גילוי הדעת מתאר כי ברשות התקבלו פניות רבות בנוגע למקרים בהם לצורך קבלת משלוח מבית העסק, הלקוח התבקש לאפשר לשליח לצלם את תעודות זהותו כתנאי לקבלת המוצר. בנוסף, התקבלו פניות ביחס למקרים בהם אנשים התבקשו לאפשר סריקה של תעודת זהות לצורך כניסה למקום מסוים, וכן פניות הנוגעות למקרים בהם לקוחות נדרשו למסור מספר תעודת זהות לצורך קבלת מידע כללי אשר אינו מצריך תהליך הזדהות.

תעודת זהות והספח המצורף לה מכיל מידע הכולל לצד תמונת תווי הפנים של בעל התעודה הנתונים הבאים: מספר תעודת הזהות, שם המשפחה, השם הפרטי והשמות הקודמים; שמות ההורים; תאריך הלידה ומקומה; המין; וכן תאריך הנפקת התעודה ותוקפה; המצב האישי (רווק, נשוי, גרוש, בן זוג בברית הזוגיות, פנוי או אלמן); המען; שם בן -הזוג ומספר תעודת הזהות שלו; שמות הילדים, מינם, תאריכי לידתם, מספר תעודת הזהות שלהם ואזרחותם ככל שהם אזרחי ישראל.

גילוי הדעת סוקר את עמדת הרשות ביחס ללגיטימיות ולחוקיות של דרישות אלו, בהתחשב ברגישות המידע ובהיקפו. להלן עיקרי עמדת הרשות אשר מוצגים במסמך:

• יש להתייחס למספר תעודת זהות ולצילום תעודת זהות, כאל מידע מוגן לפי חוק הגנת הפרטיות, זאת מאחר ואלה עשויים להוות מפתח להשגת מידע אישי נוסף על האדם.
• יש להימנע מלדרוש צילום של תעודת הזהות כולה, למעט במקרים חריגים בהם כלל המידע המופיע על גבי תעודת זהות דרוש לשם מתן השירות (למשל, בנק המחויב לפי חוק לאמת את פרטי הזיהוי של הלקוח באמצעות תעודת זהות ולשמור ברשותו העתק מהתעודה).
• במקרים החריגים בהם נדרש צילום תעודת זהות, יש להסתפק בצילום החלק הקדמי בלבד, ללא הספח והחלק האחורי, זאת במטרה לצמצם את איסוף המידע הרגיש ופוטנציאל הפגיעה בפרטיות. ככל שישנם פרטים שאינם נדרשים לבית העסק, יש לאפשר ללקוח להסתיר או להשחיר פרטים מתעודת הזהות בעת מסירת הצילום.
• ככל שנדרש לשמור את צילום תעודת הזהות במאגרי המידע בית העסק, יש להשחיר פריטי מידע שאינם נחוצים לצורך מתן השירות, ולתת על כך את הדעת כבר בעת ההחלטה לאסוף את צילום תעודת הזהות.
• יש לפעול במידתיות, כך למשל במקרים בהם נדרש לאמת את זהותו של אדם לצורך מתן שירות, יש להקפיד כי אמצעי האימות יהיה זה שפגיעתו בפרטיות פחותה (כגון אימות באמצעות קוד שנשלח ללקוח).
• ככל שבית העסק דורש מלקוח למסור צילום תעודת הזהות לצורך קבלת שירות, עליו לציין זאת בפני הלקוח מראש, וזאת גם כאשר הדרישה מבוצעת בפועל על ידי חברת השליחויות. בנוסף, עליו לפרט האם חלה עליו חובה חוקית לדרישה זו או שמסירת המידע תלויה ברצונו ובהסכמתו, וכן לפרט מה המטרה שלשמה מבוקש המידע, למי יימסר המידע ומטרות המסירה.
• מובהר כי כאשר נאסף מספר תעודת זהות או צילום תעודת זהות לצורך זיהוי בקבלת שירות כלשהו, חל איסור לעשות שימוש במידע בניגוד למטרת האיסוף.

לסיכומו של דבר, גילוי הדעת מחזק שוב את עמדת הרשות אשר מדגישה כי יש להקפיד שאיסוף מספר תעודת זהות או צילום תעודות זהות ייעשה רק במקרים המחייבים זאת, ואף במקרים כאמור, יש לתת עדיפות למנגנוני זיהוי אחרים שפגיעתם בפרטיותו של הלקוח פחותה.

