מאת עידן צברי · יועץ אבטחת מידע והגנת פרטיות · מומחה תיקון 13
מאת: עידן צברי, יועץ בכיר לאבטחת מידע והגנת פרטיות · עדכון שבועי · 25 באוקטובר 2026
1. 256,000 ש”ח על 15 יום של בדיקה פנימית
ב-22 באוקטובר 2026 פרסמה הרשות להגנת הפרטיות עיצום כספי בסך 256,000 ש”ח על מנורה מבטחים ביטוח. הסכום המקורי היה 640,000 ש”ח, והופחת ב-60% במצטבר: 20% על היעדר הפרות קודמות בחמש השנים האחרונות, 30% על הפסקת ההפרה ביוזמת החברה ודיווח עליה, ו-10% על מינוי ממונה הגנת פרטיות כנדרש בחוק. ההפרה שבגינה הוטל העיצום היא תקנה 11(ד)(1) לתקנות הגנת הפרטיות (אבטחת מידע), התשע”ז-2017, שלפיה בעל מאגר “יודיע על כך לרשם באופן מיידי” כאשר אירע אירוע אבטחה חמור. האירוע עצמו: סוכן ביטוח קיבל בטעות הרשאה לדוח שכלל מידע אישי על 138 מבוטחים שמשויכים לסוכן אחר. הדוח נשלף ממאגר לקוחות ברמת אבטחה גבוהה שמכיל מידע על כ-2 מיליון איש, ובהם נתוני שכר, פרטי פוליסות, חובות ותשלומים. החברה למדה על האירוע ב-12 בנובמבר 2025 ודיווחה לרשות ב-27 בנובמבר 2025, כלומר 15 יום לאחר מכן, לאחר שהשלימה בדיקה פנימית.
הרשות דחתה שתי טענות של החברה, ושתיהן נפוצות מאוד בשטח. הטענה הראשונה הייתה שחובת הדיווח קמה רק לאחר שהושלם התחקיר וזוהה שורש הבעיה. לפי עו”ד עדי מנחם-בר, ראשת תחום אכיפה ברשות, חובת הדיווח קמה עם היוודע האירוע ואינה מותנית בהשלמת בדיקה פנימית, ואפשר להגיש דיווח ראשוני גם כשהתמונה חלקית ולהשלים אותו בהמשך. הטענה השנייה הייתה שהמידע הועבר לתת-מערכת נפרדת ברמת אבטחה בסיסית ולכן חובת הדיווח לא חלה. הרשות קבעה שרמת האבטחה של המאגר המקורי היא זו שקובעת, ולא ההגדרה הטכנית של המערכת שאליה הועתק המידע. חשוב להבין את התוצאה המעשית: כשמדובר במאגר ברמת אבטחה גבוהה, הגדרת “אירוע אבטחה חמור” חלה על כל שימוש במידע מן המאגר בלא הרשאה או בחריגה מהרשאה, בלי מבחן של חלק מהותי. 138 רשומות מתוך שני מיליון הן אירוע מדווח.
זה העיצום השלישי שהרשות הטילה מאז שתיקון 13 נכנס לתוקף, לפי גלובס. קדמו לו עיצום של 256,000 ש”ח על קופת חולים מאוחדת ביולי 2026, גם הוא בשל אי-דיווח מיידי על אירוע אבטחה חמור, ועיצום של 64,000 ש”ח על עיריית בית שמש בספטמבר 2026 בעקבות חשיפת מידע של 4,600 תושבים. שניים מתוך שלושה העיצומים הראשונים עוסקים בעיתוי הדיווח ולא באירוע עצמו.
הסיכון הגדול שלכם היום הוא לא התקלה, אלא השבועיים שאחריה. בדקו שלושה דברים השבוע. ראשית, מי בארגון מוסמך להחליט שאירוע מדווח, ומה קורה כשהוא לא זמין: אם ההחלטה ממתינה לישיבת הנהלה או לסיום תחקיר, אתם בדיוק בתרחיש של מנורה. שנית, מה רמת האבטחה של כל מאגר, כי היא קובעת מה נחשב אירוע חמור, וברמה גבוהה גם חשיפה של עשרות רשומות בודדות נכנסת להגדרה. שלישית, הכינו תבנית דיווח ראשוני שאפשר לשלוח תוך 24 שעות עם מה שידוע, ולסמן בה במפורש שהבדיקה נמשכת. אם בשנה האחרונה היה אצלכם אירוע שלא דווח כי “בדקנו וזה היה שולי”, כדאי לבחון אותו עכשיו מול ההגדרה שבתקנות ולא מול תחושת הבטן.
