חומר רקע
המועצה להגנת הפרטיות
נייר עמדה בנושא:
הצעת חוק נתוני אשראי, התשע"ו – 2015
מוגש לוועדת הכלכלה בכנסת
23.11.2015
תמצית
המועצה להגנת הפרטיות פועלת מכוח חוק הגנת הפרטיות, התשמ"א-1981 ("חוק הגנת הפרטיות") ולפי מינוי שר המשפטים. המועצה מייעצת לשר, למשרד המשפטים, ולציבור בכללותו בנושאי פרטיות. בתמצית, ממליצה המועצה להגנת הפרטיות לערוך את השינויים הבאים בהצעת חוק נתוני אשראי, התשע"ו – 2015 ("חוק נתוני אשראי"):
ממונה פרטיות. חוק נתוני אשראי צריך לכלול הוראה בדבר מינוי ממונה פרטיות. תפקיד ממונה הפרטיות צריך להיות עצמאי. עליו לדווח במישרין לנגיד/ת בנק ישראל ולהגיש דוחות שנתיים לרשם מאגרי המידע ברמו"ט ולציבור בכלל, באמצעות ועדת הכלכלה.
שיתוף הכנסת. על ועדת הכלכלה לקחת חלק פעיל בבקרה על יישום החוק. על כלל ההוראות והתקנות מכוח החוק לקבל את אישורה המוקדם של הוועדה, לאחר שקיימה דיון ציבורי בהן ולפי שיקול דעתה שמעה את עמדתם של אנשי מקצוע רלבנטיים בלתי תלויים. סעיף מתאים צריך להופיע בפרק ט"ו להצעת החוק (שונות), או בצד כל סעיף המציין סמכות לקביעת תקנות או הוראות, בראשם סעיפים: 28, 57, 60, 107 וכן סעיפים: 7(ג), 26(ג), 27(א), 29(ב), 30, 35(א), 44, 45(ב), 47(ב), 54(ב), 58(ג), 64, 90(ב) [המספור מתייחס להצעת החוק].
דיווחים עתיים. בדומה לחקיקה הקיימת בעניין נתוני תקשורת ונתונים ביומטריים, על הממונה כהגדרתו בהצעת החוק להגיש דיווח עתי מפורט לוועדת הכלכלה, עם העתק לרשם מאגרי המידע ברשות למשפט טכנולוגיה ומידע, על ביצוע החוק, יישומו, אירועי אבטחה ואירועים חריגים ופרטים נוספים כפי שיפורט בהצעת החוק. דוח זה יתפרסם לעיון הציבור.
בקרה חיצונית. יש למסד מנגנון בקרה חיצוני שיבחן את השגת ארבעת יעדי החוק שהוגדרו בדברי ההסבר: (1) גידול היצע האשראי במשק; (2) צמצום מינוף היתר של משקי הבית; (3) הקטנת שיעורי חדלות הפירעון במשק; (4) שיפור מוסר התשלומים. בדיקת היעדים צריכה להיעשות בהתאם למתודולוגיה שתקבל את אישורה של ועדת הכלכלה. בהתאם, על הגוף הבוחן להגיש לוועדה אחת לשנה את ממצאיו. דוח זה יתפרסם לעיון הציבור.
ייעוץ פרטיות. הוועדה המייעצת לממונה תכלול נציג שהוא מומחה להגנת הפרטיות. יש לתקן את הוראות סעיף 66 להצעת החוק בהתאם.
שימור דינים. על חוק נתוני אשראי לכלול הוראה לפיה חוק זה איננו פוגע בהוראות כל דין. יש להוסיף סעיף מתאים לפרק ט"ו להצעת החוק (שונות).
הפעלת החוק. סעיף 116 להצעת החוק (תקנות ראשונות) יכלול חובה להתקין לפני "יום התחילה" את ההוראות למסירת נתוני אשראי מהמאגר לפי סעיף 28 להצעת החוק (הוראות לעניין מסירת נתוני אשראי מהמאגר). הוראות אלה חייבות לעבור את אישור ועדת הכלכלה.
פיילוט. יש להחיל תקופת מבחן לחוק. במהלך תקופת המבחן ימוסד מנגנון בקרה חיצוני שיבחן את השגת ארבעת יעדי החוק (כמפורט לעיל בסעיף 4). לקראת תום התקופה תתכנס הכנסת כדי לדון אם להאריך את תוקפו של החוק ואם כן – עם או ללא מגבלת זמן נוספת.
מידע מזוהה/לא-מזוהה. סעיף 57(ג) להצעת החוק (אבטחת מידע) יכלול הוראה לפיה ההוראות שיקבע הנגיד יכללו הוראות להפיכת מידע מזהה למידע לא מזהה ולאבטחתו. כמו כן יש לכלול הוראה לפיה על הנגיד יהיה לקבוע את ההוראות בהתייעצות עם רשם מאגרי המידע ועל ההוראות לקבל את אישור וועדת הכלכלה.
