تسرّبت معلومات الزبائن من الشركة: ما الذي يُلزم به القانون، وما المخاطرة الفعلية

صفحة الخدمة: الدفاع في مواجهة طلب المصادقة على دعوى جماعية.

حادث التسريب يبدأ كسؤال تقني وينتهي كسؤال قانوني. في الساعات الأولى تحاول الإدارة أن تفهم ما الذي خرج، وفي الوقت نفسه تنشأ ثلاثة مصادر للمخاطرة: أمام سلطة حماية الخصوصية، وأمام أصحاب البيانات الذين قد يرفعون دعاوى، وأمام المجموعة التي قد تتحوّل إلى دعوى جماعية. والثلاثة كلها تستند إلى وثائق تُنشأ — أو لا تُنشأ — في تلك الساعات. هذا ما يشترطه القانون، بلغة الأحكام نفسها.

الساعة الأولى: ما الذي تشترطه المادة 11 من الأنظمة فعلًا

واجب الإبلاغ عن الحادث ليس في القانون بل في الأنظمة: أنظمة حماية الخصوصية (أمن المعلومات)، 2017، التي سُنّت بموجب المادة 36 من القانون (وأضاف التعديل رقم 13 إلى القانون أيضًا المادة 17(ب)، التي تخوّل صراحةً سنّ أنظمة في مسألة أمن المعلومات). هذا هو النص:

ثلاثة استنتاجات عملية. أولًا، «فورًا» — لا 72 ساعة. ومن يدير الحادث وفق الجدول الزمني الأوروبي يتأخّر. ثانيًا، الإبلاغ للمسجِّل هو واجبان لا واجب واحد: إبلاغ عن الحادث، وتقرير عن الخطوات التي اتُّخذت في أعقابه — أي أن توثيق المعالجة جزء من الواجب نفسه. ثالثًا، إبلاغ الزبائن ليس تلقائيًا: فهو يأتي، إن أتى، بموجب أمر من المسجِّل وفق الفقرة (2)، وبعد التشاور مع رئيس مديرية السايبر الوطنية. ويحق للشركة بالطبع أن تُبلغ بمبادرتها، وأحيانًا يكون لذلك مبرّر تجاري وإثباتي — لكن هذا قرار، لا واجب ينشأ بمجرد وقوع الحادث.

وما ثمن التأخير: البند (21) في الملحق الثالث للقانون يحدّد عقوبة مالية على من لم يُبلغ رئيس السلطة فورًا عن حادث خرق أمني خطير، أو لم يُطلعه على الخطوات التي اتخذها — 80,000 ش.ج. في قاعدة بيانات ينطبق عليها مستوى أمن متوسط، و320,000 ش.ج. في المستوى المرتفع، وضعف المبلغ في قاعدة بيانات ذات مستوى مرتفع فيها معلومات عن 1,000,000 شخص فأكثر (المادة 23كو(ح)). هذه هي المبالغ الأساسية؛ ووفق المادة 23لب(ب) تُحدَّث وفق المؤشر في 1 كانون الثاني/يناير من كل سنة، وفي سنة 2026 هي 81,890 ش.ج. و327,560 ش.ج. ويتحدث البند عن إبلاغ «رئيس السلطة»: فقد استبدل التعديل رقم 13 في القانون «المسجِّل» بـ«رئيس السلطة» (المادة 1(2) من القانون المعدِّل).

