נכנסתי לעסק והכריחו אותי למסור פרטים אישיים... האם זה חוקי ? או, קצת על פרטיות בימי קורונה.

מילוי פרטים וחתימה

נוסח המאמר מעודכן נכון ל-23 בספטמבר - שימו לב, תקנות שעת חירום משתנות על בסיס תדיר ולכן חשוב להתעדכן בכל עת בנוסח העדכני של התקנות הקובעות מהי דרך ההתנהלות הדרושה ומהן ההגבלות.

מכירים את זה שאתם נכנסים לעסק או למקום העבודה ודוחפים לידיכם טופס עם פרטים אישיים שצריך למלא?

אז (במידה ולא נתתם את הסכמתם במפורש לאחר שעדכנו אתכם שאתם יכולים לסרב לרישום*), מסתבר שפוגעים בפרטיות שלכם ולא לצורך. זה כמובן... מעלה שאלות. אז בואו נדבר על זה רגע...

ראשית, נשאלת השאלה מה עושים עם המידע הזה והאם הוא נשמר רק לצורך הבדיקה?

שנית, מה הזכויות שלי ביחס למידע שכרגע מסרתי?

אז לקוח שלי ביקש שנבדוק לו את העניין. במסגרת זה שבשנה האחרונה, המשרד לאט לאט צובר מקצועיות בתחום הפרטיות וזכויות שימוש במידע אישי (מהסיבה שאנו עובדים עם הרבה עסקים טכנולוגיים), ולכן החלטנו להרים את הכפפה ולעשות בדיקה מעמיקה.

באופן כללי, כפי שתראו בהמשך, בהתאם לעמדת הרשות להגנת הפרטיות, על מעסיקים לא חלה החובה לדרוש מעובדיהם, או מאנשים אחרים הנכנסים למקום העבודה כגון לקוחות ועוברי אורח, למלא טופס הצהרה בדבר מצבם הבריאותי עם כניסתם לשטח מקום העבודה ובית העסק, ובוודאי לא כזה המחייב ציון פרטים אישיים.

אבל קודם, קצת רקע...

כחלק מהתמודדות ממשלת ישראל והרשויות במדינה עם נגיף הקורונה ולצורך חזרת החברה הישראלית לפעילות פיננסית תקינה, התקינו הרשויות בישראל, בין השאר, את תקנות שעת חירום (נגיף הקורונה החדש – הגבלת פעילות), התש"ף-2020 (שלשם הנוחות נקרא להן "תקנות שעת חירום") אשר נועדו בין השאר לצמצם את המגע בין אנשים המסוגלים לסכן את האוכלוסייה כתוצאה מפוטנציאל לנשיאת הנגיף על ידם והדבקת השוהים בסביבתם.

פוטנציאל ההדבקה, בין השאר, נאמד על פי אינדיקציות מסוימות לגבי כל אדם הנכנס בשערי עסק או מקום עבודה. כגון:

1.    ביצוע מדידת חום באמצעי בלתי פולשני לכל אדם הנכנס בשערי העסק או מקום העבודה - אם מדידת חום העלתה שהנבדק בעל חום העולה על 38 מעלות צלזיוס, לא תותר כניסתו.

2.    האם אותו אדם הנכנס בשערי העסק או מקום העבודה משתעל?

3.    האם היה במגע קרוב עם חולה קורונה בשבועיים האחרונים?

אם אחת מהשאלות לעיל נענית בחיוב (למעט שיעול שהוא תוצאה של מצב כרוני), אסורה כניסתו של הנבדק לבית העסק או מקום העבודה.

נוסף על כך, גם הותקנו לתקנות שעת חירום (הגבלת מספר העובדים במקום עבודה לשם צמצום התפשטות נגיף הקורונה החדש), התש"ף-2020 (שלשם הנוחות נקרא להן "תקנות ההגבלה"). בהתאם לתקנות ההגבלה, על מקומות עבודה ומסחר בהקשר לתיעוד פעילותם מוטלת החובה לנהל תיעוד מספרי בהקשרים האמורים. כך, תקנות אלו קובעות כי מקומות עבודה ומסחר ינהלו רישום, ככל האפשר באופן ממוחשב, של הפרטים הבאים:

1.    מספר הלקוחות והספקים השוהים במקום העבודה.

2.    מספר התשאולים ומדידות החום שביצע בהתאם להוראות תקנות הגבלת פעילות.

