היום, 21 ביולי 2026, פרסמה הרשות להגנת הפרטיות הודעה לפיה הטילה לראשונה עיצום כספי מכוח תיקון 13 לחוק הגנת הפרטיות, בסך 256,000 ש"ח, על קופת חולים מאוחדת. מדובר בעיצום כספי ראשון שמטילה הרשות מאז כניסתו לתוקף של תיקון 13, והוא מהווה אינדיקציה ברורה לכך שהרשות מתכוונת לעשות שימוש בפועל בסמכויות האכיפה המינהליות החדשות שהוקנו לה.
לפי הודעת הרשות, העיצום הוטל בגין אי-דיווח מיידי על אירוע אבטחה חמור במערכות קופת החולים, אשר אפשר, בנסיבות מסוימות, גישה לא מורשית למידע רפואי של מבוטחים. מן הבירור המינהלי עלה כי הקופה ידעה על האירוע כבר בנובמבר 2025, אך דיווחה עליו לרשות רק כחודשיים לאחר מכן, לאחר השלמת בדיקות ותיקון התקלה.
בהודעתה הדגישה הרשות כי חובת הדיווח המיידי לפי תקנה 11(ד) לתקנות הגנת הפרטיות (אבטחת מידע) קמה עם היוודע על אירוע אבטחה חמור, וכי אין להמתין להשלמת כלל הבדיקות בטרם מסירת הדיווח. לשיטת הרשות, דיווח ראשוני צריך להימסר בסמוך למועד הגילוי ועל בסיס המידע הקיים באותה עת, כאשר ניתן להשלים פרטים נוספים בהמשך בדיווחים משלימים. במקרה זה קבעה הרשות כי לכל המאוחר במועד שבו כבר היה בידי הקופה מידע מספק בדבר קיומו של אירוע אבטחה חמור, היה עליה לדווח לרשות ללא דיחוי, ומשלא עשתה כן – הופרה חובת הדיווח.
נזכיר כי תיקון 13 לחוק הגנת הפרטיות, שנכנס לתוקף באוגוסט 2025, הרחיב באופן משמעותי את סמכויות הפיקוח והאכיפה של הרשות להגנת הפרטיות. בין היתר, לראשונה עוגנה בחוק סמכות הרשות להטיל עיצומים כספיים בגין הפרות של הוראות החוק והתקנות, לצד הרחבת כלי האכיפה המינהליים והפליליים. סכומי העיצומים משתנים בהתאם, בין היתר, לסוג ההפרה, היקפה ומאפייני הארגון המפר, ובמקרים מסוימים עשויים להגיע גם לסכומים של מיליוני שקלים.
החלטה זו ממחישה את מגמת ההקשחה באכיפה בתחום דיני הפרטיות ואבטחת המידע. על רקע זה, מומלץ לארגונים לבחון את הנהלים הפנימיים שלהם לזיהוי, הסלמה, תיעוד ודיווח על אירועי אבטחה, ולוודא כי קיימים מנגנונים המאפשרים קבלת החלטה מהירה ומבוססת בשאלה האם מתעוררת חובת דיווח לרשות.
בפרט, אנו ממליצים לארגונים שטרם השלימו את היערכותם לעמידה בהוראות חוק הגנת הפרטיות ותקנותיו לפעול כעת להשלמת הפערים, וכן להטמיע מנגנוני ממשל תאגידי לניהול אירועי אבטחת מידע המחייבים דיווח, באופן שיבטיח זיהוי מוקדם, טיפול על ידי הגורמים הרלוונטיים בארגון, קבלת החלטות ודיווח במועד כנדרש.
