גילוי דעת בנושא הסכמה בדיני הגנת הפרטיות

רשות הגנת הפרטיות פרסמה ביום 25.02.2026 נוסח סופי של גילוי הדעת בנושא "הסכמה בדיני הגנת הפרטיות". המסמך פורסם לראשונה כטיוטה בחודש פברואר 2025 לעיון הציבור ולהגשת הערות, והנוסח הסופי כולל שינויים מהותיים ביחס לטיוטה. אנו מברכים על כך שהרשות ניאותה להידרש להערות הציבור שהובאו בפניה, לרבות הערות שהוגשו על-ידינו.

גילוי הדעת מציג את עמדת הרשות ופרשנותה ביחס לאופן יישום החובה לקבל את הסכמת נושא המידע לעיבוד מידע על אודותיו, קרי מהי הסכמה תקפה לפי דיני הגנת הפרטיות, ומהם הכללים שלפיהם יש לקבלה. גילוי הדעת משקף את הפרשנות המשפטית אשר תנחה את הרשות בהפעלת סמכויותיה, לרבות לעניין הטלת עיצום כספי בגין הפרת הוראות החוק.

להלן עיקרי גילוי הדעת:

הסכמה כבסיס לעיבוד מידע אישי:

עיקרון ההסכמה הוא עיקרון מרכזי בדיני הגנת הפרטיות. חוק הגנת הפרטיות, תשמ"א-1981 (להלן – "החוק") קובע כי איסוף ושימוש במידע אישי הכרוכים בפגיעה בפרטיות יכולים להיעשות מכוח הסמכה בדין או בהסכמת נושא המידע. לפיכך, בהיעדר הסמכה בדין, וכאשר המידע נאסף מכוח הסכמת נושא המידע, שימוש במידע למטרה מסוימת יכול להיעשות רק על יסוד הסכמה שניתנה למטרה זו.

תוכן הבקשה לקבלת הסכמה מדעת:

