הטור החודשי בנושא הגנת הפרטיות בארץ ובעולם 12-2023

בית הדין קבע: הצבת מצלמות במקום העבודה הינה עילה מוצדקת להתפטרות כדין

אחת הסוגיות שמטרידות היום עובדים היא החשש מפגיעת המעסיק בפרטיות שלהם. אחד האמצעים שמעסיקים עושים בו שימוש נרחב ויש בו פוטנציאל של פגיעה בפרטיות הוא מצלמות אבטחה ומעקב המותקנות במקומות עבודה רבים. פסק דין חדש של בית הדין לעבודה קובע כי גם במקרים בהם התקנת מצלמות במקום העבודה נעשו באופן מוצדק אך הדבר נעשה ללא היוועצות או יידוע העובדים וללא מתן הסבר מקדים, וכי ניתן להוכיח שיש קשר ישיר בין הצבת המצלמות לבין החלטת העובד להתפטר, ישנה אפשרות כי מדובר בפגיעה שיש להכיר בה כעילה להתפטרות בדין מפוטר. בא כוח המעסיקים מסר בתגובה להחלטת בימ"ש כי "מדובר בפסק דין בעל השלכות רוחב שיפגע בעסקים רבים בעידן המודרני שנדרשים להתקין מצלמות בשטח פעילותם, וכעת הם זקוקים להסכמת עובד זה או אחר. בכוונתנו להביא את הסוגייה לבית הדין הארצי לטובת כלל העסקים בישראל". 

IOT והגנת הפרטיות גם בשימוש ביתי

מוצרי IoT (Internet of Things) הוא מושג המיוחס לשימוש במכשירים חשמליים המצוידים בחיישנים הקולטים ואוספים מידע מהסביבה בה הם נמצאים (כגון נתוני תנועה, טמפרטורה, קול ומיקום), והמעבדים אותו למטרות ולפעולות שונות. בשנים האחרונות, במסגרת הפיכתם של בתים ל"חכמים", אנו רואים עלייה בשימוש במוצרים אלה במרחב הביתי. שימוש במוצרים אלה מהווים, הלכה למעשה, הכנסה של מערכות מעקב אל תחומי המרחב האינטימי ביותר של חיי הפרט. מוצרי הבית החכם שלנו אוספים כמויות לא רגילות של נתונים, שיכולים לגלות עלינו הרבה יותר ממה שאנחנו חושבים. לאור סיכוני פרטיות רבים הכוללים, בין היתר, דליפה או חשיפת מידע אישי עקב פריצה למוצרים שאינם מאובטחים כראוי וכן שימוש במידע הנאסף לצורך אימון תוכנות בינה מלאכותית שונות לשיפור וייעול המכשירים או למטרות אחרות, פרסמה הרשות להגנת הפרטיות מסמך המלצות והנחיות בנושא "פרטיות ושימוש במוצרי IoT ביתיים ובבתים חכמים", הן עבור משתמשים במוצרים אלה והן עבור חברות המספקות שירותים ומוצרי "בית חכם". להלן תמצית ההמלצות של הרשות למשתמשים במוצרים אלה: 

• יידוע של כלל באי הבית בדבר השימוש במוצרים העלולים להקליט או לצלם אותם ברשות היחיד.
• הימנעות מהתקנה של מוצרים אלה במקומות אינטימיים, כגון: מקלחת, שירותים וחדרי שינה.
• שינוי סיסמאות ברירת המחדל של אותם מכשירים.
• הימנעות מלקשר מוצרים אלה לחשבונות ברשתות חברתיות.
• העדיפו רכישה של מוצרים מחברות המציעות הגנת פרטיות וסייבר מתקדמות ובחנו את מדיניות הפרטיות שלהם.
• הקפידו לבצע עדכוני תוכנה למוצרים בהתאם להוראות היצרן.

 להלן תמצית ההמלצות של הרשות עבור חברות המספקות שירותים ומוצרי "בית חכם":

• עמידה בהוראות חוק ותקנות הגנת הפרטיות, ופרט תקנות הגנת הפרטיות (אבטחת מידע).
• הסדרה והגבלת הרשאות הגישה של עובדיהן למאגרי המידע ולמוצרי הבית החכם.
• הטמעת תהליכים של הנדסת פרטיות  (Design by Privacy)ותפיסה של "פרטיות כברירת מחדל" – Privacy by Default.
• שימוש באמצעים לחיזוק ההגנה על המידע האישי הנאסף במסגרת שימוש במוצרים אלו )כגון שימוש בכלים להצפנת המידע ותעבורת התקשורת אל המוצר וממנו, ובכלים להתממת המידע(.
• עדכון משתמשים פוטנציאליים, בטרם רכישת המוצר או השירות, בדבר סיכוני הפרטיות ואבטחת המידע הכרוכים בשימושם.
• עריכת תסקיר השפעה על פרטיות בשלב מוקדם של תכנון מערכות המידע.

