גילוי דעת הרשות להגנת הפרטיות בנושא הסכמה - טיוטה להערות הציבור

5.3.2025 עו"ד נועה גבע

ביום 24 בפברואר 2025 פרסמה הרשות להגנת הפרטיות גילוי דעת המבהיר את יישום עקרון ההסכמה בעידן הדיגיטלי ומתייחס להיבטי חוק הגנת הפרטיות, התשמ"א-1981. טיוטת גילוי הדעת משמשת כבסיס לפרשנות משפטית של הרשות בהפעלת סמכויותיה, כולל פיקוח, ביטול או רישום מאגרי מידע, והטלת סנקציות מנהליות או כספיות בגין הפרות חוק. 

"עקרון ההסכמה" הוא עקרון יסודי בדיני הגנת הפרטיות בישראל, הקובע כי עיבוד מידע אישי מחייב את הסכמת הפרט נושא המידע, תוך שמירה על יכולתו לשלוט איזה מידע ייחשף, למי ובאיזו מטרה. עיבוד ללא הסכמה מהווה פגיעה באוטונומיה ובזכותו של הפרט לשלוט במידע אודותיו.

טיוטת גילוי הדעת הולכת אחרי גילויי דעת קודמים של הרשות, ואף מוסיפה עליהם באופן המרחיב את חובות הגילוי ומקרבת אותן לדרישות האסדרה האירופאית להגנת המידע (GDPR) וקושרת אותן לפעילות האכיפה המוגברת הצפויה בידי הרשות עם כניסתו של תיקון 13 לחוק הגנת הפרטיות (באוגוסט 2025). להלן יפורטו עיקרי גילוי הדעת, הרלבנטיים לארגונים.

תוכן הבקשה לקבלת הסכמה מדעת

הסכמה לפגיעה בפרטיות, בין אם מפורשת ובין אם משתמעת, חייבת להינתן מתוך מודעות. המשמעות היא כי על מבקש ההסכמה לפעול בשקיפות. כלומר, ליידע באופן ברור, נגיש ומובן את נושא המידע בנוגע למטרת העיבוד, השימושים הצפויים במידע והשלכות ההסכמה. על מבקש ההסכמה להציג את תנאי ההסכמה בצורה מובנת, נגישה וברור ובכך לוודא כי האדם מודע לתוכן הבקשה, מטרותיה והשלכות החלטתו.

סעיף 11 לחוק הגנת הפרטיות מחייב למסור לאדם שאליו פונים כדי לקבל מידע אישי על אודותיו שורה של פרטים, לרבות – מטרת איסוף המידע, למי יועבר ולאיזה שימוש יועבר, ומהי תוצאת אי-ההסכמה למסור את המידע. הרשות מדגישה כי העמידה בתנאי סעיף 11 היא דרישת המינימום וכי במקרים מסוימים מבקש ההסכמה יהיה מחויב בפירוט נרחב יותר מהקבוע בסעיף.

כך למשל חובת גילוי מוגברת תחול במקרים של פערי כוח, כגון במסגרת יחסי עבודה, או בנסיבות בהן ישנו פוטציאל לפגיעה קשה בפרטיות, כגון שימוש בטכנולוגיות חדשות שההשלכות שנוגעות לשימוש בהן לא ברורות. במקרים אלו, היעדר שקיפות מספקת עלול לערער את תוקף ההסכמה של נושא המידע.

הנטל לשכנע, כי ההסכמה לפגיעה בפרטיות ניתנה מתוך רצון חופשי של אדם חלה על מבקש ההסכמה. לשם כך, ייבחנו בין הייתר הפרמטרים הבאים:

§       נסיבות מתן ההסכמה;

§       מועד קבלת ההסכמה;

§       אופן הצגת בקשת ההסכמה (לרבות הבחינה מבקש המידע השתמש בכלים שנועדו להקשות על נושא

המידע להבין את משמעות הסכמו והשלכותיה);

§       אופן קבלת ההסכמה - הסכמה מדעת (באופן אקטיבי) או מכללא (באופן פאסיבי);

§       זהות הצדדים ויחסי הכוחות ביניהם.

הסכמה מרצון חופשי

הרשות מבהירה כי הסכמה לפגיעה בפרטיות חייבת להינתן מתוך רצון חופשי, בדומה לדרישה ב-GDPR  כי הסכמה תהיה Freely Given, כך שנושא המידע ייתן את הסכמתו ללא אלמנטים של כפיה או כורח, באופן שמבטא את האוטונומיה שלו ואת מימוש רצונו החופשי. לצורך כך, נדרש בין היתר, כי בפני נושא המידע יעמדו חלופות אפשריות וסבירות למתן ההסכמה, וכן כי ההסכמה תתקבל ללא שימוש ב"טקטיקות אפלות" –

 (dark patterns) שתכליתן לערפל את שיקול דעתו ולמנוע ממנו את היכולת לקבל החלטה המבוססת על .שיקול דעתו החופשי

במקרים בהם עולה חשד לגבי חופשיות ההסכמה (כגון – הסכמה הניתנת ביחסי עבודה, הסכמה לקבלת שירות חיוני דוגמת תחבורה, בריאות או שירות טכנולוגי חיוני, הסכמה הניתנת בהיעדר כל חלופה סבירה), על מבקש ההסכמה לנקוט באמצעים שיבטיחו כי ההסכמה ניתנה מרצון חופשי. צעדים אלו יכולים לכלול הצעת חלופה סבירה או הימנעות מהתניית קבלת השירות בהסכמה לאיסוף מידע שאינו הכרחי, כדי לוודא שההסכמה משקפת בחירה אמיתית ומודעת של נושא המידע.

