שעון נוכחות ביומטרי בעבודה: מה מותר למעסיק לדרוש

נקודות עיקריות

• אין הוראת חוק המתירה למעסיק לדרוש מידע ביומטרי לצורך בקרת נוכחות; לכן האיסוף נשען על הסכמה מדעת בלבד.
• הסכמה שניתנת תחת איום סנקציה או כתנאי לקבלת שכר אינה הסכמה חופשית — ביחסי עבודה זו הנקודה הרגישה ביותר.
• חובת המידתיות מחייבת לבדוק חלופות פוגעניות פחות, כמו כרטיס עובד ללא מידע ביומטרי, או שמירת התבנית על כרטיס חכם בלבד ולא במאגר מרכזי.
• המעסיק חייב ליידע את העובדים על מאפייני המערכת, הסיכונים, אמצעי האבטחה והאפשרות להפסיק את השימוש בה.
• מידע ביומטרי הוא מידע רגיש שאי אפשר להחליף אחרי דליפה — סיסמה מחליפים, טביעת אצבע לא.

תוכן עניינים

• מהו מידע ביומטרי ולמה הוא שונה מכל מידע אחר?
• האם מעסיק רשאי לחייב עובד למסור טביעת אצבע?
• מה הופך הסכמה של עובד לחופשית ומדעת?
• אילו חלופות קיימות לשעון נוכחות ביומטרי?
• מה נדרש באבטחת המידע הביומטרי?
• איך מטמיעים מערכת נוכחות ביומטרית כחוק?
• מי אחראי כשהעובדים מועסקים דרך קבלן?
• שאלות ותשובות

שעון נוכחות ביומטרי הוא מערכת דיווח נוכחות המזהה עובד לפי מאפיין גופני — טביעת אצבע, כף יד, תווי פנים או קשתית העין — במקום לפי כרטיס או קוד. הוא נפוץ בישראל במפעלים, ברשתות קמעונאות, במוסדות ובחברות כוח אדם — וגם מהנושאים שהרשות להגנת הפרטיות התייחסה אליו במפורש. מי שמתחיל עכשיו לסדר את תשתית הפרטיות בארגון ימצא הקשר רחב יותר במדריך תיקון 13.

מהו מידע ביומטרי ולמה הוא שונה מכל מידע אחר?

מידע ביומטרי הוא נתון הנגזר ממאפיין גופני ייחודי של אדם ומשמש לזיהויו. הייחוד שלו הוא שאי אפשר להחליף אותו. סיסמה שדלפה מחליפים בדקות; תבנית טביעת אצבע שדלפה נשארת עם העובד לכל חייו, ועלולה לשמש להתחזות מול מערכות אחרות. לכן הרף המשפטי שחל עליו גבוה מהרגיל.

חשוב להבחין בין שני דברים: התמונה הגולמית (למשל סריקה מלאה של האצבע) לבין התבנית המתמטית — מחרוזת מספרים שנגזרת ממנה. שמירת תבנית בלבד, בלי התמונה המקורית, מצמצמת את הנזק הפוטנציאלי — אבל אינה מבטלת אותו. ראו גם מידע בעל רגישות מיוחדת ומה זה מחייב.

האם מעסיק רשאי לחייב עובד למסור טביעת אצבע?

לא. כל עוד אין הוראה בחוק המתירה את הדבר, מעסיק אינו רשאי לחייב עובד למסור טביעת אצבע לצורך שעון נוכחות ביומטרי; נדרשת הסכמה מדעת של העובד. העיקרון הזה נקבע בפסיקת בתי הדין לעבודה ואומץ במסמך המדיניות של הרשות להגנת הפרטיות בנושא בקרת נוכחות ביומטרית במקום העבודה, שפורסם בפברואר 2024.

משמעות הדבר היא שעובד שמסרב למסור טביעת אצבע אינו מפר משמעת, והמעסיק חייב להעמיד לרשותו דרך חלופית לדיווח נוכחות — בלי לפגוע בשכרו או בתנאי העסקתו. מערכת שמופעלת בלי חלופה היא בעייתית גם אם כל העובדים חתמו על טופס.

מה הופך הסכמה של עובד לחופשית ומדעת?

