مبدأ الموافقة هو مبدأ أساسي في قانون الخصوصية الإسرائيلي. وفقًا لهذا المبدأ، في غياب التفويض، لا يمكن انتهاك خصوصية الشخص إلا بموافقته وفقط في الظروف التي يكون فيها قادرًا على تحديد المعلومات المتعلقة به التي سيتم الكشف عنها، ولمن، ولأي أغراض. تعكس الموافقة أيضًا قدرة الشخص على التحكم في المعلومات المتعلقة بنفسه. في هذا الإفصاح، تقدم هيئة حماية الخصوصية وتوضح موقفها بشأن تطبيق المبدأ في ضوء الواقع الرقمي المتطور، وكذلك فيما يتعلق بتطبيق قانون حماية الخصوصية لعام 1981.
يعكس الإفصاح التفسير القانوني الذي ستستخدمه الهيئة عند ممارسة السلطات المختلفة المخولة لها بموجب القانون ولأجلها، بما في ذلك الإشراف على الامتثال لأحكام القانون واللوائح بموجبه، وتسجيل قاعدة بيانات في سجل قواعد المعلومات، بما في ذلك إلغاء أو تعليق تسجيل قائم، وفرض غرامة إدارية أو عقوبة مالية لانتهاك أحكام القانون.
لا يتناول الإفصاح متى وتحت أي ظروف ينطبق الالتزام بطلب موافقة صاحب البيانات لانتهاك الخصوصية، بل يقدم تفسير الهيئة فيما يتعلق بمسائل ما يشكل موافقة صالحة بموجب قوانين حماية الخصوصية، وما هي القواعد التي يجب بموجبها الحصول على هذه الموافقة.
فيما يلي النقاط الرئيسية للإفصاح:
محتوى طلب الموافقة المستنيرة وعرضه:
يجب أن تكون الموافقة على انتهاك الخصوصية، سواء كانت صريحة أو ضمنية (أي، ضمنيًا)، مستنيرة. لذلك، يجب على طالب الموافقة التصرف بطريقة تضمن أن صاحب البيانات على دراية بمحتوى الطلب، وأغراضه، وعواقب موافقته أو رفضه للطلب.
يوضح الإفصاح أن الامتثال لشرط الموافقة “المستنيرة” يتم فحصه ليس فقط فيما يتعلق بنوع ونطاق البيانات المقدمة لصاحب البيانات لموافقته، ولكن أيضًا فيما يتعلق بكيفية تقديمها. الموافقة الممنوحة دون أن تتاح للشخص فرصة معقولة لفهم معنى موافقته وعواقبها لن تعتبر موافقة صالحة. لذلك، يجب الحرص على تقديم محتوى الموافقة والمعلومات المصاحبة بوضوح، وسهولة الوصول، وبساطة، وفهم. يجب إيلاء اهتمام خاص في هذا السياق للسكان ذوي الاحتياجات الخاصة، مثل الأشخاص ذوي الإعاقة.
في الظروف التي توجد فيها اختلالات في القوة بين الأطراف، أو عند التعامل مع إجراء له احتمالية انتهاك خطير للخصوصية، أو في ظروف معقدة أخرى (مثل استخدام التكنولوجيا الجديدة التي لم تتضح آثارها بما فيه الكفاية) – يجب اعتبار هذا الالتزام التزامًا معززًا، ويجب على طالب الموافقة التأكد من تقديم جميع البيانات ذات الصلة للقرار بشكل بارز وبسيط، وبقدر الإمكان بشكل منفصل عن المكونات الأخرى للمعاملة. قد يؤدي نقص التفاصيل الكافية في عملية الموافقة إلى انتهاك صلاحية الموافقة.
في الحالات التي يطلب فيها خدمة جمع معلومات لأغراض مختلفة تختلف جوهريًا عن الغرض الرئيسي للمعاملة، يجب ذكر ذلك بوضوح وبشكل بارز عند تقديم أغراض الاستخدام، وبقدر الإمكان بشكل منفصل عن المكونات الأخرى للمعاملة، قبل منح الموافقة.
الإرادة الحرة، اختلال توازن القوى، والموافقة “المشبوهة”:
في حالات معينة حيث يوجد قلق متأصل من أن الموافقة الممنوحة “مشكوك فيها” (مثل الموافقة الممنوحة في وضع توجد فيه اختلالات واضحة في القوة بين طالب الموافقة وصاحب البيانات) – قد يقع عبء إثبات أن الموافقة على انتهاك الخصوصية قد تم منحها طواعية على طالب الموافقة. لفحص ما إذا كانت الموافقة قد تم منحها عن اختيار وإرادة حرة، سيتم فحص ما يلي، من بين أمور أخرى:
ظروف الموافقة.
