לקוחות ועמיתים יקרים,

ברצוננו להביא לידיעתכם כי לפני מספר ימים פרסמה הרשות להגנת הפרטיות במשרד המשפטים ("הרשות") מסמך סופי בנושא היבטי פרטיות במעקב אחר עובדים בעבודה מרחוק. הסוגייה של עבודה מרחוק ויכולתו של המעסיק לעקוב אחר פעולותיו של העובד במסגרת זאת תפסה תאוצה של ממש מאז משבר הקורונה והתגברות התופעה של עבודה מהבית. במסמך שפרסמה מציינת הרשות כי במקביל לעלייה שחלה בשנים האחרונות במעבר למתכונת של עבודה מרחוק, חלה גם עלייה בשימוש שמעסיקים עושים באמצעים טכנולוגיים למעקב אחר עובדים שעובדים במתכונת של עבודה מרחוק ("אמצעי המעקב"). מעסיקים רבים נדרשים להתמודד עם השאלה מהם אמצעי המעקב שהם יכולים להפעיל, על מנת להבטיח את האינטרסים הלגיטימיים שלהם.

מאחר שמתכונת העבודה מרחוק מתקיימת על פי רוב במרחב הפרטי והאינטימי ביותר של העובד – ביתו – הרי שהשימוש באמצעי המעקב מציב אתגרים ממשיים בכל הנוגע להגנה על פרטיות העובדים, בני ביתם ומשפחתם (לרבות קטינים). עם זאת, הרשות מדגישה כי מטרת המסמך היא לא לצמצם את מתכונת העבודה מרחוק, אלא להבטיח שהיא תיושם תוך מתן התייחסות הולמת לאותם היבטי פרטיות.

על יסוד האמור, הרשות מפרטת במסמך את הסיכונים המרכזיים לפרטיות בקשר לשימוש באמצעי המעקב, מציגה את עמדתה המשפטית והמקצועית בנושא ואת הנחיותיה והמלצותיה למעסיקים שמאפשרים מתכונת עבודה מרחוק ואשר עושים או מעוניינים לעשות שימוש באמצעי המעקב.

להלן עיקרי עמדת הרשות –

• סיכוני פרטיות: הסיכונים לפרטיות במסגרת השימוש באמצעי המעקב כוללים, בין היתר, איסוף מידע ללא הסכמה (במפורש או מכללא), משטור ופגיעה בתחושת השליטה של העובד על פרטיותו, איסוף וחשיפה של מידע רגיש, איסוף ושמירה של מידע עודף, דלף מידע ושימוש לרעה במידע אישי.

• מידתיות, לגיטימיות ועיקרון צמידות המטרה: דיני הגנת הפרטיות מאפשרים ככלל למעסיק (בכפוף להוראות הדין) להשתמש באמצעי מעקב במקום העבודה – הן במשרד והן מרחוק – ובלבד ששימוש כאמור נעשה באופן סביר ומידתי, למטרה לגיטימית ובעלת זיקה לאינטרסים הלגיטימיים של המעסיק ומקום העבודה. זאת, תוך הקפדה על כללי אבטחת המידע וכלל עיקרון צמידות המטרה. למשל, על מעסיק להימנע משימוש באמצעי מעקב מעבר לשעות בהן מעמיד עצמו העובד לרשות המעסיק, ואם מעסיק מעוניין למנוע גלישה לאתרי אינטרנט מסוימים, עליו לעשות שימוש באמצעים לחסימת גישה לאתרים אלו ולא באמצעי ניטור אחר כלל האתרים שבהם גולש העובד.

• חלוקת אמצעי המעקב לפי עוצמת הפגיעה בפרטיות: הרשות מבחינה במסמך בין אמצעי המעקב השונים ומחלקת אותם לשלוש קבוצות, לפי מידת הפגיעה האפשרית בפרטיות העובדים –

• אמצעים שאינם פוגעים בפרטיות – אמצעים שלא כרוכים באיסוף מידע על העובד (כמו חסימת גישה לאתרי אינטרנט מסוימים או הגבלת היכולת להוריד אפליקציות).

• אמצעים שפגיעתם בפרטיות מועטה – אמצעים שכרוכים באיסוף מידע שאינו אישי על התנהלות העובד, שבמסגרתם עלול להיאסף מידע אישי מסוים (כמו אמצעים לניטור השימוש במערכות התפעוליות של הארגון).

• אמצעים שפגיעתם בפרטיות גבוהה במיוחד – אמצעים שיישומם כרוך באיסוף מידע אישי ורגיש על העובדים, כמו כלי סריקה ופיקוח על אתרים בהם גולש העובד ועל תוכן הדוא"ל שלו, אמצעי שליטה על מצלמות הרשת וחיישני קליטת השמע (מיקרופון) במכשירים הדיגיטליים של העובד לצילום ולהאזנה לעובד ולסביבתו, אמצעים לניטור תנועת העכבר, אופן השימוש במקלדת, צילום המסך ומעקב אחר תנועת עיניים, אמצעים לאיסוף נתוני מיקום (Geolocation) המותקנים במכשירים הדיגיטליים של העובד או ברכב שהמעסיק הקצה לעובד, אמצעי מעקב באמצעות ביומטריה, וכיו"ב.

השימוש באמצעים שפגיעתם בפרטיות ברף הגבוה מעלה חשש ממשי לחריגה מהוראות הדין, ולשיטת הרשות יש לעשותו רק במקרים חריגים, כשקיימת תכלית מקצועית ספציפית מוצדקת, ובכפוף לעמידה בדרישת המידתיות (הנטל להצביע על הצורך ועל היעדר חלופות פוגעניות פחות הוא על המעסיק). בנוסף, לפי הרשות השימוש באמצעים אלה (ובוודאי שימוש רציף), ללא הצדקה ובנסיבות בהן מטרת המעקב יכולה הייתה להיות מושגת באמצעים פחות פוגעניים, חורג על פני הדברים מדרישת המידתיות (ועלול לעלות כדי פגיעה בפרטיות).

