שעון נוכחות המבוסס על טביעת אצבע הוא שימוש במידע ביומטרי רגיש במיוחד, הכפוף לדיני הגנת הפרטיות ולתקנות אבטחת מידע. הדין קובע כי מעסיק אינו רשאי לכפות שימוש בטביעת אצבע ללא הסכמה מדעת, וכי נדרש יידוע מלא ובחינת חלופות פחות פוגעניות. מידע ביומטרי הוא ייחודי, בלתי ניתן להחלפה ובעל סיכון גבוה לדליפה, ולכן מחייב אבטחה מוגברת, הפרדה ממאגרי מידע אחרים והגבלת שימוש למטרה מוגדרת בלבד. במקרים רבים נדרש גם תסקיר השפעה על פרטיות (DPIA). שימוש בלתי מידתי או ללא עמידה בדרישות הדין עלול לחשוף מעסיקים לתביעות עובדים, פיצויים, וסנקציות רגולטוריות.
שעון נוכחות ביומטרי המבוסס על טביעת אצבע אסור בשימוש כפוי במקום העבודה
טביעת אצבע מוגדרת בחוק הגנת הפרטיות, התשמ"א-1981, "מידע בעל רגישות מיוחדת". בית הדין הארצי לעבודה קבע בעניין עיריית קלנסווה (2017) כי אין למעסיק סמכות לחייב עובד למסור טביעת אצבע ללא הסכמה מדעת, חופשית ומפורשת.
גם כשניתנה הסכמה, על המעסיק להוכיח מידתיות (שאין חלופה פוגענית פחות), לעמוד בחובת יידוע מקיף, וליישם רמת אבטחת מידע בינונית לפחות לפי תקנות הגנת הפרטיות (אבטחת מידע), תשע"ז-2017. עמדה זו עודכנה בפברואר 2024 בעקבות תיקון 13 לחוק.
למה טביעת אצבע "מסוכנת" יותר ממידע אישי רגיל?
מהו זיהוי ביומטרי?
זיהוי ביומטרי הוא מנגנון לזיהוי או אימות זהותו של אדם באמצעות מאפיינים פיזיולוגיים או התנהגותיים ייחודיים, כגון טביעות אצבע, תווי פנים, קשתית העין, מבנה כף היד, דפוס קול ולעיתים אף מאפיינים התנהגותיים כמו דפוס הקלדה או אופן הליכה. בניגוד למזהים "מסורתיים" (סיסמאות, מספרי זיהוי או כרטיסי גישה), המידע הביומטרי מבוסס על רכיבים אינהרנטיים לאדם עצמו, שאינם ניתנים להפרדה מזהותו.
מה הייחוד של מידע ביומטרי?
ייחודו של מידע ביומטרי טמון בכך שהוא משלב שלושה מאפיינים קריטיים: ייחודיות, יציבות ובלתי-הפיכות.
- ראשית, מדובר במידע בעל רמת אבחנה גבוהה, המאפשר זיהוי ברמת ודאות משמעותית.
- שנית, ברוב המקרים מדובר במאפיינים יציבים הנשמרים לאורך זמן ואינם משתנים באופן מהותי.
- שלישית, וזהו ההיבט המשפטי והרגולטורי הרגיש ביותר, מדובר במידע שאינו ניתן להחלפה או "איפוס". במילים אחרות, אם סיסמה דולפת – ניתן להחליפה. אולם, אם תבנית ביומטרית דולפת, האדם אינו יכול להחליף את טביעת האצבע שלו או את מבנה פניו.
מה הסיכון בשימוש במידע ביומטרי?
בשל מאפיינים אלה, הדין והרגולציה בישראל מתייחסים למידע ביומטרי כאל מידע אישי רגיש במיוחד. מסמך המדיניות המעודכן של הרשות להגנת הפרטיות מפברואר 2024, שפורסם לאחר תיקון 13 לחוק הגנת הפרטיות, מגדיר מידע ביומטרי כמעין "מפתח אוניברסלי" לזיהוי אדם. משמעות ההגדרה היא רחבה. בניגוד למזהה רגיל, מידע ביומטרי עשוי לאפשר חיבור בין מערכות, הצלבה בין מאגרים, ומעקב רציף אחר אדם במרחב הפיזי והדיגיטלי.
הסיכון המשפטי והטכנולוגי אינו מתמצה רק בעצם איסוף המידע, אלא בעיקר באפשרות לשימוש משני, בלתי מורשה או בלתי מידתי. דליפת מידע ביומטרי אינה רק אירוע אבטחת מידע. היא אירוע בעל השלכות עומק על פרטיות, חירות אישית ואוטונומיה. בניגוד לדליפת פרטי אשראי או סיסמאות, שהנזק בהן ניתן לצמצום באמצעות החלפה או חסימה, דליפת מידע ביומטרי יוצרת פוטנציאל מתמשך לחשיפה, התחזות, פרופיילינג ומעקב עתידי.
