נתונים בסכנהלאזרחי ישראל אין סודות - אלפי מאגרי מידע מסתובבים ללא פיקוח
נתונים בסכנה
לאזרחי ישראל אין סודות - אלפי מאגרי מידע מסתובבים ללא פיקוח
תיבת הספאם שלכם מפוצצת? אתם לא לבד. בחינה של שוק מאגרי המידע מציירת תמונה מטרידה שלפיה בישראל מסתובבים אלפי מאגרי מידע ללא פיקוח. כמעט כל מי שיש לו גישה לפרטים אישיים אוסף אותם, ואז סוחר בהם - והפגיעים ביותר הם כצפוי קטינים. כתבה ראשונה בסדרה
הבעיה: המידע הפרטי של אזרחי ישראל פרוץ ונמכר לכל המעוניין
איך ספאם נולד? מי נתן למוסדות קבר רחל את מספר הטלפון שלך, או ל"100 אלף הלוואות מיידיות" את פרטי הקשר שלך? מדי פעם כשגל של הטרדות טלפוניות פוקד את תושבי ישראל, צצות תיאוריות מכל פינה ברשתות החברתיות. אך האמת היא שאין צורך לתהות יותר מדי כי בישראל אין שום בעיה להשיג רשימות מפורטות ומפולחות של יעדים לפרסום ממוקד. היום מתווכי מידע מציעים גישה למידע לפי משקל, רשומות של 2,000, 5,000 או יותר כתובות מייל, מספרי טלפון וכיוצא בזה, שמפולחים על בסיס נתונים דמוגרפיים שונים.
החוק בישראל אוסר שימוש במידע שנאסף למטרה אחת עבור מטרה אחרת, אז מתווכי מידע לא מחזיקים חלילה במידע, אבל הם "פיתחו שיטות לסריקת האינטרנט". מה הם סורקים? את מאגרי המידע הרבים שדלפו לרשת. כאלו יש כל כך הרבה שאפילו אין צורך לרדת למשעולי הדארק־ווב כדי לרכוש אותם.
אבל הגישה הקלה למידע היא לא רק מדליפות, אלא גם בשל ההסכמה שאנו נותנים כלאחר יד. קחו לדוגמה את הערוץ הפופולרי ברשתות החברתיות "ישראל בבידור". בשלהי 2022 הוא יצא בסקר "אמן השנה", וביקש מהציבור הרחב להשתתף, לדרג ולהשפיע. תנאי השימוש כללו את ההסכמה הבאה: "המשתתפים נותנים בזאת את הסכמתם הבלתי חוזרת לשימוש בפרטיהם, לרבות מקום מגורים, גיל, שנת לידה, התשובות שענו בסקר וכיו"ב. בכל פעילות שהיא או לכל צורך אחר לפי שיקול דעתה הבלעדי של עורכת הפעילות לרבות שמירת פרטיהם במאגר, ללא הגבלת זמן וללא תמורה כלשהי. המשתתפים מוותרים בזאת על כל טענה ו/או דרישה ו/או תביעה בקשר עם פרסום ו/או שימוש בפרטיהם כאמור, ולא תהיה להם כל טענה כנגד עורכת הפעילות או מי מטעמה בקשר לכך. ההסכמה האמורה בסעיף זה מהווה תנאי להשתתפות בפעילות".
אלו תנאי שימוש כה נרחבים שנראה כאילו הסקר נוצר כדי לבנות מאגר מידע, ולא להפך. אבל למי אכפת? את מסמנת וי וממשיכה הלאה לדרג את זמר השנה.
בישראל הכל פרוץ, דולף ונודף ניחוח כללי של חוסר אחריות, חוסר אכפתיות, מציאות שבה נראה כאילו למי שאוסף מידע אין חובות, ונשואי המידע חסרי זכויות. מכאן עולה שאלה מהותית יותר — מדוע ואיך זה קורה? מה עיצב את הגישה הכללית למידע, רגישותו, האופן שבו שומרים ומפקחים עליו?
השיטה: כל מי שיכול לשים יד על מידע אוסף אותו. אין מי שיפקח
מדי פעם ועל פי דרישה מכתירים משאב מסוים כ"זהב" חדש. פעם הבהלה היתה סביב המתכת עצמה, אחר כך היה זה הנפט, לפרקים הכתירו כך את הקפה, ואז את הקקאו, בתקופות של מחסור גם דשנים, או ליתיום. זו רשימה דינמית שהיום שולט עליה משאב אחד מעל כולם — נתונים. אלה נאספים, ממוינים, מאופסנים ונמכרים אחרי עיבוד וליטוש לכל המרבה במחיר. מרכזיותם של נתונים היתה ברורה מהר מאוד עם התפתחות עידן המחשבים. כבר ב־1985 אמר רוברט מרסר, אז מדען מחשבים ב־IBM, ש"אין דבר חשוב יותר מנתונים מאשר עוד נתונים". היום מי שאוסף או חושק בנתונים, בישראל ובמקומות אחרים בעולם, פועל לפי הדינמיקה הפשוטה: "אם יש נתונים — אאסוף אותם; אם אספתי אותם — הם שלי; אם הם שלי — אעשה בהם כרצוני".
