מאת ד"ר טל מימרן ועו"ד עדן פרבר
התייחסות מכון תכלית: ועדת הבדיקה הממשלתית לבדיקת שימוש בכלי סייבר למעקב ואיסוף, התשפ"ד-2024 | 14.04.2024
לכבוד:
השופט (בדימוס) משה דרורי – יו"ר הוועדה
עו"ד ענבל רובינשטיין – חברת הוועדה
מר שלום בן חנן – חבר הוועדה
אנו מתכבדים להציג את עמדתנו בפני ועדת הבדיקה הממשלתית לבדיקת רכש, מעקב ואיסוף מידע בכלים קיברנטיים אחר אזרחים ונושאי משרה, המבוצעים על ידי גורמי האכיפה. העיסוק בכלים קיברנטיים למעקב ואיסוף, או כלי סייבר דורש מבט רחב בשני מובנים. ראשית, חשוב להביא בחשבון את הקמפיין הבינלאומי לגבי הצבת מגבלות על כלי סייבר למעקב ואיסוף, או הצורך באיסור על השימוש בהם, ומאחר והדבר משפיע על המעמד, התדמית והכלכלה של מדינת ישראל. שנית, יש להסתכל על המגמה של שימוש גובר בכלים טכנולוגיים על ידי גורמי אכיפת חוק במדינת בישראל, בפרספקטיבה רחבה ככל הניתן, בכדי להבין את ממדי התופעה ואת השלכות הרוחב שלה. במסמך זה, נבקש להציג את שתי נקודות המבט הרחבות הללו, במטרה להבין מהי הדרך הנכונה קדימה – במובן של מיסוד מנגנוני פיקוח על פיתוח, הכנסה לשימוש והפעלה של כלי סייבר למעקב ואיסוף מידע.
תמצית עמדתנו
נבקש להסתכל במבט רחב על טרנד השימוש בכלי סייבר למעקב ואיסוף בכדי להמחיש את אתגרי הפיקוח עליהם, ההשפעה על מעמדה הבינלאומי של ישראל, הפגיעה באמון הציבור, והסכנות ביחס לניהול מאגרי מידע אישי. עמידה על שיקולים אלו תאפשר למקסם את ההנאה מיכולות טכנולוגיות מתקדמות, מצרך חשוב עבור גורמי אכיפת חוק בעידן הנוכחי, תוך שמירה על ערכי יסוד של החברה, שיקום אמון הציבור ביום שאחרי השבעה באוקטובר ושיפור תדמיתה הבינלאומית של מדינת ישראל.
דיוני הוועדה מייצרים הזדמנות פז לפתח מדיניות רחבה ומתואמת בסוגיות השונות שמעלה השימוש בטכנולוגיות מתקדמות, וזאת במקום תיקוני חקיקה צרים שמסתכלים רק ביחס לנושא אחד. בפרט, חשוב להתמודד עם ההשפעה של כלי סייבר למעקב ואיסוף על גורמי אכיפת החוק, הביטחון הלאומי, זכויות אדם, מעמדה המדיני של ישראל, העוצמה הכלכלית של התעשייה ואמון הציבור ברשויות.
על מנת לאזן בין השיקולים השונים, ברמה המעשית, אנו מציעים לקדם פיקוח דו-שלבי: מיסוד מנגנון פיקוח בשלבי הפיתוח של כלי סייבר שיש בהם יישום ביטחוני, וכן עיגון וחיזוק פיקוח פרלמנטרי על הכנסה לשימוש והפעלה של טכנולוגיות מעקב ואיסוף על ידי כוחות הביטחון.
א. טכנולוגיות בשימוש אכיפת החוק – סקירה רוחבית
בשנים האחרונות, אנו עדים למגמה גוברת של הכנסה לשימוש של כלי סייבר מתקדמים וטכנולוגיות חדשניות בשירות גורמי אכיפת חוק וכוחות הביטחון. כך, בין היתר, גורמי אכיפת החוק עושים שימוש בכלי מעקב ואיסוף דוגמת מערכת עין הנץ או מערכת ההכללה בנמל התעופה בן גוריון (נתב"ג) אשר משמשת ליצירת רשימת הכללה של חשודים פוטנציאלים (המבוססת על בינה מלאכותית). גורם מאיץ של מגמה זו הוא אסון השבעה באוקטובר – אירוע שפגע בבטן הרכה של החברה הישראלית – אשר הוביל לגל חקיקה שהגביר את ההישענות על כלים טכנולוגיים מסוגים שונים, דוגמת מערכות צילום מיוחדות, לצד מתן סמכות לגישה למצלמות של אזרחים פרטיים בשעת חירום. נתחיל עם סקירה של כלל המהלכים אשר נכללים בגדרי טרנד זה, מפרשיות פגסוס-סייפן ועד היום, ומשם נדון באיזון הדרוש בין חיזוק מערך הביטחון לחירויות הפרט, בשאיפה לקדם עיצוב פתרונות מותאמים.
I. יוצאים לדרך - רוגלות ישראליות תופסות לא רק פושעים, אלא גם את תשומת לב העולם
רוגלות סייבר מאפשרות לחדור מרחוק ובאופן סמוי למכשיר סלולרי, להפעיל את הפונקציות השונות בו ולשאוב את תכולתו. על רקע התלות הגוברת של האנושות בטכנולוגיה, ובמכשירי סלולר בפרט, הפכו רוגלות וכלי סייבר מודיעיניים לאמצעי מרכזי בארסנל של גופי אכיפת חוק, בעיקר לשם מאבק בטרור, והתמודדות עם פשיעה חמורה או עם אסונות רבי נפגעים.[1] אין ספק, מדובר בכלי חשוב ביותר לשם שימור יכולת אכיפת חוק בעידן הדיגיטלי, אלא שמדובר גם בכלי שניתן לנצלו לרעה בקלות.[2]
ישראל נחשבת לאחד מהמוקדים המרכזיים בזירת הסייבר ההתקפי, או המודיעיני. [3]תעשייה זו מסייעת למצב את ישראל כמובילה טכנולוגית; ומשפיעה, לטוב ולרע, על תדמיתה הבינלאומית. בנוסף, בתור תעשייה שהניבה בשיאה מחזור שנתי של כמיליארד דולר, יש לה חשיבות כלכלית.[4] בהתאם, מערכת הביטחון עודדה את התעשייה במשך שנים רבות, ואף היא מינפה אותה לקידום יחסים בינלאומיים (כפי שנעשה במסגרת הסכמי אברהם, למשל).[5]
בשנים האחרונות, נשחקה תדמיתה של תעשיית הסייבר ההתקפי בעקבות גילויים לגבי שימוש לרעה שנעשה בהן.[6] בין היתר, נטען כי רוגלות שימשו למעקב אחר פעילי זכויות אדם בבחריין וירדן, גורמי אופוזיציה בפולין, סגל דיפלומטי באוגנדה, עיתונאים באל-סלוודור ואף נציגי או"ם. אחת ההאשמות הייתה כי רוגלות תוצרת ישראל סייעו במימוש המזימה להוציא להורג את העיתונאי ג'מאל חשוקג'י בשגרירות סעודיה בטורקיה.[7] על רקע זה, החל קמפיין בינלאומי נגד מכירת רוגלות, אגב התמקדות מיוחדת בחברות ישראליות. כך, נציבות זכויות האדם של האו״ם, ומועצת אירופה, קראו לעצור את הייצוא, והמכירה של טכנולוגיות מעקב עד ליצירת הסדר בינלאומי.[8] בנוסף, הוקמה ועדת חקירה של האיחוד האירופי, שקבעה, בין היתר, כי שימוש ברוגלות פוגע בשלטון החוק ומערער יסודות דמוקרטיים.[9]
בארה"ב, הוחלט ב-2021 על הכנסת NSO ל"רשימה השחורה" של מחלקת המסחר,[10] ולאחרונה אימץ נשיא ארה"ב צו נשיאותי בנושא השימוש בכלי סייבר התקפיים.[11] הצו מגדיר כי גורמי ממשל אמריקנים לא יוכלו לעשות שימוש ברוגלה אשר שימשה לאיסוף מידע של ממשלת ארה"ב או מידע אישי של אזרחיה, או שהובילה לפגיעה בזכויות אדם. צעד דרמטי נוסף הגיע ב-5 בפברואר 2024, אז הודיעה מחלקת המדינה האמריקנית כי תטיל מגבלות על הנפקת ויזה לארה"ב על אישים שמעורבים, או היו מעורבים, בפיתוח, הפצה או שימוש ברוגלות שנוצלו לרעה, וכן על בני משפחותיהם.[12] במקביל לתגובות של ארגונים בינלאומיים, גם השוק הפרטי הגיב בנחרצות למשבר בנושא השימוש רעה ברוגלות. למשל, אמזון החליטה לפעול לניתוק חברת NSO משרתי הענן שלה, וחברת אפל וחברת וואטסאפ, שלמוצריהן פרצו לכאורה באמצעות רוגלות, אף תבעו את החברה הישראלית.[13]
לסיכום, הקמפיין הבינלאומי נגד רוגלות משפיע באופן דרמטי על תעשיית הסייבר המודיעיני בישראל, וכתוצאה מכך על מעמד, תדמית וכלכלת המדינה. חשוב שמדינת ישראל תאותת לעולם כי היא מבקשת לקדם שימוש אחראי ברוגלות, באמצעות מיסוד מנגנון פיקוח המבקש להתמודד עם האתגרים ביחס לניצול לרעה של כלי סייבר אגב מקסום היתרונות שלהם להגנה על ביטחון הציבור, כפי שנציע בחלק המסכם של חוות דעת זו.