הרשות להגנת הפרטיות פרסמה מדריך המלצות להתנהלות הציבור בשימוש בקונסולות משחק בצורה בטוחה ומאובטחת בעידן הדיגיטלי, קונסולות משחקי וידאו מציעות שער לעולמות וירטואליים שובי לב, וחוויות הכובשות את לבם ומוחותיהם של מיליוני אנשים בעולם, כולל ילדים ובני נוער. מתחת לפיתוי של הרפתקאות וירטואליות ואינטראקציות מרובות משתתפים, קיים איום משמעותי על פרטיותם של חברי קהילת הגיימרים והגיימריות הווירטואלית. במסמך המלצות שמפרסמת הרשות להגנת הפרטיות לציבור הרחב, נסקרות הסוגיות הקריטיות סביב הפרטיות במשחקים אלה. להלן תמצית ההמלצות של הרשות: 

• הפעלת אימות דו-שלבי שישמש כשכבת אבטחה נוספת מעבר לסיסמה בלבד, בפרט אם החשבון כולל אמצעי תשלום או תוכן בעל ערך. אימות זה מפחית את הסיכון לגישה לא מורשית על ידי דרישת קוד בנוסף לסיסמה.
• התאמת הגדרת הפרטיות באופן יזום כדי להחליט לבד אילו פרטים אישיים ישותפו עם אחרים ואילו לא במקום להסתמך על ברירת המחדל שקבועה בקונסולה.
• התאמת שיתוף המידע קונסולות משחקים רבות אוספות נתונים שונים על השימוש של השחקנים. אמנם אי אפשר לסרב לחלוטין לאיסוף הנתונים, אך ניתן להגביל אותו ולהשבית את שירות "ההתאמה האישית", המשתמש בנתונים אישיים כדי להמליץ על מוצרים אחרים.
•  אי שיתוף נתוני סאונד - השבתת המיקרופון המובנה בשלט שפעיל תמיד באמצעות שינוי ההגדרות ב-PS5. 

טקסט לדוגמא

סמכויות שב"כ מתרחבות

משרד ראש הממשלה פרסם תזכיר חוק שיהווה את התיקון המשמעותי הראשון לחוק השב"כ ונותן לשירות סמכויות משמעותיות ורחבות. פרסום התזכיר מקנה יכולת גישה ואיסוף מידע בסתר ובלי ידיעת או הסכמת בעלי המאגר, מכל מאגר מידע הנחוצים לשירות לצורך מילוי תפקידו ובכלל זה מאגרי מידע המוגדרים רגישים כגון בעלי מידע ביומטרי, דעות פוליטיות, אמונות דתיות, העדפות מיניות, יחסים עם בני משפחה והתנהגות ברשות יחיד. עם אישור התזכיר מתרחבות סמכויות השירות לצותת למידע מתעבורת אינטרנט של ספקים. סמכות משמעותית נוספת שמבקש תזכיר החוק להקנות הינה הנחת תשתית משפטית לשימוש בתוכנות ריגול במחשבים ומכשירי טלפון ניידים, כדוגמת 'פגסוס' עם קבלת הסמכות לבצע חיפוש וביצוע שינויים בחומר מחשב דוגמת מחיקה או שיבוש שלו ללא נוכחות או ללא ידיעת הבעלים, במידה והדבר דרוש על מנת למנוע פעילות טרור או ריגול.   

