שעון נוכחות ביומטרי בעסק: מתי זה חוקי ומה צריך כדי לעשות את זה נכון

אם שקלתם להתקין שעון נוכחות ביומטרי בעסק שלכם, כנראה שההנחה הראשונה שלכם הייתה שזה פשוט עוד רכישה של ציוד משרדי. קונים מכשיר, מתקינים אותו, והעובדים מחתימים כרטיס עם טביעת אצבע או זיהוי פנים במקום כרטיס מגנטי.

מהניסיון שלי, זו בדיוק ההנחה שגורמת לבעלי עסקים להיתקל בבעיה מאוחר יותר. כאשר המערכת משתמשת בטביעת אצבע, בזיהוי פנים או במזהה ביומטרי אחר כדי לזהות את העובד או לאמת את זהותו, מדובר ב"מידע בעל רגישות מיוחדת" לפי חוק הגנת הפרטיות – ויש לכך כללים ברורים. בפוסט הזה אני מסביר מה קבע בית הדין הארצי לעבודה, איך הרשות להגנת הפרטיות מסתכלת על הסכמה במקום העבודה, ואיך אפשר בכל זאת להשתמש בשעון ביומטרי בצורה חוקית.

לא רק ציוד משרדי – למה שעון ביומטרי הוא סיפור אחר

גם מערכת נוכחות רגילה, עם כרטיס מגנטי או קוד אישי, אוספת מידע אישי על העובדים – למשל שעות כניסה ויציאה. ההבדל הוא לא שהיא "לא אוספת כלום", אלא שמערכת ביומטרית מוסיפה סוג מידע רגיש במיוחד: מזהה שמבוסס על מאפיין גופני או התנהגותי ייחודי – טביעת אצבע, תבנית כף יד או זיהוי פנים – שאי אפשר "להנפיק מחדש" כמו כרטיס שאבד.

בגלל זה, כשמערכת כזו משמשת לזיהוי העובד או לאימות זהותו, החוק בישראל (חוק הגנת הפרטיות, לפי תיקון 13) מתייחס למזהה הביומטרי הזה כאל מידע בעל רגישות מיוחדת – קטגוריה שכוללת גם מידע רפואי ומידע גנטי. זו לא הכללה גורפת על כל מידע ביומטרי באשר הוא, אלא על השימוש הספציפי הזה – זיהוי או אימות זהות. במקרה של שעון נוכחות ביומטרי, זה כמעט תמיד בדיוק המצב. וזו לא רק סמנטיקה: הסיווג הזה יכול לשנות את חובות האבטחה שחלות על מאגר העובדים שלכם, כפי שאני מסביר בהמשך.

מה קבע בית הדין לעבודה על טביעות אצבע במקום העבודה

מה הרשות להגנת הפרטיות מצפה מעסקים שמשתמשים במערכת ביומטרית

בפברואר 2024 פרסמה הרשות להגנת הפרטיות מסמך מדיניות שעוסק ספציפית באיסוף ושימוש במידע ביומטרי במקום העבודה. המסמך אינו חוק מחייב במובן הפורמלי, אבל הוא מציב עקרונות ומבחנים שכדאי להכיר לפני שמתקינים מערכת.

הסכמה אמיתית מול הסכמה בלית ברירה

כאשר השימוש במערכת הביומטרית מבוסס על הסכמת העובד, צריך לוודא שההסכמה באמת חופשית. גילוי הדעת העדכני של הרשות בנושא הסכמה (2026) מדגיש בדיוק את הנקודה הזו: הסכמה שניתנת במסגרת יחסי כוחות לא שווים – ויחסי עבודה הם דוגמה מובהקת לכך – היא הסכמה שיש לבחון בזהירות מיוחדת. ביחסי עבודה קשה להסתמך על הסכמה אם לעובד אין אפשרות מעשית לסרב בלי שהדבר "יעלה" לו משהו.

למה חלופה לא-ביומטרית היא מרכיב כל כך משמעותי

זו הסיבה שחלופה לא-ביומטרית זמינה בפועל – כרטיס מגנטי, קוד אישי, או רישום ידני – היא לא רק "נחמד שיהיה", אלא אמצעי מרכזי להראות שהבחירה של העובד באמת הייתה חופשית. במסמך "מחזור חיי המידע האישי" נותנת הרשות דוגמה קונקרטית למערכת נוכחות ביומטרית שנבנתה נכון: החברה בחנה חלופות, קיימה תסקיר (בדיקת צורך ומידתיות), והחליטה שהשימוש יהיה וולונטרי – עובדים שלא רוצים להשתמש בזיהוי ביומטרי יכולים להמשיך להשתמש בכרטיס רגיל. זה בדיוק ההפך מעניין קלנסווה, שבו לא הייתה חלופה אמיתית והעובדות לא קיבלו מידע מספיק.

