עיצום 256,000 ₪: אכיפת תיקון 13 יוצאת לדרך

ב-21 ביולי 2026 הטילה הרשות להגנת הפרטיות עיצום כספי בסך 256,000 ₪ על קופת חולים מאוחדת — העיצום הראשון מכוח תיקון 13 לחוק הגנת הפרטיות מאז נכנס לתוקף. שישה ימים קודם לכן, ב-14 ביולי 2026, הטילה רשות הגנת הפרטיות של איטליה (Garante) קנס מנהלי של 2 מיליון יורו על Lusha Systems Inc., חברת דאטה-ברוקר שמקורה בישראל.

שני המקרים אינם קשורים זה לזה — קופת חולים ישראלית שאיחרה בדיווח, וחברת נתונים שנקנסה על עצם מודל האיסוף. אבל יחד הם מסמנים שינוי אחד: האכיפה בתחום הפרטיות עברה מהצהרה למחיר כספי, בשני משטרים במקביל.

עבור חברה ישראלית שגם מעבדת מידע בישראל וגם נוגעת בנתונים של אנשים באירופה, המשמעות היא חשיפה כפולה — לרשות בירושלים ולרשות ברומא — ולכל אחת סמכות עצמאית להטיל סכום.

בקצרה

• ב-21.07.2026 הטילה הרשות להגנת הפרטיות עיצום כספי של 256,000 ₪ על קופת חולים מאוחדת בגין אי-דיווח מיידי על אירוע אבטחה חמור — העיצום הראשון מכוח תיקון 13.
• הכשל: מאוחדת ידעה על תקלה שאפשרה גישה למידע רפואי כבר בנובמבר 2025, אך דיווחה לרשות רק ב-27.1.2026 — כחודשיים לאחר פניית המבוטח שחשפה את התקלה.
• ב-14.07.2026 קנסה רשות הפרטיות האיטלקית (Garante) את Lusha Systems Inc. ב-2 מיליון יורו והורתה לה למחוק את המידע על אנשים בשטח איטליה.
• Garante קבעה כי ה-GDPR חל על Lusha למרות שאין לה מוסד באיחוד, מכוח קריטריון הניטור שבסעיף 3(2) ל-GDPR.

המקרה הישראלי — קופת חולים מאוחדת

הרשות להגנת הפרטיות הטילה על קופת חולים מאוחדת עיצום כספי של 256,000 ₪ בגין הפרת חובת הדיווח המיידי על אירוע אבטחה חמור, לפי תקנה 11(ד) לתקנות הגנת הפרטיות (אבטחת מידע). זהו העיצום הראשון שהרשות מטילה מאז כניסתו לתוקף של תיקון 13.

האירוע עצמו: תקלה טכנולוגית במערכת דיגיטלית של הקופה אפשרה, בהתקיים שילוב תנאים מסוים, גישה לא מורשית למידע רפואי של מבוטחים — מידע בעל רגישות מיוחדת. התקלה התגלתה בעקבות פניית מבוטח שדיווח כי הוא יכול לצפות בתיק הרפואי של אחותו החורגת.

הכשל לא היה בתקלה, אלא בעיתוי הדיווח. מהבירור המינהלי עלה שהקופה ידעה על האירוע כבר בנובמבר 2025. פנייתו של המבוטח נחסמה, וכחודש וחצי לאחר מכן התברר שהתקלה רוחבית. הקופה תיקנה אותה בסוף ינואר 2026, ורק אז — כחודשיים לאחר הפנייה, ב-27.1.2026 — דיווחה לרשות. דיוק החלון הזה הוא בדיוק מה שעומד בבסיס הליווי שלנו בדיווח מיידי על אירועי אבטחה.

הרשות הבהירה עיקרון מרכזי: "חובת הדיווח המיידי קמה עם היוודע על התרחשותו של אירוע אבטחה חמור". המתנה להשלמת כל הבדיקות מרוקנת את דרישת המיידיות מתוכן. הדיווח הנדרש הוא ראשוני, מבוסס על המידע הידוע באותו רגע, וניתן להשלים פרטים בהמשך. הסכום — 256,000 ₪ — הוא הסכום שנותר לאחר הפחתות בהתאם להוראות החוק; הסכום הבסיסי לא פורסם.