• יידוע העובדים: על מעסיקים חלות חובות יידוע מוגברות (לאור פערי הכוחות האינהרנטיים בין הצדדים). בכל הנוגע לאמצעי מעקב שפגיעתם בפרטיות היא גבוהה במיוחד, מעסיקים לא יכולים להסתפק ביידוע כללי, ועליהם לפרט, בכתב ובשקיפות מלאה, על אופן ביצוע המעקב והשימוש במידע במדיניות הנוהגת במקום העבודה. הפירוט יכלול, בין היתר, את אופן השימוש באמצעי המעקב, סוגי המידע שייאספו, תדירות ומועדי המעקב, היכן ולכמה זמן יישמר המידע, וכל כללי האסור והמותר בשימוש במחשב וביישומיו בעת העבודה מרחוק (בדומה לפסיקת בית הדין הארצי לעבודה בעניין איסקוב לגבי מעקב אחר הודעות דוא"ל).

• הסכמת העובדים: הסכמת העובד לכך שמידע אישי בעניינו ייאסף באמצעות אמצעי מעקב לצרכי פיקוח ומעקב על עבודתו מרחוק היא קריטית ועל ההסכמה להיות מדעת וכזו שניתנה מרצון החופשי. על מעסיק שלא קיבל את הסכמת העובד להימנע מאיסוף מידע אישי אודות העובד. אין בהסכמת העובד כדי "להכשיר" שימוש שאינו מידתי או כזה שנעשה שלא למטרה מוגדרת ולגיטימית. ואולם, בנסיבות בהן השימוש באמצעי המעקב נעשה בהתאם לדרישות המידתיות והלגיטימיות, רשאי המעסיק לדרוש מהעובד לתת את הסכמתו, כאשר סירוב העובד עשוי להיות בעל השלכות מבחינת יחסי העבודה. יחד עם זאת, ההסכמה קשורה גם לאלטרנטיבה העומדת בפני העובד – במצבים בהם אין לעובד ברירה אמיתית אלא לעבוד במתכונת של עבודה מרחוק (כפי שהיה בתקופת סגרי הקורונה) – קשה יהיה לראות בהסכמה למעקב כאמור ככזאת שניתנה מרצון חופשי; אך כשהמעסיק מאפשר לעובד לבחור בין מתכונת של עבודה מהבית לבין עבודה במשרד (מבלי שלהחלטתו תהיה השפעה שלילית על ההעסקה) – תגבר הנטייה לראות בהסכמת העובד כחופשית.

• אמצעי מעקב לצילום ולהאזנה: שימוש באמצעי צילום והאזנה עלול להביא מטבע הדברים לאיסוף מידע רגיש מאד על העובד ובני ביתו (לרבות קטינים), שאינו רלוונטי לצרכי המעסיק. לעמדת הרשות, על מעסיק להימנע משימוש באמצעי מעקב מסוג זה, אלא במקרים קיצוניים בהם קיים צורך חיוני לכך, כאשר אמצעים אחרים שבהם נעשה שימוש לא הועילו, לאחר קבלת הסכמה מדעת שניתנה מרצונו החופשי של העובד, ולאחר שהמעסיק וידא כי השימוש יעשה רק במהלך שעות העבודה. כמו כן, על המעסיק להימנע במצב זה, ככל האפשר, מאיסוף מידע על אחרים, ולפעול לכך שמידע שנאסף באופן אגבי על בני ביתו של העובד (ואנשים אחרים שאינם רלוונטיים) לא יישמר כלל במאגרי המידע של המעסיק.

• צמצום מידע עודף: בשימוש באמצעי המעקב עשוי להיאסף מידע אשר כלל לא נדרש ואינו רלוונטי למטרת הפיקוח. מידע זה מהווה "מידע עודף". על המעסיק להימנע ככל הניתן מאיסוף ושמירה של מידע עודף. איסוף ושמירה של מידע עודף עלולים בנסיבות מסוימות לעלות כדי הפרת חובות אבטחת המידע של המעסיק ואף כדי פגיעה בפרטיות. אמנם לצורך קיום חובות אבטחת המידע של המעסיק לפי תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, עליו לבחון, אחת לשנה, כי מידע שהוא שומר במאגרי המידע לא חורג מהנדרש ביחס למטרות שלשמן נאסף המידע, הרשות מבהירה כי ייתכנו מצבים שבהם רצוי שבדיקה כאמור תיערך מספר פעמים לאורך השנה. הרשות ממליצה למעסיקים לעשות את אותן בדיקות מספר פעמים בשנה ולוודא כי הם שומרים מידע שנאסף על העובדים במסגרת המעקב אך ורק לתקופה התואמת את מטרות האיסוף.

לקישור לעמדת הרשות >> לחץ כאן.

עמדת הרשות מהווה קו מנחה לפעולתם של המעסיקים ומאומצת במקרים רבים בפסיקת בתי הדין לעבודה. מעסיקים המבקשים לבחון את עמידת האמצעים שהם מפעלים לפיקוח על עובדים המבצעים את עבודתם מרחוק בקווים המנחים שפרסמה הרשות מוזמנים לפנות לקבלת ייעוץ פרטני.

המחלקה המסחרית             מחלקת דיני עבודה

הרצוג פוקס נאמן