3.    מספר האנשים שלא הותרה כניסתם למקום העבודה בעקבות תשאול או מדידת חום.

עם זאת, לעיתים רבות, עסקים אוספים מידע עודף על האמור כגון: שם פרטי ושם משפחה, תעודת זהות, חום גוף, מען, מספר טלפון, ועוד.

עמדת הרשות להגנת הפרטיות, בהתאם להוראות הדין המעודכנות להיום היא שעל מקומות העבודה והמסחר הנדרשים בביצוע תשאולים, להימנע ככל הניתן מלהציג בפני הנכנסים בשעריהם שאלות נוספות הנוגעות להיבטים בריאותיים הקשורים לנגיף הקורונה או לבקש מידע אישי אחר הנוגע אליהם, מעבר למפורט בתקנות. כך, באין הצדקה אחרת הנובעת מאופיו של מקום העבודה והמסחר, על מקומות אלו להימנע מלבקש מציבור הנכנסים פרטים מזהים (כמו למשל שם ומספר ת.ז) ו/או לשאול אותם שאלות נוספות הנוגעות למצבם הבריאותי במסגרת הליך התשאול. הרשות מבהירה כי כל תשאול נוסף מעבר לקבוע בתקנות, בוודאי כאשר תשאול זה כולל דרישה להצגת פרטי זיהוי, עלול להביא לחשיפה מיותרת ושאינה נדרשת בדבר מצבו הרפואי של אדם, באופן אשר יביא לפגיעה בפרטיותו.

הרשות גם הבהירה כי אין כל הצדקה לשמירת המידע, ובוודאי כזה העשוי להביא לזיהויו של אדם. אולם גם אם יתקיימו נסיבות שבדין המתירות שמירת המידע הנקלט באופן חריג, כגון בהתאם להגנות לפי סעיף 18 לחוק הגנת הפרטיות שהן:

(1)   הפגיעה נעשתה בדרך של פרסום שהוא מוגן לפי סעיף 13 לחוק איסור לשון הרע, תשכ"ה-1965;

(2)   הנתבע או הנאשם עשה את הפגיעה בתום לב באחת הנסיבות האלה:

(א)   הוא לא ידע ולא היה עליו לדעת על אפשרות הפגיעה בפרטיות;

(ב)   הפגיעה נעשתה בנסיבות שבהן הייתה מוטלת על הפוגע חובה חוקית, מוסרית, חברתית או מקצועית לעשותה;

(ג)    הפגיעה נעשתה לשם הגנה על ענין אישי כשר של הפוגע;

(ד)   הפגיעה נעשתה תוך ביצוע עיסוקו של הפוגע כדין ובמהלך עבודתו הרגיל, ובלבד שלא נעשתה דרך פרסום ברבים;

(ה)   הפגיעה הייתה בדרך של צילום, או בדרך של פרסום תצלום, שנעשה ברשות הרבים ודמות הנפגע מופיעה בו באקראי;

(ו)    הפגיעה נעשתה בדרך של פרסום שהוא מוגן לפי פסקאות (4) עד (11) לסעיף 15 לחוק איסור לשון הרע, תשכ"ה-1965;

(3)   בפגיעה היה ענין ציבורי המצדיק אותה בנסיבות העניין, ובלבד שאם הייתה הפגיעה בדרך של פרסום - הפרסום לא היה כוזב."

כך, על מקומות העבודה והמסחר להקפיד על שמירתו של המידע בהתאם להוראות חוק הגנת הפרטיות והתקנות שהותקנו מכוחו, לרבות תקנות הגנת הפרטיות )אבטחת מידע), התשע"ז-2017.

בנוסף, מוסיפה הרשות כי יש לבחון את הצורך בהמשך שמירתו של המידע בהתאם למטרה שלשמה הוא נאסף מלכתחילה, ובמידה וצורך זה לא מתקיים, רצוי להביא למחיקתו תוך ימים ספורים. כמו כן, יש להקפיד שלא להשתמש במידע הנאסף לכל מטרה שהיא ולא להעביר מידע זה לגורמים אחרים, אלא כנדרש על-פי הוראות הדין ו/או במסגרת דרישה חוקית ומחייבת מטעמם של גורמי אכיפה ובריאות הציבור.