I. העלילה מסתבכת: הכנסה לשימוש של רוגלות למרחב הישראלי
זמן לא רב לאחר הגילויים על ניצול לרעה של רוגלות ישראליות בחו"ל, התעורר חשד כי משטרת ישראל השתמשה גם היא ברוגלות לאיסוף מידע.[14] בעקבות הביקורת הציבורית שהתעוררה, הוקמה ועדת מררי, אשר קבעה כי אכן הוכנסו לשימוש מערכות האזנה עם יכולות מרחיקות לכת, מבלי שהמשמעות הדרמטית של ההכנסה לשימוש שלהן, מה שהוגדר על ידי הוועדה בתור "נקודת מפנה בעולם האזנות הסתר", הובנה לאשורה על ידי גורמי אכיפת החוק.[15] לאחר אימוץ הדו"ח, החל רצף דיונים של ועדת החוקה, חוק ומשפט של הכנסת ביחס לפרשה, אשר הוכיחו את חשיבותם במובן של שקיפות ציבורית, וגם בזכות העובדה שהם הובילו לגילויים חדשים.[16] למשל, נתחוור כי הפרקליטות החליטה למשוך ראיות שהוגשו במסגרת תיק רצח כפול של האחים שאפע וסלאח אבו-חוסיין, היות שאלו נשאבו בניגוד לחוק.[17] חשוב מכך, בסיום הדיונים הומלץ על הקמת ועדה מכובדת זו, במטרה לשקף לציבור את התמונה המלאה של מה שהתרחש ולקדם במבט קדימה מדיניות אחראית שתסייע בשיקום אמון הציבור.[18]
פרשיות פגסוס־סייפן מעידות על חשיבות הפיקוח על אופן ההכנסה לשימוש וההפעלה של כלי סייבר למעקב ואיסוף, במיוחד באקלים רגיש פוליטית וביטחונית – כמו במחוזותינו.[19] כפי שנסביר בהמשך, המערך הנוכחי הקיים בישראל אינו מספק – לפחות במבחן התוצאה. זאת, מאחר ומערך הפיקוח הקיים מאפשר בחינה של טכנולוגיות רק בשלב מאוחר, כאשר ישנו קושי לבצע בהן שינויים מהותיים, בין היתר בשל שיקולים כלכליים של פיתוח והתועלת הכלכלית של מתן הרישיון לטכנולוגיה כמות שהיא. בהתאם, נציע מנגנוני פיקוח משלימים אשר יבקשו למקסם את היתרונות של כלי סייבר למעקב ואיסוף תוך הגנה על אינטרסים קריטיים עבור מדינת ישראל ואזרחיה.
II. תמונה אחת שווה אלף מילים? מערכות צילום מיוחדות בשירות גורמי אכיפת חוק
מערכת טכנולוגית נוספת אשר נמצאת בשימוש המשטרה היא מערכת עין הנץ, אשר רותמת את היכולות של טכנולוגיית זיהוי פנים במטרה לזהות לוחית רישוי באופן אוטומטי או אוטומטי למחצה. [20]מערכת זו מבוססת על מערך מצלמות המותקנות בכבישים ברחבי הארץ אשר עוקבות, מצלמות ומזהות באופן אוטומטי ובכל שעות היממה לוחיות רישוי באמצעות טכנולוגיות עיבוד תמונה מתקדמות (Automatic License Plate Reader).[21]
שנים רבות שמשטרת ישראל עשתה שימוש במערכת זו ביחידותיה השונות וביניהן, יחידת מג"ב, אגף התנועה ואגף המבצעים – אף בטרם הוסדר השימוש בה בחקיקה. כחלק מן השימוש במערכת מתפעלת המשטרה מאגר מידע אשר כולל רשימה של כלי רכב שנגנבו, הורדו מהכביש, צילומי וידאו ותמונות סטילס שנאספו באמצעות המצלמות הפרושות ברחבי הארץ, לרבות תמונות הרכב, מספר לוחית הרישוי ותמונות תקריב של הנוסעים בתוכו שבהן נראים פניהם של הנוסעים.[22] עוד לפני הסדרתו בחוק, נעשה שימוש בראיות מתוך המאגר שנוצר בעקבות פעילות עין הנץ.[23] כך, לדוגמה, במ"ת (שלום ב"ש) 57000-02-23 מדינת ישראל נ' שטרית (10.5.2023), תיעוד וצילום ממאגר מערכת עין הנץ סייע לבסס תשתית ראייתית נגד הנאשם לצורך החלטה על מעצר עד תום ההליכים.
לצד היתרונות הגלומים בשימוש במערכת עין הנץ, לשימוש נלווים גם סיכונים הדורשים לתת עליהם את הדעת. החשש הראשון נוגע לשגיאות ולכשלים של אמצעי הזיהוי. כך, בהקשר של זיהוי פנים, ביצוע לקוי של המערכת עלול להביא לזיהוי שגוי ובכך להטרדת אנשים תמימים (False Positive Identification Rate – FPIR), ומאידך עלול לגרום להחמצת זיהוי חשודים (False Negative Identification Rate – FNIR).[24] החשש השני הוא בהיבט של פגיעה בפרטיות, למשל השימוש במידע לצורך מטרות אשר לא נקבעו או הובהרו מראש, כמו נטייה מינית או הרגלי צריכה של אדם, תוך הפרה של הזכות החוקתית לפרטיות,[25] "מהחשובה שבזכויות האדם" ו"אחת מהחירויות המעצבות את אופיו של המשטר בישראל כמשטר דמוקרטי".[26] החשש השלישי מקורו בסיכון של דליפת מידע ביומטרי מהמאגר של מערכת עין הנץ, אשר עלול להביא לשימוש לרעה בכלים ויכולות בידי גורמים לא מורשים, ללא פיקוח ובקרה אפקטיביים.[27] מדובר בחשש מתמשך לגבי מאגרים ביומטריים המנוהלים בישראל, שהועלה על־ידי הממונה על היישומים הביומטריים במערך הסייבר הלאומי,[28] ועל־ידי מבקר המדינה.[29]
במטרה להתמודד עם חששות אלו, גובשה הצעת חוק שתהווה מסגרת משפטית עבור הפעלתן של מערכות צילום מיוחדות, וביניהן מערכת עין הנץ, אשר אושרה ונכנסה לספר החוקים במסגרת תיקון מס' 40 לפקודת המשטרה בתחילת שנת 2024.[30] החוק מבקש לתחם את השימוש במערכות צילום מיוחדות ומציעה איזון בין ההגנה על הפרטיות ובין האינטרס הציבורי במניעת עבירות וגילוין. התיקון קובע רשימה סגורה של תכליות אשר יצדיקו הצבה של מערכת צילום מיוחדת. בין תכליות אלו ניתן למנות מטרות כמו איתור נעדר שיש חשש לשלומו או מניעה, סיכול או גילוי של עבירות פשע או עבירות שעלולות לסכן את שלומו או ביטחונו של אדם, את שלום הציבור או את ביטחון המדינה.[31] עוד קובע התיקון כי אחת לשלוש שנים תיבחן מחדש הצבתה של כל אחת מן המערכות שהוצבו.[32] התיקון אף מעגן מגבלות באשר לשימוש טכנולוגי בדיעבד של המשטרה במאגר הנתונים וביניהן הוראות אשר מגבילות את משך הזמן בו ניתן לשמור תיעוד במאגר, ורשימה סגורה של תכליות אשר רק לשמן ניתן להשתמש במאגר.[33] התיקון מוסיף ומעגן חובת דיווח, אחת לשנה, ליועצת המשפטית לממשלה אודות נתוני פעילות המערכות ופירוט בדבר המקרים שבהם נעשה בה שימוש לשם טיפול באירוע המסכן חיים או אירוע שיש בו סכנה לביטחון המדינה.[34]
אין ספק, מדובר במהלך חשוב ומבורך, אשר מבקש לקדם שימוש סדור בטכנולוגיות אלו תוך איזון בין שיקולים רלוונטיים. עם זאת, דומה כי התיקון לא כלל מענה לשני סיכונים מרכזיים בתפעול טכנולוגיה מסוג זה: ראשית, אבטחת המידע שנאסף ונשמר במערכת, ושנית, פיקוח על השימוש במידע והעברתו לגופים ממלכתיים אחרים.[35]
באשר לחשש אבטחת המידע, יש להבהיר כי במדינת ישראל לא מדובר בעניין תיאורטי. אתרי הממשלה, כמו גם אתרים של חברות פרטיות, נתונים בסיכון מתמיד של תקיפות סייבר וניסיונות גניבת מידע מצד שחקנים זדוניים (פליליים, וגם כאלה המגיעים ממדינות אויב ובפרט איראן). ויובהר, בעידן הנוכחי למידע אישי ישנו ערך כלכלי רב, אשר שחקנים שונים, דוגמת חברות פרטיות, יכולים לנצל בקלות. כאשר מדובר במדינות אויב, למידע אישי יש ערך אסטרטגי ולפעמים גם צבאי. לבסוף, החשש איננו רק מדליפת מידע, אלא ישנן סכנות נוספות כגון זיוף, זיהוי מטעה ועוד. מאז פרוץ מלחמת חרבות ברזל, כמות תקיפות הסייבר נגד אתרים ישראליים בכמעט 20% וניסיונות התקיפה של אתרים ציבוריים-ממשלתיים עלו בכ-50%.[36] זירה זו של המלחמה זכתה לתשומת לב מעטה יחסית, אך היא עלולה לייצר סכנה של ממש לפרטיות ולביטחון עורף מדינת ישראל.[37]
בנוגע לחשש השני, בנוגע לשמירת וניהול מידע, קיים חשש כי המידע שנאסף ישמש למטרות זרות או יועבר לגופים אחרים ולא לצורך מימוש היעדים שלשמם נאסף. אומנם, הצעת החוק מגבילה את השימושים המותרים של מידע זה, וכן מציבה מנגנון העברת מידע. ועדיין, מדובר בסוגיה רגישה הדורשת רמה גבוהה של פיקוח על מנת לוודא שהשימושים היחידים במידע זה תואמים את דרישות החוק, ובפרט במקרה של העברת מידע ממאגר אחד לאחר. לשם כך, ישנו צורך במנגנון פיקוח מוגבר ומקיף שיפקח על אופן איסוף ועיבוד המידע, כמו גם על העברתו.
