הרשות להגנת הפרטיות פירסמה לפני ראש השנה מסמך המלצות לגבי שימוש בשירותי הזרמת מדיה דיגיטלית (streaming). הרשות מבהירה כי המסמך לא מבקש למנוע את השימוש באפליקציות כאלו אלא לתת כלים להתנהלות נכונה בהיבטי פרטיות.

המסמך מתאר בקצרה את השירות והיקף השימוש בו, מונה את הסיכונים לפרטיות הכרוכים בשימוש בשירות ומפרט מספר המלצות למשתמשים בשירות. המלצות אלו אמנם מכוונות למשתמשים בשירות, אך אפשר להפיק מהן תובנות גם לנותני שירותי הזרמת מדיה, ולכל גוף שמעבד מידע אישי בכלל.

באפריל 2018 פרסמה הרשות סקירה בנושא "שוק שירותי צפיית תוכן בישראל", ובו קבעה כי "שימוש בנתוני הצפייה למטרות שאינן חיוניות למתן השירות העיקרי לשמו התקשר הלקוח עם החברות – קרי אספקת שירותי תוכן… טעונה הסכמה פוזיטיבית מפורשת ונפרדת (Opt-In) של הלקוח". במסמך הנוכחי, מבהירה הרשות שיצירת פרופיל על המשתמש היא חיונית להפעלת שירותי הזרמת מדיה, אבל הרשות מזכירה שעדיין יש סיכון לפרטיות משום הסיכון של שימוש במידע שלא למטרה לשמה הוא נאסף. מכאן עולה חשיבות הגדרת מטרות האיסוף מראש, וקבלת הסכמה מתאימה להן.

תחת הכותרת "איסוף נתונים אישיים בשירות Streaming", הרשות מחלקת את סוגי המידע שנאספים לשניים: מידע שנאסף מנושאי המידע ומידע שנאסף באופן אוטומטי. מעניין בהקשר הזה לראות שהרשות כוללת בקטגוריות הנתונים האישיים גם סיסמה וכינוי (שיכול להיות מומצא מצד אחד או נפוץ מצד שני ואז עולה השאלה לגבי יכולת הזיהוי ביחס אליו).

לגבי הנתונים שנאספים באופן אוטומטי, הרשות כוללת ברשימה סוגה (ז'אנר) מועדפת (קומדיה או אימה למשל), שאילתות חיפוש ואופן הצפייה – פרק בכל פעם או בינג'. הרשות מתייחסת גם למכשיר בו משתמשים בשירות ולנתוני המיקום שנאספים דרכו, ולראשונה מתייחסת הרשות באופן ספציפי ל"מזהי פרסום הכוללים עוגיות", "מזהים ייחודיים ומזהי מכשיר ברשת האינטרנט הכוללים בין היתר את המספר הסידורי של המכשיר ומידע על סוגי החיבור WIFI/ סלולרי" ולכתובת IP.

גם אינטרקציה עם שירות הלקוחות "כולל הודעות דוא"ל והודעות טקסט" נכללת תחת הכותרת נתונים אישיים לפי המסמך.

אמירה מעניינת נוספת של הרשות היא לגבי ההבחנה בין שירותי streaming חינמיים לאלה שבתשלום, כאשר הרשות מסבה את תשומת הלב לעובדה שחלק מהכנסות שירותי הstreaming בתשלום מבוססות גם הן על המידע שנאסף במסגרתם (בניגוד לדעה הרווחת, לדעת הרשות, לפיה שירות חינמי מתפרנס משימוש במידע שנאסף במסגרתו ואילו שירות בתשלום לא פועל באופן הזה).

הרשות מציינת בהקשר הזה כי גם מידע לא מזוהה נמכר לצרכים מסחריים, ונשאלת השאלה מדוע הוזכר במסמך, שאמור לעסוק במידע מזוהה, שעליו חלים דיני הגנת הפרטיות.

הרשות גם מפנה במסמך לאפשרות של פרסום "באפליקציות ושירותים אחרים ברחבי האינטרנט" על בסיס המידע שנאסף במסגרת השירות, או במילים אחרות – remarketing.