א. מבוא
המועצה להגנת הפרטיות פועלת מכוח חוק הגנת הפרטיות ולפי מינוי שר המשפטים. המועצה מייעצת לשר, למשרד המשפטים, ולציבור בכללותו בנושאי פרטיות. במשך תקופה ארוכה המועצה לא הייתה פעילה; בהרכבה הנוכחי – מונתה במהלך שנת 2015, ורק לאחרונה מונתה לה יושבת ראש. דנה בהצעת החוק שבנדון, ומתכבדת להגיש את הערותיה.
הזכות לפרטיות הינה זכות יסוד חוקתית במשפט הישראלי, מכוח סעיף 7 לחוק יסוד: כבוד האדם וחירותו ("חוק היסוד"). נעיר כי במועצה יש עמדות שונות באשר לתכלית הצעת החוק ורציותו, אולם תחום מומחיותנו כגוף מייעץ הוא היבטי הפרטיות, ובכך נתמקד כאן. בהתאם, המועצה מניחה לצורך הדיון בהיבטי הפרטיות בלבד כי תכלית הצעת החוק ראויה. מכאן, ההתמקדות היא באופן בו בנוי המנגנון המורכב המוצע בהצעת החוק, והדגש הוא שפגיעה בזכות לפרטיות חייבת לעמוד בתנאיה של פיסקת ההגבלה שבסעיף 8 לחוק היסוד. המבחן הרלוונטי בהקשר זה הוא מבחן המידתיות על היבטיו השונים.
בעולם התגבשו כללים שונים בקשר להגנת מידע אישי (data protection), שמבקשים לפרוט את הזכות לפרטיות לעקרונות ישימים. עקרונות אלה מצויים במידת מה בפרק ב לחוק הגנת הפרטיות, ביחד עם הוראות מסוימות בפרק א שבו (בעיקר לענין "הסכמה מדעת"). בתמצית, עקרונות אלה כוללים הסכמה (מדעת, ומתוך רצון חופשי), אפשרות בחירה למושא המידע (data subject), מגבלות על איסוף המידע (לתכלית ראויה, איסור על איסופי מידע מסוימים), מגבלות על שימושים במידע (למשל, השימוש במידע צריך להיות צמוד למטרה שלשמה נאסף – עקרון צמידות המטרה; השימוש במידע צריך להיות באופן מידתי, תוך הקפדה על איכות המידע – כלומר שהוא עדכני ומדויק ככל האפשר), ובמקביל, זכויות קורלטיביות למושאי המידע, ובנוסף, זכות לעיין במידע על אודותיהם וזכות לתקן את המידע במידת הצורך. בצד אלה – אכיפה, הן שלטונית (באמצעות רשם מאגרי המידע), והן פרטית (בדרך של תביעות אזרחיות), והן פלילית (בדרך של קביעת עבירות).
באיחוד האירופי, שמוביל את ההגנה על המידע האישי, נדונה בימים הצעה לחקיקת רגולציה כללית (שתחליף דירקטיבה משנת 1995), ובה יש מרכיבים נוספים ב"ארגז הכלים" המשפטי. בין הכלים האלה, ראוי למנות במיוחד חובה ל"הנדסת פרטיות" (Privacy by Design), עליה נרחיב להלן; חובה על הודעה פומבית במקרים של דליפת מידע (Data Breach Notification), בליווי צעדים ארגוניים, כמו הכנת תסקיר פרטיות (Privacy Impact Assessment) וכן מינוי ממונה פרטיות (Chief Privacy Officer כפי שהוא מכונה בארה"ב או Data Protection Officer כפי שהוא מכונה באיחוד האירופי), מנגנון שגם אותו אנו ממליצים לכלול בהצעת חוק נתוני אשראי, כמפורט להלן.
נעיר שלבקשת ממשלת ישראל, ולאחר תהליך בדיקה, הוכרה ישראל על ידי האיחוד האירופי כבעלת "הגנה מספקת" (adequate) של הפרטיות, הכרה שמאפשרת העברת מידע מהאיחוד לישראל ביתר קלות, אלא שהכרה זו אינה חסינה לעולם: ההכרה נשענה בשעתה בין היתר על הבטחת ממשלת ישראל לפעול לחקיקת המלצות דוח ועדת שופמן, שהוגשו בינואר 2007, וטרם נחקקו; ההכרה כעת תלויה בסימן שאלה, נוכח פסק דין של בית הדין האירופי בקשר ל safe harbor, שעוסק בהעברת מידע מהאיחוד האירופי לארה"ב.
