האיחור בדיווח, לא הדליפה: הקנס הראשון בישראל
העיצום הראשון בישראל מכוח תיקון 13, 256,000 שקל, הוטל ב-21 ביולי 2026 על איחור בדיווח ולא על הדליפה עצמה. הרשות להגנת הפרטיות קבעה שחובת הדיווח קמה עם היוודע האירוע, שהדיווח הנדרש הוא ראשוני לפי הידוע באותו רגע, ושאין להמתין לסיום הבירור הפנימי. דיווח עצמי יזום מזכה בהפחתה של 30%.
לקוח מתקשר ואומר שהוא רואה במערכת פרטים של מישהו אחר. ברגע הזה מתחיל שעון, ובישראל כבר יש לו מחיר ידוע. העיצום הראשון שהוטל אי פעם מכוח תיקון 13 לחוק הגנת הפרטיות לא ניתן על הדליפה, אלא על האיחור בדיווח עליה: ב-21 ביולי 2026 הטילה הרשות להגנת הפרטיות עיצום כספי של 256,000 שקל על קופת חולים מאוחדת, מפני שהדיווח לרשות הגיע כחודשיים אחרי הפנייה שחשפה את התקלה. ההיגיון שמאחורי ההחלטה נוגע לכל עסק שמנהל מאגר לקוחות, גם עסק של חמישה אנשים.
בקצרה
העיצום הראשון בישראל מכוח תיקון 13, 256,000 שקל, הוטל ב-21 ביולי 2026 על איחור בדיווח ולא על הדליפה עצמה. הרשות להגנת הפרטיות קבעה שחובת הדיווח קמה עם היוודע האירוע, שהדיווח הנדרש הוא ראשוני לפי הידוע באותו רגע, ושאין להמתין לסיום הבירור הפנימי. דיווח עצמי יזום מזכה בהפחתה של 30%.
מה בדיוק קרה בתיק מאוחדת?
תקלה טכנולוגית במערכת דיגיטלית של הקופה איפשרה במקרים מסוימים גישה לא מורשית למידע רפואי של מבוטחים. מאוחדת ידעה על האירוע כבר בנובמבר 2025, והדיווח לרשות הועבר ב-27 בינואר 2026. לפי הודעת הרשות להגנת הפרטיות מ-21 ביולי 2026, על הפער הזה הוטל עיצום כספי של 256,000 שקל, וההודעה מציינת במפורש שהסכום הזה הוא כבר לאחר הפחתות לפי הוראות החוק. זהו העיצום הראשון שהוטל מכוח תיקון 13 לחוק הגנת הפרטיות, שנכנס לתוקף ב-14 באוגוסט 2025 לפי המדריך המקצועי של הרשות להגנת הפרטיות ממאי 2025.
ופרט אחד בהודעה שווה עצירה. האירוע התגלה בעקבות פנייה של מבוטח שסיפר כי באפשרותו לצפות בתיק הרפואי של אחותו החורגת, וכחודש וחצי לאחר מכן, בעקבות בדיקות שערכה הקופה, התברר שהתקלה רוחבית. הרשות מתארת את הדיווח כמי שהגיע כחודשיים לאחר פניית המבוטח. כלומר השעון לא התחיל כשהתמונה המלאה התבררה. הוא התחיל בטלפון הראשון.
בעסק קטן התגובה האינסטינקטיבית לתקלה היא לתקן קודם ולהסביר אחר כך, וכאן זה נגמר ביוקר. התיקון הטכני חשוב, והוא לא מחליף את ההודעה. הזמן שנדרש כדי להבין לעומק מה קרה אינו זמן שהתקנה מאפשרת לקחת לפני שמדווחים.
ושווה לשים לב למה שהעיצום הזה לא היה. הוא לא הוטל על הפגם שאיפשר את החשיפה, ולא על היקף הנזק למבוטחים. העילה שנקבעה היא אי-דיווח מיידי על אירוע אבטחה חמור. הכשל שנשא את המחיר הוא כשל נוהל, לא כשל טכנולוגי. וזו בדיוק הסיבה שהתקדים רלוונטי לעסק קטן: הסיכוי שלו למנוע כל תקלה אפסי, והשליטה שלו בנוהל הדיווח מלאה.
