עסקים וחברות
פיננסים, משפטים וייעוץ
נותני שירותים מקצועיים העוסקים במידע פיננסי ומשפטי מסוגים שונים כגון רואי חשבון, יועצי מס, יועצים פיננסיים, מתכנני פנסיה, עורכי דין, מגשרים, יועצים עסקיים ועוד
רואי חשבון ויועצים פיננסיים מקבלים גישה למצב הכלכלי המלא של לקוחותיהם, בין הייתר דוחות כספיים, נכסים, התחייבויות, ותכניות פנסיוניות. עורכי דין מטפלים בהיבטים המשפטיים האישיים והעסקיים הרגישים של לקוחותיהם, וחלקם אף בהיבטים פליליים של לקוחותיהם. מידע מסוג זה מוגדר בחוק כ"מידע בעל רגישות מיוחדת" ומטיל על מי שמקבל מידע כזה, אוסף אותו, שומר אותו, משתף או מעבד בכל צורה אחרת, חובות מוגברות.
המורכבות העיקרית בהיבטי הפרטיות בקרב המשתייכים לקבוצה זו, נעוצה בצורך לנהל מידע רב ורגיש לאורך זמן ובאופן שוטף ומתעדכן. משרדי עורכי דין ומשרדי רו"ח הפכו לאחרונה להיות חביבים במיוחד על האקרים ומטרה אטרקטיבית לפריצות כופר (כאשר הפורץ נועל את מערכות המידע של המשרד המותקף ודורש כופר על מנת לשחררן).
בנוסף להסכמה המסורתית הכרוכה במסירת המידע, שמירתו ועיבודו, חשוב לנותני השירותים מקבוצה זו ליידע את לקוחותיהם גם בדבר החובה החוקית החלה עליהם במקרים מסויימים לשיתוף של המידע או חלק ממנו עם רשויות כגון רשות המיסים, ביטוח לאומי וכיו"ב. בנוסף, חשוב לקבע במדיניות הפרטיות אמירה ברורה הנוגעת למשך זמן שמירת המידע, מתי חלה על נותן השירות חובה חוקית או מקצועית להמשיך ולשמור את מידע, ומתי המידע צפוי להימחק. גם יידוע לקוחות על זכויותיהם החוקיות בקשר עם המידע, קרי הזכות לעיין במידע, לתקן אותו או לבקש את מחיקתו במקרים מסוימים, הינו חלק מהותי מהעמידה בדרישות החוק.
בבואנו לייצר את ההגנות הנכונות ביותר עבור עסקים בתחום השירותים המשפטיים והפיננסיים, נבחן ונבין לעומק את אופי השירות, סוג המידע המטופל, חובות הסודיות ושמירת הנתונים החלים על נותן השירותים ומשך הזמן הנדרש עפ"י דין לשמירת המידע (ככל שנדרש) השייך למקבל השירותים. לאחר אפיון המצב החוקי החל על השירותים הניתנים בעסק, נבחן את הפתרון המתאים וההגנות האופטימליות והנכונות בכל מקרה לגופו. לנגד עינינו עומדות הדרישות החוקיות אשר יש לוודא כי ימולאו, ובאותה המידה גם הצרכים העסקיים והמקצועיים של נותני השירותים בתחומי הפיננסים והמשפט. אפשר וצריך לייצר את האיזון.
מעטפת ההגנה תכלול איפיון והגדרת מאגרי המידע הקיימים בעסק, בניית מערכת הסכמות כנדרש עפ"י החוק, כולל מסמכים ברורים הכוללים הסבר בשפה נגישה ללקוחות על כל ההיבטים הרלוונטיים למידע האישי שלהם המשותף עם נותן השירותים, הבהרה מדויקת של מטרות האיסוף, תקופת השמירה, והגורמים שאיתם עשוי המידע להיות משותף; בחינת מדיניות הפרטיות הקיימת ועידכונה על מנת שתעמוד בדרישות החוק המתוקן; הגדרת נהלים ברורים לשיתוף מידע עם צדדים שלישיים - מתי נדרשת הסכמה נפרדת וכיצד לתעד אותה; קביעת מדיניות המגדירה את תקופת שמירת מידע ואופן מחיקתו; והקמת מערכת לטיפול בפניות לקוחות לעיון, תיקון או מחיקת מידע.
התוצאה: משרד או חברה העומדים בדרישות דיני הפרטיות החלים עליהם, תוך שמירה על היכולת להעניק שירות מקצועי ויעיל והעצמת המוניטין המקצועי.
בריאות ורווחה
נותני שירותים בתחום הרפואה והפארא-רפואה כגון רופאים, רופאי שיניים, פסיכולוגים, פיזיותרפיסטים, קוסמטיקאיות רפואיות, דיאטנים ועוד
מטבעם, מקצועות הבריאות והרווחה מטפלים במידע הנחשב רגיש במיוחד: היסטוריה רפואית, תוצאות בדיקות, תיעוד טיפולים, חוות דעת על מצבים רפואיים ונפשיים, ותמונות של מטופלים. מידע מסוג זה מוגדר בחוק כ"מידע בעל רגישות מיוחדת" ומטיל על מי שמקבל מידע כזה, אוסף אותו, שומר אותו, משתף או מעבד בכל צורה אחרת, חובות מוגברות.