לבסוף, במבט קדימה, חשוב לשקול את ההשפעה של ההכנסה לשימוש של מערכות צילום מיוחדות לזירות נוספות, למשל במסגרת ניהול מחאות (כפי שקרה ביחס להפגנות נגד הרפורמה המשפטית).[38] הכנסה של מערכת טכנולוגית מתקדמת, עם יכולות פולשניות, במיוחד בהקשר של מחאה אזרחית, עלולה להעמיק את הקרע בין האזרח לגופי אכיפת החוק, ולהחריף את התסיסה החברתית. בהתאם, טוב עשה המחוקק כאשר הוא הצליח לקדם אסדרה חוקית של המערכת. ועדיין, חשוב לוודא כי הכנסה לשימוש של מערכות צילום מיוחדות לא תוביל לפגיעה באמון הציבור מחד, או לאפקט מצנן מאידך, במיוחד מאחר ומדובר בטרנד רחב ולא באמצעי יחיד אשר מוכנס לשימוש בוואקום.
III. אזהרת מסע: הפעלת מערכת איתור חשודים בנמל התעופה בן-גוריון
כלי טכנולוגי נוסף של משטרת ישראל, אשר חשוב להביאו בחשבון, הוא מערכת מבוססת בינה מלאכותית לאיתור חשודים בנתב"ג. מערכת זו בונה פרופיל, ומנסה לאתר בין הנכנסים לישראל חשודים לעיכוב.[39] כאשר אדם מסומן בידי המערכת, המייצרת רשימת חשודים המכונה "רשימת ההכללה", הוא יעוכב עם הגעתו לנתב"ג על־ידי שוטר, ויעבור חיפוש פיזי או באמצעות מכונת שיקוף. זאת, גם אם אין מידע מודיעיני שלפיו מדובר באדם שעבר על החוק.[40]
הקריטריונים אשר על פיהם פועלת המערכת אינם ידועים ואלו יכולים להיות בעלי אופי רגיש (למשל מוצא אתני או העדפה מינית). כמו כן, לא ברור מהיכן נשאב המידע האישי המנותח בידי המערכת, האם מדובר במידע שניתנה הסכמה להעברתו, והאם הוא מועבר ממאגרים ממשלתיים בלבד או גם ממאגרים פרטיים. עוד קשה לדעת כיצד המערכת מקבלת החלטות ביחס לנתונים שבפניה, בשל תופעה המתוארת כתופעת "הקופסה השחורה", כלומר שדרך פעולת המערכת הפנימית אינה ידועה למי שמושפע ממנה, או אף אינה ניתנת להבנה.[41]
השימוש במערכת מסוג זה בנתב"ג מעלה אתגרים שונים. ראשית, קשה לקבל מצב בו אלגוריתם מקבל החלטה על בסיס נתונים שאינם ידועים, דרך הליך קבלת החלטות שאינו גלוי לציבור, ומבלי להסביר מדוע אדם – לעיתים נורמטיבי לחלוטין – צריך להיות מעוכב. שנית, קיים חשש של הסתמכות־יתר על המערכת,[42] מה שעלול להנציח הטיה אלגוריתמית של המערכת (הרי, דעות קדומות חברתיות באות לידי ביטוי באלגוריתם, וזאת מכיוון שהמתכנת "מוריש" תכונות לקוד שהוא כותב).[43] שלישית, המערכת נבנתה לקבל החלטות על בסיס אותו ההיגיון של שיטת הפרופיילינג, שיטה אשר נתגלה כי יש לה השפעות שליליות ארוכות טווח ברמה החברתית (תחושת ניכור, איבוד אמון במערכת אכיפת החוק והעדר נכונות לשתף פעולה עם השלטונות באופן שמקשה על התמודדות עם פשיעה).[44]
לשם ההמחשה, בימים אלה מתקיים הליך משפטי סביב השימוש במערכת, במסגרתו אדם נעצר בהמלצת המערכת, ואכן נמצאו עליו סמים בלתי חוקיים, מה שהוביל להעמדתו לדין. סנגורו ביקש וקיבל את אישור בית המשפט המחוזי מרכז-לוד לעיין ובחומר החקירה גם בנוגע למערכת זו. בהחלטתו, הביע בית המשפט ביקורת על קיומה של מערכת הפועלת לפי פרמטרים לא ידועים, אשר הפעלתה יכולה להוביל לפגיעה במספר זכויות יסוד.[45]
IV. משבר שיוביל להזדמנות? הרחבת השימוש בכלי סייבר במהלך מלחמת חרבות ברזל
אסון השבעה באוקטובר פגע אנושות באמון הציבור ובתחושת הביטחון האישי של אזרחי מדינת ישראל. לאחריו, חזינו ברצף מהלכים חקיקתיים אשר נועדו לחזק את הכלים בשימוש גורמי אכיפת החוק בישראל. לשם ההמחשה, נציג בקצרה שלושה מהלכים משמעותיים כחלק מטרנד זה.
דוגמה ראשונה, היא ההחלטה לאמץ תקנות שעת חירום המרחיבות את הסמכות של צה"ל והשב"כ לחדור למצלמה המותקנת במחשב,[46] גם ללא ידיעת בעלי המחשב, ובנוסף הוענקה סמכות לחדור למצלמות במרחב הציבורי.[47] לאחר הטבח הנוראי בשמחת תורה, ברור מדוע ישנו רצון להעניק את הסמכות הזו לכוחות הביטחון, אולם חשוב להקפיד על המגבלות הדרושות על מנת לצמצם את הפגיעה בחירויות הפרט. לתקנות מספר ליקויים: (א) הן אינן מחייבות את גופי הביטחון לפנות קודם לבעל המצלמה. כמובן שבמקרה של אירוע מתגלגל אין מקום לחובת הודעה, אבל חשוב להגביל את זכות הגישה הייחודית הזו לנסיבות שיצדיקו אותה. (ב) יש למנוע את האפשרות של מדרון תלול שישחק עד דק את הזכות לפרטיות בישראל, וחירויות יסוד נוספות כמו שוויון בפני החוק. נכון לעכשיו, האופן בו מנוסחת ההסמכה בחוק רחבה מאוד, מבלי להבטיח שהדבר ייעשה רק במקרי הקיצון המצדיקים זאת. לשם ההשוואה, בתקופת משבר הקורונה ניתנה הסמכה לביצוע איכוני שב"כ, אולם למרות שהתכלית המשמעותית מאחורי מתן ההסמכה הייתה ברורה, התגלה כי גם לאחר מקרה החירום הבריאותי השב"כ המשיך להשתמש באותו כלי. בהתאם, עלינו לוודא כי סמכות מרחיקת לכת תהיה שמורה למקרים חריגים. (ג) מנגנון הפיקוח שהוגדר הוא הודעה ליועצת המשפטית לממשלה על היקף החדירות שנעשו, בדומה למנגנון בחוק האזנות סתר. אלא, המידע שנדרש למסור הוא לאקוני ולא יכול להראות על מגמות ולהפנים בעיות ביישום הסמכות.