מה המשמעויות?
מכאן נובעת גם החמרת החובות החלות על ארגונים האוספים או מעבדים מידע ביומטרי: חובת בחינת נחיצות, צמצום איסוף, קבלת הסכמה מדעת במקרים הרלוונטיים, אבטחת מידע ברמה מוגברת, שמירה על עקרון המידתיות והגבלת השימוש למטרה מוגדרת בלבד. בעידן שבו מערכות ביומטריות הופכות לכלי נפוץ במקומות עבודה, מוסדות פיננסיים, מערכות בריאות ומרחבים ציבוריים, השאלה אינה עוד האם ניתן להשתמש בזיהוי ביומטרי, אלא האם השימוש בו עומד בסטנדרטים המשפטיים והרגולטוריים המחמירים שנקבעו להגנה על זכויות יסוד.
הלכת קלנסווה: המקור המשפטי המרכזי
בפסק הדין המוביל, עס"ק 7541-04-14 הסתדרות העובדים נ' עיריית קלנסווה, ביקשה העירייה לחייב עובדות חינוך להשתמש בשעון ביומטרי. בית הדין הארצי לעבודה קיבל את ערעור ההסתדרות וקבע כי מעסיק אינו רשאי לחייב חד-צדדית את עובדיו למסור טביעת אצבע לשם שימוש בשעון נוכחות ביומטרי, שכן מדובר בפגיעה בזכויות היסוד החוקתיות לפרטיות ולאוטונומיה על הגוף, אשר לא הוסדרה בחוק ולא זכתה להסכמה כדין.
בית הדין הארצי לעבודה קבע כי טביעת אצבע היא מידע ביומטרי פרטי-אישי של אדם, המכיל נתונים פיזיולוגיים ייחודיים ומשמש מפתח למידע רב. מסירת טביעת האצבע ואגירתה במאגר פוגעות בזכות החוקתית לפרטיות ובזכות לאוטונומיה על הגוף המוגנות בחוק יסוד: כבוד האדם וחירותו. פגיעה זו מתרחשת מעצם אובדן השליטה של העובד על המידע הייחודי לו ובשל הסיכון לדליפת המידע או לשימוש בו שלא למטרה שלשמה נמסר.
בית הדין הבהיר כי פגיעה בזכויות יסוד חוקתיות דורשת מקור חוקי מפורש. בעוד שקיימים חוקים שונים המסמיכים גורמים שלטוניים מסוימים (כגון משטרה או צבא) ליטול טביעות אצבע, או חוקים המחייבים עובדים למסור פרטים אישיים סטנדרטיים למעסיק, אין בדין הישראלי כל הוראת חוק המאפשרת למעסיק לדרוש מעובדיו למסור טביעת אצבע לצורך מעקב נוכחות. היעדר איסור מפורש בחוק אינו מהווה היתר לפגיעה בזכות.
מתי מותר להשתמש בשעון ביומטרי?
גם כשיש הסכמה, היא אינה מספיקה לבדה. הרשות להגנת הפרטיות מבהירה כי איסוף מידע ביומטרי למאגר עשוי להיחשב צעד בלתי מידתי, אלא אם קיימת הצדקה ממשית ואין חלופה סבירה פחות פוגענית.
נדרשת בחינה של שלושה עקרונות: לגיטימיות (עניין ישיר וצורך אמיתי), מידתיות (האם הפעולה חיונית) ושקיפות (האם העובדים יודעים על המדיניות).
| חלופה | מידת פגיעה |
|---|---|
| כרטיס עובד אישי, תג RFID, זיהוי באמצעות NFC, סריקת QR | נמוכה. מומלצת כברירת מחדל |
| מצלמה ממוקדת באזור השעון | נמוכה-בינונית |
| טביעת אצבע על כרטיס חכם אישי | בינונית. ללא מאגר מרכזי |
| שעון ביומטרי עם מאגר מרכזי | גבוהה. דורש הצדקה מיוחדת |
חלופות חוקיות ופחות פוגעניות לשעון נוכחות ביומטרי
בתי הדין לעבודה והרשות להגנת הפרטיות מייחסים משקל רב לשאלה האם המעסיק בחן חלופות. מקום שבו ניתן להשיג בקרה על נוכחות באמצעי רגיל, המעבר לביומטריה עשוי להיחשב בלתי מידתי.
הסכמה ויידוע: מה חובה לגלות לעובד מראש?
