כשלי אבטחה וכשלי אכיפה

מאת מיכאל בירנהק

השבוע דווחו שני כשלי אבטחה של אתרים ישראליים שגרמו לחשיפת פרטיהם של מועמדים לעבודה בתעשייה האווירית ופרטים של מזמיני טיסות בארקיע. התקלות תוקנו. אבל, כמה פרטים אישיים שלנו מסתובבים שם בחוץ? הכשלים באבטחת המידע אינם רק תקלה טכנית. הם פוגעים בפרטיות שלנו.

חוק הגנת הפרטיות, התשמ"א-1981 קובע זכות לפרטיות בסעיף 1, קובע כי הפרת חובת סודיות שנקבע בדין או בהסכם היא פגיעה בפרטיות (סעיפים 2(7), 2(8)), וקובעים ששימוש בידיעה על ענייניו הפרטיים של אדם שלא למטרה שלשמה נמסרה, היא פגיעה בפרטיות (סעי 2(9), ולסיום, שפרסום מידע על עניין הנוגע לצנעת חייו האישיים של אדם גם הוא פוגע בפרטיות (סעיף 2(10)). בעל מאגר מידע (כהגדרתו בסעיף 7) אחראי לאבטחת המידע (סעיף 17), מונח שמוגדר בין היתר (סעיף 7) כהגנה על המידע מפני חשיפה. למרות בקשות של בעלי מאגרים להנחיה מפורטת החוק לא מפרט, ובצדק. קצב השינויים באבטחת המידע, אינו מאפשר הגדרה מדויקת. החוק בחר בדרך של סטנדרט עמום, ולא כלל ודאי. לבחירה כזו יש מחיר של חוסר וודאות, ויתרון של גמישות. במקרה כזה, בתי המשפט יקבעו בדיעבד מהי רמת אבטחת המידע הנדרשת, ויש להניח שהסטנדרט שייבחר יהיה של סבירות: האם האתרים נקטו אמצעים סבירים או לא? את רמת הסבירות יש לבחון לפי עדויות מומחים, אם כי במקרים מסוימים, למשל כאשר מידע על רכישות של לקוחות נגיד לכל דיכפין ברשת, ולא רק להאקרים, כי משהו השתבש. הנטל על בעל המאגר שכשל להוכיח שנקט אמצעים אבטחה סבירים ומספיקים יהיה גבוה למדיי במקרה כזה.

חוק הגנת הפרטיות מאפשר למי שנפגע לתבוע, אבל, נו, שיהיה בהצלחה. קשה לקבוע מה אם האתרים נהגו כשורה, מה הנזק שנגרם לכל נפגע, וכיצד בכלל לכמתו. בנוסף, לתביעה יש עלויות משל עצמה. התוצאה היא שכשל האבטחה גורר כשל אכיפה.

פתרון אחד כבר בדרך – הצעת חוק מצוינת של משרד המשפטים לתיקון חוק הגנת הפרטיות (שמונחת על שולחן הכנסת), שמציעה לקבוע פיצוי ללא הוכחת נזק. אבל צריך עוד. הפרת אבטחת מידע זועקת לתביעה ייצוגית: תביעות ייצוגיות מתאימות במיוחד למצב שבו יש הרבה נפגעים, אבל הנזק של כל אחד מהם קטן. התובע הייצוגי תובע בשם כולם. חוק תובענות ייצוגיות, תשס"ו-2006 מאפשר להגיש תביעה ייצוגית רק במקרים שהחוק מפרט. אחד מהם הוא בתביעה בין עסק ללקוח. זה מתאים למקרים כמו זה של ארקיע. אבל המקרה של התעשייה האווירית לא מתאים לשום חלופה בחוק הקיים. כותב שורות אלה הציע באינספור מקומות לתקן את החוק ולאפשר הגשת תביעה ייצוגית במקרה של פגיעה בפרטיות.

הנה תסריט אפשרי: Ynet מדווחים בערב על דליפת מידע. למחרת בשמונה בבוקר, חמישה עורכי דין רבים בכניסה לבית המשפט מי הראשון להגיש את התביעה הייצוגית. בשמונה וחצי, Ynet מדווחים על הגשת התביעה. בתשע, המנכ"לית מגיעה למשרד, קוראת את הידיעה, ומיד מתקשרת לאחראי אבטחת המידע בחברה: "בדוק בבקשה את אבטחת המידע אצלנו, שלא יקרה לנו מה שקרה להם". בתשע ועשרה, רמת אבטחת המידע באותו ארגון – ובכל אלה שבהם יש מאגרי מידע - תעלה בכמה דרגות. ועדה במשרד המשפטים (גילוי נאות: אני חבר בוועדה) בחנה את האפשרות להוסיף אפשרות של תביעה ייצוגית, ואמורה לפרסם את המלצותיה בחודשים הקרובים.

אמנם, התביעות הייצוגיות כמוסד משפטי שנויות במחלוקת. נדמה לי שהתסריט שתואר כאן יאפשר אכיפה מצוינת, רק מכוח ההרתעה של התביעה הייצוגית.

* גירסה מעט יותר עממית של הטקסט הזה פורסמה גם בבלוג מרושתים של Ynet, 10.10.06.