דוגמה שנייה, היא האימוץ של הוראת שעה העוסקת בהתמודדות עם תקיפות סייבר במגזר השירותים הדיגיטליים, אשר מעניק לגורמי השלטון סמכויות מרחיקות לכת גם כלפי המגזר הפרטי, כאשר עולה חשש מתקיפת סייבר בישראל.[48] תזכיר החוק מבקש להקים מנגנון שיאפשר לגופי מודיעין להתריע בפני חברות פרטיות המספקות שירותים דיגיטליים לציבור אודות חשש לתקיפת סייבר חמורה נגדן, ואף להנחות אותן במידה והן מתקשות להתמודד בעצמן עם המתקפה. למרות שמדובר בהוראת שעה, מדובר בשינוי דרמטי, אשר יכול להשפיע על השוק הטכנולוגי בישראל, אשר יש לו חשיבות אסטרטגית, כלכלית, ותדמיתית. כזכור, מאז מתקפת ה-7 באוקטובר, נרשמה עלייה משמעותית בתקיפות הסייבר כנגד אתרים ישראלים – הן גופים ציבוריים והן חברות פרטיות.[49] בהתאם, מטרת החוק המוצע היא חשובה וראויה מאחר והיא נועדה להתמודד עם צורך של ממש. יחד עם זאת, חשוב לוודא שהמהלך ישמור על עקרונות מקובלים של שיתופי פעולה בין גופי שלטון לשוק הפרטי, באופן אשר יהיה בר-יישום, בר-קיימא, ובעל פוטנציאל לחזק את היחסים בין השחקנים השונים. למשל, חשוב לשמור על עקרונות של הדדיות וחלוקת סיכונים ראויה בין המדינה לשוק הפרטי, במטרה להימנע מפגיעה במרקם היחסים שבין גופי השלטון בישראל לבין השוק הטכנולוגי. הדבר התבטא בניסיונות לשינויי חקיקה שונים לאורך השנים, שלא בשלו.[50]
דוגמה שלישית, היא הבחירה לקדם תיקון לחוק השב"כ.[51] אין ספק, חשוב לעדכן חוק בן מעל עשרים שנה, במהלכן עולמות המודיעין וגם הגנת הפרטיות עברו שינויים דרמטיים. אולם, תזכיר החוק הציע להרחיב את סמכויות השירות באופן חסר תקדים וללא מנגנוני הגנה מספקים. חשוב להסתכל על מקרים קודמים בהם הורחבה סמכויות גופי הביטחון, ובפרט השב"כ, בכדי לראות את למשל כאשר הוסמך השירות להפעיל את ה"כלי" בכדי לבצע איכון של הסלולרי של אזרחי ישראל במטרה לסייע בהתמודדות עם התפשטות מגפת הקורונה ולשמור על בריאות הציבור. בהקשר זה, בית המשפט העליון – בבואו לבחון את הפגיעה בפרטיות בהפעלת סמכות זו של השירות, אל מול התכלית הראויה של הגנה על בריאות הציבור – מצא כי הפעלת הסמכות לביצוע איכון לא עמדה במגבלות החוק (ובפרט, בדרישת המידתיות), ומשכך היה בה פגם חוקתי.[52]
לסיכום, אירועי פגסוס־סייפן לא צריכים להיבחן בתור תקריות בודדות, אלא חשוב לבחון אותם חלק ממגמה כוללת העוסקת בשימוש בטכנולוגיה, ובפרט בכלי סייבר למעקב ואיסוף, על מנת לאפשר לגורמי אכיפת החוק להגשים את ייעודם החשוב. כלי סייבר למעקב ואיסוף מקדמים הגנה על אינטרסים חשובים ושומרים על יסודות ליבתיים של קיום אנושי אשר בלעדיהם לא תוכל להתקיים חברה (ביטחון, אמון, הגנה על זכויות יסוד), אבל יש לאזן את הפעלתם אל מול ערכים סותרים, ובמיוחד ההשפעה האפשרית לרעה על חירויות הפרט – הזכות לכבוד, הזכות לשוויון בפני החוק, חופש התנועה, חופש הביטוי, הזכות פרטיות ועוד. המצב כיום מתאפיין בחוסר שקיפות בכל הנוגע להיקף השימוש בטכנולוגיות אלו, כן חוסר בפיקוח ממשי על השימוש בהן. מצב דברים זה מערער את שלטון החוק ומשפיע לרעה על אמון הציבור, ומעורר דאגה במובן של הגנה על מידע אישי.
ב. השלכות השימוש הנרחב בטכנולוגיה במסגרת אכיפת החוק – מה למדנו?
I. מי מפקח ועל מי? בעיית הכובעים השונים של המדינה
המורכבות ביחסה של ישראל כלפי תעשיית הסייבר ההתקפי שלה נובעת, בין היתר, מכך שלמדינה מספר כובעים מול תעשייה זו. ראשית, המדינה היא הריבון אשר אמור לייצר רגולציה שתאזן בין פיתוח חדשני לאינטרסים חשובים אחרים (בעיקר חירויות הפרט); שנית, היא שומרת הסף אשר מעניקה רישיון ייצוא ושיווק לחברות סייבר ישראליות, במטרה לוודא, בין היתר, שהתעשייה הצבאית לא תפגע ביחסי החוץ של מדינת ישראל; ושלישית, כפי שקרה בפרשת סייפן, המדינה היא בעצמה לקוחה של תעשיית הסייבר המודיעיני. בהתאם, שוק הרוגלות סובל מתת־פיקוח, ונדרש דבר מה נוסף על מנת לוודא בטווח הארוך שמירה על אינטרסים חשובים של מדינת ישראל, וזאת לצד קידום הגנה מיטבית על ביטחון לאומי לצד שמירה על זכויות אדם.[53]
בנוסף, ישנו קושי מיוחד לפקח על כלים למעקב ואיסוף בשדה הטכנולוגי. כך, קשה במיוחד לפקח על ייצור, שיווק או שימוש בכלי סייבר מאחר ואלו יכולים להיות משוכפלים ולפעול ברחבי העולם בו זמנית – להבדיל מכלי נשק רגילים שמוגבלים למיקום פיזי אחד. כלומר, הביזור האינהרנטי שבטכנולוגיה, מקשה על יצירת סטנדרט אחיד.
לבסוף, ישנו אתגר במיתון הסמכות לשימוש בכלי סייבר התקפיים מאחר ובסופו של יום יש להם חשיבות מכרעת בהגנה טובה יותר על חיי אדם. קשה להתווכח עם הצורך בהפעלת מערכת מצלמות מיוחדות, או מתן אפשרות גישה למצלמות בזמן אירוע רב נפגעים דוגמת השבעה באוקטובר.
בהתאם, מלאכת האיזון במקרים שכאלה צריכה להיות עדינה, חדה וממוקדת במיוחד. בהמשך חוות הדעת נבקש להציע מנגנון פיקוח המבקש לעמוד ברף זה.
II. הפגיעה בתדמית מדינת ישראל
הידיעות אודות ניצול לרעה של רוגלות ברחבי העולם יצרו משבר אמון ביחס לתעשיית הסייבר ההתקפי בישראל, אשר יש לה חשיבות עצומה עבור כלכלת ישראל ותדמיתה הבינלאומית, ואף הובילו למהלכים משפטיים ודיפלומטיים שונים. במסגרת הקמפיין הבינלאומי המתנהל בנושא, נהוג להתייחס לתעשייה הישראלית כאמת מידה עיקרית להתייחסות, ולמעשה הביקורת המצטברת אף הובילה לסגירתן של מרבית החברות הישראליות שפועלות בתחום.
מדינת ישראל נושאת באחריות לגבי הכניסה של רוגלות למרחב הגלובלי, שכן משרד הביטחון הוא שומר הסף אשר מעניק את רישיון הייצוא והמכירה.[54] למעשה, הפעולה האקטיבית של מתן אישור,[55] עלולה, לכשעצמה, להוביל לייחוס אחריות משפטית לישראל בגין הפרות שבוצעו, גם באמצעות חברות פרטיות. זאת, בשל דוקטרינות דוגמת חובת החריצות הנאותה.[56] מכוח חובה זו, על מדינות לפעול אקטיבית ביצירה של מסגרת משפטית שתסייע לוודא שהמגזר הפרטי במדינה לא מפר התחייבויות בינלאומיות של המדינה. חובת החריצות הנאותה היא יחסית ליכולת המדינה לפעול באותו התחום. בהתאם, מדינת ישראל, בתור מעצמת סייבר מובילה, נדרשת לעמוד ברף גבוה.
III. הפגיעה באמון הציבור
הטרנד הגובר של שימוש בכלי סייבר למעקב ואיסוף משפיע באופן דרמטי על אמון הציבור בישראל, כפי שניתן ללמוד למשל מהסערה הציבורית בנושא פגסוס־סייפן, או מההתנגדות הרחבה של ארגוני חברה אזרחית ליוזמות דוגמת מערכות צילום מיוחדות, מערכת ההכללה בנתב"ג או חוק השב"כ. על מנת להשיב ולחזק את אמון הציבור, בכל הנוגע לשימוש בכלי סייבר למעקב ואיסוף, חשוב לקדם שקיפות לגבי אופן ההכנסה והשימוש בהם בפועל, ולמסד מנגנוני פיקוח משמעותיים שיאזנו בצורה חכמה בין שיקולי ביטחון לבין אינטרסים חשובים אחרים.[57]
בל נשכח, מדינת ישראל נמצאת בשעת משבר, ובמלחמת קוממיות שנכפתה עלינו לאחר הטבח הגדול ביותר שבוצע באזרחי ישראל מאז קום המדינה. בנסיבות שכאלה, הרחבת השימוש בכלי סייבר למעקב ואיסוף, ללא מנגנון פיקוח מותאם ושקוף לציבור ככל הניתן, עלולה להשפיע לרעה על אווירת האמון הכוללת של הציבור.[58] מדינת ישראל עדיין יכולה לנצל את המשבר ולהפוך אותו להליך תיקון – באמצעות מיסוד הליכי פיקוח שקופים, יעילים ומשמעותיים יותר על הכנסה לשימוש והפעלה של כלי סייבר למעקב ואיסוף בשירות גופי אכיפת החוק.