למה הרשות קבעה שאסור להמתין לסיום הבירור הפנימי?
כי לעמדת הרשות חובת הדיווח קמה עם היוודע האירוע, והדיווח הנדרש הוא דיווח ראשוני על בסיס המידע הידוע במועד הדיווח. הטענה שיש להשלים קודם את הבירור הפנימי ולהגיש תמונה שלמה נדחתה במפורש בהחלטה מ-21 ביולי 2026. ההיגיון עולה מלשון התקנה עצמה.
התקנה מפצלת את החובה לשני חלקים, וזה כל ההסבר. תקנה 11(ד)(1) לתקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, שפורסמו ב-8 במאי 2017 ומופיעות באתר הרשות להגנת הפרטיות, קובעת: "אירע אירוע אבטחה חמור, יודיע על כך בעל המאגר לרשם באופן מיידי, וכן ידווח לרשם על הצעדים שנקט בעקבות האירוע". נוסח התקנות המלא, כפי שפורסם בידי התאחדות התעשיינים בישראל, מציג את אותה לשון. הודעה, שהיא מיידית. ודיווח על הצעדים שננקטו, שמטבעו מגיע אחר כך.
מי שממתין לסיום הבירור כדי לדווח מחזיק את שני החלקים ביד עד שהתשובות מוכנות, ומאחר בחלק שהתקנה דורשת עליו מיידיות. ותקנה 11(ד)(2) מוסיפה נדבך: הרשם רשאי להורות לבעל המאגר, למעט בעל מאגר מן המנויים בסעיף 13(ה) לחוק, ולאחר שנועץ בראש הרשות הלאומית להגנת הסייבר, להודיע על האירוע לנושא מידע שעלול להיפגע. כלומר ההחלטה על יידוע הלקוחות אינה בהכרח החלטה של העסק לבדו. זו סיבה נוספת לא לעכב את ההודעה הראשונה.
מה נחשב אירוע אבטחה חמור, ועל מי חלה חובת הדיווח?
לא כל תקלה היא אירוע חמור, ולא כל עסק חייב לדווח. חובת הדיווח לפי תקנה 11(ד) חלה על מאגרים ברמת אבטחה בינונית וגבוהה, ולא על מאגרים ברמה הבסיסית, וזה נובע מכך שהתקנות מגדירות "אירוע אבטחה חמור" לשתי הרמות האלה בלבד. ברמת אבטחה בינונית ההגדרה בתקנות אבטחת המידע מ-2017 היא אירוע "שנעשה בו שימוש בחלק מהותי מן המאגר, בלא הרשאה או בחריגה מהרשאה או שנעשתה פגיעה בשלמות המידע לגבי חלק מהותי מן המאגר". ברמה הגבוהה ההגדרה רחבה יותר ומוותרת על התנאי של "חלק מהותי". כך זה מוצג גם בהמדריך המלא לתקנות אבטחת מידע של הרשות להגנת הפרטיות.
שתי המילים שקובעות כאן מושכות לכיוונים הפוכים, וכדאי לא לבלבל ביניהן. "בחריגה מהרשאה" רחבה יותר ממה שנשמע: עובד שנכנס לרשומות שלא נדרשו לתפקידו הוא חריגה מהרשאה, לא רק האקר חיצוני. הפגם במאוחדת לא היה פריצה כלל, אלא תצורה שאיפשרה גישה למי שלא היה אמור לקבל אותה. "חלק מהותי", לעומת זאת, דווקא מצמצמת. המדריך של הרשות מסביר שככלל מדובר באירוע חריג בחומרתו בשל היקף המידע שנמצא בסיכון, כלומר שימוש בכמות ניכרת של מידע להבדיל מרשומה בודדת, ומציע לבחון זאת לפי מספר המערכות שנפגעו, סוגן, ומשך האירוע, כל מקרה לפי נסיבותיו.
ויש כאן פרט אחד שמפיל הרבה הערכות עצמיות. המדריך של הרשות מזכיר ש"שימוש" מוגדר בחוק הגנת הפרטיות גם כגילוי, העברה ומסירה, ולכן ברמת אבטחה גבוהה גם מי שרק צפה במידע בלי לבצע שום פעולה נוספת, בלי להעתיק ובלי להוריד, יצר אירוע אבטחה חמור. הרבה עסקים מניחים שבלי הורדת קובץ אין אירוע. זו הנחה שגויה.
