פרסום טיוטת גילוי דעת להערות הציבור בנושא הסכמה בדיני הגנת הפרטיות

רשות הגנת הפרטיות פרסמה ביום 24.2.2025 טיוטת גילוי דעת להערות הציבור בנושא הסכמה בדיני הגנת הפרטיות. מטרת גילוי הדעת היא להבהיר את עמדת הרשות להגנת הפרטיות ביחס ליישום עיקרון ההסכמה הקבוע בחוק הגנת הפרטיות, וכן להבהיר את הפרשנות המשפטית שתנחה את הרשות במימוש הסמכויות המסורות לה בחוק, לרבות הטלת עיצום כספי בגין הפרת הוראות החוק.

להלן עיקרי טיוטת גילוי הדעת:

הסכמה כבסיס לעיבוד מידע אישי:

עיקרון ההסכמה הוא עיקרון מרכזי בדיני הגנת הפרטיות. חוק הגנת הפרטיות קובע כי איסוף ושימוש במידע אישי הכרוכים בפגיעה בפרטיות יכולים להיעשות מכוח הסמכה בדין או בהסכמת נושא המידע. לפיכך, בהיעדר הסמכה בדין, שימוש במידע למטרה מסוימת יכול להיעשות רק על יסוד הסכמה שניתנה למטרה ספציפית זו.

תוכן הבקשה לקבלת הסכמה מדעת:

בכל מקרה, על הסכמה לעיבוד מידע אישי הכרוך בפגיעה בפרטיות להוות הסכמה "מדעת" (informed consent), בין אם ההסכמה מתקבלת "במפורש" או נלמדת "מכללא" (קרי הסכמה משתמעת הניתנת ללמידה מתוך הנסיבות ,הסיטואציה, ודרכי ההתנהגות של האדם נושא המידע, וזאת על יסוד הפרשנות הסבירה והמקובלת של אותה התנהגות).
הסכמה מדעת נועדה להבטיח כי הסכמתו של אדם לפגיעה בפרטיותו ניתנה מתוך בחירה אמיתית ואוטונומית. על מבקש ההסכמה לפעול באופן המבטיח כי האדם נושא המידע מודע לתוכן הבקשה, למטרותיה, ולהשלכות הסכמתו או סירובו לבקשה.
על מבקש ההסכמה להעמיד בפני אדם את הנתונים הרלוונטיים הדרושים לו, באורח סביר ובצורה מובנת, לשם החלטתו בדבר מתן הסכמה. סוג הנתונים והיקפם עשויים להשתנות בהתאם לנסיבות, ובהן בין היתר: סוג המידע ורגישותו והשימושים המבוקשים במידע.
לעמדת הרשות, עמידה בהוראות תנאי סעיף 11 לחוק (המחייבות את מבקש ההסכמה לפרט פרטים שונים בפני נושא המידע בעת הפנייה אליו לשם איסוף מידע שנועד להיכלל במאגר מידע) היא דרישת המינימום המתחייבת לשם קיום חובת היידוע, ואולם אין בה כדי להבטיח את העמידה בדרישת ההסכמה מדעת, כאמור לעיל.
ככלל, בנסיבות בהן קיימים פערי כוח בין הצדדים (דהיינו בין מבקש ההסכמה ונושא המידע), או כאשר מדובר בפעולה בעלת פוטנציאל לפגיעה קשה בפרטיות או בנסיבות מורכבות אחרות (כגון שימוש בטכנולוגיה חדשה שהשלכות השימוש בה אינן ברורות דיין) – יש לראות את חובת היידוע כחובה מוגברת, ובמקרים כאמור מבקש ההסכמה יידרש להציג באופן בולט ופשוט את כלל הנתונים הרלוונטיים להחלטה, וכן להציגם ככל הניתן בנפרד משאר רכיבי ההתקשרות. לפיכך מציינת הרשות כי העדר פירוט מספק במסגרת הליך קבלת ההסכמה עלול להביא לפגיעה בתוקפה של ההסכמה.
הסכמה שניתנה מבלי שלאדם הייתה האפשרות הסבירה להבין את משמעות הסכמתו והשלכותיה, לא תיחשב הסכמה תקפה. לכן, יש להקפיד כי תוכן ההסכמה והמידע הנלווה לה יוצגו באופן ברור, נגיש ומובן. במקרים ששירות מסוים מופנה בעיקרו לאוכלוסייה בעלת מאפיינים ייחודיים, כגון אנשים עם מוגבלות, יש לתת על כך את הדעת במסגרת אופן הצגת המידע הנדרש לצורך קבלת ההסכמה, ואופן קבלתה.

