מנורה-מבטחים נקנסה ב-256,000 שקל: איחרה בדיווח על דליפת מידע

הרשות להגנת הפרטיות במשרד המשפטים קנסה את חברת מנורה-מבטחים ביטוח ב-256,000 שקל, משום שהפרה את חובת הדיווח המיידי על אירועי אבטחה חמורים. מנורה  דיווחה באיחור של למעלה משבועיים על אירוע שבו נחשף מידע אישי של מבוטחים לסוכן ביטוח שלא היה מורשה לעיין בו. הרשות שבה והבהירה, כפי שעשתה בעניינה של קופת חולים מאוחדת (שנקנסה באותו סכום), כי אין להמתין להשלמת התחקור הפנימי או לזיהוי מקור הכשל לצורך דיווח על אירוע אבטחה חמור.

קופ"ח מאוחדת איחרה בדיווח על פרצת אבטחה ונקנסה ב-256,000 שקל

 בהליך בירור מנהלי שניהלה הרשות נמצא, כי סוכן ביטוח קיבל בשגגה הרשאת גישה לדוח שכלל מידע אישי אודות 138 מבוטחים המשויכים לסוכן ביטוח אחר. המידע נשלף ממאגר הלקוחות של החברה, המוגדר ברמת אבטחה גבוהה ומכיל מידע אישי על אודות 2 מיליון איש, לרבות מידע בעל רגישות מיוחדת, כגון מידע פיננסי, נתוני שכר ומידע רפואי. הדוח שנחשף לאותו סוכו כלל  פרטי זיהוי של מבוטחים, מצב משפחתי, פרטי מעסיקים, נתוני שכר, פרטי פוליסות ביטוח, תשלומים וחובות.

אף שהאירוע נודע לחברה כבר ב-12.11.25, הדיווח לרשות הועבר רק ב-27.11.25, לאחר שהחברה השלימה את בדיקותיה הפנימיות. בכך, קבעה הרשות, הפרה החברה את חובתה לדווח לה באופן מיידי על אירוע אבטחה חמור. מנורה טענה, כי חובת הדיווח מתגבשת רק לאחר השלמת הבדיקות הפנימיות ובירור מקור הכשל הטכנולוגי שהוביל לאירוע, תוך אימות שמקור הכשל הוא במערכות החברה. 

הרשות דחתה עמדה זו והבהירה, כי חובת הדיווח המיידי נועדה לאפשר לרשות להפעיל את סמכויות הפיקוח והבקרה שלה בסמוך ככל האפשר למועד גילוי האירוע, גם כאשר מלוא נסיבותיו והיקפו טרם התבררו. אין להמתין להשלמת התחקור הפנימי כתנאי למסירת הדיווח. מטבע הדברים, דיווח ראשוני עשוי להתבסס על תמונת מצב חלקית, וניתן להשלים בהמשך פרטים נוספים, ככל שנדרש. פרשנות שלפיה ניתן לעכב את הדיווח עד להשלמת כלל הבדיקות הפנימיות, אינה מתיישבת עם דרישת המיידיות הקבועה בתקנות ועלולה לסכל את תכליתה. הפרדה טכנולוגית אינה משנה כשלעצמה את רמת האבטחה של מאגר המידע - מדגישה הרשות.

העיצום הופחת ב-60%

טענה נוספת שהעלתה החברה הייתה, כי המידע שנחשף הועבר לתת-מערכת מבודדת, הכוללת היקף מצומצם של מידע, ועל כן יש לראות בה מאגר מידע נפרד ברמת אבטחה בסיסית, שאירוע אבטחה בו אינו מחייב דיווח מיידי לרשות. גם טענה זו נדחתה. הרשות קבעה, כי עצם שליפת המידע ממאגר הלקוחות והצגתו באמצעות מערכת טכנולוגית נפרדת אינן מנתקות, כשלעצמן, את מקור המידע שהוצא ממאגר המוגדר ברמת אבטחה גבוהה. 

הרשות הבהירה, כי לא ניתן להפחית את רמת האבטחה החלה על מאגר מידע רק בשל אופן העברתו, עיבודו או הצגתו של מידע שנשלף ממנו. בחינת רמת האבטחה וחובת הדיווח הנגזרת ממנה נעשית בהתאם למאפייני מאגר המידע ולנסיבות האירוע, ולא על בסיס ההפרדה הטכנולוגית בלבד.

הרשות מציינת, כי בנסיבות האירוע יכולה הייתה לקנוס את מנורה ב-640,000 שקל. לאחר שמיעת טענות החברה, העיצום הופחת ב-60%, בהתחשב בנסיבות הבאות: 20% הפחתה בשל הפרות קודמות בחמש השנים האחרונות; 30% הפחתה בגין דיווח יזום של החברה לרשות (הפסקת ההפרה); 10% הפחתה בגין מינוי ממונה על הגנת הפרטיות כדין.