وقت الموافقة.
طريقة تقديم طلب الموافقة (بما في ذلك استخدام طالب المعلومات “لأنماط مظلمة” وأدوات تصميم تهدف إلى جعل من الصعب على صاحب البيانات فهم معنى موافقته وعواقبها).
طريقة الحصول على الموافقة (صريحة أو ضمنية؛ بنشاط أو بشكل سلبي).
هوية الأطراف وعلاقات القوة لديهم
في حالات الموافقة المشبوهة، قد يتخذ طالب الموافقة تدابير مختلفة – مثل تقديم بديل معقول أو عدم جعل الموافقة على جمع المعلومات غير الضرورية شرطًا لتلقي الخدمة – لإثبات أن الموافقة تعكس الإرادة الحرة والاختيار الحقيقي لصاحب البيانات. وجود بديل آخر متاح لصاحب البيانات من كيانات أخرى تقدم خدمة مماثلة يمكن اعتباره أيضًا استجابة كافية للادعاء بأن موافقة صاحب البيانات ليست حرة.
طريقة الحصول على الموافقة:
قد تؤثر طريقة الحصول على الموافقة على صلاحيتها. حتى في الحالات التي يكون فيها الاعتماد على الموافقة الضمنية ممكنًا، يُنصح كلما أمكن الاقتراب من الشخص للحصول على موافقته الصريحة، خاصة في حالات جمع البيانات الحساسة أو الإجراءات التي قد تؤدي إلى انتهاك خطير للخصوصية.
كقاعدة عامة، لا يشكل صمت الشخص، أو عدم احتجاجه على جمع المعلومات المتعلقة به، بحد ذاته موافقة صالحة بموجب قوانين حماية الخصوصية. منح الموافقة الشفهية هو مسألة تتطلب إثباتًا، ولذلك يُنصح طالب الموافقة بتوثيقها بوسائل يمكن تقديمها، خاصة في حالات جمع البيانات الحساسة أو في الظروف التي توجد فيها اختلالات في القوة بين الأطراف.
كقاعدة عامة، يمكن منح الموافقة بنشاط (Opt-in) أو بشكل سلبي (Opt-out)، اعتمادًا على الظروف. ومع ذلك، توضح الهيئة أنه في الحالات التي يتضمن فيها الاتفاق بنودًا للموافقة على استخدام المعلومات الشخصية لأغراض “التنميط” التي ليست مطلوبة أو مرتبطة بشكل مباشر بغرض خدمة بين أطراف ذات اختلالات في القوة – فإن الموافقة السلبية غير كافية، ويجب الحصول على الموافقة من خلال آلية موافقة نشطة منفصلة (Opt-in).
انتهاك الخصوصية بدون موافقة – الاعتماد على الدفاعات:
توضح الهيئة أن الكيان الذي ينتهك خصوصية الشخص دون موافقته ويسعى للاعتماد على أحكام المادة 18 (2) من القانون لهذا الغرض يجب أن يفي بمتطلب التناسب (المادة 20 (ب) من القانون). وهذا يشمل القدرة على الإشارة إلى الأسباب والمصالح المشروعة التي تبرر، في رأيها، انتهاكها لخصوصية صاحب البيانات، وإلا، فقد يُعتبر أنها “انتهكت الخصوصية عن علم إلى حد أكبر مما كان ضروريًا بشكل معقول” للمصالح التي تحميها المادة 18 وتصرفت بسوء نية.
سحب الموافقة:
في الحالات التي يتم فيها استخدام المعلومات الشخصية بناءً على موافقة تم الحصول عليها بشكل قانوني، ويرغب صاحب البيانات في سحب موافقته ووقف استخدام المعلومات المتعلقة به، يجب النظر في هذا الطلب بشكل إيجابي، حتى في الحالات التي لا تكون فيها الموافقة غير قابلة للإلغاء من البداية، وخاصة في المواقف التي قد يؤدي فيها الاستخدام المستمر للمعلومات إلى ضرر جسيم لخصوصية مقدم الطلب.
يشير الإفصاح أيضًا إلى أن تنفيذ تدابير مختلفة لتعزيز عملية الموافقة – مثل تفضيل الموافقة الصريحة على الضمنية؛ واستخدام آلية موافقة نشطة (على عكس السلبية)؛ واستخدام الأدوات التكنولوجية والتصميمية لتبسيط وجعل متطلبات الموافقة والمعلومات المصاحبة لها سهلة الوصول (في الحالات التي لا تكون فيها هذه التدابير مطلوبة قانونًا) – سيسمح للمتحكم بإثبات أن الموافقة التي تم تلقيها تم الحصول عليها بشكل قانوني.