O princípio do consentimento é um princípio central na lei de privacidade israelense. De acordo com este princípio, na ausência de autorização, uma invasão da privacidade de uma pessoa só pode ser feita com o seu consentimento e apenas em circunstâncias em que ela tenha a capacidade de decidir quais informações relativas a ela serão divulgadas, a quem e para quais fins. O consentimento também reflete a capacidade de uma pessoa de controlar informações sobre si mesma. Nesta divulgação, a Autoridade de Proteção da Privacidade apresenta e esclarece a sua posição sobre a aplicação do princípio à luz da realidade digital em evolução, bem como sobre a aplicabilidade da Lei de Proteção da Privacidade, de 1981.

A divulgação reflete a interpretação jurídica que a Autoridade utilizará quando e para o fim de exercer os diversos poderes que lhe são conferidos por lei, incluindo a supervisão do cumprimento das disposições da lei e dos regulamentos dela decorrentes, o registo de uma base de dados no registo de bases de dados de informação, incluindo o cancelamento ou suspensão de um registo existente, e a imposição de uma multa administrativa ou sanção financeira por violação das disposições da lei.

A divulgação não trata de quando e sob que circunstâncias a obrigação de solicitar o consentimento do titular dos dados para uma invasão de privacidade se aplica, mas sim apresenta a interpretação da Autoridade relativamente a questões sobre o que constitui consentimento válido ao abrigo das leis de proteção da privacidade, e quais são as regras pelas quais tal consentimento deve ser obtido.

A seguir estão os principais pontos da divulgação:
Conteúdo do pedido de consentimento informado e sua apresentação:
O consentimento para uma invasão de privacidade, seja expresso ou implícito (ou seja, implicitamente), deve ser informado. Portanto, o solicitante do consentimento deve agir de forma a garantir que o titular dos dados esteja ciente do conteúdo do pedido, dos seus objetivos e das consequências do seu consentimento ou recusa ao pedido.

A divulgação esclarece que o cumprimento do requisito de consentimento “informado” é examinado não apenas em relação ao tipo e escopo dos dados apresentados ao titular dos dados para o seu consentimento, mas também em relação à forma como são apresentados. O consentimento dado sem que a pessoa tenha tido uma oportunidade razoável de compreender o significado do seu consentimento e as suas consequências não será considerado consentimento válido. Portanto, deve-se ter o cuidado de garantir que o conteúdo do consentimento e as informações acompanhantes sejam apresentados de forma clara, acessível, simples e compreensível. Atenção especial deve ser dada neste contexto a populações especiais, como pessoas com deficiência.

Em circunstâncias em que existem desequilíbrios de poder entre as partes, ou ao lidar com uma ação com potencial de grave invasão de privacidade, ou em outras circunstâncias complexas (como o uso de novas tecnologias cujas implicações não são suficientemente claras) – esta obrigação deve ser considerada uma obrigação aprimorada, e o solicitante do consentimento deve garantir a apresentação de todos os dados relevantes para a decisão de forma proeminente e simples, e o mais possível separadamente de outros componentes da transação. A falta de detalhes suficientes no processo de consentimento pode levar a uma violação da validade do consentimento.

Nos casos em que um serviço solicita a coleta de informações para diversos fins que são substancialmente diferentes do propósito principal da transação, isso deve ser declarado de forma clara e proeminente ao apresentar os fins de uso, o mais possível separadamente de outros componentes da transação, antes que o consentimento seja dado.

