דו"ח ממשלתי קובע: אפשר להילחם בקורונה בלי לפגוע בפרטיות

דו"ח חדש של הרשות להגנת הפרטיות קובע כי ישנה חלופה יעילה יותר ל"כלי" של השב"כ במעקב אחרי האזרחים לצורך זיהוי מדביקים פוטנציאליים. לפי הדו"ח ניתן להשתמש בטכנולוגיית Bluetooth, היעילה יותר מטכנולוגיית זיהוי מיקום באיתור הדבקות. כמו כן, החלופה מצמצמת סיכון עתידי לפגיעה בפרטיות האזרחים.

הדו"ח פורסם לקראת דיון בוועדת החוץ והביטחון שהתקיים בשבוע שעבר, על המשך מעקב השב"כ לזיהוי נדבקים פוטנציאליים. במשרד הבריאות טענו שהגרסה החדשה של אפליקציית המגן תעשה שימוש בטכנולוגיית Bluetooth, אך תקציב של מיליוני שקלים בודדים מעכב את הטעמתה החלופה.

לדעת איפה אנחנו אוכלים והאם אנחנו מתפללים

איסוף מידע על אזרחים לצורך אזהרת נדבקים פוטנציאליים, מטריד אזרחים רבים החוששים לאובדן פרטיותם. מה המשמעות של חלקי המידע הנאספים עלינו?

עוד באותו נושא:

• נגיף הקורונה ורשת ה-5G: איזו מהקונספירציות נכונה? (דעה)
• מערכת ריגול שלחה את אשתי לבידוד – מבלי שיצאה מהבית
• פרץ ולפיד הבריזו מהדיונים על מערכת הריגול של השב"כ
• בצל הקורונה נעשים צעדים מסכני דמוקרטיה

לפי דו"ח הרשות להגנת הפרטיות, שבדקה את הנושא, "גם כאשר נתוני מיקום נדמים להיות אנונימיים, כלומר אינם מקושרים לאדם מזוהה ונשמרים בנפרד, הרי שהצלבתם עם מידע זמין אחר עלולה לגרום לזיהוי".

איך זה קורה? אחת הדרכים היא הצלבת כתובת ה-IP של המחשב עם חשבון האינטרנט של המשתמש, המגלה מי הוא בעליו והיכן שהה. דוגמה נוספת היא הצלבת צילומי תנועת מכוניות עם מספר רישוי רכב, שיכולה להוביל לזיהוי בעל הרכב.

בנוסף, "הצלבת נתוני מיקום עם מידע המצוי ברשתות חברתיות, מצלמות אבטחה במרחב הציבורי, עסקאות אשראי וכיו"ב, עלולים גם הם לגרום לזיהוי פרטיו של אדם", פירטו בדו"ח.

עוד הוסיפו ש "ניתוח נתוני מיקום יכולים לחשוף מידע כמו כתובות מקום עבודה או מגורים. מחקרים מראים כי מעקב במשך שנה וחצי אחר נתוני מיקום אנונימיים של 6 חצי מיליון איש, מעלה כי לרובם יש שובל ייחודי, המאפשר לזהות 95 אחוז מהם".

• ניטור דיגיטלי בעידן הקורונה בראי הזכות לפרטיות: המסמך המלא

זה לא נגמר כאן. נתוני מיקום והצלבתם מגלים מידע פולשני אף יותר, כמו "מצבו הבריאותי והנפשי (אדם המבקר במוסדות רפואיים), אמונותיו (ביקור בבית תפילה, היעדר תנועה ושימוש בימי שבת), דעה פוליטית (ביקור במוסדות מפלגתיים או השתתפות בהפגנות)".

כך גם ניתן לגלות העדפה מינית (ביקור במקומות בילוי ייעודיים לקהילה מסוימת), מצב כלכלי (אזור מגורים, מקום עבודה, מקומות בילוי, עלולים להצביע על מצב כלכלי), קשרים חברתיים או מקצועיים, מצבו האישי של אדם (מקום לינה השונה מכתובת מגורים), מצב תעסוקתי ועוד.