המורכבות העיקרית בהיבטי הפרטיות הנוגעים לתחומים אלו נעוצה לעיתים בצורך לאזן בין מתן טיפול רפואי או פארא-רפואי איכותי, לבין עמידה בדרישות החוק הקפדניות. קבלה ואיסוף מידע רגיש מסוג זה מחייבים הסכמה מפורטת והסבר למטופל בבירור איזה מידע ייאסף, מה המטרות, כמה זמן יישמר, ועם מי עשוי להיות משותף. סוגים שונים של טיפולים, מידת דחיפותם, מידת נחיצותם ואופיים יכולה אף היא להכתיב את ההתנהלות החוקית הנדרשת. גם שיתוף מידע עם גורמים חיצוניים אשר נחוצים לצורך מתן הטיפול, כגון מעבדות, רופאים מפנים, או חברות ביטוח, מחייב הבנה ברורה של עיתוי ההסכמה הספציפית, כיצד נכון לקבל אותה ואיך המטפל מחוייב להגביל את היקף המידע המשותף.
בנוסף, חשוב לוודא שהמטופלים מיודעים באשר לזכויותיהם החוקיות הקשורות למידע הנאסף, הזכות לעיין במידע, לתקן אותו ואף לבקש מחיקתו במקרים מסוימים. התנהלות נכונה של מטפלים תורמת לא רק לעמידה בדרישות החוק והגנה מפני קנסות ואחריות פלילית, אלא אף מהווה נדבך נוסף בקשר המיוחד הקיים בין המטפל למטופל ובאופן בו המטופל ירגיש בנוח לחלוק את מלוא המידע הנדרש להצלחת הטיפול.
בבואנו לייצר את ההגנות הנכונות ביותר עבור עסקים העוסקים בתחום הכה-רגיש של בריאות ורווחה, חשוב קודם להבין לעומק את סוג השירות וקהל המטופלים, ואז לבחון את ההגנות האופטימליות והנכונות בכל מקרה לגופו. לנגד עינינו עומדות הדרישות החוקיות אשר יש לוודא כי ימולאו, אך באותה המידה גם הצרכים העסקיים והמקצועיים של נותני השירותים הייחודיים הללו. אפשר וצריך לייצר את האיזון.
מעטפת ההגנה תכלול איפיון והגדרת מאגר המידע הקיים בעסק, בניית מערכת הסכמות כנדרש עפ"י החוק, כולל טפסים ברורים שמסבירים למטופל בשפה נגישה את כל ההיבטים הרלוונטיים למידע הנאסף בבית העסק, עם הבהרה מדויקת של מטרות האיסוף, שמירתו ושיתופו במידת הצורך; בחינת מדיניות הפרטיות הקיימת ועידכונה על מנת שתעמוד בדרישות החוק המתוקן; וכן הגדרת נהלים ברורים לשיתוף מידע עם גורמי חוץ - מתי נדרשת הסכמה נפרדת וכיצד לתעד אותה.
התוצאה: מרפאה או קליניקה העומדת בדרישות החוק תוך שמירה על רמת השירות הגבוהה למטופלים ועל המוניטין.
מסחר ושירותים מקוונים
חנויות אינטרנט, בעלי אתרי מסחר, בעלי אפליקציות, נותני שירותים דיגיטליים
מדובר כאן בעסקים הפועלים בעיקר במרחב הדיגיטלי כגון בעלי אתרי מסחר, בעלי אפליקציות, נותני שירותים דיגיטליים ועוד. במסגרת פעילות זו אוספים מידע על לקוחות בכל פעולה: רכישה, הרשמה, גלישה באתר או באפליקציה. המידע נאסף באמצעות טפסים, "עוגיות" (cookies), כלי אנליטיקה, פלטפורמות מסחר, מערכות תשלום, ושירותי צד שלישי נוספים. החוק מטיל על עסקים מסוג זה חובות הקשורות בשקיפות ומנגנוני הסכמה קפדניים ומיוחדים.
המורכבות העיקרית בהיבטי הפרטיות עבור קבוצה זו נובעת מהשימוש במגוון רחב של כלים ושירותים דיגיטליים אשר חלקם אוספים מידע באופן אוטומטי ורציף. העסק צריך להבין בדיוק איזה מידע נאסף על הלקוחות - גם דרך האתר או האפליקציה עצמם, וגם דרך כלים חיצוניים כמו Google Analytics, Facebook Pixel או פלטפורמות שיווק נוספות.
מדיניות הפרטיות צריכה להיות ברורה, מפורטת ונגישה, ולהסביר בשפה פשוטה ומובנת איזה מידע נאסף, מה מטרתו, למה הוא משמש, עם מי הוא משותף, וכמה זמן הוא נשמר. שימוש ב"עוגיות" (Cookies) מצריך הסכמה מפורשת מהלקוח, המוגדרת בחוק כ"הסכמה מדעת", ומתן אפשרות אמיתית לבחור אילו עוגיות לאשר ואילו לדחות. שיתוף מידע עם ספקים חיצוניים כגון פלטפורמות מסחר, ספקי תשלום, כלי שיווק, ספקי משלוחים וכו' מחייב עפ"י החוק יידוע והסבר ללקוח מחד, והסדרת הסכמי עיבוד מידע (DPA) עם כל אחד מהספקים מאידך.
