ביום 2.5.2022 פרסמה הרשות להגנת הפרטיות טיוטת עמדה בנושא "חובת היידוע באיסוף ובשימוש במידע אישי". בטיוטה מוצגת פרשנותה של הרשות לסעיף 11 לחוק הגנת הפרטיות, התשמ"א-1981, שכותרתו "חובת מבקש מידע".

סעיף 11 לחוק קובע כי פניה לאדם לקבלת מידע לשם החזקתו או שימוש בו במאגר מידע תלווה בהודעה שיצוינו בה הפרטים הבאים: (1) המטרה שלשמה מבוקש המידע; (2) למי יימסר המידע ומטרות המסירה; ו-(3) האם חלה על נושא המידע חובה חוקית למסור את המידע, או שמסירת המידע תלויה ברצונו ובהסכמתו.

לעמדת הרשות, חובת היידוע כאמור חלה בכל מקום שבו איסוף מידע אישי על אודות אדם (נושא המידע) נעשה על יסוד פנייה אליו לקבלת המידע, וזאת בין אם המידע נאסף מכוח הסכמת נושא המידע, ובין אם איסוף המידע נעשה מכוח הסמכה שבדין. ככלל, לדעת הרשות, איסוף מידע מאדם ושימוש בו ללא יידוע מספק של נושא המידע משליך על תוקף ההסכמה מדעת, ועלול להוות הפרה של הוראות חוק הגנת הפרטיות.

בהקשר זה, הרשות מציינת כי היידוע צריך להיות בשפה ברורה, פשוטה ונגישה, ואם השירות מופנה לציבור מובחן מבחינה מסוימת (כגון גיל או ארץ מוצא), חשוב ששפת היידוע תהיה מותאמת, ככל האפשר, והדבר יכול להשליך גם על תוקף ההסכמה מדעת. לדוגמה: באתר למשחקי רשת לגילאי העשרה, רצוי שמדיניות הפרטיות ואופן השימוש במידע האישי יפורטו בשפה המתאימה לבני נוער. כמו כן, הרשות ממליצה כי ההודעה תכלול גם פירוט בדבר אופן שמירת המידע וזכויותיו של נושא המידע.

עוד מציינת הרשות כי ככל שהמידע הנאסף הוא רגיש במיוחד (כגון מידע ביומטרי), ואם קיים חשש כי הסכמת נושא המידע עלולה להיות מוגבלת, רצוי שהודעת היידוע תכלול פרטים נוספים הנוגעים לאיסוף המידע, אופן השימוש ומטרות השימוש בו.

באשר לאופי ההסכמה, סעיף 3 לחוק קובע כי הסכמה לאיסוף ושימוש במידע צריכה להיות "הסכמה מדעת". לפיכך, על מבקש המידע להציג לאדם נתונים בנוגע לאיסוף המידע עליו והשימוש בו, כך שתעמוד בפניו תמונה מלאה בטרם יחליט אם להסכים למסירת המידע. לגבי תוכן והיקף היידוע הנדרשים על מנת לעמוד בדרישה האמורה מציינת הרשות כי הם עשויים להיות מושפעים מנתונים שונים, כגון זהות מבקש הבקשה, אופי מערכת היחסים שלו עם נושא המידע וסוג ורגישות המידע.

הרשות מוסיפה ומציינת כי כאשר איסוף המידע ועיבודו נעשים באמצעות מערכות אוטומטיות, יש לוודא כי לנושא המידע הוצגו כל הפרטים הנדרשים בהתאם להוראות החוק, לרבות אופן פעולת המערכות, ככל שהדבר רלוונטי לגיבוש ההסכמה. כמו כן, מומלץ גם לפרט על פרטי המידע שהמערכות עשויות לעשות בהם שימוש ועל מקורם.