IV. מאגרי מודיעין ואכיפת חוק – מה בין אבטחת מידע לשימוש לרעה במידע אישי?
השלכה נוספת אשר חשוב להתייחס אליה היא המשמעות של איסוף ושמירה של מידע אישי בהיקף נרחב על ידי גורמי אכיפת חוק. כלי סייבר למעקב ואיסוף מאופיינים ביכולת מרחיקת לכת לאסוף מידע מסוגים שונים, מעבר למה שנדרש ביחס לצורך חקירה קונקרטי, והדבר מייצר אתגרים גם במובן של יכולת ההגנה על מידע אישי וגם במובן של מניעת שימוש לרעה במידע. חשוב לזכור כי מעבר לעניין היקף המידע, במקרים רבים מדובר במידע רגיש דוגמת נתוני מיקום, תמונות, סרטונים או זיהוי פנים ברמה הביומטרית. הדבר מייצר שני חששות מרכזיים: הראשון, בהיבט של אבטחת מידע אל מול תקיפות סייבר או דליפות, והשני, בהיבט של שימוש לרעה במידע אישי.
לעניין רמת האבטחה, כפי שעולה מדיווח הממונה על היישומים הביומטריים משנת 2022, ישנן בעיות הנוגעות לאופן ניהול מאגרי מידע בישראל, לרבות כאלו המנוהלים על ידי המדינה.[59] בין היתר, הועלתה ביקורת על העברת תמונות בין גופים ממלכתיים אחרים שלא על פי חוק, פגמים בכיול מערכת ההשוואה הביומטרית, בעיות אבטחת מידע ועוד. ביקורת דומה הוצגה על ידי מבקר המדינה, בשנת 2020.[60] פערים בניהול מידע אישי רגיש אלו חושפים את אזרחי ישראל לפגיעות שונות ומגוונות. הרי, בימי שגרה, מידע אישי הוא בעל ערך כלכלי רב, ובהקשר הביטחוני הוא הופך לבעל ערך אסטרטגי עבור אויביה של מדינת ישראל.[61]
ביחס לחשש של שימוש לרעה, ישנו סיכון של שימוש במידע לצרכים שונים מן המטרה שלשמה הוא נאסף, או איסוף יתר של מידע באופן שחורג מצרכי החקירה. למשל, בארצות הברית נרשמה מגמה של שימוש לרעה במידע ביומטרי שנאסף במערכות זיהוי לוחיות רישוי, ובישראל חזינו כיצד נעשה שימוש לצורכי חקירה בחומרים שנשאבו תוך חריגה מצו בית המשפט, במסגרת תיק הרצח הכפול של האחים שאפע וסלאח אבו-חוסיין (כאשר אותם חומרים נאספו תוך חדירה ושאיבת מידע באמצעות רוגלה ממכשיר הסלולרי של אביו של אחד מן החשודים),[62] באופן שהוביל בסופו של יום למשיכת הראיות אשר הושגו.[63]
ישנה חשיבות לכך שמאגרי מידע אישי, במיוחד מידע ביומטרי רגיש במיוחד, ינוהלו באחריות עם רמת אבטחה מספקת, תוך הגדרת נהלים ברורים לעיבוד והעברת מידע, במטרה להימנע מניצול לרעה או לפגיעה בחירויות הפרט. עוד לפני השבעה באוקטובר, נתגלו בעיות מערכתיות בנושא הפעלת סמכות שלטונית באמצעות כלי סייבר למעקב ואיסוף, כמו גם לגבי ניהול המידע בידי המדינה. בעוד אנו תומכים במתן אפשרות שימוש בכלי סייבר עם יכולות מרחיקות לכת לשם הגנה על ביטחון הציבור ושמירה על חיי ישראלים, בוודאי במקרי קיצון, חשוב ללמוד מן העבר בכדי לפעול בצורה חכמה יותר בעתיד. צעד ראשון לשם כך, לתחושתנו, הוא מיסוד של שני מנגנוני פיקוח.
ג. הדרך קדימה – המלצות מכון תכלית להגברת והתאמת הפיקוח על כלי סייבר למעקב ואיסוף
הטכנולוגיות שנסקרו לעיל מציגות יכולות מבצעיות מרחיקות לכת. למשל, רוגלות אינן מוגבלות לאיסוף מידע חד-ממדי, להבדיל מהאזנת סתר, וביכולתן לאפשר גישה לכלל המידע וחומר המחשב שזמינים דרך המכשיר, גם אם חומר זה הופק או נצבר לפני שנים רבות. בדומה, אף מערכת איתור החשודים בנתב"ג מציגה יכולות מבצעיות מיוחדות, שכן ביכולתה לבצע עיבוד רב של נתונים בזמן קצר, לא ברור האם נעשתה בחינה מעמיקה של ההשלכות הרחבות של השימוש בה, וישנה אי ודאות לגבי שיעורי ההצלחה של השימוש בכלים אלו.
צווי האזנת סתר זוכים לאישור נרחב יחסית מצד בתי המשפט. כך, בשנת 2020 מתוך 3,692 בקשות שהוגשו – רק 26 נדחו, כ־0.7% מכלל הבקשות.[64] מגמה זו החריפה בשנת 2021, בה אישרו בתי המשפט למשטרה 3,350 בקשות מתוך 3,359 בקשות להאזנת סתר – למעלה מ־99% מכלל הבקשות שהוגשו באותה שנה.[65] נתונים אלו מראים כי הצורך בקבלת אישור שיפוטי לפעולה הוא מנגנון פיקוח חשוב, אבל לא מספק, במיוחד כאשר מהדיונים בוועדת חוקה בנושא השימוש ברוגלות עלתה תמונה ברורה לפיה מרבית הבקשות להפעלתן נתקבלו גם הן באחוזים גבוהים ביותר. על רקע זה, עולה כי מתן אישור שיפוטי מראש אינו מספק, ויש לקדם מנגנוני פיקוח נוספים. בנוסף, ההכשרה חשובה במיוחד, ובהתאם יש לוודא כי מפעילי כלי סייבר למעקב ואיסוף עוברים הכשרה מיוחדת הכוללת גם היבטים טכניים וגם היבטים אתיים-משפטיים. כמובן, ישנה חשיבות גם בקידום האוריינות הטכנולוגית של שופטים, יועצים משפטיים וגורמי פיקוח אשר נדרשים לבחון או לאשר את השימוש בכלים אלו.[66]
חרף הדיון הציבורי הגובר בנושא, חוסר השקיפות ביחס להפעלת כלי סייבר למעקב ואיסוף עדיין מותיר אותנו בפני שאלות ללא מענה. בין אלו, ניתן לתהות מה עולה בגורל המידע האישי הנאסף, במובן של שמירה עליו והעברתו ממאגר מידע אחד לאחר, והאם נתונים אלו נשמרים כחומר מודיעיני לשימוש עתידי לצורכי חקירות אחרות (או שמא אלו נמחקים לאחר תקופה מוגדרת). על מנת להתמודד עם הבעיות שנסקרו לעיל, אנו מציעים למסד שני מנגנוני פיקוח: האחד, פיקוח בשלב הייצור, השימוש או המכירה של הכלים הטכנולוגיים; השני, פיקוח עיתי על-ידי הכנסת.
I. פיקוח בשלבי הפיתוח – לפעול בזמן, ולחזק את תחושת השותפות בין השחקנים הרלוונטיים
כיום, טכנולוגיות נבחנות רק בשלב מאוחר, ובמועד זה ישנו קושי לערוך שינויים מהותיים במאפייני הטכנולוגיה, בין היתר בשל שיקולים כלכליים של פיתוח הטכנולוגיה והתועלת הכלכלית של מתן הרישיון לטכנולוגיה כמו שהיא. לעומת זאת, מיסוד מנגנון פיקוח מוקדם יותר ייצר תמריץ להגביר את הציות לנורמות חוקיות, באופן שלא פוגע כלכלית בצורה אנושה במפתחים, שכן הדבר נעשה טרם שהושקעו כספים בפיתוח מתקדם. במילים אחרות, מיסוד מנגנון פיקוח מקדים ייצר תמריץ להגביר את ההגנה על חירויות הפרט, תוך צמצום הפגיעה הכלכלית במפתחים – שכן ההתאמות הנדרשות ייעשו עוד לפני שהושקעו כספים בפיתוח מתקדם (מניעה של השקעות אבודות, או sunk cost). מנגנון מסוג זה יוכל גם לייצר תחושת שותפות דרך בין תעשיית הטכנולוגיה בישראל לבין המדינה.
לדוגמה, ניתן למסד מנגנון ברוח סעיף 36 לפרוטוקול הראשון של אמנת ג'נבה, אשר מחייב לערוך בדיקת חוקיות לנשקים או לטכנולוגיה שיש להם יישום ביטחוני טרם השימוש או הרכישה שלהם, בין אם ממדינה ובין אם מחברה פרטית.[67] מקובל לומר כי הדרישה מכוח סעיף 36 חלה גם ביחס לכלי סייבר התקפיים אשר יכולים לחדור למערכות מחשב, סלולרי, מכשירי Internet of Things ועוד.[68]
חרף העובדה כי ישראל אינה קיבלה על עצמה את הוראות הפרוטוקול הראשון, גם מדינות שאינן חברות בו מקיימות הליך פיקוח ברוח סעיף 36, למשל ארצות הברית. כמו כן, ישנה חובה חוקית לבצע הערכה מקדימה של חוקיות של כלים טכנולוגיים גם מכוח דיני זכויות האדם הבינלאומיים, לרבות האמנה בדבר זכויות אזרחיות ומדיניות,[69] אליה בחרה להצטרף מדינת ישראל בשנת 1991.