ما المطلوب أيضًا قبل الحادث — وهذا ما سيُفحص بعده

تنصّ المادة 17(أ) من القانون على أن المتحكّم في قاعدة البيانات والحائز لها مسؤولان، كلٌّ منهما، عن أمن المعلومات. والمسؤولية لا تنتقل إلى المزوِّد. ومن هنا ثلاثة واجبات جارية في المادة 11 من الأنظمة، يصبح كلٌّ منها دليلًا في اليوم التالي:

• توثيق كل حادث خرق أمني — كل حالة اكتُشف فيها حادث يثير خشية من المسّ بسلامة المعلومات، أو من استخدامها دون إذن أو بتجاوز الإذن؛ «قدر الإمكان» على أساس تسجيل آلي (المادة 11(أ)).
• إجراء المواجهة — يجب أن يتضمّن إجراء الأمن تعليمات لمواجهة الحوادث بحسب خطورتها وبحسب حساسية المعلومات، بما في ذلك إلغاء الصلاحيات، وخطوات فورية أخرى، والإبلاغ لصاحب قاعدة البيانات (المادة 11(ب)).
• مناقشة دورية — في قاعدة بيانات ينطبق عليها مستوى أمن متوسط، مناقشة حوادث الخرق الأمني مرة في السنة على الأقل؛ وفي المستوى المرتفع — مرة كل ربع سنة على الأقل (المادة 11(ج)).

هذه الثلاثة هي، عمليًا، قائمة الوثائق التي ستُطلب أولًا في استيضاح إداري أو في إجراء مدني. والشركة التي ليس لديها إجراء، وسجل أحداث، ومحضر للمناقشة — تدخل الحادث بلا دفاع.

التعديل رقم 13: ما الذي تغيّر منذ 14.8.2025

قانون حماية الخصوصية (التعديل رقم 13)، 2024 (חוק הגנת הפרטיות (תיקון מס׳ 13), התשפ״ד-2024) نُشر في سجل القوانين الرسمي 3287 يوم 14.8.2024، وتنصّ المادة 74(أ) منه على أن بدء سريانه «بعد سنة من يوم نشره» — أي 14 آب/أغسطس 2025. هذه هي التغييرات التي تخصّ مباشرةً المصلحة التجارية التي تحتفظ بقاعدة بيانات للزبائن:

تقلّص واجب التسجيل

تُبقي المادة 8أ(أ)(1) واجب التسجيل في حالتين فقط: قاعدة بيانات غرضها الرئيسي جمع معلومات شخصية لتسليمها إلى الغير كمهنة أو مقابل عوض — بما في ذلك خدمات التسويق المباشر — وفيها معلومات عن أكثر من 10,000 شخص؛ وقاعدة بيانات المتحكّم فيها هيئة عامة بحسب تعريفها في الفقرة (1) من التعريف الوارد في المادة 23، إلا إذا كانت تشمل معلومات عن العاملين في تلك الهيئة فقط. معظم قواعد بيانات الزبائن التجارية لم تعد ملزمة بالتسجيل. ووفق الحكم الانتقالي في المادة 76(أ) من القانون المعدِّل، قاعدة البيانات التي كانت مسجَّلة يوم بدء السريان تبقى مسجَّلة حتى لو لم تعد ملزمة بذلك — إلا إذا أبلغ المتحكّم فيها رئيسَ السلطة بأن واجب التسجيل لا ينطبق عليها، وعندها تُشطب من السجل.

واجب إبلاغ جديد، بعتبة مختلفة

بدلًا من التسجيل يأتي واجب الإبلاغ: وفق المادة 8أ(ب)(1)، من كانت في قاعدة بياناته — غير الملزمة بالتسجيل — معلومات ذات حساسية خاصة عن أكثر من 100,000 شخص، يُبلغ السلطة خلال 30 يومًا بهوية المتحكّم وعنوانه ووسائل الاتصال به، وبهوية مسؤول حماية الخصوصية ووسائل الاتصال به — إذا كان تعيينه مطلوبًا — ويسلّم نسخة من وثيقة تعريفات قاعدة البيانات. وتضيف المادة 8أ(ب)(2) واجب تحديث خلال 30 يومًا عن كل تغيير في هذه التفاصيل وعن توقّف نشاط قاعدة البيانات.

