ב-22.10.2026 פרסמה הרשות להגנת הפרטיות עיצום כספי של 256,000 ש"ח על מנורה מבטחים. ההפרה היא תקנה 11(ד)(1) לתקנות אבטחת מידע, שמחייבת לדווח לרשות מיד כשמתרחש אירוע אבטחה חמור.
מה קרה: סוכן ביטוח קיבל בטעות גישה למידע על 138 מבוטחים של סוכן אחר, כולל נתוני שכר, פוליסות וחובות. החברה ידעה על כך ב-12.11.2025 ודיווחה לרשות רק ב-27.11.2025, כלומר 15 יום אחרי.
איך הגיעו לסכום: סכום הבסיס היה 640,000 ש"ח. הרשות הפחיתה ממנו 60% בסך הכול, ו-10% מתוך ההפחתה ניתנו על כך שהחברה מינתה ממונה הגנת פרטיות (DPO) כדין.
מה אני לוקח מזה לארגונים: החובה לדווח מתחילה ברגע שיודעים על האירוע, ולא כשהתחקור הפנימי נגמר. ארגונים רבים מחכים לתמונה מלאה לפני שהם פונים לרשות, וכאן בדיוק נוצר האיחור. נוהל טיפול באירועים צריך לקבוע דיווח ראשוני לרשות במקביל לתחקור, ולהשלים פרטים אחר כך. ועוד נקודה מעשית: מינוי DPO כדין חסך כאן לחברה סכום אמיתי מהעיצום.
את ההודעה המלאה אפשר לקרוא בעמוד של הרשות להגנת הפרטיות: https://www.gov.il/he/pages/menora-221026