הפוסט הרשות להגנת הפרטיות פרסמה גילוי דעת בנושא איסוף מספרי תעודות זהות וצילום תעודות זהות הופיע ראשון בדן חי ברשת

הפרלמנט האירופי אישר (13.03.2024) את תקנות הבינה המלאכותית (AI ACT). המדובר בחקיקה הראשונה מסוגה בעולם ובאה להסדיר את הפיתוח ההפעלה והשימוש במערכות בינה מלאכותית בתחומי האיחוד. זאת לאור בהתפתחות הדרמטית של תחום הבינה המלאכותית וההבנה כי היא עלולה להשפיע לרעה על זכויות אדם.

החקיקה, שמנסה לאזן בין חדשנות והגנה על הפרט, עברה היום בפרלמנט האירופי ומטילה שורה של חובות   (שקיפות, דוקומנטציה, אמינות ודיוק מידע, אבטחת מידע וכו..) על חברות המפתחות, מפיצות ומשתמשות במערכות כאלו בהתאם לרמת הסיכון הנובע מאותה מערכת, למשל בתחום הרפואה. החוק גם אוסר על שורה של מערכות בינה מלאכותית לאור הסכנה על זכויות אדם.

חקיקה זו תשפיע על המשך התפתחות התחום וקובעת סנקציות כספיות גבוהות מאוד לחברות שיפרו את הרגולציה. החקיקה, שעוד צריכה לעבור 2 שלבים פורמליים ולאחר מכן תכנס לתוקף באופן הדרגתי, עלולה להשפיע גם על חברות ישראליות המפתחות והמפיצות מערכות AI באירופה מכיוון, שבדומה ל-GDPR (תקנות הגנת המידע האירופאיות), גם לחקיקה זו יש תחולה אקס טריטוריאלית על חברות שמחוץ לאיחוד האירופי.

הפוסט באירופה עובדים. ה-AI ACT אושר. הופיע ראשון בדן חי ברשת

ביום 22.2.2024 פרסמה הרשות להגנת הפרטיות מסמך העוסק בנושא עמדות טעינה לרכב, זאת על רקע המגמה הגוברת בשימוש  בכלי רכב חשמליים (EV –Electric Vehicle), אשר הובילה לשינויים רבים בענף התחבורה.

במסמך שפורסם, הרשות ניתחה את מסמכי מדיניות הפרטיות ותנאי השימוש של אפליקציות המשמשות את חברות עמדות הטעינה לרכב חשמלי המרכזיות בישראל, וגיבשה סדרה של המלצות לשימוש בטוח ומאוזן, תוך שמירה על פרטיות המשתמשים. השימוש בעמדות טעינה כולל הרשמה לאפליקציות שונות, האפליקציות ועמדות הטעינה אוספות ומעבדות נתונים אישיים כגון שם מלא, דרכי התקשרות, כתובת דוא"ל, מספר טלפון, מספר רכב, נתוני מיקום, פרטי אשראי, ואף מידע ביומטרי (זאת בהינתן  שהמשתמש בחר לאפשר גישה לאפליקציה באמצעות זיהוי פנים או טביעת אצבע). המידע נאסף בין היתר לטובת חישוב תוכנית טעינה אופטימלית לרכב החשמלי, וכן לצורך ניתוח התנהגות הטעינה של משתמשי האפליקציות.

המידע הנאסף מועבר באופן מקוון ליישום סלולרי או למאגר מידע אחר, כך שניתן לנתחו בהמשך ולאורך זמן. לעיתים, נתונים אלו מועברים גם לגופים ציבוריים כגון רשויות מקומיות, אשר במסגרת ההתקשרות שלהן עם חברות לבניית עמדות טעינה במרחב הציבורי, דורשות גישה לנתונים הנאספים, בין היתר כדי לקדם יעדים ציבוריים של יעילות השימוש.

הרשות מבהירה כי בעוד שחלק מהמידע הנאסף חיוני לאופטימיזציה של תוכניות הטעינה, המידע שנאסף ביחס להתנהגות המשתמשים, כגון נתוני מיקום ואופי השימוש, מהווה מידע אישי בעל ערך כלכלי עבור גופים רבים. ולכן קיים פוטנציאל לפגיעה בפרטיות המשתמשים, לצד החשש משימוש במידע זה שלא למטרה לשמה נאסף.

לאור האמור, הרשות מדגישה את הצורך לטפל בבעיות הפרטיות הקשורות לשימוש בהן הפך לבעל חשיבות גבוהה.

