והאנשים האלה הולכים לטפל בטביעות האצבע שלנו

6.5.09 שוב איני מצליח להתאפק ושם בכותרת גניבה ספרותית מיהונתן קלינגר.
.
לאחר שמבקר המדינה קבע, שמשרד הפנים נכשל באופן חמור בהגנה על פרטיותם של אזרחי המדינה, יש לעצור לאלתר את המהלכים להקמתו של מאגר מידע ביומטרי (לסקירה שלי; לדיווחים ב-ynet, הארץ, ולרשימה של ד"ר עומר טנא).
.
ממצאיו של מבקר המדינה חמורים כשלעצמם, אבל גם מעוררים חרדה לנוכח פעילותו הנמרצת של משרד הפנים להקים מאגר מידע ביומטרי, שיכלול את טביעות האצבע ותמונות בסטנדרט ביומטרי של אוכלוסיית מדינת ישראל.
.
בהצעת החוק שהגיש לכנסת אישר משרד הפנים את החששות בקשר למאגר, ואומר שהקמתו יוצרת סיכונים רבים, ו"עלולה לגרום לתושב נזק בלתי הפיך". בשל סכנות אלו נמנעו מדינות מערביות אחרות להקים מאגר ביומטרי, ואולם משרד הפנים מתעקש שביכולתו להחזיק את המאגר המסוכן, ומבטיח לתת"מענה אבטחתי הולם לסיכון הצפוי מהקמת המאגר, דבר שיקטין ביותר את פוטנציאל הפגיעה בזכויות" (ראו דברי הסבר לסעיף 8 להצעת החוק).
.
דו"ח מבקר המדינה מהיום מלמד שההבטחות הללו של משרד הפנים הן החלטות נבובות וסתמיות. במשך שנים מפגין משרד הפנים יכולת עלובה ביותר בהגנה על מאגרי מידע רגישים הרבה פחות. ללא ספק נדרשת מידה רבה של תעוזה וחוצפה כדי לדרוש מאיתנו, האזרחים, להסכים להקמתו של מאגר מידע ביומטרי רגיש, שגם לשיטת משרד הפנים עלול לגרום לנו "נזק בלתי הפיך" המסקנה החד משמעית שיש להסיק מדו"ח מבקר המדינה שמתפרסם היום, היא הליקויים החמורים שמצא מבקר המדינה בתחום אבטחת המידע במשרד הפנים, בקשר למאגר מידע רגיש הרבה פחות.
.
ראו עוד: הודעה של האגודה לזכויות האזרח ולמכתב שהוצאנו לשר הפנים, ח"כ אלי ישי.
/

מבקר המדינה: "יש לראות בחומרה את כשלונה של רשות האוכלוסין בהגנת ושמירת פרטיותם של אזרחי המדינה"

משרד הפנים דוחף להקמתו של מאגר ביומטרי רגיש ומבטיח שידע לשמור עליו, אבל דו"ח מבקר המדינה, מלמד שהמשרד אינו עומד במשימות פשוטות הרבה יותר (לדו"ח המלא; לתקציר).

.

רשות האוכלוסין במשרד הפנים מחזיקה מידע רגיש על כל אחת ואחד מתושבי ישראל – מערכת מידע שהוגדרה כ"קריטית" על ידי גורמי הביטחון במשרד ראש הממשלה. אבל דו"ח מבקר המדינה מלמד על שורה של ליקויים חמורים בשמירת המאגרים, שמעמידים בסכנה את הפרטיות של כל אחת ואחד מאיתנו ואף את הביטחון. נמצא שהמשרד אינו עומד בדרישות בסיסיות שנקבעו בחוק הגנת הפרטיות, כמו למשל מינוי אחראי לאבטחת מידע (עמוד 865) – מחדל שמהווה עבירה פלילית שגוררת אחריה עונש מאסר בן שנה (ראו סעיף 31א(א) וסעיף 17ב לחוק הגנת הפרטיות).

.

