הרשות להגנת הפרטיות הטילה על חברת מנורה מבטחים ביטוח עיצום כספי של 256 אלף שקל, לאחר שקבעה כי החברה הפרה את חובת הדיווח המיידי על אירוע אבטחת מידע חמור. לפי הודעת הרשות מ־22 באוקטובר, סוכן ביטוח קיבל בשגגה הרשאת גישה לדוח הכולל מידע אישי על 138 מבוטחים ששויכו לסוכן אחר. החברה דיווחה על כך לרשות רק לאחר יותר משבועיים מהמועד שבו נודע לה על האירוע.
האירוע התגלה לחברה בנובמבר 2025. לפי ממצאי הבירור המנהלי, המידע כלל בין היתר פרטי זיהוי, מצב משפחתי, פרטי מעסיקים, נתוני שכר, פוליסות וחובות. הרשות ציינה כי הדוח נשלף ממאגר לקוחות ברמת אבטחה גבוהה שבו שמור מידע על כשני מיליון בני אדם. עם זאת, נתון זה מתייחס לגודל המאגר, ולא למספר המבוטחים שמידע עליהם נחשף באירוע הנדון.
החברה טיפלה בהרשאות, אך דיווחה באיחור
לפי הרשות, החברה גילתה את האירוע בעקבות תלונה שהתקבלה ב־12 בנובמבר 2025, והסירה את הרשאות הגישה כעבור מספר ימים. ההודעה לרשות נמסרה ב־27 בנובמבר. במסגרת ההליך טענה מנורה מבטחים, בין היתר, כי המידע הוצג בתת־מערכת נפרדת שרמת האבטחה שלה בסיסית, וכי לפני דיווח יש להשלים את הבדיקה הפנימית ולברר מה מקור התקלה.
הרשות דחתה את העמדות האלה. לדבריה, הדרישה לדיווח מיידי על אירוע אבטחה חמור אינה תלויה בכך שהארגון כבר יודע להסביר כיצד אירע הכשל או מה היקפו המדויק. ניתן למסור דיווח ראשוני על בסיס המידע שכבר ידוע ולהשלים פרטים בהמשך. עוד נקבע כי הצגת מידע באמצעות מערכת נפרדת אינה משנה כשלעצמה את רמת האבטחה של המאגר שממנו נשלף.
מ־640 אלף שקל ל־256 אלף
סכום העיצום הבסיסי שקבעה הרשות עמד על 640 אלף שקל. הוא הופחת ב־60% בסך הכול, בין היתר בהתחשב בהיעדר הפרות קודמות בחמש השנים האחרונות, בפעולות החברה להפסקת ההפרה ובדיווח שמסרה מיוזמתה, וכן במינוי ממונה על הגנת הפרטיות. סכום העיצום הסופי הועמד על 256 אלף שקל.
מבחינת ארגונים המחזיקים מידע אישי, המסר המרכזי של ההחלטה הוא סדר הפעולות: בירור טכנולוגי וטיפול בתקלה הם חיוניים, אך כאשר מתקיימים התנאים המחייבים דיווח על אירוע אבטחה חמור, אין להשתמש בהמתנה למסקנות התחקיר כנימוק לדחיית ההודעה לרגולטור.