בהיעדר הסמכה בחוק, אסור למעסיק לחייב עובד למסור מידע ביומטרי. כשהשימוש מידתי, רשאי המעסיק לדרוש הסכמה – וסירוב עשוי להיות בעל השלכות ביחסי העבודה, אך מומלץ להעמיד את המערכת לבחירת העובד ולספק חלופה סבירה לסרבנים.
לפני בקשת ההסכמה, על המעסיק ליידע באופן נרחב לגבי: מטרת האיסוף; זהות האחראי על המאגר ומורשי הגישה; אופן האבטחה; הסיכונים האפשריים; השלכות אי-מתן הסכמה; וזכויות העובד לעיון ולתיקון המידע.
שמירה על מידע ביומטרי: אבטחת מידע
לפי תקנות הגנת הפרטיות (אבטחת מידע), תשע"ז-2017, מאגר עם מידע ביומטרי מכל סוג – לרבות טביעות אצבע, זיהוי פנים, תבניות קול או כל מזהה פיזיולוגי אחר – כפוף לכל הפחות לדרישות אבטחה ברמה בינונית. דרישות אלה כוללות, בין היתר, חובת הצפנה של המידע, קיומה של מדיניות אבטחת מידע כתובה ומחייבת, והפרדה לוגית או פיזית בין המידע הביומטרי לבין יתר שכבות המידע הארגוני. הפרדה זו נועדה לצמצם סיכון של הצלבת נתונים ולמנוע שחזור זהות מלא במקרה של פריצה.
מתי נדרש תסקיר השפעה על פרטיות?
תסקיר השפעה על פרטיות (DPIA) הוא אחד הכלים המרכזיים בניהול סיכוני פרטיות במערכות ביומטריות. מטרתו לבחון מראש את ההשלכות של עיבוד מידע רגיש, לזהות סיכונים ולהציע מנגנוני צמצום.
כאשר מדובר במידע ביומטרי, הצורך ב-DPIA כמעט מובן מאליו. מדובר במידע בעל רגישות גבוהה, שעשוי להשפיע באופן ישיר על זכויות עובדים, על חופש הבחירה שלהם ועל ביטחון המידע האישי שלהם.
התסקיר כולל, בין היתר: הגדרת מטרת העיבוד, בחינת נחיצות, ניתוח חלופות פחות פוגעניות, הערכת סיכוני אבטחה, בחינת גישה והרשאות, והערכת השלכות במקרה של דליפה. כמו כן, על מינוי ממונה הגנת פרטיות (DPO) שיתכנן ויבחן את הצעדים למזעור הסיכון.
בארגונים גדולים, ברשויות ציבוריות ובמקומות עבודה רגישים, היעדר DPIA עשוי להיחשב אינדיקציה לכשל ניהולי.
תביעות עובדים בגין פגיעה בפרטיות
השימוש בשעון נוכחות ביומטרי עשוי להפוך, בקלות יחסית, למוקד של סכסוך עבודה. עובדים (ואף מועמדים לעבודה) עשויים לטעון כי עצם הדרישה למסור טביעת אצבע או נתון ביומטרי מהווה פגיעה בפרטיותם, במיוחד כאשר לא ניתנה להם חלופה אמיתית.
במישור המשפטי, קיימות מספר עילות אפשריות: פגיעה בפרטיות לפי חוק הגנת הפרטיות, פגיעה באוטונומיה, הפרת חובת תום הלב, ואף טענות להרעת תנאים מוחשית וממשית.
מעבר לפיצוי כספי, עצם ניהול ההליך יוצר פגיעה תדמיתית, עלויות ניהוליות וחשיפה רגולטורית לארגון.
ארגון שמבקש לצמצם סיכון חייב להבין: בית הדין לעבודה לא בוחן רק את עצם קיומה של הסכמה, אלא את נסיבותיה, את מידת החופש שניתנה לעובד ואת קיומה של חלופה פחות פוגענית.
שאלות נפוצות
האם מעסיק יכול לפטר עובד שמסרב לתת טביעת אצבע?
האם שמירה על כרטיס חכם אישי פותרת את הבעיה?
האם חברה פרטית קטנה חייבת לעמוד בכל הדרישות?
מה הסיכון אם כבר התקנו שעון ביומטרי בלי הסכמה כדין?
שוקלים שעון נוכחות ביומטרי בארגון שלכם?
משרד וולר ושות' מלווה מעסיקים ורשויות מקומיות בבדיקת מידתיות, ניסוח מדיניות הסכמה, ועריכת תסקירי השפעה על הפרטיות, לפני שמתקינים את המערכת.
פורסם ביום 21/06/2026.
