מדיניות הממשלה הרשמית: יש לצמצם את המאגרים הביומטריים

מדינת ישראל נגד מאגרים ביומטריים: ראש הממשלה, בנימין נתניהו, אישר אתמול את המדיניות הלאומית ליישומים ביומטריים, שקובעת, בין השאר, שיש לשאוף לצמצום פעילותם של מאגרים ביומטריים, בעיקר כאשר מדובר במגזר הממשלתי. על פניו, נראה שהמדיניות החדשה עומדת בסתירה למאמצי המדינה להפוך את המאגר הביומטרי, שיכיל תמונות אצבע וטביעות פנים של כל אזרחי ישראל, למנדטורי.

המדיניות החדשה, ש"כלכליסט" דיווח על עיקריה כבר בדצמבר שעבר ואת גיבושה הוביל הממונה על יישומים ביומטריים במשרד ראש הממשלה, רם ולצר, מציגה החלטה מקיפה וכוללת של מדינת ישראל לגבי שימוש ביישומים ובמאגרים ביומטריים במדינה. אף שאינה עוסקת באופן פרטני במאגר הביומטרי השנוי במחלוקת, שמופעל כחלק מפרויקט תעודות הזהות והדרכונים החכמים, חלק ניכר מההצעות והניתוחים שהיא מציגה עשוי להשליך ישירות על פעילותו.

פיילוט של המאגר הביומטרי צילום: עמית שעל

למעשה, חלקים ניכרים ממסמך המדיניות דומים לאזהרות שהשמיעו מתנגדי המאגר בשנים האחרונות. כך, למשל, בפרק שעוסק בסיכונים של מאגרים ביומטריים נכתב: "נתונים ביומטריים מאפיינים את האדם עצמו, ולפיכך, במרבית המקרים, אינם ברי-עדכון ותיקון בצורה פשוטה. מאפיין נוסף של נתונים ביומטריים הוא שאינם ניתנים לביטול בצורה פשוטה. כאשר משתמשים בסיסמת זיהוי, ניתן להחליפה לסיסמה חדשה אחרת לאחר שהסיסמה הקודמת נחשפה או נשכחה.... שילוב של המאפיינים הנ"ל, יוצר את הסיכון לפיו אם הנתונים הביומטריים ייחשפו וייקשרו לאדם מסוים ולנתוניו האישיים, עלולה להיווצר פגיעה של ממש בזהותו (עד כדי גנבת זהותו) או בפרטיותו".

עוד מצוינת "אפשרות 'השתלת' טביעות אצבע של אנשים חפים מפשע, שנגנבו ממאגר ביומטרי כלשהו, בזירת פשע" - סכנה שנתקלה לא פעם בתגובות מזלזלות מצד תומכי המאגר הביומטרי. במסמך מצוין עוד שניתן להשתיל טביעות אצבע גם מטביעות שנלקחו ממקומות פומביים ושמדובר לא פעם במקור נגיש יותר מפריצה למאגר. במאגר הביומטרי שמורות טביעות האצבע בצורה מוצפנת אמנם, אך מדובר בטביעות המלאות כשמשתמשים בעלי גישה למאגר יכולים לצפות בתמונה הגולמית שלהן, ולא בתבניות מאפיינים.

כן מזהיר המסמך מסכנה נוספת של שמירת תמונות טביעות אצבע: "פריצת מאגר טביעות אצבע הכולל תמונות לצורך גישה למערכת מידע אחרת, לדוגמה – לכספומט למשיכת מזומן שהגישה אליו מבוקרת ע"י טביעת אצבע. אם הבנק המפעיל את הכספומטים ינסה לחסום את הגישה על ידי השוואה לטביעות אצבע שנגנבו (בהנחה שמקרים אלו ידועים), הדבר יחסום למעשה גם את הגישה של האדם התמים שטביעות האצבע שלו נגנבו. זאת, לעומת פתרון של חסימת כרטיסי אשראי גנובים, כשאדם יכול לקבל כרטיס אשראי חלופי במקום הכרטיס הגנוב. הדוגמה לעיל ממחישה את הקושי שביישום מנגנון ביטול יעיל למאפיינים ביומטריים".

סכנה נוספת, שגם היא הועלתה לא פעם על ידי מתנגדי המאגר הביומטרי, היא שימוש במאגר שמכיל תמונות פנים או זיהוי קשתית עין לצורך מעקב אחרי אזרחים ללא רצונם או ידיעתם. "ניתן לצלם אנשים במצלמות אבטחה, כשהם עוברים ברחוב וחולפים מול המצלמה, או במתקנים ציבוריים אחרים, ולבדוק צילומים אלו מול 'רשימות מעקב'", נכתב. "עלול להיווצר מצב של שימוש לרעה לצורך מעקב באופן שחורג מסמכות או שלא למטרות חוקיות". בהקשר זה מצוין שתמונת פנים כבר אינה נתון סודי, ושניתן להשיגה בקלות יתרה מבלי לפרוץ למאגר, למשל באמצעות חיפוש בפייסבוק.

