סיכום וובינר: הסכמה דיגיטלית
המסגרת החוקית בישראל בתחום הגנת הפרטיות נשענת בעיקר על עקרון ההסכמה כבסיס לעיבוד מידע אישי. מודל זה, המייחד את הדין הישראלי, מעמיד אתגר לא פשוט בעידן הדיגיטלי הנוכחי – בו נפח עיבוד המידע ותדירותו הולכים וגדלים, תהליכי העיבוד הופכים מורכבים, ולעיתים קשה לאדם הממוצע להבין את השלכותיהם באופן מלא.
בעקבות פרסום גילוי דעת של הרשות להגנת הפרטיות, המחדד את עמדתה באשר לפרשנות המשפטית של דרישת ההסכמה על פי הדין, קיים המכון הישראלי למדיניות טכנולוגיה ב-11 במאי 2025 וובינר בנושא. הוובינר עסק באתגרים המרכזיים שמציב המצב המשפטי הקיים, ובדיון בפתרונות אפשריים שיאפשרו שמירה על פרטיות תוך התאמה למציאות הדיגיטלית המתפתחת.
להלן עיקרי הדברים שנאמרו בוובינר.
ניתן לצפון בהקלטת הוובינר המלא (כשעה) כאן.
ניתן לעיין בהערות של המכון הישראלי למדיניות טכנולוגיה על גילוי הדעת של הרשות כאן.
פתיחה: עו”ד עמית אשכנזי, מומחה בתחומי מדיניות משפט וטכנולוגיה, לשעבר ראש המחלקה המשפטית במערך הסייבר הלאומי
הוובינר מתקיים בעקבות פרסום גילוי הדעת של הרשות בנושא הסכמה מדעת. אנחנו נעסוק בנושא “ההסכמה מדעת” משלוש זווית של פרטיות: מחקר מדעי החברה, השפעת גילוי הדעת על הפרקטיקה המשפטית של ארגונים, ופרשנות משפטית שמבקשת להתמודד עם האתגרים בתחום זה.
ד”ר דימה אפשטיין, מרצה בכיר, החוג לתקשורת ובית הספר למדיניות ציבורית, האוניברסיטה העברית
ד”ר אפשטיין הציג מבט על הסכמה ופרטיות מחוץ לשדה המשפטי, מנקודת מבט של מדעי החברה, תוך התמקדות בהתנהגות בפועל של אנשים ובתובנות מחקריות.
רקע: שורהשל מחקרים מצביעים על כך שאנשים לוחצים על כפתור “אני מסכים” לתנאי שימוש ומדיניות פרטיות מבלי להתעמק במה שהם אומרים ואם מתעמקים, יש להם הבנה חלקית של התוכן (האמור מתבסס על מחקרים שהוצגו בוובינר).יש חוקרים שמטילים ספק ברעיון “הסכמה מדעת” וטוענים שהוא מרוקן מתוכן לאור לאור תוצאות המחקרים אלו.
השאלה המרכזית: מה המחקר היום יכול להציע לחשיבה רגולטורית על הסכמה מדעת?
חשיבה על פרטיות כרעיון רב ממדי:
- פרטיות אופקית (חברתית): מתייחסת ליחסי פרטיות בין פרט לסביבתו החברתית (חברים, שיתוף מידע בתוך קבוצה).
- פרטיות אנכית: מתייחסת ליחסי פרטיות בין הפרט לבין מוסדות (ממשלה, גופים עסקיים, פלטפורמות גדולות).