כך למשל, חברה המפעילה שירותי תחבורה ציבורית אשר מבקשת לעבור לשימוש באמצעי תשלום מתקדמים, האוספים מידע רציף על נתוני המיקום של ציבור הנוסעים, תוכל להמשיך ולהעמיד לציבור את האפשרות לשלם באמצעים אחרים, שאינם אוספים נתונים אלו, או באמצעים שעושים זאת תוך שמירה על האנונימיות של המשתמש.

אופן קבלת ההסכמה

אופן קבלת ההסכמה עשוי להשפיע על תוקפה.

הסכמה יכולה להינתן באופן פסיבי Opt-out על ידי למידה מהתנהגות האדם על הסכמתו, כמו שתיקה או חוסר מחאה, , כלומר הסכמה מכללא. וכן, הסכמה יכולה להתקבל באופן אקטיבי (Opt-in) כלומר שהאדם צריך לבצע פעולה אקטיבית כמו לחיצה על כפתור, סימון תיבה או חתימה כדי לאשר את השימוש במידע הנוגע אליו ובכך לוודא קבלת הסכמה מדעת.

לעמדת הרשות, הסכמה פסיבית עלולה להיחשב כבעייתית, במיוחד כשמדובר במידע רגיש או בשירותים הדורשים אמון גבוה מצד המשתמש. כך למשל שימוש במידע אישי למטרות "פרופיילינג" שאינו קשור ישירות למטרות השירות בין צדדים שביניהם פערי כוח, מחייב קבלת הסכמה אקטיבית נפרדת. במקרים אלו, שתיקה או חוסר תגובה, כשלעצמם, לא ייחשבו להסכמה תקפה. לדוגמה, אם בטופס הרשמה לשירות מסוים מופיע סעיף המאפשר שימוש במידע לצרכים מסחריים אך המשתמש לא מסמן אותו במפורש, אין לראות בכך הסכמה תקפה.

לפיכך, יש להעדיף קבלת הסכמה באופן אקטיבי (Opt-in).

עיבוד מידע ללא הסכמה בהסתמך על הגנות אפשריות בחוק הגנת הפרטיות

עיבוד מידע ללא הסכמה אפשרי רק כאשר מתקיימים תנאים מסוימים בניהם המפורטים בסעיף 18(2) לחוק הגנת הפרטיות (בין היתר, איסוף הנדרש מכוח מקור חוקי). עיבוד זה כפוף לדרישת המידתיות הקבועה בסעיף 20(ב) לחוק, ונפוץ למשל במסגרות יחסי עבודה, ובמקומות בהם חלים כללי המשפט הציבורי כמו מוסדות ממשלתיים.

בהתאם לכך, הרשות מבהירה כי על מי שפוגע בפרטיות ללא הסכמת האדם נושא המידע ומבקש להסתמך על ההגנות הקבועות חוק, להוכיח כי לא ניתן היה לקבל את הסכמת נושא המידע בנסיבות העניין. אחרת, הוא עלול להיחשב כמי שפגע ביודעין בפרטיות בהיקף העולה על הנדרש באופן סביר, בניגוד להוראות החוק. 

חזרה מהסכמה

הרשות מדגישה כי ישנה חשיבות רבה לזכות נושא המידע לחזור מהסכמה, כלומר לבקש את הפסקת השימוש במידע אודותיו, בפרט במצבים בהם המשך השימוש במידע עלול לגרום לפגיעה משמעותית בפרטיותו של המבקש.

במקרים בהם התנהגותו של נושא המידע עשויה ללמד כי הסכמתו ניתנה באופן נקודתי או מוגבל, למשל – אי כניסה לאפליקציה זמן ממושך, מומלץ לבחון באופן אקטיבי אם הסכמתו של נושא המידע עומדת בעינה.

צעדים אפשריים לחיזוק הליך קבלת ההסכמה לפי טיוטת גילוי הדעת

הרשות להגנת הפרטיות מזמינה את הציבור להגיש התייחסויות על טיוטת גילוי הדעת עד 24 במרץ 2025. לאחר מכן, תפורסם הגרסה הסופית שתשמש בסופו של דבר להכוונת האכיפה. להלן טיוטת גילוי הדעת: https://www.gov.il/BlobFolder/rfp/consent2025/he/consent2025.pdf

הסקירה שלעיל מהווה סיכום תמציתי. המידע המופיע בה נועד למטרות מידע בלבד, ואינו מהווה ייעוץ משפטי מחייב.

לאתר המשרד