דלף מידע של לקוחות: מה חובה לעשות ומתי

מה חובה לעשות כשמידע של לקוחות דלף?

זה תלוי ברמת האבטחה של המאגר. באירוע אבטחה חמור במאגר ברמה בינונית או גבוהה, חובה להודיע לרשות להגנת הפרטיות מיד, ולדווח מה נעשה בעקבותיו. בכל רמה, התקנות מחייבות לתעד אירועי אבטחה.

אם הדליפה קשורה למתקפה שעדיין פעילה, אפשר לפנות גם למערך הסייבר הלאומי בחיוג 119 או באופן מקוון, בכל שעה. ואם יש לכם ביטוח סייבר, הודיעו למבטח.

מתי חובה לדווח לרשות?

לא בטוחים באיזו רמה אתם? מאגר עם מידע רפואי, מידע על מצב כלכלי או חובות, או מידע ביומטרי, נמצא ברמה הבינונית אם יש אצלכם יותר מעשרה אנשים עם גישה אליו. עד עשרה, חלה בדרך כלל הרמה הבסיסית. המבחן המלא

איך מדווחים?

את הדיווח מגישים בשירות המקוון של הרשות להגנת הפרטיות ב gov.il: gov.il (https://www.gov.il/he/service/report-of-data-breach)

בדיווח מתארים את האירוע ואת הצעדים שנקטתם בעקבותיו. לכן כדאי לרשום מההתחלה מה קרה, מתי ומה עשיתם.

צריך להודיע ללקוחות?

הרשות להגנת הפרטיות רשאית להורות לכם להודיע לנושאי המידע שעלולים להיפגע. כלומר, ללקוחות שהמידע שלהם דלף. ההחלטה בידי הרשות.

מה החשיפה אחרי דליפה?

שני דברים השתנו עם תיקון 13, שנכנס לתוקף ב 14 באוגוסט 2025:

• עיצומים כספיים. הרשות יכולה להטיל עיצומים גם על הפרת תקנות אבטחת המידע, כולל על אי דיווח על אירוע חמור כשחלה חובה. עיצומים: על מה וכמה
• תביעה גם שנים אחרי. ההתיישנות המקוצרת בתביעות לפי חוק הגנת הפרטיות, שנתיים, בוטלה. חלה התקופה הכללית, שבע שנים או יותר, לעילות שנוצרו אחרי כניסת התיקון לתוקף.

ויש צד אחד שפועל לטובתכם: עסק שהפסיק את ההפרה ביוזמתו ודיווח עליה לרשות יכול לקבל הפחתה של 30% בעיצום.

מה ביטוח סייבר יכול לעשות במצב כזה?

בצד השלישי, פוליסות מכסות בדרך כלל תביעות על דליפת מידע אישי של לקוחות. יש פוליסות שמכסות גם קנסות, רק כשהקנס ניתן לביטוח לפי הדין ולפי תנאי הפוליסה. דליפת מידע ותביעות