על הסכמה לעיבוד מידע אישי הכרוך בפגיעה בפרטיות להוות "הסכמה מדעת" (informed consent), בין אם ההסכמה מתקבלת "במפורש" או נלמדת "מכללא" (קרי הסכמה משתמעת הניתנת ללמידה מתוך הנסיבות, הסיטואציה ודרכי ההתנהגות של האדם נושא המידע, וזאת על יסוד הפרשנות הסבירה והמקובלת של אותה התנהגות).
הסכמה מדעת נועדה להבטיח כי ההסכמה ניתנה מתוך בחירה אמיתית ואוטונומית. על מבקש ההסכמה לוודא כי נושא המידע מודע לתוכן הבקשה, למטרותיה ולזכותו לסרב, לאחר שהובא בפניו המידע הדרוש באורח סביר ובצורה מובנת.
כידוע, סעיף 11 לחוק קובע כי בעת פנייה לאדם לשם איסוף מידע המיועד להיכלל במאגר מידע, יש לפרט בפני נושא המידע האם חלה עליו חובה חוקית למסור את המידע או שמסירתו מותנית בהסכמתו ומהן תוצאות אי מתן ההסכמה; את המטרה שלשמה מבוקש המידע; למי יימסר המידע ולשם איזו מטרה; וכן לציין בפניו את זכויות העיון, התיקון והמחיקה לפי סעיפים 13-14 לחוק. בהקשר זה, הרשות הבהירה בגילוי הדעת שתי נקודות חשובות:
- בנוגע לציון הגורמים אליהם עשוי המידע להיות מועבר – עמדת הרשות היא כי ניתן להסתפק, לצורך עמידה בדרישה זו, במידע המפרט בפני נושא המידע את סוג הגורמים, בהתאם לשיוכם המקצועי (כגון "חברות פרסום" או "רשויות אכיפת חוק"), ואין הכרח לציין פרטי זיהוי ספציפיים, כגון שם החברה וכיו"ב. עם זאת, ציון כללי מדי של סוג הגורם אליו יועבר המידע, אשר אין בו כדי ללמד על השימוש שייעשה בו על-ידי אותו גורם (כגון "חברות טכנולוגיה"), עלול להיחשב כאי-עמידה בדרישת רכיב ה"מדעת".
- בכל הנוגע לסוגי המידע הנאסף ולמטרות איסוף והמשך עיבוד המידע – על בעל שליטה להציג בפני נושא המידע פירוט ביחס לכלל סוגי המידע ולכלל מטרות עיבוד המידע, באופן שיאפשר לנושא המידע להבין איזה מידע אישי נאסף על בסיס הסכמתו, ולאילו שימושים. ככלל, הצגה חלקית של פרטי מידע אלה (לרבות תוך שימוש בביטויים כגון "וכיו״ב" ו-״בין היתר") אינה מקיימת את דרישת ההסכמה מדעת.
לעמדת הרשות, עמידה בהוראות סעיף 11 לחוק היא מספקת לשם עמידה בחובת היידוע הקבועה בחוק, אולם אין בה, כשלעצמה, כדי להבטיח עמידה ברכיב ההסכמה "מדעת". בנסיבות מסוימות עשוי מבקש ההסכמה להיות מחויב במתן פירוט נרחב יותר מן הקבוע בסעיף 11, וזאת לשם ביסוס רכיב ההסכמה מדעת. הרשות מבהירה כי נסיבות אלה הינן, ככלל – מצבים שבהם מתקיימים פערי כוח משמעותיים בין הצדדים (דהיינו בין מבקש ההסכמה לבין נושא המידע), או כאשר מדובר בפעולה בעלת פוטנציאל לפגיעה קשה בפרטיות, או בנסיבות מורכבות אחרות (כגון שימוש בטכנולוגיה חדשה שהשלכות השימוש בה אינן ברורות דיין). במקרים אלה, על מבקש ההסכמה להציג, באופן בולט ופשוט, את הנתונים המהותיים הרלוונטיים להחלטת נושא המידע. לפיכך, מדגישה הרשות כי בקשת הסכמה שאינה כוללת את נתוני המידע הנדרשים לגיבוש רכיב ההסכמה "מדעת" עלולה להביא לכך שההסכמה שניתנה לא תיחשב כהסכמה תקפה.
רכיב ההסכמה "מדעת" וסבירותו נבחנים לא רק לפי סוג המידע והיקף פירוט הנתונים המוצגים לנושא המידע לצורך קבלת הסכמתו, אלא גם לפי אופן הצגת המידע. הסכמה שניתנה מבלי שלאדם הייתה האפשרות הסבירה להבין את משמעות הסכמתו והשלכותיה, לא תיחשב הסכמה תקפה. למשל, אתר שתנאי השימוש ומדיניות הפרטיות שלו אינם נגישים בצורה סבירה למשתמשים, או שהמידע בהם מוצג באופן מסורבל, ארוך וקשה להבנה, עלול שלא לעמוד בדרישות לביסוס הסכמה מדעת לאיסוף ולשימוש במידע אישי. לכן, יש להקפיד כי תוכן ההסכמה והמידע הנלווה לה יוצגו באופן ברור, נגיש, פשוט ומובן.
במקרים של שירות המבקש לאסוף מידע למטרות השונות באופן מהותי מתכלית העסקה העיקרית, או המבקש לאסוף ולעבד מידע בעל רגישות מיוחדת באופן שסביר כי אינו תואם לציפייה של לקוחותיו, יש לתת לכך ביטוי ובולטות במסגרת הצגת מטרות השימוש, ככל הניתן בנפרד משאר רכיבי ההתקשרות, בטרם מתן ההסכמה. הסכמה מכללא בנסיבות שכאלו תיחשב תקפה רק בנסיבות בהן קיים קשר סביר בין מטרות איסוף המידע ואופן השימוש בו למאפייני אותו השירות.
במקרים ששירות מסוים מופנה בעיקרו לאוכלוסייה בעלת מאפיינים ייחודיים, כגון אנשים עם מוגבלות, יש לתת על כך את הדעת במסגרת אופן הצגת המידע הנדרש לצורך קבלת ההסכמה, ואופן קבלתה.