בנוסף, כאשר אנו עוסקים במסחר ושירותים מקוונים הקמת מנגנון ברור ויעיל לטיפול בפניות לקוחות בקשר עם המידע האישי שלהם הנאסף ומעובד הינה קריטית. ואם כל זה לא מספיק, הרי שכאשר עסק מקיים זיקה כלשהי לאיחוד האירופאי, פונה לקהל אירופאי או מתקשר עם ספקי אחסון מידע אירופאים, הרי שיחולו עליו לא רק חוקי הפרטיות הישראלים אלא גם חוק הפרטיות האירופאי (GDPR) וגם חוקי הפרטיות של המדינה האירופאית הרלוונטית.
במסגרת הדרישות החוקיות אשר נפעל לוודא כי ימולאו, יילקחו בחשבון הצרכים העסקיים והיכולת לפעול ביעילות במרחב הדיגיטלי התחרותי, שהרי זהו לב ליבם של עסקים מסוג זה.
מעטפת ההגנה תכלול מיפוי מקיף של כל הכלים והשירותים שהעסק משתמש בהם, איפיון והגדרת מאגרי המידע, תוך הבנה מדויקת של איזה מידע כל כלי אוסף ומעבד וכן מיפוי הטריטוריות אשר יכתיבו את חוקי הפרטיות החלים על העסק לצורך עריכת סקר סיכונים. בשלב הבא נבנה מדיניות פרטיות מקיפה, ברורה, נגישה ומותאמת באופן ספציפי לפעילות העסק ומשתמשיו, כולל נוהל ומערך מוסדר לטיפול בפניות לקוחות הנוגעות למידע האישי. נוודא שבאנר הקוקיות המוטמע באתר או באפליקציה עומד בדרישות החוק. ככל שהעסק עושה שימוש בדיוור ישיר וניוזלטר, ייבחנו ויותאמו גם היבטי הפרטיות הנוגעים בכך. לבסוף נפנה להסדרת הסכמי עיבוד מידע (DPA) עם כל ספק חיצוני שמעבד מידע אישי של לקוחות העסק, כמתחייב עפ"י חוקי ההגנה על הפרטיות.
התוצאה: אתר סחר או אפליקציה העומדים בדרישות חוקי הפרטיות החלים עליהם, משדרים ללקוחות אמינות ומקצועיות, ומחזקים את המוניטין העסקי.
ביוטי, אימונים ורווחה אישית
מספרות, מכוני יופי, קוסמטיקאיות, מאמני כושר אישיים, מאמני חיים, מקעקעים ועוד
מדובר כאן בנותני שירותים המתבססים על קשר אישי עם הלקוח ועל איסוף מידע אישי כגון פרטי התקשרות, הגבלות רפואיות, רגישויות, העדפות אישיות, ולעיתים גם מידע בריאותי או יעדים אישיים. תמונות "לפני ואחרי" נפוצות מאוד בתחום זה ומהוות נקודת מיקוד משפטית מרכזית, כמו גם שימוש בתמונות לצורכי שיווק ותיק עבודות.
לאור מאפייני השירותים הניתנים על ידי עסקים וחברות בקבוצה זו, היבטי הפרטיות ייקחו בחשבון האם מתבצע שימוש בתמונות ובחומרים ויזואליים של לקוחות, היות וצילום לקוחות ושימוש בתמונות לצורכי תיעוד, תיק עבודות או שיווק, מחייבים הסכמה מפורשת ומתועדת. נדרשת הסכמה נפרדת לצילום והסכמה נפרדת לשימוש בתמונות, עם הבהרה מדויקת היכן התמונות ישמשו: אתר האינטרנט, רשתות חברתיות ספציפיות (פייסבוק, אינסטגרם וכו'), חומרי שיווק מודפסים או תיק עבודות, ולמשך כמה זמן. חשוב גם לאפשר ללקוח לסרב לצילום או להגביל את ההסכמה (למשל, להסכים לשימוש באתר אבל לא ברשתות חברתיות) מבלי שהדבר ישפיע על איכות או זמינות השירות שהוא מקבל.
איסוף מידע אישי בעל רגישות מיוחדת כגון אלרגיות, מצבים רפואיים שונים, או יעדים אישיים (אצל מאמנים), מחייב הסבר ברור ללקוח מה מטרת איסוף המידע והאם הוא נדרש לצורך מתן השירות, כמה זמן יישמר, מי מורשה לגשת למידע, ועם מי עשוי להיות משותף.
שימוש בכלים דיגיטליים כמו מערכות ניהול תורים, מערכות CRM או כלי שיווק מחייב הבנה של ההשלכות מבחינת דיני הגנת הפרטיות והמידע המחייבים הסדרת מדיניות הפרטיות של כלים אלה והקפדה על הסכמים תקינים עם הספקים. גם הקמת מנגנון זמין וברור לטיפול בבקשות לקוחות למחיקת מידע או תמונות היא חלק מהדרישות החוקיות אשר על נותן השירות לעמוד בהן.