נוכח זה, אנו סבורים שיש לבחון את הצעת החוק לאור סל הכלים הקיים, המתחייב מחוק הגנת הפרטיות, אבל תוך מבט ואימוץ כללים שיחוקקו בקרוב באיחוד האירופי.
ב. תכלית החוק ואמות המידה החוקתיות שהחוק צריך לעמוד בהן
בהתאם למפורט בדברי ההסבר להצעת החוק, תכלית החוק היא לשפר את תנאי האשראי בשוק וביתר פירוט - להגדיל את היצע האשראי במשק, לצמצם את מינוף היתר של משקי הבית, להקטין את שיעורי חדלות הפירעון במשק ולשפר את מוסר התשלומים של יחידים במשק.
הצעת החוק מושתתת, כך לפי דברי ההסבר, על מחקרים המצביעים על מתאם בין הוספת מידע חיובי למערכת נתוני אשראי לבין גידול בהצע האשראי ליחידים ולצמצום חדלות הפירעון שלהם וכן ששיתוף בנתוני אשראי מגדיל משמעותית את היצע האשראי ואת יעילות מתן האשראי. בצד המחקרים האמפיריים, ספרות כלכלית תיאורטית התומכת בממצאים אלה.
המועצה להגנת הפרטיות איננה חולקת על כך ששיפור תנאי האשראי ליחידים בשוק הוא בגדר תכלית ראויה.
אין חולק גם כי השגת תכלית זו מחייבת פגיעה מסוימת בפרטיות, בדרך של חשיפת פרטים פיננסיים, לעתים רגישים, של אדם, ו"הדבקת" תג מספרי על אדם, המייצג את מיקומו ביחס לכלל האוכלוסיה והנובע מההיסטוריה המתועדת של החזר התשלומים על ידו.
פגיעה זו, איפוא, שוללת מהאדם את יכולתו של האדם לשלוט בגישה למידע פיננסי אודותיו, פוגמת באוטונומיה שלו כאינדיבידואל בחברה ואף עלולה לגרום לתיוג מפלה ופוגעני שלו, על סמך דירוג האשראי שלו. משוםכך, הצעת החוק פוגעת בפרטיות, ועליה לעמוד במבחנים החוקתיים הקבועים בחוק היסוד, כפי שפורשו בפסיקת בית המשפט העליון.
מובן גם שמערכת דירוג אשראי איננה חסינה מטעויות ותקלות ולפיכך היא צפויה לפגוע הן באלה שדירוג האשראי שלהם איננו נכון והן במסתמכים על הדירוג הבלתי נכון.
אין צורך להכביר במלים בדבר מעמדה החוקתי של הזכות לפרטיות ועל כך שבהתאם לסעיף 7 לחוק יסוד: כבוד האדם וחירותו, פגיעה בזכות לפרטיות מותרת רק אם היא נעשית בדרך של חוק, לתכלית ראויה, ובאופן מידתי.
לפיכך יש ליצוק לתוך החוק מנגנונים שיבחנו אם החוק מיושם כיאות, אם התכלית לשמה חוקק החוק אכן מושגת, אם הפגיעה בפרטיות אכן מוצדקת ואם אין כלים או מנגנונים אחרים שיכולים להשיג את תכליות החוק, תוך פגיעה פחותה יותר. כך לדוגמה, המועצה תמהה אם נבחנו לעומק חלופות לעידוד צרכנים לתת את הסכמתם מראש לאיסוף נתוני אשראי (כגון: הסברה וחינוך) תוך בחינה מעמיקה של הסיבות אשר גרמו לכך שלא נעשה שימוש נרחב באפשרות זו על פי סעיף 18 לחוק הקיים.
ג. ממונה פרטיות
המועצה סבורה שיש למנות גורם פנימי בכיר בבנק ישראל, שימלא את התפקיד של ממונה פרטיות ראשי (Chief Privacy Officer). תפקיד זה הוא שילוב של גורם טכנולוגי – שמכיר את המערכת והיא נגישה לו; של גורם משפטי – שמבין ומכיר את דיני הגנת הפרטיות; וגורם ארגוני – שיכול להורות על שינויים במערכת, להשגת יעדי הפרטיות.
תפקיד הממונה על הפרטיות רחב מאשר ממונה על אבטחת מידע: פרטיות אינה מתמצית בהגנה מפני פרצנים (האקרים) עוינים. הגנת הפרטיות נועדה למשל להבטיח גם אי-דליפה מבפנים, מניעה של זליגת שימושים מעבר להסמכת החוק, וידוא של תהליכי בקרה מוקדמים (תסקיר פרטיות), והנדסת פרטיות מתאימים.
המלצת המועצה: חוק נתוני אשראי יכלול הוראה בדבר מינוי ממונה פרטיות. תפקיד ממונה הפרטיות צריך להיות עצמאי. עליו לדווח במישרין לנגיד/ת בנק ישראל ולהגיש דוחות שנתיים לרשם מאגרי המידע ברמו"ט ולציבור באמצעות ועדת הכלכלה.
