הרשות להגנת הפרטיות במשרד המשפטים הטילה עיצום כספי בסך 256 אלף שקל על חברת מנורה מבטחים ביטוח, לאחר שקבעה כי החברה הפרה את חובתה לדווח באופן מיידי על אירוע אבטחת מידע חמור. על פי ההחלטה, החברה ידעה על האירוע כבר במחצית נובמבר אך דיווחה עליו לרשות רק כעבור שבועיים.
במסגרת האירוע נחשף מידע אישי ורגיש של 138 מבוטחים בפני סוכן ביטוח שלא היה מורשה לעיין בו. לפי הודעת משרד המשפטים, במהלך בירור מנהלי שניהלה הרשות התברר כי הסוכן קיבל בטעות הרשאת גישה לדוח שהכיל מידע על מבוטחים המשויכים לסוכן אחר לגמרי. הדוח כלל פרטי זיהוי, מצב משפחתי, פרטי מעסיקים, נתוני שכר, פרטי פוליסות ביטוח, תשלומים וחובות של המבוטחים.
המידע נשלף ממאגר הלקוחות של מנורה מבטחים, מאגר המכיל פרטים אישיים על כשני מיליון בני אדם ומוגדר ברמת אבטחה גבוהה. המאגר כולל גם מידע בעל רגישות מיוחדת, ובהם נתונים פיננסיים ומידע רפואי, אף שלא נקבע כי מידע רפואי נכלל בדוח הספציפי שדלף הפעם.
מבדיקת הרשות עלה כי מנורה מבטחים ידעה על האירוע כבר ב-12 בנובמבר, אולם הדיווח לרשות להגנת הפרטיות הועבר רק ב-27 בנובמבר, לאחר שהחברה השלימה את הבדיקות הפנימיות שלה. ברשות קבעו כי ההמתנה להשלמת הבדיקות מהווה כשלעצמה הפרה של חובת הדיווח המיידי על אירוע אבטחה חמור.
במסגרת ההליך טענה החברה כי חובת הדיווח מתגבשת רק לאחר השלמת התחקור הפנימי ובירור מקור הכשל הטכנולוגי שהוביל לחשיפת המידע. לשיטתה, יש צורך לוודא תחילה שמקור התקלה אכן נמצא במערכות החברה, לפני שמעבירים דיווח לרשות.
הרשות דחתה את הטענה הזו וקבעה כי ארגונים אינם רשאים להמתין עד להשלמת התחקיר לפני שהם מדווחים על אירוע אבטחה חמור. לפי עמדת הרשות, גם כאשר נסיבות האירוע אינן ברורות במלואן, יש להעביר דיווח ראשוני ולהשלים את הפרטים בהמשך, לא לחכות לתמונה שלמה.
מנורה מבטחים העלתה גם טענה נוספת, ולפיה המידע שנחשף הועבר לתת-מערכת מבודדת הכוללת היקף מצומצם של מידע, ולכן יש לראות בה מאגר נפרד ברמת אבטחה בסיסית שאינו מחייב דיווח מיידי. גם טענה זו נדחתה, לאחר שהרשות קבעה כי העברת מידע ממאגר בעל רמת אבטחה גבוהה למערכת נפרדת אינה מפחיתה כשלעצמה את רמת האבטחה החלה עליו.
סכום העיצום הכספי הראשוני שנקבע לחברה עמד על 640 אלף שקל, בין היתר משום שמדובר במאגר מידע ברמת אבטחה גבוהה הכולל פרטים על יותר ממיליון בני אדם. עם זאת, לאחר בחינת נסיבות המקרה ושמיעת טענות החברה, הוחלט להפחית את הקנס בשיעור מצטבר של 60 אחוזים. ההפחתה ניתנה בשל היעדר הפרות קודמות בחמש השנים האחרונות, הדיווח היזום שהעבירה החברה בסופו של דבר ומינוי ממונה על הגנת הפרטיות כנדרש בחוק. בעקבות ההפחתה נקבע סכום העיצום הסופי על 256 אלף שקל.
מנהלת מערך האכיפה ברשות להגנת הפרטיות, עורכת הדין עדי מנחם באר, הבהירה בעקבות ההחלטה כי תקנות הגנת הפרטיות בנושא אבטחת מידע קובעות חובה מפורשת לדווח לרשות באופן מיידי על אירוע אבטחה חמור. "חובה זו קמה עם היוודע דבר התרחשותו של אירוע העונה להגדרה הקבועה בתקנות, ואינה מותנית בהשלמת תחקור פנימי, בזיהוי מקור הכשל או במיצוי פעולות הטיפול באירוע", אמרה. לדבריה, על חברות וארגונים להיערך מראש למקרים מסוג זה ולדווח גם כאשר תמונת המצב חלקית. "אין בפעולות בירור וטיפול פנים ארגוניות, חשובות ככל שיהיו, כדי להצדיק עיכוב בדיווח. דרישת המיידיות נועדה לאפשר לרשות להפעיל את סמכויות הפיקוח שלה בסמוך לגילוי האירוע ולפעול לצמצום הסיכון לפגיעה בפרטיות הציבור", הדגישה.
ההחלטה מצטרפת לשורת אכיפה שמנהלת הרשות להגנת הפרטיות נגד גופים פיננסיים וביטוחיים בשנה האחרונה, בדגש על עמידה בזמני הדיווח המיידי הקבועים בתקנות אבטחת המידע.
תגובות
רגע, שקט פה מדי
דעתך חשובה - תהיו הראשונים להגיב על הכתבה