רצון חופשי, פערי כוח והסכמה "חשודה":

על-פי מהותה, הסכמה לפגיעה בפרטיות חייבת להינתן מתוך רצון חופשי.
סוגיית הרצון החופשי בדיני הגנת הפרטיות מתעוררת בעיקר במצבים בהם קיימים פערי כוח בין מבקש ההסכמה לבין נושא המידע. במצבים שכאלו הסכמה לפגיעה בפרטיות עלולה להיחשב כ-"חשודה", קרי כזו שקיים ספק האם ועד כמה ניתן לראותה כהסכמה שניתנה מתוך רצון חופשי, כן ואמיתי.
דוגמאות מרכזיות למצבים של הסכמה "חשודה", כוללות הסכמה הניתנת במסגרת יחסי עבודה (בין מעסיקים לעובדים ולמועמדים לעבודה), הסכמה הניתנת לקבלת שירות חיוני (כגון שירותי תחבורה ציבורית, שירותי בריאות או שירות טכנולוגי חיוני), וכן הסכמה הניתנת בהיעדר כל אלטרנטיבה סבירה.
לשם בחינת השאלה האם הסכמה ניתנה מתוך בחירה ורצון חופשי ייבחנו, בין היתר:נסיבות מתן ההסכמה, מועד קבלת ההסכמה, אופן הצגת בקשת ההסכמה (לרבות שימוש מבקש המידע ב"טקטיקות אפלות" ובכלים עיצוביים שנועדו להקשות על נושא המידע להבין את משמעות הסכמתו ולהשפיע באופן פסול על החלטתו), אופן קבלת ההסכמה (במפורש או מכללא; באופן אקטיבי או פסיבי) וזהות הצדדים ויחסי הכוחות ביניהם.
במצבים מסוימים, בהם קיים חשש אינהרנטי כי ההסכמה שניתנה היא "חשודה", הנטל להראות כי הסכמה לפגיעה בפרטיות ניתנה מתוך רצון חופשי של אדם עשוי להיות מוטל על כתפיו של מבקש ההסכמה.
במקרים שכאלו יכול מבקש ההסכמה לנקוט אמצעים שונים – כגון העמדת חלופה סבירה או אי-התניית קבלת השירות במתן הסכמה לאיסוף מידע שאינו נדרש – על מנת להראות כי ההסכמה מבטאת את רצונו החופשי ואת בחירתו האמיתית של נושא המידע.
במצב בו אדם כלל אינו יכול לסרב לפעולה הפוגעת בפרטיותו, יהיה קשה לראות בהסכמתו ככזו שניתנה מתוך רצון חופשי, והדבר עשוי להשליך על תוקפה של הסכמה זו.
בנסיבות בהן הסכמה ניתנת במסגרת יחסי עבודה או כאשר על מבקש ההסכמה חלים כללי המשפט הציבורי (כגון משרד ממשלתי, רשות מקומית) – הפגיעה בפרטיות כפופה גם לעמידה בדרישת המידתיות.
שינוי מהותי של תנאי השימוש במידע אישי ללא קבלת הסכמה נוספת, ייחשב כשימוש במידע שלא על יסוד הסכמה שהתקבלה מדעת ומתוך רצון חופשי.