פניית הרשות להגנת הפרטיות לחברות אחסון ועבוד המידע

במסגרת טיפול הרשות באירועי אבטחת המידע עם פרוץ מלחמת "חרבות ברזל" והחבירה לארגונים בהם התרחש אירוע אבטחת מידע, זוהו מספר הפרות של החוק והתקנות להגנת הפרטיות, אשר מנוצלות באופן נרחב על ידי תוקפים המנסים להגיע למידע אישי ולעשות בו שימוש לרעה. לאחרונה אף זוהתה עליה במספר אירועי אבטחת מידע, במגזר חברות האחסון ועיבוד מאגרי המידע. עקב כך פנתה הרשות להגנת הפרטיות לחברות המעניקות שירותי מסוג זה - ניהול ואחסון מידע, לצורך מעקב ובקרה אחר עמידתן בדרישות חוק הגנת הפרטיות, התקנות שתוקנו מכוחו, וכן התקנות שתוקנו בחירום. הרשות פנתה בדרישה לקבלת ידיעות ומסמכים לצורך שיפור רמת אבטחת מידע בחברות אחסון אתרים ועיבוד מאגרי מידע וכוללת רשימת פעולות מידיות שעל החברות לבצע לצורך הגברת רמת האבטחה של מאגרי המידע ומערכות המאגר שלהן, להקטנת הסיכוי לאירועי אבטחה ודלף מידע אישי. 

אושרה הצעת החוק הצעת החוק להתמודדות עם תקיפות סייבר חמורות במגזר השירותים הדיגיטליים ושירותי האחסון

 מערך הסייבר, השב"כ והמלמ"ב יהיו רשאים, במקרה של תקיפת סייבר, לתת הוראות לגוף הנתקף לביצוע פעולה לצורך איתור התקיפה, מניעתה או בלימתה - כך אושר סופית בכנסת . הצעת חוק זו נחקקת כהוראת שעה לשבעה חודשים ונועדה לתת מענה אפקטיבי להתמודדות עם האתגרים הנצבים בפני מדינת ישראל בתחום הסייבר. ככל שהספק הנתקף לא יפעל באופן הולם ובתוך פרק זמן סביר לטיפול בתקיפת הסייבר החמורה ולא יגיש תצהיר על עמידתו בתקן אבטחת סייבר שמוגדר בחוק, יהיה רשאי עובד מוסמך בכל אחד מהגופים הרלוונטים שצוינו, לתת לספק הנתקף הוראות לביצוע פעולה לצורך איתור התקיפה, מניעתה או בלימתה וזאת מתוך מטרה להגן על האינטרס הציבורי ולהפחית את מידת הנזק שעלולה להיגרם מתקיפות סייבר חמורות. 

הגנת הפרטיות בעולם

קבוצת תקשורת ספרדית תובעת את META בגין "הפרה שיטתית ומסיבית של תקנות הגנת המידע האירופאיות"

ב 5 לדצמבר 2023, קבוצה המייצגת 83 כלי תקשורת ספרדיים הגישה תביעה בסך 550 מיליון יורו נגד מטא, הבעלים של פייסבוק, בטענה לתחרות לא הוגנת בשוק הפרסום. בתביעתם נטען כי השימוש המסיבי והשיטתי של מטא במידע אישי של משתמשי פלטפורמות פייסבוק, אינסטגרם וואטסאפ מעניק לה יתרון בלתי הוגן בעיצוב והצעת מודעות מותאמות אישית, שלדבריהם מהווה תחרות בלתי הוגנת. כמו כן, נאמר שבכל מדינה אחרת באיחוד האירופי, ניתן לפתוח באותו הליך משפטי, שכן מדובר בהפרה לכאורה של התקנות האירופיות. 

סינגפור מחזקת את מאמצי ההגנה על נתונים אישיים ברחבי העולם

ב-1 בדצמבר 2023 הודיעה הוועדה להגנה על נתונים אישיים (PDPC) של סינגפור כי חתמה על מזכר הבנות (MoU) עם המכון הלאומי לשקיפות, גישה למידע והגנה על נתונים אישיים (INAI) של מקסיקו לחיזוק שיתוף הפעולה בנושא הגנה על נתונים אישיים. מזכר ההבנות עוסק בפיתוח מנגנוני העברת נתונים תואמים, הקלה על זרימת נתונים מהימנה חוצת גבולות וטיפוח חדשנות טכנולוגית, כולל גם חילופי מידע, שיתוף שיטות עבודה מומלצות ומחקר משותף בנושאי פרטיות והגנה על נתונים.  יתר על כן, באותו תאריך, PDPC חידשו את מזכר ההבנות עם משרד נציב המידע האוסטרלי (OAIC) כדי להעמיק את שיתופי הפעולה בנושא הגנה על נתונים אישיים. המזכר כולל שיתוף חוויות, החלפת שיטות עבודה מומלצות ומתן סיוע הדדי באירועי נתונים אישיים חוצי גבולות המפרים את חקיקת הגנת הנתונים של כל מדינה. 

