הרשות להגנת הפרטיות הודיעה ביום 21 ביולי 2026 כי הטילה על קופת החולים "מאוחדת" עיצום כספי בסך 256 אלף ש"ח, לאחר שקבעה כי הקופה לא דיווחה במועד על אירוע אבטחה חמור שהתרחש במערכותיה. מדובר בעיצום הכספי הראשון שמטילה הרשות מאז כניסתו לתוקף של תיקון 13 לחוק הגנת הפרטיות, שהרחיב במידה ניכרת את סמכויות האכיפה שלה.
האירוע נחשף בעקבות פנייה שהתקבלה בקופה בנובמבר 2025 ממבוטח, אשר דיווח כי באפשרותו לצפות בתיקה הרפואי של אחותו החורגת. בדיקות שערכה הקופה העלו כי לא מדובר בתקלה נקודתית: בהתקיים שילוב מסוים של תנאים, יכלו מבוטחים לצפות במידע רפואי של קרובי משפחתם. מאגר המידע שבו אירעה התקלה כלל מידע אישי על מבוטחים רבים, ובכלל זה מידע רפואי הנחשב למידע בעל רגישות מיוחדת.
בסוף ינואר 2026 פעלה הקופה לתיקון התקלה ודיווחה על האירוע לרשות. אלא שהדיווח נמסר כחודשיים לאחר הפנייה הראשונית. בתום הליך בירור מינהלי, ולאחר שבחנה את טענות הקופה, קבעה הרשות כי כבר בשלב מוקדם יותר היה בידיה מידע מספק המלמד על התרחשותו של אירוע אבטחה חמור, ולכן היה עליה לדווח עליו ללא דיחוי.
הרשות הבהירה כי חובת הדיווח המיידי קמה עם היוודע דבר התרחשותו של אירוע אבטחה חמור. לשיטתה, המתנה להשלמת כלל הבדיקות מרוקנת מתוכן את דרישת המיידיות הקבועה בתקנות הגנת הפרטיות (אבטחת מידע). הדיווח הראשוני יכול להתבסס על המידע הידוע לארגון באותו מועד, ואת הפרטים החסרים ניתן להשלים בהמשך, בהתאם להתקדמות הבדיקה.
גם גובה העיצום מעביר מסר משמעותי. סכום העיצום המרבי הקבוע בחוק בגין הפרה כאמור עומד על 320 אלף ש"ח, ואילו על מאוחדת הוטל עיצום בסך 256 אלף ש"ח – לאחר החלת ההפחתות הקבועות בחוק. הסכום שנקבע מלמד כי הרשות נוקטת גישת אכיפה מחמירה ואינה מהססת להפעיל את הסמכויות החדשות שניתנו לה במסגרת תיקון 13.
ההחלטה מדגישה את הצורך של ארגונים להיערך מראש לטיפול באירועי אבטחה: לקבוע מנגנוני זיהוי והסלמה, לערב במהירות את הגורמים המקצועיים הרלוונטיים ולבחון את חובת הדיווח כבר בשלבים הראשונים של האירוע. במקביל, העיצום הראשון בעידן תיקון 13 ממחיש את החשיבות של בחינה רחבה יותר של עמידת הארגון בדיני הגנת הפרטיות, לנוכח החשיפה המוגברת להליכי אכיפה ולעיצומים כספיים.