مسؤول حماية الخصوصية

تُلزم المادة 17ب1(أ) أربع فئات بتعيين مسؤول حماية الخصوصية: الهيئة العامة (باستثناء الهيئة الأمنية)؛ وصاحب قاعدة بيانات غرضها الرئيسي جمع معلومات لتسليمها إلى الغير كمهنة أو مقابل عوض عن أكثر من 10,000 شخص؛ ومن تتضمّن أنشطته الرئيسية معالجة معلومات تتطلّب رصدًا مستمرًا ومنهجيًا للأشخاص على نطاق كبير — ومن ذلك مزوِّد الخلوي ومزوِّد خدمة البحث عبر الإنترنت؛ ومن يشمل نشاطه الرئيسي معالجة معلومات ذات حساسية خاصة على نطاق كبير — ومن ذلك المؤسسة المصرفية، وشركة التأمين، والمستشفى العام، وصندوق المرضى. وتفصّل المادة 17ب1(ب) معايير «النطاق الكبير».

المسؤول ليس منصبًا رمزيًا: تُلزم المادة 17ب2 المتحكّمَ بأن يوفّر له الظروف والموارد اللازمة لمنصبه، وأن يتأكّد من أنه مُشرَك كما ينبغي في كل مسألة تتعلق بقوانين حماية الخصوصية، وتنصّ على أن يرفع تقاريره مباشرةً إلى المدير العام أو إلى عامل تابع له مباشرةً. وتشترط المادة 17ب3 معرفة عميقة بقوانين حماية الخصوصية، وفهمًا في التكنولوجيا وأمن المعلومات، ومعرفة بنشاط الهيئة؛ وتجيز ألا يكون المسؤول عاملًا في الهيئة؛ وتحظر عليه أن يشغل منصبًا إضافيًا أو أن يكون تابعًا لصاحب منصب على نحو قد يعرّضه لخشية تضارب المصالح.

العقوبة المالية: المبالغ التي في القانون

الفصل د3 من القانون، الذي أُضيف في التعديل رقم 13، يُنشئ منظومة إنفاذ إدارية. والمادة 23كو لا تحدّد «غرامة على التسريب» بل مبالغ مختلفة بحسب نوع المخالفة. هذه هي المبالغ بنص المادة، أي المبالغ الأساسية. ووفق المادة 23لب(ب) تُحدَّث وفق مؤشر أسعار المستهلك في 1 كانون الثاني/يناير من كل سنة، ابتداءً من 2026، وينشر رئيس السلطة المبالغ المحدّثة في الجريدة الرسمية (رشوموت) وعلى موقع سلطة حماية الخصوصية (المادة 23لب(ج)):

مبالغ سنة 2026: وفق المادة 23لب(ب) تُحدَّث المبالغ الواردة في الجدول في 1 كانون الثاني/يناير من كل سنة، واعتبارًا من 1.1.2026 هي 153,540 ش.ج. (الضعف: 307,080 ش.ج.)؛ و15,350 ش.ج.؛ و51.18 ش.ج. و102.36 ش.ج. للشخص، مع حدّ أدنى قدره 30,710 ش.ج.؛ و2.05 ش.ج. و4.09 ش.ج. للشخص، مع حدّ أدنى قدره 20,470 ش.ج. أو 40,940 ش.ج.؛ و4.09 ش.ج. و8.19 ش.ج. للشخص، مع حدّ أدنى قدره 204,720 ش.ج.؛ و307,080 ش.ج. (إعلان عن تحديث مبالغ العقوبات المالية، مجموعة الإعلانات الرسمية (ילקוט הפרסומים) 15000، 7.10.2026، بالعبرية). و«الحدّ الأدنى» هو المبلغ الذي يحق لرئيس السلطة أن يفرضه عندما يكون المبلغ المحسوب وفق عدد الأشخاص أقل منه.