המחדלים החמורים באבטחת מאגר המידע הביאו לדליפת מאגר מרשם האוכלוסין בשלמותו. מאגר מידע שהוגדר כ"קריטי" מתגלגל ברשת האינטרנט, אבל לפי מבקר המדינה, המשטרה ומשרד הפנים לא שיתפו פעולה כדי לנסות לקדם חקירה בעניין ובסופו של דבר היא נזנחה (עמוד 865 ו-866 תקציר עמוד 194). על רקע זה קובע מבקר המדינה:

.

"יש לראות בחומרה את כישלונה של רשות האוכלוסין בהגנת פרטיותם של אזרחי המדינה."

.

רק לפני כשנה החל משרד הפנים לנהל מערכת מחשב שיכולה לעקוב אחר השימוש שעושים פקידי רשות האוכלוסין במאגר המידע, אך גם אז לא טרח לעשות בה שימוש שיטתי כדי לוודא שהמאגר אינו מנוצל לרעה מבקר המדינה בדק ומצא ששאילתות מידע רבות נעשו באמצעות סיסמאות של משתמשים מורשים, שנפטרו או ששהו בחו"ל, כלומר, שגורמים בלתי מורשים נכנסים למערכת באמצעות סיסמאות שהועברו או נגנבו (עמוד 866). עוד הסתבר, שפקידים מורשים מציגים שאילתות חוזרות ונשנות על אנשים מפורסמים, ועל פני הדברים מנצלים את המאגר לצרכים שאינם קשורים לביצוע עבודתם:

.

"משרד מבקר המדינה מעיר, שיש לראות בחומרה את המחדלים שנמצאו בתחום השימוש בשאילתות. הצעדים שמשרד הפנים נקט לתיקון המצב הינם חלקיים בלבד ועליו ועל האחראים לאבטחת מידע אצל כל לקוח חיצוני שיש לו גישה למאגר המידע, בין היתר, לבדוק אם כל השאילתות היו לצורכי העבודה. אם יימצא שמשתמשים אלה הציגו שאילתות שלא לצורכי עבודה, יש לנקוט נגדם בצעדים משמעתיים או להגיש תלונה במשטרה." (עמוד 867)

.

בדיקה שיטתית של מערך אבטחת המידע של מרשם האוכלוסין ("סקר סיכונים") העלתה ממצאים חמורים נוספים "החושפים את המערכת לסיכונים … מהותיים בתחום אבטחת המידע ותפעול המערכות". לגבי ליקויים מסויימים מציין מבקר המדינה כי הם מהווים "סיכון ביטחוני ובטיחותי כאחד". יצויין, כי מטעמים בלתי ברורים הטיל משרד הפנים מגבלות על הבדיקה וקרוב לוודאי שאם היה מאפשר לבצע אותה כהלכה היינו עדים לממצאים קשים עוד יותר (עמוד 868).

.

ראו עוד:

המבקר: כישלון חמור בהגנה על פרטיות האזרחים - אהוד קינן ynet 6.5.09

מידע אישי על אזרחי המדינה חשוף לפריצות במחשבי משרד הפנים וביטוח לאומי - ליאור דטל, הארץ 6.5.09

ד"ר עומר טנא הפקרת מידע במשרד הפנים - הארץ 12.5.09

משרד הפנים מבטיח שיגן על המידע הביומטרי - בינתיים הוא מעביר מידע אישי בניגוד לחוק

לפני חודשיים כתבתי כאן, שמשרד הפנים מעביר מידע אישי לגורמים פרטיים שלא כדין. עניין שאולי נראה קצת פרוצדורלי ברגע הראשון, אבל הוא ממש ממש לא. בקליפת אגוז - בהתאם לפסיקה של בית המשפט העליון נאלץ משרד הפנים ליזום תיקון לחוק מרשם האוכלוסין, שיעגן את הפגיעה בפרטיות, הכרוכה בפרקטיקה של חיבור הבנקים וגופים פרטיים אחרים on-line למחשב מרשם האוכלוסין.

.

