تسرّب معلومات الزبائن والدعوى الجماعية: سبب الدعوى، والمسار، وسبل الانتصاف

صفحة الخدمة: محامٍ للدعاوى الجماعية والاستهلاكية.

تسرّب قاعدة بيانات الزبائن حادث يعاني فيه متضرّرون كثيرون، كلٌّ منهم ضررًا صغيرًا يصعب تقديره بالمال — وهذا بالضبط الوضع الذي أُنشئت من أجله أداة الدعوى الجماعية. لكن المسار ليس بديهيًا: قانون حماية الخصوصية، 1981 لا يتضمّن حكمًا صريحًا يجيز الدعوى الجماعية، ولذلك يدخل سبب الدعوى من باب آخر. هذه هي البنية القانونية، مادة بعد مادة.

تضرّرتم من تسرّب المعلومات: ما الذي يمكن المطالبة به؟

كيف تدخلون من البوابة: المادة 3 والملحق الثاني

تنصّ المادة 3(أ) من قانون الدعاوى الجماعية، 2006 على أنه لا تُقدَّم دعوى جماعية إلا في دعوى مذكورة في الملحق الثاني، أو في مسألة نصّ حكم صريح في القانون على أنه يجوز تقديم دعوى جماعية فيها. ولا يوجد حكم كهذا في قانون حماية الخصوصية. ولذلك يُقاضى على تسرّب معلومات الزبائن في معظم الحالات وفق البند 1 في الملحق الثاني:

«التاجر» معرَّف في قانون حماية المستهلك، 1981 (חוק הגנת הצרכן, התשמ״א-1981) بأنه من يبيع مالًا أو يقدّم خدمة في إطار مهنته، بما في ذلك المنتِج. والشركة التي جمعت تفاصيل الزبائن أثناء بيع أو تقديم خدمة هي تاجر، والمعلومات التي سُلّمت إليها «مسألة بينه وبين زبون». ولهذا السبب يدخل التسريب من موقع تجاري، أو من شبكة بيع بالتجزئة، أو من مزوِّد خدمة ضمن البند 1 — أما التسريب من جهة ليست تاجرًا فيتطلّب أساسًا آخر.

سبب الدعوى نفسه: ما الذي خولف بالضبط

تعدّد المادة 2 من قانون حماية الخصوصية الأفعال التي تشكّل مسًّا بالخصوصية. وفي سياق التسريب، الأهم هو البند (9) — استخدام معلومة عن الشؤون الخاصة لشخص أو تسليمها إلى الغير، لغير الغرض الذي سُلّمت من أجله؛ والبند (7) — مخالفة واجب سرية منصوص عليه في القانون؛ والبند (8) — مخالفة واجب سرية منصوص عليه في اتفاق صريح أو ضمني، مثل سياسة خصوصية نشرتها الشركة نفسها. وتنصّ المادة 4 على أن المسّ بالخصوصية ضرر مدني تسري عليه أحكام مرسوم الأضرار [صيغة جديدة] (פקודת הנזיקין [נוסח חדש]).

وإلى جانب ذلك توجد المادة 17، التي بموجبها يكون المتحكّم في قاعدة البيانات والحائز لها مسؤولَين كلٌّ منهما عن أمن المعلومات في قاعدة البيانات. هذا واجب مستقل، ومخالفته هي جوهر الإثبات في ملف التسريب: ليس مجرد الاختراق، بل الفجوة بين الوسائل التي اتُّخذت وتلك التي كانت مطلوبة.

المبالغ: المادة 29أ، والتمييز الذي يُغفَل عنه

تتيح المادة 29أ من قانون حماية الخصوصية في دعوى مدنية وفق المادة 4 تعويضًا دون إثبات ضرر حتى مبلغ يذكره القانون بـ50,000 ش.ج.، وحتى ضعف المبلغ إذا ثبت أن المسّ ارتُكب بنيّة الإضرار. وكما في قانون منع القذف والتشهير، 1965 (חוק איסור לשון הרע, התשכ״ה-1965)، المبلغ هنا أيضًا مربوط بالمؤشر: وفق المادة 29أ(د) يُحدَّث في 16 من كل شهر بحسب مؤشر أسعار المستهلك، والمؤشر الأساسي هو مؤشر أيار/مايو 2007 — ولذلك فإن السقف الساري وفق تحديث 16.10.2026 هو 72,221.22 ش.ج.، وضعف المبلغ 144,442.44 ش.ج. لكن هذا سبيل انتصاف في الدعوى الشخصية: تحظر المادة 20(هـ) من قانون الدعاوى الجماعية الحكم في الدعوى الجماعية بتعويضات نموذجية أو بتعويضات دون إثبات ضرر. وفي طلب المصادقة في ملف تسريب يجب إثبات ضرر — مالي أو غير مالي — وعدم الاستناد إلى المادة 29أ.