انتبهوا إلى البنية: سطران في الجدول يُحسبان بحسب عدد الأشخاص في قاعدة البيانات لا بمبلغ ثابت. وفي مؤسسة تحتفظ بمعلومات عن مئات آلاف الزبائن، فإن عقوبة «2 ش.ج. للشخص» ليست مبلغًا صغيرًا — وهذا، لا المبلغ المحدَّد، هو ما يجعل عدم تعيين المسؤول مخاطرة مالية حقيقية.

التخفيضات والسقوف — ما يغيّر المبلغ فعليًا

يحدّد الملحق الخامس للقانون آلية تخفيض يُستحسن معرفتها قبل إرسال الردّ إلى السلطة:

• عدم وجود إنفاذ سابق — 20% إذا لم تُفرض في السنوات الخمس التي سبقت المخالفة عقوبة أو وسيلة إنفاذ إدارية بسبب مخالفة الحكم نفسه، و10% إذا كان ذلك في السنوات الثلاث التي سبقتها.
• الوقف بمبادرة المخالِف والإبلاغ الذاتي لرئيس السلطة — 30%. هذا هو التخفيض الأكبر بين التخفيضات ذات النسبة الثابتة في القائمة، وهو بالضبط ما يتحدّد في الساعات الأولى.
• خطوات لمنع التكرار ولتقليل الضرر، بما يرضي رئيس السلطة — 20%.
• تعيين مسؤول حماية الخصوصية من قِبل من يلزمه ذلك وفق المادة 17ب1(أ)(3) و(4) فقط، قبل تسليم الإشعار بنية فرض الدفع — 10%.
• تعويض دُفع أو حُكم به على المخالِف بسبب المخالفات نفسها — حتى 30%.
• التخفيض المتراكم من كل هذه لا يتجاوز 70% من مبلغ العقوبة.

وإلى جانب التخفيضات — سقوف. «المصلحة الصغيرة جدًا» (עסק זעיר) هي التي لم يتجاوز حجم صفقاتها في السنة التي سبقت المخالفة 4 ملايين ش.ج.، و«المصلحة الصغيرة» هي التي تجاوز حجم صفقاتها 4 ملايين ولم يتجاوز 10 ملايين ش.ج. وبناءً على طلب المخالِف تُخفَّض المبالغ بالنسبة إليه بحيث لا تتجاوز 20,000 ش.ج. (الصغيرة جدًا) أو 40,000 ش.ج. (الصغيرة) في المخالفات وفق المادة 23كو(أ) و(ب)؛ و50,000 ش.ج. أو 100,000 ش.ج. في المخالفات وفق البنود الفرعية (ج) إلى (و)؛ و70,000 ش.ج. أو 140,000 ش.ج. في المخالفة وفق البند الفرعي (ز). وفي سنة 2026 السقوف هي 20,470 ش.ج. أو 40,940 ش.ج.، و51,180 ش.ج. أو 102,360 ش.ج.، و71,650 ش.ج. أو 143,310 ش.ج. إضافةً إلى ذلك، وفق المادة 7 من الملحق الخامس — إذا تجاوز مبلغ العقوبة 5% من حجم صفقات المخالِف، يُخفَّض إلى هذه النسبة، بناءً على طلبه ومع تصديق من مدقق حسابات أو من مستشار ضريبي مُمثِّل يُقدَّم خلال 30 يومًا من تسليم الإشعار بنية فرض الدفع.

المخاطرة المدنية: المادة 29أ

تتيح المادة 29أ(ب)(1) للمحكمة أن تُلزم المدعى عليه في دعوى مدنية وفق المادة 4 من القانون بتعويض دون إثبات ضرر، وفي الفقرة (2) — بضعف المبلغ إذا ثبت أن المسّ بالخصوصية ارتُكب بنيّة الإضرار. المبلغ الذي يذكره القانون 50,000 ش.ج.، لكن المادة 29أ(د) تربطه بمؤشر أسعار المستهلك وتحدّثه في 16 من كل شهر، والمؤشر الأساسي هو مؤشر أيار/مايو 2007. كما في تحديث 16.10.2026، السقف هو 72,221.22 ش.ج.، وضعف المبلغ 144,442.44 ش.ج. وتضيف المادة 29أ(ج) أنه لا يُحكم بتعويض دون إثبات ضرر أكثر من مرة بسبب المسّ نفسه بالخصوصية.

