או לצמצם את הגישה הבלתי מורשית | בלימת הנזק |
| לתעד מועד גילוי, מקור הדיווח והפעולה הראשונה | יצירת תשתית עובדתית |
| לבדוק אם מדובר בשימוש או גישה ללא הרשאה, יצירת עותק, הצפנה או פגיעה אחרת בשלמות המידע | סיווג משפטי-רגולטורי ראשוני |
| לזהות את רמת האבטחה של המאגר | בחינת חומרת האירוע |
| לערב את הממונה על הגנת הפרטיות, הלשכה המשפטית והנהלה רלוונטית | קבלת החלטה מהירה ומתועדת |
| להכריע אם קיים בסיס ראשוני לדיווח לרשות | עמידה בתקנה 11(ד)(1) |
| למסור דיווח ראשוני ללא דיחוי אם הסף נחצה | צמצום חשיפה אכיפתית |
| להשלים בדיקות ולמסור דיווח משלים לפי הצורך | דיוק ועדכון |
הצ'ק ליסט הזה אינו מחליף נוהל. הוא כן משקף את הלקח המרכזי מהמקרה: קודם עוצרים, מסווגים, מסלימים ומחליטים; אחר כך ממשיכים לחקירה מלאה.
השורה התחתונה
המקרה של מאוחדת מלמד שהרשות רואה בחובת הדיווח המיידי חובה תפעולית אמיתית, לא דרישה טקסית. אם יש לכם מאגר ברמת אבטחה בינונית או גבוהה, ולאחר הערכה ראשונית ומהירה יש בסיס לקבוע שמדובר באירוע אבטחה חמור, אין להמתין להשלמת התחקיר: מוסרים דיווח ראשוני ללא דיחוי ומשלימים את הפרטים בהמשך. במקרה של ספק, ההחלטה צריכה להתקבל מהר, ברמה המקצועית המתאימה ובתיעוד מסודר. לדעתנו, הארגונים שיתמודדו נכון עם האכיפה החדשה יהיו אלה שיכתבו עכשיו נוהל הסלמה קצר, ימנו בעלי תפקידים ברורים, ויתרגלו החלטת דיווח תחת לחץ זמן.
שאלות נפוצות
האם כל אירוע אבטחה מחייב דיווח לרשות?
לא. חובת הדיווח בתקנה 11(ד)(1) חלה על אירוע אבטחה חמור. הסיווג תלוי בין השאר ברמת האבטחה של המאגר ובמאפייני האירוע.
האם מותר להמתין לסיום הבדיקה לפני הדיווח?
לפי עמדת הרשות בפרסום על מאוחדת, לא. הרשות הבהירה שהדיווח הנדרש הוא דיווח ראשוני לפי המידע הידוע, וניתן להשלים פרטים בהמשך.
מה קובעת תקנה 11 לתקנות אבטחת מידע לגבי מיידיות?
התקנה מחייבת דיווח לרשות על אירוע אבטחה חמור. לפי עמדת הרשות, "מיידי" פירושו בסמוך למועד הגילוי וללא דיחוי, לא לאחר השלמת כלל הבדיקות.
האם הממונה על הגנת הפרטיות חייב לדווח בעצמו?
לא בהכרח. עמדת הרשות היא שהממונה אינו חייב לדווח בעצמו, אך עליו להיות מעורב בתהליך ולוודא דיווח כדין.
מה היה העיצום הכספי על מאוחדת?
לפי פרסום הרשות מיום 21.7.2026, הוטל עיצום כספי בסך 256,000 ש"ח לאחר הפחתות בהתאם להוראות החוק.
רוצים שנעבור על ההיערכות שלכם? שיחת היכרות של 15 דקות, בלי התחייבות.
המידע באתר הוא סקירה כללית ואינו ייעוץ משפטי. יישום בארגון ספציפי מחייב בחינה פרטנית.