רצון חופשי, פערי כוח והסכמה "חשודה:"

על-פי מהותה, הסכמה לפגיעה בפרטיות חייבת להינתן מתוך רצון חופשי.
סוגיית הרצון החופשי בדיני הגנת הפרטיות מתעוררת בעיקר במצבים בהם קיימים פערי כוח בין מבקש ההסכמה לבין נושא המידע. במצבים שכאלו הסכמה לפגיעה בפרטיות עלולה להיחשב כ-"חשודה", קרי כזו שקיים ספק האם ועד כמה ניתן לראותה כהסכמה שניתנה מתוך רצון חופשי, כן ואמיתי.
דוגמאות מרכזיות למצבים של הסכמה "חשודה", כוללות הסכמה הניתנת במסגרת יחסי עבודה (בין מעסיקים לעובדים ולמועמדים לעבודה), הסכמה הניתנת במערכת יחסים שבין צרכן למונופול עסקי והסכמה הניתנת לקבלת שירות חיוני (כגון שירותי תחבורה ציבורית, שירותי בריאות או שירות טכנולוגי חיוני).
לשם בחינת השאלה האם הסכמה ניתנה מתוך בחירה ורצון חופשי ייבחנו, בין היתר: נסיבות מתן ההסכמה, מועד קבלת ההסכמה, אופן הצגת בקשת ההסכמה (לרבות שימוש מבקש המידע ב"טקטיקות אפלות" ובכלים עיצוביים שנועדו להקשות על נושא המידע להבין את משמעות הסכמתו ולהשפיע באופן פסול על החלטתו), אופן קבלת ההסכמה (במפורש או מכללא; באופן אקטיבי או פסיבי) וזהות הצדדים ויחסי הכוחות ביניהם.
במצבים מסוימים, בהם קיים חשש אינהרנטי כי ההסכמה שניתנה היא "חשודה", הנטל להראות כי הסכמה לפגיעה בפרטיות ניתנה מתוך רצון חופשי של אדם עשוי להיות מוטל על כתפיו של מבקש ההסכמה.
במקרים שכאלו יכול מבקש ההסכמה לנקוט אמצעים שונים – כגון העמדת חלופה סבירה או אי-התניית קבלת השירות במתן הסכמה לאיסוף מידע שאינו נדרש באופן סביר לשם מתן השירות – על מנת להראות כי ההסכמה מבטאת את רצונו החופשי ואת בחירתו האמיתית של נושא המידע. גם קיומה של חלופה אחרת העומדת לנושא המידע על-ידי גורמים אחרים המעניקים שירות דומה יכולה להיחשב כמענה הולם לטענה בדבר היותה של הסכמת נושא המידע הסכמה שאינה חופשית.
בנוסף, יישום מהלכים שונים לחיזוק הליך קבלת ההסכמה, כגון העדפת קבלת הסכמה מפורשת ולא מכללא; שימוש במנגנון של הסכמה אקטיבית (בניגוד לפסיבית); ושימוש בכלים טכנולוגיים ועיצוביים לפישוט והנגשת דרישת ההסכמה והמידע הנלווה לה – במקרים שמהלכים אלו אינם מחויבים על-פי הוראות הדין – יאפשר לבעל שליטה להראות כי ההסכמה שקיבל ניתנה כדין.
במצב בו אדם כלל אינו יכול לסרב לפעולה הפוגעת בפרטיותו, יהיה קשה לראות בהסכמתו ככזו שניתנה מתוך רצון חופשי, והדבר עשוי להשליך על תוקפה של הסכמה זו. עם זאת, הרשות מבהירה כי הסכמה עשויה להיחשב כתקפה גם בנסיבות בהן לא עומדת לנושא המידע חלופה מעשית אחרת אלא לתת הסכמתו לשימוש במידע על אודותיו, וזאת כל עוד המידע נחוץ לשם מתן השירות אותו מבקש נושא המידע לקבל.
בנסיבות בהן הסכמה ניתנת במסגרת יחסי עבודה או כאשר על מבקש ההסכמה חלים כללי המשפט הציבורי (כגון משרד ממשלתי, רשות מקומית) – הפגיעה בפרטיות כפופה גם לעמידה בדרישת המידתיות.
שינוי מהותי של תנאי השימוש במידע אישי ללא קבלת הסכמה נוספת, במפורש או מכללא, ייחשב כשימוש במידע שלא על יסוד הסכמה שהתקבלה מדעת ומתוך רצון חופשי.