להלן עיקרי ההמלצות במסמך:

• בדיקת הגדרות הפרטיות באפליקציית עמדות הטעינה לרכבים חשמליים – מומלץ לבחור אפליקציה ששומרת יותר על פרטיות המשתמש;
• הסכמה לשיתוף המיקום באפליקציית עמדות הטעינה לרכבים חשמליים – ההמלצה היא, ככלל, להקטין את הרשאות הגישה של האפליקציה לנתוני המיקום;
• הטמעת עדכוני אבטחה – זאת כדי להבטיח שהאפליקציה תהיה מוגנת מפני סיכוני אבטחה חדשים.
• מחיקת האפליקציה בסיום השימוש – ככל שהורחבו ההרשאות באופן שמנוגד לרצונכם או מבלי שהובהר הצורך בהרחבה זו, יש לבחון האם נדרש למחוק את חשבון המשתמש ואת האפליקציה.

לסיכום, הרשות מדגישה כי יש לנקוט אמצעי זהירות כדי להתמודד עם הסיכונים אשר נובעים כתוצאה משימוש בעמדות הטעינה.

הפוסט הרשות להגנת הפרטיות: המלצות שימוש בעמדות טעינה לכלי רכב חשמליים הופיע ראשון בדן חי ברשת

"מעמד התאימות (Adequacy) ניתן על ידי האיחוד האירופי לפי תקנה 45 לתקנות ה-GDPR, למדינות שרמת הגנת המידע בהן תואמת לרמת ההגנה על מידע אישי הנוהגת במדינות האיחוד האירופי. המעמד ניתן לישראל עוד בשנת 2011 ולעוד מספר מצומצם של מדינות ומאפשר העברת מידע אישי באופן פשוט וללא מכשולים רגולטוריים, משפטיים וטכנולוגיים נוספים מאירופה לישראל. תהליך הבחינה מחדש של מעמדה של מדינת ישראל החל ב-2016, והיום הוחלט על ידי הנציבות האירופית כי ישראל תשמור על מעמדה בזכות התפתחויות שונות במערכת המשפט הישראלית מאז קבלת המעמד בשנת 2011, לרבות תיקונים בחוק, פסיקה, הנחיות הרשות להגנת הפרטיות וכן התקנת תקנות הגנת הפרטיות (הוראות לעניין מידע שהועבר לישראל מהאזור הכלכלי האירופי), התשפ"ג-2023 אשר יחד העלו את רמת הגנת המידע בישראל."

הפוסט ישראל שומרת על החלטת התאימות להעברת מידע מהאיחוד האירופי. הופיע ראשון בדן חי ברשת

המוסדות להשכלה גבוהה ידעו מי מהסטודנטים שלהם שירת במילואים גם בלי לקבל את המידע מהסטודנטים עצמם. מעבר המידע הזה יקרה ככל ותתקבל הצעה נשוא פורסם שביצע לאחרונה(17.12.2023), משרד המשפטים אשר פרסם את טיוטת צו הגנת הפרטיות (קביעת גופים ציבוריים)(הוראת שעה – חרבות ברזל) להערות הציבור. מדובר בצו בהוראת השעה אשר נועד לאפשר העברת מידע אודות סטודנטים פעילים שגויסו למילואים ולוקחים חלק במאמץ המלחמתי ובשמירה על בטחון המדינה.

תיקון זה מתבקש נוכח היעדר סימטריה של מידע בחזקת המוסדות להשכלה גבוהה במצב הנוכחי. זאת, בין היתר, בשל העובדה שדרך המלך החוקית למסירת מידע מגוף ציבורי הנוגע לענייניו האישיים של אדם היא באמצעות קבלת הסכמתו של הפרט אליו מתייחס המידע המבוקש. למעשה, מה שאינו מתאפשר בשל זמינותם המוגבלת ולעיתים בלתי אפשרית של כוחות המילואים.

בעקבות מתקפת הטרור הרצחנית שאירעה ביום 07.10.2023, מדינת ישראל הכריזה, כזכור, על פתיחתה של מלחמת חרבות ברזל. במסגרת זו גויסו בצו 8 (צו חירום) כ-300 אלף משרתי מילואים. הערכה היא כי מתוך כלל המגויסים, כ-70 אלף הינם סטודנטים במוסדות להשכלה גבוהה, בהתאם להגדרה המנויה בחוק המועצה להשכלה גבוהה, התשי"ח-1958.