ראוי למסד מנגנון פיקוח משלים לזה הפועל במסגרת משרד הביטחון, אשר יבחן את הטכנולוגיה עוד בטרם מתן רישיון שימוש, שיווק או ייצוא, תוך התחשבות במספר תחומים: כלכלה, ביטחון, אתיקה, משפט ועוד. מומלץ כי מערך זה יכלול גורמי מקצוע המומחים בטכנולוגיות אלו עם הבנה עמוקה של היכולות שלהן והמגבלות הישימות שניתן להטיל, וזאת לצד מומחים במישור האתי, המשפטי והחברתי. עוד חשוב שיהיה למערך מעמד סטטוטורי וסמכויות מחייבות, אשר יאפשרו לו לבצע את משימת הפיקוח וההסדרה באופן מיטבי. לבסוף, מומלץ לשמור על עצמאותו של מנגנון זה, ובפרט לא להכפיף אותו למשרד הביטחון או לגוף אחר באון שייצר ניגודי עניינים.
II. פיקוח פרלמנטרי קבוע – הגברת שקיפות ואמון הציבור, וחיזוק הרשות המחוקקת
אחד מן התפקידים העיקריים של הרשות המחוקקת הוא פיקוח על הרשות המבצעת והממשלה העומדת בראשה. פיקוח פרלמנטרי על הממשלה הוא מאבני היסוד של כל מבנה דמוקרטי באשר הוא, אשר לא רק מסמיך את רשויות השלטון להפעיל סמכות, אלא מייצר מבנה של פיקוח בין-מוסדי הדדי ונמשך. חשיבותו הגדולה של הפיקוח הפרלמנטרי מצויה בכך שהוא מהווה בלם פנים-פוליטי: הוא מאפשר לאוורר את עבודת הממשלה, אשר לרוב נעדרת שקיפות; הוא מסייע להגנה על עקרונות מנהל תקין; והוא מסייע לפתור את בעיית הנציג.[70] לפיקוח הפרלמנטרי יש חשיבות יתרה בעת הנוכחית, אשר מתאפיינת – בעולם כולו ובכלל זה גם בישראל – במגמות פוליטיות כדוגמת פרסונליזציה של הפוליטיקה,[71] "נשיאותיזציה" של ראשי ממשלות[72] והתכווצות ממדיהן של המפלגות המרכזיות.[73] מגמות אלה נקשרות זו בזו, ומחזקות את מידת השליטה של מעטים בפוליטיקה כולה.
בישראל, הפיקוח הפרלמנטרי הוא חלקי, בעל אופי רך במרביתו וחסר אפקטיביות, וזאת בשל מגבלות מוסדיות, ארגוניות, פרוצדורליות ותרבותיות, וממילא ישנו צורך עקרוני לחזקו. חשוב לוודא כי יהיה פיקוח פרלמנטרי משמעותי בהקשר של כלי סייבר למעקב ואיסוף, אשר ימנע ניצול לרעה של סמכות שלטונית, ואשר יאפשר בתקווה גם דיון ציבורי משמעותי באשר לגבולות הראויים של השימוש בכלים אלו.[74]
ניתן, למשל, להקים ועדת משנה, אם תחת ועדת חוקה או ועדת המדע והטכנולוגיה. לחלופין, ניתן לקיים פיקוח תחת אחת הוועדות הקבועות – כפי שעשתה לאחרונה ועדת חוקה ביחס לפרשת סייפן. אפשרות אחרת היא לייצר מנגנון דיווח לאחת הוועדות הקבועות.[75] פיקוח פרלמנטרי קבוע יאפשר לחברי הכנסת לייצר דיון ציבורי מושכל במדיניות ובהשלכות שלה, ויגביר את השקיפות לגבי אופן ההכנסה לשימוש וההפעלה של כלי סייבר למעקב ואיסוף.
בעת הנוכחית, נדרש יותר על מנת לוודא שמירה על אינטרסים ביטחוניים, כלכליים ותדמיתיים של מדינת ישראל. פיקוח פרלמנטרי קבוע יהיה, בתקווה, מקצועי ומעמיק, ובכך הוא יוכל להגביר את השקיפות, לחזק את אמון הציבור, ואף לתרום לתדמיתה הבינלאומית של ישראל בתור מדינה דמוקרטית ושומרת חוק. ביום שאחרי השבעה באוקטובר, חשוב למסד מנגנונים שיאפשר הן פיקוח משמעותי יותר על כלי סייבר בעלי השפעה מרחיקת לכת, והן שקיפות ודיון ציבורי כאשר הדבר מתאפשר, בכדי לאזן בצורה נכונה בין אינטרסים כבדי משקל מגוונים ורבים.
ד. סיכום
אין ספק, השימוש במערכות טכנולוגיות מתקדמות אכן מביא לשיפור במישור המבצעי. אולם, לא ניתן לקבל מצב בו גורמי אכיפת חוק יכניסו לשימוש כלי סייבר למעקב ואיסוף עם יכולות בלתי רגילות, מבלי שהמערכת והסכנות העולות משימוש בה הובנו, ומבלי שיהיה פיקוח מספק על המהלך. מעבר לפגיעה ביחסי החוץ של המדינה ותדמיתה הבינלאומית, שימוש לרעה בכלי סייבר למעקב ואיסוף מקעקע את שלטון החוק, ומאיים על חירויות הפרט.
משכך, אנו ממליצים על הקמת מנגנוני פיקוח ייעודיים, הן בשלב הפיתוח והן לאחר ההכנסה לשימוש של כלי סייבר. אלו יאפשרו, בתקווה, מקסום היתרונות של השימוש בטכנולוגיה לצורכי אכיפת חוק, תוך מניעת ניצול לרעה שלהם, באופן אשר בתקווה יחזק את אמון הציבור בישראל, וגם ישפיע לחיוב על מעמדה הבינלאומי של המדינה.
אנו מודים לוועדה מכובדת זו על ההזדמנות להשמיע את דעתנו בנושא חשוב זה. כמובן, נשמח להרחיב בעל פה על כל סוגיה שעולה ממסמך זה, וגם ביחס לשאלות נוספות שהוועדה תרצה לשמוע את עמדתנו לגביהן.
...
[1] ראו טל מימרן ועדן פרבר, "סייבר התקפי" מכון תכלית (4.5.23), https://www.tachlith.org.il/post/%D7%A1%D7%99%D7%99%D7%91%D7%A8-%D7%94%D7%AA%D7%A7%D7%A4%D7%99
[2] רק לאחרונה, גילינו כי נעשה שימוש בחומרים שנשאבו תוך חריגה מצו בית המשפט, במסגרת תיק רצח כפול, והוחלט לפסול את השימוש בראיות במשפט. ר': חן מענית, "הפרקליטות משכה ראיות מתיק רצח, כי הושגו על ידי שימוש ברוגלות שלא כדין", הארץ, 5 ביוני 2023. https://www.haaretz.co.il/news/law/2023-06-05/ty-article/00000188-8a5e-dded-a58e-abdebdf70000
[3] בין היתר, ישראל היא בית לחברת סאיטו (אשר בעבר נקראה קנדירו), חברת אינטלקסה, חברת NSO ועוד.
[4] הסכום המוערך של הייצוא הביטחוני בשנת 2020 עמד על כשמונה מיליארד דולר, ובשנת 2021 על שיא של 11.5 מיליארד דולרים. מתוך סכום זה, כ-10% מההכנסות מבוססות על טכנולוגיות סייבר. ר' מערכת אתר משרד הביטחון, "חוזי הייצוא הביטחוני ב-2020: 8.3 מיליארד דולר", אתר משרד הביטחון, 1 ביוני 2021. ראו https://www.mod.gov.il/Defence-and-Security/articles/Pages/1.6.21.aspx; מערכת אתר משרד הביטחון, "2021: שנת שיא בייצוא הביטחוני של ישראל", אתר משרד הביטחון, 12 באפריל 2022. https://www.mod.gov.il/Defence-and-Security/articles/Pages/12.4.22.aspx.
[5] דורון פלדמן, "הסכמי אברהם – הממד הקיברנטי", צומת המזרח התיכון 11, 2021.
[6] ר' למשל: עומר כביר, "סיטיזן לאב: פגסוס ריגלה אחר עיתונאים ופעילי זכויות אדם במקסיקו עד 2021", כלכליסט, 3 באוקטובר 2022. https://www.calcalist.co.il/local_news/article/bjylml00zs
[7] Dana Priest, “A UAE agency put Pegasus spyware on phone of Jamal Khashoggi’s wife months before his murder, new forensics show,” The Washington Post, 21 December 2021. https://www.washingtonpost.com/nation/interactive/2021/hanan-elatr-phone-pegasus. הטענות הללו נתמכו גם בדוח מפורט בעניין של דווח האו"ם לענייני הוצאות להורג מחוץ לסמכות השיפוט של מדינות. ראו Investigation of accountability for and prevention of intentional State killings of human rights defenders, journalists and prominent dissidents (Special Rapporteur on extrajudicial, summary or arbitrary executions) p.3 A/HRC/41/36 (2019).
