ביום 18.07.2023 פורסמה להערות הציבור טיוטה של מסמך מדיניות של הרשות להגנת הפרטיות ("הרשות"), בעניין איסוף ושימוש במידע ביומטרי לבקרת נוכחות עובדים במקום העבודה ("מסמך המדיניות") . בעדכון זה נציג את עיקרי עמדת הרשות כפי שבאה לידי ביטוי במסמך המדיניות.
מסמך המדיניות מבקש להרחיב ולעדכן נייר עמדה קודם שהרשות פרסמה בנושא בשנת 2012, ולהבטיח כי השימוש בטכנולוגיות לזיהוי ביומטרי של עובדים לבקרת נוכחות, אשר נפוץ בקרב חברות רבות במשק, ייעשה תוך מתן התייחסות הולמת לפרטיותם של העובדים.
לעמדת הרשות, על מעסיקים המבקשים להשתמש במערכות ביומטריות לבקרה ופיקוח על שעות העבודה לפעול באופן סביר ומידתי, תוך יידוע העובדים, קבלת הסכמתם לכך, יישום אמצעי אבטחת מידע והקפדה על עקרון צמידות המטרה.
מידתיות: לעמדת הרשות, מוטלת חובה על המעסיקים לבחון את הבחירה להשתמש במערכות ביומטריות בשים לב לפגיעה האינהרנטית בפרטיות אל מול הצורך של המעסיקים בפיקוח על עובדים במקום העבודה. כל זאת, בשים לב לחלופות אפשריות הפוגעות במידה פחותה יותר בפרטיות העובדים, כגון שימוש בכרטיסי עובד שאינם כוללים מידע ביומטרי או בכרטיסים חכמים אשר יאפשרו את שמירת המידע הביומטרי אך ורק על גבי הכרטיס ולא במאגר מידע מרכזי.
חובת יידוע מורחבת: לפי מסמך המדיניות, מעסיקים המבקשים לאסוף ולהשתמש במידע ביומטרי על עובדיהם חבים בחובת יידוע רחבה, מעבר לדרישות בסעיף 11 לחוק הגנת הפרטיות, התשמ"א – 1981 ("החוק"). לעמדת הרשות, על מעסיקים ליידע את עובדיהם, בין היתר, על זהות הגורם האחראי על המאגר בו נשמר המידע ומורשי הגישה לו, מטרות איסוף המידע, אופן אבטחת המידע וזכויות העובד בדבר העיון, תיקון ומחיקת המידע.
הסכמה: בהיעדר הסמכה בחוק, הסכמת העובד היא הבסיס לצורך איסוף ושימוש המעסיק במידע ביומטרי של עובד. ההסכמה יכולה להתקבל מהעובד באופן מפורש או באופן משתמע (מהתנהגות העובד) אך זו חייבת להיות "הסכמה מדעת". לעמדת הרשות, ראוי שמעסיקים יאפשרו לעובדיהם לבחור בין שימוש במערכות בקרת נוכחות ביומטריות לשימוש במערכות שאינן כאלו, וככל שעובד יבחר להשתמש במערכת ביומטרית, תוך מתן הסכמה מפורשת לכך, תהיה זו עדות טובה לכך שהסכמת העובד אכן ניתנה מרצונו החופשי. עם זאת, הרשות מבהירה כי אין די בהסכמת העובד לבדה כדי להכשיר את איסוף המידע הביומטרי והשימוש בו, ועמידה בעקרון המידתיות (כמפורט לעיל), אף היא דרישה הכרחית.
צמידות מטרה: מעסיקים המשתמשים במערכות ביומטריות לבקרה ופיקוח על עובדיהם נדרשים להקפיד להשתמש במידע הביומטרי הנאסף אך ורק למטרות אלו ולוודא כי הם אינם אוספים מידע ביומטרי שאינו נדרש לשם כך. בתוך כך, על המעסיק לוודא כי איכות וכמות הנתונים הביומטריים הנאספים הם בהתאם לרמת הזיהוי הנדרשת ולא מעבר לכך.
אבטחת מידע: הרשות עומדת על כך שלנוכח אופיו הרגיש של מאגר מידע שמכיל מידע ביומטרי המעסיקים יקפידו על הסדרי אבטחה מחמירים ביחס למאגר מידע כאמור. בהקשר זה, הרשות מציעה לארגונים לנקוט באמצעים מתקדמים לאבטחת המידע הביומטרי, כגון שימוש במנגנוני הצפנה וקידוד ייחודיים והפרדת הנתונים הביומטריים במאגר ממידע אישי אחר, כך שנתונים אלו ישמרו באופן נפרד. עוד ממליצה הרשות לערוך תסקיר השפעה על פרטיות בטרם תחילת האיסוף והשימוש במידע ביומטרי של עובדי הארגון.
צמצום ומחיקת מידע: בשים לב לרגישות המידע הביומטרי וחובות תום הלב החלות על מעסיקים ביחסי עבודה, על המעסיקים לבחון את נחיצות שמירת המידע הביומטרי המוחזק על ידם, ולפעול לצמצום המידע (לרבות באמצעות מחיקתו) כאשר המידע אינו נחוץ עוד (למשל, לעניין עובדים שפרשו).
רישום מאגר מידע: במסמך המדיניות, הרשות מביעה עמדה לפיה מידע ביומטרי מהווה "מידע רגיש" כהגדרתו בחוק, ועל כן קובעת כי ארגונים האוספים מידע ביומטרי נדרשים לרשום את המאגר אצל רשם מאגרי המידע בהתאם להוראות החוק.
מסמך המדיניות מלמד על הרגישות הכרוכה, לעמדת הרשות, באיסוף ושימוש במידע ביומטרי של עובדים לבקרת נוכחותם בעבודה, וכן על החשיבות שמקנה הרשות להתנהלות מושכלת ומידתית מצד המעסיקים באיסוף ושימוש במידע כאמור. חשוב שכל מעסיק יוודא כי הוא עומד בחובות המוטלות עליו בעת איסוף ושימוש במידע ביומטרי של עובדים לבקרת נוכחותם במקום העבודה.
ניתן להעביר הערות למסמך המדיניות עד ליום 18.08.23, באמצעות כתובת הדוא"ל: ppa@justice.gov.il. בשורת הנושא יש לציין "מסמך בנושא מידע ביומטרי במקום העבודה".
