المعلومات البيومترية: التشريع وحماية الخصوصية

صفحة الخدمة: محامٍ للتجارة الرقمية والذكاء الاصطناعي: شروط الموقع، والخصوصية، والتسويق المباشر.

ما الذي يُعتبر معلومات بيومترية، ولماذا هي محمية بشكل خاص؟

بصمة إصبعكم لا يمكن تغييرها ولا استبدالها — وإذا انكشفت، لا يمكن استرجاعها. وهذا بالضبط ما يجعل المعلومات البيومترية الفئة الأكثر حماية في قوانين الخصوصية الإسرائيلية. يعرّف قانون حماية الخصوصية، 1981 (חוק הגנת הפרטיות, התשמ״א-1981)، بصيغته في التعديل رقم 13، «المعرِّف البيومتري» — مثل بصمة الإصبع، أو مسح قزحية العين، أو نموذج الوجه، أو الصوت — الذي يُستعمل للتعرّف المحوسَب، وكذلك المعلومات الوراثية، على أنها «معلومات ذات حساسية خاصة» (المادة 3). ولا يجوز معالجة المعلومات الموجودة في قاعدة البيانات إلا لغرض قاعدة البيانات الذي حُدِّد لها وفق القانون (المادة 8(ب))، والمادة 2(ج) من أنظمة أمن المعلومات تُلزم بالفحص مرة في السنة لمعرفة ما إذا كانت تُحفظ معلومات أكثر من اللازم. والمخالفة قد تجرّ عقوبة مالية، ودعوى مدنية (المادة 31ب)، وفي ظروف معيّنة مسؤولية جنائية أيضًا.

متى يُسمح بجمع المعلومات البيومترية، ومتى يُحظر قطعًا؟

نقطة الانطلاق: من يطلب من شخص معلومات شخصية لمعالجتها في قاعدة بيانات يجب أن يُعلمه هل يقع عليه واجب قانوني بتسليمها، ولأي غرض تُجمع، ولمن ستُسلَّم (المادة 11)، وعندما يستند الجمع إلى الموافقة — يجب أن تكون «موافقة مستنيرة» (المادة 3). واستعمال المعلومات لغرض غير الغرض الذي سُلِّمت من أجله هو مسّ بالخصوصية (المادة 2(9)) — ولذلك لا يمكن الحصول على موافقة عامة واستعمال المعطيات لأي غرض يطرأ. فمن وافق على مسح إصبعه لأغراض الدخول إلى مبنى — لم يوافق على أن يُستعمل المسح نفسه لمراقبة الأداء.

تسري الأحكام على الهيئات الخاصة والعامة على حد سواء، لكن السلطات الأمنية، ومنها الشرطة، لا تتحمّل المسؤولية وفق القانون عن مسّ تمّ بشكل معقول في إطار وظيفتها (المادة 19(ب))، وجمعُ السلطات لوسائل التعريف البيومترية منظَّم في قوانين خاصة. والبنك أو المشغِّل الذي يركّب منظومة بيومترية يجب أن يوثّق الإشعار والموافقة، وأن يستعمل المعطيات للغرض المحدَّد فقط.

حقوقكم: الاطّلاع والتصحيح والمحو

يمنح قانون حماية الخصوصية كل شخص حق الاطّلاع على المعلومات الشخصية المتعلقة به المحفوظة في قاعدة بيانات — بما في ذلك المعلومات البيومترية (المادة 13). ووفق أنظمة الاطّلاع، يجب إتاحة الاطّلاع، بنسخة مطبوعة أو بالعرض، خلال 30 يومًا من تسلّم الطلب (المادة 2(أ) من الأنظمة). وإذا كانت المعلومات غير صحيحة أو غير كاملة أو غير واضحة أو غير محدَّثة — يمكن طلب تصحيحها أو محوها (المادة 14)؛ واستعمال المعلومات لغرض غير الذي سُلِّمت من أجله هو مسّ بالخصوصية (المادة 2(9)).

