הרשות להגנת הפרטיות הטילה קנס על חברת הביטוח מנורה מבטחים. (דה מרקר)
הרשות להגנת הפרטיות במשרד המשפטים קבעה כי חברת הביטוח מנורה מבטחים הפרה את חובת הדיווח המיידי על אירועי אבטחה חמורים, לאחר שדיווחה לרשות באיחור של יותר משבועיים על אירוע שבו נחשף מידע אישי של מבוטחים לסוכן ביטוח שלא היה מורשה לעיין בו. בעקבות זאת, הטילה הרשות על החברה עיצום כספי של 256 אלף שקל.
סוכן הביטוח קיבל בשגגה הרשאת גישה לדו"ח שכלל מידע אישי על 138 מבוטחים של מנורה, המשויכים לסוכן ביטוח אחר. המידע נשלף ממאגר הלקוחות של החברה, שמוגדר ברמת אבטחה גבוהה ומכיל מידע אישי על אודות כ-2 מיליון בני אדם, לרבות מידע בעל רגישות מיוחדת, כגון מידע פיננסי, נתוני שכר ומידע רפואי. הדו"ח שנחשף כלל פרטי זיהוי של מבוטחים, מצב משפחתי, פרטי מעסיקים, נתוני שכר, פרטי פוליסות ביטוח, תשלומים וחובות.
במסגרת ההליך המנהלי טענה החברה כי חובת הדיווח מתגבשת רק לאחר השלמת הבדיקות הפנימיות ובירור מקור הכשל הטכנולוגי שהוביל לאירוע, תוך אימות שמקור הכשל הוא במערכות החברה. הרשות דחתה עמדה זו והבהירה כי חובת הדיווח המיידי נועדה לאפשר לרשות להפעיל את סמכויות הפיקוח והבקרה שלה בסמוך ככל האפשר למועד גילוי האירוע, גם כאשר מלוא נסיבותיו והיקפו טרם התבררו.
בהחלטתה הדגישה הרשות כי אין להמתין להשלמת התחקור הפנימי כתנאי למסירת הדיווח. מטבע הדברים, דיווח ראשוני עשוי להתבסס על תמונת מצב חלקית, וניתן להשלים בהמשך פרטים נוספים, ככל שנדרש.
הכתבה המלאה בדה מרקר