המבקר: "המאגרים הביומטריים – סיכון משמעותי לפרטיות"

מבקר המדינה כולל ביקורת חריפה נגד המאגרים הביומטריים בדו"ח שהוא מפרסם היום (ב') אחר הצהרים. המבקר, מתניהו אנגלמן, אמנם טוען כי יש ביישומים הביומטריים יתרונות, אולם לצד זה הוא כותב כי "השימוש בהם טומן בחובו סיכונים משמעותיים ובלתי הפיכים, בהם כאלה הנוגעים לשמירה על הזכות לפרטיות. הסיכונים מתעצמים כאשר מדובר במאגר של נתונים ביומטריים".

"בשימוש ביישומים ביומטריים גלומים יתרונות רבים: התייעלות, שיפור תהליכים והרחבה והנגשה של שירותים רבים", כותב המבקר. "לצד היתרונות, השימוש ביישומים אלה טומן בחובו פוטנציאל נזק. בין הסיכונים: גניבת זהות והתחזות, כך שאפשר 'לשתול' בזירת פשע טביעות אצבעות של אנשים חפים מפשע, שנגנבו ממאגר ביומטרי כלשהו; מעקב – שימוש בנתונים הביומטריים לזיהוי אנשים בלא רצונם או ידיעתם; וחשיפת מידע בריאותי ואישי".

סוגיית היישומים הביומטריים, ובמרכזם המאגר הביומטרי, שנויה במחלוקת מאז עלתה לפני כמה שנים. אלא שהמתנגדים למאגר לא הצליחו במאבקם, והכנסת אישרה את הקמתו ב-2017. לצד המאגר הביומטרי הכללי, קיימים מאגרים לאומיים שונים נוספים, בהם במשטרה.

בדו"ח מציין המבקר כי "בשל ההתפתחות שחלה בעשור האחרון ביכולות הטכנולוגיה לזיהוי פנים, הסיכון בהחזקת מאגרי תמונות פנים התעצם. הסיכונים בחשיפה קשורים גם לאופן אחסונם של הנתונים, ובפרט אם הם נשמרים במאגר ביומטרי, או רק על גבי כרטיסים חכמים או על התקנים אחרים. מאחר שבמאגר מידע נשמרות רשומות רבות – הסיכון גדל. עוד סיכונים נגזרים מחוסר היכולת 'להחליף' את המידע הביומטרי, כך שאם הוא דלף ונעשה בו שימוש לא חוקי, עוצמת הנזק העלולה להיגרם לאדם גדולה מאוד, עד כדי בלתי הפיכה".

"בשימוש ביישומים ביומטריים יש לתת את הדעת להיבטי אבטחת מידע והגנת הפרטיות, המעוגנת בחוק", ציין אנגלמן. "יש להתייחס למידע ביומטרי כמידע רגיש. כשמדובר במאגר של נתונים ביומטריים החשש מפגיעה בפרטיות מתעצם נוכח סיכוני אבטחת המידע, 'זחילת פונקציות' – הרחבת השימוש במידע מעבר לתכליתו המקורית ושימושים שניוניים, יכולת המעקב אחר אנשים ללא ידיעתם, והסיכונים לכריית המידע".

מבקר המדינה, מתניהו אנגלמן. צילום: ניב קנטור צילום: ניב קנטור

הדו"ח הנוכחי מסכם את הביקורת שביצע משרד מבקר המדינה בשנה שעברה, כשבדק היבטים הנוגעים להסדרת השימוש במאגרים ביומטריים: סמכויות היחידה להזדהות וליישומים ביומטריים שבמערך הסייבר הלאומי במשרד ראש הממשלה, הפעלת מאגרים ביומטריים במגזר הממשלתי והפרטי והיעדר שימוש בתעודת הזהות החכמה. הוא כתב בדו"ח כי "נוכח הסיכונים שבהפעלת מאגרים ביומטריים, ובפרט מאגרים ממשלתיים וציבוריים, על מערך הסייבר הלאומי לבחון את סמכויות היחידה להזדהות והכלים שברשותה. יש למפות את הקשיים המשפטיים, הפרוצדורליים והאחרים, המקשים עליה למלא את תפקידה, ולבחון האם להרחיב את סמכויותיה ולעגנן בחוק". כמו כן, הוא ציין ש-"מצבת כוח האדם של היחידה חסרה: מתוך 11 משרות, רק שמונה מאוישות, וחלק מהמשרות אינן מאוישות יותר משנה. הפער משמעותי ועלול לפגום ביכולתה למלא את תפקידה".