החשש: דליפת נתונים לידיים זרות

החשש עולה כאשר גורם בעל אינטרס זר ישים ידו על הנתונים. "ככל שהזמן חולף, טכנולוגיות המידע משתפרות, ומקורות מידע רבים נעשים פומביים. תהליך זה מגביר את הסיכון של הצלבת המידע הגלוי עם המידע ה"אנונימי" אשר יגרמו לזיהוי הפרטים האישיים", נכתב בדו"ח.

אפשרות מדאיגה אחת היא פריצה למאגרי נתונים של גופים כמו משרד הבריאות למשל, וגניבתם. חשוב להדגיש כי עוד ב-2019 התריע מבקר המדינה מפני אבטחה לקויה של הנתונים במשרד הבריאות.

בראיון שקיימנו עם עו"ד יהונתן קלינגר לפני הבחירות, הוא הזהיר מהשלכות של דליפת נתונים. לטענתו באותו ראיון, הרשות להגנת הפרטיות היא גוף חסר שיניים. "יש עליה מכבש לחצים פוליטי", טען.

גם דו"ח מבקר המדינה, אותו אחד שהצביע על הליקויים באבטחת המידע, טען לחוסר מעורבות של הרשות להגנת הפרטיות בקבלת החלטות. טענה שבלטה גם בדיונים בנושא זה. 

הפתרון האופטימלי והרווח: Bluetooth מבוזר

מסקירת הרשות לפרטיות עולה כי אין אף דמוקרטיה שמשתמשת בטכנולוגיה שבה משתמשת ישראל לצורך אכיפת חובת בידוד וסגרים. עוד עולה מהסקירה, כי מדינות דמוקרטיות רבות מפתחות ממש בימים אלה טכנולוגיות אשר מטרתן לאתר קרבה לחולה קורונה באמצעות Bluetooth.

נתוני מיקום, כמו GPS, מגלים מידע על תנועה באופן שוטף. בניגוד לכך, נתוני מרחק, כמו אלו שמועברים על ידי Bluetooth, מצביעים רק על מידת המרחק של אנשים זה מזה.

"בהיבט הטכנולוגי, השיטה האחרונה עדיפה על איסוף נתוני GPS, שכן היא מספקת נתונים מדויקים יותר", נכתב בדו"ח של הרשות להגנת הפרטיות. "איתור קרבה, באמצעות נתוני מרחק, מתבסס בד"כ על אותות המועברים ב- Bluetooth בין משתמשים אשר הורידו אפליקציה למכשיר נייד, ונמצאים בקרבה מספקת זה לזו".

כלומר, לפי ניתוח זה השיטה האחרונה עדיפה בהרבה, גם מבחינת דיוק בניסיון לגלות מי אכן נמצא בסכנת הדבקה, וגם בהיבט של שמירה על פרטיות המשתמשים. 

כיצד פועלת טכנולוגיית Bluetooth?

הרעיון שעומד מאחורי השימוש ב-Bluetooth הוא הצפנת המספר על ידי ססמת זיהוי רנדומלית. "כל משתמש באפליקציה הייעודית מקבל מספר רנדומלי אנונימי הנשמר במכשיר הטלפון הנייד שלו", פותחים ומסבירים בדו"ח. "המספר מתחלף בפרקי זמן קבועים ותדירים, מטעמי אבטחת מידע".

כאשר משתמשים נמצאים בקרבה מסוימת, מכשירי הטלפון יוצרים קשר ומחליפים ביניהם את סיסמת הזיהוי הרנדומלית, כך שכל מכשיר נייד שומר את המספר של המשתמש השני.

"לדוגמה: משתמש א' פוגש את משתמש ב'. הטלפון של משתמש א' שולח לטלפון של משתמש ב' את מספר הזיהוי הרנדומלי-אנונימי של משתמש א' והמספר נשמר בטלפון של משתמש ב' ולהיפך".