כזכור, המתקפה התחוללה בידי ארגון הטרור הרצחני 'חמאס', תוך הפתעה מוחלטת וללא כל היערכות מוקדמת מטעם המוסדות האקדמאיים. החל מאותו יום ארור וללא צפי להמשך, סטודנטים רבים נקראו לדגל ונלחמים בעומק רצועת עזה ומגנים ומאיישים את גבולותיה העוינים של המדינה בגזרות השונות. מצב דברים זה הוביל לדחיית פתיחת שנת הלימודים במוסדות האקדמיים השונים, לכאוס ואף לפערי מידע משמעותיים בין המוסדות האמורים לבין הסטודנטים המשרתים במילואים.

בהתאם לנוסח טיוטת הצו המוצע, פרטי המידע המועברים העומדים בבסיס הדיון הינם:

1. שם משפחה ושם פרטי של החייל.
2. מס' תעודת הזהות.
3. מועד שירות המילואים ומשכו המשוער.

תכליתה ונחיצותה של העברת המידע הינה משולשת. האחת, מיצוי ומימוש זכויות מידי. התיקון העתידי שואף להקל על סטודנטים המצויים במילואים ומתקשים בהעברת מסמכים ואישורים שונים מצה"ל למוסד לימודיהם בכל הנוגע למימוש ומיצוי זכויות באופן מידי. משימה זו, נעשתה כמעט בלתי אפשרית בשל פעילות הלוחמים והמגויסים במנותק מן האבחנה בין מי שבעומק הלחימה ובין אלו שמצויים בעורף שכן גם האחרונים מצויים בלחץ רב ובזמן חופשי דל ללא אמצעים מתאימים וזמינים. השנייה, היערכות מוסדית. מוסדות יכולים להעריך במדויק את מספר חיילי המילואים, תוך סיוע בהחלטות כמו האם לפתוח את שנת הלימודים האקדמית וכיצד להתאים מחלקות וקורסים. השלישית, הקצאת משאבים להיערכות עתידית ו"הקדמת תרופה למכה". העברת המידע תאפשר למוסדות להעריך ולהקצות משאבים להתאמות והקלות הכרחיות לסטודנטים במילואים, לרבות תמיכה מדינית ומלגות.

מועד התחולה של הצו והיתר העברת המידע האמור, הינו מיום פרסומו ולמשך לשישה חודשים. פרטי המידע המועברים למוסדות ההשכלה הגבוהה מהווים רשימה סגורה, כמפורט לעיל, דבר המגביל באופן את היקף וסוג המידע המועבר. החלטה זו הינה בלתי נמנעת. זאת מאחר ובפרק הזמן הנוכחי עד פתיחת שנת הלימודים לא נמצא פתרון מדיני מספק שפגיעתו פחותה וכי חלף זמן מספק לגיבוש עובדות ומסקנות באשר למצב הנוכחי.

צו הגנת הפרטיות מייצג תגובה מחושבת למצב חסר תקדים, המאזן בין צרכי הביטחון הלאומי לבין הזכויות והצרכים של סטודנטים במילואים באופן המשמר את עקרון המידתיות תוך הגנה על פרטיותם. הצו מדגיש את מחויבותה של הממשלה ושל מוסדותיה האקדמאיים לתמוך במי שמשרתים תוך שמירה על עיסוקיהם האקדמיים, במיוחד בעתות חירום לאומיות לצד שיקולים כלכליים כגון הזרמת כוח עבודה מדופלם/אקדמאי למשק.

העברת המידע בסקטור מסוים ומוגבל מייצג נאמנה את הגמישות החקיקתית בעת חירום ואת השימוש הראוי בכלי "הוראת השעה" לשם פגיעה יחסית בערכים שונים הראויים להגנה. שכן, בעת חירום נפגעות זכויות רבות והמחוקק נדרש לאיזון אופקי בין הזכויות הנפגעות תוך מתן משנה זהירות בדרכי פעולותיו ובתוצאות.

הפוסט גמישות בהעברת מידע בעת חירום – מלחמת חרבות הברזל הופיע ראשון בדן חי ברשת

האם כל מידע הקשור לאדם כשלעצמו יהווה מידע אישי בהתאם לחוק הגנת הפרטיות, התשמ"א-1981, או שמא רק מידע שיש בו כדי לאפיין אדם יהווה מידע אישי בחוק ואילו יתר סוגי המידע יהוו "מידע מוביל" בלבד? ועדת חוקה, חוק ומשפט של הכנסת בראשות חה"כ שמחה רוטמן עסקה לאחרונה (04.12.2023) בשאלה זו בהרחבה. זאת במסגרת דיון ראשון בכנסת הנוכחית בהצעת חוק הגנת הפרטיות (תיקון מס' 14), התשפ"ב-2022.

