לא דיווחה בזמן על אירוע אבטחה: מאוחדת נקנסה ב-256 אלף שקל

הרשות להגנת הפרטיות במשרד המשפטים הטילה עיצום כספי בסך 256 אלף שקל על קופת חולים מאוחדת, לאחר שקבעה כי לא עמדה בחובתה לדווח באופן מיידי על אירוע אבטחה חמור שבמסגרתו התאפשרה גישה בלתי מורשית למידע רפואי של מבוטחים.

ההליך החל בעקבות פנייה של מבוטח ללשכה המשפטית של הקופה, לאחר שגילה כי הוא מסוגל לצפות בתיקה הרפואי של אחותו החורגת. בעקבות הדיווח התברר כי מדובר במאגר מידע הכולל פרטים אישיים של מספר רב מאוד של אנשים, ובהם גם מידע רפואי ומידע בעל רגישות מיוחדת.

מהבירור המנהלי שערכה הרשות עלה כי מאוחדת הייתה מודעת לאירוע כבר בחודש נובמבר 2025, אולם הדיווח לרשות הועבר רק בינואר 2026. במהלך התקופה שבין גילוי האירוע לבין הדיווח המשיכה הקופה בבדיקות, וכחודש וחצי לאחר החשיפה הראשונית התברר כי אין מדובר במקרה נקודתי בלבד.

לפי ממצאי הבדיקה, בהתקיים שילוב של תנאים מסוימים התאפשר למבוטחים לצפות במידע רפואי של קרובי משפחתם, אף שלא היו מורשים לכך. בסוף חודש ינואר 2026 השלימה מאוחדת פיתוח שנועד לתקן את התקלה, והיא תוקנה.

בקופת החולים טענו כי האפשרות לצפייה שלא בהתאם להרשאה הייתה זמינה רק למספר מצומצם של אנשים, וכי במהלך השנתיים האחרונות רק המבוטח שפנה לקופה נחשף בפועל למידע שלא היה אמור להיות נגיש עבורו.

ברשות להגנת הפרטיות הדגישו כי חובת הדיווח לרשות אינה מתחילה רק לאחר השלמת כלל הבדיקות או בירור מלוא נסיבות האירוע. לדבריה, עצם גילויו של אירוע אבטחה חמור מחייב דיווח מיידי, גם אם בשלב הראשון התמונה העובדתית עדיין חלקית. עוד הבהירה הרשות כי ניתן להעביר דיווח ראשוני ובהמשך להשלים את המידע באמצעות דיווחים נוספים.

עוד קבעה הרשות כי חובת הדיווח אינה מושפעת ממקור התקלה, מהגורם שאחראי לטיפול בה, מהיקפה או ממספר המבוטחים שנפגעו. לפי עמדתה, גם תקלה נקודתית, טעות או אי-הבנה עשויות להיחשב לאירוע אבטחה חמור, אם הן מאפשרות גישה בלתי מורשית למידע אישי או רפואי.

ראש הרשות להגנת הפרטיות, עו"ד גלעד סממה, התייחס להחלטה: "הפרות של חוק הגנת הפרטיות לאחר כניסתו לתוקף של תיקון 13 טומנות בחובן סנקציות ועיצומים כספיים משמעותיים, כפי שניתן להיווכח גם במקרה זה. על החברות והארגונים לבחון היטב את מערכות המידע על מנת לעמוד על כך שהמידע הרגיש של אזרחי ישראל מוגן באופן מיטבי".