מי שומר על המצלמות והמצולמים בארגון שלכם?
לאחרונה עלו לכותרות כמה מקרים של שימוש לרעה בגישה למידע אישי המוצלם במצלמות אבטחה ומעקב.
באפריל 2023 פורסם כי הוגשה תביעה ייצוגית נגד יצרנית הרכב טסלה עקב ניצול לרעה של העובדים את הגישה שלהם לצילומים של רכבי הלקוחות. לפי הפרסום, עובדי החברה שיתפו ביניהם (לכאורה) סרטונים ותמונות אינטימיות של לקוחות ברכב ובסביבתם הפרטית, מבלי שידעו כי צופים בהם.
אמנם מטרת המצלמות המקורית של טסלה היא לסייע בתכונות נהיגה עצמית, כמו טייס אוטומטי, חניה אוטומטית, וכדי לשפר את צי המכוניות שלה ולתקשר עם הבעלים לגבי מידע בטיחות. אולם, לצורך אימון מערכת הבינה המלאכותית של החברה ניתנה גישה לעובדי טסלה לצילומים עצמם לצורך "תיוג" של הצילומים, כך שעובדים נחשפו לרגעים אינטימיים של לקוחות בתוך הרכב ובסביבתו, כולל בחניות הפרטיות. עובדים לשעבר טענו כי היה נהוג בין העובדים לשתף את הצילומים ביניהם לצרכי בידור, כמובן בחריגה ממטרות הצילומים.
באותו החודש, פורסם בישראל, כי מצלמות חוף הממוקמת בחוף מרידיאן בעיר חיפה, נוצלו (לכאורה) לשם תיעוד חודרני ומחפיץ של נשים המבלות בחופי הארץ. על פי הפרסום, המצלמות היו פתוחות לציבור באתר אינטרנט ייעודי, כשאת חלקן אף יכלו הגולשים להזיז ולמקד כפי רצונם, מבלי שהמבלים בחוף הים היו מודעים או הסכימו לכך. הרשות להגנת הפרטיות הודיעה כי היא פתחה בהליך בירור כלפי החברה המרכזת את הפעלת המצלמות בכל הארץ, כדי לבחון אם השימוש בהן נעשה בניגוד להוראות החוק. החברה המפעילה הודיעה כי ביטלה את האפשרות של השליטה על המצלמה מרחוק עקב הפרסום על השימוש הלא ראוי.
מצלמות אבטחה ומעקב, כמו כל טכנולוגיה, עלולה להיות מנוצלת לרעה (בזדון, רשלנות, או אף בטעות אנוש תמימה). לכן, במקרה של מצלמות אבטחה במרחב הציבורי, לאור פוטנציאל החדירה הגבוה לפרטיות של המצולמים, יש להקפיד בזהירות יתרה בשימוש בהן, כדי למנוע פגיעה בפרטיות וחשיפה משפטית לחברה.
לאור הקדמה הטכנולוגית, ניתן כיום באמצעים סבירים לזהות אדם לפי תמונה, על ידי הצלבה עם מאגרים אחרים, כך שכל צילום של אדם נחשב כמידע אישי כשלעצמו, גם אם בתמונה עצמה הוא אינו מזוהה במישרין. כמו כן, יש לזכור שבאמצעות צילום של אדם ניתן ללמוד על צנעת הפרט שלו, כגון: אמונה ודת (אם הלבוש כולל סממנים דתיים), מצבו הרפואי (אם למשל נעזר בכסא גלגלים), עמדה פוליטית (כמשתתף בהפגנה), הרגליו הצרכניים, המיקום, מצבו הכלכלי, וכן עם מי הוא מבלה ועוד, כאשר לא בהכרח הוא מעוניין שמידע זה ישותף וינוטר. מכאן החשיבות הרבה לשמירה על המידע המצולם שמהווה מידע אישי (הכולל "מידע" ועשוי לכלול כאמור "מידע רגיש" כמשמעות מונחים אלה בחוק הגנת הפרטיות, תשמ"א-1981 ("חוק הפרטיות").
לפיכך, כל גוף המפעיל מצלמות במרחב הציבורי (כולל שטחים ציבוריים במקום העבודה) כפוף להוראות כל דין, לרבות חוק הפרטיות והנחיות הרשות להגנת הפרטיות בעניין שימוש במצלמות אבטחה ומעקב. בנסיבות מסוימות, גם צילום ברחוב וברשות הרבים עשוי לעלות לכדי פגיעה בפרטיות שאסורה על פי חוק. זה המקום להדגיש כי הזכות לפרטיות הינה נחשבת כיום כזכות חוקתית, כחלק מחוק-יסוד: כבוד האדם וחירותו, ולכן הפגיעה בה צריכה להיעשות במידתיות ולתכלית ראויה.