ד. הצורך בבקרה חיצונית קבועה ורציפה על יישום החוק
חקיקה מודרנית המסדירה שימוש במידע על אדם ופגיעה בפרטיותו, לצורך שירות תכלית ראויה של מימוש זכויות אחרות, או הגנה על אינטרסים ציבוריים ולאומיים, יוצקת לתוך החוקים מערכות בקרה.
מערכות הבקרה נועדו לבחון –
אם תכליות החוק מושגות (ותוך כך אם הפגיעה בפרטיות אכן מוצדקת);
אם רשויות המדינה הרלבנטיות ממלאות את תפקידן בהגנה על המידע מפני שימוש בלתי מורשה, או שימוש לרעה במידע; וכן,
אם רשויות המדינה בעלות הגישה למידע משתמשות בו אך ורק לתכליות שלשמן נועד החוק.
הבקרה צריכה להיות גם ציבורית, ומכך מתחייבת שקיפות של הגורמים השונים שיבקרו את המערכת והמנגנון מבפנים ומבחוץ. ניתן להציב סייגים לשקיפות מטעמים של אבטחת המערכת עצמה.
החקיקה המודרנית הישראלית, הממסדת פגיעה בזכות החוקתית לפרטיות, מיישמת גם מנגנוני בקרה לפיקוח על יישום החוק. כך לדוגמה חוק סדר הדין הפלילי (סמכויות אכיפה – נתוני תקשורת), התשס"ח – 2007 מחייב פיקוח של ועדת החוקה על יישום החוק כדלקמן:
השר לביטחון פנים והשר הממונה על "רשות חוקרת אחרת" כמשמעותה בחוק, חייבים להגיש לוועדת חוקה, אחת לשנה, דיווח מפורט על יישומו של חוק זה. הדיווח ניתן במהלך ארבע השנים הראשונות מיום תחילתו של החוק (ס' 14 לחוק זה) (נעיר כי אנו סבורים שיש צורך בדיווח קבוע, ולא רק זמני);
ועדת החוקה חייבת לאשר את ההוראות לגבי אופן החזקתו ושמירתו של מידע במאגר נתוני זיהוי (תקשורת) אופן הבקרה על פעולות המבוצעות בו, מורשי גישה למידע הכלול בו והשימוש שייעשה בכל סוג של המידע המועבר אליו וממנו (סעיף 7(ד) לחוק זה);
ועדת החוקה חייבת לאשר את ההוראות לגבי אופן החזקתו ושמירתו של מידע המתקבל ממאגר נתוני זיהוי (תקשורת) על ידי "רשות חוקרת אחרת" כמשמעותה בחוק זה (סעיף 8(ג) לחוק זה);
בנוסף, מחייב החוק לתעד את כלל הפעולות המבוצעות במאגרי נתוני זיהוי (תקשורת), באופן שיאפשר פיקוח ובקרה (ס' 7(ב) לחוק זה ) וכן מחייב "רשות חוקרת אחרת" כמשמעותה בחוק לתעד קבלת מידע ממאגר נתוני הזיהוי (תקשורת) באופן שיאפשר פיקוח ובקרה (ס' 8(א) לחוק זה);
כך גם, בהתאם לחוק הכללת אמצעי זיהוי ביומטריים ונתוני זיהוי ביומטריים במסמכי זיהוי ובמאגר מידע, התש"ע – 2009, נקבעה מערכת בקרה רחבה על יישום החוק, בין היתר על ידי –
ועדת הכנסת המשותפת ליישומים ביומטריים צריכה לאשר את התקנות שיקבע השר לענין הסודיות, שמירת המידע, אבטחת המידע והגנת הפרטיות במרכז ההנפקה (סעיף 4(ג) לחוק זה);
העברת מידע באופן פרטני לצרכים מסוימים מחייב התייעצות עם ועדת הכנסת המשותפת (סעיף 5(ב) לחוק זה);
השר מחויב למסור דין וחשבון לוועדת הכנסת המשותפת, אחת לשנה, לעניין העברות מידע פרטניות (סעיף 5(ג) לחוק זה);
ועדת הכנסת המשותפת צריכה לאשר את התקנות בעניין תפקידים, סמכויות וביצוע נטילה של דגימות (סעיף 6(ב) לחוק זה);
ועדת הכנסת המשותפת צריכה לאשר תקנות בדבר אמצעים ממוכנים לנטילת דגימות (סעיף 6(ד) לחוק זה);
ועדת השרים ליישומים ביומטריים וועדת הכנסת המשותפת צריכה לאשר תקנות להסמכת עובדי משרד החוץ (סעיף 8 לחוק זה);
ועדת הכנסת המשותפת צריכה לאשר את התקנות לעניין ניהול המאגר הביומטרי, שמירת המידע בו והעברת המידע ממנו (סעיף 10(ד) לחוק זה);
השר לבטחון פנים ושר הביטחון ימסרו מדי שנה, דין וחשבון מפורט לוועדת הכנסת המשותפת, לממונה על יישומים ביומטריים ולרשם מאגרי המידע (סעיף 20 לחוק זה);
רשויות הביטחון מחויבות לדווח לועדת הכנסת המשותפת על אירועים חריגים במהלך שימושן במאגר הביומטרי ופרטים נוספים (סעיף 33 (ד)(1) לחוק זה);
ועדת הכנסת המשותפת צריכה לאשר תקנות בכל הנוגע לביצוע של החוק (סעיף 35(א) וסעיף 40 לחוק זה);
ועדת הכנסת המשותפת תבחן ותאשר את אבטחת המאגר הביומטרי (סעיף 40(ב)(4) לחוק זה);
פעולות נוספות רבות דורשות אישור של ועדת הכנסת המשותפת. ראו לעניין זה את סעיפים 15, 23, 24(ג), 27(ג), 27(ד), 33(ב), 34(א), 34(ב), 35(ב), 35(ה), 35(ו) לחוק זה.
