עקרון ההסכמה הוא עיקרון מרכזי בדיני הפרטיות בישראל. על פי עיקרון זה, בהיעדר הרשאה, פגיעה בפרטיותו של אדם תתאפשר רק בהסכמתו ורק בנסיבות בהן יש לו את היכולת להחליט איזה מידע הנוגע לו יפורסם, למי, ולאילו מטרות. הסכמה משקפת גם את יכולתו של אדם לשלוט במידע אודותיו. בחשיפה זו, הרשות להגנת הפרטיות מציגה ומבהירה את עמדתה בנוגע ליישום העיקרון לאור המציאות הדיגיטלית המתפתחת, וכן בנוגע לתחולתו של חוק הגנת הפרטיות, התשמ"א-1981.
החשיפה משקפת את הפרשנות המשפטית שתנקוט הרשות בעת ובעונה אחת לצורך הפעלת הסמכויות השונות שהוקנו לה על פי דין, לרבות פיקוח על מילוי הוראות החוק והתקנות מכוחו, רישום מאגר מידע בפנקס מאגרי המידע, לרבות ביטול או השעיית רישום קיים, והטלת קנס מנהלי או סנקציה כספית בגין הפרת הוראות החוק.
החשיפה אינה עוסקת בעת ובנסיבות בהן חלה החובה לבקש את הסכמת בעל המידע לפגיעה בפרטיותו, אלא מציגה את פרשנות הרשות בנוגע לשאלות מהי הסכמה תקפה על פי דיני הגנת הפרטיות, ומהם הכללים לפיהם יש לקבל הסכמה כאמור.
להלן עיקרי החשיפה:
תוכן בקשת הסכמה מדעת והצגתה:
הסכמה לפגיעה בפרטיות, בין אם מפורשת ובין אם משתמעת (כלומר, במשתמע), חייבת להיות מדעת. לפיכך, על מבקש ההסכמה לפעול באופן שיבטיח כי בעל המידע מודע לתוכן הבקשה, למטרותיה, ולהשלכות הסכמתו או סירובו לבקשה.
החשיפה מבהירה כי בחינת עמידה בדרישת ההסכמה "מדעת" תיעשה לא רק ביחס לסוג והיקף הנתונים המוצגים לבעל המידע לצורך הסכמתו, אלא גם ביחס לאופן הצגתם. הסכמה שניתנה מבלי שלבעל המידע ניתנה הזדמנות סבירה להבין את משמעות הסכמתו והשלכותיה, לא תיחשב הסכמה תקפה. לפיכך, יש להקפיד כי תוכן ההסכמה והמידע הנלווה יוצגו באופן ברור, נגיש, פשוט ומובן. יש להקדיש תשומת לב מיוחדת בהקשר זה לאוכלוסיות מיוחדות, כגון אנשים עם מוגבלויות.
בנסיבות בהן קיים פער כוחות בין צדדים, או כאשר מדובר בפעולה בעלת פוטנציאל לפגיעה חמורה בפרטיות, או בנסיבות מורכבות אחרות (כגון שימוש בטכנולוגיה חדשה שמשמעויותיה אינן ברורות די הצורך) – יש לראות בחובה זו חובה מוגברת, ויש לוודא מבקש ההסכמה מציג את כל הנתונים הרלוונטיים להחלטה באופן בולט ופשוט, ובמידת האפשר בנפרד מרכיבים אחרים של העסקה. חוסר פירוט מספק בתהליך ההסכמה עלול להוביל לפגיעה בתוקף ההסכמה.
במקרים בהם שירות מבקש לאסוף מידע למטרות שונות השונות מהותית ממטרת העסקה העיקרית, יש לציין זאת באופן ברור ובולט בעת הצגת מטרות השימוש, ובמידת האפשר בנפרד מרכיבים אחרים של העסקה, טרם מתן ההסכמה.
רצון חופשי, פער כוחות והסכמה "חשודה":
במצבים מסוימים בהם קיים חשש מובנה כי ההסכמה הניתנת היא "חשודה" (כגון הסכמה הניתנת במצב בו קיים פער כוחות ברור בין מבקש ההסכמה לבעל המידע) – נטל ההוכחה כי הסכמה לפגיעה בפרטיות ניתנה מתוך רצון חופשי עשוי ליפול על מבקש ההסכמה. לבחינת האם ההסכמה ניתנה מתוך בחירה ורצון חופשי, ייבחנו, בין היתר:
נסיבות מתן ההסכמה.
