המאמר נועד למידע כללי ואינו תחליף לייעוץ משפטי המותאם לנסיבות המקרה.
התגלה אירוע אבטחת מידע בארגון — מה בודקים תחילה?
תלונה של לקוח, הרשאה שגויה או מידע שהוצג למשתמש הלא נכון עלולים להציב את הארגון בפני שתי משימות דחופות: טיפול באירוע ובחינת חובת הדיווח עליו. הקושי מתעורר כשברור שמשהו השתבש, אך עדיין לא ידוע כיצד, לכמה אנשים נחשף המידע ומה בדיוק נעשה בו. בשלב הזה, הרצון להשלים את הבירור לפני שפונים לרשות מובן. אלא שכאשר מתגבשת חובת דיווח על אירוע אבטחה חמור, ההמתנה עצמה עלולה להפוך להפרה נוספת. המאמר עוסק בחובה לפי הדין הישראלי ובתקנות הגנת הפרטיות (אבטחת מידע), התשע״ז–2017.
מנורה מבטחים: עיצום כספי בגין האיחור בדיווח
ביום 22.10.2026 פרסמה הרשות להגנת הפרטיות כי הטילה על מנורה מבטחים ביטוח בע״מ עיצום כספי בסך 256,000 ש״ח בגין הפרת חובת הדיווח המיידי. לפי הפרסום, סוכן ביטוח קיבל בשגגה הרשאה לצפות בדוח שכלל מידע אישי על 138 מבוטחים המשויכים לסוכן אחר. המידע נשלף ממאגר לקוחות ברמת אבטחה גבוהה. האירוע נודע לחברה ביום 12.11.2025, אך הדיווח לרשות נמסר ביום 27.11.2025. הרשות הבהירה שחובת הדיווח אינה מותנית בהשלמת התחקיר, בזיהוי מקור הכשל או בסיום הטיפול הפנימי. אפשר למסור דיווח ראשוני המבוסס על תמונה חלקית ולהשלים פרטים בהמשך. חשוב להבחין בין מועד האירוע בשנת 2025 לבין פרסום החלטת האכיפה באוקטובר 2026.
מתי אירוע אבטחת מידע מחייב דיווח?
המסגרת המשפטית בישראל היא תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז–2017. תקנה 11(ד)(1) מחייבת הודעה מיידית על אירוע אבטחה חמור ודיווח על הצעדים שננקטו בעקבותיו. לפי ההגדרה בתקנה 1, במאגר ברמת אבטחה גבוהה מדובר בשימוש במידע ללא הרשאה או בחריגה מהרשאה, או בפגיעה בשלמות המידע; במאגר ברמת אבטחה בינונית ההגדרה מתייחסת לשימוש כאמור בחלק מהותי מהמאגר, או לפגיעה בשלמות המידע לגבי חלק מהותי ממנו. מכאן שמספר האנשים שנפגעו אינו השאלה היחידה. יש לבדוק גם מהו המאגר הרלוונטי ומהי רמת האבטחה החלה עליו. בדף השירות שלה מבהירה הרשות כי במאגר ברמת אבטחה גבוהה גם גישה בלתי מורשית למידע עשויה לחייב דיווח, אף שטרם הוכח שימוש נוסף במידע בפועל. לכן אין להניח שהיעדר הוכחה להעתקת המידע או לפרסומו שולל כשלעצמו את חובת הדיווח.
האם מערכת נפרדת נחשבת למאגר נפרד?
זו אחת הנקודות המעניינות בהחלטה. מנורה טענה שהמידע הוצג באמצעות תת־מערכת נפרדת, שלשיטתה חלה עליה רמת אבטחה בסיסית. הרשות דחתה את הטענה בנסיבות המקרה: הפרדה טכנולוגית אינה מנתקת כשלעצמה את שיוך המידע למאגר שממנו נשלף ואינה משנה כשלעצמה את רמת האבטחה החלה עליו. המשמעות המעשית היא שבבחינת האירוע כדאי לעקוב אחר מסלול המידע: מהיכן נשלף, לאיזו מטרה, למי הוצג וכיצד המערכות קשורות זו לזו. מסך נפרד, ממשק לספק או דוח מצומצם אינם מספקים לבדם תשובה לשאלת סיווג המאגר.
האם יש לארגון 72 שעות לדווח על דליפת מידע?
תקנה 11(ד)(1) דורשת דיווח ״באופן מיידי״; היא אינה קובעת חלון אחיד של 72 שעות. המאמר עוסק בחובה לפי הדין הישראלי, ואין להעתיק אליה אוטומטית את לוחות הזמנים המוכרים מה־GDPR. בפועל, חשוב לקיים בירור ראשוני מהיר שמאפשר להעריך את האירוע, בלי להפוך את השלמת החקירה הטכנולוגית לתנאי מוקדם לדיווח. הבירור הנדרש כדי להבין שקיימת חובת דיווח אינו זהה לתחקיר המלא שנדרש כדי להסביר מדוע האירוע התרחש.
