מיד
מיד. זה הזמן שעומד לרשות בעל השליטה במאגר מהרגע שנודע לו על אירוע אבטחה חמור ועד הרגע שעליו לדווח לרשות להגנת הפרטיות: הדיווח הוא מיידי (תקנה 11(ד)(1)), לא "עד 72 שעות". לא יום עבודה, לא שלושה ימי עסקים. זה לא המון, וזה לא מקרי.
חובת הדיווח המיידי אינה המצאה של תיקון 13: היא קבועה בתקנה 11(ד) לתקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, שבתוקף עוד ממאי 2018. מה שתיקון 13 שינה הוא המחיר: מאז 14 באוגוסט 2025 ההפרות מגובות בעיצומים כספיים של ממש, והאכיפה עברה מהתיאוריה לפרקטיקה.
לא כל אירוע מחייב דיווח
השאלה הראשונה שעסק שואל את עצמו אחרי גילוי אירוע אבטחה היא לא "מתי לדווח". היא "האם לדווח בכלל". והתשובה, על פי החוק והתקנות, איננה אוטומטית.
הדיווח לרשם מותנה בהתקיים "אירוע אבטחה חמור", כהגדרתו בתקנה 11(ד): במאגרים ברמת אבטחה בינונית, שימוש בחלק מהותי מהמאגר בלא הרשאה או פגיעה בשלמות המידע; ברמה הגבוהה, כל שימוש בלא הרשאה או פגיעה בשלמות המידע. ההגדרה תלויה בהיקף וברמת האבטחה של המאגר, לא בתנאי נוסף של "סיכוי סביר לנזק". שאלת הנזק שייכת לערוץ נפרד: הודעה לנושאי המידע לפי הוראת הרשם.
ההגדרה הזו היא המסננת. אירוע שאינו "אירוע אבטחה חמור", החובה הסטטוטורית לדיווח לא חלה עליו. מה שלא אומר שהארגון פטור מתיעוד, או מהפקת לקחים, או מסקירה פנימית. רק שהוא לא חייב להרים טלפון לרשות.
מיידי, מרגע הגילוי
נניח שהאירוע אכן חמור. עכשיו השעון מתחיל לתקתק. אבל מתי בדיוק הוא התחיל?
הרגולציה ברורה: הרגע שבו "נודע" על האירוע. לא הרגע שבו פוטנציאלית הוא קרה, לא הרגע שבו צוות ה-IT היה אמור לזהות אותו, אלא הרגע שבו אדם אחראי בארגון יודע. זה רגע שמתועד, או לפחות אמור להיות מתועד. מי שמטפל בכך אחרי האירוע יודע שהשאלה הזאת תחזור.
מרגע הגילוי, הארגון אמור לבצע ארבעה שלבים מקבילים:
- גילוי וזיהוי (שעה אפס): הפעלת נוהל תגובה לאירועי אבטחה, בידוד המערכות הפגועות, מניעת המשך פגיעה.
- הערכת היקף (24 השעות הראשונות): מה המידע שנחשף, כמה נושאי מידע מושפעים, האם המידע יצא מהארגון.
- דיווח לרשות (מיידי, לא "עד 72 שעות"): דיווח לרשות הכולל תיאור האירוע, המידע שנחשף, הצעדים שננקטו, וההערכה לגבי הנזק.
- הודעה לנושאי המידע: אם הורה על כך הרשם, מודיעים גם לאנשים עצמם. בשפה ברורה, בלי שפה משפטית מיותרת, על מה שקרה ואיך מגנים על עצמם.
הסנקציה
מה קורה למי שלא מדווח? מאז תיקון 13 (בתוקף מ-14 באוגוסט 2025) התשובה ברורה: הפרות של תקנות אבטחת המידע, ובהן חובת הדיווח, חשופות לעיצומים כספיים מכוח פרק האכיפה של החוק. סדר הגודל נקבע לפי סוג ההפרה, רמת האבטחה של המאגר ומאפייני בעל השליטה בו. הסכומים אינם סמליים: עבור תאגידים בינוניים מדובר בעשרות עד מאות אלפי שקלים.
ומאפריל 2026 קיים גם מסלול מקל: תקנות ההתראה המינהלית (בתוקף מ-16.4.2026) מאפשרות לרשות, בארבע נסיבות מוגדרות, כמו הפרת הוראה חדשה בחודשיה הראשונים או הוראה שיש לגביה אי-בהירות פרשנית, להסתפק בהתראה מתועדת במקום עיצום. חשוב להבין: ההתראה אינה פטור, ומי שלא מתקן בתוך התקופה שנקבעה בה חשוף לעיצום.
אבל הסכום, אגב, הוא הצד הקטן של הסיפור. הצד הגדול הוא הפרסום: החלטות האכיפה של הרשות מתפרסמות בפומבי, וכל מי שמחפש את שם החברה ב-Google מוצא אותן. לקוחות, משקיעים, שותפים. נזק שאי אפשר לכמת.
מה צריך להיות מוכן מראש
השלב הקריטי הוא לפני האירוע, לא אחריו. ארגון שמגלה אירוע ב-2 בלילה ביום שישי ומתחיל לחפש את נוהל התגובה הוא ארגון שכבר הפסיד.
הכלים הנדרשים: נוהל תגובה כתוב וידוע לכל הצוותים הרלוונטיים, רשימת אנשי קשר חיצוניים (יועץ הגנת פרטיות, יועץ משפטי, יועץ סייבר), תבניות מוכנות לדיווח לרשות ולהודעה לנושאי המידע, ויומן אירועים שמתעדכן בזמן אמת. השעון לא עוצר כי הצוות לא מצא את הקובץ.
ארגונים שעורכים סימולציות תקופתיות, אגב, מגלים בכל סימולציה שלפחות שלושה דברים לא עובדים כפי שחשבו. זה השווי של סימולציה.
השורה התחתונה
חובת הדיווח לא נחקקה כדי להעניש ארגונים. היא נחקקה כדי שאנשים יידעו מתי המידע שלהם נחשף. החובה להודיע היא הצד החשוב יותר. העיצומים הם רק הכלי שמבטיח שהיא תקרה.
ארגון שערוך לאירוע, מדווח בזמן, ומסביר לנושאי המידע מה קרה ואיך הם יכולים להגן על עצמם, יוצא לעיתים קרובות חזק יותר מאיך שנכנס. ארגון שמסתיר, לא יוצא בכלל.