هنا يلزم تمييز يقع فيه كثيرون مرة بعد مرة. أضاف التعديل رقم 13 للقانون المادة 15أ، التي تتيح تعويضات نموذجية حتى 10,000 ش.ج. — لكن فقط عن قائمة مغلقة من المخالفات: عدم تسجيل قاعدة بيانات ملزمة بالتسجيل، وعدم تسليم إشعار وفق المادة 11 أو 23د، ورفض إتاحة الاطلاع وفق المادتين 13 و13أ، وعدم تصحيح المعلومات أو عدم حذفها وعدم الإبلاغ عن رفض تصحيحها، وعدم إبلاغ رئيس السلطة بتلقّي معلومات بشكل دائم وفق المادة 23د(ج). تسرّب المعلومات بحدّ ذاته ليس في هذه القائمة. ومن يبني طلب المصادقة على المادة 15أ بسبب حادث خرق أمني — يبني على أساس غير موجود.

واجب الإبلاغ: ما المكتوب فعلًا، ومتى

واجب الإبلاغ عن حادث الخرق الأمني ليس منصوصًا عليه في القانون بل في أنظمة حماية الخصوصية (أمن المعلومات)، 2017 (תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017). تنصّ المادة 11(د) على أنه عند وقوع حادث خرق أمني خطير يُبلغ صاحب قاعدة البيانات المسجِّلَ (اليوم — رئيس سلطة حماية الخصوصية) فورًا، ويُطلعه أيضًا على الخطوات التي اتخذها؛ وللمسجِّل صلاحية أن يأمر صاحب قاعدة البيانات، بعد التشاور مع رئيس مديرية السايبر الوطنية، بإبلاغ صاحب البيانات الذي قد يتضرّر من الحادث أيضًا.

«حادث الخرق الأمني الخطير» معرَّف في المادة 1 من الأنظمة بحسب مستوى الأمن الذي ينطبق على قاعدة البيانات: في قاعدة بيانات ذات مستوى أمن مرتفع — حادث استُخدمت فيه معلومات من قاعدة البيانات دون إذن أو بتجاوزه، أو مُسّت فيه سلامة المعلومات؛ وفي قاعدة بيانات ذات مستوى أمن متوسط — حادث كهذا يتعلق بـجزء جوهري من قاعدة البيانات. انتبهوا: لا توجد في الأنظمة «72 ساعة» — الشرط هو الإبلاغ الفوري. ومنذ التعديل رقم 13، يعرّض عدم الإبلاغ كهذا لعقوبة مالية وفق المادة 23كو(ح) والبند 21 في الملحق الثالث للقانون: 80,000 ش.ج. في قاعدة بيانات ذات مستوى أمن متوسط، و320,000 ش.ج. في قاعدة بيانات ذات مستوى أمن مرتفع (هذه المبالغ الأساسية؛ وهي تُحدَّث في 1 كانون الثاني/يناير من كل سنة وفق المادة 23لب(ب)، وفي سنة 2026 هي 81,890 ش.ج. و327,560 ش.ج.)، وضعف المبلغ في قاعدة بيانات ذات مستوى مرتفع فيها معلومات عن مليون شخص فأكثر.

التعديل رقم 13: ما الذي تغيّر منذ آب/أغسطس 2025

دخل التعديل رقم 13 لقانون حماية الخصوصية حيّز التنفيذ في 14 آب/أغسطس 2025 وغيّر ميزان الإنفاذ. أبرز ما يخصّ ملف التسريب: أُنشئ مسار عقوبة مالية إدارية — تخوّل المادة 23كو(أ) رئيس السلطة بفرض 150,000 ش.ج. (مبلغ أساسي؛ وفي سنة 2026، 153,540 ش.ج. وفق المادة 23لب) بسبب مخالفات التسجيل والإبلاغ، وضعف المبلغ عندما تشمل قاعدة البيانات معلومات شخصية عن مليون شخص فأكثر؛ وأُضيف واجب تعيين مسؤول حماية الخصوصية في هيئات معيّنة (المواد 17ب1–17ب3)؛ ووُسّعت صلاحيات الرقابة والاستيضاح الإداري.