מי נמצא ברמה בינונית בפועל? לפי לשון התוספת הראשונה לתקנות אבטחת המידע מ-2017, אלה הדוגמאות המובהקות בעסקים קטנים:
קליניקה או מטפל עצמאי
מידע רפואי או על מצב נפשי מכניס את המאגר לרמה בינונית לפחות, גם כשמדובר במטפל יחיד.
רואה חשבון, יועץ מס, עורך דין
מידע על נכסים, חובות ומצב כלכלי, בתוספת חובת סודיות מקצועית שחוסמת את מסלול ההקלה ליחיד.
עסק שחצה עשרה בעלי הרשאה
ההקלה שמורידה מרמה בינונית לבסיסית, כשהסיווג נובע מסוגי המידע שבפרט 1(3), תלויה בכך שמספר בעלי ההרשאה אינו עולה על עשרה. בעל הרשאה נוסף יכול להזיז את הרמה.
מאגר עם 100,000 נושאי מידע ומעלה
חצייה של הסף הזה, או של 100 בעלי הרשאה, מעבירה לרמה גבוהה, ואיתה לעיצום גבוה פי ארבעה על אותה הפרה.
סיווג מדויק של עסק שנמצא על הגבול תלוי בספירת בעלי ההרשאה, במיפוי סוגי המידע ובמספר נושאי המידע, וזו נקודה שבה שווה ייעוץ משפטי ולא הערכה עצמית. עסק שרוצה לצמצם מראש את מספר בעלי ההרשאה ואת נקודות החשיפה בכלים שבשימוש יומיומי ימצא אצלנו הנחיות מעשיות במדריך על הגבלת גישה וחשבונות ב-ChatGPT בעסק קטן.
כמה עולה איחור בדיווח, ומה מקטין את הסכום?
80,000 שקל ברמת אבטחה בינונית, 320,000 שקל ברמה גבוהה, והסכומים מוכפלים כאשר במאגר יותר ממיליון נושאי מידע. אלה העיצומים הנקובים על הפרת חובת הדיווח לפי תקנה 11(ד)(1), לפי טבלת העיצומים במדריך הרשות ממאי 2025. זו החשיפה התיאורטית, לפני נסיבות מקלות ולפני התקרות.
ומכאן מתחיל הצד השני של המשוואה, שהוא בדיוק הצד שעסק קטן שולט בו:
הפחתה של 30% על הפסקה יזומה ודיווח
לפי מדריך הרשות ממאי 2025, מפר שהפסיק את ההפרה מיוזמתו ודיווח עליה לרשות זכאי להפחתה של 30%. זהו הפריט הגדול ביותר ברשימת ההפחתות.
הפחתה של 20% על מניעת הישנות
נקיטת פעולות למניעת הישנות ההפרה ולהקטנת הנזק מזכה בהפחתה נוספת. ההפחתות במדריך מצטברות עד 70%.
תקרה של 5% מהמחזור השנתי
המדריך ממאי 2025 קובע שבכל מקרה לא יוטל עיצום כספי כולל העולה על 5% ממחזור העסקאות השנתי של המפר.
תקרות ייעודיות לעסק קטן וזעיר
התוספת החמישית קובעת תקרות נפרדות לעסקים קטנים, שמחזורם השנתי בין 4 ל-10 מיליון שקל, ולעסקים זעירים שמחזורם עד 4 מיליון שקל.
הסכום שמופיע בטבלה הוא נקודת מוצא, לא גזר דין. וההפחתה הגדולה ביותר ברשימה ניתנת בדיוק על ההתנהגות שמאוחדת לא הפגינה בזמן: עצירה יזומה ודיווח.
פרוטוקול השעה הראשונה, ברגע שהאירוע נודע
בשעה הראשונה לא מנסים להבין מה קרה. עוצרים את הגישה, מקבעים את שעת הידיעה, ושולחים הודעה ראשונית. הבירור מתחיל במקביל ונמשך ימים. חמישה צעדים, בסדר הזה, נגזרים מלשון תקנה 11(ד)(1) ומהקביעה של הרשות מיולי 2026:
לעצור את הגישה
לנתק את המשתמש, לכבות את הקישור הפתוח, לבטל את ההרשאה. הפסקה יזומה של ההפרה היא תנאי להפחתה של 30%.