המקרה האירופי — Lusha

רשות הגנת הפרטיות של איטליה (Garante) הטילה קנס מנהלי של 2 מיליון יורו על Lusha Systems Inc., אסרה עליה לעבד מידע של אנשים בשטח איטליה והורתה למחוק אותו. הקנס הוטל בהחלטה מיום 14 ביולי 2026 (מסמך 10275035), ופורסם ב-27 ביולי 2026.

Lusha היא דאטה-ברוקר שמספקת בתשלום מידע "מועשר" על אנשים — תפקיד, כתובות דוא״ל ומספרי טלפון. את המידע היא אוספת ממקורות שונים, בין היתר באמצעות scraping מרשתות חברתיות ורכישה מדאטה-ברוקרים אחרים, ומעמידה אותו ללקוחות למטרות מסחריות או מניעת הונאות. בין הנתונים היו גם פרטים על נושאי משרה בכירים, ברשויות אכיפה ובמערכת המשפט.

Garante קבעה שהחברה עיבדה מידע של מספר רב של אנשים בשטח איטליה תוך הפרת עקרונות החוקיות, ההגינות, השקיפות ומזעור המידע. ההודעה לנושאי המידע לא הייתה ברורה ונגישה, ובאשר לבסיס החוקי — הרשות קבעה שאינטרס לגיטימי אינו בסיס מספק.

הנקודה שרלוונטית לכל חברה ישראלית: Garante קבעה שה-GDPR חל על Lusha למרות שאין לה מוסד באיחוד האירופי. הבסיס הוא קריטריון הניטור שבסעיף 3(2) ל-GDPR — Lusha לא רק אוספת מידע מקצועי, אלא גם מעדכנת ומבקרת אותו לאורך זמן, פעולה שעולה כדי ניטור התנהגות ומעקב אחר אנשים באינטרנט. עצם המודל של איסוף והעשרת נתונים הוא שהכניס אותה לתחולה.

טבלת השוואה

מה זה אומר בפועל

מפו את הטריגר לדיווח, לא רק את נוהל הדיווח. במאוחדת הנוהל כנראה היה קיים — מה שנכשל היה ההחלטה מתי השעון מתחיל. הגדירו מראש איזה מידע מספיק כדי לקבוע שמדובר ב"אירוע אבטחה חמור", ומי מוסמך להחליט על דיווח ראשוני בלי להמתין לחקירה מלאה.

קצרו את הזמן שבין גילוי לדיווח. הרשות אמרה במפורש שהמתנה להשלמת בדיקות אינה הגנה. בנו מסלול שמאפשר דיווח ראשוני תוך שעות, עם השלמות בהמשך.

בדקו אם מודל הנתונים שלכם הוא "ניטור" לפי GDPR. אם אתם אוספים, מעדכנים ומעשירים מידע על אנשים לאורך זמן — כולל באירופה — סעיף 3(2) עשוי לחול עליכם גם בלי משרד, עובד או שרת באיחוד.

אל תסתמכו על "אינטרס לגיטימי" כברירת מחדל. במקרה Lusha זה נדחה. אם אתם בונים מוצר על איסוף או העשרת נתונים, בדקו את הבסיס החוקי לכל זרם מידע בנפרד. בדיקת פערים וביקורת פרטיות היא המקום להתחיל בו.

נהלו את שני המשטרים במנגנון אחד. חשיפה כפולה לא מחייבת שתי מערכות ציות. ממונה אחד ומסגרת אחת שממפים את שני הדינים חוסכים כפילות ומונעים פערים בתפרים.

צ׳קליסט בדיקה עצמית

• האם מוגדר אצלכם בכתב מה נחשב "אירוע אבטחה חמור", ומי מוסמך להחליט על דיווח? (כן / לא)
• האם אתם יכולים למסור דיווח ראשוני לרשות תוך פחות מ-24 שעות מרגע הגילוי? (כן / לא)
• האם קיים תיעוד של מועד הגילוי — להבדיל ממועד השלמת החקירה? (כן / לא)
• האם אתם מעבדים מידע על אנשים הנמצאים באיחוד האירופי (לקוחות, לידים, נתונים שנרכשו)? (כן / לא)
• האם למודל הנתונים שלכם יש רכיב של מעקב, עדכון או העשרה לאורך זמן? (כן / לא)
• האם בדקתם את הבסיס החוקי לכל זרם איסוף מידע, ולא הסתמכתם על "אינטרס לגיטימי" גורף? (כן / לא)
• האם יש גורם אחד שאחראי גם על הדין הישראלי וגם על ה-GDPR? (כן / לא)

תשובת "לא" אחת או יותר היא נקודה לבדיקה, לא בהכרח הפרה.