על מה חשוב להקפיד לגבי שימוש במצלמות מעקב?
ראשית, נפנה להנחיות הרשות להגנת הפרטיות אשר פירסמה בשנת 2012 הנחיה בנושא "שימוש במצלמות אבטחה ומעקב ובמאגרי התמונות הנקלטות בהן" וכן הנחיה נוספת בשנת 2017 שמסדירה את השימוש במצלמות במקום העבודה. בגבולות גזרת מאמר זה נזכיר כאן מספר עקרונות חשובים מתוכן לצורך שמירה על פרטיות המצולמים:
- ביצוע תסקיר השפעה על הפרטיות (“Privacy Impact Assessment”) – תהליך מתודולוגי אשר נועד לסייע לארגון באיתור, הערכה וניהול של סיכונים לפרטיות, השפעת השימוש במצלמות על פרטיות המצולמים (“נושאי המידע”) ובחינת דרכים לצמצום למינימום של הפגיעה בפרטיותם. תהליך זה הוא שלב מקדמי בתפיסת "עיצוב לפרטיות" (Privacy By Design") אשר נועד לבחון כבר בשלב תכנון המערכות כיצד ניתן לצמצם פגיעה בפרטיות (למשל, לבדוק אם ניתן להסתפק ב"צילום חי" מבלי לשמור את הצילומים עצמם, וכך להמנע מאיסוף ויצירת מאגר מידע; לבדוק מה איכות הרזולוציה המינימלית הנדרשת, האם ניתן להימנע מזיהוי פנים וכיו"ב). כאשר חשוב מאוד לתעד פנימית תהליך זה, כדי להדגים את היישום והחשיבות שמייחס הארגון לנושא, ואף לאפשר הצדקה של השימוש במצלמות, אם הארגון יידרש לכך.
- הגדרת מטרת הצילומים – יש להגדיר בצורה ברורה את מטרת הצילומים (אבטחה וביטחון, אכיפה והסדרה של חוקי עזר במקרה של רשויות, ניטור תנועה וכיו"ב) בהתאם לצרכי הארגון.
- קבלת ההחלטה על הצבת מצלמות צריכה לעמוד במבחן המידתיות ולתכלית הנדרשת (כולל שטחי הכיסוי, מיקום, וזווית) ולשם המטרה בלבד. בהתאם למטרה ולתסקיר השפעה על הפרטיות, יש לבחון בתהליך מושכל היכן יש להציב את המצלמות, זוויות וכיסוי, למי תינתן גישה ולהתקין את מספר המצלמות המינימלי החיוני להשגת המטרה המבוקשת. יש לשקול אם יש צורך ביישום מאפיינים מיוחדים (צילום תרמי, מפתוח פנים, אנליטיקה, מצלמה ניידת וכיו"ב) וליידע את המצולמים אודות מאפיינים אלה. הרשות להגנת הפרטיות מציינת כי מומלץ שתהליך קבלת החלטות ייעשה בליווי ייעוץ משפטי על מנת לשקול גם את ההשלכות המשפטיות על הפרטיות של המצולמים, ולבחון עמידה בחוק הפרטיות. ישנן חברות אשר מקימות ועדת היגוי ייעודית לנושא הצבת המצלמות הכוללות גורמי מקצוע רלוונטיים.
- שילוט ויידוע של המצולמים – יש ליידע את המצולמים אודות המצלמות ואיסוף ועיבוד המידע האישי באמצעותם, בהתאם לסעיף 11 לחוק הגנת הפרטיות, במדיניות הפרטיות, ובאמצעות שילוט קריא וברור, הכולל פרמטרים מסוימים נדרשים כגוון: סמל גרפי של מצלמה, הפניה לאתר האינטרנט (ככל שישנו) ולמדיניות הפרטיות המפרטת את תנאי השימוש במצלמות וכן פרטי קשר למימוש זכות העיון. יש לוודא את התקנת השילוט בסמוך למקום התקנת המצלמות ובמקומות הגישה המרכזיים למקום המצולם, כדי לבסס הסכמה לצילומים.
- אם יש דרישת משטרה להצבת מצלמות כחלק מרישוי עסקים, מומלץ לתעדה על מנת לבסס את הצידוק להצבה של מצלמות אלה, בכפוף כמובן ליישום ההנחיות של הרשות.
- אין להקליט קול (אודיו) שכן הדבר עלול להיות האזנת סתר, בניגוד לחוק האזנת סתר, תשל"ט-1979.