על פי סקירת הרשות לפרטיות שימוש בטכנולוגיה זו לצורך זיהוי והתראה לנדבקים פוטנציאליים יעבוד כך: "כאשר משתמש מתגלה כחולה קורונה, משתמשים אחרים אשר באו עימו בקרבה הנדרשת ולמשך הזמן הנדרש ושפרטיהם הוחלפו עם המשתמש, יקבלו הודעה על כך ששהו בקרבת חולה (מבלי לקבל את פרטיו) וכי עליהם להיכנס לבידוד לתקופה המתאימה". כל זה מתוך המידע השמור בטלפון בלבד ולא במערכת מרכזית.

כלומר, מדובר באיסוף מידע הרלוונטי אך ורק לשאלת הקרבה לחולים ומשך השהייה בקרבתו. המידע אינו כולל נתונים על מיקום הנדבק הפוטנציאלי, לא ברגע ההדבקה ולא בנקודות שונות על המפה במהלך כל שעות היום.

"גרירת רגליים"

ועדת המשנה למודיעין, בראשות צבי האוזר (דרך ארץ), התכנסה בשבוע שעבר על מנת לדון אם לאפשר אורכה לממשלה בשימוש בכלי השב"כ לביצוע חקירות אפידימיולוגיות, אך תוך צמצום משמעותי. 

בדיון טענה רונה קייזר, ראש אגף מערכות ומחשוב במשרד הבריאות, כי פיתוח גרסה 2.0 של אפליקציית "המגן" אכן תתבסס על שימוש ב-Bluetooth. עד כה הורידו את האפליקציה 1.58 מיליון משתמשים (מתוכם 870 אלף משתמשים פעילים), לעומת יעד של 4 מיליון שהציב לעצמו משרד הבריאות. 

היו"ר האוזר, לחץ ושאל "האם מדובר בפרויקט מתמשך או פתרון ממשי?" קייזר ענתה שבתחילת יוני יעלו עם הגרסה המשדורגת וכי הם נערכים לתוכנית שיווקית. לטענתה "המאמץ השיווקי יעלה בין 3-4 מיליון שקלים". 

האוזר המשיך וטען כי "בהיקף ההוצאות של ההתמודדות עם הקורונה, נשמע לי אבסורד שבגלל ארבע מיליון שקלים מתמהמהים עם זה". ח"כ אלי אבידר מישראל ביתנו הסכים: "4 מיליון שקל לקמפיין ועדיין לא עשו את זה, זו גרירת רגליים".

שינוי גישה: מעכשיו צריך תירוץ טוב לשימוש בשב"כ

"אנחנו מעלים חשש כבד מאוד עם העובדה שצמצמו את היכולת שלנו לבצע חקירות יותר מקיפות", אמרה פרופ' סיגל סדצקי בפתיחת הדיון בוועדת המשנה לשירותים חשאיים בכנסת. סדצקי מביעה תרעומת על כך שהממשלה החליטה לצמצם בתחילת השבוע את האפשרות שלה להשתמש במעקב השב"כ אחרי אזרחים. 

אם בעבר שמו של כל חולה מאומת עבר אוטומטית לשב"כ על מנת לאתר את מסלולו בשבועיים הקודמים ובכך לאתר גם את כל מי שבא איתו במגע, החל מהיום השימוש בכלי יעשה רק כשאין ברירה אחרת.

לפי החלטת הוועדה, כל בקשה כזו תידרש לאישור ונימוק של מנכ"ל משרד הבריאות תוך תיאום עם השב"כ לפני הפעלתו. הסיבה להיוועצות עם השב"כ היא על מנת לוודא שזו לא תהיה בדיקה לחינם. ההארכה תפוג ב-8 ביוני במידה ולא תוגש עד אז על שולחן הכנסת הצעת החוק הממשלתית בנושא. 

ח"כ גדעון סער (הליכוד) תהה ושאל את סדצקי: "מה נשתנה?". מדוע למרות שמשרד הבריאות מבקש להמשיך במתכונת הקודמת, השימוש בכלי צומצם. סדצקי הודתה שהייתה מעדיפה להמשיך כמו בעבר אך זו ההחלטה שאושרה בממשלה.

ח"כ אלי אבידר (ישראל ביתנו) שאל: "מדוע למרות שיש 400 אחיות שמיועדות לחקירות אפידמיולוגיות על כ-20 חולים המשרד ממשיך לדרוש חדירה לטלפונים הניידים". 