אופן קבלת ההסכמה:

אופן קבלת ההסכמה עשוי להשפיע על תוקפה. ככלל, הסכמה יכולה להינתן באופן אקטיבי (Opt-in) או פסיבי (Opt-out) וזאת בהתאם לנסיבות, למשל:
- כאשר הסכם כולל סעיפים למתן הסכמה לאיסוף מידע אישי שאינו נדרש למתן השירות, או לשימוש בו למטרות השונות מהותית ממטרת ההסכם (שלגביה ניתנה הסכמה כללית ומפורשת), רצוי שההסכמה במסגרת סעיפים אלו תיעשה במתכונת של הסכמה אקטיבית נפרדת (Opt-in) ולא באופן פסיבי Opt-out)).
- במקרים בהם ההסכם כולל סעיפים למתן הסכמה לשימוש במידע אישי לצרכי "פרופיילינג" שאינו נדרש או קשור ישירות למטרת שירות בין צדדים שביניהם יש פערי כוח, וכן לעמדת הרשות להגנת הפרטיות גם בהקשר של שירותי דיוור ישיר – לא ניתן להסתפק בהסכמה פסיבית, ועל ההסכמה להתקבל במתכונת של הסכמה אקטיבית נפרדת (Opt-in).
גם במקרים בהם הסתמכות על הסכמה מכללא היא אפשרית, רצוי ככל הניתן לפנות לאדם לקבלת הסכמתו המפורשת, וזאת בעיקר במקרים של איסוף מידע רגיש או נקיטת פעולה העלולה להביא לפגיעה קשה בפרטיות.
ככלל, שתיקתו של אדם, או העדר מחאה מצדו לאיסוף מידע הנוגע אליו, לכשעצמם, לא מהווים הסכמה תקפה לפי דיני הגנת הפרטיות. לגישת הרשות, שתיקה או העדר מחאה יכולים ללמד על הסכמה לפגיעה בפרטיות רק כאשר ניתן להוכיח כי לנושא המידע עמדה המודעות הנדרשת למתן ההסכמה, ורק כאשר קיימות נסיבות אחרות מהן ניתן ללמוד כי נושא המידע אכן התכוון להעניק את הסכמתו.
מתן הסכמה בעל-פה היא עניין טעון הוכחה, ועל כן מומלץ כי מבקש ההסכמה יתעד אותה באמצעים הניתנים להצגתה, וזאת בעיקר במקרים של איסוף מידע רגיש או בנסיבות בהן קיימים פערי כוח בין הצדדים.
הסכמה מפורשת או מכללא לשימוש במידע למטרה אחת, אין בה בכדי להתיר שימוש במידע למטרה אחרת. על כן, גם מי שאסף מידע למטרה מסוימת על יסוד הסכמה מכללא, אינו רשאי להשתמש במידע למטרות אחרות, אלא לאחר קבלת הסכמה חדשה לכך מנושא המידע.

חזרה מהסכמה:

הסכמה לפגיעה בפרטיות עשויה, במקרים מסוימים, לכלול גם את זכותו של אדם לחזור בו מהסכמתו, כלומר, לבקש את הפסקת השימוש במידע על אודותיו. לעמדת הרשות, במקרים בהם נעשה שימוש במידע על אדם מתוקף הסכמה שהתקבלה כדין, והאדם נושא המידע מבקש לחזור בו מהסכמתו ולהפסיק את השימוש במידע על אודותיו, יש לבחון בחיוב קבלת בקשה זו גם במקרים בהם ההסכמה איננה הדירה מלכתחילה (למשל כאשר אדם העניק הסכמה לפרסום תמונתו אשר צולמה במסגרת השתתפותו במצעד הגאווה רשאי לחזור בו מהסכמתו ומרגע שעשה כן אין לעשות עוד שימוש בתמונה זו), במיוחד במצבים בהם המשך השימוש במידע יפגע באופן קשה בפרטיות המבקש.
במקרים בהם התנהגותו של נושא מידע עשויה ללמד כי הוא מבקש לחזור בו מהסכמתו, או ללמד על כך שההסכמה מלכתחילה ניתנה באופן נקודתי או לזמן מוגבל, מומלץ כי בעל מאגר יפנה לנושא המידע על מנת לבחון האם הסכמתו עומדת בעינה.

עיבוד מידע ללא הסכמה והסתמכות על ההגנות הקבועות בחוק:

הרשות הזכירה בגילוי הדעת כי כל הפוגע בפרטיותו של אדם ללא הסכמתו ומבקש להסתמך לשם כך על ההגנות הקבועות בסעיף 18(2) לחוק הגנת הפרטיות צריך לעמוד בדרישת המידתיות, בכלל זה, עליו להיות מסוגל להצביע על כך שקבלת הסכמה לא הייתה אפשרית בנסיבות העניין, ואם לא כן הוא עלול להיות מוחזק כמי ש-"פגע ביודעין במידה גדולה משהייתה נחוצה באופן סביר" לצורך האינטרסים להם ניתנה ההגנה בסעיף 18.