לקבע את שעת הידיעה
מי דיווח, למי, ובאיזו שעה. זהו הרגע שממנו נמדדת המיידיות, ולכן הוא הנתון הראשון שראוי לרשום, לפני כל בירור.
לשמור ראיות במקום למחוק
לוגים, צילומי מסך והודעת הלקוח שהצביע על התקלה. מחיקה נמהרת פוגעת גם בבירור וגם ביכולת להראות מה נעשה.
לשלוח את ההודעה הראשונית לרשות
בלי להמתין לתשובות. הרשות קבעה ביולי 2026 שהדיווח הנדרש הוא ראשוני, על בסיס המידע הידוע באותו מועד.
לפתוח את הבירור ולתעד צעדים
החלק השני של תקנה 11(ד)(1) הוא דיווח לרשם על הצעדים שננקטו בעקבות האירוע. הוא מגיע אחרי ההודעה, לא במקומה.
אדם בלולאה נשאר כאן בכוונה בכל שלב. אף אחד מהצעדים האלה אינו מתאים להפעלה אוטומטית, גם בעסק שרגיל להעביר משימות לנהלי המשכיות עסקית בימי חירום.
מה נכנס לדיווח ראשוני כשכמעט כלום לא ידוע עדיין?
נכנס בדיוק מה שידוע באותו רגע, ותו לא: מה קרה, מתי נודע, איזה מאגר מעורב, אילו סוגי מידע, מה ההיקף המשוער, ומה נעשה כדי לעצור. הרשות קבעה ביולי 2026 שזהו טיבו של הדיווח הראשוני, ולכן "טרם ידוע" הוא תשובה לגיטימית בשדות שעדיין ריקים.
תיאור עובדתי קצר
מה נצפה בפועל, בשתי שורות, בלי ניתוח סיבות ובלי הערכות אחריות.
מועד היוודע האירוע
תאריך ושעה, ומי הגורם שדרכו התקבל המידע. זה הנתון שמולו נמדדת המיידיות.
המאגר וסוגי המידע
איזה מאגר, ואם יש בו מידע בעל רגישות מיוחדת כגון מידע רפואי או נתוני שכר ופעילות פיננסית.
היקף משוער
כמה נושאי מידע עלולים להיות מושפעים, כטווח הערכה מוצהר, ולא כמספר סופי.
הצעדים שכבר ננקטו
ניתוק גישה, ביטול הרשאה, סגירת קישור. זהו הרכיב שהתקנה דורשת לדווח עליו לצד ההודעה.
איש קשר יחיד
שם, טלפון ודוא"ל של מי שמנהל את האירוע מצד העסק, כדי שהמשך הבירור לא יתגלגל בין אנשים.
מה שלא נכנס לדיווח ראשוני חשוב לא פחות: השערות על זהות האחראי, הבטחות לגבי היקף שטרם נבדק, וניסוחים שנועדו למזער. תיאור מדויק של מצב חלקי עדיף על תיאור מלוטש של מצב מדומיין, וזה נכון גם כשמנסחים אותו בעזרת כלי AI, שנוטה להשלים פערים בביטחון מיותר. מי שרוצה להבין את הסיכון הזה לעומק ימצא אותו אצלנו בכתבה על הזיות של מודלים בעסק קטן.
מי מחליט בעסק, ומתי מערבים עורך דין?
מחליט אדם אחד ששמו נקבע מראש, לא ועדה שמתכנסת אחרי שהתקלה כבר התגלתה. בעסק קטן זה בדרך כלל הבעלים או מנהל התפעול, והשם הזה צריך להיות רשום לצד מספר טלפון זמין, כי אירועים כאלה נוטים להתגלות בשעות לא נוחות.
