העיצום הכספי הראשון תחת תיקון 13: קנס 256 אלף ₪ על קופ"ח מאוחדת

הרשות להגנת הפרטיות הטילה עיצום כספי בסך 256,000 ₪ על קופת חולים מאוחדת — הקנס הראשון מאז כניסת תיקון 13 לחוק הגנת הפרטיות לתוקף. העיצום הוטל בגין אי-קיום חובת הדיווח המיידי על אירוע אבטחה חמור, והוא מסמן את תחילתה של עידן האכיפה הכספית בפועל.

מה קרה?

תקלה טכנולוגית במערכת הדיגיטלית של קופת חולים מאוחדת איפשרה גישה לא מורשית למידע רפואי של מבוטחים. האירוע התגלה בעקבות פניית מבוטח שדיווח שהוא יכול לצפות בתיק הרפואי של אחותו החורגת. מאגר המידע שבו התרחש האירוע כולל מידע אישי על מספר רב של נושאי מידע, לרבות מידע בעל רגישות מיוחדת המתייחס למצב בריאותו של אדם, ובכלל זה מידע רפואי כהגדרתו בחוק זכויות החולה.

מאוחדת ידעה על האירוע כבר בחודש נובמבר 2025, אך לא דיווחה עליו באופן מיידי כנדרש בתקנה 11(ד) לתקנות הגנת הפרטיות (אבטחת מידע). רק לאחר כחודש וחצי של בדיקות פנימיות, בסוף חודש ינואר 2026, התברר כי התקלה הייתה רוחבית. האירוע דווח לרשות רק כחודשיים לאחר פניית המבוטח.

עמדת הרשות: חובת דיווח מיידית, ללא דחייה

מבחינת הרשות, מהרגע שנודע לקופה על האירוע ומהרגע שחסמו את ההרשאות למבוטח — כבר היה בידיה מידע מספק המלמד על קיומו של אירוע אבטחת מידע חמור, והדיווח היה צריך לצאת מיד. אין להמתין לסיום בירורים — את הבירורים ניתן וצריך להשלים לאחר מכן בדיווח משלים. המתנה להשלמת כלל הבדיקות מרוקנת מתוכן את דרישת ה"מיידיות".

הדיווח הנדרש הוא דיווח ראשוני, המבוסס על המידע הידוע במועד הדיווח, וניתן להשלים פרטים נוספים בדיווח משלים בהמשך. על פי הרשות, לכל המאוחר במועד שבו נחסמו הרשאותיו של הפונה, כבר היה בידי הקופה מידע מספק המלמד על קיומו של אירוע אבטחה חמור, אך הדיווח בפועל הגיע רק כחודשיים לאחר מכן.

המסקנות: מה צריך לבדוק כבר עכשיו

חובת הדיווח היא מיידית

חובת הדיווח קמה ברגע שנודע על התרחשותו של אירוע אבטחה חמור, ויש לקיימה בסמוך למועד הגילוי וללא דחייה. הדיווח הראשוני מבוסס על המידע הידוע במועד הדיווח, וניתן להשלים פרטים נוספים בדיווח משלים בהמשך. מי שממתין "להבין קודם" — נחשף לסנקציה כספית משמעותית.

מעורבות הממונה על הגנת הפרטיות (DPO)

יש לבחון את אופן התפעול של אירועי אבטחת מידע בארגון, בשימת דגש למעורבות הממונה הגנת הפרטיות. על הממונה להיות מעורב בזיהוי ובהכרעה האם מדובר באירוע אבטחת מידע חמור המצריך דיווח מיידי לרשות, וזאת עוד בטרם השלמת הבירורים הפנימיים. הכרעה מהירה ונכונה של הממונה היא שתמנע חשיפה לקנסות.

נוהל פנימי ברור לניהול אירועי אבטחה

ארגונים צריכים להניח שהרשות לא מרחמת. 256,000 ₪ על איחור דיווח של כחודשיים — זה התקדים שישמש בסיס לעיצומים נוספים. נדרש נוהל פנימי ברור: זיהוי האירוע, דיווח מיידי לרשות במקביל לחקירה הפנימית, ודיווח משלים לאחר מכן. רגישות המידע והיקף הנפגעים משפיעים על חומרת העיצום — ככל שהמידע רגיש יותר, הסנקציה תקפוץ.

תיקון 13: לא רק אזהרה, אכיפה בפועל

תיקון 13 לחוק הגנת הפרטיות, שנכנס לתוקף באוגוסט 2025, העניק לרשות סמכויות אכיפה משמעותיות, לרבות יכולת להטיל עיצומים כספיים בסך מאות אלפי שקלים וסמכויות חקירה פליליות. הרשות פעלה במקרה זה במשך חצי שנה, כולל שימוע בכתב ובעל פה, לפני קביעת ההפרה וגודל הקנס. מדובר בתיק הראשון שהבשיל — והוא נועד לשמש מסר מרכזי לגבי חשיבות הדיווח המיידי.