בימים אלו יש עניין מיוחד סביב בינה מלאכותית ואנו מצויים על קו פרשת המים: רגע שבו המדינה צריכה לחשוב לא רק איך היא "מובילה במרוץ" ה־AI אלא גם שומרת על תושביה מפני תעשייה שאינה יודעת שובע או גבולות באיסוף נתונים.
לישראל יש אתגר קשה במיוחד משום שברגע מכריע זה, 40 שנה מפרוץ המהפכה הדיגיטלית, אפשר להודות כי משטר הנתונים שהתפתח במדינה הוא תעודת עניות מהדהדת, דוגמה ומופת לחוסר הרלבנטיות שאליו יכולים לשקוע רגולטורים ומחוקקים.
הדרך הישירה לבחון את האופן שבו המדינה דואגת לאינטרסים של תושביה בנושא זה היא דרך החקיקה הקיימת, זו למרבה הצער לוקחת אותנו הרחק אל 1981 וחוק הגנת הפרטיות, שם מגדירים כי כל מי שמעוניין להחזיק במאגר מידע, חייב על פי חוק לרשום אותו בפנקס המאגרים. "כשנוצרה חובת הרישום בשנות השמונים, הרציונל היה שאנו נמצאים בעולם אנלוגי שבו שומרים דברים בכרטיסיות וקלסרים, ואם מתחילים להכניס דברים למערכת ממוחשבת, נוצר סיכון נוסף", מספרת עו"ד ריבקי דב"ש שעמדה בראש מחלקת הרישום של מאגרי המידע ברשות להגנת הפרטיות בתחילת שנות ה־2000, והיום משמשת עמיתה בכירה במכון הישראלי למדיניות טכנולוגיה. "אז היו 400 מאגרים וההנחה היתה שאנשים לא בהכרח יודעים שאוספים עליהם מידע. אבל ברירת המחדל השתנתה, ההנחה היום שכמעט כל עסק קטן, בינוני או גדול מחזיק במאגר מידע. צריך לזכור שמשם זה צמח".
היום קיימים 29,440 מאגרי מידע מאושרים שרשומים ב"פנקס מאגרי המידע" שעליו מפקחת הרשות להגנת הפרטיות, והוא אמור להיות הצוהר לניהול איסוף נתונים רגישים בישראל ושמירה על פרטיות התושבים. 28,317 נשמע הרבה, אולי אפילו מספר מרשים ותוצר של עבודה מוצלחת, אך ברשות מעריכים שרק 2% מכל מאגרי המידע בישראל רשומים. זאת אומרת שבפועל קיימים כ־1.5 מיליון מאגרים, אולי חלקם חופפים, אולי מוצלבים, משותפים או נמכרים, מי יודע.
מתוך מאמץ לנסות לתקן את המצב פנתה בעבר הרשות באופן ישיר ויזום לגופים שהאמינה שיש להם מאגרים לרשום, אך כמעט שלא זכתה למענה, אפילו שחובת הרישום עצמה היא קלה וכוללת טופס פשוט שנראה כמו מבחן תשובות מרובות. לכאורה, הרשות יכולה היתה לאכוף את חובת הרישום, החזקת מאגר ללא רישום היא עבירה פלילית שדינה עד שנת מאסר לאדם שניהל, השתמש או תחזק מאגר כזה, והרשות אף יכולה להטיל קנס מינהלי.
אבל הרשות לא אוכפת, לטעמה זה לא רלבנטי ולא בסדר העדיפויות שלה. כך ציינה במאי 2021 בכתב עמדה שהגישה לבית המשפט המחוזי בתל אביב: "במסגרת סדרי העדיפויות של הרשות להגנת הפרטיות בתחום האכיפה, הרשות ככלל אינה נוהגת ליזום פעולות אכיפה שעיקרן באכיפת החובה לרישום מאגר מידע".