אופן קבלת ההסכמה:

אופן קבלת ההסכמה עשוי להשפיע על תוקפה. ככלל, הסכמה יכולה להינתן באופן אקטיבי (Opt-in) או פסיבי (Opt-out) וזאת בהתאם לנסיבות, למשל:
- כאשר הסכם כולל סעיפים למתן הסכמה לאיסוף מידע אישי שאינו נדרש למתן השירות, או לשימוש בו למטרות השונות מהותית ממטרת ההסכם (שלגביה ניתנה הסכמה כללית ומפורשת), רצוי שההסכמה במסגרת סעיפים אלו תיעשה במתכונת של הסכמה אקטיבית נפרדת (Opt-in) ולא באופן פסיבי (Opt-out).
- במקרים בהם ההסכם כולל סעיפים למתן הסכמה לשימוש במידע אישי לצרכי "פרופיילינג" שאינו נדרש או קשור ישירות למטרת שירות בין צדדים שביניהם יש פערי כוח, וכן בהקשר של שירותי דיוור ישיר – לא ניתן להסתפק בהסכמה פסיבית, ועל ההסכמה להתקבל במתכונת של הסכמה אקטיבית נפרדת (Opt-in).
- בהקשר הדיגיטלי, עמדת הרשות היא כי שימוש בשירותים דיגיטליים מסוימים עשוי לעיתים ללמד על הסכמה מכללא של משתמשים לאיסוף ועיבוד מידע על אודותיהם במסגרת שימושים אלו. לדוגמה, המשך "גלישת" משתמש באתר אינטרנט לאחר שהוצג בפניו המידע הנדרש לשם קבלת הסכמתו מדעת לאיסוף מידע על אודותיו עם כניסתו לאתר (גם אם הופנה לפירוט נוסף במקום אחר באתר), תיחשב על-פי רוב הסכמה מכללא לאיסוף המידע ושימוש בו. עם זאת, הסכמה מכללא בנסיבות שכאלו תיחשב תקפה רק בנסיבות בהן קיים קשר סביר בין מטרות איסוף המידע ואופן השימוש בו למאפייני אותו השירות. כמו כן, עמדת הרשות היא כי בהקשר הדיגיטלי הסכמה מכללא עשויה להיות ניתנת להוכחה בין היתר באמצעות הדגמת הנסיבות התומכות בקיומה של הסכמה שכזו, לדוגמה באמצעות הצגת המסכים (screens) שהמשתמשים בשירות דיגיטלי מסוים נחשפו אליהם לצורך קבלת השירות, ושבכוחם להעיד על הסכמתם לאיסוף המידע ועיבודו.
- גילוי הדעת מזכיר למשל פסק דין במסגרתו נקבע כי ביחסי עבודה קיימת זיקת גומלין בין עוצמת הפגיעה בפרטיות לבין טיבה של ההסכמה הנדרשת, דהיינו ככל שהפגיעה בפרטיותו של עובד קשה יותר, כך על מעסיק לקבל את הסכמתו המפורשת של העובד לפגיעה, ולא להסתפק בהסכמה הנלמדת מהתנהגותו.
גם במקרים בהם הסתמכות על הסכמה מכללא היא אפשרית, רצוי ככל הניתן לפנות לאדם לקבלת הסכמתו המפורשת, וזאת בעיקר במקרים של איסוף מידע רגיש או נקיטת פעולה העלולה להביא לפגיעה קשה בפרטיות.
ככלל, שתיקתו של אדם, או העדר מחאה מצדו לאיסוף מידע הנוגע אליו, לכשעצמם, לא מהווים הסכמה תקפה לפי דיני הגנת הפרטיות. לגישת הרשות, שתיקה או העדר מחאה יכולים ללמד על הסכמה לפגיעה בפרטיות רק כאשר קיימות נסיבות מהן ניתן ללמוד כי נושא המידע אכן התכוון להעניק את הסכמתו. לצד זאת, בהתאם לדרישה להסכמה מדעת, יש להוכיח כי לנושא המידע עמדה המודעות הנדרשת למתן ההסכמה.
מתן הסכמה בעל-פה היא עניין טעון הוכחה, ועל כן מומלץ כי מבקש ההסכמה יתעד אותה באמצעים הניתנים להצגתה, וזאת בעיקר במקרים של איסוף מידע רגיש או בנסיבות בהן קיימים פערי כוח בין הצדדים.
הסכמה מפורשת או מכללא לשימוש במידע למטרה אחת, אין בה בכדי להתיר שימוש במידע למטרה אחרת. על כן, גם מי שאסף מידע למטרה מסוימת על יסוד הסכמה מכללא, אינו רשאי להשתמש במידע למטרות אחרות, אלא לאחר קבלת הסכמה חדשה לכך מנושא המידע.

