משפט

מנורה מבטחים נקנסת במאות אלפי שקלים: "אירוע אבטחה חמור"

הרשות להגנת הפרטיות הטילה על חברת הביטוח עיצום כספי של 256,000 שקל, לאחר שמידע אישי של 138 מבוטחים נחשף לסוכן ביטוח שלא היה מורשה לעיין בו. החברה דיווחה על האירוע באיחור של יותר משבועיים, והרשות דחתה את טענותיה בנוגע לחובת הדיווח ולרמת האבטחה של המידע

מערכת ice | 22/10/2026 14:33

הרשות להגנת הפרטיות במשרד המשפטים הטילה עיצום כספי בסך 256,000 שקל על חברת מנורה מבטחים ביטוח בע"מ, בעקבות הפרת החובה לדווח באופן מיידי על אירוע אבטחה חמור. ההחלטה התקבלה לאחר שבמסגרת בירור מנהלי נמצא כי מידע אישי של 138 מבוטחים נחשף לסוכן ביטוח שלא היה מורשה לעיין בו, וכי החברה העבירה דיווח לרשות רק לאחר שהשלימה את בדיקותיה הפנימיות.

לפי ממצאי הרשות, סוכן ביטוח קיבל בשגגה הרשאת גישה לדו"ח שכלל מידע אישי על מבוטחים המשויכים לסוכן אחר. המידע נשלף ממאגר הלקוחות של מנורה מבטחים, המוגדר ברמת אבטחה גבוהה ומכיל מידע אישי על כ-2 מיליון בני אדם, לרבות פרטים בעלי רגישות מיוחדת, ובהם מידע פיננסי, נתוני שכר ומידע רפואי.

הדו"ח שנחשף כלל, בין היתר, פרטי זיהוי של מבוטחים, מצב משפחתי, פרטי מעסיקים, נתוני שכר, פרטי פוליסות ביטוח, תשלומים וחובות. האירוע עורר את שאלת חובת הדיווח של החברה לרשות להגנת הפרטיות ואת המועד שבו היה עליה למסור את המידע על אודות החשיפה.

על פי ההחלטה, האירוע נודע למנורה מבטחים כבר ב-12 בנובמבר 2025, אולם הדיווח לרשות הועבר רק ב-27 בנובמבר 2025, יותר משבועיים לאחר מכן. הרשות קבעה כי ההמתנה להשלמת הבדיקות הפנימיות לפני מסירת הדיווח אינה עולה בקנה אחד עם חובת הדיווח המיידי הקבועה בתקנות הגנת הפרטיות (אבטחת מידע).

במסגרת ההליך טענה החברה כי חובת הדיווח מתגבשת רק לאחר השלמת הבדיקות הפנימיות ובירור מקור הכשל הטכנולוגי, לרבות אימות שהכשל התרחש במערכותיה. הרשות דחתה את הטענה והבהירה כי אין צורך להמתין לסיום התחקור הפנימי או לבירור מלא של נסיבות האירוע כדי לדווח עליו.

בהחלטתה ציינה הרשות כי מטרת חובת הדיווח המיידי היא לאפשר לה להפעיל את סמכויות הפיקוח והבקרה שלה סמוך ככל האפשר למועד גילוי האירוע, גם כאשר מלוא נסיבותיו והיקפו עדיין אינם ידועים. ניתן למסור דיווח ראשוני המבוסס על המידע הקיים באותו שלב, ולהשלים פרטים נוספים בהמשך, ככל שיידרש.

הרשות דחתה גם את טענת החברה שלפיה המידע שנחשף הועבר לתת-מערכת מבודדת, הכוללת היקף מצומצם של מידע, ולכן יש להתייחס אליה כאל מאגר נפרד ברמת אבטחה בסיסית, שאינו מחייב דיווח מיידי. לפי ההחלטה, העובדה שהמידע הוצג באמצעות מערכת טכנולוגית נפרדת אינה מנתקת את הקשר בינו לבין מאגר הלקוחות שממנו נשלף, המוגדר ברמת אבטחה גבוהה.

הרשות הבהירה כי אין להפחית את רמת האבטחה החלה על מאגר מידע רק בשל אופן העברתו, עיבודו או הצגתו במערכת אחרת. בחינת רמת האבטחה וחובת הדיווח נגזרת ממאפייני המאגר ומנסיבות האירוע, ולא מההפרדה הטכנולוגית כשלעצמה.

סכום העיצום הכספי הראשוני שנקבע בהתאם להוראות חוק הגנת הפרטיות עמד על 640,000 שקל, בין היתר לנוכח העובדה שמדובר במאגר ברמת אבטחה גבוהה הכולל מידע על יותר ממיליון בני אדם. לאחר שמיעת טענות החברה, הופחת הסכום בשיעור מצטבר של 60%, והוא הועמד על 256,000 שקל.

ההפחתה הורכבה מ-20% בגין היעדר הפרות קודמות בחמש השנים האחרונות, 30% בגין דיווח יזום של החברה לרשות, שבמסגרתו הופסקה ההפרה, ו-10% בגין מינוי ממונה על הגנת הפרטיות כדין.

עו"ד עדי מנחם באר, מנהלת מערך האכיפה ברשות להגנת הפרטיות, הדגישה כי החובה לדווח באופן מיידי קמה כאשר נודע על אירוע העונה להגדרה של אירוע אבטחה חמור בתקנות, ואינה מותנית בהשלמת התחקור הפנימי, בזיהוי מקור הכשל או בסיום פעולות הטיפול באירוע.

עוד ב-

קופת חולים מאוחדת חשפה פרטים של מטופלים: ותשלם קנס עצום

לכתבה המלאה

לדבריה, על ארגונים למסור דיווח ראשוני גם כאשר תמונת המצב עדיין חלקית, ולהשלים פרטים בהמשך לפי הצורך. היא הוסיפה כי על חברות להיערך באמצעות מנגנונים פנימיים שיאפשרו דיווח בזמן, וכי פעולות בירור וטיפול בתוך הארגון, חשובות ככל שיהיו, אינן מצדיקות עיכוב בדיווח לרשות. מטרת הדרישה היא לאפשר פיקוח סמוך ככל האפשר לגילוי האירוע ולפעול לצמצום הסיכון לפגיעה בפרטיות הציבור.