בבואנו לייצר את ההגנות הנכונות ביותר עבור עסקים וחברות בתחום הרווחה האישית, חשוב ראשית להבין לעומק את סוג השירות ומאפייניו, את השימוש בתמונות ובחומרים ויזואליים וכן את הכלים הדיגיטליים שבהם מתבצע שימוש. לאחר מכן נעבור לבחון את ההגנות האופטימליות והנכונות בכל מקרה לגופו, כאשר לנגד עינינו עומדות הדרישות החוקיות אשר נוודא כי ימולאו, ובאותה המידה גם הצורך לאפשר לעסק לקבל את המידע הדרוש למתן השירותים, להקלה על קהל הלקוחות ובאותו זמן גם להמשיך ולשתף תוכן איכותי ומרשים שימשוך לקוחות חדשים. אפשר וצריך לייצר את האיזון.
מעטפת ההגנה תכלול איפיון והגדרה של מאגרי המידע בעסק, בניית מערכת הסכמות מקיפה לצילום ולשימוש בתמונות (במידה ונדרש), טפסים ברורים ומפורטים שמסבירים ללקוח בשפה נגישה בדיוק מה יצולם, מה המטרה, היכן ישמש ולמשך כמה זמן, כולל אפשרות אמיתית לבחור ולהגביל את ההסכמה. הכנת טפסי הסכמה לאיסוף מידע אישי בעל רגישות מיוחדת, עם ההסברים הנדרשים עפ"י הדין; בחינת מדיניות הפרטיות הקיימת ועידכונה ככל שיידרש על מנת שתעמוד בדרישות החוק העדכני; הסדרת הסכמים תקינים עם ספקים חיצוניים, למשל אפליקציות ניהול תורים, כלי שיווק, וכו' המבהירים את אחריותם ואת החובות החלים עליהם בקשר עם ההגנה על המידע של לקוחות העסק; וכן הקמת נוהל ברור וזמין לטיפול בבקשות לקוחות למחיקת מידע או תמונות.
התוצאה: עסק שיכול להמשיך לשתף תוכן איכותי ומרשים, לבנות תיק עבודות מקצועי ולשווק את שירותיו, כל זאת תוך עמידה מלאה בדרישות החוק ושמירה על המוניטין.
חינוך, לימוד והדרכה
מדריכים, בתי ספר פרטיים קטנים, גני ילדים פרטיים, מכוני השתלמות, קייטנות ואיגודים מקצועיים וכו'
העוסקים במתן שירותי חינוך, לימוד והדרכה לילדים, בני נוער ומבוגרים אוספים מידע על תלמידים: ציונים, התקדמות לימודית, נוכחות, מסמכים ועבודות, ולעיתים גם מידע רפואי או משפחתי הרלוונטי לתהליך הלימודי. כאשר מדובר בקטינים (ילדים מתחת לגיל 18) החוק מטיל דרישות מחמירות במיוחד, והמודעות לנושא הפרטיות והגנה על המידע המקושר לילדים היא קריטית.
עסקים בתחומי החינוך, לימוד והדרכה אוספים ומחזיקים מידע אישי על תלמידים וילדים, אשר בהרבה מקרים אף מסווג כמידע אישי בעל רגישות מיוחדת. מידע הכולל ציונים, קשיים לימודיים או התנהגותיים, צרכים מיוחדים ומידע רפואי מחייב הסבר ברור על מטרות איסוף המידע, כיצד ייעשה בו שימוש, פרק הזמן בו יישמר המידע והגורמים עימם ישותף. העיסוק בתחומים אלו מחייב הבנה ברורה של הגבולות המשפטיים הקשורים באיסוף המידע, האפשרות לשימוש בו, מתי השיתוף מותר על פי חוק ומתי נדרשת הסכמה נפרדת. קביעת מדיניות פרטיות המפרטת את כל המתואר לעיל והקמת מנגנון לטיפול בפניות תלמידים או הורי תלמידים בנושאי פרטיות הינה חלק מהותי מהדרישות החוקיות.
נושא רלוונטי נוסף עבור היבטי פרטיות בתחומי העיסוק של חינוך, לימוד והדרכה קשור לצילום ופרסום תמונות של קטינים. צילום ילדים בפעילויות יומיומיות או באירועים חגיגיים מחייבת הסכמה מפורשת ומתועדת. נדרשת כאן הבהרה מדויקת מה יצולם, מה מטרת הצילום, היכן יאוחסן ולמשך איזו תקופה והיכן התמונות יפורסמו (למשל - אתר המוסד, עמודי רשתות חברתיות, עיתון בית הספר, חומרי שיווק או כל מסגרת אחרת). ייתכנו מצבים בהם הסכמה כללית שניתנה בתחילת השנה עשויה לא להספיק באופן גורף ואז תידרש הסכמה מתעדכנת או הסכמה ספציפית בהתאם לסוג הפרסום והמסגרת. תלמידים או הורים צריכים לקבל מידע מספק ואפשרות אמיתית לסרב לצילום או לפרסומו מבלי שהדבר ישפיע על מעמד התלמיד או על השירות שהוא מקבל.
