דיווח על אירוע אבטחה חמור לרשות להגנת הפרטיות: מה החוק דורש בפועל

השאלה הזו נשאלת כמעט תמיד בזמן הלא נכון, אחרי שכבר קרה משהו. לכן כדאי לענות עליה מראש, ובדיוק.

רוב התוכן בעברית בנושא נוקב במספר שעות: 24 או 72. המספרים האלה מגיעים מ-GDPR האירופי ואינם הדין הישראלי. התקנה הישראלית משתמשת בניסוח אחר לגמרי, ולניסוח הזה יש עכשיו פרשנות מחייבת של הרשות.

מה נחשב אירוע אבטחה חמור

חוק מחייבתקנה 1 מגדירה את המונח, וההגדרה שונה בין רמות האבטחה. ברמת אבטחה גבוהה מדובר באירוע שנעשה בו שימוש במידע מן המאגר, בלא הרשאה או בחריגה מהרשאה, או שנעשתה בו פגיעה בשלמות המידע. ברמת אבטחה בינונית ההגדרה מצומצמת יותר וחלה על חלק מהותי מן המאגר.

ההבדל הזה אינו טכני. אותו אירוע עצמו יכול להיות אירוע אבטחה חמור בארגון אחד ולא בארגון אחר, לפי רמת האבטחה של המאגר. לכן קביעת רמת האבטחה אינה שלב בירוקרטי אלא תנאי מקדים: בלעדיה אי אפשר לדעת מה מפעיל את חובת הדיווח.

המלצה מקצועיתארגון שלא קבע רמת אבטחה למאגריו נמצא במצב הגרוע ביותר האפשרי בזמן אירוע: הוא לא יודע אם הוא חייב לדווח, והשעון כבר רץ. זו בדיקה של יום עבודה, ולא כדאי לדחות אותה לרגע שבו היא נדרשת.

תוך כמה זמן צריך לדווח

חוק מחייבלשון התקנה: “אירע אירוע אבטחה חמור, יודיע על כך בעל המאגר לרשם באופן מיידי”. אין בה מספר שעות, אין בה ימי עסקים, ואין בה תקופת בירור.

מבחינה מעשית זה תקן מחמיר יותר ממספר שעות, לא פחות. מועד קבוע מאפשר לתכנן; “באופן מיידי” מחייב לפעול ברגע שהאירוע מזוהה ככזה.

מה קרה למי שהמתין

עמדת הרשותב-21 ביולי 2026 הטילה הרשות להגנת הפרטיות עיצום כספי בסך 256,000 ₪ על קופת חולים מאוחדת. הליקוי נודע בנובמבר 2025, והדיווח הרשמי הוגש בינואר 2026. זהו העיצום הראשון שהוטל מאז כניסת תיקון 13 לתוקף.

שני דברים בהחלטה חשובים יותר מהסכום. הראשון: העיצום הוטל על איחור בדיווח, לא על הליקוי עצמו ולא על היקף המידע שנחשף. השני: הרשות דחתה במפורש את הטענה שיש להמתין לסיום הבירור הפנימי, וקבעה שהנדרש הוא דיווח ראשוני המבוסס על המידע הידוע באותו רגע.

המלצה מקצועיתהמסקנה התפעולית פשוטה: דיווח ראשוני חלקי עדיף על דיווח מלא ומאוחר. אפשר וצריך להשלים פרטים בהמשך; אי אפשר להשלים את הזמן שחלף.

האם צריך להודיע גם ללקוחות

חוק מחייבלא באופן אוטומטי. תקנה 11(ד)(2) קובעת שהרשם רשאי להורות לבעל המאגר להודיע על האירוע לנושאי המידע, לאחר שנועץ בראש מערך הסייבר הלאומי. זו סמכות של הרגולטור ולא חובה עצמאית של הארגון.

זו נקודה שמתפרשת שגוי לעיתים קרובות, בין היתר בגלל ההיכרות עם GDPR שבו ההסדר שונה. ארגון שמודיע ללקוחותיו ביוזמתו אינו מפר דבר, אבל חשוב שההחלטה תתקבל כהחלטה עסקית ומשפטית מודעת, ולא מתוך אמונה שהחוק מחייב אותה.

המלצה מקצועיתבסוגיה הזו במיוחד כדאי להיוועץ בעורך דין לפני שיוצאת הודעה. לנוסח יש השלכות מעבר לרגולציה: חוזים, ביטוח, ותביעות אפשריות.

ומה לגבי מערך הסייבר הלאומי

עמדת הרשותדיווח למערך הסייבר הלאומי, בטלפון 119 או בערוצים המקוונים, הוא כיום ערוץ סיוע ושיתוף מידע, לא חובה סטטוטורית כללית. עמוד השירות של המערך מציין במפורש ששיתוף מידע עמו אינו מחליף חובות דיווח לגורמי פיקוח ורגולציה.

כלומר: הדיווח לרשות להגנת הפרטיות הוא חובה. הפנייה למערך הסייבר היא החלטה תפעולית, ובאירוע אמיתי היא בדרך כלל החלטה נכונה, כי משם מגיע סיוע מבצעי.

חקיקה בהליךתזכיר חוק הגנת הסייבר הלאומית, התשפ”ו-2026 מציע ליצור חובת דיווח על תקיפת סייבר משמעותית עבור “ארגון חיוני”. ההצעה עברה קריאה ראשונה ביוני 2026. זו הצעת חוק ולא דין מחייב, ואין להיערך אליה כאילו כבר נכנסה לתוקף.