מערך הסייבר הלאומי מסר כי "תהליכי הגיוס ארוכים ואינם מותאמים לעובדים מתחום הטכנולוגיה, והמערך נמצא בעיצומו של תהליך גיוס ליחידה להזדהות מול נציבות שירות המדינה, לעיצוב תהליך מותאם. תחום היישומים הביומטריים מאופיין ברב תחומיות, וגיוס ושימור עובדים קשה בו אף יותר מבתחומים טכנולוגיים אחרים"

מאגרים ביומטריים ממשלתיים נוספים

אנגלמן התייחס בדו"ח למאגרים ביומטריים נוספים שמחזיקה הממשלה, בהם מאגר רישיונות הנהיגה שבמשרד התחבורה, המכיל כ-4.5 מיליון תמונות של בעלי רישיונות. לדבריו, "אין במאגר זה הפרדה בין הנתונים הדמוגרפיים של בעלי הרישיונות לבין התמונות – הנתונים הביומטריים… אף שכבר ב-2005 הומלץ לממשלה להסדיר בחקיקה ראשית את השימוש הנעשה במאגר בתמונות, טרם אוסדר (מלשון אסדרה, רגולציה – י"ה) הנושא… המאגר מוגדר ברמת סיכון גבוהה. נרשמו פערים רבים לעומת המצב הרצוי וקיים פוטנציאל סיכון גדול למידע הביומטרי בהיבטי אבטחת מידע ופרטיות… משרד התחבורה לא נתן את המענה המקצועי הדרוש להפחתת הסיכון… המשרד פוגע בשקיפות כשאינו מפרסם באתר שלו את הגופים שאליהם מועבר המידע. חלק מהגופים שקיבלו מידע ממאגר התמונות לא דיווחו לרשם מאגרי מידע, כנדרש בחוק… מוצע לבחון איחודם של רישיון הנהיגה ותעודת הזהות החכמה".

משתמשי כרטיס רב קו

"איסוף המידע, לרבות תמונות הנוסעים, עלול להביא לפגיעה בפרטיות הנוסעים בתחבורה הציבורית", כתב המבקר. "למרות הניסיונות להסדיר את הנושא, לא הושלם הליך החקיקה. מספר התמונות במאגרי הרשות והמפעילים מוערך בכ-6.1 מיליון ל-4.5 מיליון נוסעים. לרשות הארצית לתחבורה ציבורית אין כל מידע בנוגע למאגרים שבידי המפעילים. היחידה להזדהות וליישומים ביומטריים לא בחנה את הנושא, למרות הסיכונים הטמונים בשימוש לרעה במידע הביומטרי".

משרד התחבורה ציין כי הוא מעוניין בביטול מאגר תמונות רישיונות הנהיגה וכי מתקיימת עבודת מטה בנושא.

כרטיס רב קו. צילום: Dzurag, BigStock

מאגר עובדים זרים ברשות האוכלוסין, מערכת מעו"ז

ב-2019, ציין המבקר, נמצאו במערכת פרטים ביומטריים של כ-550 אלף נתינים זרים. הנתונים לא נמחקים מהמערכת. "אף שכבר ב-2003 נקבע שיש להסדיר בחקיקה את נושא נטילת טביעות אצבעות מעובדים זרים, הוא טרם אוסדר בחקיקה. רשות האוכלוסין לא השלימה את הפעולות הנדרשות לעמידת מערכת מעו"ז במדיניות הלאומית ליישומים ביומטריים".

רשות האוכלוסין מסרה כי נטילת טביעות האצבעות מעובדים זרים נעשית בהתאם לתנאים שנקבעו על ידי היועץ המשפטי לממשלה ב-2003, לצורך הפעלת חוק הכניסה לישראל, והשימוש הנעשה בטביעות אלה לא הורחב מעבר לנקבע בתנאים הללו.

