עיצום כספי על קופת חולים מאוחדת

הרשות להגנת הפרטיות הטילה עיצום כספי בסך 256,000 ש"ח על קופת חולים 'מאוחדת', בגין אי-קיום חובת הדיווח המיידי על אירוע אבטחה חמור שהתרחש במערכות הקופה, כמתחייב על פי חוק הגנת הפרטיות והתקנות מכוחו.

 

הרשות פתחה בהליך בירור מינהלי נגד קופת חולים מאוחדת בהמשך לדיווח על אירוע אבטחה חמור שהעבירה הקופה לרשות ביום 27.1.26, לפיו התגלתה תקלה טכנולוגית במערכת דיגיטלית של הקופה, שאפשרה במקרים מסוימים גישה לא מורשית למידע רפואי של מבוטחים. מאגר המידע שבו התרחש האירוע כולל מידע אישי על מספר רב של נושאי מידע לרבות מידע בעל רגישות מיוחדת המתייחס למצב בריאותו של אדם, ובכלל זה מידע רפואי כהגדרתו בחוק זכויות החולה.

 

מהליך הבירור עלה כי הקופה ידעה על האירוע כבר בחודש נובמבר 2025, אך לא דיווחה עליו באופן מיידי כנדרש בתקנה 11 (ד) לתקנות הגנת הפרטיות (אבטחת מידע).

 

האירוע התגלה בעקבות פנייה של מבוטח שציין כי באפשרותו לצפות בתיקה הרפואי של אחותו החורגת. לאחר כחודש וחצי מפניית המבוטח, בעקבות בדיקות שערכה הקופה, התברר כי התקלה במאגר המידע הייתה רוחבית, ובהתקיים שילוב של תנאים מסוימים יכלו מבוטחים לצפות במידע רפואי של קרובי משפחתם.

 

בסוף חודש ינואר 2026 ביצעה הקופה פיתוח לתיקון התקלה והיא תוקנה. האירוע דווח לרשות להגנת הפרטיות רק כחודשיים לאחר פניית המבוטח.

 

לאחר בחינת ממצאי הבירור המינהלי, ולאחר שקילת טענות הקופה בעניין, קבעה הרשות כי הקופה הפרה את חובת הדיווח המיידי על האירוע לרשות. בגין הפרה זו הוטל על הקופה עיצום כספי בסך 256,000 ש"ח (לאחר הפחתות בהתאם להוראות החוק).

 

הרשות מדגישה כי חובת הדיווח המיידי קמה עם היוודע על התרחשותו של אירוע אבטחה חמור, ויש לקיימה בסמוך למועד הגילוי וללא דיחוי. עמדה לפיה יש להמתין להשלמת כלל הבדיקות מרוקנת מתוכן את דרישת "המיידיות".

 

הדיווח הנדרש הוא דיווח ראשוני, המבוסס על המידע הידוע במועד הדיווח, וניתן להשלים פרטים נוספים בדיווח משלים בהמשך.

 

במקרה זה, לכל המאוחר במועד שבו נחסמו הרשאותיו של הפונה, כבר היה בידי הקופה מידע מספק המלמד על קיומו של אירוע אבטחה חמור, אך הדיווח בפועל הגיע רק כחודשיים לאחר מכן.