أما في الدعوى الجماعية، فلا تحكم المحكمة بتعويضات دون إثبات ضرر، وإن كان ذلك لا يمنع التعويض عن ضرر غير مالي (المادة 20(هـ) من قانون الدعاوى الجماعية)؛ ولذلك فإن ضرب عدد أعضاء المجموعة في السقف المربوط بالمؤشر ليس مقياسًا للمخاطرة في دعوى كهذه. انظروا في ذلك بتوسّع في مسار الدعوى الجماعية في تسرّب معلومات الزبائن.

المخاطرة في الدعوى الجماعية: البوابة، والمعايير، وسبل الانتصاف

نقطة يُغفَل عنها عادةً: قانون حماية الخصوصية لا يتضمّن حكمًا خاصًا به للدعوى الجماعية، ولا يوجد في الملحق الثاني لقانون الدعاوى الجماعية بند مخصّص للمسّ بالخصوصية. والبوابة المعتادة هي البند 1 — «دعوى ضد تاجر، بحسب تعريفه في قانون حماية المستهلك، بشأن مسألة بينه وبين زبون، سواء أبرما صفقة أم لا». ولذلك فإن السؤال الأول الذي يُطرح في كل طلب كهذا هو هل المدعى عليه تاجر وهل مقدّم الطلب زبون لديه — لا مجرد هل تسرّبت المعلومات.

المصادقة على الطلب مشروطة بالشروط الأربعة المتراكمة الواردة في المادة 8(أ) من القانون: مسائل جوهرية في الوقائع أو القانون مشتركة بين جميع أعضاء المجموعة، مع احتمال معقول أن تُحسم لصالح المجموعة؛ وكون الإجراء الجماعي الطريقة الناجعة والعادلة للحسم؛ ووجود أساس معقول للافتراض بأن شأن أعضاء المجموعة سيُمثَّل ويُدار بطريقة ملائمة؛ ووجود أساس معقول للافتراض بأنه سيُدار بحسن نية. وفي ملفات التسريب، الشرط الأول هو ساحة المعركة: الضرر — وخاصةً إثباته كمسألة مشتركة لجميع أعضاء المجموعة لا كمسألة فردية لكل متضرّر.

وإذا حُسمت الدعوى لصالح المجموعة — تحدّد المادة 20 طريقة الحكم بسبيل الانتصاف. يحق للمحكمة أن تأمر بتعويض كل من أثبت استحقاقه، أو بأن يُثبت كل عضو في المجموعة استحقاقه، أو بتعويض مالي بمبلغ إجمالي عندما يمكن حسابه بدقة على أساس الأدلة. ووفق المادة 20(ج)(1)، عندما يكون التعويض المالي لأعضاء المجموعة غير عملي — سواء لأنه لا يمكن تحديد هويتهم والدفع لهم بتكلفة معقولة أو لسبب آخر — يحق للمحكمة أن تأمر بأي سبيل انتصاف آخر لصالح المجموعة أو لصالح الجمهور؛ وسبيل الانتصاف المالي لصالح الجمهور يُحوَّل إلى الصندوق الذي أُنشئ وفق المادة 27أ.

أربعة ادعاءات تتكرّر في الموضوع — وهي غير صحيحة

«توجد 72 ساعة للإبلاغ». لا توجد. الـ72 ساعة قاعدة في اللائحة الأوروبية لحماية البيانات (GDPR). والقانون الإسرائيلي يشترط إبلاغًا «فوريًا» وفق المادة 11(د)(1) من الأنظمة — وهو شرط أشدّ لا أخفّ.