זיהוי קולי בשיחות טלפון – שירות בתי הסוהר, מערכת שחף

ב-2013, שירות בתי הסוהר הטמיע את מערכת שחף – טלפוניה ממחושבת בעלת יכולת זיהוי, ניטור ושליטה בשיחות טלפון, שכוללת זיהוי קולי של האסיר. מצויים במערכת נתונים של כ-9,600 אסירים. "כבר ב-2014 עמד בג"ץ על הצורך בקידום חקיקה בנושא. שב"ס נקט פעולות לקידום אסדרת הנושא. עם זאת, חמש שנים מאוחר יותר, לא גובשה הצעת החוק המסדירה את השימוש באמצעי זיהוי זה לכדי חקיקה, ולמרות שהתחייב, שב"ס לא הנחה את החברה המפעילה את המערכת לפעול לפי המדיניות הלאומית ליישומים ביומטריים".

משירות בתי הסוהר נמסר כי "הצעת החוק הייתה בשלבי הכנה לקריאות שנייה ושלישית בוועדת חוקה, חוק ומשפט והתקיים דיון אחד בעניינה טרם פיזורה של הכנסת ה-20. במסגרת ההיערכות לכנסת ה-21, ביקש שב"ס ממשרד המשפטים להחיל דין רציפות על הצעת החוק, אך בשל פיזורה של הכנסת האמורה, לא הוחל דין רציפות על הצעת החוק וככל הנראה יהיה צורך להגישה מחדש. עד השלמת החקיקה בעניין, הנחיות היועץ המשפטי לממשלה הן ההנחיות התקפות להפעלת מערכת שחף".

ככלל, אנגלמן ממליץ למשרדי הממשלה "לפעול לטיוב הנתונים השמורים במאגרי המידע, לרבות מחיקת רשומות שאין צורך לשמור".

"רק מעט מהמאגרים החייבים ברישום – אכן רשומים"

במדינה קיימים מאות אלפי מאגרי מידע פרטיים על מיליוני אזרחים, ציין המבקר. למרות זאת, נכון ל-2019 היו רשומים אצל רשם מאגרי המידע רק כ-20 אלף מאגרים, מתוכם 75 המכילים מידע ביומטרי. "מכל מאגרי המידע בישראל החייבים ברישום, רק שיעור נמוך מהם אכן רשומים", קבע המבקר. "הנתון אצל רשם מאגרי מידע לא משקף את כמות המאגרים הביומטריים הקיימים בפועל. לרשות להגנת הפרטיות אין מידע על היקפם ואין לה יכולת לפקח על הפעלתם". הוא קרא לרשות "למפות את הסיכונים שבקיום המאגרים הביומטריים במגזר הפרטי, שעלולים להביא לידי פגיעה בפרטיות".

היחידה להזדהות וליישומים ביומטריים מסרה כי "מבחינה חוקית הובהר לה, בין היתר על ידי משרד המשפטים, שבפועל אין לה כל סמכות אל מול המגזרים – הן הציבורי והן הפרטי, ועל כן, להמלצות שלה ולחוות דעתה אין מעמד מחייב".

לסיכום, כתב המבקר כי "המדיניות הלאומית ליישומים ביומטריים אושרה ב-2016. נכון לספטמבר 2019, טרם הושגו המטרות במלואן ונדרשים צעדים נוספים למימושן. יש לאסדר את המאגרים הביומטריים הממשלתיים בחקיקה; להבטיח שהם פועלים לפי המדיניות הלאומית, לצמצם את הסיכונים הטמונים בהפעלתם; לעגן את סמכויות היחידה להזדהות וליישומים ביומטריים; ולמפות את הסיכונים שבקיומם של מאגרים ביומטריים במגזר הפרטי ופגיעתם בפרטיות. יש לנהל את הסיכונים ולהגן בצורה יעילה וטובה על הציבור".

במשרד המשפטים מסכימים עם עמדת המבקר בעניין החשיבות שבקידום החקיקה.