- משך שמירת הצילומים – אין לשמור לזמן ארוך יותר מן הנחוץ לצורך הגשמת מטרת התקנת המצלמה, בתלות בנסיבות הצילומים. בדר"כ ניתן להצדיק שמירת צילום בין 14 יום ל-30 יום, אלא אם אירע אירוע אבטחה חריג אשר מצדיק שמירת הצילום הספציפי לזמן רב יותר, למשל לצורך הליכי חקירה או בית משפט.
- מניעת "מידע עודף" בצילומים – יש לבחון את זויות הצילום והכיסוי של השטח המצולם כך שלא יכלול צילומים של מקומות שאינם חיונים למטרת הצילום (למשל, אם בסמוך לעסק יש גן ילדים או קופת חולים).
- מתן זכות עיון – במתן זכות העיון יש לדקדק יותר מעיון במסמכים אחרים, הואיל והצילומים עשויים לכלול מידע על מצולמים אחרים מלבד מבקש העיון. לכן לצורך מימוש זכות עיון יש לזהות את המצולם באמצעות תמונה, ולבקש לצמצם את בקשת העיון למועד ולשעה המדויקת. כמו כן, במתן זכות עיון יש להקפיד לטשטש מצולמים אחרים כדי למנוע פגיעה בפרטיותם. יתרה מזאת, יש לזכור כי אין לתת זכות עיון בצילומים למי שאינו מצולם בעצמו. בשים לב שמתן זכות העיון כפוף לתנאים וסדרי עיון, ואם הצילום נדרש להליכי חקירה או משפט, יש לוודא קבלת צו בית משפט או דרישה של המשטרה ולא להעביר לגורמים שאינם מורשים. מומלץ להתייעץ משפטית עם קבלת בקשה לעיון בצילומים.
- רישום מאגר מידע אצל רשם מאגרי המידע – איסוף המידע המצולם ושמירתו מהווה "מאגר מידע" כמשמעותו בחוק הפרטיות ויש חובה לרשום את המאגר אצל משרד המשפטים ולמנות מנהל מאגר אשר לו אחריות אישית לוודא את אבטחת המאגר בהתאם לתקנות הגנת הפרטיות (אבטחת מידע), התשע"ז- 2017 ("התקנות"). יש להקפיד להסדיר בהסכם למיקור חוץ לפי תקנה 15 לתקנות, כאשר הארגון מתקשר עם ספק בעל גישה למצלמות ולמאגר המידע.
- אבטחת המידע המצולם – על בעל המאגר העושה שימוש במצלמות אבטחה להקפיד לנקוט באמצעי אבטחה לשמירה על המידע המצולם, אשר עשוי לכלול "מידע רגיש", כנדרש בתקנות, ובכלל זה, לאמץ נוהל מצלמות בארגון, נוהל הרשאות גישה למצלמות על בסיס "הצורך לדעת" על מנת לוודא שלא נעשה שימוש לרעה בצילומים, משך שמירת הצילומים ומחיקתם וכיו"ב.
- הדרכת עובדים – לאור סיכוני האבטחה בצילומים, וכפי שהזכרנו למעלה, מלבד החשיבות של שמירה על הטכנולוגיה, ישנה חשיבות גבוהה וגם חובה לפי התקנות לערוך לעובדים בעלי גישה למאגר המצלמות, הדרכות למודעות אבטחת מידע, לפחות אחת לשנתיים. יש בכך תועלת רבה לארגון בצמצום החשיפה לסיכוני אבטחת המידע, דלף הצילומים, פגיעה במוניטין של החברה, וחשיפה לתביעות ייצוגיות או נזקיות.
לסיכום, איסוף ועיבוד מידע באמצעות מצלמות אבטחה יכול מצד אחד להוות כלי חשוב וחיוני לארגון, אך מצד שני, הוא כולל סיכוני אבטחה והשפעה על פרטיות של המצולמים, מגדיל את "משטח התקיפה" לאירועי אבטחה, דלף מידע וחלילה ניצול לרעה של מורשי הגישה לצילומים. לכן, חשוב לשמור על המצלמות ועל המצולמים, באחריות הארגון לפעול בהתאם לחוק הפרטיות, התקנות והנחיות הרשות להגנת הפרטיות, ובכך לצמצם לעצמו ולנושאי המשרה חשיפה (ועוד לא אמרנו כלום על רחפנים, אבל זה כבר למאמר אחר).
המאמר משקף את דעתה האישית של הכותבת, עו"ד דנה זיגמן בירנד.