במסגרת הסיכונים לפרטיות, הרשות מציינת סיכוני אבטחת מידע, שנובעים בין היתר מהיותו של המידע שנאסף במסגרת השירות כ"מידע רגיש" (טרמינולוגיה שחוזרת לאורך המסמך) ומאיסוף מידע עודף ("אשר אינו נדרש לשם מתן השירות", אך לא מציינת מה נכנס בגדר "מתן השירות"). בהקשר זה, הרשות ממליצה למשתמשים לבקש את מחיקת המידע שנאסף אודותם לפני שהם מתנתקים מהשירות. (נעיר כי החל מה – 30.6 אפל דורשת שאפליקציות ב App Store יציעו אפשרות למחיקת החשבון כולו והמידע הנלווה אליו, כפוף לדרישות משפטיות, ואפליקציות שלא עומדות בדרישה – נדחות).

סיכון נוסף לפרטיות שהרשות מציינת במסמך הוא שימוש במידע למטרות זרות. בהקשר זה, מטרות מסחריות מהוות לדעת הרשות מטרות זרות (עמדה בעייתית שגם נוגדת את הנחייה 2/2017, שמכירה באפשרות לסרב למתן שירות ללקוח שסירב לדיוור ישיר. פרשנות שתוכל ליישב במידה מסויימת את הבעייתיות בעמדה זו היא פרשנות לפיה "מטרה מסחרית" משמעותה מסחר במידע, ויתכן שזו גם הסיבה לכך שהרשות התייחסה במסמך לdata brokers). לעמדת הרשות, הסיכון בעניין שימוש במידע למטרות זרות "מתחדד שעה שמפעילי השירות… הם גורמים פרטיים", עמדה שבהחלט אפשר לתהות על נכונותה בעיקר לאור איסוף המידע הרב שנעשה בשנים האחרונות על ידי רשויות המדינה, אבל זו סוגייה לעדכון לקוחות נפרד.

עוד סיכון שהרשות מציינת הוא בקשר להרשאות גישה, כגון הרשאה לרשימת אנשי הקשר, תמונות, מצלמה ומיקרופון – נושא שהרשות כבר העלתה במסמך אחר בעניין אמצעי תשלום מתקדמים ועולה כאן פעם נוספת, מה שמלמד על תשומת ליבה של הרשות לסוגייה זו.

במסגרת ההמלצות למשתמשים, הרשות מציעה מגוון פעולות, כולל בדיקת אמינות האפליקציה, הורדה מחנויות רשמיות, החלפת סיסמה, וקריאת מדיניות הפרטיות של השירות. נראה שעניין מדיניות הפרטיות לשירות חשוב מאוד בעיני הרשות, שכן היא ממליצה להימנע משימוש בשירות שלא ניתן למצוא את מדיניות הפרטיות שלו.

עוד ממליצה הרשות להגביל שימושים במידע (כגון הגבלת שימוש לצורך הפקת תובנות) באמצעות שינוי הגדרות, או למחוק את היסטוריית הצפייה.

המלצה נוספת של הרשות שחשוב לנו להפנות אליה היא ביחס למידע שנשמר אוטומטית במהלך הרישום, על אף שתהליך הרישום לא הושלם. למיטב ידיעתנו מדובר בהתייחסות ראשונה של הרשות לנושא ואנחנו ממליצים לארגונים שאוספים מידע גם בתהליך רישום שלא הסתיים לשקול האם נדרש יידוע בהתאם לסעיף 11 לחוק כאשר איסוף המידע מתחיל.

המסמך איננו פתוח להערות הציבור.

אנו עומדים לרשותכם לכל שאלה,

אייל שגיא, שיר שושני כץ וצוות מחלקת משפט וטכנולוגיה

האמור במסמך זה הוא מידע כללי בלבד ואינו מהווה חוות דעת משפטית או ייעוץ משפטי ואין לעשות בו כל שימוש אחר.