[8] Council of Europe, “Pegasus spyware and its impact on human rights,” 20 June 2022. https://www.coe.int/en/web/freedom-expression/-/pegasus-spyware-and-its-impacts-on-human-rights
[9] Committee of Inquiry to investigate the use of Pegasus and equivalent surveillance spyware, European Parliament, Draft report of the investigation of alleged contraventions and maladministration in the application of Union law in relation to the use of Pegasus and equivalent surveillance spyware (2022/2077(INI)), 28 November 2022.https://www.europarl.europa.eu/meetdocs/2014_2019/plmrep/COMMITTEES/PEGA/PR/2023/05-08/1267987EN.pdf.
[10] חברות ישראליות נוספות גם הן הוכנסו לרשימה זו, כגון אינטלקסה וסאיטו (קנדירו). ראו להלן:
Jacob Magid, “Malicious activities: US blacklists Israel’s NSO Group and Candiru spyware firms,” Times of Israel, 3 November 2021. https://www.timesofisrael.com/us-blacklists-israels-nso-group-and-candiru-spyware-firms/; Assaf Gilead, “Biden administration bans spyware cos Intellexa and Cytrox,” Globes, 18 July 2023. https://en.globes.co.il/en/article-biden-administration-bans-spyware-cos-intellexa-and-cytrox-1001452642/
[11] “FACT SHEET: President Biden Signs Executive Order to Prohibit U.S. Government Use of Commercial Spyware that Poses Risks to National Security,” The White House, 27 March 2023.
[12] המגבלות מאפשרות למחלקת המדינה האמריקאית לסרב להנפיק ויזה לאנשים שמשתייכים לאחת משלוש קבוצות: (1) אנשים החשודים בשימוש לרעה באמצעי סייבר התקפיים, במטרה לעקוב אחר אנשים באופן שרירותי או בלתי חוקי, להטריד, להשתיק או לאיים על עיתונאים, פעילים חברתיים או אנשים מאוכלוסיות מוחלשות, ועוד; (2) מי שהפיק רווח כספי משימושים אלו בסייבר התקפי, כולל מי שמנהל חברה אשר מוכרת סייבר התקפי למדינות המשתמשות בו לרעה; ו-(3) בני משפחה גרעיניים של מי שנמנה על קבוצות אלו. ראו: Antony J. Blinken, Announcement of a Visa Restriction Policy to Promote Accountability for the Misuse of Commercial Spyware, Press Statement, U.S. Department of State, 5 February 2024. https://www.state.gov/announcement-of-a-visa-restriction-policy-to-promote-accountability-for-the-misuse-of-commercial-spyware/
[13] WhatsApp v. NSO Group, et. al, No. 4:19-cv-7123 (N.D. Cal. Oct. 29, 2019); Apple Inc. v. NSO Group Technologies Limited No. 3:21-cv-09078 (N.D. Cal. 23.11.2021) .
[14] תומר גנון, לעיל.
[15] דוח מררי, לעיל, בעמ' 4. לביקורת על דו"ח מררי, ראו רועי פלד "שתי הערות ושתי טענות בעקבות קריאה בדוח מררי" ICON-S-IL Blog (9.10.2022).
[16] Tal Mimran, Lior Weinstein, A Path Forward for Israel Following the NSO Scandal, Lawfare (12 June 2023) .
[17] חן מענית, "הפרקליטות משכה ראיות מתיק רצח כי הושגו ראיות על ידי שימוש ברוגלות שלא כדין" הארץ (05.06.2023). הראיות מתייחסות לסרטון מצלמת אבטחה, שבו נראים שלושה נאשמים נפגשים שעות ספורות לאחר החיסול עם מי שלכאורה הזמין אותו. השגת הסרטון נעשתה תוך חדירה ושאיבת מידע ממכשיר הסלולרי של אביו של אחד מן החשודים. על רקע גילוי זה, הוחלט למשוך את הראיות אשר הושגו באמצעות רוגלה תוך חריגה מצו בית המשפט.
[18] אברהם בלוך, "בעקבות פרשת פגסוס: לוין הודיע על הקמת ועדת בדיקה ממשלתית" מעריב (20.7.2023).
[19] ראו לעניין זה למשל טל מימרן וליאור וינשטיין, "הממשלה מפקירה את הפרטיות" העין השביעית (29.10.2022); בג"ץ 2109/20 עו"ד שחר בן מאיר נ' ראש הממשלה (נבו 26.04.2020).
[20] מערך הסייבר הלאומי, היחידה להזדהות וליישומים ביומטריים, זיהוי פנים במרחב הציבורי בישראל עקרונות למדיניות וקריאה לאסדרה, בעמ' 4 (יולי, 2021) (להלן: "דו"ח מערך הסייבר הלאומי").
[21] רועי גולדשמידט, "השימוש בטכנולוגיות זיהוי וניטור במרחב הציבורי", מרכז המחקר והמידע של הכנסת, 14 בדצמבר 2020 (להלן: דו"ח מרכז המחקר והמידע של הכנסת"), בעמ' 7; ראו גם את עתירת האגודה לזכויות האזרח בישראל כנגד שימוש המשטרה במערכת עין הנץ (בג"ץ 641/21), בפס' 16 ו-19, https://www.acri.org.il/post/__488.
[22] שם.
[23] ראו מיני רבים: מ"ת (מחוזי חי') 46950-01-23 מדינת ישראל נ' עאשור (נבו 28.2.2023); מ"ת (שלום ב"ש) 48373-01-23 מדינת ישראל נ' לטייף (נבו 19.2.2023); מ"ת 44808-05-20 (מחוזי ב"ש) מדינת ישראל נ' קטיפאן (נבו 10.6.2020); מ"ת (שלום חי') 5518-09-20 מדינת ישראל נ' חטיב (נבו 15.10.2020).
[24] דו"ח מערך הסייבר הלאומי, לעיל, בעמ' 8. חשש זה בא לידי ביטוי בבריטניה, שם נמצא כי שיעורי התראות השווא כתוצאה משימוש במערכת לזיהוי פנים במרחב הציבורי עמד על כ־90%. ראו Chris Fox, Face Recognition police tools 'staggeringly inaccurate', BBC (15.5.2018).
[25] ס' 7 לחוק יסוד: כבוד האדם וחירותו; דו"ח מרכז המחקר והמידע של הכנסת, לעיל, בעמ' 19.
[26] דנ"פ 1062/21 אוריך נ' מדינת ישראל, פס' 48 לפסק דינה של הנשיאה חיות (נבו 11.1.2022); ע"פ 1302/92 מדינת ישראל נ' נחמיאס, פ"ד מט(3) 309, 353 (1995); בג"ץ 3809/08 האגודה לזכויות האזרח נ' משטרת ישראל, פס' 7 לפסק דינה של הנשיאה ביניש (נבו 28.5.2012); ראו גם את דברי השופטת ד' ברק-ארז ברע"א 2558/16 פלונית נ' קצין התגמולים, בפס' 43 לפסק דינה (נבו 5.11.2017): "עצם פעולת המעקב, אותה התחקות אחר אדם בלא ידיעתו, תוך חדירה למרחב האישי-פרטי שלו, מהווה פגיעה באוטונומיה של הפרט ואף בכבודו".
[27] דו"ח מערך הסייבר הלאומי, לעיל, בעמ' 8-9; דו"ח מרכז המידע והמחקר של הכנסת, לעיל, בעמ' 20-21.
[28] דו"ח הממונה על היישומים הביומטריים – מס' ,12 הממונה על היישומים הביומטריים במערך הסייבר הלאומי (18.05.22).
[29] מבקר המדינה, היבטים בהסדרת השימוש במאגרים ביומטריים, דוח שנתי 70ב (04.05.2020).
[31] שם, בס' 10י.
[32] שם, בס' 10י.
[33] שם, בס' 10יג.
[34] שם, בס' 10כא.
[35] להרחבה בנושא הסדרת מערכת עין הנץ, ראו: טל מימרן ועדן פרבר, " התייחסות מכון תכלית: מערכת עין הנץ והצעת חוק לתיקון פקודת המשטרה (מס' 40) (מערכות צילום מיוחדות), התשפ"ג-2023" (20.6.23).
[36] Check Point Research, The Iron Swords War – Cyber Perspectives from the First 10 Days of the War in Israel (18 October 2023) .
[37] לניתוח בראי המשפט הבין-לאומי של הסוגיה ראו Tal Mimran, Israel – Hamas 2023 Symposium – Cyberspace – The Hidden Aspect Of The Conflict, Articles of war (30 November 2023).
[38] ראו: Tal Mimran & Eden Farber, Freedom of expression from a bird’s eye view: New surveillance tech a threat to privacy – opinion, Jerusalem Post (24.8.23), https://www.jpost.com/opinion/article-755936.
[39] תומר גנון, "האלגוריתם שיעצור אתכם בנחיתה בנתב"ג" כלכליסט (10.11.2022).