2 צפייה בגלריה
עו"ד ריבקי דב"ש, מחלקת רישום מאגרי מידע בעבר: "חייבת להיות שקיפות לגבי איזה מידע נאסף, מה השימוש בו ולמי מעבירים אותו"
העיון בפנקס פתוח ונגיש וכולל את שמות המחזיקים במאגר ופרטים כלליים, מתי נפתח, האם המאגר מוחזק בידי ישויות נוספות וגם אילו פרטים מצויים בו. הפנקס גם כולל הרבה ממה שהוא אמור, במובן שיש בו מאות מאגרים שבוטלו או שמעולם לא השלימו את רישומם, אם מכיוון שהרשות סירבה להקמתו ואם כי מנהלי המאגר התחרטו. מדוע הם נמצאים בפנקס? זו טעות. הפנקס אף כולל מאגרים ריקים מתוכן, ארכאיים ולא רלבנטיים. כש"כלכליסט" תהה על כמה מהם כמו למשל "מאגר מבוטחי עזה" של משרד הבריאות, נמסר כי זה אינו רלבנטי מאז תקופת ההתנתקות (2007).
דב"ש ואחרים מסבירים כי בחובת הרישום יש כמה יתרונות, בעיקר בתהליך שאותו רושמי המאגר עוברים, השאלות שהם צריכים לשאול את עצמם בנוגע למאגר בעת שהם מגישים בקשה לרישום, אילו נתונים ולמה הם אוספים אותם, עם מי בכוונתם לשתף אותם ומה הרגישות הנדרשת מהם. אבל ביורוקרטיה אינה הבטחה ליעילות. קחו, למשל, את מאגר תושבים "לא מחוסנים" שהקימה עיריית רמת השרון. המאגר, שנראה חשוב מאוד, קם בעקבות אישור הממשלה בפברואר 2021 של "פקודת בריאות העם (מס' 36) הוראת שעה — נגיף הקורונה החדש". החוק העניק למשרד הבריאות הרשאה להעביר לרשויות שונות וגורמים במשרדי הרווחה והחינוך מידע על אזרחים שאינם מחוסנים. בשיחה עם עיריית רמת השרון הסבירו כי אף שרשמו את המאגר, הם מעולם לא מימשו את זכותם להחזיק בו אלא רשמו אותו כאמצעי זהירות. רמת השרון, הבטיחו בעירייה, לא החזיקה ולא מחזיקה במידע הזה. האמת היא שהעירייה גם לא יכולה להחזיק בו. התיקון לפקודת הבריאות עורר ויכוח כה סוער שהאגודה לזכויות אזרח וארגון הרופאים לזכויות אדם עתרו לבג"ץ והשיגו צו ביניים שאסר על המדינה להעביר מידע זה. העיכוב והמחאה הספיקו, החוק מעולם לא נכנס לתוקף ולא חודש אחרי שתם הזמן שהוקצב לו.
אבל עובדות יכולות לבלבל. קחו, למשל, את עיריית נשר, העירייה השנייה סך הכל שגם רשמה על שמה "מאגר לא מחוסנים". כש"כלכליסט" פנה לברר על המאגר, בנשר איששו שהם מחזיקים בו והדגישו שהעירייה "מסתייעת בחברה חיצונית לצורך ביצוע רישום". על שאלה ספציפית בנוגע לנסיבות שהובילו להחזקה במאגר ומדוע ביקשה אותו, הסבירו כי הוא "הועבר על ידי משרד הבריאות לעיריית נשר וזאת לפי החלטת ממשלה" וכחלק "מהקשר השוטף בין נציגי משרד הבריאות למערך האפידמיולוגי בעירייה". עוד הסבירו בעירייה כי הם מעולם לא השתמשו בו כדי לפנות באופן ישיר לתושבים.
תשובה זו, כאמור, מפתיעה משום שהחוק מעולם לא נכנס לתוקף. במשרד הבריאות איששו. "אף רשות מקומית בישראל לא פנתה למשרד הבריאות לקבלת מידע מסוג זה", מסרו; "אין אף בקשה כזו שנדונה או אושרה", הוסיפו; "ואף רשות מקומית בישראל גם לא קיבלה מידע מסוג כזה", סיכמו. במשרד הבריאות עוד הסבירו כי אין בתהליך זה מסירת מאגר כקובץ, אלא גישה לפורטל ממודר. לכן אין שום דרך שבה עיריית נשר יכולה "להחזיק" במאגר ולהעניק "לפחות מעשרה אנשים", לדבריה, גישה אליו. במשרד הבריאות עוד הסבירו כי פנו לאחראי על הטיפול בקורונה בעיריית נשר להבין על איזה מאגר בעירייה מדברים, וזה ענה כי אין בידי העירייה מאגר. קל, אם כך, להסיק מדוגמה זו כי הרשות יודעת מעט מאוד על מה שקורה במאגר עצמו. יותר מכך, גם אם היא יודעת, זה לא אומר שיש לה בהסתמך על החקיקה הקיימת את הכלים להגן על הפגיעים ביותר.