בדין הישראלי יש ביטוי לכך שהסכמה של אדם עשויה לכאורה להתיר למקומות עבודה ומסחר לאסוף מידע בהיקף נרחב יותר מזה המפורט בתקנות, וכן לאפשר שימוש במידע לצרכים שונים. אבל, לדעת הרשות, הסכמה הניתנת במסגרת של פערי כוחות בין מעניק ההסכמה למבקש ההסכמה, או כאשר למעניק ההסכמה אין אפשרות שלא להעניקה למבקש, עשויה שלא להיחשב כהסכמה הניתנת מרצון חופשי ומדעת.

מכאן, בעיני הרשות, הסכמה זו - קשה לראות בה בסיס מספק לפגיעה בפרטיות ולפיכך, לאור פערים ביחסי כוחות בין מקומות עבודה ומסחר לאלו המבקשים להיכנס בשעריהם (בין אם מדובר בלקוחות ובין אם בעובדים), ולאור החשש שבהיעדר אלטרנטיבה ייאלצו פרטים להעניק הסכמה לאיסוף ושימוש במידע הנוגע אליהם במסגרת כניסה למקומות מסוימים גם כאשר הם יעדיפו להימנע מכך, עמדת הרשות היא כי ככלל על מקומות עבודה ומסחר להימנע מלבקש הסכמה לאיסוף ושימוש במידע במסגרת בדיקת הנכנסים בשעריהם בהקשר האמור, מעבר לקבוע בתקנות.

הרשות גם מבהירה כי, בכל הנוגע למידע הנאסף בהתאם לנדרש על-פי התקנות, למשל מספר הלקוחות אשר שהו במקום או מספר התשאולים שבוצעו, מומלץ כי: מעסיקים ידווחו ללקוחותיהם ולמי הנכנס בשערי עסקיהם, מידע שכזה נאסף ואת הסיבה החוקית לאיסוף המידע.

בשים לב לעמדת הרשות, בנוסח כללי ה״תו הסגול״ כפי שאלו מופיעים באתר משרד הכלכלה נכון להיום, מופיעה המלצה לנהל רישום בבתי עסק של לקוחות וספקים המכיל שם מלא, זמן ביקור ומספר טלפון. הנוסח האמור, הינו בעייתי כי הוא לא הולם את התקנות ולכן לא מחייב את הלקוחות עצמם. עמדנו היא שככל שלקוח נדרש לשמו, מספרו הטלפוני או פריטם אחרים נוספים עליו לתת את הסכמתו לכך ולהבין כי מסירת פרטים כאמור אינה חובה. כמו כן, עמדתנו, בהתאם לעמדת הרשות להגנת הפרטיות שפורסמה בגילוי דעת נפרד, היא שמספר תעודת הזהות של אדם הינו בהגדרה מידע רגיש ועל עסקים להמנע מרישומו ושמירתו שכן רישום ושמירה כאמור מחיל עליהם חובות מתחום ניהול מאגרי מידע ומהווה פגיעה בלתי סבירה בפרטיות לקוחותיהם.

לסיכום, בהיעדר חובה בדין, כלומר, עד שלא הותקנו תקנות כאלה או נחקק חוק שמחייב לעשות זאת, דרישת מעסיקים ובעלי עסקים למלא טופס כפי שכרגע ממלאים, עשויה להיחשב כפגיעה בפרטיותם של לקוחות ועובדים ועל כן מומלץ לעסקים להימנע מרישום כזה (בהיעדר הסכמה מפורשת ועדכון הלקוח או העובד בדבר הזכות שלו לסרב לרישום) אלא אם הדבר מחויב על פי דין ובנושא זה כמובן שכדאי לגלות ערנות לאור השינויים התכופים בחקיקה ובתקנות הרלוונטיות.

למעבר לנוסח התקנות העדכני ליום כתיבתו של המאמר לחץ כאן.


*הבהרה: באופן כללי חשוב להבין שבהרבה מקרים פוגעים בפרטיותינו בין אם שמירת נתונים, בין אם על ידי קבצי "Cookie", בין אם באמצעות שימוש בנתונים שעולים מפרופילי הרשתות החברתיות שלנו או הסטורית המיקום של הנייד שלנו. עם זאת, זה נעשה במסגרת מדיניות פרטיות ותנאי שימוש שהסכמנו להם ולכן אפשרי. גם במקרה שלנו, אפשר לייצר מצב בו בעצם נטפל בבעיות באמצעות שימוש זהיר במידע, הבהרה שאיסופו נעשה למטרות נוספות והשגת הסכמתו של הלקוח בצורה מודעת. מדובר בתחום מאד 'עדין' ולכן מומלץ לעשות זאת בליווי איש מקצוע.