מידע רגיש של מבוטחים נחשף לסוכן ביטוח: מנורה מבטחים תיקנס ב-256 אלף שקל
סוכן ביטוח קיבל בטעות גישה למידע אישי של 138 מבוטחים, שכלל בין היתר נתוני שכר, פרטי פוליסות וחובות. מנורה מבטחים דיווחה לרשות להגנת הפרטיות רק כעבור 15 ימים, בטענה שנדרשה להשלים את הבדיקות הפנימיות. הרשות דחתה את הטענות והבהירה כי על אירוע אבטחה חמור יש לדווח באופן מיידי, גם לפני השלמת התחקיר
חברת הביטוח מנורה מבטחים תיקנס ב-256 אלף שקל בעקבות אי דיווח מיידי על אירוע אבטחה חמור. כך קבעה הרשות להגנת הפרטיות במשרד המשפטים.
הרשות הטילה על מנורה את העיצום הכספי לאחר שחברת הביטוח דיווחה באיחור של למעלה משבועיים על אירוע שבו נחשף מידע אישי של מבוטחים לסוכן ביטוח שלא היה מורשה לעיין בו. הרשות הבהירה כי "אין להמתין להשלמת התחקור הפנימי או לזיהוי מקור הכשל לצורך דיווח על אירוע אבטחה חמור".
במסגרת הליך בירור מנהלי שניהלה הרשות, נמצא כי סוכן ביטוח קיבל בשגגה הרשאת גישה לדו"ח שכלל מידע אישי אודות 138 מבוטחים המשויכים לסוכן ביטוח אחר. המידע נשלף ממאגר הלקוחות של מנורה מבטחים, המוגדר ברמת אבטחה גבוהה ומכיל מידע אישי על כשני מיליון בני אדם, לרבות מידע בעל רגישות מיוחדת, כמו מידע פיננסי, נתוני שכר ומידע רפואי. הדו"ח שנחשף כלל, בין היתר, פרטי זיהוי של מבוטחים, מצב משפחתי, פרטי מעסיקים, נתוני שכר, פרטי פוליסות ביטוח, תשלומים וחובות.
לפי הרשות להגנת הפרטיות, אף שהאירוע נודע למנורה מבטחים כבר ב-12 בנובמבר 2025, הדיווח לרשות הועבר רק ב-27 בנובמבר, לאחר שהחברה השלימה את בדיקותיה הפנימיות. בכך, קבעה הרשות, הפרה החברה את חובתה לדווח באופן מיידי על אירוע אבטחה חמור.
במסגרת ההליך טענה מנורה, בין היתר, כי חובת הדיווח מתגבשת רק לאחר השלמת הבדיקות הפנימיות ובירור מקור הכשל הטכנולוגי שהוביל לאירוע, תוך אימות שמקור הכשל הוא במערכות החברה. אולם, הרשות להגנת הפרטיות דחתה עמדה זו והבהירה כי "חובת הדיווח המיידי נועדה לאפשר לרשות להפעיל את סמכויות הפיקוח והבקרה שלה בסמוך ככל האפשר למועד גילוי האירוע, גם כאשר מלוא נסיבותיו והיקפו טרם התבררו".
בהחלטתה הדגישה הרשות כי אין להמתין להשלמת התחקור הפנימי כתנאי למסירת הדיווח. מטבע הדברים, קבעה הרשות, דיווח ראשוני עשוי להתבסס על תמונת מצב חלקית, וניתן להשלים בהמשך פרטים נוספים, ככל שנדרש. אולם, על פי הרשות, פרשנות שלפיה ניתן לעכב את הדיווח עד להשלמת כלל הבדיקות הפנימיות אינה מתיישבת עם דרישת המיידיות הקבועה בתקנות ועלולה לסכל את תכליתה.
טענה נוספת שהעלתה מנורה הייתה כי המידע שנחשף הועבר לתת-מערכת מבודדת, הכוללת היקף מצומצם של מידע, ועל כן יש לראות בה מאגר מידע נפרד ברמת אבטחה בסיסית, שאירוע אבטחה בו אינו מחייב דיווח מיידי לרשות. אולם הרשות דחתה גם טענה זו וקבעה כי "עצם שליפת המידע ממאגר הלקוחות והצגתו באמצעות מערכת טכנולוגית נפרדת אינן מנתקות, כשלעצמן, את מקור המידע שהוצא ממאגר המוגדר ברמת אבטחה גבוהה".
הרשות הבהירה כי לא ניתן להפחית את רמת האבטחה החלה על מאגר מידע רק בשל אופן העברתו, עיבודו או הצגתו של מידע שנשלף ממנו. "בחינת רמת האבטחה וחובת הדיווח הנגזרת ממנה נעשית בהתאם למאפייני מאגר המידע ולנסיבות האירוע, ולא על בסיס ההפרדה הטכנולוגית בלבד", קבעה הרשות.
סכום העיצום הכספי הראשוני שקבעה הרשות להגנת הפרטיות שעל מנורה לשלם היה 640 אלף שקל, בשל כך שמדובר במאגר מידע ברמת אבטחה גבוהה הכולל מידע על יותר ממיליון בני אדם. אולם לאחר שמיעת טענות החברה, הופחת סכום העיצום בשיעור מצטבר של 60% בגין היעדר הפרות קודמות בחמש השנים האחרונות, בעקבות דיווח יזום של החברה לרשות (הפסקת ההפרה) ובשל מינוי ממונה על הגנת הפרטיות כדין.
עו"ד עדי מנחם באר, מנהלת מערך האכיפה ברשות להגנת הפרטיות מסרה כי "ההחלטה בעניינה של מנורה מבטחים מבהירה כי אין בפעולות בירור וטיפול פנים-ארגוניות, חשובות ככל שיהיו, כדי להצדיק עיכוב בדיווח. דרישת המיידיות נועדה לאפשר לרשות להפעיל את סמכויות הפיקוח שלה בסמוך לגילוי האירוע ולפעול לצמצום הסיכון לפגיעה בפרטיות הציבור".
ממנורה מבטחים נמסר בתגובה: "מדובר באירוע נקודתי במערכת פנימית המשמשת את סוכני הקבוצה, אשר נגע למספר מצומצם ביותר של מבוטחים, וטופל באופן מיידי ויסודי. העיצום הכספי הוטל אך ורק בגין מועד הדיווח, שנבע מהצורך לבצע בדיקה מעמיקה, ולא על מהות המקרה עצמו. מנורה מבטחים מחויבת באופן בלתי מתפשר להוראות הדין ולהגנה על פרטיות לקוחותיה".