אירוע אבטחה חמור הוא אחד המקרים שבהם שווה לערב עורך דין, ולא בדיעבד. שלוש שאלות שנופלות מיד בתחילת האירוע הן שאלות משפטיות במובהק: האם המקרה עונה להגדרת אירוע חמור לפי הרמה שחלה על המאגר, מה בדיוק לנסח בהודעה לרשות, והאם ומתי ליידע את הלקוחות עצמם, בשים לב לכך שתקנה 11(ד)(2) מסמיכה את הרשם להורות על יידוע כזה. גם ניסוח ההודעה ללקוחות הוא ניסוח משפטי, לא ניסוח שיווקי, ובעסק שכבר רגיל להיעזר ב-AI לקריאת מסמכים משפטיים קל לשכוח שהכלי מסביר, ולא מייעץ.
ונאמר כאן במפורש: הכתבה הזו היא מידע, לא ייעוץ משפטי. היא מתארת מה קובעות התקנות ומה קבעה הרשות בהחלטה מ-21 ביולי 2026, על סמך המסמכים עצמם. ארבעה מצבים קונקרטיים מצדיקים עורך דין. הראשון, כשלא ברור אם המקרה עולה כדי "חלק מהותי מן המאגר" ולכן אם בכלל קמה חובת דיווח. השני, כשהעסק נמצא על הגבול בין רמות האבטחה, למשל בסביבות עשרה בעלי הרשאה, ולכן לא ברור אם תקנה 11(ד) חלה עליו כלל, נושא שמפורק במפת ארבע רמות אבטחת המידע. השלישי, כשמעורב מידע בעל רגישות מיוחדת כמו מידע רפואי או נתוני שכר. והרביעי, כשהאירוע נוגע בעיבוד שמבצע ספק חיצוני, ואז נכנסות לתמונה גם חובות ההסכם וההודעה שתקנה 15 מטילה על אותו ספק.
מסמך עמוד אחד שכדאי להכין מראש
המסמך שמונע את הכשל של מאוחדת אינו נכתב תוך כדי אירוע, אלא לפניו, והוא מחזיק עמוד אחד. המטרה שלו צנועה: שברגע האמת אף אחד לא יחפש למי מתקשרים ומה כותבים.
רמת האבטחה של המאגר
שורה אחת שקובעת אם חובת הדיווח לפי תקנה 11(ד) חלה, ומתי נבדקה הקביעה לאחרונה.
מי מחליט ומי מחליף
שם, טלפון, וגיבוי אחד. בלי שם קונקרטי, ההחלטה נופלת בין הכיסאות בדיוק ברגע הקריטי.
רשימת המערכות ובעלי ההרשאה
איפה יושב מידע הלקוחות ומי ניגש אליו. הרשימה הזו גם קובעת את רמת האבטחה וגם מקצרת את הבירור.
תבנית ההודעה הראשונית
ששת השדות שלמעלה, מוכנים למילוי, כולל שדות שמותר להשאיר בהם "טרם ידוע".
פרטי עורך דין ואיש מחשוב
שני מספרים שמחייגים אליהם בשעה הראשונה, כדי שהחיפוש אחריהם לא יוסיף יום לשעון.
לצד המסמך הזה יושבת חובה שקטה שחלה על כל בעל מאגר בכל רמה, לפי תקנות אבטחת המידע מ-2017: בדיקה אחת לשנה אם מוחזק מידע עודף שאינו דרוש עוד למטרות המאגר. פחות מידע שמור פירושו פחות מידע שיכול לדלוף, ומאגר קטן יותר גם מקטין את החשיפה הכספית, שמחושבת לפי מספר נושאי המידע.
ומה אם האירוע מערב כלי AI?
נכון ל-31 באוגוסט 2026 לא פורסמה בישראל החלטת אכיפה בעניין הזנת מידע אישי לכלי AI. העיצום היחיד שהוטל מכוח תיקון 13 הוא זה של מאוחדת, שעסק באיחור בדיווח. אבל עמדת הרגולטור בנושא כבר כתובה.