כיצד מדווחים כשהפרטים עדיין אינם ידועים?
טופס הדיווח הראשוני של הרשות מיועד גם למצב שבו קיים חשד שהתרחש אירוע אבטחה חמור. הוא מבקש למסור את הפרטים הידועים בזמן הדיווח ולצרף אסמכתאות זמינות. לכן מומלץ להכין תמונת מצב מסודרת: מתי התגלה האירוע ומה ידוע על נסיבותיו; אילו מערכות וסוגי מידע מעורבים; מהו היקף החשיפה הידוע ומה עדיין בבדיקה; אילו פעולות ננקטו לצמצום הפגיעה; ומי מטפל באירוע ומרכז את העדכונים. יש להבחין בבירור בין עובדה שאומתה, הערכה ראשונית ושאלה שטרם נבדקה. דיווח מדויק יכול לכלול אי־ודאות; אין צורך להשלים אותה בהשערות.
האם די בדיווח למערך הסייבר או לרגולטור אחר?
לא. הרשות מבהירה שיש לדווח לה על אירוע המחייב דיווח גם כאשר הארגון כבר עדכן גורם אחר, ובהם המשטרה, מערך הסייבר הלאומי או רגולטור מגזרי. מבחינה ארגונית, רצוי לנהל רשימה משותפת של הדיווחים הנדרשים: למי נמסר דיווח, על ידי מי, באיזה מועד ואילו השלמות נותרו. כך מצמצמים את הסיכון שכל גורם יניח שמישהו אחר כבר טיפל בנושא.
מה עושים אם האירוע התגלה אצל ספק חיצוני?
אם האירוע מערב ספק חיצוני, מומלץ לבקש ממנו מיד תיאור עובדתי של האירוע, מועדי גילוי, פירוט המערכות והמידע הרלוונטיים לארגון, הפעולות שננקטו והפרטים שעדיין בבדיקה. אין להסתפק בתשובה כללית שהתקלה טופלה. לצד הבירור הטכנולוגי, יש לבדוק את חלוקת התפקידים והחובות לפי הדין וההסכם, לתאם את הדיווח ולוודא מי מגיש אותו בפועל. תיאום עם הספק צריך לתמוך בטיפול המיידי, ולא להפוך להמתנה בלתי מוגבלת למסקנותיו.
מה כדאי להסדיר לפני אירוע אבטחת המידע הבא?
מומלץ לקבוע מראש מי מקבל התראה, מי מרכז את הבירור הטכנולוגי, מי בוחן את חובת הדיווח ומי מוסמך להגישו. כדאי להסדיר גם ממלא מקום וערוץ זמין לקבלת התראות מספקים. בזמן אירוע, בלימת החשיפה, שימור הראיות, הבדיקה המשפטית והכנת הדיווח צריכים להתקדם בתיאום. מנגנון שמחייב להמתין לדוח סופי של ספק לפני שבכלל בוחנים דיווח עלול ליצור עיכוב מובנה.
שאלות ותשובות על דיווח לרשות להגנת הפרטיות
האם כל תקלה או דליפת מידע מחייבת דיווח לרשות?
לא כל תקלה מקיימת בהכרח את הגדרת אירוע האבטחה החמור. יש לבחון את נסיבות האירוע, את המאגר ואת רמת האבטחה החלה עליו. אין להסיק מהיקף מצומצם של חשיפה בלבד שאין חובת דיווח.
האם חייבים לחכות להוכחה שמישהו הוריד את המידע?
לא בהכרח. לפי עמדת הרשות, במאגר ברמת אבטחה גבוהה גישה בלתי מורשית למידע עשויה לחייב דיווח גם ללא הוכחת שימוש נוסף במידע בפועל.
האם סיום הטיפול בתקלה פוטר מדיווח?
תיקון התקלה ובחינת חובת הדיווח הם עניינים נפרדים. טיפול בחשיפה אינו פוטר מהדיווח הנדרש על אירוע אבטחה חמור.
איך מגישים דיווח ראשוני על אירוע אבטחה חמור?
באמצעות שירות הדיווח המקוון של הרשות להגנת הפרטיות. יש למסור את הפרטים הידועים בזמן הדיווח, לצרף אסמכתאות זמינות ולהבהיר מה עדיין נבדק.
האם דיווח של ספק או פנייה למערך הסייבר מספיקים?
פנייה למערך הסייבר אינה מחליפה את הדיווח הנדרש לרשות להגנת הפרטיות. כאשר ספק מעורב באירוע, יש לתאם ולוודא בפועל שהדיווח המתאים הוגש, ושהוא מתייחס גם למאגר ולמידע של הארגון.
ליווי לארגונים בהגנת הפרטיות ואבטחת מידע
התגלה אצלכם אירוע אבטחת מידע?
משרדנו מלווה ארגונים בבחינת חובות הדיווח לפי הדין הישראלי, בטיפול המשפטי באירועים ובהיערכות מוקדמת אליהם.