הדיונים שהתקיימו בועדת הפנים של הכנסת סביב הצעת החוק, הוכיחו עד כמה מהותית ולא פרוצדורלית היא ההתנייה, שלפיה כל פגיעה בזכות יסוד חוקתית טעונה עיגון בחוק של הכנסת: חברי הכנסת ובראשם יו"ר הוועדה, ח"כ אופיר פינס, עברו משפט משפט והכניסו סייגים והגבלות לסמכות הגורפת שביקש משרד הפנים לקנות לעצמו באמצעות החוק שיזם (ראו בפסקה שלישית כאן). בין היתר, נקבע, שהעברת המידע לגורמים פרטיים תתאפשר בכפוף לפרסום תקנות מפורטות, שיאושרו אף הן בוועדה.

.

אלא שמאז חלפה למעלה משנה ותקנות עדיין אין. המשמעות היא אחת: משרד הפנים מעביר מידע אישי לגורמים פרטיים בניגוד לפסיקה מפורשת של בית המשפט העליון ובניגוד לחוק שהוא עצמו יזם. רק לאחר שהאגודה לזכויות האזרח פנתה בעניין זה למשרד הפנים, נזכרו שם ליזום דיון נוסף בועדת הפנים של הכנסת לצורך אישור התקנות האבודות - כך הודיעה לי עו"ד ענת פישר צין מרשות האוכלוסין, ההגירה ומעברי הגבול שבמשרד הפנים.

.

ועדיין, כפי שכתבתי למשרד הפנים בתגובה:

.

"אני תוהה ומבקש לדעת, כיצד זה הועבר מידע ממרשם האוכלוסין לגורמים פרטיים במהלך השנה אחרונה בניגוד לפסיקה מפורשת של בית המשפט העליון ובניגוד לחוק, ומדוע, לכל הפחות, לא פורסמו ההנחיות המנהליות (הגם, שכאמור, חסרות בסיס חוקי), שלפיהן נעשה הדבר.

.

לנוכח זאת, בטרם יבקש משרד הפנים את אישור הכנסת להקמת מאגרי מידע רגישים יותר ממרשם האוכלוסין, כמו, למשל, מאגר ביומטרי של כלל אוכלוסיית ישראל, מוטב שייעשה בדק בית וייבחנו 'התנאים הנוקשים', שבעזרתם מבקש שר הפנים להרגיע את מי שחוששים לפגיעה בפרטיותם (ראו דבריו המצוטטים ב-"תעודות הזהות החכמות יוצאות לדרך", ynet 1.12.08)."

.

ולאנשים הללו ניתן לטפל בטביעות האצבע שלנו?

.

ככה שומר משרד הפנים על המידע האישי שלנו

8.12.08 שחר אילן ב"הארץ" כותב היום על כך שלקראת הבחירות מועבר פנקס הבוחרים למפלגות, וש"לרוב דולף המידע, ופרטים רגישים על אזרחים במדינה נחשפים לכל". אבל זה לא כל הסיפור, ממשיך אילן:

.

"אבל האם באמת רק המפלגות אשמות? לא זה מה שהסביר חזי שאשא ממערך המחשוב במשרד הפנים לחברי ועדת הפנים של הכנסת ב-7 במרץ 2007 (ראו פרוטוקול - א"פ). הוא הסביר שבמאגרים באינטרנט יש מידע שלא מופיע בפנקס הבוחרים. הוא סיכם: 'כנראה שזה לא מהמפלגות', או לפחות לא רק. יו"ר הוועדה ח"כ אופיר פינס אמר בתגובה ש"העניין של זליגת מרשם האוכלוסין כולו זה דבר מטורף, אני רוצה לדעת איך זה קרה, שתהיה פניה של משרד הפנים למשטרה'. בישיבה הבאה דיווח שאשא לפינס: הגשנו תלונה לאור הדיון כאן, ואני עשיתי מעקב מול המשטרה. בסך הכל הרגשתי שאני די נודניק כלפי המערכת הזו. סיפרו לי שזה עובר למטה הארצי. בסופו של דבר הודיעו לי שהתיק נסגר, העבריין לא נודע. אלה היו המלים'. "

.