חזרה מהסכמה:

הסכמה לפגיעה בפרטיות עשויה, במקרים מסוימים, לכלול גם את זכותו של אדם לחזור בו מהסכמתו, כלומר, לבקש את הפסקת השימוש במידע על אודותיו. לעמדת הרשות, במקרים בהם נעשה שימוש במידע על אדם מתוקף הסכמה שהתקבלה כדין, והאדם מבקש לחזור בו מהסכמתו ולהפסיק את השימוש במידע על אודותיו, מומלץ כי בעלי שליטה יבחנו בחיוב קבלת בקשה זו, ככל האפשר, גם במקרים בהם ההסכמה איננה הדירה מלכתחילה, וזאת במיוחד במצבים בהם המשך השימוש במידע יפגע באופן קשה בפרטיות המבקש, ובמצבים בהם בעל השליטה לא יכול להצביע על אינטרסים לגיטימיים ומשמעותיים להמשך עיבוד המידע.
הרשות מונה בגילוי הדעת דוגמאות לשיקולים העשוים להצדיק אי-מתן אפשרות לחזרה מהסכמה, אלא במקרים שהוראות הדין יחייבו זאת –
- המשך עיבוד המידע הכרחי לקיום חובות רגולטוריות, לצורך קיום דרישות אבטחת מידע, או לשם צרכים לגיטימיים אחרים של בעל השליטה הנובעים מההתקשרות בין הצדדים, כגון לצרכי התגוננות משפטית;
- מקרים בהם פעולת עיבוד המידע כבר הסתיימה ולא מדובר בשירות מתמשך, כגון במקרים של מידע אישי שנמסר לצורך הליכי מיון לעבודה שכבר בוצעו, או במקרים של מסירת מידע רפואי לצורך השתתפות במחקר רפואי, לאחר שכבר נעשה שימוש במידע לצרכי המחקר;
- מקרים בהם יימצא כי קבלת הבקשה אינה אפשרית מבחינה טכנולוגית; ו-
- מקרים בהם בעל השליטה יוכיח כי קבלת הבקשה תחייבו בהשקעת משאבים בלתי סבירה.
יובהר כי אין בחזרה מהסכמה בכדי לפגוע בחוקיות איסוף המידע והשימוש בו שקדמו לה, ככל שההסכמה לאיסוף ולשימוש במידע ניתנה כדין. כמו כן, קבלת בקשה לחזרה מהסכמה תחייב את הפסקת פעילות עיבוד המידע שנאסף על יסוד ההסכמה, אך לא בהכרח את מחיקתו של המידע שכבר נאסף כדין בעת שההסכמה עמדה בתוקף.
במקרים בהם התנהגותו של נושא מידע עשויה ללמד כי הוא מבקש לחזור בו מהסכמתו, או ללמד על כך שההסכמה מלכתחילה ניתנה באופן נקודתי או לזמן מוגבל, מומלץ כי בעל מאגר יפנה לנושא המידע על מנת לבחון האם הסכמתו עומדת בעינה.