2. אירופה מאריכה את הדיווח ל-96 שעות, בישראל לא השתנה דבר
ב-21 באוקטובר 2026 אישרה מועצת האיחוד האירופי עמדת מיקוח על חבילת ההקלות הדיגיטלית (Digital Omnibus), ההצעה לפשט את ה-GDPR ואת כללי הפרטיות והסייבר. בין השינויים: הארכת מועד הדיווח לרשות הפיקוח מ-72 ל-96 שעות, רשימה אירופית אחידה של סוגי עיבוד בסיכון גבוה ותבניות דיווח משותפות, והקלות בטיפול בפניות של נושאי מידע שהן קנטרניות או מוגזמות. בנושא הקוקיז, המועצה קבעה רשימה סגורה של שש מטרות שאינן דורשות הסכמה, ובהן מדידת קהל בצד ראשון ואבטחה טכנית, וקיצרה מששה חודשים לארבעה את פרק הזמן שאחריו מותר לבקש הסכמה שוב אחרי סירוב. בנקודה אחת המועצה דווקא נסוגה מהצעת הנציבות: במקום נקודת דיווח אירופית אחת, כל מדינה חברה תקים נקודת דיווח לאומית. הצעת הנציבות מנובמבר 2025 ביקשה גם להעלות את רף הדיווח כך שיחול רק על אירועים הצפויים לגרום סיכון גבוה, ועמדת המועצה מדברת על העלאת הרף בלי שפורסם ערך מדויק.
שתי הסתייגויות חשובות. הראשונה: זו עמדת מיקוח ולא חוק. הפרלמנט האירופי עדיין לא אימץ עמדה משלו, ההצבעה בוועדות צפויה בתחילת 2027, ורק אחריה ייפתח המשא ומתן המשולש. עד לאישור נוסח סופי, ה-GDPR וה-ePrivacy ממשיכים לחול בנוסחם הנוכחי, כולל מועד 72 השעות. השנייה, והרלוונטית יותר לארגון ישראלי: לישראל אין הוראה מקבילה שמתרככת. הדין הישראלי לא קובע 72 שעות ולא 96 שעות אלא דיווח “באופן מיידי”, והרשות להגנת הפרטיות בחרה דווקא השבוע לפרש את הדרישה בצורה מחמירה.
אם ספק, יועץ או כותרת בעיתון אומרים לכם ש”אירופה מקלה ב-GDPR”, זה לא מקל עליכם בישראל, ובטח לא על לוח הזמנים של הדיווח. הפער הזה גם הולך לכיוון הלא נוח: בעוד אירופה שוקלת 96 שעות, בישראל הדרישה היא מיידית, ותקרת העיצום לפי תיקון 13 מגיעה ל-5% מהמחזור השנתי. אם אתם כפופים לשני המשטרים, בנו את הנוהל לפי הדרישה המחמירה מהשתיים, כלומר הישראלית, ואל תעדכנו נהלים על בסיס עמדת מיקוח שטרם הפכה לחוק. מי שעובד עם ספקים אירופיים כדאי שיבדוק בחוזים שסעיפי הדיווח ההדדי מנוסחים בשעות ובימים קונקרטיים, ולא בהפניה כללית ל”מועד הקבוע בדין”, שעלול להשתנות.
שורה תחתונה לשבוע הזה
שני הפריטים השבוע מצביעים על אותה נקודה מכיוונים הפוכים. בישראל האכיפה הראשונה אחרי תיקון 13 מתרכזת בעיתוי הדיווח, ושניים משלושת העיצומים שהוטלו עד כה נובעים מאיחור ולא מהאירוע. באירופה, שהייתה המודל שממנו הועתקו חלק מהרעיונות לתיקון 13, מתגבשת מגמה הפוכה של הקלה והארכת מועדים. התוצאה היא שהפער בין שני המשטרים נפתח, והוא נפתח לרעת הארגון הישראלי. מי שמנהל אצלו את נוהל האירועים לפי מה שקרא על GDPR צריך לעדכן אותו, ומי שאין לו תבנית דיווח ראשוני מוכנה צריך להכין אותה השבוע ולא ביום שבו האירוע קורה. זו שאלה של שעות, לא של שבועות.
שאלות ותשובות
מתי צריך לדווח לרשות להגנת הפרטיות על אירוע אבטחה חמור?
באופן מיידי עם היוודע האירוע. תקנה 11(ד)(1) לתקנות הגנת הפרטיות (אבטחת מידע), התשע”ז-2017, מחייבת את בעל המאגר להודיע לרשם באופן מיידי ולדווח גם על הצעדים שנקט. הדין הישראלי לא קובע מספר שעות מדויק כמו 72 השעות שב-GDPR, ובפרקטיקה הרשות ראתה באיחור של 15 יום הפרה שמצדיקה עיצום כספי.
האם אפשר להמתין לסיום התחקיר הפנימי לפני הדיווח?
לא. בהחלטה בעניין מנורה מבטחים מאוקטובר 2026 קבעה הרשות להגנת הפרטיות שחובת הדיווח קמה עם היוודע האירוע ואינה מותנית בהשלמת בדיקה פנימית או בזיהוי שורש הבעיה. אפשר וצריך להגיש דיווח ראשוני גם כשהתמונה חלקית, ולהשלים אותו בדיווחי המשך.
האם חשיפה של עשרות רשומות בודדות נחשבת אירוע אבטחה חמור?
