Menora Mivtachim sanctionnée de 256 000 NIS pour retard de signalement

L'Autorité de protection de la vie privée du ministère de la Justice a infligé une amende administrative de 256 000 NIS à Menora Mivtachim, suite à la violation de l'obligation de signaler immédiatement un incident de sécurité grave. La décision a été prise après qu'une enquête administrative a révélé que les données personnelles de 138 assurés ont été exposées à un agent d'assurance non autorisé.

Détails de l'Incident et Exposition des Données

Selon les conclusions de l'autorité, un agent d'assurance a obtenu par erreur une autorisation d'accès à un rapport contenant des données personnelles d'assurés affiliés à un autre agent. Les informations provenaient de la base de données clients de Menora Mivtachim, classée à un niveau de sécurité élevé et contenant les dossiers d'environ 2 millions de personnes, incluant des informations financières et médicales.

L'incident a été découvert par la société le 12 novembre 2025, mais le rapport n'a été transmis à l'autorité que le 27 novembre 2025, soit plus de deux semaines plus tard. L'autorité a déterminé que l'attente de la fin des vérifications internes ne respecte pas l'obligation légale de signalement immédiat.

Rejet des Arguments et Sanction

L'entreprise a fait valoir que l'obligation de déclaration naît uniquement après l'achèvement des enquêtes internes. L'autorité a rejeté cet argument, soulignant qu'un rapport préliminaire doit être soumis rapidement pour permettre un contrôle efficace, indépendamment de l'enquête interne.

L'objectif de l'obligation de signalement immédiat est de permettre à l'autorité d'exercer ses pouvoirs de contrôle dès que possible après la découverte de l'incident.

La sanction initiale de 640 000 NIS a été réduite de 60% pour atteindre 256 000 NIS, tenant compte de l'absence d'infractions antérieures et de la nomination d'un délégué à la protection des données.