השתתפתי בישיבה נוספת של ועדת הפנים (ראו פרוטוקול 30.10.07) ובאמת נדהמתי לגלות שמשרד הפנים אינו מצליח לשמור על מאגר המידע של מרשם האוכלוסין, ושהתרוץ הקבוע, שלפיו האשם הוא במפלגות, אינו נכון. רשם מאגרי המידע אמר בישיבה: "הרמה הראשונה היא הרמה של המשרד, של משרד הפנים שחייב לוודא כיצד זה קרה. קודם כל – לוודא פוזיטיבית שלא היתה דליפה ממערכות המידע של משרד הפנים. אני לא יודע אם זה נעשה. אבל אם ניתן לתת אינדיקציה פוזיטיבית שזה לא נעשה במשרד הפנים – זהו גם אינפורמציה שצריכה לעבור למשטרה, כי אז צריך לחפש את זה איפה שזה נמצא, במקומות אחרים."

.

מה התחדש מאז? נכון! כלום!

.

ועכשיו אולי כדאי שנחשוב פעם נוספת כיצד להתייחס לדבריו של שר הפנים בנוגע למאגר הביומטרי, ש"למי שחוששים מפגיעה בפרטיות אין מה לדאוג... הוגדרו תנאים מאוד נוקשים לגבי גישה למאגר ומי יורשה לשלוף ממנו מידע." (ynet 1.12.08).

.

ראו עוד בעניין זה: משרד הפנים מעביר מידע אישי לגורמים פרטיים שלא כדין.

.

משרד הפנים מעביר מידע אישי לגורמים פרטיים שלא כדין

24.11.08 - משרד הפנים מעביר מידע אישי לגורמים פרטיים שלא כדין. ועכשיו לכו ותתנו להם לנהל מאגר ביומטרי רגיש.

..

בשנת 2004 ניתן פסק דין בעתירת האגודה לזכויות האזרח בעניין העברת מידע ממרשם האוכלוסין (ראו הודעה על פסק הדין), ונקבע, שהעברת מידע ממרשם האוכלוסין לבנקים ולגורמים פרטיים אחרים מהווה פגיעה בפרטיות, ועל כן אין לבצעה ללא היתר בחקיקה. בעקבות זאת חוקקה הכנסת תיקון לחוק מרשם האוכלוסין (ראו הודעה על דיון בוועדת הפנים של הכנסת), שהסדיר את התנאים להעברת מידע לגורמים פרטיים, ובין היתר - התנה אותה בהתקנת תקנות מפורטות.

.

בהתאם לזאת הציע שר הפנים תקנות, ובחודש אוקטובר 2007 אישרה אותן ועדת הפנים של הכנסת. אלא שבבדיקה שערכה האגודה לאחרונה הסתבר, שהתקנות לא פורסמו מעולם ואף לא קיים נוהל של משרד הפנים שמסדיר את הסוגיה. לנוכח זאת דרשנו ממשרד הפנים ב-24.11.08 לחדול מהעברת מידע ממרשם האוכלוסין לגופים הפרטיים (ראו מכתב).

.

חשוב להבהיר - לכאורה מדובר כאן בעניין פורמאלי - חקיקה? תקנות? אבל העניין ה"טכני" הזה, הוא חשוב מאוד, משום שבהעדר כללים מנחים ומחייבים - כל פקיד עושה את הישר בעיניו. בדיונים שנערכו בכנסת על התיקון לחוק ועל התקנות, הוכנסו בהם הוראות חשובות, שמטרתם להבטיח, שהמידע האישי במאגר לא יהיה הפקר, ושהעברתו לגורמים שונים תעשה בצורה מוגבלת ורק בהתאם למטרות הלגיטימיות, שאושרו על ידי הכנסת. זו גם הסיבה שבמהלך ההתדיינות בעתירת האגודה לזכויות האזרח התנגדו אנשי משרד הפנים לדרישה לעגן את העברת המידע בחקיקה - אף אחד לא רוצה שיגבילו אותו, ויפקחו עליו.

.

שוב מתברר, שמשרד הפנים לא נוהג במידע האישי שלנו בצורה זהירה ואחראית. זוהי כמובן רק דוגמא. אבל יחד עם דוגמאות אחרות היא ממחישה לנו, שהגנת הפרטיות ואבטחת מידע אישי אינן מהוות חלק מהתרבות הארגונית במשרד הפנים. ועכשיו לכו ותתנו להם לנהל מאגר ביומטרי.

.

