Section 31 of חוק שירות מידע פיננסי, התשפ״ב–2021, אירוע אבטחה חמור.

(א)אירע אירוע אבטחה חמור כמשמעותו בהוראות לפי סעיף 36 לחוק הגנת הפרטיות, יודיע על כך נותן השירות באופן מיידי למאסדר נותן השירות הנוגע בדבר, למקור המידע שאירוע האבטחה אירע לגבי מידע שהתקבל ממנו ולראש הרשות להגנת הפרטיות, וכן ידווח למאסדר נותן השירות ולראש הרשות להגנת הפרטיות על הצעדים שנקט בעקבות האירוע; קיבל נותן השירות את המידע מנותן שירות אחר שאסף אותו, בהתאם להוראות סעיף 29(א)(3) – יודיע על כך באופן מיידי גם לנותן השירות שממנו קיבל את המידע; קיבל מקור המידע הודעה לפי סעיף קטן זה, ידווח על כך ללא דיחוי למאסדר מקור המידע; בסעיף זה, ”ראש הרשות להגנת הפרטיות“ – ראש הרשות כהגדרתו בחוק הגנת הפרטיות.

(ב)ראש הרשות להגנת הפרטיות, לאחר התייעצות עם ראש מערך הסייבר הלאומי ועם מאסדר נותן השירות, יורה לנותן השירות להודיע על אירוע האבטחה כאמור בסעיף קטן (א) גם ללקוח שיש חשש לפגיעה ממשית בפרטיותו בשל האירוע או למקורות מידע נוספים הנותנים לנותן השירות גישה למידע פיננסי; ואולם ראש הרשות להגנת הפרטיות רשאי שלא להורות בדבר מסירת הודעה כאמור או להורות שתימסר במועד כפי שיורה, והכול בשל נסיבות הנוגעות להתמודדות עם אירוע האבטחה או משיקולים מיוחדים שנוגעים לפגיעה ממשית בלקוחות נותן השירות; מקור מידע שקיבל הודעה לפי סעיף קטן זה, ידווח על כך למאסדר מקור המידע ללא דיחוי; לעניין זה, ”מערך הסייבר הלאומי“ – מערך הסייבר הלאומי שהוקם על פי החלטת הממשלה ופועל בהתאם להחלטותיה.