מנורה מבטחים נקנסה ב-256 אלף שקל על דליפת פרטי מבוטחים

הרשות להגנת הפרטיות במשרד המשפטים הטילה עיצום כספי בסך 256 אלף שקל על חברת מנורה מבטחים ביטוח, לאחר שקבעה כי החברה הפרה את חובתה לדווח באופן מיידי על אירוע אבטחת מידע חמור. במסגרת האירוע נחשף מידע אישי ורגיש של 138 מבוטחים בפני סוכן ביטוח שלא היה מורשה לעיין בו, אך החברה המתינה יותר משבועיים לפני שדיווחה על המקרה לרשויות.

על פי הודעת משרד המשפטים, בירור מנהלי שניהלה הרשות העלה כי סוכן ביטוח קיבל בשגגה הרשאת גישה לדוח שהכיל מידע אישי על מבוטחים שמשויכים לסוכן אחר. הדוח כלל בין היתר פרטי זיהוי, מצב משפחתי, פרטי מעסיקים, נתוני שכר, פרטי פוליסות ביטוח, תשלומים וחובות. המידע נשלף ממאגר הלקוחות של מנורה מבטחים, המכיל פרטים אישיים על כשני מיליון בני אדם ומוגדר ברמת אבטחה גבוהה. המאגר כולל גם מידע בעל רגישות מיוחדת, ובהם נתונים פיננסיים ומידע רפואי, אם כי לא נקבע שמידע רפואי נכלל בדוח הספציפי שנחשף.

מה קדם לזה

לרשות להגנת הפרטיות יש בחודשים האחרונים שורת החלטות אכיפה נגד גופים גדולים שמחזיקים מידע אישי על הציבור. ב-16.9.2026 דיווחנו כי עיריית בית שמש נקנסה ב-64 אלף שקל לאחר שמידע רפואי ונתוני רווחה של אלפי תושבים נחשפו באתר העירייה. ב-8.10.2026 דיווחנו כי משרד החינוך הפר את החוק לאחר שמידע רגיש על כ-21 אלף תלמידי חינוך מיוחד דלף ממערכותיו.

מהחלטת הרשות עולה כי מנורה מבטחים ידעה על האירוע כבר ב-12 בנובמבר, אולם הדיווח לרשות להגנת הפרטיות הועבר רק ב-27 בנובמבר, לאחר שהחברה השלימה את בדיקותיה הפנימיות. ברשות קבעו כי ההמתנה להשלמת הבדיקות מהווה הפרה של חובת הדיווח המיידי על אירוע אבטחה חמור, שנקבעה בתקנות הגנת הפרטיות.

במסגרת ההליך טענה מנורה מבטחים כי חובת הדיווח מתגבשת רק לאחר השלמת התחקור הפנימי ובירור מקור הכשל הטכנולוגי שהוביל לחשיפת המידע. לטענת החברה, היה צורך לוודא תחילה שמקור התקלה אכן נמצא במערכותיה. הרשות דחתה את הטענה והבהירה כי ארגונים אינם רשאים להמתין עד להשלמת התחקיר לפני שהם מדווחים על אירוע אבטחה חמור, וכי גם כאשר נסיבות האירוע אינן ברורות במלואן, יש להעביר דיווח ראשוני ולהשלים את הפרטים בהמשך.

מנורה מבטחים העלתה טענה נוספת, לפיה המידע שנחשף הועבר לתת-מערכת מבודדת הכוללת היקף מצומצם של מידע, ולכן יש לראות בה מאגר נפרד ברמת אבטחה בסיסית שאינו מחייב דיווח מיידי. גם טענה זו נדחתה, לאחר שהרשות קבעה כי העברת מידע ממאגר בעל רמת אבטחה גבוהה למערכת נפרדת אינה מפחיתה כשלעצמה את רמת האבטחה החלה עליו.

בהתאם להוראות חוק הגנת הפרטיות, סכום העיצום הכספי הראשוני שנקבע לחברה עמד על 640 אלף שקל, בין היתר בשל העובדה שמדובר במאגר מידע ברמת אבטחה גבוהה הכולל פרטים על יותר ממיליון בני אדם. עם זאת, לאחר בחינת נסיבות המקרה ושמיעת טענות החברה, הוחלט להפחית את הקנס בשיעור מצטבר של 60 אחוזים.

ההפחתה ניתנה בשל היעדר הפרות קודמות בחמש השנים האחרונות, הדיווח היזום שהעבירה החברה בסופו של דבר ומינוי ממונה על הגנת הפרטיות כנדרש בחוק. בעקבות ההפחתה נקבע סכום העיצום הסופי על 256 אלף שקל.

עורכת הדין עדי מנחם באר, מנהלת מערך האכיפה ברשות להגנת הפרטיות, התייחסה להחלטה ואמרה: "תקנות הגנת הפרטיות קובעות חובה מפורשת לדווח לרשות באופן מיידי על אירוע אבטחה חמור. חובה זו קמה עם היוודע דבר התרחשותו של אירוע העונה להגדרה הקבועה בתקנות, ואינה מותנית בהשלמת תחקור פנימי, בזיהוי מקור הכשל או במיצוי פעולות הטיפול באירוע".

מנחם באר הוסיפה כי על חברות וארגונים להיערך מראש למקרים מסוג זה ולדווח גם כאשר תמונת המצב חלקית. "אין בפעולות בירור וטיפול פנים-ארגוניות, חשובות ככל שיהיו, כדי להצדיק עיכוב בדיווח. דרישת המיידיות נועדה לאפשר לרשות להפעיל את סמכויות הפיקוח שלה בסמוך לגילוי האירוע ולפעול לצמצום הסיכון לפגיעה בפרטיות הציבור", הדגישה.

עוד מהדיווחים

לפי ביזפורטל, הרשות להגנת הפרטיות ציינה כי עיצום דומה בסך 256 אלף שקל הוטל בעבר גם על קופת חולים מאוחדת, שאיחרה בדיווח על פרצת אבטחה דומה. לפי ביזפורטל, ההפחתה של 60% בעיצום התפרשה ל-20% בשל היעדר הפרות קודמות, 30% בשל דיווח יזום של החברה ו-10% בשל מינוי ממונה על הגנת הפרטיות כדין. לפי JDN, האירוע אירע ב-12 בנובמבר 2025 והדיווח לרשות הועבר רק ב-27 בנובמבר 2025.

למה זה חשוב

התקרית מזכירה שחברות ביטוח מחזיקות מידע אישי ורגיש על מיליוני אזרחים, כולל נתונים פיננסיים ולעיתים רפואיים. הקנס נועד להרתיע חברות מלעכב דיווח על אירועי אבטחה, כך שמבוטחים אצל מנורה מבטחים וגופים דומים יכולים לצפות לטיפול מהיר יותר אם מידע שלהם ייחשף בעתיד.

המקרה מצטרף לשורת החלטות אכיפה של הרשות להגנת הפרטיות נגד גופים פיננסיים וביטוחיים בשנים האחרונות, בניסיון להחמיר את האכיפה סביב חובות הדיווח המיידי על אירועי אבטחת מידע. לא ידוע אם מנורה מבטחים בכוונתה לערער על ההחלטה או על גובה הקנס.