בנוסף, החקיקה מלווה בקביעת עבירות משמעת, מקום שמדובר בעובדי מדינה, בליווי עבירות פליליות, לפי הענין. ראו למשל את חוק מרשם האוכלוסין (תיקון מס' 11), התשס"ז-2007.
אף החוק הקיים (חוק שירות נתוני אשראי, התשס"ב – 2002) כולל בתוכו מנגנוני בקרה מסוימים (ראו סעיפים 1 (הגדרת "מקור מוסמך"), 4, 16(א)(8), 17(א), 17(ג), 18(ג), 19(1), 19(2), 24(א), 24(ב), 25, 26, 30, 52(ב), 60 לחוק זה).
בחינה של הצעת חוק נתוני אשראי מגלה שנושא הבקרה נשכח. בניגוד לדוגמאות הנ"ל, הצעת החוק נעדרת בקרות חיצוניות וציבוריות, בין על ידי ועדת הכלכלה, בין על ידי רשם מאגרי המידע ובין על ידי גוף אחר כלשהו. בכלל זה –
סעיף 107 להצעת החוק (ביצוע ותקנות) מסמיך את השר להתקין תקנות לביצוע של החוק. אין כל בקרה על התקנת התקנות;
אין בקרה על קביעת ההוראות לענין אבטחת המידע של המאגר (סעיף 57(ג) להצעת החוק (אבטחת מידע) );
אין בקרה על קביעת הוראות השר לעניין מסירת נתוני אשראי מהמאגר לצורך דוח אשראי ואין בקרה על התנאים שהשר יקבע למסירה כאמור (סעיף 28 להצעת החוק (הוראות לעניין מסירת נתוני אשראי מהמאגר) ).
אין בקרה על תקנות שהשר רשאי לקבוע בעניין הפעלת שירות מידע על עוסקים לפי סעיף 60 להצעת החוק (תקנות לעניין הפעלת שירות מידע על עוסקים);
אין דיווח שנתי על היקף השימוש במאגר ועל אופי השימוש בו;
לא נקבע מנגנון שבוחן את השגת יעדי החוק - (1) גידול היצע האשראי במשק; (2) צמצום מינוף היתר של משקי הבית; (3) הקטנת שיעורי חדלות הפירעון במשק; (4) שיפור מוסר התשלומים. בהתאם גם אין מנגנון דיווח על השגת היעדים;
אין בקרה על אסופה של סמכויות לקביעת תקנות בעלות פועל תחיקתי (ראו סעיפים 7(ג) (רישיון שירות נתוני אשראי), 26(ג) (תנאים להעברת נתוני אשראי לצורך דוח אשראי), 27(א) (בקשת לקוח שלא ימסרו נתוני אשראי לגביו מהמאגר), 29(ב) (נותן אשראי המסרב להתקשר בעסקת אשראי או מרע את תנאיה בשל דוח אשראי) , 30 (דוח אשראי למי שאינו נותן אשראי), 35(א) (מתן חיווי לחברת תשתית ציבורית בדבר נקיטת אמצעי גביה), 44 (מידע מזהה לגבי מקורות מידע), 45(ב) (התקופה שלגביה יימסרו נתוני אשראי), 47(ב) (תקופת החזקת נתוני אשראי בידי לשכת אשראי ומיופה כוח), 54(ב) (עדכון המידע במאגר והודעה על העדכון), 58(ג) (רישוי שירות מידע על עוסקים), 64 (הוראות הממונה), 90(ב) (סכומים מופחתים);
הרכב הוועדה המייעצת לממונה לפי סעיף 66(ב) להצעת החוק (הוועדה המייעצת לעניין הוראות הממונה) כולל משפטן עובד מדינה, נציג משרד האוצר, כלכלנים או אנשי אקדמיה בתחום השירותים הפיננסיים ומומחה אבטחת מידע או טכנולוגיות מידע. אין בהרכב הוועדה מומחה אחד להגנת הפרטיות! ;
המלצות המועצה:
בשל מורכבותו ורגישותו של החוק, ופגיעתו הקשה הצפויה בזכות לפרטיות, על ועדת הכלכלה לקחת חלק פעיל בבקרה השוטפת על יישום החוק. על כלל ההוראות והתקנות מכוח החוק לקבל את אישורה של הוועדה, לאחר שקיימה דיון ציבורי בהן ולפי שיקול דעתה שמעה את עמדתם של אנשי מקצוע רלבנטיים בלתי תלויים. סעיף מתאים צריך להופיע בפרק ט"ו להצעת החוק (שונות), או לחילופין לצד כל סעיף המציין סמכות לקביעת תקנות או הוראות, בראשם סעיפים: 28, 57, 60, 107 וכן סעיפים: 7(ג), 26(ג), 27(א), 29(ב), 30, 35(א), 44, 45(ב), 47(ב), 54(ב), 58(ג), 64, 90(ב).