מעבר לזה, כדאי:

• להסביר לעובדים בבירור מה נאסף, למה, מי ניגש למידע, וכמה זמן הוא נשמר.
• לבדוק מראש אם יש בכלל צורך מוצדק במערכת ביומטרית, ואם אפשר להשיג את אותה מטרה באמצעי שפוגע פחות בפרטיות.
• לבדוק עם הספק איזה מידע ביומטרי נשמר בפועל, איפה הוא נשמר, והאם אפשר לצמצם את המידע הנשמר.
• לבדוק מדי פעם אם עדיין צריך לשמור את המידע, ולמחוק אותו כשעובד עוזב ואין עוד צורך בו.

מה קורה למאגר העובדים כשמוסיפים אליו מידע ביומטרי?

אם כבר קראתם על כך שמאגר העובדים שלכם הוא מאגר מידע לכל דבר, זה בדיוק אחד המקרים שבהם סוג המידע שנוסף למאגר משנה את התמונה: רשימת עובדים רגילה ומאגר נוכחות שכולל טביעות אצבע לא בהכרח כפופים לאותה רמת אבטחה.

לפי תקנות הגנת הפרטיות (אבטחת מידע), הוספת מידע ביומטרי למאגר העובדים עשויה לשנות את סיווג האבטחה שלו. מאגר עובדים שהיה יכול להישאר ברמת אבטחה בסיסית עלול, עם הוספת טביעות אצבע לצורכי זיהוי, להידרש לעמוד ברמת אבטחה בינונית – עם דרישות מחמירות יותר לבקרת גישה, גיבויים, תיעוד וניהול סיכונים. הסיווג המדויק תלוי בסוג המידע, במספר בעלי ההרשאה, במספר נושאי המידע, ובמאפיינים נוספים של המאגר – כך שלא כדאי להניח רמת אבטחה קונקרטית לפי כלל אצבע, אלא לבדוק את זה מול המאפיינים בפועל של המאגר שלכם. חשוב גם לדעת שהתקנות כוללות חריגים למאגרי עובדים מסוימים, אבל החריג הביומטרי הרלוונטי מתייחס לתמונות פנים בלבד – לא לכל סוג מידע ביומטרי.

בפועל, זה אומר שהשימוש במידע הביומטרי מתועד במסמך הגדרות המאגר הרלוונטי – למשל במסגרת מאגר העובדים הקיים, לא בהכרח כמאגר נפרד – כחלק מהחובות שחוק הגנת הפרטיות מטיל על כל עסק שמנהל מאגר מידע. הרחבה על תיקון 13 בכלל תמצאו במדריך המלא לתיקון 13.

רשימת בדיקה לפני שמתקינים שעון נוכחות ביומטרי

לפני שאתם חותמים על הזמנה, כדאי לעבור על הרשימה הבאה:

• בדקתם אם יש בכלל צורך מוצדק במערכת ביומטרית, והאם אפשר להשיג את אותה מטרה באמצעי שפוגע פחות בפרטיות.
• יש לכם אמצעי חלופי אמיתי (כרטיס, קוד, רישום ידני) שעובד יכול לבחור בו בלי השלכות.
• יש הסבר ברור ובכתב לעובדים – מה נאסף, למה, מי ניגש, וכמה זמן נשמר.
• ההסכמה שאתם אוספים היא הסכמה אמיתית, לא סעיף שנחתם יחד עם חוזה ההעסקה בלי אפשרות אמיתית לסרב.
• בדקתם עם הספק איזה מידע ביומטרי נשמר בפועל, איפה הוא נשמר, והאם אפשר לצמצם את המידע הנשמר.
• יש לכם מדיניות מחיקה – מתי המידע נמחק, ובמיוחד מה קורה כשעובד עוזב.
• בדקתם אם הוספת המידע הביומטרי משנה את רמת האבטחה הנדרשת ממאגר העובדים שלכם, ותיעדתם זאת במסמך הגדרות המאגר.

לסיכום

שעון נוכחות ביומטרי אינו אסור כשלעצמו, אבל הוא דורש יותר מחשבה ותכנון ממערכת נוכחות רגילה. צריך לבדוק שהשימוש מוצדק ומידתי, שהעובדים קיבלו מידע ברור ויכולים לקבל החלטה אמיתית, ושהמידע נשמר ומאובטח בהתאם לדרישות החלות על המאגר. אם אתם כבר משתמשים בשעון ביומטרי, או שוקלים להתקין אחד, שווה לעבור על הרשימה למעלה ולוודא שכל סעיף מסומן.

לא בטוחים מה בדיוק חל על העסק שלכם? בואו נבדוק יחד – שיחת היכרות קצרה בלי התחייבות. דברו איתי