בבואנו לייצר את ההגנות הנכונות ביותר עבור העוסקים בחינוך, לימוד או הדרכה, חשוב ראשית להבין לעומק את אופי המסגרת, גיל התלמידים או החניכים, סוג הפעילויות, מגוון המידע הנאסף והנשמר והשימוש בתמונות ובחומרים ויזואליים. רק אז נוכל לבחון את ההגנות האופטימליות והנכונות בכל מקרה לגופו. לנגד עינינו יעמדו הדרישות החוקיות המחמירות, ובאותה המידה גם הצורך של העסק לקבל ולשמור מידע אודות התלמידים והחניכים, לתעד פעילויות ולשווק את השירותים המוצעים. אפשר וצריך לייצר את האיזון.
מעטפת ההגנה תכלול איפיון והגדרת מאגרי המידע בעסק, בניית מערכת הסכמות מקיפה להורים אשר תכלול טפסי יידוע והסכמה ברורים ומפורטים, כולל למטרת צילום ופרסום תמונות; הכנת טפסי יידוע והסכמה לאיסוף מידע אישי ורגיש על התלמיד, עם הסבר כנדרש עפ"י החוק; בחינת מדיניות הפרטיות הקיימת ועידכונה ככל שיצטרך על מנת שתעמוד בדרישות החוק העדכני ותהיה נגישה ומובנת להורים; קביעת נהלים ברורים ומתועדים לרבות בנושאי שיתוף מידע עם צדדים שלישיים, המפרטים מתי השיתוף מותר, עם מי, ומתי נדרשת הסכמה נפרדת; וכן הקמת נוהל זמין וברור ומערך מובנה לטיפול בפניות תלמידי או הורים לעיון במידע, תיקונו, או מחיקתו.
התוצאה: עסק בתחום החינוך, הלימוד או ההדרכה העומד בדרישות החוק המחמירות, שומר על אמון התלמידים והחניכים או הוריהם, ובאמצעות כך מגן על המוניטין של עצמו.
שירותים עסקיים ומקצועיים
יועצים עסקיים, משרדי שיווק ופרסום, מעצבים, צלמים, אדריכלים, קבלנים ועוד
חברות ועסקים נותני שירותים עסקיים שעובדים עם לקוחות עסקיים ופרטיים ואוספים מידע במהלך הפרויקטים בהם הם מטפלים, כגון הכנת תכניות עסקיות, אסטרטגיות שיווק, מסמכי תכנון, תמונות, ונתוני לקוחות, או נתוני הלקוחות של הלקוח עצמו.
כך למשל משרדי פרסום מנהלים קמפיינים עבור לקוחות, כלומר מעבדים מידע אישי של לקוחותיהם על מנת לייצר תוצרי פרסום שישפיעו על קהל היעד. מעצבי פנים ואדריכלים, למשל, אוספים ומנתחים מידע אישי הנוגע ללקוחותיהם, כגון צרכיהם האינטימיים המשפחתיים והעדפותיהם האישיות, על מנת לתכנן עבורם את בית מגוריהם. צלמים, למשל, מייצרים עבור לקוחותיהם תמונות וחומרים ויזואליים שלעיתים כוללים מידע אישי של אנשים הניתנים לזיהוי. מדובר במידע אישי שהחוק מטיל בקשר אליו חובות ברורות.
המורכבות העיקרית בהיבטי הפרטיות החלים על עסקים בתחומים אלו נוגעת בראש וראשונה בצורך להבין את התפקיד המשפטי של העסק במערכת היחסים עם הלקוח ומול קהל היעד. משרדי שיווק ופרסום שמנהלים רשימות תפוצה, מפעילים קמפיינים דיגיטליים, או מנתחים נתוני משתמשים עבור לקוחות, מעבדים למעשה מידע אישי של אנשי הקהל. החוק רואה בהם כמחזיקים וכ"מעבדי מידע" ומטיל עליהם חובה לחתום על הסכם עיבוד מידע (DPA) עם הלקוח. הסכם זה מגדיר בבירור את החובות, האחריות, והגבולות של העיבוד, מטרתו, מה מותר לעשות עם המידע, כמה זמן לשמור אותו, עם מי מותר לשתף אותו, ומה קורה בסיום הפרויקט.
צלמים ומעצבים שמשתמשים בתמונות של לקוחות או של אנשים שמופיעים בפרויקטים כגון בתיק עבודות, באתר האינטרנט, או בחומרי שיווק, זקוקים לקבלת הסכמה מפורשת ומתועדת מנושאי התמונה. ההסכמה צריכה לכלול מידע כגון מטרת הצילום, היכן יופיעו התמונות, היכן יאוחסנו ובאילו הקשרים. שיתוף מידע עם קבלני משנה ושותפים, למשל צלם ששולח קבצים למעצב גרפי, או משרד שיווק שמעביר נתונים לספק דיוור ישיר, מחייב הסדרת הסכמי עיבוד מידע תקינים עם אותם ספקים, והסכמה מפורשת מהלקוח לשיתוף.