הבעייה עם המאגר הביומטרי

4.11.08 ד"ר עומר טנא ב"הארץ":

"נשמע מאוד היי-טקי ומתקדם. אז למה רוב המומחים מתנגדים? דברי ההסבר להצעת החוק הממשלתית מנוסחים לעילא ולעילא ... רואים שהממשלה עשתה שיעורי בית... ואולם, למרות מקצה השיפורים שעברה הצעת החוק מאז פרסום התזכיר, מעורר המאגר הביומטרי בעיות קשות שראוי היה להביא לדיון ציבורי.

.

דיון כזה התנהל בבריטניה במשך שנים עד לחקיקת חוק תעודות זהות מ-2006. בזמן הדיון דחה בית הלורדים לא פחות מארבע פעמים את הצעת הממשלה להקים מאגר ביומטרי. השתיקה סביב ההרצה של הצעת החוק דרך משרדי הממשלה השונים, ואישורה בכנסת ... היא תעודת עניות לשיח הציבורי בישראל.

.

ראשית, המאגר יוצר סכנת אבטחה ראשונה במעלה למדינת ישראל ולאזרחיה. פריצה למאגר הביומטרי או דליפת מידע ממנו עלולה לגרום לפגיעה בלתי הפיכה במי שהמידע אודותיו דלף. בעוד שמספר כרטיס אשראי אפשר להחליף, טביעת אצבע ותווי פנים מלווים אותנו לאורך כל חיינו. לך תוכיח לממשל האמריקני כי הטרוריסט שהותיר את טביעות האצבע שלך במערכת הוא לא אתה. הרקורד של הרשויות הציבוריות בישראל בעניין זה לא מזהיר. את מאגר מרשם האוכלוסין - גם הוא מאגר ענק תחת השגחת משרד הפנים - אפשר למצוא להורדה באינטרנט; ורק לפני כמה חודשים התבשרנו כי מידע רגיש במיוחד מהמאגר הסודי ביותר של הרשות לאיסור הלבנת הון מצא את דרכו אל שלטונות רוסיה.

.

שנית, החוק אינו פותר את הבעיה העיקרית המעיבה על תוכניות תיעוד ביומטרי: זיוף בשלב ההרכשה הראשונית... שלישית, נראה כי בעוד שהממשלה עשתה את שיעורי הבית המשפטיים, היא לא סיימה לעשות את שיעורי הבית הכלכליים והטכנולוגיים של הפרויקט. האם מישהו יודע כמה בדיוק יעלה החוק? ההערכות בבריטניה נעו בין 5 ל-15 מיליארד ליש"ט (30 עד 90 מיליארד שקל). סכום נאה למימון פרויקט שמטרתו למנוע גניבת זהות. האם הטכנולוגיה מוכנה לפרישה ארצית? ומה היקף שגיאות המערכת - מה שמכונה false positives או false negatives? כשמדובר ב-7 מיליון תעודות, גם אחוז אחד בלבד של טעויות זה 70 אלף אזרחים. שאלות למחשבה ולדיון. ויפה שעה אחת קודם."

דו"ח רשמת מאגרי המידע - הפקת מרשם האוכלוסין על ידי משרד הפנים

מתוך דו"ח רשמת מאגרי המידע לשנת 2004 (הוגש לועדת החוקה במהלך שנת 2005):

.

בשנה האחרונה נתקבלו תלונות על דליפות מידע שמקורו במאגר מרשם האוכלוסין שבבעלות משרד הפנים ובאחריותו. דליפות אלו גרמו למתלוננים לפגיעה בפרטיות. לאור החשיבות הציבורית של הנושא ולאור ההיקף הרחב יחסית שבו מדובר שעינינו כל האוכלוסייה במדינה ולאור החשיבות העניינית והנזק שיכול להיגרם לאנשים עקב אי שמירת המידע, החלטנו לערוך בדק בית יסודי בתחום רגיש וקריטי זה שיכלול את הגורמים הקשורים ישירות ובעקיפין לקבלת מידע במדיות שונות מהמאגר ולשירותי מיקור חוץ הניתנים למשרד הפנים בנושא.

.