כזכור, מדובר בהצעה אשר נועדה, בין היתר, להרחיב את סמכויות האכיפה של הרשות להגנת הפרטיות במשרד המשפטים, גוף שהוקם מכוח החלטה ממשלתית, וכן כדי לצמצם את חובת רישום מאגרי המידע. ההצעה אשר עברה בכנסת בקריאה ראשונה מספר פעמים בעבר והוחל עליה רציפות בכנסת הנוכחית, הובאה בפני הועדה, שוב, על רקע המלחמה והעלייה החדה במספר בתקיפות הסייבר.

התכנסות הועדה הביאה להתכנסותם של בכירים בתחום הגנת הפרטיות לדיון רחב בנושא.

נציגי הרשות להגנת הפרטיות הדגישו בדיון כי יש להשלים את החקיקה בהקדם האפשרי. זאת עקב מספר סיבות הכוללות, בין היתר, את הצורך להתאים את החקיקה הישראלית להליך התאימות האירופית. לשם כך, ישראל נדרשת לשמור על מעמדה כמדינה המחייבת רמת אבטחת מידע ההולמת את דרישת האיחוד האירופי. בנוסף, הרשות הבהירה כי בעיקר בתקופה הנוכחית, מלחמת חרבות ברזל, גובר צורך להרחיב את סמכויות האכיפה של חוק הגנת הפרטיות והתקנות שהותקנו מכוחו, ויתרה מכך, יש להרחיב את סמכויות הרשות להגנת הפרטיות.

מנגד, בקרב חברי הועדה הוצגה גישה הפוכה לזו של הרשות, וזאת ביחס למספר נושאים שעלו. כך למשל, עלתה הטענה כי צמצום חובת רישום מאגרי המידע, כפי שמובא במסגרת התיקון לחוק, מיותר היות ויש לייתר את חובת הרישום באופן כולל, קרי, לבטל חובה זו לצמיתות.

את הבסיס לדיון בשאלת היקף המידע עליו יחול התיקון לחוק הניח עו"ד דן חי, יו"ר הוועדה להגנת הפרטיות בלשכת עורכי-הדין והמשרד המוביל אתר זה. כמי שחי את התחום הן כבעל משרד עו"ד מוביל המלווה חברות והן כמרצה באקדמיה, כותב פעיל בתחום ומי שמצוי על סף סיום עבודת הדוקטורט שלו בנושא, הדגיש עו"ד חי כי האתגר הגדול והחשיבות שבקביעת כללים אשר יטיבו עם זכויות הפרט מחד ולא יפגעו בהתפתחות הטכנולוגיה מאידך, היא בהגדרה המידע בדרך שתאפשר תהליכים ולא להפך.

לאחר חזרה ממושכת על עיקרי התיקון לחוק, עו"ד חי העלה את הבעיה המרכזית אשר נובעת כתוצאה מהתיקון לחוק הגנת הפרטיות – פרשנות המונח "מידע אישי". למעשה, הניח תשתית לדיון רחב בשאלה 'האם כל סוג מידע אודות אדם מהווה כשלעצמו מידע אישי, או שמא יש להגדירו כ"מידע מוביל"'. כלומר, האם מידע שאינו מהווה מידע אישי כשלעצמו, אלא רק במצב בו יוצלב עם מידע אחר או במצב בו יחובר לסוגי מידע נוספים יכול ליצור מידע אישי ואף רגיש. שאלה זו היוותה נושא מרכזי לחילופי הדברים בקרב חברי הועדה, ובפרט בקרב יו"ר הועדה שעסק בנושא בהרחבה.

מעבר לתיקון 14, תיקון 15 לחוק הגנת הפרטיות עלה גם הוא במסגרת הדיון. הובהר כי טיוטת תזכיר החוק מצויה על שולחנו של שר המשפטים. התיקון עתיד להכיל הוראות ביחס לזכות למחיקת מידע (הזכות להישכח), מינוי ממונה פרטיות בארגון, הסדרת עיקרון ההסברתיות בקשר לשימושי בינה מלאכותית והוראות נוספות.

הפוסט מהו "מידע אישי"? ועדת חוקה מנסה לתת מענה. הופיע ראשון בדן חי ברשת