«يجب إبلاغ جميع الزبائن فورًا». لا. إبلاغ أصحاب البيانات يكون وفق أمر المسجِّل، بموجب المادة 11(د)(2) من الأنظمة، وبعد التشاور مع رئيس مديرية السايبر الوطنية.

«الغرامة على تسرّب المعلومات 500,000 ش.ج.». لا يوجد في القانون مبلغ كهذا، ولا توجد فيه «غرامة على التسريب». تحدّد المادة 23كو مبالغ مختلفة بحسب نوع المخالفة — 15,000 ش.ج.، و150,000 ش.ج.، و300,000 ش.ج.، ومبالغ بحسب عدد الأشخاص في قاعدة البيانات، ومبلغ 30,000 ش.ج. أو 200,000 ش.ج. يحق لرئيس السلطة أن يفرضه عندما يكون المبلغ المحسوب أقل منه — وعلى مخالفة أنظمة الأمن تسري المبالغ الواردة في الملحق الثالث بحسب مستوى الأمن.

«كل مصلحة تجارية لديها قاعدة بيانات للزبائن ملزمة بالتسجيل». ليس منذ 14.8.2025. فقد قلّصت المادة 8أ(أ)(1) واجب التسجيل إلى حالتين فقط، ومعظم قواعد بيانات الزبائن التجارية لا تدخل فيهما. أما ما أُضيف فعلًا فهو واجب الإبلاغ الوارد في المادة 8أ(ب) بعتبة 100,000 شخص في المعلومات ذات الحساسية الخاصة.

ترتيب الخطوات في الأسبوع الأول

• تحديد هل الحادث «خطير» — هذا الحسم يحدّد هل نشأ واجب الإبلاغ الفوري، ويُوثَّق مع التعليل والساعة.
• تجميد الأدلة — سجلات الأحداث، والإعدادات، والنسخ الاحتياطية، والمراسلات. المادة 11(أ) تُلزم أصلًا بالتوثيق؛ وعند وقوع الحادث يتّسع النطاق.
• إبلاغ السلطة وتوثيق الخطوات — الواجبان الواردان في المادة 11(د)(1)، وهما في الوقت نفسه الأساس لتخفيض بنسبة 30% بسبب الوقف بمبادرة المخالِف والإبلاغ الذاتي.
• سدّ الثغرة وإثبات ذلك — تخفيض إضافي بنسبة 20% مشروط بخطوات لمنع التكرار ولتقليل الضرر بما يرضي رئيس السلطة.
• حصر محتوى قاعدة البيانات — كم عدد أصحاب البيانات، وأيّ أنواع المعلومات، وهل توجد «معلومات ذات حساسية خاصة»، وما مستوى الأمن المنطبق. هذه هي المتغيّرات التي تحدّد مبلغ العقوبة وحجم المجموعة المحتملة معًا.
• فحص سلسلة المزوِّدين — تُلقي المادة 17(أ) المسؤولية على المتحكّم وعلى الحائز. والعقد مع المزوِّد لا ينقل المسؤولية، لكنه ينظّم تقاسم تحمّل الضرر بينهما.
• تنسيق الرسائل — الإعلان للجمهور، وللزبائن التجاريين، وللجهات التنظيمية الأخرى يُصاغ مرة واحدة. والصياغة التي تتمّ قبل حصر الوقائع مصدر شائع لمخاطرة إضافية.

أسئلة شائعة

خلال كم من الوقت يجب على الشركة الإبلاغ عن تسريب المعلومات؟

تنصّ المادة 11(د)(1) من أنظمة حماية الخصوصية (أمن المعلومات)، 2017 على أنه عند وقوع حادث خرق أمني خطير يُبلغ صاحب قاعدة البيانات المسجِّلَ «فورًا»، ويُطلعه كذلك على الخطوات التي اتخذها في أعقاب الحادث. لا توجد في القانون الإسرائيلي مهلة محدَّدة من 72 ساعة كما في اللائحة الأوروبية (GDPR)، وصيغة «فورًا» أشدّ منها لا أخفّ. وثمة واجب إبلاغ منفصل، خلال 30 يومًا، يسري وفق المادة 8أ(ب) من قانون حماية الخصوصية على من يحتفظ بمعلومات ذات حساسية خاصة عن أكثر من 100,000 شخص في قاعدة بيانات غير ملزمة بالتسجيل، لكنه إبلاغ عن مجرد وجود قاعدة البيانات لا عن حادث.

