הרשות להגנת הפרטיות במשרד המשפטים פתחה אתמול (ג') בבירור מנהלי נגד קופת חולים מאוחדת, לאחר שהקופה דיווחה על תקלה במערכת דיגיטלית שאפשרה בחלק מהמקרים חשיפה בלתי מורשית של מידע רפואי של מבוטחים. במסגרת הבדיקה נקבע כי הקופה לא דיווחה על האירוע באופן מיידי כפי שנדרש בתקנות הגנת הפרטיות, ולכן הוטל עליה עיצום כספי בגובה 256 אלף שקלים לאחר הפחתות בהתאם להוראות החוק.
מבוטחים יכלו לצפות במידע רפואי של קרובי משפחתם
האירוע התגלה לאחר שמבוטח פנה ללשכה המשפטית של הקופה וטען כי באפשרותו לצפות בתיק הרפואי של אחותו החורגת. בהמשך הבדיקה התברר כי מדובר בתקלה רחבה, שבנסיבות מסוימות אפשרה למבוטחים לצפות במידע רפואי של קרובי משפחתם. לפי הקופה, האפשרות לצפייה ללא הרשאה הייתה מוגבלת למספר מצומצם של אנשים, ובשנתיים האחרונות רק הפונה נחשף בפועל למידע.
לקופה נודע על האירוע כבר בנובמבר אשתקד, אך הדיווח הועבר רק בינואר השנה. לאחר בדיקות שביצעה הקופה נמצא כי התקלה תוקנה בסוף חודש ינואר האחרון באמצעות פיתוח טכנולוגי ייעודי. במאגר שבו אירעה התקלה נשמר מידע אישי של מספר רב מאוד של מבוטחים, כולל מידע רפואי הנחשב מידע בעל רגישות מיוחדת.
הרשות להגנת הפרטיות הבהירה כי חובת הדיווח אינה תלויה בהשלמת כל הבדיקות הפנימיות או בהבנת מלוא היקף האירוע: "הדיווח הנדרש הינו דיווח ראשוני, המבוסס על המידע הידוע במועד הדיווח, וככל שמתבררים פרטים נוספים במהלך בחינת האירוע, ניתן להשלימם בהמשך בדיווח משלים". עוד קבעה הרשות כי במקרה זה, כבר בשלב שבו נחסמו הרשאותיו של הפונה היה בידי הקופה מידע מספק על אירוע אבטחה חמור, אך הדיווח נמסר רק כחודשיים לאחר מכן.
"על החברות והארגונים לבחון היטב את מערכות המידע"
ראש הרשות להגנת הפרטיות, עו"ד גלעד סממה, אמר: "הפרות של חוק הגנת הפרטיות לאחר כניסתו לתוקף של תיקון 13 טומנות בחובן סנקציות ועיצומים כספיים משמעותיים, כפי שניתן להיווכח גם במקרה זה. על החברות והארגונים לבחון היטב את מערכות המידע על מנת לעמוד על כך שהמידע הרגיש של אזרחי ישראל מוגן באופן מיטבי".
מנהלת מערך האכיפה ברשות להגנת הפרטיות, עו"ד עדי מנחם באר, הוסיפה: "חובת הדיווח המיידי על אירועי אבטחת מידע חמורים קמה עם היוודע על האירוע, ואין להמתין להשלמת כלל הבדיקות של הגוף בו התרחש האירוע".
"הרשות לא תקבל פרשנויות המרוקנות מתוכן את דרישת המיידיות. באחריותם של בעלי שליטה ומחזיקים במאגרי מידע, ובפרט כשמדובר בארגונים שהם בעלי שליטה של מאגרי מידע עם מידע בעל רגישות מיוחדת בהיקפים גדולים, לייצר את המנגנונים המתאימים על מנת לקיים את חובת הדיווח המיידי לפי הדין. מערך האכיפה של הרשות יפעל בנחישות, תוך הפעלת כלי האכיפה שניתנו לרשות בתיקון 13, לשם העלאת רמת הציות לחוק".
מקופת חולים מאוחדת נמסר בתגובה: "הקופה היא זו שיזמה דיווח לרשות ברגע שהתבררו הפרטים של המקרה הנקודתי, שנגע למטופל אחד בלבד. הדרישה לדיווח מיידי לעיתים אינה ריאלית ולא מאפשרת בירור מלא של הפרטים לטובת דיווח. תמוה בעינינו שהרשות בוחרת להטיל קנס על ארגון ציבורי, ובכוונתנו לבחון אפשרות לערער על ההחלטה".