הסכמה חופשית ומדעת היא הסכמה שניתנה אחרי שהעובד קיבל מידע מלא על המערכת, ושאפשר לסרב לה בלי מחיר. ביחסי עבודה יש פער כוחות מובנה, ולכן הבדיקה אינה ״האם חתם״ אלא ״האם יכול היה לא לחתום״.

היידוע שחייב להינתן לעובד כולל לפחות את אלה: מה בדיוק נאסף ובאיזה פורמט; לאיזה צורך בלבד ישמש המידע; מי יוכל לגשת אליו; כמה זמן יישמר; אילו סיכונים קיימים; ואיך אפשר לחזור בו מההסכמה ולבקש מחיקה. הנוסח והתיעוד של ההסכמה מפורטים במאמר על הסכמה מדעת לעיבוד מידע אישי.

אילו חלופות קיימות לשעון נוכחות ביומטרי?

חובת המידתיות מחייבת לבדוק תחילה אם קיימת דרך שמשיגה את אותה מטרה בפגיעה פחותה בפרטיות — וברוב מקומות העבודה היא קיימת. הטבלה משווה את החלופות הנפוצות:

שילוב נפוץ וסביר: כרטיס רגיל כברירת המחדל לכל העובדים, ומערכת ביומטרית רק באזורים שבאמת מצדיקים אותה — למשל חדר שרתים או מחסן חומרים מסוכנים — ולא לצורך דיווח שעות.

מה נדרש באבטחת המידע הביומטרי?

מאגר שמחזיק מידע ביומטרי הוא מאגר רגיש, ולכן נדרשת לו רמת אבטחה גבוהה יותר ממאגר עובדים רגיל. בפועל זה מתורגם לחמישה דברים: הצפנה של התבניות במנוחה ובמעבר, הפרדה ממערכות אחרות, הרשאות גישה מזעריות, תיעוד גישה ביומנים, ומחיקה מובנית עם סיום העסקה.

נקודה שנשכחת כמעט תמיד: המערכת הביומטרית מסופקת ומתוחזקת בדרך כלל על ידי גורם חיצוני, שלעיתים מחזיק את המידע בענן שלו. זה הופך אותו למחזיק מידע עבורכם, ומחייב הסכם עיבוד מידע מסודר מול הספק — לא רק חוזה שירות טכני.

איך מטמיעים מערכת נוכחות ביומטרית כחוק?

הסדר הנכון הוא להצדיק קודם, להתקין אחרי כך — ולא להפוך. שבעה הצעדים:

1. הגדירו את המטרה בכתב. מה בדיוק הבעיה שהמערכת אמורה לפתור — זיוף דיווחים, ביטחון פיזי או נוחות.
2. בדקו חלופות ותעדו את הבדיקה. התיעוד הזה הוא ההגנה שלכם בטענת חוסר מידתיות.
3. בצעו הערכת סיכונים לפרטיות — ראו תסקיר השפעה על הפרטיות (DPIA).
4. בחרו ארכיטקטורה מצמצמת. תבנית בלבד, עדיף על כרטיס העובד ולא במאגר מרכזי.
5. יידעו בכתב והחתימו הסכמה נפרדת — לא סעיף בחוזה העבודה.
6. העמידו חלופה אמיתית למי שמסרב, בלי פגיעה בתנאים.
7. קבעו מדיניות מחיקה. מחיקה אוטומטית עם סיום יחסי העבודה או עם חזרה מההסכמה.

מי שכבר מפעיל מערכת כזו בלי השלבים האלה אינו חייב לכבות אותה מחר, אבל כן כדאי לבצע השלמה מסודרת: הצדקה כתובה, יידוע מחדש לעובדים, וחלופה למי שמסרב.

מי אחראי כשהעובדים מועסקים דרך קבלן?

במבנה הנפוץ של העסקה עקיפה, שני גופים נוגעים באותו מידע ביומטרי: המעסיק בפועל שמפעיל את השעון, וחברת הכוח האדם שמשלמת את השכר — וצריך להחליט מראש מי מהם בעל המאגר. בלי הכרעה בנקודה הזו, המידע נשמר בלי שאף אחד מחזיק באמת באחריות עליו — מצב שחוזר באתרי בנייה, בשמירה ובניקיון.