هل يجب إبلاغ الزبائن بأن معلوماتهم تسرّبت؟

ليس تلقائيًا. تخوّل المادة 11(د)(2) المسجِّلَ — لا الشركة — أن يأمر صاحب قاعدة البيانات بإبلاغ صاحب البيانات الذي قد يتضرّر من حادث الخرق الأمني، وذلك بعد التشاور مع رئيس مديرية السايبر الوطنية. أي أن إبلاغ الزبائن ليس واجبًا مستقلًا ينشأ بمجرد وقوع الحادث، بل يُشتقّ من أمر المسجِّل. وإلى جانب ذلك، يحق للشركة أن تُبلغ بمبادرتها، وأحيانًا يكون لذلك مبرّر تجاري وإثباتي؛ وقرار كهذا يُفحص أيضًا في ضوء واجبات إفصاح أخرى قد تسري عليها وفق قانون آخر أو وفق عقد.

ما مقدار العقوبة المالية التي يمكن فرضها على شركة بسبب مخالفة قانون حماية الخصوصية؟

تحدّد المادة 23كو من قانون حماية الخصوصية، 1981، بصيغتها في التعديل رقم 13، مبالغ مختلفة بحسب نوع المخالفة: 150,000 ش.ج. على معالجة معلومات في قاعدة بيانات ملزمة بالتسجيل دون تسجيلها وعلى مخالفات تسجيل وإبلاغ أخرى، وضعف المبلغ إذا كانت في قاعدة البيانات معلومات شخصية عن مليون شخص فأكثر؛ و15,000 ش.ج. على رفض إتاحة الاطلاع وعلى مخالفات مشابهة؛ و50 ش.ج. عن كل شخص جرى التوجّه إليه دون الإشعار الذي تشترطه المادة 11، أو 100 ش.ج. للشخص عندما يتعلق الأمر بمعلومات ذات حساسية خاصة، وإذا كان المبلغ أقل من 30,000 ش.ج.، يحق لرئيس السلطة أن يفرض 30,000 ش.ج.؛ و2 ش.ج. عن كل شخص توجد عنه معلومات في قاعدة البيانات — أو 4 ش.ج. في المعلومات ذات الحساسية الخاصة — في مخالفات منها عدم تعيين مسؤول أمن المعلومات أو مسؤول حماية الخصوصية؛ و4 ش.ج. عن كل شخص توجد عنه معلومات في قاعدة البيانات — أو 8 ش.ج. في المعلومات ذات الحساسية الخاصة — في المخالفات الواردة في المادة 23كو(هـ)، ومنها معالجة المعلومات لغرض غير مشروع، وإذا كان المبلغ أقل من 200,000 ش.ج.، يحق لرئيس السلطة أن يفرض 200,000 ش.ج. وعلى مخالفة أنظمة أمن المعلومات تسري المبالغ الواردة في الملحق الثالث، بحسب مستوى الأمن الذي ينطبق على قاعدة البيانات. لا يوجد في القانون مبلغ موحّد قدره 500,000 ش.ج. على تسرّب المعلومات. هذه هي المبالغ الأساسية في القانون؛ ووفق المادة 23لب(ب) تُحدَّث في 1 كانون الثاني/يناير من كل سنة، وفي سنة 2026 هي، على سبيل المثال، 153,540 ش.ج. بدلًا من 150,000 ش.ج.، و51.18 ش.ج. بدلًا من 50 ش.ج. للشخص، و204,720 ش.ج. بدلًا من 200,000 ش.ج. (مجموعة الإعلانات الرسمية 15000، 7.10.2026).