מה מומלץ לעשות

1. בחינת נוהל תפעול אירועי אבטחה — ודאו שהנוהל כולל דיווח מיידי לרשות במקביל לחקירה הפנימית, לא לאחריה.
2. מעורבות הממונה — ודאו שהממונה על הגנת הפרטיות מעורב בהכרעה האם מדובר באירוע חמור, עוד בטרם השלמת הבירורים.
3. הכשרת צוות — ודאו שהצוות הרלוונטי יודע מתי קמה חובת דיווח ולמי לפנות בארגון.

נראה לכם שזה לא רלוונטי אליכם? חובת הדיווח המיידי חלה על כל מחזיק מאגר מידע שבו התרחש אירוע אבטחה חמור — לא רק על גופים ציבוריים. אם הארגון שלכם מעבד מידע אישי, כדאי לבחון את הנוהל שלכם עכשיו, לפני שהרשות תעשה זאת בעצמה.

מקור: הפרסום הרשמי של הרשות להגנת הפרטיות

First Financial Penalty Under Amendment 13: NIS 256K Fine on Meuhedet HMO

Israel's Privacy Protection Authority imposed a NIS 256,000 financial sanction on Meuhedet HMO — the first fine since Amendment 13 to the Privacy Protection Law took effect. The sanction was imposed for failing to report a serious security incident immediately, marking the beginning of the financial enforcement era in practice.

What Happened?

A technological fault in Meuhedet's digital system allowed unauthorized access to insured members' medical information. The incident was discovered after a member reported being able to view the medical file of his stepsister. The database where the incident occurred contains personal information about a large number of data subjects, including highly sensitive health information.

Meuhedet knew about the incident as early as November 2025, but did not report it immediately as required by Regulation 11(d) of the Privacy Protection (Information Security) Regulations. Only after about a month and a half of internal investigations, at the end of January 2026, was it determined that the fault was systemic. The incident was reported to the Authority only about two months after the member's complaint.

The Authority's Position: Immediate Reporting, No Delay

According to the Authority, from the moment Meuhedet became aware of the incident and blocked the member's access, it already had sufficient information indicating a serious information security event, and the report should have been submitted immediately. Waiting for the completion of internal investigations empties the requirement of "immediacy." The required report is an initial report based on information known at the time, with additional details to be provided in a supplementary report later.

Key Takeaways: What to Check Now

Reporting Must Be Immediate

The reporting obligation arises the moment a serious security incident becomes known, and must be carried out promptly upon discovery without delay. The initial report is based on information known at the time, and supplementary details can be added later. Anyone who waits "to understand first" exposes themselves to significant financial sanctions.

DPO Involvement

Organizations should examine how they operate information security incident response, with emphasis on the involvement of the Data Protection Officer (DPO). The DPO should be involved in identifying and determining whether an incident qualifies as a serious information security event requiring immediate reporting — before the completion of internal investigations. Quick and accurate decision-making by the DPO is what prevents exposure to fines.

Clear Internal Procedures

Organizations should assume the Authority is not lenient. NIS 256,000 for a two-month reporting delay — this precedent will serve as the basis for additional sanctions. A clear internal procedure is needed: incident identification, immediate reporting to the Authority in parallel with internal investigation, and a supplementary report afterward. The sensitivity of the data and the number of affected individuals influence the severity of the sanction.

Amendment 13: Not Just a Warning, Active Enforcement

Amendment 13 to the Privacy Protection Law, which took effect in August 2025, granted the Authority significant enforcement powers, including the ability to impose financial sanctions of hundreds of thousands of shekels and criminal investigation powers. The Authority worked on this case for six months, including a written and oral hearing, before determining the violation and the fine amount. This is the first case to mature — and it is meant to serve as a central message about the importance of immediate reporting.

Recommended Actions

1. Review your security incident response procedure — ensure it includes immediate reporting to the Authority in parallel with internal investigation, not after it.
2. DPO involvement — ensure the Data Protection Officer is involved in determining whether an incident is serious, before investigations are complete.
3. Staff training — ensure relevant staff know when the reporting obligation arises and who to contact within the organization.

Think this doesn't apply to you? The immediate reporting obligation applies to any database controller where a serious security incident occurs — not just public bodies. If your organization processes personal data, it's worth examining your procedures now, before the Authority does it for you.

Source: Official publication by Israel's Privacy Protection Authority