הרשות להגנת הפרטיות במשרד המשפטים הטילה על קופת חולים מאוחדת עיצום כספי בגובה 256 אלף שקל. זהו הקנס הראשון מאז שתיקון 13 לחוק הגנת הפרטיות נכנס לתוקף, באוגוסט 2025. הסיבה לקנס: הקופה לא דיווחה מיד לרשות על אירוע אבטחת מידע חמור שהתרחש במערכותיה.
מה קרה בפועל
תקלה במערכות הדיגיטליות של מאוחדת אפשרה למבוטחים, במצבים מסוימים, לצפות במידע רפואי רגיש של קרובי משפחה. החשיפה עלתה לראשונה כשמבוטח פנה לקופה. הוא דיווח שהוא רואה את התיק הרפואי של אחותו החורגת. בעקבות הפנייה, הקופה תיקנה את הבעיה – בסוף ינואר 2026.
לפי הרשות, מדובר במאגר מידע גדול, הכולל נתונים אישיים על אוכלוסייה רחבה. בין הנתונים נמצא גם מידע רפואי, המוגדר בחוק "רגיש במיוחד". מאוחדת, מצדה, טענה אחרת: לטענתה, החשיפה בפועל הייתה מוגבלת מאוד. לדבריה, בשנתיים האחרונות רק המבוטח שפנה אכן נחשף למידע של אדם אחר.
לב המחלוקת: מתי חלה חובת הדיווח
הפער בין הצדדים נוגע בעיקר לתזמון. לפי הרשות, מאוחדת ידעה על התקלה כבר בנובמבר 2025. עם זאת, היא דיווחה רק כחודשיים אחר כך – בינואר, ולאחר שסיימה בדיקות פנימיות משלה. עמדת הרשות ברורה: חובת הדיווח המיידי חלה ברגע שמתגלה גישה בלתי מורשית למידע. לכן, אין מקום להמתין להשלמת בירור פנימי, למיפוי היקף הפגיעה, או לאיתור הכשל שגרם לה. במילים אחרות, יש למסור דיווח ראשוני מיד, ולהשלים פרטים נוספים בהמשך.
בפועל, מדובר בהפעלה ממשית של סמכויות האכיפה שתיקון 13 העניק לרשות – כלים שנועדו לשמור על מידע אישי ורגיש של הציבור.
עמדת הרשות
ראש הרשות להגנת הפרטיות, עו"ד גלעד סממה, התייחס למקרה בהודעה לעיתונות. לדבריו, הפרות החוק לאחר התיקון עלולות לגרור סנקציות משמעותיות, כפי שממחיש המקרה הנוכחי. בהתאם לכך, הוא קרא לארגונים "לבחון היטב את מערכות המידע", כדי להבטיח הגנה נאותה על מידע רגיש של אזרחים.
תיקון 13 – הרקע
תיקון 13 נכנס לתוקף באוגוסט 2025, ונחשב לרפורמה המשמעותית ביותר בדיני הפרטיות בישראל זה עשרות שנים. השינוי המרכזי הראשון הוא הרחבת סמכויות הפיקוח והאכיפה של הרשות. בין היתר, כולל הדבר אפשרות להטיל עיצומים כספיים בהיקף של מאות אלפי שקלים, ואף לפתוח בחקירות פליליות. בנוסף, התיקון קובע חובת מינוי ממונה הגנת פרטיות (DPO) בארגונים המעבדים היקפי מידע רגיש גדולים – כגון בתי חולים, בנקים וגופים ציבוריים. יתרה מזאת, הוא מרחיב את הגדרת "מידע רגיש". במקביל, הוא גם מצמצם במידת מה את הבירוקרטיה הטכנית הנדרשת מארגונים.
לפי הרשות, הטיפול בתיק ארך כחצי שנה. התהליך כלל איסוף ראיות, דרישת מסמכים, ושימועים בכתב ובעל פה. מדובר, אם כן, בתיק הראשון שהבשיל לכדי החלטה. ברשות רואים בכך הזדמנות לשדר לשוק מסר ברור: דיווח מיידי על אירועי אבטחת מידע הוא קריטי.
תגובת מאוחדת
מהקופה נמסר כי היא זו שיזמה את הדיווח לרשות, ברגע שהפרטים המדויקים של המקרה התבררו. לטענתה, המקרה נגע למטופל בודד בלבד. עם זאת, בתגובתם הם הביעו ביקורת: דרישת הדיווח המיידי, לדבריהם, אינה תמיד ריאלית, ואינה מותירה זמן לבירור מלא של העובדות. כמו כן, הם הביעו תמיהה על כך שהרשות בחרה להטיל קנס על גוף ציבורי. לסיכום תגובתם, מאוחדת מסרה כי היא בוחנת אפשרות לערער על ההחלטה.
מה זה אומר עבורכם
המקרה של מאוחדת הוא תזכורת חשובה: תיקון 13 אינו רק שינוי רגולטורי תיאורטי. למעשה, הוא כבר מיושם בפועל, עם השלכות כספיות ממשיות – גם על גופים ותיקים ומוכרים. לכן, השאלה שכל ארגון צריך לשאול את עצמו כיום אינה "האם זה יקרה", אלא "האם אנחנו מוכנים אם זה יקרה אצלנו". כמה שאלות מפתח לבדיקה: האם קיים תהליך דיווח מיידי על אירועי אבטחת מידע? האם המידע הרגיש שבידיכם מוגן ומבוקר כנדרש? ולבסוף – האם יש בארגון גורם אחראי (DPO), אם החוק מחייב זאת אצלכם?
לצורך כך, מי שרוצה תמונת מצב ראשונית ומהירה על מידת המוכנות של הארגון שלו לדרישות תיקון 13, מוזמן למלא שאלון קצר כאן.
מבוסס על כתבה מאת נבו טרבלסי, גלובס (21.07.2026) קישור לכתבה