Livre arbítrio, desequilíbrios de poder e consentimento “suspeito”:
Em certas situações em que há uma preocupação inerente de que o consentimento dado seja “suspeito” (como consentimento dado em uma situação onde existem desequilíbrios de poder claros entre o solicitante do consentimento e o titular dos dados) – o ônus de provar que o consentimento para uma invasão de privacidade foi dado de livre arbítrio pode recair sobre o solicitante do consentimento. Para examinar se o consentimento foi dado por livre escolha e arbítrio, serão examinados, entre outros:
Circunstâncias do consentimento.
Momento do consentimento.
Forma de apresentação do pedido de consentimento (incluindo o uso pelo solicitante de informação de “padrões sombrios” e ferramentas de design destinadas a dificultar a compreensão pelo titular dos dados do significado do seu consentimento e das suas consequências).
Forma de obtenção do consentimento (expresso ou implícito; ativa ou passivamente).
Identidade das partes e suas relações de poder
Em casos de consentimento suspeito, o solicitante do consentimento pode tomar várias medidas – como oferecer uma alternativa razoável ou não tornar o consentimento para a coleta de informações desnecessárias uma condição para o recebimento do serviço – para demonstrar que o consentimento reflete o livre arbítrio e a escolha verdadeira do titular dos dados. A existência de outra alternativa disponível para o titular dos dados de outras entidades que prestam um serviço semelhante também pode ser considerada uma resposta adequada à alegação de que o consentimento do titular dos dados não é livre.
Forma de obtenção do consentimento:
A forma de obtenção do consentimento pode afetar a sua validade. Mesmo em casos onde a confiança no consentimento implícito é possível, é aconselhável sempre que possível abordar a pessoa para o seu consentimento expresso, especialmente em casos de coleta de dados sensíveis ou ações que possam levar a uma grave invasão de privacidade.

Regra geral, o silêncio de uma pessoa, ou a falta de protesto à coleta de informações sobre ela, não constitui, por si só, consentimento válido de acordo com as leis de proteção de privacidade. Dar consentimento verbal é uma questão que requer prova, e, portanto, recomenda-se que o solicitante de consentimento o documente por meios que possam ser apresentados, especialmente em casos de coleta de dados sensíveis ou em circunstâncias onde existam desequilíbrios de poder entre as partes.

Regra geral, o consentimento pode ser dado ativamente (Opt-in) ou passivamente (Opt-out), dependendo das circunstâncias. No entanto, a Autoridade esclarece que, em casos em que um acordo inclui cláusulas de consentimento para o uso de informações pessoais para fins de “profiling” que não são exigidos ou diretamente relacionados ao propósito de um serviço entre partes com desequilíbrios de poder – o consentimento passivo não é suficiente, e o consentimento deve ser obtido através de um mecanismo de consentimento ativo separado (Opt-in).

Invasão de privacidade sem consentimento – recurso a defesas:

A Autoridade esclarece que uma entidade que invade a privacidade de uma pessoa sem o seu consentimento e busca recorrer às disposições da Seção 18(2) da Lei para esse fim deve cumprir o requisito de proporcionalidade (Seção 20(b) da Lei). Isso inclui ser capaz de apontar as razões e interesses legítimos que, em sua opinião, justificam a invasão da privacidade do titular dos dados, e caso contrário, pode ser considerada como tendo “invadido a privacidade de forma consciente e em maior extensão do que o razoavelmente necessário” para os interesses protegidos pela Seção 18 e ter agido de má-fé.

Retirada de consentimento:

Em casos onde informações pessoais são usadas com base em consentimento legalmente obtido, e o titular dos dados deseja retirar o seu consentimento e cessar o uso de informações sobre ele, este pedido deve ser considerado favoravelmente, mesmo em casos onde o consentimento não é dado de forma irrevogável desde o início, e especialmente em situações onde o uso continuado das informações prejudicaria severamente a privacidade do requerente.

A divulgação também observa que a implementação de várias medidas para fortalecer o processo de consentimento – como preferir consentimento expresso em vez de implícito; usar um mecanismo de consentimento ativo (em oposição ao passivo); e usar ferramentas tecnológicas e de design para simplificar e tornar acessível o requisito de consentimento e as informações que o acompanham (em casos onde essas medidas não são legalmente exigidas) – permitirá ao controlador demonstrar que o consentimento recebido foi obtido legalmente.