"השימוש ביישומים ביומטריים... מייצר פוטנציאל נזק העלול להיגרם לפרט - ובמקרים מסוימים גם למדינה, היה ונעשה במידע שימוש בלתי מבוקר, או היה ודלף מידע", מסכם המסמך את הסיכונים. "אירוע דלף מידע ממאגר ביומטרי עלול לגרום לפגיעה בפרטיות, לפגיעה פיזית ו/או כלכלית, ובמקרי קיצון - להפללת אנשים חפים מפשע, לפגיעה בביטחון המדינה ובניהולה התקין".

על סמך סיכונים אלו, מתווה המסמך עקרונות שלפיהם הקמת מאגרים ביומטריים תיבחן לאור נחיצותם והתועלת שהם מביאים, ותתבצע תוך הגנה מרבית על פרטיות האזרחים שנמצאים במאגר, כאשר יש לשאוף לצמצום מרבי של המידע שנאסף ולהגביל את משך הזמן שהוא נשמר. קביעה זו עומדת בניגוד ישיר לפעילות המאגר הביומטרי, שהמידע נשמר בו ללא הגבלת זמן ושבניגוד לעמדת הממונה על יישומים ביומטריים כולל גם טביעות אצבע ולא רק תמונות פנים.

ואולם, העיקרון החשוב ביותר קובע שיש לצמצם את השימוש במאגרים ביומטריים. "על גוף הבוחר לנהל יישום ביומטרי לשקול האם ניתן לקיימו ללא מאגר ביומטרי", נכתב במסמך המדיניות. "שאיפה זאת נובעת משני מקורות: המקור האחד נובע משיקולי הגנת הפרטיות ואבטחת מידע, המקור השני נובע משיקולים פונקציונליים וכלכליים של מניעת כפילויות באחסון מידע ביומטרי של התושבים במאגרי מידע מקבילים, והשקעות כספיות עודפות של המדינה... עקרון צמצום המאגרים הביומטריים יחול ביתר שאת במגזר הממשלתי, ובמקרים מסוימים עשוי להיות רלוונטי גם לגבי מאגרים ביומטריים במגזר הפרטי".

העקרונות שנקבעו במסמך משקפים את העימות שהתנהל בשנה האחרונה בין ולצר לראש הרשות לניהול המאגר הביומטרי, גון קמני, סביב שאלת הכללת טביעות אצבע במאגר. בעוד שוולצר התנגד לכך נחרצות והוביל קו של הקמת מאגר ביומטרי של תמונות פנים בלבד, קמני קידם את המשך הפעלת המאגר במתכונת הנוכחית, שכוללת שתי טביעות אצבע.

גון קמני. תמך במתכונת הנוכחית צילום: עמית שעל

אישור המדיניות הנוכחית, ובפרט החלקים שעוסקים בסכנות של מאגרים שמכילים טביעות אצבע שלא בתבניות מאפיינים, מהווה ניצחון מכריע לקו שהוביל ולצר, ויכול להיות שתהיה לו השפעה מהותית על החלטתו הצפויה של שר הפנים, אריה דרעי, לגבי אופי המאגר. אם כי, המדיניות אינה כוללת איסור מפורש על מאגרים עם טביעות אצבע. דרעי כבר הצהיר שהכריע לטובת מאגר ביומטרי, אך לא לגבי טיבו. בהקשר זה, מעניינת במיוחד העובדה שרק לפני כשבועיים הודיע קמני במפתיע על פרישתו מתפקיד ראש הרשות הביומטרית.

"עד היום עמדנו לבדנו והבענו את החשש הכבד לשימוש בלתי מבוקר בביומטריה, והיום מצטרפת אלינו מדינת ישראל, כאשר הממונה על היישומים הביומטריים מאמץ את הטיעונים והחששות אותם הבענו לאורך השנים הארוכות בהן אנו נאבקים במאגר הביומטרי", אמר בתגובה פרופ' אלי ביהם, ראש מרכז הסייבר בטכניון ומראשי התנועה לזכויות דיגיטליות. "פירוט הסיכונים הוא מהלך אמיץ של מר ולצר, אשר לא נרתע מלהציב מראה בפני מהלכים חסרי אחריות שנעשו בשנים האחרונות. המסקנה המשמעותית ביותר מקריאת המסמך היא שהמאגר הביומטרי לא עומד אפילו בסטנדרטים ובקווים המנחים שהותוו על ידי המדינה. אני קורא לשר הפנים לבטל לאלתר את המאגר הביומטרי, בטרם יתממשו הסיכונים בפניהם מתריע משרד ראש הממשלה באמצעות הממונה על היישומים הביומטריים".