סדצקי הודתה שאכן מהירות החקירות המסורתיות הוא משביע רצון ועומד על זמן ממוצע של יום ורבע (כולל שבתות), לעומת שעות ספורות בשימוש אלקטרוני. לטענתה ההבדל המשמעותי הוא בדיוק הבדיקה ולא בזמן שלוקח למשרד לבצע את החקירה. 

איילת שקד (ימינה) אמרה: "כל עוד אנחנו מפקחים אני לא רואה סיבה שלא להמשיך בשימוש בכלי שיאפשר להשאיר את המשק פתוח".

"לא אפקטיבי, יפגע בענף ההיי-טק"

בדיון עלו שורה של ארגונים אזרחיים והתנגדו להמשך השימוש ב"כלי" של השב"כ. אנחנו הולכים לכלי אוטומטי שהיום חצי מהבקשות בכלל לא אפקטיביות", טען פרופ' חגי לוין, יו"ר איגוד רופאי בריאות הציבור. "כרגע אפשר לעצור את השימוש בכלי. היום יותר חשוב לעשות סקרים מדגמיים כדי לזהות מקרים שאנחנו לא מכירים".

ד"ר תהילה אלטשולר, מהמכון הישראלי לדמוקרטיה, הוסיפה כי "אין אף מדינה דמוקרטית שבחרה להשתמש בשירותים החשאיים שלה במעקב אחר אזרחים. אנחנו פועלים באופן חזיתי כנגד הנחיות האיחוד האירופי, מה שיביא לפגיעה בענף ההייטק בישראל".

"כל האנשים בדיון יודעים שהכלי של השב"כ לא אפקטיבי כשכולם בחוץ", הסכימה פרופ' קרין נהון, יו"ר איגוד האינטרנט הישראלי. "לדעתי, צריך לבטל את ההארכה ולחכות לחקיקה ראשית, ויש לקיים דיון רציני בנושא החלופות".

השב"כ: "אנחנו דווקא מבקשים לצמצם" 

לקראת סוף הדיון עלו לדיון המקרים בהם יוכלו במשרד הבריאות להפעיל את כלי המעקב: אדם בעל מוגבלות, אדם המסרב לשתף פעולה ו'סעיף סל' של מקרים חריגים שיעשו תוך דיון ותיאום עם השב"כ.

ניצן, סגן היועץ המשפטי של השב"כ עלה לדיון בזום לקראת הסוף ואמר כי הסעיף שמתייחס לחולה המסרב לשתף פעולה אינו מקובל על השב"כ מאחר והוא מרחיב את מנעד המעקב. עוד הוסיף שמבחינתו היה מסיר גם את הסעיף לגבי בעלי מוגבלויות. ניצן ניסה להסיר את האישור האוטומטי שניתן לשני מקרים אלו ולהתייחס רק ל'סעיף הסל' של מקרים חריגים שיהיו חייבים לנמק ולבצע בתיאום איתם. 

עוד הוסיף כי השב"כ מבקש להיות מעורב בקבלת ההחלטות באם להפעיל את הכלי רק כדי שלא יופעל לחינם. כלומר, לוודא שהפעלתו תהיה באמת אפקטיבית לפני שמשתמשים בו. 

לבסוף, לבקשת השב"כ, הוחלט להסיר את שתי ההגדרות הראשוניות: טעמי מוגבלות ומטעמי סרבנות ולהשאיר רק סעיף למקרים חריגים שבו יתבצע נוהל תיאום ואישור שיפורסם. כלומר, השב"כ הפך להיות דווקא הגורם המצמצם.

ההצעה אושרה לבסוף: גדעון סער (ליכוד) וצבי האוזר (דרך ארץ) תמכו, אלי אבידר (ישראל ביתנו) התנגד. איילת שקד נכחה בחלק מהדיון אך לא השתתפה בהצבעה. יאיר לפיד ומשה יעלון נעדרו. יואב קיש ויואב בן צור מונו לסגני שרים ולא יוכלו להיות יותר חברי הוועדה.