קופ"ח מאוחדת איחרה בדיווח על פרצת אבטחה ונקנסה ב-256,000 שקל
הקופה למדה בנובמבר שעבר על פרצה המאפשרת לצפות בנתונים רגישים של בני משפחה, אך דיווחה לרשות להגנת הפרטיות רק בינואר השנה. המאוחדת: החלטה תמוהה, שוקלים לערער
הרשות להגנת הפרטיות במשרד המשפטים הטילה עיצום כספי בסך 256,000 שקל על קופת חולים מאוחדת, בהמשך לדיווח של הרשות על אירוע אבטחה חמור. הרשות מסרה, כי זהו העיצום הראשון שהטילה מאז כניסתו לתוקף אשתקד של תיקון 13 לחוק הגנת הפרטיות.
בינואר השנה דיווחה הקופה לרשות על תקלה טכנולוגית במערכת דיגיטלית שלה, שאפשרה במקרים מסוימים גישה לא מורשית למידע רפואי של מבוטחים. הרשות חשדה שהדיווח לא היה מיידי כפי שמחייבות תקנות הגנת הפרטיות, היא פתחה בהליך בירור מנהלי.
ההליך מצא, כי לקופה נודע על האירוע כבר בנובמבר 2025, אך כאמור היא דיווחה עליו רק לאחר חודשיים. האירוע החל בעקבות פנייה של אחד המבוטחים ללשכה המשפטית של המאוחדת, בה נאמר כי ביכולתו לצפות בתיקה הרפואי של אחותו החורגת.
מאגר המידע שבו התרחש האירוע כולל מידע אישי על מספר רב מאוד של נושאי מידע, לרבות מידע בעל רגישות מיוחדת המתייחס למצב בריאותו של אדם, ובכלל זה מידע רפואי כהגדרתו בחוק זכויות החולה. לאחר חודש וחצי, בעקבות בדיקות שערכה הקופה, התברר לה, כי התקלה במאגר המידע הייתה רוחבית, ושילוב של תנאים מסוימים - יכלו מבוטחים לצפות במידע רפואי של קרובי משפחתם.
בסוף ינואר 2026 ביצעה הקופה פיתוח לתיקון התקלה והיא תוקנה. לטענת המאוחדת, הצפייה בניגוד להרשאה התאפשרה רק למספר מצומצם של אנשים, ובשנתיים האחרונות רק הפונה נחשף בפועל למידע. כאמור, הרשות קבעה שהמאוחדת הפרה את חובת הדיווח המיידי, ולאחר ששמעה את טענותיה – הטילה עליה עיצום כספי, הנמוך מזה המירבי.
אין לחכות לסיום הטיפול בתקלה
הרשות מדגישה, כי חובת הדיווח המיידי קמה עם היוודע על התרחשותו של אירוע אבטחה חמור, ויש לקיימה בסמוך למועד הגילוי וללא דיחוי. העמדה לפיה יש לעכב את הדיווח עד להשלמת כל הבדיקות, זיהוי התקלה, היקפה והשלכותיה - מרוקנת מתוכן את דרישת המיידיות הקבועה בתקנות.
הרשות מציינת, כי ייתכנו מצבים בהם במועד הדיווח לא תהיה בידי הגורם המדווח התמונה העובדתית המלאה באשר לאירוע. מטעם זה, הדיווח הנדרש הוא דיווח ראשוני, המבוסס על המידע הידוע באותו מועד, וככל שמתבררים פרטים נוספים במהלך בחינת האירוע, ניתן להשלימם בהמשך בדיווח משלים.
הרשות מבהירה, כי התקנות אינן מתנות את חובת הדיווח המיידי במקורו של האירוע או בזהות הגורם המטפל בו. השאלה הרלוונטית היא האם נודע לארגון שאירעה גישה בלתי מורשית למידע, שימוש בלתי מורשה בו או פגיעה בשלמות המידע, ולא מהו הכשל שהוביל לכך, האם הוא רוחבי וכמה בני אדם הושפעו ממנו.
ייתכנו מצבים בהם תקלה נקודתית, טעות או אי-הבנה יהוו כשלעצמם אירוע אבטחה חמור המחויב בדיווח מיידי, אם הן מאפשרות גישה בלתי מורשית למידע או פוגעות בשלמותו. בנסיבות המקרה המדובר, לכל המאוחר במועד שבו נחסמו הרשאותיו של הפונה - כבר היה בידי המאוחדת מידע מספק המלמד על קיומו של אירוע אבטחה חמור, שכאמור חייב דיווח מיידי.
המאוחדת אומרת בתגובה: "הקופה היא זו שיזמה דיווח לרשות ברגע שהתבררו הפרטים של המקרה הנקודתי, שנגע למטופל אחד בלבד. הדרישה לדיווח מיידי לעיתים אינה ריאלית ולא מאפשרת בירור מלא של הפרטים לטובת דיווח. תמוה בעינינו שהרשות בוחרת להטיל קנס על ארגון ציבורי, ובכוונתנו לבחון אפשרות לערער על ההחלטה".