קיים מתח בין האוריינטציה האופקית לאנכית, עם השלכות לשיח מדיניות. מחד, הפרטיות האופקית יותר נגישה לציבור המשתמשים וזו מסגרת החשיבה הדומיננטית בקרבם. מאידך, קובעי המדיניות ופעילי זכויות אדם מדגישים את הפרטיות האנכית. לעתים, מתח זה מנוצל להבניה של כוח כפי שעולה ממחקר של שימועים בקונגרס האמריקאי והפרלמנט האירופי לאחר פרשת קמברידג’ אנליטיקה: מחוקקים התמקדו בפרטיות אנכית, בעוד פייסבוק (מרק צוקרברג) הדגישו היבטים אופקיים, כפי שגם מודגש באפשרויות ניהול הפרטיות על גבי הפלטפורמה. המתח קריטי כאשר מבקשים הסכמה מדעת ליחסים האנכיים של פרטיות.
השלכות נוספות על תחום מדיניות הפרטיות
- אוריינות דיגיטלית או ספציפית לפרטיות – אוריינות גבוהה יותר מסבירה, חלקית, את הנכונות להגן על פרטיות. מחקר הראה שאנשים מהדואגים לפרטיותם נוטים ללמוד יותר על הנושא – אך אוריינות זו ניבאה רק התנהגויות הגנה אופקיות, לא אנכיות.
- תוצאות של “עייפות” מפרטיות – מודל מחקרי מורכב יותר הראה שככל שאנשים יודעים יותר על פרטיות, כך הם פחות מאמינים ביכולתם להגן על פרטיותם, ומשקיעים פחות בהגנה עליה (במיוחד בהקשר האנכי).
- יש לקחת בחשבון איך אנשים חושבים על פרטיות, ואיך יש להתייחס לבניית הכוח ביחסים בין נושאי המידע לבעלי השליטה. רעיונות חלופיים שנבחנו כוללים: תצוגה גרפית של תנאים, הבניית מסמכי הסכמה, והעברת סמכות ההחלטה לצדדים שלישיים מקצועיים הזוכים לאמון רב יותר.
לסיכום לתפיסת ד”ר אפשטיין העברת האחריות להגנה על הפרטיות אל הפרט אינה ציפייה יישומית ואיננה הוגנת בממציאות של נתוני עתק וקישוריות מוגברת.
לעיון במצגת של ד”ר דימה אפשטיין כאן.
עו”ד דן אור-חוף – בעלים אור-חוף עורכי דין, מייסד ומנכ”ל ב-Clearpath LTD. ושותף מייסד ב-Stand Alliance
עו”ד אור-חוף בחן את גילוי הדעת של הרשות דרך עדשת הפרקטיקה והשוק.
הנחות מוצא ביחס לרגולציה (הסדרה):
- השפעה – איך ההסדרה הכתובה משפיעה בפועל על יכולת הארגונים לממש אותה.
- ודאות – חוסר ודאות רגולטורית פוגע ביכולת השוק להתנהל תקין.
- תזמון – האם ההסדרה מתאימה לעיתוי הספציפי.
- יחס לחוק – איך הפרשנות הרגולטורית מתכתבת עם החוק והתקנות הקיימות.
ביקורת על גילוי הדעת:
- אמירה ביחס לתפקיד הרגולציה – בעקבות חוק עקרונות האסדרה, יש לקחת בחשבון השפעות כלכליות וחברתיות ועלות הציות להסדרה במיוחד על עסקים קטנים ובינוניים. גילוי הדעת מוסיף דרישות שמחמירות ומקשות על השימוש בהסכמה, כאשר יש ספק אם הדרישות יובילו למודעות גבוהה יותר, כאשר הדרישות מטילות עלויות. נראה שהרשות לא ביצעה הערכה כזו קודם לפרסום טיוטת גילוי הדעת.
- חוסר ודאות
- חובת יידוע – גילוי הדעת הופך את חובת ההודעה בסעיף 11 לחובה “מינימלית”. הוא משתמש במושגי שסתום כמו “במקרים מסוימים” שמשאירים שיקול דעת רב לרשות ומעט הנחיה והבניית שיקול דעת לארגונים.
