נובמבר 2025: קופת חולים מאוחדת מגלה שמבוטח יכול לצפות בתיק הרפואי של אחותו החורגת. ינואר 2026: היא מדווחת על זה לרשות להגנת הפרטיות. יולי 2026: עיצום כספי של 256,000 ₪ – הראשון מסוגו מאז תיקון 13.
באותו חודש, ברשות אחרת לגמרי: 600,000 ₪ על הודעה שלא נשלחה. זה מה שקרה לברינקס ישראל – לא מעילה, לא פגיעה בלקוח, לא הונאה. "רק" אי-מסירת הודעה למפקח על הכוונה למנות נושא משרה. חובה טכנית, כמעט פרוצדורלית, שנמצאת בסעיף 31(5) לחוק הפיקוח על שירותים פיננסיים.
שני רגולטורים שונים, שני סוגי הפרות שונים לגמרי – ובכל זאת, שני העיצומים האלה מספרים בעצם את אותו סיפור: לא כשל מהותי, לא פגיעה בציבור, אלא חובה "שגרתית" שנפלה בין הכיסאות. וכשזה קורה, המחיר יכול להיות גבוה בהרבה ממה שמצפים.
הרשות להגנת הפרטיות: מתי השעון מתחיל לרוץ
חודשיים בין הגילוי לדיווח נשמעים כמו איחור ברור. אבל מי שעבד אי פעם על אירוע אבטחה חמור יודע שזה אף פעם לא כזה פשוט.
כשקורה אירוע יוצא דופן, אף ארגון לא מדווח באמת "מיידית". יש בדיקה ראשונית. יש רצון להבין את ההיקף האמיתי, לא רק את המקרה הבודד שהתגלה. יש ניסיון להגיע לרגולטור עם משהו יותר מ"קרה משהו, לא ברור מה" – גם כי הדיווח חייב לכלול מידע מסוים, וגם כי אף ארגון לא רוצה להיכנס לזה בלי הבנה מינימלית של מה שבכלל קרה.
מהצד השני – כל יום בדיקה הוא יום נוסף של חשיפה להפרת חובת הדיווח.
מתי "אני עדיין בודק" הופך ל"איחרתי לדווח"? זו אחת השאלות הכי לא שחור-לבן בעולם הציות. וזה לא ייחודי לפרטיות – כל מי שמתמודד עם דיווח מיידי לרשות ני"ע מכיר את אותו מתח בדיוק.
אז מה חדש כאן?
ברשות להגנת הפרטיות, בפעם הראשונה, יש לנו תשובה – לא רק על גובה הקנס (הכי גבוה שהוטל על הפרת חובת דיווח מאז התיקון), אלא על הפרשנות עצמה.
הרשות לא קבעה שהשעון התחיל לרוץ כשהקופה הבינה את היקף התקלה במלואה. היא קבעה שהשעון התחיל לרוץ הרבה קודם – ברגע שהיה בידיה מידע שמלמד על אירוע אבטחה חמור. במקרה הזה: הרגע שבו נחסמו ההרשאות של המבוטח שפנה. לא צריך תמונה מלאה. מספיק חשד מבוסס.
המסקנה המעשית לקציני ציות, יועצים משפטיים ומזכירי חברות:
הרף הוא לא "מתי אני בטוח מה קרה". הרף הוא "מתי יש לי מידע מספיק לדעת שקרה משהו חמור".
וזה אומר שהרגע הקריטי לתעד הוא לא רק "מה עשינו כדי לבדוק" – אלא מתי בדיוק זיהינו שיש אירוע, ומה השיקולים שהובילו להחלטה על מועד הדיווח. כי בבירור מול הרשות, זה בדיוק העימות: הרשות תגיד "כבר ידעתם", והארגון יגיד "עדיין בדקנו". מי שיש לו תיעוד מדויק של נקודת הזמן הזו – נכנס לדיון הזה במקום אחר לגמרי.
256,000 ₪ זה המחיר של חודשיים וחצי חשד לא מתועד.
רשות שוק ההון: כשהשגרה היא הסיכון
600,000 ₪ על הודעה שלא נשלחה. וזה אחרי הפחתה – כלומר הסכום המקורי היה גבוה יותר.
וזו בדיוק הנקודה שממשיכה להפתיע ארגונים.
אנחנו נוטים לחשוב על סיכון רגולטורי במונחים של "הפרות גדולות" – כשל מהותי, פגיעה בציבור, משהו שבאמת "מגיע" לו עיצום. אבל המספרים לא תמיד עובדים כך. חובת דיווח שהוחמצה, טופס שלא נשלח בזמן, עדכון שלא בוצע – אלו לרוב לא "אירועים", הם שגרה. וזו בדיוק הסכנה: השגרה היא המקום שבו דברים נופלים בין הכיסאות.
אף ארגון לא מתכוון לפספס הודעה למפקח. זה קורה כשאין מי שעוקב, מזכיר, מתעד.
שני עיצומים, מסקנה אחת
ההבדל בין מאוחדת לברינקס הוא ההבדל בין "אירוע חמור שהתגלגל לאיחור בדיווח" לבין "חובה טכנית שאף אחד לא זכר לבצע". אבל בשני המקרים, הרגולטור לא בחן את הכוונה – הוא בחן את התיעוד והתהליך. מי שיכול להראות בדיוק מתי זיהה את החובה, ואילו שיקולים הובילו להחלטה שלו, עומד במקום אחר לגמרי מול הרגולטור ממי שיכול רק לומר "התכוונו לטפל בזה".
השאלה שכל ארגון צריך לשאול את עצמו היא לא "האם יש לנו הפרות גדולות שמסתתרות איפשהו" – אלא: איפה יש לנו חובות "טכניות" שאף אחד לא באמת בודק שבוצעו בזמן?
המאמר נכתב על ידי מורלי דורי, מנכ"לית ומייסדת Global PIL. הסקירה הינה כללית בלבד ואינה מהווה תחליף לייעוץ משפטי או רגולטורי.
