בכל נוהל לטיפול באירוע אבטחה יש שורה על "דיווח לרשויות בתוך הזמן הנדרש". אבל הזמן הנדרש הוא בדיוק השאלה. לחברה ישראלית שמוכרת לאירופה יש עליה לפחות שתי תשובות, והן שונות זו מזו במה שמפעיל את החובה, במי שצריך לקבל את הדיווח ובזמן שעומד לרשותכם.
שעון ראשון: ישראל, "מיידית"
תקנה 11(ד) לתקנות הגנת הפרטיות (אבטחת מידע), התשע״ז–2017, מחייבת בעל שליטה במאגר לדווח לרשות להגנת הפרטיות מיידית על אירוע אבטחה חמור. אבל לפני שהחובה הזו חלה, יש שני תנאים שמצמצמים אותה.
התנאי הראשון הוא רמת האבטחה של המאגר. החובה חלה רק על מאגרים ברמת אבטחה בינונית או גבוהה. במאגר ברמה בסיסית אין חובה לדווח לרשות להגנת הפרטיות לפי התקנות, ולכן הצעד הראשון בכל תכנון לקראת אירוע הוא לסווג כל מאגר לרמה שלו.
התנאי השני הוא שהאירוע "חמור". במאגר ברמה גבוהה, כל שימוש במידע מהמאגר בלי הרשאה או מעבר להרשאה, וכל פגיעה בשלמות המאגר, הם אירוע חמור. במאגר ברמה בינונית זה אותו הדבר, אבל רק כשמדובר בחלק מהותי מהמאגר.
עד יולי 2026 לא היה פרסום רשמי שמסביר כמה מהר זה "מיידית". ב־21 ביולי 2026 הטילה הרשות להגנת הפרטיות עיצום כספי על קופת חולים שדיווחה באיחור, ובכך קבעה את הכלל. לפי הרשות להגנת הפרטיות, החובה לדווח קמה ברגע שנודע לכם שהתרחש אירוע אבטחה חמור, וצריך לקיים אותה סמוך לגילוי ובלי דיחוי. עמדה שלפיה מחכים עד שכל הבדיקות יסתיימו "מרוקנת מתוכן את דרישת המיידיות". הדיווח הנדרש הוא דיווח ראשוני, לפי מה שידוע בזמן הדיווח, ואת שאר הפרטים אפשר להשלים אחר כך בדיווח משלים.
העמידה בזמנים נאכפת בפני עצמה. ההודעה של הרשות להגנת הפרטיות לא מבססת את העיצום על נזק שנגרם. מה שנענש היה העיכוב עצמו.
שעון שני: ה־GDPR, 72 שעות
ה־GDPR, הרגולציה האירופית להגנת מידע, קובע שעון אחר. כשהוא חל, סעיף 33 מחייב את בעל השליטה לדווח לרשות הפיקוח המוסמכת על אירוע אבטחה של מידע אישי בלי דיחוי, ואם אפשר בתוך 72 שעות מהרגע שנודע לו עליו. החובה לא חלה אם לא סביר שהאירוע ייצור סיכון לאנשים. וכשהסיכון לאנשים גבוה, סעיף 34 מחייב להודיע גם להם עצמם.
לספק חשובה במיוחד הוראת סעיף 33(2): מעבד, כלומר מי שמעבד מידע עבור בעל השליטה, חייב להודיע לבעל השליטה בלי דיחוי מהרגע שנודע לו על האירוע. לכן השעון שלכם מתחיל לרוץ לפני השעון של הלקוח.
שעון שלישי: מה שחתמתם עליו
להסכמי עיבוד מידע עם לקוחות ארגוניים יש זמן הודעה משלהם: 24 שעות, 48 שעות או "ללא דיחוי". לעיתים הם גם מחייבים להודיע בטופס מסוים ולכתובת מסוימת. לספק עם שלושים לקוחות יכולים להיות שלושים נוסחים שונים במעט, ולכן הנוהל צריך לדעת מה חל על כל לקוח לפני האירוע, לא בזמן האירוע.
נוהל אחד, טבלת החלטה אחת
הפתרון שעובד אינו מדיניות ארוכה יותר, אלא טבלת החלטה אחת. היא מתעדת את רמת האבטחה של כל מאגר, ואת ההתחייבות החוזית ואיש הקשר של כל לקוח. לכל סוג אירוע היא קובעת מי מחליט שהאירוע "חמור", מי מדווח לרשות להגנת הפרטיות, מי מדווח ללקוח, מי מדווח לרשות פיקוח אירופית אם ה־GDPR חל, ועד מתי. וכל זה עם שמות ומספרי טלפון.
כשאתם בונים את הטבלה, כדאי לזכור שלושה דברים:
- הדיווח בישראל הוא ראשוני, ואחריו אפשר להגיש דיווח משלים. לכן אל תחכו לתוצאות הבדיקה הפורנזית כדי לדווח.
- השעון של ה־GDPR רץ מהרגע שנודע לכם על האירוע. לכן תעדו מתי בדיוק זה קרה.
- ההתחייבות כלפי הלקוח היא תנאי בחוזה. אם תפרו אותה, תהיה לכם בעיה חוזית על גבי הבעיה מול הרגולטור.
מה המאמר הזה אינו
זהו מידע כללי, לא ייעוץ משפטי. המאמר משקף את תקנות אבטחת המידע, את ההודעה שפרסמה הרשות להגנת הפרטיות על ההחלטה שלה מיום 21 ביולי 2026, ואת סעיפים 33–34 ל־GDPR, נכון ליום 27 בספטמבר 2026. השאלה אם מאגר מסוים הוא ברמה בינונית או גבוהה, ואם ה־GDPR חל עליכם בכלל, תלויה בנסיבות של כל מקרה. קריאת המאמר אינה יוצרת יחסי עורך דין–לקוח.