التعديل رقم 13 لقانون حماية الخصوصية، 2024 (ساري المفعول منذ 14.8.2025) لم يُضف حقًا عامًا في المحو. فوفق القانون والأنظمة التي سُنّت بموجبه، الحق في المطالبة بمحو معلومات لم تعد ضرورية قائم فقط في قاعدة بيانات توجد فيها معلومات نُقلت إلى إسرائيل من المنطقة الاقتصادية الأوروبية — بالنسبة إلى تلك المعلومات وإلى كل معلومة أخرى في قاعدة البيانات نفسها (المادتان 2–3 من أنظمة حماية الخصوصية (أحكام بشأن المعلومات المنقولة إلى إسرائيل من المنطقة الاقتصادية الأوروبية)، 2023 (תקנות הגנת הפרטיות (הוראות לעניין מידע שהועבר לישראל מהאזור הכלכלי האירופי), התשפ״ג-2023))؛ ومن قاعدة بيانات تُستعمل للتسويق المباشر يحق لكل شخص أن يطالب كتابةً بمحو المعلومات المتعلقة به (المادة 17و(ب)). ملاحظة: لا تخلطوا بين أحكام قانون حماية الخصوصية الإسرائيلي وبين اللائحة الأوروبية لحماية البيانات (GDPR) — فالحقوق في إسرائيل قائمة لكنها مختلفة في تفاصيلها.

متى يحق للشرطة جمع معلومات بيومترية دون موافقة؟

هناك استثناءات قانونية تتيح لسلطات الإنفاذ جمع معلومات بيومترية دون موافقة مسبقة، لكن دائمًا بشروط محدَّدة:

• التحقيق في المخالفات: الشرطي مخوَّل بأخذ بصمات الأصابع ووسائل تعريف أخرى من مشتبه به يُحقَّق معه تحت التحذير، ومن متّهم ومن مُدان، وبإدراج معطيات التعريف في قاعدة بيانات الشرطة (المادتان 11ب و11يج من قانون الإجراءات الجنائية (صلاحيات الإنفاذ – التفتيش في الجسم وأخذ وسائل التعريف)، 1996 (חוק סדר הדין הפלילי (סמכויות אכיפה – חיפוש בגוף ונטילת אמצעי זיהוי), התשנ״ו-1996)). وتُمحى معطيات التعريف الوراثي لمشتبه به فقط عند انقضاء سبع سنوات من أخذها، أو بعد 60 يومًا من انتهاء الإجراء دون إدانة — أيّهما أبعد (المادة 11كج).
• المعابر الحدودية والمطارات: قانون إدراج وسائل التعريف البيومترية ومعطيات التعريف البيومترية في وثائق التعريف وفي قاعدة بيانات، 2009 (חוק הכללת אמצעי זיהוי ביומטריים ונתוני זיהוי ביומטריים במסמכי זיהוי ובמאגר מידע, התש״ע-2009) يخوّل أصحاب وظائف — ومنهم العاملون في وزارة الداخلية، والشرطيون، ورجال الأمن في الطيران — بمقارنة صورة الوجه أو بصمة الإصبع بالمعطيات الموجودة في وثيقة التعريف، والمعطيات التي أُخذت لهذا الغرض تُمحى، كقاعدة عامة، فور المقارنة (المادة 6).
• الأمن القومي: صور الوجه التي تُؤخذ لإصدار بطاقات الهوية وجوازات السفر تُحفظ في قاعدة بيانات بيومترية سرّية (المادة 10 من القانون نفسه)؛ ونقل المعلومات منها إلى السلطات الأمنية يتمّ وفق قواعد محدَّدة (المادة 21)، ونقلها إلى الشرطة لأغراض التحقيق مشروط، كقاعدة عامة، بأمر من المحكمة المركزية (المادة 17).

والسلطات الحكومية أيضًا — لا الشركات الخاصة فقط — تسري عليها قيود. والافتراض بأن السلطة الحكومية يحق لها جمع المعطيات البيومترية بحرية كما تشاء — خاطئ.

