מבוטח צפה בתיק אחותו החורגת: מאוחדת נקנסה

תקלה במערכת הדיגיטלית אפשרה למבוטחים לצפות במידע רפואי של קרובי משפחתם. מאוחדת ידעה על האירוע בנובמבר, אך דיווחה עליו רק כחודשיים לאחר מכן – וספגה עיצום תקדימי בסך 256 אלף שקלים.
הרשות להגנת הפרטיות במשרד המשפטים הטילה עיצום כספי בסך 256 אלף שקלים על קופת חולים מאוחדת, לאחר שקבעה כי הקופה לא דיווחה באופן מיידי על אירוע אבטחת מידע חמור שאפשר גישה למידע רפואי של מבוטחים.
מדובר בעיצום הכספי הראשון שמטילה הרשות מאז כניסתו לתוקף של תיקון 13 לחוק הגנת הפרטיות.
האירוע נחשף בעקבות פנייה חריגה של אחד ממבוטחי מאוחדת ללשכה המשפטית של הקופה. המבוטח דיווח כי באפשרותו לצפות בתיק הרפואי של אחותו החורגת – מידע אישי ורגיש שלא היה אמור להיות נגיש לו.
התקלה התבררה כרוחבית
לאחר הפנייה החלה מאוחדת לבדוק את האירוע. כעבור כחודש וחצי התברר כי לא מדובר רק במקרה נקודתי, אלא בתקלה רוחבית במערכת הדיגיטלית של הקופה.
לפי ממצאי הבדיקה, בהתקיים שילוב מסוים של תנאים יכלו מבוטחים לצפות במידע רפואי של קרובי משפחתם. המאגר שבו התרחשה התקלה כולל מידע אישי על מספר גדול מאוד של מבוטחים, לרבות מידע רפואי המוגדר כבעל רגישות מיוחדת.
מאוחדת טענה כי האפשרות לצפות במידע ללא הרשאה הייתה פתוחה רק בפני מספר מצומצם של אנשים, וכי בשנתיים האחרונות רק המבוטח שפנה לקופה נחשף בפועל למידע שלא היה מורשה לראות.
הקופה ידעה בנובמבר – ודיווחה בינואר
הקופה גילתה את האירוע כבר בחודש נובמבר 2025, אך דיווחה עליו לרשות להגנת הפרטיות רק בחודש ינואר. בסוף ינואר 2026 השלימה מאוחדת פיתוח שנועד לתקן את התקלה.
בעקבות החשד כי הדיווח לא הועבר באופן מיידי, פתחה הרשות בהליך בירור מנהלי. לאחר בחינת הממצאים ושמיעת טענות הקופה נקבע כי מאוחדת הפרה את חובת הדיווח הקבועה בחוק.
לדברי הרשות, כבר במועד שבו נחסמו הרשאותיו של המבוטח היה בידי הקופה מידע מספק שהצביע על אירוע אבטחה חמור. למרות זאת, האירוע דווח בפועל רק כחודשיים לאחר מכן.
"הדיווח צריך להיות מיידי"
ברשות להגנת הפרטיות דחו את האפשרות שלפיה ארגון רשאי להמתין עד להשלמת כל הבדיקות לפני שהוא מדווח על אירוע אבטחה. לפי הרשות, דיווח ראשוני צריך להימסר מיד עם גילוי האפשרות לגישה בלתי מורשית, ואת הפרטים החסרים ניתן להשלים בהמשך.
ראש הרשות להגנת הפרטיות, עו"ד גלעד סממה, מסר: "הפרות של חוק הגנת הפרטיות לאחר כניסתו לתוקף של תיקון 13 טומנות בחובן סנקציות ועיצומים כספיים משמעותיים, כפי שניתן להיווכח גם במקרה זה".
מנהלת מערך האכיפה ברשות, עו"ד עדי מנחם באר, הוסיפה כי הרשות "לא תקבל פרשנויות המרוקנות מתוכן את דרישת המיידיות", והבהירה כי מערך האכיפה ימשיך להפעיל את הכלים שניתנו לו כדי להעלות את רמת הציות לחוק. מקופת חולים מאוחדת נמסר בתגובה: "הקופה היא זו שיזמה דיווח לרשות ברגע שהתבררו הפרטים של המקרה הנקודתי, שנגע למטופל אחד בלבד. הדרישה לדיווח מיידי לעיתים אינה ריאלית ולא מאפשרת בירור מלא של הפרטים לטובת דיווח. תמוה בעינינו שהרשות בוחרת להטיל קנס על ארגון ציבורי, ובכוונתנו לבחון אפשרות לערער על ההחלטה"