لماذا يهمّ ذلك المدعي الممثِّل: الإجراء الإداري الذي جرى أمام السلطة يُنتج توثيقًا واستنتاجات يمكن الاستناد إليها في طلب المصادقة. ولماذا يهمّ المدعى عليه: التوثيق نفسه قد يُستخدم ضده، ولذلك فإن إدارة الحادث أمام السلطة وأمام الزبائن قرار قانوني — لا تقني فقط. للمصلحة التجارية التي تلقّت طلب مصادقة: الدفاع في طلب المصادقة على دعوى جماعية.

على من تُرفع الدعوى: المتحكّم، والحائز، والمزوِّد

تُلقي المادة 17(أ) المسؤولية عن أمن المعلومات على اثنين في الوقت نفسه: المتحكّم في قاعدة البيانات والحائز لها. وعمليًا، كثيرًا ما تكون قاعدة بيانات الزبائن لشركة إسرائيلية لدى مزوِّد خارجي — مزوِّد سحابة، أو شركة برمجيات، أو مركز خدمة — ويقع التسريب لديه. وهذا لا ينقل المسؤولية: فمن ناحية الزبون، تبقى الشركة التي سلّمها تفاصيله هي المتحكّمة.

تنظّم المادة 15 من أنظمة أمن المعلومات علاقات التعهيد الخارجي، وتُلزم بالتنظيم الكتابي لنطاق استخدام المعلومات، ومنظومات الوصول، وطريقة الرقابة. ووثيقة التعهيد الخارجي من أولى الوثائق المطلوبة في الإجراء — وأحيانًا هي التي تحدّد هل المدعى عليه الصحيح هو الشركة، أو المزوِّد، أو كلاهما كمرتكبَين مشتركَين للضرر وفق مرسوم الأضرار. وفي طلب المصادقة يُستحسن استيضاح سلسلة الحيازة قبل التقديم، لا اكتشافها في الردّ.

اختبارات المصادقة: أين تسقط الملفات

تضع المادة 8(أ) من قانون الدعاوى الجماعية أربعة شروط متراكمة: أن تثير الدعوى مسائل جوهرية في الوقائع أو في القانون مشتركة بين جميع أعضاء المجموعة، مع إمكانية معقولة أن تُحسم لصالحها؛ وأن تكون الدعوى الجماعية الطريقة الناجعة والعادلة للحسم؛ وأن يكون هناك أساس معقول لافتراض أن شأن أعضاء المجموعة سيُمثَّل ويُدار بطريقة ملائمة؛ وأنه سيُمثَّل ويُدار بحسن نية.

في ملفات التسريب يوجد السؤال المشترك عادةً — فالوسائل التي اتخذها المدعى عليه كانت متطابقة تجاه جميع الزبائن. الصعوبة في الضرر. وفيما يتعلق بمقدّم الطلب نفسه، تُسهّل المادة 4(ب)(1): يكفي أن يُظهر أنه ظاهريًا لحقه ضرر. لكن على مستوى المجموعة يجب أن يُبيَّن لماذا سبّب الانكشاف ضررًا يستحق التعويض، لا مجرد إزعاج. والملفات التي تُبنى على تفصيل دقيق لنوع المعلومات التي تسرّبت — أرقام الهوية، ووسائل الدفع، والمعلومات الطبية — وعلى استخدام فعلي جرى لها، تصمد أفضل من الملفات التي تكتفي بمجرد الحادث.

سبل الانتصاف: المادة 20، وصندوق الأموال

تحدّد المادة 20 كيف يُحكم بسبيل الانتصاف. يحق للمحكمة أن تأمر بالدفع لكل عضو في المجموعة أثبت استحقاقه؛ أو أن تُلزم كل عضو بإثبات استحقاقه؛ أو أن تحكم بـتعويض مالي بمبلغ إجمالي وتحدّد طريقة توزيعه — بشرط أن يكون المبلغ قابلًا للحساب الدقيق على أساس الأدلة. والباقي الذي لم يُوزَّع يُحوَّل إلى الصندوق الذي أُنشئ وفق المادة 27أ، وتخصّصه المحكمة للمجال القريب من موضوع الدعوى.

