«Менора Мивтахим» оштрафована на 256 000 шекелей за задержку отчета об утечке

Управление по защите конфиденциальности при Министерстве юстиции наложило денежный штраф в размере 256 000 шекелей на компанию «Менора Мивтахим» за нарушение обязанности незамедлительного отчета о серьезном инциденте безопасности. Решение было принято после того, как в ходе административного разбирательства выяснилось, что личные данные 138 застрахованных лиц были раскрыты страховому агенту, не имевшему права на просмотр, а компания передала отчет в Управление только после завершения внутренних проверок.

Детали инцидента и утечка данных

Согласно выводам Управления, страховой агент по ошибке получил права доступа к отчету, содержащему личную информацию о застрахованных, которые обслуживаются другим агентом. Информация была извлечена из базы данных клиентов компании «Менора Мивтахим», которая имеет высокий уровень безопасности и содержит персональные данные примерно 2 миллионов человек, включая финансовые данные, сведения о заработной плате и медицинскую информацию.

Раскрытый отчет включал в себя идентификационные данные застрахованных, семейное положение, данные о работодателях, зарплату, детали страховых полисов, платежи и задолженности. Инцидент поставил под сомнение сроки, в которые компания должна была сообщить Управлению по защите конфиденциальности о происшествии.

Сроки и позиция регулятора

Согласно решению, инцидент стал известен руководству компании «Менора Мивтахим» еще 12 ноября 2025 года, однако отчет в Управление был направлен лишь 27 ноября 2025 года, более чем через две недели. Управление постановило, что ожидание завершения внутренних проверок перед подачей отчета противоречит требованию о немедленном уведомлении, установленному в правилах защиты конфиденциальности.

Цель требования о немедленном отчете состоит в том, чтобы позволить Управлению задействовать свои полномочия по надзору как можно ближе ко времени обнаружения инцидента.

В ходе разбирательства компания утверждала, что обязанность отчетности возникает только после завершения внутреннего расследования. Управление отклонило этот довод, пояснив, что организациям следует подавать первичный отчет даже при частичной картине происходящего.

Штрафные санкции и смягчающие обстоятельства

Первоначальная сумма денежного штрафа, установленная в соответствии с законом, составляла 640 000 шекелей, учитывая размер базы данных, содержащей информацию более чем о миллионе человек. После заслушивания аргументов компании сумма была снижена в совокупности на 60% и составила 256 000 шекелей.

Снижение было достигнуто благодаря трем факторам: 20% за отсутствие предыдущих нарушений за последние пять лет, 30% за инициативный отчет компании, в рамках которого нарушение было прекращено, и 10% за надлежащее назначение сотрудника по защите конфиденциальности.