עיתוי מתן ההסכמה.
אופן הצגת בקשת ההסכמה (לרבות שימוש מצד מבקש המידע ב"דארק פטרנס" וכלי עיצוב שמטרתם להקשות על בעל המידע להבין את משמעות הסכמתו והשלכותיה).
אופן קבלת ההסכמה (מפורשת או משתמעת; באופן אקטיבי או פסיבי).
זהות הצדדים ויחסי הכוחות ביניהם
במקרים של הסכמה חשודה, רשאי מבקש ההסכמה לנקוט בצעדים שונים – כגון להציע חלופה סבירה או שלא להתנות את קבלת השירות בהסכמה לאיסוף מידע שאינו נחוץ – כדי להוכיח כי ההסכמה משקפת את רצונו החופשי ובחירתו האמיתית של בעל המידע. קיומה של חלופה אחרת העומדת לרשות בעל המידע מצד גורמים אחרים המספקים שירות דומה, יכולה אף היא להיחשב כמענה הולם לטענה כי הסכמת בעל המידע אינה חופשית.
אופן קבלת ההסכמה:
אופן קבלת ההסכמה עשוי להשפיע על תוקפה. גם במקרים בהם ניתן להסתמך על הסכמה משתמעת, מומלץ ככל הניתן לפנות לאדם לקבלת הסכמתו המפורשת, ובפרט במקרים של איסוף מידע רגיש או פעולות שעשויות להוביל לפגיעה חמורה בפרטיות.
ככלל, שתיקתו של אדם, או אי-התנגדותו לאיסוף מידע אודותיו, אינן מהוות כשלעצמן הסכמה תקפה על פי דיני הגנת הפרטיות. מתן הסכמה בעל פה הינו עניין הדורש הוכחה, ולכן מומלץ כי מבקש ההסכמה יתעד אותה באמצעים שניתן להציגם, ובפרט במקרים של איסוף מידע רגיש או בנסיבות בהן קיים פער כוחות בין הצדדים.
ככלל, הסכמה יכולה להינתן באופן אקטיבי (Opt-in) או באופן פסיבי (Opt-out), בהתאם לנסיבות. עם זאת, הרשות מבהירה כי במקרים בהם הסכם כולל סעיפים להסכמה לשימוש במידע אישי לצורך "פרופיילינג" שאינו נדרש או אינו קשור באופן ישיר למטרת שירות בין צדדים בעלי פער כוחות – הסכמה פסיבית אינה מספקת, ויש לקבל הסכמה באמצעות מנגנון הסכמה אקטיבי נפרד (Opt-in).
פגיעה בפרטיות ללא הסכמה – הסתמכות על הגנות:
הרשות מבהירה כי גוף הפוגע בפרטיותו של אדם ללא הסכמתו ומבקש להסתמך לשם כך על הוראות סעיף 18(2) לחוק, חייב לעמוד בדרישת המידתיות (סעיף 20(ב) לחוק). זאת לרבות היכולת להצביע על הטעמים והאינטרסים הלגיטימיים אשר לשיטתו מצדיקים את הפגיעה בפרטיות בעל המידע, ואם לאו, הוא עלול להיחשב כמי ש"פגע במודע בפרטיות במידה העולה על הנדרש באופן סביר" לצורך האינטרסים המוגנים בסעיף 18 ופעל בחוסר תום לב.
חזרה מהסכמה:
במקרים בהם נעשה שימוש במידע אישי על בסיס הסכמה כדין, ובעל המידע מבקש לחזור בו מהסכמתו ולהפסיק את השימוש במידע אודותיו, יש לשקול בקשה זו בחיוב, אף במקרים בהם ההסכמה אינה ניתנת לביטול באופן בלתי חוזר מלכתחילה, ובפרט במצבים בהם המשך השימוש במידע יפגע באופן חמור בפרטיותו של הפונה.
החשיפה מציינת עוד כי יישום אמצעים שונים לחיזוק תהליך ההסכמה – כגון העדפת הסכמה מפורשת על פני הסכמה משתמעת; שימוש במנגנון הסכמה אקטיבי (בניגוד לפסיבי); ושימוש בכלי טכנולוגיים ועיצוביים לפישוט והנגשת דרישת ההסכמה והמידע הנלווה לה (במקרים בהם אמצעים אלו אינם נדרשים על פי דין) – יאפשרו למפעיל להוכיח כי ההסכמה שהתקבלה נתקבלה כדין.