בדומה לחקיקה הקיימת בעניין נתוני תקשורת ונתונים ביומטריים, על הממונה כהגדרתו בהצעת החוק להגיש דיווח עתי מפורט לוועדת הכלכלה, עם העתק לרשם מאגרי המידע ברשות למשפט טכנולוגיה ומידע, על ביצוע החוק, יישומו, אירועי אבטחה ואירועים חריגים נוספים ופרטים נוספים – הכל כפי שיפורט בהצעת החוק; דוח זה צריך להתפרסם לעיון הציבור.
יש למסד מנגנון בקרה חיצוני שיבחן את השגת ארבעת יעדי החוק שהוגדרו בדברי ההסבר: (1) גידול היצע האשראי במשק; (2) צמצום מינוף היתר של משקי הבית; (3) הקטנת שיעורי חדלות הפירעון במשק; (4) שיפור מוסר התשלומים. בדיקת היעדים צריכה להיעשות בהתאם למתודולוגיה שתקבל את אישורה של וועדת הכלכלה. בהתאם, על הגוף הבוחן להגיש לוועדה אחת לשנה את ממצאיו; גם דוח זה צריך להתפרסם לעיון הציבור.
הוועדה המייעצת לממונה תכלול נציג שהוא מומחה להגנת הפרטיות. יש לתקן את הוראות סעיף 66 להצעת החוק בהתאם.
ה. שימור סמכות הפיקוח של רשם מאגרי המידע
יש לוודא שסמכויות הפיקוח והאכיפה של רשם מאגרי המידע ברמו"ט על המאגר שיוקם לפי החוק לא ייפגעו. העדר הוראה מפורשת בעניין זה עלול לתמוך בפרשנות לפיה חוק נתוני אשראי הינו חוק ספציפי הגובר על הוראות החוק הכללי – חוק הגנת הפרטיות, התשמ"א – 1981 ולפיכך שולל את סמכויות הפיקוח והאכיפה של רשם מאגרי המידע בהקשר למאגר נתוני האשראי.
המלצת המועצה: חוק נתוני אשראי יכלול הוראת שימור דינים, לפיה חוק זה איננו פוגע בהוראות כל דין. יש להוסיף סעיף מתאים לפרק ט"ו להצעת החוק (שונות).
ו. יש לקבוע את ההוראות למסירת נתונים מהמאגר לפני תחילת פעולת המאגר
סעיף 116 להצעת החוק (תקנות ראשונות) קובע שתקנות ראשונות לפי סעיף 57(ג) (שהן תקנות בנושא אבטחת המידע) יותקנו עד יום התחילה (שנתיים מיום פרסומו לפי סעיף 115 להצעת החוק).
סעיף 28 להצעת החוק (הוראות לעניין מסירת נתוני אשראי מהמאגר) קובע שהשר רשאי לקבוע הוראות ותנאים לעניין מסירת נתוני אשראי מהמאגר לצורך דוח אשראי.
הכיצד זה שסעיף 116 להצעת החוק איננו קובע שההוראות לפי סעיף 28 להצעת החוק יותקנו עד ליום התחילה? במלים אחרות, כיצד יתחיל המאגר לפעול מבלי שתקבענה הוראות לענין מסירת נתונים ממנו?