הגדרת הבעיה: איתור מקורות זליגה אפשריים של נתוני המרשם שפלטיו אגורים על גבי שרתים בארץ ובחו''ל וגם נסחרים באתרי אינטרנט ברשת תמורת תשלום.

.

במהלך הפיקוחים במשרד הפנים הסתבר :

1) מנגנוני אבטחת המידע והציות לחוק בין כתלי המשרד תקינים.

2) אין למשרד ממונה אבטחת מידע מזה תקופה ארוכה.

3) מערך מרשם האוכלוסין הוגדר בידי רשויות הבטחון כמאגר קריטי וככזה הוא זוכה לאחרונה להנחייתם ולהתייחסותם.

4) נגזרות המאגר מועברים עפ"י חוק על גבי מדיות דיגיטליות שונות ובדו"חות מודפסים (Hard copy ) למאות גורמים מורשים במדינה ברמת פירוט כזו או אחרת ולאחר תהליך בדיקה מובנה.

5) לכל מערכת בחירות מופק פנקס הבוחרים המסופק לרשימות/בודדים בידי המפקח על הבחירות כחוק.

6) את שירותי הפקת הנגזרות מבצעת במיקור חוץ חברת HP.

7) אין למשרד הפנים נוהל כמתחייב מהחוק לגבי הגדרת תחומי אחריות בין מוסר המידע ובין מקבלו.

.

מעבר לד' אמותיו של משרד הפנים, אין כלל פיקוח ובקרה על דורות ההעתקים הנוצרים מן המקור. מדובר בלשכות אוכלוסין, סניפי ביטוח לאומי, סניפי בנקים, גורמים רבים בשלטון המקומי ואחרים הנוהגים לא אחת לשכפל עותק הניתן כחוק ולהפיצו כראות עיניהם. כל אלה נוהגים אף לעבד את הנתונים ולטייבם לצרכיהם.

.

צורת הטיפול: צוות המפקחים ביצע מספר פיקוחים במשרד הפנים, אצל המפקח על הבחירות, חברת HP וחברה מסחרית שנחשדה כסוחרת בנתוני המרשם. הצוות תשאל גורמים רלוונטיים בתחומי אבטחת מידע ופתרונות טכנולוגיים, הסתייע בזרועות הבטחון ובמשטרת ישראל, עיין בעשרות מסמכים ונהלים וקיים פגישות עבודה מקצועיות עם הגורמים הרלוונטיים.
.
מסקנות:
1) במערך מרשם האוכלוסין קיימים כשלים בעיקר אצל הגורמים המקבלים ממשרד הפנים את המידע בכל הקשור לאבטחת מידע וציות לחוק הגנת הפרטיות.

2) קיים צורך דחוף בעדכון הנחיות ונהלים ברמה של הנהלת המשרד בעיקר לעניין אופני מסירה ומחויבויות המקבל של מאגר המידע הנגזר מהמרשם.

3) על המפקח על הבחירות לנהל מעקב ובקרה שוטפים אחר עותקי הפנקס הנמסרים ואף לשקול חובת החזרה בתום הבחירות. זאת נוסף לנוהל הקיים היום המאפשר בד"כ לזהות את מקור המסמך.

4) יש מקום לשקול וליישם פתרונות טכנולוגיים אשר ימנעו הגדלת מספר העותקים הקיימים וימנעו אפשרות שכפול מ-CD.
5) יש לגבש נוהל מסודר בדבר בקרת ביעור בתום שימוש.

משמעות הטיפול וסיומו לחוק הגנת הפרטיות

סיום הטיפול בנושא מרשם האוכלוסין הינו בעל חשיבות עליונה לשמירת המידע הרגיש ביותר הקיים לאזרחי המדינה.אי הקפדה מוחלטת על הגנת הפרטיות בנושא זה עלולה לגרום לנזקים חמורים לכל אזרח במדינה, ואין בנמצא אזרח שאינו מקבל במישרין או בעקיפין בשלב כזה או אחר של חייו שירות ממשרד הפנים.

.
שמירה על מידע רגיש וזכויות הניתנות מכוח חוק הגנת הפרטיות הנו מפתח לשיפור באיכות החיים של כל אדם ואדם.

.