קחו, למשל, קטינים שלא זוכים לכל הגנה בחקיקה הנוכחית. אף שתיקון מיוחד הוגש בכנסת ה־20, בכנסת ה־22 ובכנסת ה־23 כדי להגן על נתונים של קטינים, הוא מעולם לא קודם. לכן אין תשומת לב מיוחדת לרגישות הנדרשת באיסוף נתונים על ילדים. כך אולי יפתיע שבמעבר על אלפי הרשומות בפנקס מאגרי המידע עולה ש־20 מוסדות חינוך מוכרים שאינם רשמיים (כגון ישיבות ואולפנות) הצהירו כי הם אוספים, בין היתר, מידע על נטייתם המינית של התלמידים שלהם; בחינוך הממלכתי יש 13 מוסדות כאלו ובחינוך הדתי־ממלכתי שלושה.
האם איסוף מידע זה הוא לגיטימי? האם ההורים נתנו הסכמתם המפורשת לאיסוף מידע מסוג זה? מדוע בכלל לאסוף מידע כזה? והאם באמת רק קומץ אוספים? האם ייתכן שבתי ספר רבים במדינה אוספים מידע זה, אך פשוט אדישים לרישומו של מאגר? לא ברור איזו מבין האפשרויות גרועה יותר, אך במציאות הנוכחית שבה ארגוני המרה מקבלים גישה לבתי ספר דרך תוכניות חיצוניות של משרד החינוך — הכל גרוע באותה המידה.
מצב הביש הנוכחי הוא תוצר של מאמצים מרובים ולא מוצלחים לשנות. דו"ח שופמן מ־2007 היה הראשון להעלות שורה של תיקונים הכרחיים, וממנו בוצע עדכון משמעותי אחד בלבד. ב־2012 הגישו תזכיר חוק שנועד לצמצם את חובת הרישום על בסיס אותו דו"ח, שלא הבשיל להצעת חוק, ב־2018 עלה "תיקון 13" לקריאה ראשונה ובו צמצום חובת הרישום, וכמובן שגם כאן דבר לא הבשיל. בשנתיים האחרונות התקיימו דיונים על "תיקון 14" שהגיע להישג המכובד — עבר בקריאה ראשונה, אך מאז כבר התחלפה ממשלה.
"בגדול לקחו את ההמלצות של דו"ח שופמן ביחס לחובת הרישום", אומרת דב"ש, "זה מעליב. 15 שנה חלפו. לבוא ולקחת המלצות מהעידן שעוד לא היו לנו סמאטרפונים, זה או לא להבין את הזירה או להתעסק עם השוליים של השוליים של השוליים. קשה לי לראות את התועלת של הרישום וגם רואים את זה בהיקף המאגרים הרשומים".
דב"ש מספרת שעוד בתקופתה היה ברור כי חובת הרישום אינה מפיקה תועלת ראויה. "ב־2007, עוד לפני האייפון, הגשנו את דו"ח שופמן וכבר המלצנו לצמצם את חובת הרישום", אומרת דב"ש. "ראיתי את היקף המשאבים שמופנים לרישום כשבתקופתי היו בערך 17 אלף מאגרים בפנקס, ואם אני מסתכלת עליהם, אני הרי לא באמת מקבלת מיפוי של אילו מאגרים יש, מה האיכות שלהם או מה הסיכון שהם מייצרים. ראיתי כמה משאבים אנחנו משקיעים ברישום כשהתועלת לא מאוד גבוהה".
כך הגענו לנקודת זמן זו שבה דבר לא בשל, כלום לא תוקן, וכל אחד יכול לעשות ככל העולה על רוחו. שהרי הרישום לא מייצר שום הגנה, הרשות לא אוכפת, החקיקה לא מתעדכנת, וכל אחד עושה ככל העולה על רוחו.
מה אפשר לעשות? כדי להשיב למדינה יכולת לפקח על מאגרי מידע נחוצה ראשית הגדרה של מה מותר ומה אסור לעשות
מהם המהלכים שיאפשרו שליטה כלשהי על מאגרי המידע? לדברי דב"ש, "דבר ראשון צריכה להיות שקיפות לגבי איזה מידע נאסף, מה השימושים שנעשים בו, למי מעבירים אותו וכדומה. צריך גם לדבר על אילו שימושים מותרים ואילו לא, כלומר מה מותר לעשות במידע. גם זכות העיון חייבת להיות ממומשת בצורה הרבה יותר משמעותית". דב"ש מוסיפה כי יש כמובן דברים נוספים שהם לא בהכרח רק תיקוני חקיקה "כמו לדוגמה שהייתי משקיעה הרבה יותר בחינוך ובעידוד חברות טכנולוגיה לבנות מוצרים שמוטמעת בהם הנדסת פרטיות. הייתי מצפה שיהיה גם עידוד של המדינה לכך כמו קרנות ייעודיות שיעודדו את הנושא, כי בסופו של דבר הפתרון הוא במהותו טכנולוגי".