בבואנו לייצר את ההגנות הנכונות ביותר עבור נותני שירותים עסקיים ומקצועיים, חשוב להבין את מודל העסק, את סוג המידע המטופל, ואת התפקיד המשפטי של העסק בקשר עם המידע (בעל המידע או מחזיק/מעבד המידע), ואז לבחון את ההגנות האופטימליות והנכונות בכל מקרה לגופו. לנגד עינינו יעמדו הדרישות החוקיות אשר נוודא כי ימולאו, ובאותה המידה גם הצורך של העסק לעבוד ביעילות ולספק תוצאות ללקוח, לשתף תיק עבודות מרשים, ולשווק את השירותים. אפשר וצריך לייצר את האיזון.
מעטפת ההגנה תכלול אפיון והגדרה ברורה של התפקיד המשפטי - בעל מידע או מחזיק/מעבד מידע - והחובות הנגזרות מכך; אפיון והגדרת מאגרי המידע בעסק; הכנת הסכמי עיבוד מידע (DPA) תקינים ומקיפים עם לקוחות כאשר עבורם נעשה עיבוד מידע, המגדירים בבירור את החובות וגבולותיהם; בניית טפסי הסכמה לשימוש בתמונות וחומרים ויזואליים, הסכמות ברורות ומפורשות שמגדירות את המסגרות, המטרות, ומשך הזמן; בחינת מדיניות הפרטיות הקיימת ועדכונה במידת הצורך על מנת שתעמוד בדרישות החוק החל; הסדרת הסכמים תקינים עם קבלני משנה ושותפים המבהירים את אחריותם ואת חובות ההגנה על המידע האישי; קביעת מדיניות ונהלים למחיקת מידע בסיום פרויקט או כאשר הלקוח מבקש; בניית נוהל ברור לטיפול בפניות הנוגעות לפרטיות, הן מהלקוחות והן מאנשי הקהל המהווים נשוא המידע.
התוצאה: עסק שעומד בדרישות החוק, יכול לעבוד בביטחון ויעילות ולספק תוצאות, לשתף תיק עבודות מקצועי ומרשים, ולהגן על עצמו, על הלקוחות ועל המוניטין שלו.
חברות השמה, מגייסים והד-האנטרים
חברות השמה, רקרוטרים, הד-האנטרים, יועצי גיוס, משרדי מיקור-חוץ
מדובר כאן בחברות ונותני שירותים המתמחים באיתור, סינון והשמה של מועמדים לעבודה עבור מעסיקים. חברות השמה ורקרוטרים אוספים מידע אישי רב ורגיש על מועמדים, כגון קורות חיים מפורטים, היסטוריית תעסוקה מלאה, פרטי שכר נוכחיים ומצופים, שאיפות קריירה, מהלך חיים אישי, תוצאות מבחני השמה ואבחון, המלצות ממעסיקים קודמים, ולעיתים אף בדיקות רקע ומידע נוסף רלוונטי. מידע זה הוא אישי ובעל רגישות מיוחדת.
המורכבות העיקרית בהיבטי הפרטיות עבור נותני שירותים מסוג זה נובעת מהמאפיינים הייחודיים להם. כך למשל, כל שיתוף של קורות חיים, מידע על שכר, או תוצאות מבחנים עם מעסיק מהווה העברת מידע אישי רגיש של המועמד לצד שלישי, ומחייב הסכמה ספציפית ברורה ומתועדת מהמועמד. שנית, עצם איסוף המידע והחזקתו: חברות השמה אוספות מידע על מועמדים רבים, כולל כאלה שלא התקבלו לעבודה או שהתהליך איתם לא התקדם, וחשוב להבין מה התקופה המותרת והנכונה לשמור מידע אישי של מועמדים, מתי חלה חובה למחוק את המידע, וכיצד לטפל בבקשות מועמדים למחיקת המידע האישי שלהם מהמאגר.
בנוסף, חברות השמה וגיוס עושות כיום שימוש במערכות בינה מלאכותית וכלים דיגיטליים, שימוש הולך וגובר במערכות AI לניתוח קורות חיים, סינון מועמדים, ציון התאמה, ואף ניבוי הצלחה בתפקיד (מערכות ATS). הדין מטיל חובות גילוי ספציפיות בנושא זה בשלב איסוף המידע האישי. בהקשר זה חשוב לוודא שמערכות AI אינן יוצרות אפליה ישירה או עקיפה על בסיס מגדר, גיל, מוצא, מצב משפחתי, או כל מאפיין מוגן אחר.
מורכבות נוספת אשר יש לתת עליה את הדעת נובעת משיתוף מידע עם ספקים חיצוניים, כגון מערכות ATS, פלטפורמות גיוס דיגיטליות, כלי ניהול מועמדים, וספקי מבחני השמה. שיתוף מסוג זה במידע אישי מחייב הסדרת הסכמי עיבוד מידע (DPA) תקינים ותיחום ברור של אחריות כל צד.
לכל האמור לעיל מתווספת גם חובת היידוע של המועמדים על זכויותיהם לעיין במידע שנאסף עליהם, לתקן אותו אם הוא שגוי, למחוק אותו במקרים מסוימים או להתנגד לעיבודו - זכויות שחשוב להכיר וליישם על מנת לעמוד בדרישות הדין.