טיוטת הנחיית הרשות להגנת הפרטיות בנושא תחולת החוק על מערכות בינה מלאכותית, מ-28 באפריל 2025, מזהה כסיכון גם "הסתייעות של עובדים במערכות חיצוניות אלה, אף שלא במסגרת התקשרות רשמית של הארגון", ודורשת מדיניות ארגונית שקובעת מי מורשה להשתמש, אילו סוגי מידע מותר לחשוף, ואילו אפליקציות מותרות ואסורות. וזו עדיין טיוטה שטרם הפכה להנחיה סופית, כלומר כוונת אכיפה של הרשות ולא נורמה מחייבת. מי שמפעיל בקרה על חשבונות והתחברויות פעילות בכלי AI כבר מחזיק חלק מהתשתית שהמסמך מבקש.
הצעד לפעולה של השבוע
צעד אחד, פחות משעה: לפתוח מסמך בשם "אירוע אבטחה", לרשום בו את שם מקבל ההחלטה ואת מספר הטלפון שלו, את רשימת המערכות שמחזיקות מידע לקוחות, ואת ששת השדות של ההודעה הראשונית כתבנית ריקה. לשמור אותו במקום שאפשר להגיע אליו מהטלפון, כי אירועים כאלה לא מחכים לשעות המשרד. במאוחדת החלק היקר לא היה התקלה, אלא השבועות שעברו עד שמישהו הרים טלפון.
שאלות נפוצות
תוך כמה זמן צריך לדווח לרשות על אירוע אבטחה?
תקנה 11(ד)(1) לתקנות אבטחת המידע מ-2017 מחייבת להודיע לרשם "באופן מיידי". בהחלטתה מ-21 ביולי 2026 קבעה הרשות להגנת הפרטיות שהחובה קמה עם היוודע האירוע, ושהדיווח הנדרש הוא דיווח ראשוני על בסיס המידע הידוע באותו מועד. אין להמתין לסיום הבירור הפנימי.
מה נחשב אירוע אבטחה חמור לפי התקנות?
ברמת אבטחה בינונית, תקנות אבטחת המידע מ-2017 מגדירות אירוע חמור כאירוע שנעשה בו שימוש בחלק מהותי מן המאגר בלא הרשאה או בחריגה מהרשאה, או שנפגעה שלמות המידע לגבי חלק מהותי מן המאגר. גישה של עובד לרשומות שמעבר להרשאתו נכללת בהגדרה, לא רק פריצה חיצונית.
על מה בדיוק נקנסה מאוחדת ב-256,000 שקל?
לפי הודעת הרשות להגנת הפרטיות מ-21 ביולי 2026, העיצום הוטל בשל אי-דיווח מיידי על אירוע אבטחה חמור, ולא בשל הדליפה עצמה. פגם מערכתי איפשר למבוטחים לצפות במידע רפואי של בני משפחה, מאוחדת ידעה על כך בנובמבר 2025 ודיווחה בינואר 2026. זהו העיצום הראשון מכוח תיקון 13.
כמה יכול לעלות איחור בדיווח לעסק קטן?
לפי מדריך הרשות ממאי 2025, העיצום על הפרת חובת הדיווח עומד על 80,000 שקל ברמה בינונית ועל 320,000 שקל ברמה גבוהה, ומוכפל מעל מיליון נושאי מידע. מנגד, הפסקה יזומה של ההפרה ודיווח מזכות בהפחתה של 30%, קיימת תקרה של 5% מהמחזור השנתי, ונקבעו תקרות ייעודיות לעסקים קטנים וזעירים.
האם חובת הדיווח חלה על כל עסק?
חובת הדיווח לפי תקנה 11(ד) חלה על מאגרים ברמת אבטחה בינונית וגבוהה, ולא על מאגרים ברמה הבסיסית. קליניקה המחזיקה מידע רפואי, רואה חשבון או יועץ מס, ועסק שחצה עשרה בעלי הרשאה ומחזיק מידע פיננסי, נמצאים בדרך כלל ברמה בינונית לפחות. סיווג של עסק גבולי מצדיק ייעוץ משפטי.
האם צריך גם ליידע את הלקוחות שנפגעו?
תקנה 11(ד)(2) קובעת שהרשם רשאי להורות לבעל המאגר, לאחר שנועץ בראש הרשות הלאומית להגנת הסייבר, להודיע על אירוע האבטחה לנושא מידע שעלול להיפגע. כלומר ההודעה ללקוחות עשויה לבוא בעקבות הוראה של הרשם, וזו אחת הסיבות לערב עורך דין כבר בתחילת האירוע.