המלצות הרשות לחיזוק הליך קבלת הסכמה מקוונת:

בעת פנייה לקבלת הסכמה מקוונת ובניסוח מסמכי מדיניות פרטיות ותנאי שימוש, יש להדגיש ולהבליט את ההיבטים המרכזיים והמשמעותיים ביותר הנוגעים לפרטיות, לאופן השימוש במידע הנאסף במסגרת השירות ולתכליות השימוש בו.
מומלץ להשתמש בדרכים יצירתיות וחדשניות לפישוט הליך קבלת ההסכמה, ובכלל זה: שימוש בסרטוני הסברה, תמונות ואימוג'ים, "באנרים קופצים" להבלטת הדגשים המרכזיים הנוגעים לפרטיות וכלים אינטראקטיביים להגברת המעורבות של משתמשים בהליך קבלת ההסכמה.
מומלץ להתאים את טפסי קבלת ההסכמה והיידוע לסוגי המכשירים השונים (כגון מחשב נייד, טלפון חכם), בהם עשוי להיעשות שימוש למתן הסכמה.
רצוי להציג למשתמשים רמות שונות של פירוט בדבר איסוף המידע ואופן השימוש בו (מרמת הפירוט הבסיסית הנדרשת על- פי דין ועד רמת פירוט גבוהה ומפורטת), ולאפשר להם לשלוט על רמת הפירוט לה הם מבקשים להיחשף.
יש להימנע מקבלת הסכמה גורפת למתן שירות, ולאפשר למשתמשים להחליט איזה סוגי מידע הם מוכנים כי ייאספו, ולאילו מטרות.
קיימת חשיבות של ממש לציפייתם הסבירה של משתמשים בכל הנוגע לסוג המידע האמור להיאסף במסגרת מתן שירות מסוים, ולאופן השימוש בו. ככל שיש כוונה לאסוף מידע ולהשתמש בו באופן החורג באופן מובהק מציפייה זו – יש להבהיר ולהדגיש זאת בטרם קבלת ההסכמה.

יצוין כי גילוי הדעת כולל דוגמאות רבות למצבים בהם נדרשת הסכמה לאיסוף מידע אישי ואופן קבלתה, ואנו מזמינים אתכם לעיין בדוגמאות אלו.

רשות הגנת הפרטיות מזמינה את הציבור להגיש הערות לטיוטת גילוי הדעת, ולאחר מכן צפויה לפרסם את הגרסה הסופית שתשמש להכוונת האכיפה בתחום זה. ניתן להגיש התייחסות והערות למסמך עד ליום 24.3.25.

לעמדתנו לפרסום טיוטת גילוי הדעת יש חשיבות רבה, שעה שהוראות חוק הגנת הפרטיות בעניין קבלת הסכמות אינן ברורות דיה ושעה שהחוק מאפשר איסוף מידע אישי מכוח הסמכה בדין או על בסיס הסכמה בלבד, מבלי שיש בנמצא בסיסי עיבוד מידע נוספים שהיו מאפשרים לבעלי שליטה במאגרי מידע לאסוף ולעשות שימוש במידע גם ללא הסכמה (כגון אינטרס לגיטימי של בעל השליטה במאגר). עם זאת, אנו סבורים כי בנושאים מסוימים גילוי הדעת מרחיק לכת ועשוי להטיל נטל שאינו פרופורציונאלי על ארגונים.

נשמח לעמוד לרשותכם בהגשת הסתייגויות לגילוי הדעת ועל מנת לבחון את מנגנוני קבלת ההסכמה בארגון, לעדכן את מסמכי מדיניות הפרטיות וההסכמות הנהוגות בהתאם לטיוטת ההוראות.

לעיון בטיוטת גילוי דעת בנושא הסכמה בדיני הגנת הפרטיות לחצ/י כאן

הסקירה לעיל הינה בבחינת תמצית. המידע הכלול בה נמסר למטרות אינפורמטיביות בלבד ואין במידע כדי להוות ייעוץ משפטי.