הרשות להגנת הפרטיות פרסמה בשבוע שעבר טיוטה להערות הציבור בעניין שימוש במידע ביומטרי לצורכי בקרת נוכחות במקום העבודה.

זו איננה הפעם הראשונה שהרשות מתייחסת לנושא זה, ובעבר פורסם מסמך ייעודי והוקדש לכך עמוד באתר הרשות.

הטיוטה הנוכחית מרכזת את היתרונות והסיכונים ששימוש כאמור מעלה, ואת התפתחות הפסיקה מאז פרסום המסמך האחרון של הרשות בנושא, אך יש בה גם מספר אמירות מעניינות במיוחד.

המסמך מבטא פעם נוספת את הקושי שקיים בפרשנות לפיה בדין הישראלי ניתן לעבד מידע אישי על בסיס אחד משניים – הסכמה או הסמכה מכוח דין, ובהמשך לכך גם את הקושי בפרשנות לפיה הסכמה בדין הישראלי היא "הסכמה חופשית".

הרשות מפנה לפסיקת בית הדין לעבודה לפיה ההסכמה צריכה להינתן במפורש, מדעת ומרצון חופשי, ואף מציינת, שאם עומדת לעובדים אפשרות להשתמש במערכת נוכחות שלא עושה שימוש במידע ביומטרי, יש בכך עדות לכך שהסכמתם היא מרצון חופשי. מצד שני, הרשות מבהירה שמעסיק רשאי "לדרוש מעובד כי ייתן הסכמתו לאיסוף המידע [הביומטרי], וסירוב העובד עלול להיות בעל השלכות מבחינת יחסי העבודה בין הצדדים".

זהו כמובן לא "רצון חופשי" כמשמעות מונח זה ב – GDPR, שכן ב – GDPR נקבע שהרצון החופשי נפגע אם לנושא המידע אין "בחירה אמיתית או חופשית, או שאינו יכול למשוך את הסכמתו בלי שיושפע לרעה" (Recital 42). (במקרים בהם ההסכמה אינה מ"רצון חופשי" במובן האירופי המחמיר, יש לבסס את העיבוד על בסיס אחר).

נושא נוסף שעולה מהמסמך בקשר למשמעות המונח הסכמה הוא האבחנה בין הסכמה מפורשת למשתמעת. חוק הגנת הפרטיות מכיר בשני סוגי ההסכמות הללו, ולמרות שהרשות מאשרת שאפשר להסתמך גם על הסכמה משתמעת, היא מזכירה שכחלק מסט המסמכים שיש להגיש במסגרת רישום/עדכון מאגר הכולל מידע ביומטרי, יידרש העתק מנוסח ההסכמה החתום של העובד.

לו היו בסיסים חוקיים נוספים לעיבוד מידע בדין הישראלי לא היו נוצרות האנומליות הללו, כי הסכמה הייתה מאופיינת במאפיינים מסויימים (אפשר גם נוקשים – חופשית, מפורשת וכו'), אך היו חלופות אחרות לעיבוד מידע, כולל חלופות שכדי לבסס אותן נדרשת בחינת מידתיות מעמיקה.

הטיוטה חוזרת על העקרונות המוכרים משילוב דיני הפרטיות והעבודה, כולל מידתיות (בחינת חלופות), ויידוע (רחב יותר מאשר סעיף 11).

לגבי אבטחת מידע במאגר שיש בו מידע ביומטרי (בהבדל משימוש במידע ביומטרי לצורכי אבטחה, נושא שהטיוטה לא עוסקת בו כלל), מציינת הרשות כי ההורדה ברמת האבטחה הקבועה בתוספת הראשונה לתקנות אבטחת מידע, למאגר שמכיל מידע ביומטרי על עובדים מסוג תמונת פנים ולמטרות ניהול העסק בלבד, לא חלה מקום בו השימוש באותן תמונות הוא לצורך זיהוי דיגיטלי של העובדים. במילים אחרות, הרשות מציינת במסמך כי מערכת שמכילה תמונות פנים של עובדים לצורך זיהויים באופן דיגיטלי לא תסווג ברמה בסיסית.

המסמך מזכיר גם שחובת מיפוי מידע עודף אחת לשנה מכוח תקנה 2(ג) לתקנות אבטחת מידע לא מתמצה רק בתהליך בדיקה ותיעוד שלו, אלא נדרש צמצום אקטיבי של המידע שהתגלה כעודף. בהקשר זה מציינת הרשות כי סביר להניח שמידע ביומטרי לצורך בדיקת נוכחות של עובד יהיה עודף עם סיום העסקתו.

לבסוף, הרשות מזכירה את רשימת הנושאים שהיא דורשת ממבקשי הרישום להתייחס אליהם כאשר נרשם מאגר הכולל מידע ביומטרי. בין השאר, הרשות מבקשת לדעת אילו חלופות נשקלו, מה שיטת איסוף המידע הביומטרי ומדוע נבחרה, האם הוצעו לעובדים חלופות, האם נמסר לעובדים יידוע על כך שהמידע הביומטרי במאגר עלול להגיע לאחרים מכוח צו, ולבסוף, כאמור לעיל, הרשות מבקשת גם "עותק מנוסח ההסכמה עליו חתומים נושאי המידע", מה שכמובן לא קיים במקרה של הסכמה משתמעת.

המסמך פתוח להערות הציבור עד ליום 18.8.23 ואנו ממליצים ללקוחותינו לבדוק את האמור בו ביחס לפעילות שלהם, כדי לבחון את הצורך להעיר עליו.

אנו עומדים לרשותכם בכל שאלה,

אייל שגיא, שיר שושני כץ וצוות מחלקת משפט וטכנולוגיה

מובהר כי אין באמור בכדי להוות התייחסות לנסיבות ועובדות ספציפיות ואין לראות בכך משום חוות דעת ו/או ייעוץ משפטי לעניין קונקרטי.