המלצת המועצה: סעיף 116 להצעת החוק (תקנות ראשונות) יכלול חובה להתקין לפני "יום התחילה" את ההוראות למסירת נתוני אשראי מהמאגר לפי סעיף 28 להצעת החוק (הוראות לעניין מסירת נתוני אשראי מהמאגר). הוראות אלה חייבות לעבור את אישור ועדת הכלכלה.
ז. הצורך בתקופת מבחן
הצעת חוק נתוני אשראי, התשע"ו – 2015 נועדה לשרת תכליות ברורות. כל אחת מהן ניתנת למדידה ולהערכה לאורך זמן.
אין ספק שהפעלת המאגר נשוא הצעת החוק צפויה להשפיע באופן ניכר על אזרחי המדינה. בד בבד, החוק צפוי לפגוע באופן משמעותי בפרטיותם, באוטונומיה שלהם ויתכן אף שבשמם הטוב (במקרה של שימוש במידע שגוי) ובזכותם שלא להיות מופלים לרעה.
בע"א 6821/93 בנק המזרחי נ' מגדל כפר שיתופי, פ"ד מט(4) 221, 347, קבע בית המשפט העליון כך:
"אמצעי ייחשב לבעל מידתיות ראויה, אם הוא: (א) קשור באופן מהותי לתכלית, קרי מבחן ההתאמה; וכן כי הוא, (ב) בעל זיקה הגיונית לתכלית; וכן (ג) במערך האמצעים, לקיום המטרה אין אמצעי דומה או קרוב, הנכלל בתוך מיתחם האפשרויות הסבירות, היכול להביא להשגת אותה מטרה".
חובתה של המדינה לוודא ולהמשיך ולבחון את מידתיות הפגיעה בזכות לפרטיות בכל העת, גם תוך כדי השימוש במערכת, בהתאם לסעיף 8 לחוק יסוד: כבוד האדם וחירותו ולהלכת בנק מזרחי הנ"ל. מנגנוני הבקרה שהוצעו לעיל יכולים לסייע בכך.
כאמור לעיל, הצעת החוק מושתתת, כך לפי דברי ההסבר, על מחקרים המצביעים על מתאם בין הוספת מידע חיובי למערכת נתוני אשראי לבין גידול בהיצע האשראי ליחידים ולצמצום חדלות הפירעון שלהם וכן ששיתוף בנתוני אשראי מגדיל משמעותית את היצע האשראי ואת יעילות מתן האשראי. לצד המחקרים האמפיריים, ספרות כלכלית תיאורטית התומכת בממצאים אלה.
אלא שאין מחקר אמפירי שנערך בארץ ושמאמת שהמטרות שבבסיס הצעת החוק אכן תושגנה בשוק הישראלי. מובן גם שהמאמרים התיאורטיים אף הם אינם תחליף לבחינה בפועל של השגת התכליות.
לפיכך נדרשת תקופה שבה תיבחן השפעת החוק על השוק בישראל, שכן חוק שמעגן פגיעה קשה בזכות חוקתית ושדרך היישום של התכלית התיאורטית שלו איננה נבדקת בפועל, הוא איננו חוק העומד בדרישת המידתיות לפי חוק יסוד: כבוד האדם וחירותו.
מתוך דברי ההסבר להצעת חוק הכללת אמצעי זיהוי ביומטריים במסמכי זיהוי ובמאגר מידע, התשס"ט–2009:
"עד יום תחילתו של החוק המוצע, יקבע שר הפנים בהתייעצות עם שר האוצר, בצו, תקופת מבחן לחוק. תקופת המבחן תאפשר בחינה מהימנה וקונקרטית בתנאים הקיימים במדינת ישראל, של אופן יישום החוק על כל מרכיביו, לגבי אוכלוסיות מוגדרות שייקבעו בצו, כולל היבטים ציבוריים, טכנולוגיים, תפעוליים ואלו הנוגעים להגנה על הפרטיות, זאת בטרם יוחלט על הפעלת החוק לגבי כלל התושבים. השר יקבע בצו את העניינים שייבחנו בתקופת המבחן ואת המדדים להערכת הביצועים בתקופת המבחן ו מידת ההצלחה שהושגה בה, כמו גם נושאים המחייבים הערכה מחדש או שיפורים."
וראו גם את ההסדר הקבוע בדבר תחולה הדרגתית ותקופת מבחן בסעיף 41 לחוק להכללת אמצעי זיהוי ביומטריים ונתוני זיהוי ביומטריים במסמכי זיהוי ובמאגר מידע, התש"ע – 2009. תקופת המבחן מתקיימת בימים אלה ממש.
הסדרים בחוק של "תקופות שקיעה" ("Sunset Periods") קיימים גם בדינים זרים. אלה הוראות הקובעות שתקופת תחולת חוק מסתיימת, אלא אם חודשה לאחר דיון בנחיצותו. דוגמה ידועה להסדרים מסוג זה הוא ה – USA Patriot Act. סעיף 224 בו קבע שתוקפן של 11 הוראות בחוק יפוג ב – 31.12.2005.