בבואנו לייצר את ההגנות הנכונות ביותר עבור חברות השמה ומגייסים, חשוב לנתח את תהליכי העבודה: מה המידע שנאסף, כיצד המידע נאסף, כיצד הוא מנותח ומעובד, עם מי הוא משותף, ואילו כלים טכנולוגיים ומערכות AI נמצאים בשימוש. לאחר מכן נבחן את ההגנות האופטימליות והנכונות בכל מקרה לגופו. לנגד עינינו עומדות הדרישות החוקיות המחמירות בכל הנוגע למידע תעסוקתי שהינו מידע אישי ולשימוש בטכנולוגיות אוטומטיות, ובאותה המידה גם הצורך של נותן השירותים לפעול ביעילות, לספק שירות מהיר ואיכותי למעסיקים, ולנהל היקפי מידע גדולים. אפשר וצריך לייצר את האיזון.
מעטפת ההגנה תכלול איפיון והגדרת מאגרי המידע בחברה, כולל מיפוי של כל הכלים והמערכות הדיגיטליות בשימוש; בניית מערכת הסכמות מקיפה ומדורגת הכוללת הסכמה ראשונית לאיסוף מידע מהמועמד, עם הסבר ברור ומפורט איזה מידע ייאסף, למה הוא ישמש, כמה זמן יישמר, ועם מי עשוי להיות משותף והסכמה נוספת ספציפית במידת הצורך; מתן גילוי על שימוש במערכות בינה מלאכותית או כלים אוטומטיים לסינון וניתוח מועמדים; בחינת מדיניות הפרטיות הקיימת ועידכונה במידת הצורך על מנת שתעמוד בדרישות החוק העדכניות, כולל הסבר על השימוש בכלים טכנולוגיים; הסדרת הסכמי עיבוד מידע (DPA) תקינים עם כל ספק חיצוני, כולל פלטפורמות גיוס ומערכות ATS, המגדירים בבירור את החובות והאחריות של הספק; קביעת מדיניות ברורה הנוגעת לפרק הזמן של שמירת המידע, מתי וכיצד נשמר מידע על מועמד שלא הוצב (לדוגמא לצורך הצעות עתידיות), ומתי חלה חובה למחקו; וכן הקמת נוהל זמין, ברור ויעיל לטיפול בפניות מועמדים הנוגעות למידע האישי, כגון בקשות לעיון במידע, לתיקון, למחיקה, או להתנגדות לעיבוד, עם זמני תגובה מוגדרים ותיעוד מסודר.
התוצאה: חברת השמה או הד-האנטר שעומדים בדרישות החוק, פועלים בשקיפות הנדרשת אל מול לקוחותיהם ומועמדים, משתמשים בטכנולוגיה באחריות וביעילות ומשיאים תוצאות מוערכות ללקוחותיהם, ובמקביל שומרים על המוניטין והאמון - גם של המועמדים וגם של לקוחותיהם - המעסיקים.
פרטיות ומידע אישי בהעסקת עובדים
חברות ובתי עסק המעסיקים עובדים
היבט חוצה מגזרים, הנוגע לכל חברה או בית עסק המעסיקים עובדים, הינו ההיבט של הפרטיות במקומות העבודה וניהול המידע האישי השייך לעובדים. החל מעסקים קטנים עם מספר עובדים מועט ועד לחברות גדולות עם מאות ואלפי עובדים, כל מעסיק אוסף מידע אישי, מחזיק במידע אישי ומעבדים מידע אישי רב ורגיש על העובדים בעסק. בין אם מדובר בפרטים אישיים מלאים, מספרי זהות, כתובות, פרטי חשבון בנק, תלושי שכר, היסטוריית העסקה, ימי חופשה ומחלה, הערכות ביצועים, ולעיתים אף מידע רפואי, מידע על בני משפחה וכמות ילדים (לצורכי ביטוח או הטבות) ומידע הנוגע לפעילות העובד במקום העבודה. החוק מטיל על מעסיקים חובות ברורות ומחמירות בכל הנוגע לאיסוף, שמירה, שיתוף, ושימוש במידע זה.
המערכת המורכבת של יחסי עבודה בין מעסיק לעובד כוללת מספר היבטי פרטיות שונים, כל אחד מהם בעלי חשיבות מכרעת. ראשית, איסוף ושמירת מידע בעל רגישות מיוחדת לאורך תקופה. מעסיקים נדרשים לאסוף מידע מסוים על פי חוק (למשל לצורכי דיווח למס הכנסה, ביטוח לאומי ועוד), אך חשוב להבין מה המידע שמותר ונדרש לאסוף, מה המידע שאסור לאסוף (למשל מידע על השתייכות פוליטית או דתית שאינו רלוונטי לעבודה), וכמה זמן חובה או מותר לשמור כל סוג מידע, הן במהלך תקופת העסקת העובד והן לאחר סיום יחסי העבודה.
