קופת חולים מאוחדת ספגה השבוע קנס חסר תקדים של 256 אלף שקל מהרשות להגנת הפרטיות, צעד המסמן עידן חדש באכיפה בישראל. העיצום הוטל בעקבות עיכוב של כחודשיים בדיווח על אירוע אבטחה חמור - תקלה רוחבית שאפשרה למבוטחים לצפות במידע רפואי רגיש של קרוביהם. לטענת הרשות, הקופה ידעה על האירוע כבר בנובמבר 2025 אך לא דיווחה עליו באופן מיידי.
● חובת מינוי ממונה הגנת הפרטיות: מה צריך לדעת על תיקון החוק
● דעה | תיקון 13 לחוק הגנת הפרטיות: צעד חשוב - אך ההיערכות אליו לוקה בחסר
הקנס הזה אינו מקרי, אלא מהווה את הפעלת הסמכויות הראשונה מאז כניסתו לתוקף של "תיקון 13 לחוק הגנת הפרטיות". התיקון, שנכנס לתוקף באוגוסט 2025, הוא השינוי המקיף והמשמעותי ביותר שנעשה בדיני הפרטיות בישראל מזה עשרות שנים. הוא מרחיב דרמטית את סמכויות הפיקוח והאכיפה של הרשות להגנת הפרטיות, ומעניק לה כלים פליליים לצד היכולת להטיל עיצומים כספיים כבדים בסך מאות אלפי שקלים.
בנוסף, התיקון קובע חובת מינוי ממונה הגנת פרטיות (DPO) בארגונים המעבדים מידע רגיש בהיקף נרחב - כמו בתי חולים, בנקים וגופים ציבוריים - מרחיב את הגדרות המידע הרגיש, ובמקביל מפחית בירוקרטיה על-ידי צמצום רגולציה טכנית.
כעת, הרשות מעבירה הילוך וממירה את הסמכויות החדשות הללו באכיפה אגרסיבית בשטח. לגלובס נודע כי המקרה של קופת חולים מאוחדת אינו אירוע בודד, וכי הוא למעשה רק מסמן את יריית הפתיחה של "עידן תיקון 13". כך, מאז כניסתו לתוקף של התיקון, מנהלת הרשות מעל ל-100 תיקי אכיפה נגד גופים משמעותיים במשק.
הקנסות שבדרך - והעימות על מועד הדיווח
בכל אחד מן התיקים שבוחנת הרשות יש פוטנציאל לסנקציה כספית, שיכולה להגיע, על-פי הערכות שהגיעו לגלובס, עד למיליוני שקלים. סכום העיצומים נגזר מהוראות החוק ותלוי בסוג ההפרה, היקף המידע ורגישותו.
למרות שחלק מהתיקים עדיין מתבררים, וישנן בקשות להפחתת קנסות - הכיוון ברור, והקנסות צפויים לנוע בין מאות אלפי שקלים למיליונים, כך לפי הוראות החוק המפורטות. עם זאת, בשלב זה של ההליכים לא ניתן להעריך באילו סכומים מדובר.
עוד נודע לגלובס כי בעת הקרובה צפויות להתקבל החלטות בתיקים נוספים שכבר התקיים בהם הליך שימוע, כאשר גורמים הבקיאים בפרטים מעריכים כי חברות רבות טרם השלימו את ההליכים הנדרשים לעמידה ברגולציה החדשה.
הרשות עוקבת אחר ההפרות, בין אם בעקבות דיווח מאוחר ובין אם בבדיקות יזומות. לאחר טיפול מיידי לבלימת דלף המידע, מתחיל הליך ארוך של איסוף ראיות, שימועים בכתב ובעל-פה וקביעת גובה הקנס - תהליך שעשוי לארוך חודשים, כפי שקרה במקרה של קופת חולים מאוחדת, שהדיווח לגביה הוגש בינואר, ואילו הקנס הוטל ביולי.
עמדת הרשות, כפי שמשתקפת בתיק מאוחדת, היא שחובת הדיווח קמה מיד כשנודע על ההפרה, ואין להמתין לסיום הבדיקות הפנימיות.
מקופת חולים מאוחדת נמסר בתגובה: "הדרישה לדיווח מיידי לעתים אינה ריאלית ולא מאפשרת בירור מלא של הפרטים לטובת דיווח. תמוה בעינינו שהרשות בוחרת להטיל קנס על ארגון ציבורי, ובכוונתנו לבחון אפשרות לערער על ההחלטה".
מנגד, ברשות הגנת הפרטיות רואים חשיבות רבה בכך שהתיק ייצג מסר ברור לשוק.
החברות התחילו להרגיש את הלחץ
עו"ד גיא בקשי, ראש תחום שירותי ממונה הגנת פרטיות במשרד פרל כהן, אומר לגלובס כי "העיצום הראשון לפי תיקון 13 לחוק הוא איתות ברור שהרשות להגנת הפרטיות מצפה מארגונים להיות מוכנים מראש, ולא להסביר בדיעבד".
לדברי בקשי, "התיקון נתן לרשות שיניים - והיא מוכנה לנשוך". הוא מסביר: "המסר הוא שפרטיות ואבטחת מידע אינן רק סוגיה משפטית אלא פונקציה ניהולית שוטפת. צריך להגדיר מראש מי אחראי, איך מזהים אירוע, איך מתעדים אותו ואיך מדווחים בזמן".
הוא מוסיף כי למרות שחובת הדיווח המיידי בישראל קשיחה מאוד ביחס למדינות אחרות המעניקות זמן רב יותר, אין להתווכח עם המסקנה - ארגון שלא נערך מראש, יתקשה לפעול נכון בזמן אירוע.
ד"ר עו"ד דן חי, מומחה להגנת הפרטיות והסייבר, מסביר לגלובס כי ההשפעה של תיקון 13 לחוק הגנת הפרטיות מורגשת היטב בשטח. "מרבית החברות הגדולות הקדישו זמן, משאבים ומאמץ כדי להתאים עצמן לדרישות החדשות", הוא מציין. "לצד זאת, יש גם חברות שלא השלימו את ההתאמות, והשבוע כבר התחלנו להרגיש לחץ בשוק בעקבות הפעלת סמכויות האכיפה של הרשות לראשונה על קופת חולים מאוחדת. עם כל הצער הכרוך באכיפה ובקנסות כספיים משמעותיים, מהזווית של הגנת הפרטיות מדובר בהתפתחות חיובית שגורמת לחברות ליישר קו".
עם זאת, ד"ר חי קורא להתאמות באופי האכיפה. לטענתו, במאגרים המכילים מידע על למעלה מ-100 אלף איש, גם דלף הנוגע לאדם אחד נחשב לאירוע אבטחה, ואין הבחנה מספקת בין סוגי האירועים.
"כיום אין הבחנה בין מתקפת סייבר איראנית לבין כשל טכנולוגי או טעות אנוש תמימה של עובד ששלח מייל לכתובת הלא נכונה", הוא מתריע. מצב זה, לדבריו, מייצר שגרת דיווחים עצומה לרשות, שעלולה להוביל לפספוס של אירועי האמת החמורים.