הרעיון של תקופת מבחן לחוק, איננו זר איפוא לדין הישראלי ולדינים זרים.
המלצת המועצה: תיקבע תקופת מבחן לחוק. במהלך תקופת המבחן ימוסד מנגנון בקרה חיצוני שיבחן את השגת ארבעת יעדי החוק שהוגדרו בדברי ההסבר: (1) גידול היצע האשראי במשק; (2) צמצום מינוף היתר של משקי הבית; (3) הקטנת שיעורי חדלות הפירעון במשק; ו - (4) שיפור מוסר התשלומים. בדיקת היעדים צריכה להיעשות בהתאם למתודולוגיה שתקבל את אישורה של וועדת הכלכלה. בהתאם, על הגוף הבוחן להגיש לוועדה אחת לשנה את ממצאיו שיתפרסמו לציבור ולקראת תום התקופה את הדוח המסכם. לקראת תום התקופה תתכנס הכנסת שוב כדי לדון אם להאריך את תוקפו של החוק (Re-authorization) ואם כן – עם או ללא מגבלת זמן נוספת.
ח. יש להגן ולאבטח מידע לא מזוהה (לכאורה) כראוי
מחקרים מודרנים חותרים תחת האמונה באנונימיזציה ככלי להגנת הפרטיות. חוקרים הצליחו להראות לא פעם כיצד זיהו מחדש בני אדם אינדיבידואלים מתוך מידע אנונימי לכאורה.
הכשלון של האנונימיות הוא איפוא עובדה ידועה ומוצקה למדי.
באופן ספציפי, בעניין נתוני האשראי, ישנן עדויות מצטברות המצביעות על היכולת לזיהוי מחדש על סמך נתוני פעולות פיננסיות גם כאשר הנתונים מסוכמים באופנים סטטיסטיים שונים. לפיכך, ניתן להסיק במידה רבה של ודאות כי בעזרת מידע פיננסי נוסף, יהיה אפשר לזהות מחדש את המשתתפים במאגר.
לכן, על חוק מודרני המסדיר פעילות בנתוני אשראי לנקוט משנה זהירות כשהוא מבקש ליצור הסדרים שונים לאבטחת ושימוש במידע מזוהה ומידע (לכאורה) בלתי מזוהה.
הצעת החוק מבקשת להבדיל בין שני סוגי המידע ולאפשר שימוש רחב יותר, כמעט בלתי מוגבל במידע לא מזוהה על ידי בנק ישראל ולשכות האשראי.
בהתאם לסעיף 14(ב) להצעת החוק (הקמת המאגר לנתוני אשראי ומטרותיו), המאגר ישמש ליצירת בסיס מידע לא מזוהה בבנק ישראל שישמש אותו לצורך ביצוע תפקידיו לפי חוק. וראו גם את סעיף 42 להצעת החוק (שימוש במידע לא מזוהה בידי בנק ישראל).
בנוסף ישמש המאגר ליצירת בסיס מידע לא מזוהה אצל לשכות האשראי לצורך פיתוח שירותיהם. ראו גם את סעיף 43 להצעת החוק (גישה של לשכת אשראי למידע לא מזוהה במאגר), שלפיו ניתן יהיה לקבוע בעתיד שלשכת אשראי יכולה לא רק לגשת למידע הלא מזוהה, אלא גם לשמור עותק ממנו.
אין די בהגדרה הקיימת בהצעת החוק של מידע לא מזוהה. זוהי הגדרה טובה כהגדרה משפטית כללית, אולם לאור המידע הקיים כיום לגבי אנונימיזציה ומגבלותיה, יש למסד את תהליך הפיכת המידע המזהה ללא מזהה ולקבוע אותו בעזרת אנשי מקצוע מתאימים, באופן מוסדר בתקנות ובהנחיות שיעודכנו מעת לעת לפי הצורך.
בנוסף, המועצה מביעה חשש שהמידע הלא מזוהה (לכאורה) יאובטח ברמה נחותה מזו של המידע המזוהה ועובדה זו, יחד עם השימוש הנרחב במידע הלא מזוהה (לכאורה), עלולים לגרום לזליגת מידע ולשימוש לרעה במידע זה שכאמור עלול להפוך בחזרה למידע מזהה.
המלצת המועצה: סעיף 57(ג) להצעת החוק (אבטחת מידע) יכלול הוראה לפיה ההוראות שיקבע הנגיד יכללו הוראות להפיכת מידע מזהה למידע לא מזהה ולאבטחתו. כמו כן יש לכלול הוראה לפיה על הנגיד יהיה לקבוע את ההוראות בהתייעצות עם רשם מאגרי המידע ועל ההוראות לקבל את אישור ועדת הכלכלה.