היבט שני מתייחס לשיתוף מידע עם צדדים שלישיים. מעסיקים משתפים מידע אישי של עובדים עם גורמים חיצוניים רבים: חשבי שכר חיצוניים, קופות גמל וחברות ביטוח, חברות שירותי ארוחות, חברות הסעות, מנהלי הטבות לעובדים, מערכות נוכחות ושעונים, וספקי שירותי HR נוספים. כל שיתוף כזה מהווה העברת מידע אישי של העובדים לצד שלישי ומחייב עפ"י חוק הסדרת הסכמי עיבוד מידע (DPA) תקינים עם כל ספק, המגדירים בבירור מה מותר לספק לעשות עם המידע, כיצד עליו להגן על המידע, כמה זמן מותר לספק לשמור אותו ומה קורה בסיום השירות. במישור המעסיק אל מול העובד נדרש גילוי מצד המעסיק והסכמה מצד העובד להעברת המידע לצדדים שלישיים.
היבט נוסף אשר מהווה לא פעם מהמורה לא פשוטה בסבך של יחסי עבודה, הינו סוגיית המעקב והניטור של פעילות עובדים. הצבת מצלמות במקום העבודה, בין אם בכניסות, במסדרונות, בחדרי עבודה או במחסנים מחייבת הבנה ברורה של המגבלות החוקיות. הדין מאפשר הצבת מצלמות למטרות ביטחון או בטיחות לגיטימיות, אך מצד שני מטיל חובות גילוי ושקיפות נרחבות על המעסיק ואף מגביל מאוד את השימוש אשר ניתן יהיה לעשות בממצאי הצילום. כך, חובה ליידע את העובדים היכן מותקנות מצלמות, למה הן משמשות, מי מורשה לצפות בהקלטות, ולמשך כמה זמן הן נשמרות. ניטור פעילות עובדים במחשב (אפילו כאשר מדובר במחשב של מקום העבודה), צפייה באימיילים, נתוני גלישה באינטרנט או שימוש בתוכנות מעקב, מחייבים גם הם גילוי מפורש מראש לעובדים והסבר מפורט ומתועד. שימוש בשעון נוכחות ביומטרי מייצר אף הוא מגוון של דרישות חוקיות שיש להכיר ולעמוד בהן. הדין מטיל מגבלות קשיחות בעניין השימוש אשר ניתן לעשות בממצאי ניטור כאמור, ומגביל זאת למטרות המוצהרות מראש והלגיטימיות בלבד. מסיבה זו חשוב לנסח נכון את מסמכי התיעוד וההסכמה מבעוד מועד.
בבואנו לייצר את ההגנות הנכונות ביותר עבור מעסיקים בכל הנוגע לעמידה בדיני ההגנה על הפרטיות והמידע של העובדים, נבין קודם לעומק את מבנה החברה, הרגלי העבודה (עבודה היברידית? מהמשרדים בלבד?), כמה עובדים, באילו שירותים חיצוניים עושים שימוש, האם מתקיים מעקב או ניטור מכל סוג שהוא, וכן מאפיינים ספציפיים נוספים עבור כל מקום עבודה. לנגד עיניי עומדות הדרישות החוקיות המחמירות בכל הנוגע למידע על עובדים המקוטלג בחוק כמידע בעל רגישות מיוחדת, יחד עם הצורך של המעסיק לנהל את העסק ביעילות, לעמוד בחובות הדיווח החלות עליו כלפי רשויות (כמו דיווח לרשויות מס) ולהבטיח סדר, בטיחות וביטחון במקום העבודה. אפשר וצריך לייצר את האיזון.
מעטפת ההגנה תכלול סקר סיכונים, איפיון והגדרת מאגרי המידע הקיימים על עובדים בחברה, כולל איזה מידע נאסף, היכן נשמר, מי מורשה לגשת אליו ועם מי משותף; מיפוי של כל הספקים והשירותים החיצוניים שאיתם משותף מידע עובדים והסדרת הסכמי עיבוד מידע (DPA) תקינים עם כל ספק, המגדירים בבירור את החובות והאחריות החלות על הספקים; בחינת מערכות מעקב וניטור קיימות, כגון מצלמות, מערכות מעקב מחשב, שעוני נוכחות, הסדרת הגילוי, ההסכמה ואיסוף המידע המתקבל ממערכות אלו; הכנת שילוט וגילוי ברור על מצלמות במקום העבודה כנדרש עפ"י חוק; יידוע מפורש של העובדים על ניטור פעילות במחשב, אם קיים, כולל הסבר למטרות והגבלה למה שנדרש; בניית מדיניות פרטיות ייעודית לעובדים; הכנת טופס הסכמה לעובדים חדשים במסגרת תהליך קליטה; קביעת מדיניות ונהלים הנוגעים לתקופת שמירת המידע על העובדים ואף על מועמדים לעבודה שלא התקבלו; וכן הקמת נוהל זמין וברור לטיפול בפניות עובדים, בקשות לעיון במידע, לתיקון, או להתנגדות לעיבוד, עם זמני תגובה מוגדרים ותיעוד מסודר.
התוצאה: מעסיק שעומד בדרישות החוק, מייצר תחושת כבוד הדדית ושקיפות, ושומר על יחסי עבודה תקינים המגבירים את היכולת לנהל את העסק ביעילות ולקדם את מטרותיו העסקיות.