במאגר ברמת אבטחה גבוהה, כן. התקנות מגדירות אירוע אבטחה חמור במאגר ברמה גבוהה כאירוע שנעשה בו שימוש במידע מן המאגר בלא הרשאה או בחריגה מהרשאה, בלי דרישה שייפגע חלק מהותי מהמאגר. בעניין מנורה מבטחים הסתברה חשיפה של 138 מבוטחים מתוך מאגר של כ-2 מיליון איש, והיא נחשבה אירוע מדווח. במאגר ברמת אבטחה בינונית נדרש שהשימוש ייעשה בחלק מהותי מן המאגר.
האם ההקלות שאירופה מקדמת ב-GDPR חלות על ארגון ישראלי?
לא. ראשית, מדובר בעמדת מיקוח שאישרה מועצת האיחוד האירופי ב-21 באוקטובר 2026, והפרלמנט האירופי טרם אימץ עמדה משלו, כך שה-GDPR ממשיך לחול בנוסחו הנוכחי. שנית, גם כשההקלות יאושרו הן לא ישנו את הדין הישראלי, שמחייב דיווח מיידי ללא מועד שעות קבוע. ארגון ישראלי שכפוף גם ל-GDPR צריך לפעול לפי הדרישה המחמירה מבין השתיים.
מה תקרת העיצום הכספי לפי תיקון 13?
תקרת העיצום לפי תיקון 13 לחוק הגנת הפרטיות מגיעה ל-5% מהמחזור השנתי כפי שהוא מחושב לפי חוק מע”מ, לעומת 4% ב-GDPR. לעסק זעיר התקרה היא עד 70,000 ש”ח להפרה, לעסק קטן עד 140,000 ש”ח, ועל הפרות רישום במאגר גדול עד 300,000 ש”ח. בשאלה משפטית קונקרטית כדאי לבחון את החשיפה מול עורך דין המתמחה בדיני פרטיות.
רלוונטי להעמקה: דיווח על אירוע אבטחה חמור · רמות אבטחה לפי התקנות · בדיקת מוכנות לתיקון 13 · ממונה הגנת פרטיות כשירות
אם אירוע אבטחה יקרה אצלכם מחר בבוקר, מי מחליט אם לדווח?
בשיחה של 30 דקות נעבור על נוהל האירועים שלכם, רמות האבטחה של המאגרים ותבנית הדיווח הראשוני, ותדעו בדיוק איפה הפער.
מקורות: הרשות להגנת הפרטיות, בסיקור גלובס ו-law.co.il: עיצום כספי של 256,000 ש”ח על מנורה מבטחים ביטוח בשל אי-דיווח מיידי על אירוע אבטחה חמור, סכום מקורי 640,000 ש”ח והפחתה מצטברת של 60% (20% היעדר הפרות קודמות, 30% הפסקת ההפרה ודיווח ביוזמת החברה, 10% מינוי ממונה הגנת פרטיות), האירוע נודע ב-12.11.2025 ודווח ב-27.11.2025, 15 יום לאחר מכן, 138 מבוטחים, מאגר של כ-2 מיליון איש, ציטוט עו”ד עדי מנחם-בר (22.10.2026 ו-23.10.2026) · law.co.il: עיצום של 256,000 ש”ח על קופת חולים מאוחדת בשל אי-דיווח מיידי, העיצום הראשון מאז כניסת תיקון 13 לתוקף (21.7.2026) · גלובס: עיצום של 64,000 ש”ח על עיריית בית שמש בעקבות חשיפת מידע של 4,600 תושבים (ספטמבר 2026), ושלושה עיצומים מאז תיקון 13 · תקנות הגנת הפרטיות (אבטחת מידע), התשע”ז-2017: תקנה 11(ד)(1) והגדרת אירוע אבטחה חמור ברמת אבטחה גבוהה ובינונית · חוק הגנת הפרטיות, תיקון 13: תקרת עיצום של 5% מהמחזור השנתי לפי חוק מע”מ לעומת 4% ב-GDPR, עד 70,000 ש”ח לעסק זעיר, עד 140,000 ש”ח לעסק קטן, ועד 300,000 ש”ח על הפרות רישום במאגר גדול · מועצת האיחוד האירופי: אישור עמדת מיקוח על חבילת ההקלות הדיגיטלית, הארכת מועד הדיווח מ-72 ל-96 שעות, רשימה סגורה של שש מטרות פטורות מהסכמה בקוקיז וקיצור מששה חודשים לארבעה, נקודות דיווח לאומיות, הצבעה בוועדות הפרלמנט צפויה בתחילת 2027 (21.10.2026, בסיקור law.co.il מ-24.10.2026) · הצעת הנציבות האירופית COM(2025) 837 בעניין רף הדיווח (19.11.2025)
עידן צברי, יועץ אבטחת מידע והגנת פרטיות
מייסד SEC-IT, עם מעל 15 שנות ניסיון. משלב רקע משפטי (תואר במשפטים) עם ניסיון IT מבצעי ומומחיות סייבר (CISM, CISO), ומתמחה ביישום תיקון 13 והגנת פרטיות לעסקים קטנים ובינוניים. עוד על עידן ←
