חובת הדיווח המיידי על אירוע אבטחה חמור אינה מותנית בהשלמת תחקור פנימי או בזיהוי מקור הכשל - כך קבעה הרשות להגנת הפרטיות, בהודעה על הטלת עיצום כספי על מנורה מבטחים ביטוח. עוד קבעה שהפרדה טכנולוגית כשלעצמה אינה משנה את רמת האבטחה החלה על מאגר. הרשות הטילה על החברה עיצום בסך 256,000 ש"ח, לאחר שדיווחה באיחור של למעלה משבועיים על חשיפת מידע אישי של מבוטחים לסוכן ביטוח שלא היה מורשה לעיין בו.

האירוע נגע להרשאה שניתנה בשגגה לסוכן לצפות בדו"ח הכולל מידע על 138 מבוטחים המשויכים לסוכן אחר. הדו"ח כלל פרטי זיהוי, מצב משפחתי, פרטי מעסיקים, נתוני שכר, פוליסות, תשלומים וחובות. המידע נשלף ממאגר הלקוחות של החברה, המסווג ברמת אבטחה גבוהה וכולל מידע על כשני מיליון בני אדם. החברה ידעה על האירוע ב-12 בנובמבר 2025, בעקבות תלונה, אך דיווחה לרשות רק ב-27 בנובמבר.

הרשות קבעה כי החברה הפרה את תקנה 11(ד)(1) לתקנות הגנת הפרטיות (אבטחת מידע), התשע"ז–2017. היא דחתה את טענת החברה כי יש להמתין להשלמת הבירור הפנימי, והבהירה שניתן למסור דיווח ראשוני גם כשתמונת המצב חלקית ולהשלימו בהמשך. הרשות דחתה גם את הטענה שהצגת המידע בתת-מערכת נפרדת הכפופה, לשיטת החברה, לרמת אבטחה בסיסית, פוטרת מדיווח: הפרדה טכנולוגית כשלעצמה אינה משנה את רמת האבטחה החלה על מאגר המקור.

סכום העיצום הבסיסי עמד על 640,000 ש"ח. הרשות הפחיתה אותו ב-60%: היעדר הפרות קודמות בחמש השנים האחרונות (20%), הפסקת ההפרה ביוזמת החברה ודיווח עליה (30%), ומינוי ממונה על הגנת הפרטיות כדין (10%). מקור: הרשות להגנת הפרטיות.