מידע אישי ופיננסי של 138 מבוטחים בחברת מנורה מבטחים ביטוח נחשף בפני סוכן ביטוח שלא היה מורשה לעיין בו, אך החברה דיווחה על האירוע לרשות להגנת הפרטיות רק לאחר יותר משבועיים. בעקבות האיחור הטילה הרשות על החברה עיצום כספי בסך 256 אלף שקל, בהחלטה שפורסמה ביום חמישי (22 באוקטובר).
האירוע התרחש בנובמבר 2025, כאשר סוכן ביטוח קיבל בשגגה הרשאה לצפות בדוח שכלל מידע על 138 מבוטחים המשויכים לסוכן אחר. בין הפרטים שנחשפו היו נתוני זיהוי, מצב משפחתי, פרטי מעסיקים, נתוני שכר, פוליסות ביטוח, תשלומים וחובות.
המידע נשלף ממאגר הלקוחות של מנורה מבטחים, המסווג ברמת אבטחה גבוהה וכולל מידע אישי על כשני מיליון בני אדם, לרבות מידע פיננסי ורפואי. עם זאת, האירוע שעליו דיווחה החברה נגע למידע של 138 מבוטחים בלבד, ולא לכלל האנשים הרשומים במאגר.
מבירור שערכה הרשות להגנת הפרטיות עלה כי החברה ידעה על האירוע כבר ב־12 בנובמבר 2025, בעקבות תלונה שהתקבלה אצלה. כמה ימים לאחר מכן פעלה החברה להסרת הרשאות הגישה של הסוכן, אולם הדיווח לרשות הועבר רק ב־27 בנובמבר, בחלוף 15 ימים מהמועד שבו נודע לה על החשיפה.
במסגרת ההליך טענה מנורה מבטחים כי המידע הוצג באמצעות תת־מערכת נפרדת, שלשיטתה חלה עליה רמת אבטחה בסיסית ולכן לא הייתה חובה לדווח על האירוע באופן מיידי. עוד טענה החברה כי חובת הדיווח מתגבשת רק לאחר השלמת הבירור הפנימי וזיהוי מקור הכשל, לרבות השאלה אם מקורו במערכותיה או אצל ספק חיצוני.
הרשות דחתה את הטענות וקבעה כי חובת הדיווח על אירוע אבטחה חמור חלה עם היוודע דבר האירוע, גם כאשר התחקיר הטכנולוגי טרם הושלם. לפי עמדת הרשות, חברה יכולה להעביר דיווח ראשוני גם כאשר בידיה מידע חלקי, ולהשלים את הפרטים בהמשך.
הרשות הבהירה גם כי הצגת מידע באמצעות מערכת טכנולוגית נפרדת אינה משנה כשלעצמה את רמת האבטחה החלה על מאגר המידע שממנו נשלף. לכן נדחתה גם טענת החברה שלפיה ההפרדה בין המערכות פטרה אותה מחובת הדיווח המיידי.
סכום העיצום הכספי הבסיסי שנקבע לחברה עמד על 640 אלף שקל, בין היתר בשל סיווג המאגר ברמת אבטחה גבוהה והיקפו. עם זאת, הרשות הפחיתה את הסכום ב־60%, בהתחשב בכך שלא נרשמו לחברה הפרות קודמות בחמש השנים האחרונות, בפעולות שנקטה להפסקת ההפרה ובדיווח שמסרה, וכן במינוי ממונה על הגנת הפרטיות כדין.
לאחר ההפחתות הועמד העיצום הכספי הסופי על 256 אלף שקל.
ההחלטה מחדדת את חובתן של חברות המחזיקות מידע אישי רגיש לדווח לרשות להגנת הפרטיות ללא דיחוי על אירועי אבטחה חמורים. במקרה של מנורה מבטחים, העיצום הוטל בשל הפרת חובת הדיווח המיידי, ולא בעקבות קביעה כי גורם חיצוני פרץ למערכות החברה.
קבוצת ערים
- אופקים
- אור יהודה
- אילת והערבה
- אשדוד
- אשקלון
- באר יעקב
- באר שבע והנגב
- בת ים
- גבעת שמואל
- גבעתיים
- גדרה
- גן יבנה
- גני תקווה
- דימונה
- הרצליה
- חולון
- יבנה
- יהוד מונוסון
- ירוחם
- ירושלים
- כל הארץ
- כפר סבא
- לוד
- מודיעין מכבים רעות
- מועצות - עוטף עזה
- מזכרת בתיה
- מצפה רמון
- נס ציונה
- נתיבות
- נתניה
- סביון
- ערד
- פתח תקווה
- קריית אונו
- קריית גת
- קריית עקרון
- קרית מלאכי ו-מ.א באר טוביה
- ראש העין
- ראשון לציון
- רחובות
- רמלה
- רמת גן
- רמת השרון
- שדרות
קטגוריות
זכויות יוצרים: המערכת משקיעה מאמצים רבים באיתור בעלי זכויות היוצרים בתכנים המופצים ברבים. במידה ופורסמה מדיה שבעליה אינו ידוע, השימוש נעשה לפי סעיף 27א לחוק זכויות יוצרים. אם הנכם בעלי הזכויות, ניתן לפנות אלינו לצורך הוספת קרדיט או הסרת התוכן.