מה כולל דיווח ראשוני

המלצה מקצועיתהתקנה אינה קובעת טופס או מבנה. הרשימה הבאה היא מה שארגון בדרך כלל יכול לומר בשלב מוקדם, והיא נועדה לאפשר דיווח מהיר במקום להמתין לתמונה מלאה:

• מתי התגלה האירוע, ועל ידי מי או על ידי איזו מערכת.
• מה ידוע כרגע על אופיו, גישה לא מורשית, חריגה מהרשאה, או פגיעה בשלמות המידע.
• אילו מאגרים או מערכות מעורבים, ככל שידוע.
• אילו פעולות בלימה כבר ננקטו.
• מי איש הקשר בארגון לצורך המשך הטיפול.
• מה עדיין בבירור, ומתי צפוי עדכון.

השורה האחרונה היא החשובה: דיווח שאומר במפורש מה עדיין לא ידוע הוא דיווח תקין, ולא דיווח חסר.

מה עוד דורשת תקנה 11

חוק מחייבחובת הדיווח היא סעיף אחד מתוך תקנה שלמה, ושאר הסעיפים חלים גם כשאין אירוע חמור:

• תיעוד. יש לתעד כל אירוע שמעלה חשש לפגיעה בשלמות המידע או לשימוש בו בלא הרשאה או בחריגה מהרשאה, בכל רמות האבטחה, גם כשאין חובת דיווח.
• נוהל. נוהל האבטחה של המאגר חייב לכלול הוראות לטיפול באירועים.
• דיון תקופתי. בחינה של האירועים שתועדו, אחת לשנה ברמה בינונית, אחת לרבעון ברמה גבוהה.

בפועל, הסעיפים האלה הם שמייצרים את היכולת לדווח מהר. ארגון שמתעד אירועים באופן שוטף יודע לזהות מתי אירוע חוצה את הרף; ארגון שלא מתעד מגלה את זה מאוחר.

טעויות שחוזרות

• לחפש מספר שעות. אין כזה בתקנה הישראלית. מי שמתכנן לפי 72 שעות מתכנן לפי הדין הלא נכון.
• להמתין לסיום הבירור. זו הטענה שנדחתה בהחלטה של יולי 2026.
• להניח שחובה להודיע ללקוחות. ההודעה לנושאי מידע נתונה להוראת הרשם, ואינה אוטומטית.
• להניח שדיווח למערך הסייבר מספיק. שני ערוצים נפרדים, ורק אחד מהם חובה.
• לכתוב את הנוהל בזמן האירוע. תקנה 11(ב) מחייבת שהנוהל יהיה קיים מראש, וממילא אף אחד לא כותב נוהל טוב תחת לחץ.
• להעביר את האחריות לספק. החובה נשארת אצל בעל המאגר גם כשהעיבוד במיקור חוץ.

שאלות נפוצות

האם עסק ברמת אבטחה בסיסית חייב לדווח על אירוע?

ההגדרה של אירוע אבטחה חמור בתקנה 1 מנוסחת עבור רמת אבטחה בינונית וגבוהה. ארגון שסבור שהוא ברמה הבסיסית צריך קודם כול לוודא שזו אכן רמתו, סיווג שגוי כלפי מטה הוא ממצא בפני עצמו. חובת התיעוד של אירועים חלה בכל מקרה.

מה אם עדיין לא ברור אם דלף מידע?

לפי ההחלטה של יולי 2026, הנדרש הוא דיווח ראשוני המבוסס על המידע הידוע. ודאות מלאה אינה תנאי לדיווח, והמתנה לבירור מלא היא בדיוק ההתנהלות שבגינה הוטל העיצום.

הספק שלנו נפרץ, לא אנחנו. מי מדווח?

החובה חלה על בעל המאגר. מיקור חוץ של העיבוד אינו מעביר את החובה לספק. תקנה 15 מחייבת גם הסדרה חוזית ובקרה שוטפת על הספק, ובכלל זה חובות דיווח כלפיכם.

דיווחנו למערך הסייבר. זה מספיק?

לא. אלה שני ערוצים נפרדים. עמוד השירות של מערך הסייבר מציין במפורש ששיתוף מידע עמו אינו מחליף חובות דיווח לגורמי פיקוח ורגולציה.

מה קורה אם דיווחנו באיחור?

זה בדיוק המצב שהוביל לעיצום הראשון. איחור אינו הופך את הדיווח למיותר, ארגון שמגלה שהחמיץ את המועד צריך לדווח מיד, ולתעד את מה שקרה ומתי.

מקורות

• תקנות הגנת הפרטיות (אבטחת מידע), התשע”ז-2017, תקנות 1 ו-11
• דיווח על אירוע סייבר, מערך הסייבר הלאומי
• מדריך מקצועי לתיקון 13, הרשות להגנת הפרטיות
• תיקון 13 לחוק הגנת הפרטיות, מה חל ומה נדרש

העמוד מציג מידע מקצועי ואינו מהווה ייעוץ משפטי. תחולת החובות משתנה בין ארגונים ולפי רמת האבטחה של המאגר, ובסוגיות בעלות השלכה משפטית, ובכלל זה נוסח הודעה לנושאי מידע, מומלץ להיוועץ בעורך דין. עודכן: אוגוסט 2026.

רלוונטי להעמקה: עיצומים כספיים בתיקון 13 . העיצום הראשון שהוטל מכוח תיקון 13 היה דווקא על איחור בדיווח, ולא על הדליפה עצמה.