تعطي المادة 20(ج) مخرجًا عندما يكون الدفع الفردي غير عملي — مثلًا عندما لا يمكن تحديد هوية المتضرّرين بتكلفة معقولة: يحق للمحكمة أن تأمر بـسبيل انتصاف آخر لصالح المجموعة أو لصالح الجمهور. وفي ملفات التسريب يكون هذا أحيانًا سبيل الانتصاف الفعلي: تغيير السياسة، وحذف المعلومات الزائدة، وتمويل الحماية من سرقة الهوية.

أما بالنسبة إلى الوقت — فتحدّد المادة 26 ترتيبًا خاصًا للتقادم: إذا صودق على الدعوى، يُعدّ جميع أعضاء المجموعة كأنهم قدّموا دعوى في موعد تقديم طلب المصادقة؛ وإذا رُفض الطلب أو شُطب، لا تنتهي فترة التقادم لدعوى عضو المجموعة قبل مرور سنة من اليوم الذي أصبح فيه القرار نهائيًا.

للمصلحة التجارية التي وقع لديها حادث: الساعات الثلاث الأولى

• الإيقاف والتوثيق — قطع مسار الهجوم، والحفاظ على سجلات الأحداث، وتوثيق منظَّم للحادث كما تشترط المادة 11(أ) من الأنظمة، التي تُلزم بتوثيق كل حادث خرق أمني.
• التصنيف — هل هذا «حادث خرق أمني خطير» بحسب مستوى الأمن الذي ينطبق على قاعدة البيانات. والتصنيف هو الذي يحدّد هل نشأ واجب الإبلاغ الفوري للمسجِّل.
• قرار بشأن إبلاغ الزبائن — المسجِّل مخوَّل بأن يأمر بذلك، لكن الإبلاغ بالمبادرة هو أحيانًا القرار الصحيح حتى قبل صدور الأمر، سواء لأسباب الثقة أو لتقليل الضرر اللاحق بالزبائن.
• فحص الإجراءات — إجراء الأمن وفق المادة 4 من الأنظمة، ومسح المخاطر وفق المادة 5، وترتيبات التعهيد الخارجي وفق المادة 15. هذه هي الوثائق الثلاث التي ستُفحص أولًا.

أسئلة شائعة

هل يمكن تقديم دعوى جماعية بسبب تسريب معلومات الزبائن؟

نعم، لكن ليس مباشرةً بموجب قانون حماية الخصوصية. تجيز المادة 3(أ) من قانون الدعاوى الجماعية، 2006 التقديم فقط في دعوى مذكورة في الملحق الثاني أو في مسألة نصّ عليها حكم صريح في القانون، ولا يوجد حكم كهذا في قانون حماية الخصوصية. ولذلك يُقاضى على التسريب من قاعدة بيانات الزبائن وفق البند 1 في الملحق الثاني: دعوى ضد تاجر، بحسب تعريفه في قانون حماية المستهلك، بشأن مسألة بينه وبين زبون. وسبب الدعوى الموضوعي هو المسّ بالخصوصية وفق المادة 2 من قانون حماية الخصوصية — وخاصةً البند (9)، أي استخدام معلومة عن الشؤون الخاصة لشخص أو تسليمها إلى الغير لغير الغرض الذي سُلّمت من أجله — مع مخالفة واجب أمن المعلومات الوارد في المادة 17.

كم من التعويض يمكن الحصول عليه بسبب تسريب المعلومات؟

تتيح المادة 29أ من قانون حماية الخصوصية في الدعوى المدنية تعويضًا دون إثبات ضرر حتى مبلغ يذكره القانون بـ50,000 شيكل جديد، وحتى ضعف المبلغ إذا ثبت أن المسّ بالخصوصية ارتُكب بنيّة الإضرار. ووفق المادة 29أ(د) تُحدَّث المبالغ في 16 من كل شهر بحسب مؤشر أسعار المستهلك، والمؤشر الأساسي هو مؤشر أيار/مايو 2007، ولذلك فإن السقف الساري وفق تحديث 16.10.2026 هو 72,221.22 شيكل جديد، وضعف المبلغ 144,442.44 شيكل جديد. وفي الدعوى الجماعية لا يُحكم بتعويض دون إثبات ضرر (المادة 20(هـ) من قانون الدعاوى الجماعية)، ولذلك يجب إثبات الضرر؛ وطريقة الحكم بسبيل الانتصاف وتوزيعه تتحدّد وفق المادة 20، وعندما يكون الدفع الفردي غير عملي يحق للمحكمة أن تأمر بسبيل انتصاف لصالح المجموعة أو الجمهور.