المشغِّل طلب بصمة إصبعكم؟ ما المسموح له وما الممنوع

المشغِّل الذي يريد جمع معلومات بيومترية من العاملين — للدخول إلى منشآت محميّة أو لتسجيل الحضور — يحتاج على الأقل إلى: إشعار مسبق وفق المادة 11 من القانون (الغرض، وهل التسليم إلزامي أم اختياري، ولمن ستُنقل المعلومات)، وموافقة مستنيرة، وتأمين وفق أنظمة أمن المعلومات — فقاعدة البيانات التي فيها معلومات بيومترية تخضع، كقاعدة عامة، لمستوى الأمن المتوسط على الأقل (الملحق الأول للأنظمة يحدّد استثناءات، مثلًا لصور وجوه العاملين التي تُستعمل لإدارة المصلحة فقط). واستعمال المعطيات البيومترية لغرض غير الغرض المحدَّد — مسّ بالخصوصية (المادة 2(9)).

إضافةً إلى ذلك، إذا كان هناك بديل أقل تدخّلًا (مثلًا بطاقة مغناطيسية بدل مسح الإصبع)، يمكن للعامل أن يدّعي أن المشغِّل لم يكن يحق له فرض الحل البيومتري. ومحاكم العمل تفحص التناسب: هل البيومترية ضرورية، أم يمكن الاكتفاء بأقل منها؟

كيف يجب تخزين المعلومات البيومترية وتأمينها؟ السلطات والمصالح التجارية التي تحوز معلومات بيومترية ملزَمة بتطبيق أنظمة حماية الخصوصية (أمن المعلومات)، 2017 (תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017): إجراء أمن مكتوب، وتقييد الوصول بأصحاب الصلاحية، والتشفير عند نقل المعلومات عبر شبكة عامة (المادة 14(ب) من الأنظمة). وحادث الخرق الأمني الخطير يستلزم إبلاغًا فوريًا لسلطة حماية الخصوصية، التي يحق لها أن تأمر بإبلاغ المتضررين (المادة 11(د) من الأنظمة)، والمخالفة قد تفتح لهم حق رفع دعوى.

طُلبت منكم بصمة إصبعكم؟ ما الذي يجب أن يرد في الإشعار

وفق المادة 11 من القانون، بصيغتها في التعديل رقم 13، يجب أن يشمل طلب الحصول على المعلومات:

• هل تسليم المعلومات واجب قانوني أم متوقف على موافقتكم، وما النتيجة إذا لم توافقوا (الفقرة (1))؛
• لأي غرض تُطلب المعلومات (الفقرة (2))؛
• اسم المتحكّم في قاعدة البيانات وطرق التواصل معه (الفقرة (2أ))؛
• لمن ستُسلَّم المعلومات ولأي أغراض (الفقرة (3))؛
• أن لكم حق الاطّلاع والحق في طلب تصحيح المعلومات (الفقرة (4)).

لم تتلقّوا إشعارًا كهذا؟ يمكن المطالبة به من المتحكّم في قاعدة البيانات. وإذا مضى 30 يومًا على المطالبة دون إشعار، يحق للمحكمة أن تحكم بتعويضات نموذجية تصل إلى 10,000 ش.ج.، دون إثبات ضرر (المادة 15أ(أ)(2)).

مُسّت خصوصيتكم؟ كم تعويضًا يمكن المطالبة به

من مُسّت خصوصيته — مثلًا عندما استُعملت معلومات بيومترية لغرض غير الذي سُلِّمت من أجله — يحق له المطالبة بتعويض وفق قانون حماية الخصوصية، وفي دعوى عن ضرر مدني وفق المادة 4 حتى دون إثبات ضرر، حتى السقف المحدَّد في المادة 29أ. ومخالفة أحكام القانون بشأن قواعد البيانات والأنظمة التي سُنّت بموجبه هي ضرر مدني (المادة 31ب)، والمادة 15أ تتيح تعويضات نموذجية عن مخالفات معيّنة لواجبات صاحب قاعدة البيانات. والمبالغ التي يُحكم بها تتفاوت بحسب خطورة المخالفة ونطاقها.

إذا ثبت أن المسّ تمّ بنيّة الإضرار، يتضاعف سقف التعويض دون إثبات ضرر (المادة 29أ(ب)(2))، ويحق للمحكمة أيضًا أن تُلزم بمصاريف المحاكمة.