- הסכמה משתמעת (“מכללא”) – גילוי הדעת “מוריד בדרגה” הסכמה משתמעת הקיימת במפורש בחוק, ויוצר “חזקת אשם”, לפיה ארגון המסתמך עליה יצטרך להתאמץ יותר להוכיח את לגיטימיותה. עמדה זו אינה לוקחת בחשבון גם את המשמעויות הכלכליות של הדרישה להסכמה מפורשת, שהיא עשויה להיות תהליך יקר הרבה יותר ובלתי ישים.
- חזרה מהסכמה – התנאים לכך לא מוגדרים בצורה ברורה וגם בהקשר הזה לא נלקחות בחשבון העלויות הכרוכות בכך וההסתמכות על ההסכמה שניתנה.
- “רצון חופשי” – הרשות מבקשת להכיל מונח זה על כלל הטרנזקציות הדורשות הסכמה. “רצון חופשי” הוא מונח עמום ופילוסופי. העובדה שהופיע בפסקי דין של בית הדין לעבודה בהקשרי הסכמת עובדים אינה מצדיקה את השלכתו על כלל השוק. לא ברור מה המשמעות בפועל, ומה העלויות ליישום.
- “טקטיקות אפלות” – הרשות קובעת שאסור להשתמש בטקטיקות אפלות להשגת הסכמה. זהו מונח טעון שדורש שיח עמוק, ושימוש בו ללא מתן מטען אמיתי והכוונה להתנהגות נכונה (כמו למשל מסמך מפורט של ה- EDPB האירופי) פוגם בודאות.
- תזמון ויחס לחוק – התזמון של גילוי הדעת בעייתי כי חברות נערכות לתיקון 13 המורכב, וזאת בתקופה כלכלית לא פשוטה. שלוש פעמים נדרש המחוקק להגדרת ההסכמה – כשהחוק חוקק ב – 1981, כשהוסף הביטוי מדעת להגדרת ההסכמה ב – 2007 ולאחרונה במסגרת הדיונים על תיקון 13 ששינו מהותית את ההגדרות בחוק. המחוקק לא הוסיף רצון חופשי להגדרה לא יצר ריבוד שמנחית את ערך ההסכמה המשתמעת ולא יצר זכות חזרה מהסכמה.
הצעה חלופית:
במקום להקשיח את השימוש בהסכמה, הרשות יכלה לפתח בסיס חלופי לעיבוד מידע. לרשות מסורת של אקטיביזם בהכנסת עקרונות לחוק. אפשר לבנות תזה שמתבססת על סעיף 18 לחוק (הגנות), המאפשרת שימוש במידע אישי בתום לב לצורך הגנה על אינטרסים לגיטימיים או עניין אישי כשר. זה יכול לכלול צרכים ברורים כמו הגנת סייבר, מניעת הונאות, התגוננות מתביעות, תקשורת שוטפת עם לקוח, ואספקת השירות. צרכים כאלה הם בגדר ציפיות סבירות של אנשים, ולא באמת דורשים גילוי פרטני ומייגע. הרשות יכולה להנחות את השוק אילו שימושים נחשבים לגיטימיים במסגרת הגנות אלו, מה שייצר ודאות במקום חוסר הודאות שיצר גילוי הדעת.
לעיון במצגת של עו”ד דן אור-חוף כאן.
עו”ד רבקי דב”ש – עמיתה בכירה, המכון הישראלי למדיניות טכנולוגיה (FPF – Israel)
עו”ד דב”ש הציעה מודל לפרשנות משפטית שתאפשר לקיים את עקרונות ההגנה על הפרטיות בצורה מעשית יותר, תוך התחשבות במציאות. היא הדגישה את החשיבות של מחקרים אמפיריים ועלויות על השוק בקביעת מדיניות.
