הקנס חסר התקדים שספגה קופת חולים מאוחדת
הרשות להגנת הפרטיות הטילה את הקנס בסך 256 אלף שקל לאחר שמאוחדת דיווחה באיחור של כחודשיים על תקלה שאפשרה למבוטחים לצפות במידע רפואי של קרובי משפחתם. זהו העיצום הראשון שמוטל מאז כניסתו לתוקף של תיקון 13 לחוק הגנת הפרטיות באוגוסט 2025
קופת חולים מאוחדת תשלם רבע מיליון שקל לקופת המדינה - עיצום כספי שהטילה עליה הרשות להגנת הפרטיות במשרד המשפטים. העיצום הוטל בעקבות אי קיום חובת הדיווח המיידי על אירוע אבטחה חמור שהתרחש במערכות קופת החולים כמתחייב על פי חוק הגנת הפרטיות והתקנות מכוחו.
מדובר באירוע שבו מידע רפואי ואישי רגיש היה חשוף לעיני אחרים, שהחל בעקבות פנייה של אחד ממבוטחי קופת החולים ללשכה המשפטית של הקופה, שבה ציין שבאפשרותו לצפות בתיקה הרפואי של אחותו החורגת. לדברי הרשות להגנת הפרטיות, מדובר בפעם הראשונה שבה מוטל עיצום כספי שכזה מאז כניסתו לתוקף של תיקון 13 לחוק הגנת הפרטיות באוגוסט 2025.
מהודעת הרשות עולה כי היא פתחה בהליך בירור מנהלי נגד קופת חולים מאוחדת, בהמשך לדיווח על אירוע אבטחה חמור שהעבירה מאוחדת לרשות בינואר השנה. מאוחדת דיווחה כי התגלתה תקלה טכנולוגית במערכת דיגיטלית של הקופה, שאפשרה במקרים מסוימים גישה לא מורשית למידע רפואי של מבוטחים. בהודעת הרשות היום נכתב כי "בשל יסוד סביר להניח כי הדיווח לא היה מיידי, כנדרש בתקנה 11(ד) לתקנות הגנת הפרטיות (אבטחת מידע), פתחה הרשות בהליך בירור מנהלי בעניין". במסגרת הליך הבירור עלה שלמאוחדת נודע על האירוע המדובר כחודשיים קודם לכן - כבר בנובמבר 2025, אך היא לא דיווחה עליו באופן מיידי כמתחייב בדין.
מבדיקת הרשות עולה כי מאגר המידע שבו התרחש האירוע כולל מידע אישי על מספר רב מאוד של נושאי מידע, לרבות מידע בעל רגישות מיוחדת המתייחס למצב בריאותו של אדם, ובכלל זה מידע רפואי כהגדרתו בחוק זכויות החולה. לדברי הרשות, חודש וחצי לאחר הפנייה הראשונית של המבוטח שצפה בפרטי התיק של אחותו החורגת, ובעקבות בדיקות שערכה הקופה, התברר כי התקלה במאגר המידע הייתה רוחבית, "ובהתקיים שילוב של תנאים מסוימים יכלו מבוטחים לצפות במידע רפואי של קרובי משפחתם". לדברי הרשות להגנת הפרטיות, בסוף ינואר 2026 ביצעה מאוחדת פיתוח לתיקון התקלה והיא תוקנה. לטענת הקופה, הצפייה בניגוד להרשאה התאפשרה רק למספר מצומצם של אנשים ובשנתיים האחרונות רק הפונה נחשף בפועל למידע.
הרשות הודיעה היום כי לאחר בחינת ממצאי הבירור המנהלי, ולאחר שקילת טענות הקופה בעניין, היא קבעה שמאוחדת הפרה את חובת הדיווח המיידי על האירוע לרשות. בגין הפרה זו הטילה על הקופה עיצום כספי בגובה 256 אלף שקל, לאחר הפחתות בהתאם להוראות החוק.
הרשות מדגישה בהודעתה כי "חובת הדיווח המיידי קמה עם היוודע על התרחשותו של אירוע אבטחה חמור, ויש לקיימה בסמוך למועד הגילוי וללא דיחוי. עמדה אחרת לפיה יש להמתין עם הדיווח עד להשלמת כלל הבדיקות, זיהוי התקלה, היקפה והשלכותיה, מרוקנת מתוכן את דרישת 'המיידיות' הקבועה בתקנות. יתכנו מצבים בהם במועד הדיווח לא תהיה בידי הגורם המדווח התמונה העובדתית המלאה באשר לאירוע. מטעם זה, הדיווח הנדרש הינו דיווח ראשוני, המבוסס על המידע הידוע במועד הדיווח, וככל שמתבררים פרטים נוספים במהלך בחינת האירוע, ניתן להשלימם בהמשך בדיווח משלים".
עוד הבהירה הרשות להגנת הפרטיות כי התקנות אינן מתנות את חובת הדיווח המיידי במקורו של האירוע או בזהות הגורם המטפל בו. "השאלה הרלוונטית היא האם נודע לחברה כי אירעה גישה בלתי מורשית למידע, שימוש בלתי מורשה בו או פגיעה בשלמות המידע, ולא מהו הכשל שהוביל לכך, האם הוא רוחבי וכמה מבוטחים הושפעו ממנו", מסרה הרשות. היא הוסיפה כי "יתכנו מצבים בהם תקלה נקודתית, טעות או אי-הבנה יהוו כשלעצמם אירוע אבטחה חמור המחויב בדיווח מיידי, מקום שבו הן מאפשרות גישה בלתי מורשית למידע או פוגעות בשלמותו. בנסיבות מקרה זה, לכל המאוחר במועד שבו נחסמו הרשאותיו של הפונה, כבר היה בידי הקופה מידע מספק המלמד על קיומו של אירוע אבטחה חמור. האירוע דווח בפועל רק כחודשיים לאחר מכן".
מקופת חולים מאוחדת נמסר בתגובה: "הקופה היא זו שיזמה דיווח לרשות ברגע שהתבררו הפרטים של המקרה הנקודתי, שנגע למטופל אחד בלבד. הדרישה לדיווח מיידי לעיתים אינה ריאלית ולא מאפשרת בירור מלא של הפרטים לטובת דיווח. תמוה בעינינו שהרשות בוחרת להטיל קנס על ארגון ציבורי, ובכוונתנו לבחון אפשרות לערער על ההחלטה".
ראש הרשות להגנת הפרטיות, עו"ד גלעד סממה, מסר כי "הפרות של חוק הגנת הפרטיות לאחר כניסתו לתוקף של תיקון 13 טומנות בחובן סנקציות ועיצומים כספיים משמעותיים, כפי שניתן להיווכח גם במקרה זה. על החברות והארגונים לבחון היטב את מערכות המידע על מנת לעמוד על כך שהמידע הרגיש של אזרחי ישראל מוגן באופן מיטבי".
מנהלת מערך האכיפה ברשות, עו"ד עדי מנחם באר, הוסיפה כי ״חובת הדיווח המיידי על אירועי אבטחת מידע חמורים קמה עם היוודע על האירוע, ואין להמתין להשלמת כלל הבדיקות של הגוף בו התרחש האירוע. הרשות לא תקבל פרשנויות המרוקנות מתוכן את דרישת המיידיות. באחריותם של בעלי שליטה ומחזיקים במאגרי מידע, ובפרט כשמדובר בארגונים שהם בעלי שליטה של מאגרי מידע עם מידע בעל רגישות מיוחדת בהיקפים גדולים, לייצר את המנגנונים המתאימים על מנת לקיים את חובת הדיווח המיידי לפי הדין".