خلال كم من الوقت يجب الإبلاغ عن تسريب المعلومات؟

واجب الإبلاغ منصوص عليه في أنظمة حماية الخصوصية (أمن المعلومات)، 2017 لا في القانون نفسه. تنصّ المادة 11(د) على أنه عند وقوع حادث خرق أمني خطير يُبلغ صاحب قاعدة البيانات المسجِّلَ (اليوم — رئيس سلطة حماية الخصوصية) فورًا ويُطلعه على الخطوات التي اتخذها، وعلى أن المسجِّل يحق له أن يأمره، بعد التشاور مع رئيس مديرية السايبر الوطنية، بإبلاغ صاحب البيانات الذي قد يتضرّر أيضًا. و«حادث الخرق الأمني الخطير» معرَّف في المادة 1 من الأنظمة بحسب مستوى الأمن: في قاعدة بيانات ذات مستوى مرتفع — كل استخدام للمعلومات دون إذن أو مسّ بسلامتها؛ وفي قاعدة بيانات ذات مستوى متوسط — عندما يتعلق الأمر بجزء جوهري من قاعدة البيانات. ولا توجد في الأنظمة مهلة 72 ساعة.

ما الذي تغيّر في التعديل رقم 13 لقانون حماية الخصوصية؟

دخل التعديل رقم 13 حيّز التنفيذ في 14 آب/أغسطس 2025. وقد أنشأ مسار إنفاذ إداريًا: تخوّل المادة 23كو(أ) رئيس سلطة حماية الخصوصية بفرض عقوبة مالية قدرها 150,000 شيكل جديد (مبلغ أساسي، يُحدَّث في 1 كانون الثاني/يناير من كل سنة وفق المادة 23لب؛ وفي سنة 2026، 153,540 شيكل جديد) بسبب مخالفات التسجيل والإبلاغ، وضعف المبلغ عندما تشمل قاعدة البيانات معلومات شخصية عن مليون شخص فأكثر؛ وتحدّد المادة 23كو(ح) والملحق الثالث عقوبات أيضًا على مخالفة أنظمة أمن المعلومات، ومنها عدم الإبلاغ عن حادث خرق أمني خطير. وأضاف التعديل واجب تعيين مسؤول حماية الخصوصية في هيئات معيّنة وفق المواد 17ب1 إلى 17ب3، ووسّع صلاحيات الرقابة والاستيضاح الإداري، وأضاف في المادة 15أ تعويضات نموذجية حتى 10,000 شيكل جديد بسبب قائمة مغلقة من المخالفات — لا تشمل حادث الخرق الأمني بحدّ ذاته.

هل تفرض سلطة حماية الخصوصية فعلًا عقوبة مالية على التأخر في الإبلاغ؟

نعم. وفق إعلان سلطة حماية الخصوصية من 21.7.2026، كما فُحص في 17.10.2026، فُرضت عقوبة مالية بمبلغ 256,000 ش.ج. على صندوق المرضى «مئوحيدت» بسبب عدم تنفيذ واجب الإبلاغ الفوري عن حادث خرق أمني خطير وفق المادة 11(د) من أنظمة حماية الخصوصية (أمن المعلومات)، 2017 — وهي أول عقوبة من نوعها منذ دخول التعديل رقم 13 حيّز التنفيذ. ووفق الإعلان نفسه، كان الصندوق يعلم بالحادث منذ تشرين الثاني/نوفمبر 2025، ولم يُبلغ السلطة به إلا في 27.1.2026. وأكّدت السلطة أن واجب الإبلاغ ينشأ عند العلم بالحادث، وأن انتظار استكمال الفحوص يُفرغ شرط الفورية من مضمونه.