מאפייני החוק הישראלי – החוק הישראלי משלב הגנת פרטיות קלאסית (Privacy) עם הגנת מידע אישי (Data Protection). זהו מצב משפטי ייחודי בעולם, והחיבור בין השניים יוצר מורכבות. כמו כן, ההסדרים הקיימים בחוק בנושא הגנת מידע אישי חסרים מאוד. תיקון 13 אמנם מגביר אכיפה, אך אינו מרחיב מספיק את ההסדרים המהותיים, כך שהקושי ביישום הוראות החוק יועמק. הדברים נהיים מורכבים יותר לאור הטכנולוגיה המתקדמת ביחס לחוק מ-1981. לפיכך יש צורך בפרשנות יצירתית כדי לייצר ודאות בהיעדר חקיקה מתאימה.
בניתוח הוראות החוק, יש לקרוא את סעיף 3 (הסכמה) יחד עם סעיף 18 (הגנות). אם הרשות מכניסה את סעיף 3 לענף הגנת המידע, היא מחויבת גם להתייחס לסעיף 18. במקום דרישה גורפת להסכמה מפורשת בעייתית, יש להגדיר מתי היא נדרשת על מנת שתייצג שליטה והבנה אמיתית.
שאלות מנחות לבחינת הצורך בהסכמה:
- האם עיבוד המידע = פגיעה בפרטיות (לא כל עיבוד מידע פוגע בפרטיות הקלאסית)
- האם עיבוד המידע בגדר “מטרה נלווית”
- האם לגיטימי לפגוע בפרטיות (קיימת הגנה לפי סעיף 18)
- האם אין חלופה סבירה אחרת (סעיף 20(א))
- האם הפגיעה היא מידתית (סעיף 20(ב))
- הצעה לקביעת מבחנים להטיית הכף לדרישת הסכמה (רשימה לא סגורה) – זהות נושא המידע, הציפייה הסבירה של נושא המידע לשימושים במידע, והאם ישנה חלופה אמיתית לנושא המידע אם יתנגד לעיבוד המידע אליו מתבקשת הסכמה (מה המשמעות של חוסר הסכמה).
לסיכום: יש צורך בהתוויה של “מה כן אפשר לעשות” ולא רק “מה לא”. יש להשען על העוגנים בחוק וללמוד מה- GDPRשיש לו בסיסי עיבוד שונים מעבר להסכמה. החשש הוא שחוסר בהירות כיום יוביל לריבוי הליכים משפטיים על חשבון הציבור .
לעיון במצגת של עו”ד רבקי דב”ש כאן.
סיכום על ידי המנחה (עו”ד עמית אשכנזי) והדוברים:
עו”ד אשכנזי סיכם שהדיון מציף את המתח בין העקרונות המופשטים ליישום המעשי. תיקון 13 אמנם מרחיב כלי אכיפה, אך לא ברור איזה עיצום כספי רלבנטי להפרת גילוי הדעת. בנוסף, גילוי הדעת עוסק בהסכמה מדעת ללא שהוא מתייחס באופן קוהרנטי לחובות אחרות החלות על בעלי מאגרי מידע, כגון חובות הגילוי, הגבלת המטרה, והנחיות קיימות של הרשות. לבעלי תפקידים בארגונים (כמו DPO ) קשה לנווט בחוסר הוודאות, במיוחד לגבי “חופש הרצון” והצורך להוכיח אותו בעתיד. למרות חשיבות הפרטיות, יש צורך בכללים ברורים ומעשיים.
הדוברים חזרו והדגישו שהסכמה היא מנגנון בעייתי. יש לעצב את הדרישה המשפטית להסכמה באופן שמודע לקשיי ההסכמה, וממנף את החובות החלות על הגוף המעבד את המידע (החברה/ארגון) כדי לצמצם את הסיכונים לפרטיות. ניתן לעשות זאת באמצעות הנחיה מסודרת של הרשות שתבסס שימוש במידע לצרכים לגיטימיים במסגרת הגנות החוק (סעיף 18), במקום להקשיח את מנגנון ההסכמה הבעייתי. זה יספק את הוודאות שהשוק זקוק לה.
