מבוטח של קופת חולים מאוחדת גילה שהוא יכול לצפות בתיק הרפואי של אחותו החורגת. הוא הרים טלפון והודיע. חסמו לו את ההרשאות, ואז התחילו לבדוק. הבדיקות ארכו כחודש וחצי וגילו שהתקלה רוחבית, ושבהתקיים תנאים מסוימים יכלו מבוטחים לצפות במידע רפואי של קרובי משפחתם. בסוף ינואר 2026 התקלה תוקנה, ואז דווחה לרשות להגנת הפרטיות, כחודשיים אחרי אותה שיחה. העיצום שהוטל ביום 21.7.2026 היה 256,000 ש"ח, ולא על התקלה.

הוא הוטל על האיחור בדיווח, והוא הראשון מסוגו מאז שתיקון 13 לחוק הגנת הפרטיות נכנס לתוקף. הרשות קבעה שהקופה ידעה על האירוע כבר בנובמבר 2025.

מכאן החלק שראוי לקרוא פעמיים. הרשות קבעה שחובת הדיווח המיידי "קמה עם היוודע על התרחשותו של אירוע אבטחה חמור", ושדי בדיווח ראשוני המבוסס על המידע הידוע באותו רגע, שאפשר להשלימו אחר כך. ובמשפט שאין בו מרווח: "עמדה לפיה יש להמתין להשלמת כלל הבדיקות מרוקנת מתוכן את דרישת 'המיידיות'". ואת נקודת ההתחלה קבעה הרשות במדויק: "לכל המאוחר במועד שבו נחסמו הרשאותיו של הפונה, כבר היה בידי הקופה מידע מספק". כלומר הרגע שבו אתם נוקטים פעולת בלימה הוא הרגע שבו הודיתם שאתם יודעים.

הרבה לקוחות וחברים פנו אליי מאז ההחלטה, וכולם בערך באותו נוסח: בסדר, אבל זה לא נוגע אליי, נכון? אצלי אין בני משפחה באפליקציה. 

זה נוגע, ולא בגלל בני משפחה. חובת הדיווח אינה באה מדיני בריאות אלא מתקנות הגנת הפרטיות בעניין אבטחת מידע, שחלות על כל בעל מאגר. מה שמשתנה מגוף לגוף הוא רמת האבטחה, והיא זו שקובעת מה בכלל נחשב אירוע חמור. ברמה הבינונית נדרש שימוש "בחלק מהותי מן המאגר". ברמה הגבוהה די ב"שימוש במידע מן המאגר, בלא הרשאה או בחריגה מהרשאה", בלי סף מהותיות. רשומה אחת מספיקה.

ומי נמצא ברמה הגבוהה. מאגר שיש בו מידע בעל רגישות מיוחדת ומידע על מאה אלף אנשים ומעלה, או למעלה ממאה בעלי הרשאה. ההגדרה של "מידע בעל רגישות מיוחדת" בחוק כוללת מידע על מצב בריאותו של אדם, אבל גם, בפסקה (10), "מידע אישי על נתוני שכר של אדם ועל פעילותו הפיננסית", וגם, בפסקה (11), מידע שחלה עליו חובת סודיות שנקבעה בדין. בנקים, חברות כרטיסי אשראי, מבטחים, גופים מוסדיים ונותני שירותים פיננסיים נמצאים שם כולם, ולא בגלל מידע רפואי. גם מעסיק גדול נמצא שם. פרט 21 לתוספת השלישית לחוק קובע לאי-דיווח מיידי 320,000 ש"ח במאגר ברמה גבוהה, וסעיף 23כו(ח) מוסיף שבמאגר כזה שיש בו מידע על מיליון אנשים ומעלה רשאי ראש הרשות להטיל כפל.

עד כאן חובה אחת. ומכאן מה שלדעתי מפספסים יותר מכל: אצל גוף מפוקח החובה הזאת כמעט לעולם אינה היחידה. לצידה יש חובת דיווח מקבילה, לרגולטור אחר, שנוסחה בהקשר אחר ונמדדת מרגע אחר. שתי החובות אינן מתנגשות בתוכן אלא בעיתוי, וזה מסוכן יותר, מפני שגוף שמקיים אחת מהן בהקפדה משוכנע שהוא מכוסה.

הבנקים הם הדוגמה הנקייה. ביום 17.6.2026, בחוזר ח-06-2848, עדכן הפיקוח על הבנקים את הוראה 366 בנושא דיווח על אירועי כשל טכנולוגי, אירועי אבטחת מידע ומתקפת סייבר. ההוראה מחייבת דיווח טלפוני עד שעתיים, בכל שעה ובכל יום, ואחריו דיווח ראשוני בכתב עד שמונה שעות. אבל היא מודדת את השעתיים "מזיהוי האירוע כאירוע המחייב דיווח", כלומר אחרי הסיווג, ומחייבת רק לגבי הקטגוריות שבסעיף 6, שכל אחת מהן נושאת סף מהותיות. רשות הפרטיות מודדת מרגע הידיעה ושוללת במפורש את ההמתנה לבדיקות. התוצאה כפולה. נוהל שנבנה סביב הסיווג מאחר באופן שיטתי את השעון של הרשות, ויש שכבה שלמה של אירועים שחייבים בדיווח מיידי לרשות ואינם מחייבים דיווח לפיקוח כלל.

ובבנקים יש גם המשך. סעיף 17 להוראה 366 מחייב בנק שהחליט לא לדווח לפיקוח לתעד את ההחלטה, את הגורם שקיבל אותה ואת נימוקיה. זהו מסמך מתוארך שקובע בדיוק מה הבנק ידע ומתי. מול הפיקוח הוא הגנה. מול רשות הפרטיות, לפי אמת המידה שנקבעה במאוחדת, הוא הראיה.

הצורה הזאת אינה ייחודית לבנקאות. מבטח, גוף מוסדי, חברת תשלומים ונותן שירות מידע פיננסי עונים כל אחד ליותר מרגולטור אחד. השאלה שכדאי לשאול אינה אם דיווחתם, אלא למי, עד מתי, ומאיזה רגע נמדד הזמן.

מה שאפשר לעשות עכשיו:

1. לקבוע באיזו רמת אבטחה נמצאים המאגרים שלכם. זו אינה שאלה טכנית. הרמה קובעת אם אירוע בודד הוא אירוע חמור בכלל.
2. לקבוע מי מוסמך להחליט שקיים אירוע אבטחה חמור, ומאיזה רגע נמדד הזמן. אם החסימה קודמת להחלטה, השעון התחיל לפניה.
3. למפות את כל חובות הדיווח שחלות עליכם באירוע אחד, ולא רק את זו שאתם רגילים לדווח לפיה, כולל המועד ונקודת ההתחלה של כל אחת.
4. לנסח מראש את נוסח הדיווח הראשוני. די בדיווח על המידע הידוע, ואפשר להשלים. נוסח מוכן הוא ההפרש בין דיווח בשעתיים לדיווח בחודשיים.
5. לעבור על תיעוד ההחלטות שלא לדווח משנה אחורה. אצל גוף מפוקח התיעוד הזה הוא לרוב חובה בפני עצמה, והוא גם הראיה.

אם נוהל האירוע שלכם מכיר שעון אחד, כדאי לבדוק כמה שעונים באמת רצים.