הכלל המעשי פשוט: מי שקובע לשם מה נאסף המידע ומי ששולט במערכת הוא הבעלים של המאגר, ועליו מוטלות חובות היידוע, ההסכמה והאבטחה. הגורם השני הוא מקבל מידע או מעבד מטעמו, והיחסים ביניהם צריכים להיות מוסדרים בהסכם. שאלות שכדאי לסגור מראש: האם הקבלן רואה רק שעות או גם את התבניות עצמן; מה קורה למידע כשהעובד עובר לאתר אחר; ומי מוחק אותו כשההתקשרות מסתיימת. הרחבה על חלוקת האחריות במאמר מיקור חוץ ומאגרי מידע.

הבדל חשוב נוסף: בקרת נוכחות אינה מעקב. מערכת שנועדה לדעת מתי עובד נכנס ויצא היא דבר אחד; מערכת שעוקבת אחרי תנועה בתוך האתר, משך הפסקות או קצב עבודה היא כבר ניטור עובדים, שכפוף לכללים נוספים — ראו מעקב אחר עובדים: מה מותר למעסיק לנטר. ערבוב בין השניים — שעון ש״בדרך אגב״ מתעד גם מיקום או תדירות יציאות — הוא המקום שבו עסקים נכשלים במבחן המידתיות.

שאלות ותשובות

האם אפשר להתנות קבלת שכר בדיווח ביומטרי?

לא. התניית תנאי עבודה במסירת מידע ביומטרי שוללת את חופשיות ההסכמה, והופכת אותה לבלתי תקפה כבסיס לעיבוד.

מה עושים עם עובד שמסרב למסור טביעת אצבע?

מעמידים לרשותו דרך דיווח חלופית — כרטיס, קוד אישי או דיווח ידני — בלי פגיעה בשכר, בקידום או בתנאי העסקה.

האם זיהוי פנים שונה מטביעת אצבע מבחינה משפטית?

מבחינת עקרונות היסוד — לא. שניהם מידע ביומטרי המחייב הסכמה ומידתיות. זיהוי פנים נוטה להיות פולשני יותר, כי הוא פועל בלי מגע ולעיתים בלי שהעובד מודע לרגע הקליטה.

האם חובה למחוק את המידע כשעובד עוזב?

כן. המטרה שלשמה נאסף המידע חדלה להתקיים, ולכן אין בסיס להמשיך להחזיק בו. ראוי לקבוע נוהל מחיקה אוטומטי עם סיום העסקה.

מה הסיכון אם ממשיכים כרגיל בלי לבדוק?

שתי חזיתות: הליך מול הרשות להגנת הפרטיות על עיבוד ללא בסיס חוקי, ותביעות של עובדים בבתי הדין לעבודה. הסיכון גדל כשאין תיעוד של יידוע ושל בדיקת חלופות.

המידע במאמר זה הוא כללי ואינו מהווה ייעוץ משפטי. לפני קבלת החלטות יש להיוועץ בבעל מקצוע מוסמך.

בשורה התחתונה: האם שעון נוכחות בטביעת אצבע חוקי?

כן, אבל רק בתנאים. בית הדין הארצי לעבודה קבע בפרשת קפרית (2017) שמעסיק אינו רשאי לכפות על עובד מסירת טביעת אצבע, ושעובד שמסרב זכאי לחלופה שאינה ביומטרית. מאז תיקון 13, מידע ביומטרי הוא מידע בעל רגישות מיוחדת, ולכן הדרישות מחמירות עוד יותר.

• הסכמה אמיתית: הסכמה חופשית ומדעת, בלי סנקציה על סירוב — ראו איך מנסחים ומתעדים הסכמה.
• חלופה זמינה: כרטיס, קוד או אפליקציה לעובד שלא מסכים.
• אבטחה ומחיקה: שמירת תבנית מוצפנת בלבד, הרשאות מצומצמות ומחיקה בסיום ההעסקה.

שעון ביומטרי הוא מקרה אחד מתוך כלל רחב יותר: מה מותר למעסיק לנטר ומה אסור.