עיבוד מידע ללא הסכמה והסתמכות על ההגנות הקבועות בחוק:

הרשות הזכירה בגילוי הדעת כי כל הפוגע בפרטיותו של אדם ללא הסכמתו ומבקש להסתמך לשם כך על ההגנות הקבועות בסעיף 18(2) לחוק, צריך לעמוד בדרישת המידתיות, בכלל זה, עליו להיות מסוגל להצביע על הסיבות והאינטרסים הלגיטימיים המצדיקים, לגישתו, את פגיעתו בפרטיות נושא המידע, ואם לא כן הוא עלול להיות מוחזק כמי ש-"פגע ביודעין במידה גדולה משהייתה נחוצה באופן סביר" לצורך האינטרסים להם ניתנה ההגנה בסעיף 18, וכמי שפעל שלא בתום לב.

גילוי הדעת כולל גם את המלצות הרשות לחיזוק הליך קבלת הסכמה מקוונת, למשל:

בעת פנייה לקבלת הסכמה מקוונת ובניסוח מסמכי מדיניות פרטיות ותנאי שימוש, יש להדגיש ולהבליט את ההיבטים המרכזיים הנוגעים לפרטיות, לאופן השימוש במידע ולתכליות השימוש בו. מומלץ לפשט את הליך קבלת ההסכמה באמצעים כגון סרטוני הסברה, תמונות ואימוג'ים, "באנרים קופצים" להבלטת הדגשים המרכזיים הנוגעים לפרטיות וכלים אינטראקטיביים להגברת המעורבות של משתמשים בהליך קבלת ההסכמה. כמו כן, רצוי להציג למשתמשים רמות שונות של פירוט בדבר איסוף המידע והשימוש בו, ולאפשר להם לשלוט ברמת הפירוט אליה ייחשפו.
יש להימנע מקבלת הסכמה גורפת למתן שירות, ולאפשר למשתמשים להחליט איזה סוגי מידע הם מוכנים כי ייאספו, ולאילו מטרות.
ככל שיש כוונה לאסוף מידע ולהשתמש בו באופן העלול להיות חורג מהמקובל בהקשר של אותו סוג השירות – יש להבהיר ולהדגיש זאת בטרם קבלת ההסכמה ולקבל הסכמה מפורשת לכך. הסכמה מכללא בנסיבות שכאלו תיחשב תקפה רק בנסיבות בהן קיים קשר סביר בין מטרות איסוף המידע ואופן השימוש בו למאפייני אותו השירות.

יצוין כי גילוי הדעת כולל דוגמאות רבות למצבים בהם נדרשת הסכמה לאיסוף מידע אישי ואופן קבלתה, ואנו מזמינים אתכם לעיין בדוגמאות אלו.

נשמח לעמוד לרשותכם לבחינת מנגנוני קבלת ההסכמה בארגון ולעדכון מסמכי מדיניות הפרטיות בהתאם לגילוי הדעת, לרבות התאמת מנגנוני Opt-in/Opt-out, בחינת עיצוב ממשקי המשתמש, בחינה שהארגון אינו עושה שימוש ב"טקטיקות אפלות" ובכלים עיצוביים שנועדו להקשות על נושא המידע להבין את משמעות הסכמתו ולהשפיע באופן פסול על החלטתו, הכנת נוהל חזרה מהסכמה והיערכות לקבלת בקשות לחזרה מהסכמה, וביסוס תיעוד ראייתי לסוגיות שונות העולות מגילוי הדעת.

לעיון במסמך גילוי הדעת בנושא הסכמה בדיני הגנת הפרטיות לחצ/י כאן.

הסקירה לעיל הינה בבחינת תמצית. המידע הכלול בה נמסר למטרות אינפורמטיביות בלבד ואין במידע כדי להוות ייעוץ משפטי.