שאלות ותשובות

מה גובה העיצום הכספי המקסימלי לפי תיקון 13?

תיקון 13 מאפשר לרשות להגנת הפרטיות להטיל עיצומים שמגיעים למיליוני שקלים להפרה, עם תקרה מצרפית של 5% מהמחזור השנתי. העיצום על מאוחדת — 256,000 ₪ — הוא הראשון בפועל, ונמוך מהתקרה משום שהופעלו הפחתות לפי החוק. ראו הדוגמאות שפרסמה הרשות לחישוב עיצומים.

האם GDPR חל על חברה ישראלית ללא לקוחות באירופה?

כן, ייתכן — גם בלי לקוחות, משרד או שרת באיחוד. סעיף 3(2) ל-GDPR מחיל את התקנה על מי שמנטר התנהגות של אנשים הנמצאים באיחוד. במקרה Lusha, עצם האיסוף, העדכון וההעשרה של מידע על אנשים באיטליה נחשב לניטור, והספיק כדי להחיל את ה-GDPR. לתמונה החוצה-גבולות ראו מתי GDPR חל על חברה ישראלית.

מתי מתחילה חובת הדיווח על אירוע אבטחה?

חובת הדיווח המיידי קמה עם היוודע על התרחשות אירוע אבטחה חמור, ולא במועד שבו הושלמה החקירה. הרשות קבעה בעניין מאוחדת שהמתנה להשלמת כל הבדיקות מרוקנת את דרישת המיידיות מתוכן; הדיווח הראשוני מבוסס על המידע הידוע באותה עת.

"אינטרס לגיטימי" הוא בסיס חוקי מספיק לאיסוף נתונים?

לא תמיד. בעניין Lusha קבעה Garante שאינטרס לגיטימי אינו בסיס מספק לעיבוד שביצעה החברה. אם המוצר שלכם מבוסס על איסוף או העשרת נתונים, יש לבחון את הבסיס החוקי לכל זרם מידע בנפרד ולא להניח שאינטרס לגיטימי מכסה את הכול.

חברה אחת יכולה להיקנס גם בישראל וגם באירופה על אותו מידע?

כן. לרשות הישראלית ולרשויות האירופיות סמכויות עצמאיות, כל אחת לפי המשטר שלה. חברה שמעבדת מידע בישראל ונוגעת גם באנשים באירופה חשופה לשתיהן במקביל, ולכן עדיף לנהל את שני הדינים במסגרת ציות אחת.

לאן זה מוביל אתכם

שני העיצומים בשבוע אחד אינם צירוף מקרים — הם קו מגמה. אנחנו רואים את האכיפה עוברת משלב ההסברה לשלב המחיר, גם בישראל וגם באירופה. חברה שנוגעת בשני המשטרים תרוויח ממנגנון ציות אחד שממפה את שניהם, במקום שתי מערכות שמשאירות פערים בתפרים. אם אתם רוצים לבחון היכן אתם עומדים מול שני הדינים, זה בדיוק מה ששירות ממונה הגנת פרטיות במיקור חוץ נועד לעשות — נקודת אחריות אחת לישראל ול-GDPR.

אין באמור ייעוץ משפטי, ותחולת הדרישות נבחנת פרטנית לגופו של עניין. לבחינת מצבכם, פנו לגורם מקצועי מוסמך.

יונה שוובל · ממונה הגנת פרטיות ועו״ד · מלווה חברות ישראליות בציות לתיקון 13 ול-GDPR.

מקורות

• הרשות להגנת הפרטיות — עיצום על קופת חולים מאוחדת, 21 ביולי 2026
• Garante per la protezione dei dati personali — הודעת Lusha, 27 ביולי 2026
• Garante — ההחלטה המלאה מ-14 ביולי 2026 (מסמך 10275035)