[40] ראו לשם השוואה, בג"ץ 4797/07 האגודה לזכויות האזרח נ' רשות שדות התעופה (החלטה מיום 22.5.2012).
[41] Yavar Bathaee, The Artificial Intelligence Black Box and the Failure of Intent and Causation, 31 Harv. J. L. & Tech. 889, 893, 901 (2018).
[42] Zana Bucinca, Maja Barbara Malaya, and Krzysztof Z. Gajos, To Trust to Think: Cognitive Forcing Functions Can Reduce Overreliance on AI in AI-assisted Decision-making, Proceedings ACM Hum. Comput. Interact. Vol. 5, pp.188: 4-5 (2021).
[43] ראו למשל גדי פרל, "האלגוריתם של המשטרה בנתב"ג חייב להיות שקוף לציבור" כלכליסט (15.12.2022), https://www.calcalist.co.il/local_news/article/sytgrqooj.
[44] ראו למשל Bernard E. Harcourt, The Shaping of Chance: Actuarial Models and Criminal Profiling at the Turn of the Twenty-First Century, 70 U. Chi. L. Rev. 105 (2003).
[45] יצוין, כי כבר בעתירות קודמות אשר העלו לדיון את שיטת הפרופיילינג, בית המשפט העליון קיבל, גם אם בלשון רפה, את העמדה שהבחנה סמויה יכולה גם היא לפגוע בשוויון. ראו בג"ץ 4797/07 האגודה לזכויות האזרח בישראל נ' רשות שדות התעופה פס'13 לפסק דינו של הנשיא גרוניס (נבו 10.03.2015).
[46] תקנות שעת חירום (חרבות ברזל) (הסמכת שירות הביטחון הכללי לביצוע פעולה בחומר מחשב המשמש להפעלת מצלמה נייחת), תשפ"ד-2023.
[47] טל מימרן, בחסות המלחמה: תקנות חירום חדשות מאפשרות לכוחות הביטחון לחדור למצלמות, ללא הגבלות ופיקוח מתאימים, העין השביעית (29.10.2023), https://www.the7eye.org.il/501353..
[48] חוק התמודדות עם תקיפות סייבר חמורות במגזר השירותים הדיגיטליים ושירותי האחסון (הוראת שעה – חרבות ברזל), תשפ"ד-2023.
[49] יוסי הטוני "40 ימים למלחמה: יותר מ-1,200 אירועי סייבר נגד ישראל" אנשים ומחשבים (15.11.2023),
[50] שינויים מוצעים אלו היו מושא לביקורת ר' Deborah Housen-Couriel, Tal Mimran, Yuval Shany, Israel’s Version of Moving Fast and Breaking Things: The New Cybersecurity Bill, Lawfare (7 May, 2021).
[51] תזכיר חוק שירות הביטחון הכללי (תיקון מס' ...), התשפ"ד-2023.
[52] בג"ץ 6732/20 האגודה לזכויות האזרח נ' הכנסת (נבו, 1.3.2021).
[53] להרחבה בעניין זה ולדרכי הסדרה מוצעות ר' Tal Mimran and Lior Weinstein, The Need for Oversight on Surveillance Technologies: A (Painful) Perspective from Israel NATO Cooperative Cyber Defence Centre Of Excellence Research Papers Series (2023) (forthcoming)..
[54] ראו פירוט על קריאות של מומחים באו"ם לישראל לקחת אחריות. כמו כן, ראו הודעות עיתונאות אשר מתייחסות לפרשת פגסוס כ"חברת סייבר התקפי ישראלית" למשל:
Amnesty International, “Massive data leak reveals Israeli NSO Group’s spyware used to target activists, journalists and political leaders globally,” 19 July 2021. https://www.amnesty.org/en/latest/press-release/2021/07/the-pegasus-project/; Stephanie Kirchgaessner, “Israeli spyware company NSO Group placed on US blacklist,” The Guardian, 3 November 2021. https://www.theguardian.com/us-news/2021/nov/03/nso-group-pegasus-spyware-us-blacklist/
[55] ברוך ברכה, משפט מנהלי (כרך א), 61 (1987).
[56] כלומר, למדינה ישנה חובה לפעול בחריצות הנאותה כדי למנוע הפרה של זכויות אדם, גם על ידי שחקנים פרטיים, ואם אלו בוצעו – לחקור, להעמיד לדין ולהעניק סעד ביחס אליהם. להרחבה בנושא ראו: טל מימרן ועדן פרבר, "הסייבר ההתקפי ויחסי החוץ של ישראל: פגסוס כמקרה מבחן" הזירה (29.2.24), https://www.arenajournal.org.il/single-post/mimran-farber-nso-pegasus-affair.
[57] ראו לעניין זה למשל טל מימרן וליאור וינשטיין, "הממשלה מפקירה את הפרטיות" העין השביעית (29.10.2022); בג"ץ 2109/20 עו"ד שחר בן מאיר נ' ראש הממשלה (נבו 26.04.2020).
[58] ראו גם: מרדכי קרמניצר, דווקא אחרי הכישלון ב-7 באוקטובר, שב"כ לוקח לעצמו עוד סמכויות – רק כי הוא יכול, הארץ (13.12.23),
[59] דו"ח הממונה על היישומים הביומטריים - מס‘ ,12 הממונה על היישומים הביומטריים במערך הסייבר הלאומי, ,18.05.22 סימוכין 1313, 25_ci_bg_2060443.pdf (knesset.gov.il).
[60] מבקר המדינה, היבטים בהסדרת השימוש במאגרים ביומטריים, דוח שנתי 70ב, ,04.05.2020 היבטים בהסדרת השימוש במאגרים ביומטריים.
[61] ברמה המעשית, איננו זרים להשלכות מרחיקות הלכת של תקיפות סייבר על מאגרי מידע אישי רגיש, כפי שקרה למשל ביחס למתקפה על חברת הביטוח שירביט. ראו Tal Mimran and Yuval Shany, Israel, Cyberattacks and International Law, LAWFARE (Dec. 30, 2020), at .https://www.lawfareblog.com/israel-cyberattacks-and-international-law
[62] תומר גנון, הפרקליטות בוחנת בדיקת כל התיקים שבהם השתמשו ברוגלה, כלכליסט (06.06.2023).
[63] חן מענית, הפרקליטות משכה ראיות מתיק רצח כי הושגו ראיות על ידי שימוש ברוגלות שלא כדין, הארץ (05.06.2023).
[64] יהושוע (ג'וש) בריינר "בכירים במשטרה: שופטים שמאשרים האזנה לא יודעים באיזה כלי המשטרה תשתמש" הארץ (19.1.2022).
[65] צבי זרחיה ותומר גנון "היקף השימוש ברוגלות הוסתר גם בדיווחי האזנות סתר לשנת 2021" כלכליסט (20.6.2022).
[66] הצורך בהגברת האוריינות הטכנולוגית נידון גם בדו"ח מררי, 67-68.
[67] §36 Protocol additional to the Geneva Conventions of 12 August 1949, and relating to the Protection of Victims of International Armed Conflicts (Protocol I) (1977), 1125 U.N.T.S. 3.
[68] לדיון באשר להיקף תחולת הסעיף, ראו: William H. Boothby, Weapons and the Law of Armed Conflict 4 (2009).
[69] International Covenant on Civil and Political Rights (entered into force 23 March 1976).
[70] להרחבה על חשיבות הפיקוח הפרלמנטרי ראו בל יוסף "כנסת תכליתית: חיזוק יכולות הפיקוח של הכנסת על הממשלה" תכלית (עתיד להתפרסם, 2024); בל יוסף "פיקוח פרלמנטרי" תכלית (21.12.2023), זמין כאן.
[71] Gideon Rahat and Ofer Kenig, From Party Politics to Personalized Politics?: Party Change and Political Personalization in Democracies (Oxford University Press, 2018).
[72] Reoven Y. Hazan, The Failure of Presidential Parliamentarism: Constitutional versus Structural Presidentialization in Israel’s Parliamentary Democracy, In The Presidentialization of Politics : A Comparative Study of Modern Democracies 287 (Thomas Poguntke & Paul Webb eds., 2005); Robert Elgie & Gianluca Passarelli, The Presidentialization of Political Executives, in The Oxford Handbook of Political Executives 358 (Rudy B. Andeweg et al. eds., 2020); Matt Evans, Policy-Seeking and Office-Seeking: Categorizing Parties Based on Coalition Payoff Allocation, 46(1) Politics & Policy 4 (2018).
[73] Maoz Rosenthal, Israel’s Governability Crisis: Quandaries, Unstructured Institutions, and Adaptation, ch. 1 (2017).
[74] בנוסף, ראוי לשקול לבסס מנגנון דיווח מקיף יותר לוועדת חוץ וביטחון על עסקאות מכירה של רוגלות. זאת, לצד התייעצות עם גורמים מייעצים דוגמת מערך הסייבר הלאומי והרשות להגנת הפרטיות, במטרה לחזק את אמון הציבור.
[75] הודעת הכנסת, "יו"ר ועדת החוץ והביטחון, ח"כ בן ברק: יש לפקח על הייצוא הביטחוני בצורה הדוקה יותר" (13.6.2022)https://main.knesset.gov.il/News/PressReleases/Pages/press13.06.22.aspx.