كيف تُرفع على الشركة دعوى جماعية بسبب تسريب المعلومات؟

قانون حماية الخصوصية لا يتضمّن حكمًا خاصًا به للدعوى الجماعية، ولا يوجد في الملحق الثاني لقانون الدعاوى الجماعية، 2006 بند مخصّص للمسّ بالخصوصية. ولذلك فالبوابة المعتادة هي البند 1 في الملحق الثاني — دعوى ضد تاجر بحسب تعريفه في قانون حماية المستهلك، 1981 (חוק הגנת הצרכן, התשמ״א-1981)، بشأن مسألة بينه وبين زبون، سواء أبرما صفقة أم لا. والمصادقة على الطلب مشروطة بالشروط الأربعة الواردة في المادة 8(أ): مسائل جوهرية مشتركة بين جميع أعضاء المجموعة مع احتمال معقول أن تُحسم لصالحها، ونجاعة الإجراء الجماعي وعدالته، والتمثيل والإدارة الملائمان، والإدارة بحسن نية. وإذا حُسمت الدعوى لصالح المجموعة، تحدّد المادة 20 طريقة الحكم بسبيل الانتصاف، ووفق المادة 20(ج) يحق للمحكمة — عندما يكون التعويض الشخصي غير عملي — أن تأمر بسبيل انتصاف لصالح المجموعة أو لصالح الجمهور، يُحوَّل إلى الصندوق المنصوص عليه في المادة 27أ.

ما قواعد البيانات التي يجب تسجيلها بعد التعديل رقم 13؟

قلّصت المادة 8أ(أ)(1) من القانون، بصيغتها في التعديل رقم 13، واجب التسجيل إلى حالتين: قاعدة بيانات غرضها الرئيسي جمع معلومات شخصية لتسليمها إلى الغير كمهنة أو مقابل عوض — بما في ذلك خدمات التسويق المباشر — وفيها معلومات شخصية عن أكثر من 10,000 شخص؛ وقاعدة بيانات المتحكّم فيها هيئة عامة بحسب تعريفها في الفقرة (1) من التعريف الوارد في المادة 23، إلا إذا كانت قاعدة البيانات تشمل معلومات عن العاملين في تلك الهيئة فقط. ومعظم قواعد بيانات الزبائن التجارية لم تعد مشمولة بواجب التسجيل. ووفق الحكم الانتقالي في المادة 76(أ) من القانون المعدِّل، قاعدة البيانات التي كانت مسجَّلة يوم بدء السريان تبقى مسجَّلة حتى لو لم تعد ملزمة بالتسجيل، إلا إذا أبلغ المتحكّم فيها رئيسَ السلطة بأن واجب التسجيل لا ينطبق عليها.

ما الذي يُسقط المؤسسة فعليًا في إجراء الاستيضاح الإداري لدى سلطة حماية الخصوصية؟

الوثائق والإجراءات، لا الحادث نفسه فقط. وفق إعلان السلطة من 16.9.2026، الذي فُحص في 17.10.2026، فُرضت عقوبة بمبلغ 64,000 ش.ج. على بلدية بيت شيمش بسبب مخالفة المادة 2(أ)(7) من أنظمة حماية الخصوصية (أمن المعلومات) — إذ لم يُذكر مزوِّد خارجي كان لديه وصول متواصل إلى قاعدة البيانات بصفته حائزًا في وثيقة تعريفات قاعدة البيانات — وبسبب مخالفة المادة 15(أ)(3)، لأن إجراء أمن المعلومات لم ينظّم التعاقد مع جهات خارجية لديها وصول. ورُفض الادعاء بوجود «فجوة إدارية بحسن نية» بسبب دخول التعديل رقم 13 حيّز التنفيذ قبل الحادث بنحو أسبوع، لأن الهيئات كانت قد مُنحت سنة للاستعداد.