המשטרה יכולה לרגל אחר הודעות הדחיפה שלך (Push Notification) ב- iOS וב- Android

ממשלות ורשויות החוק השונות ברחבי העולם עוקבות אחר משתמשי סמארטפונים באמצעות הודעות הדחיפה של האפליקציות שלהם, כך הזהיר סנאטור אמריקני. הודעות אלה יכולות לחשוף באילו אפליקציות אדם משתמש, יחד עם מידע אחר שעשוי להיות רלוונטי לחקירות של רשויות אכיפת החוק. במכתב שנשלח למשרד המשפטים נכתב כי אפליקציות מכל הסוגים מסתמכות על הודעות דחיפה כדי להתריע בפני משתמשי סמארטפונים על הודעות נכנסות, מבזקי חדשות ועדכונים אחרים. מה שמשתמשים לעתים קרובות לא מבינים הוא שכמעט כל ההודעות הללו עוברות דרך השרתים של גוגל ואפל. זה נותן לשתי החברות תובנה ייחודית לגבי התנועה הזורמת מהאפליקציות האלה למשתמשים שלהן, ומציב אותן "בעמדה ייחודית להקל על מעקב ממשלתי אחר האופן שבו משתמשים עושים שימוש באפליקציות מסוימות", אמר ויידן. הוא ביקש ממשרד המשפטים "לבטל או לשנות כל מדיניות" שהפריעה לדיונים ציבוריים על ריגול הודעות דחיפה. 

EDPB רואה ביישום GDPR מוצלח, אך מדגישה את הצורך במשאבים מספיקים כדי להתמודד עם אתגרים עתידיים

המועצה האירופית להגנה על נתונים (EDPB) אימצה את תרומתה לדו"ח הנציבות האירופית על יישום התקנה הכללית להגנה על נתונים (GDPR), וקבעה כי ה- GDPR יושם בהצלחה בחמש וחצי השנים הראשונות. עם זאת, ה-EDPB מדגיש את החשיבות של משאבים מספיקים כדי להתמודד עם אתגרי העתיד, וקורא למחוקקים לאמץ תקנה חדשה בנושא אכיפה חוצת גבולות. ה-EDPB מילאה תפקיד משמעותי בקידום ציות ואכיפה של ה-GDPR באמצעות מסמכי הדרכה ושיתוף פעולה בין רשויות הגנת המידע (DPAs) ה-EDPB מדגיש גם את הצורך במשאבים כדי להתמודד עם הנוף הטכנולוגי המתפתח, חקיקה חדשה ועומס עבודה מוגבר. בנוסף, ה-EDPB מדגיש את החשיבות של פיתוח החלטות התאמה להעברות בינלאומיות ושיתוף פעולה אכיפה יעיל עם מדינות שלישיות.   

אפל וגוגל התבקשו בהעברת מידע לממשלות

מדי יום נשלחות למשתמשי סמארטפונים מהאפליקציות השונות הודעות "פוש" רבות העוברות דרך השרתים והמערכות של אפל או גוגל. העדכונים מגיעים מאתרים כגון אתרי חדשות, אפליקציות מסרים, הוראות ניווט ועדכוני מזג אוויר ועוד, וכוללים מידע היכול לחשוף פרטים אישיים ורגישים על המשתמש דוגמת מיקומו, הרגליו האישיים והקשרים וההתקשרויות החברתיים והעסקיים של המשתמש. במכתב שנשלח למחלקת המשפטים של ארה"ב נחשף כי ממשלות וסוכנויות ממשלתיות שונות ברחבי העולם חייבו את אפל וגוגל להעביר להן מידע מפורט אודות אותן הודעות שנשלחו למשתמשי אייפון ואנדרואיד. הנתונים שמעבירות החברות גוגל ואפל, כוללים מטא-מידע אודות הודעות הפוש כגון איזו אפליקציה שלחה את ההודעה ומתי לצד חשבון האפל או הגוגל של מקבל ההודעה, במקרים מסוימים גם מידע לא מוצפן כמו הוראות רקע של האפליקציה או אפילו טקסט הפוש עצמו.

טור זה מהווה תקציר אירועים וחדשות שפורסמו ברשת, ואין לראות בו תחליף לייעוץ משפטי, רגולטורי או טכני. פריימסק אינה אחראית למהימנות המידע ושמורה לה הזכות לעדכן ולתקן את המידע בכל עת.