חומר רקע

:אמר ר׳ חייא עלובה היא העיסה שנחתומה .מעיד עליה שהיא רעה[ ]בראשית רבה, ל"ד, י׳ ניתוח הדו"ח המסכם לתקופת המבחן של הרשות ל ניהול המאגר הביומטרי ,גרסה מעודכנת: כוללת התייחסות לממצאי דו"ח מבקר המדינה .לדו"ח הוועדה המייעצת/מפקחת ולהערות הרשות הביומטרית :תאריך15/03/2016 – גרסה3.0 – ידי מומחים בשיתוף התנועה לזכויות דיגיטליות-נכתב על( )ע"ר מוגש לראש הממשלה, לשר הפנים, לשרת המשפטים, לחברי ועדת הכנסת המשותפת, לחברי הכנסת, לממונה על היישומים /הביומטריים ולחברי הוועדה המייעצת מפקחת, לקראת הדיונים .על תוצאות ותקקפות תקופת המבחן הקבועה בחוק הביומטרי .מוגש במקביל לעיון מבקר המדינה והוועדה לביקורת המדינה http://drm.org.il/ ,מכובדי הנדון: דו"ח מומחים בנושא תקופת המבחן של המאגר הביומטרי הדו"ח הנמצא לפניכם הינו דו"ח מפורט שנכתב ע"י מספר מומחים בלתי תלויים. הדו"ח נכתב על מנת לאפשר להעמיק את הדיון הציבורי בשאלות המהותיות הנובעות מקיומו של מאגר ביומטרי. מטרת .המסמך לספק למקבלי החלטות ולציבור תמונה מקצועית ואמינה בשאלת נחיצות המאגר הביומטרי דו"ח זה מצטרף לדו"ח מבקר המדינה על תקופת המבחן, שמצביע על ליקויים מהותיים בעלי משמעות .ציבורית מרחיקת לכת גרסה ראשונה של מסמך זה פורסמה ביום15/06/2015 (, כשבועיים לפני תום תקופת ניסוי )פיילוט הקבועה בחוק הביומטרי. גרסה שנייה של המסמך פורסמה ביום24/06/2015, לאחר פרסום דו"ח ביקורת .מיוחד של מבקר המדינה, שהעלה כשלים מהותיים ויסודיים בפעולת הרשות לניהול המאגר הביומטרי גרסה שלישית של מסמך זה מפורסמת ביום15/03/2016 ., כשבועיים לפני תום תקופת הניסוי השנייה מטרת הניסוי היא, בראש ובראשונה, לבדוק את נחיצותו של מאגר ביומטרי מרכזי. זאת מהטעם שהמחוקק, בעקבות דיון ציבורי ער וחריף, לא השתכנע בנחיצות של מאגר מידע מרכזי, מעבר לנחיצות .הנפקת תעודות הזהות הביומטריות החכמות ביום29/06/2015 אישרה הכנסת את בקשת שר הפנים, סילבן שלום, להאריך תקופת הניסוי בתשעה חודשים, עד סוף חודש מרץ2016. בתום תקופת הניסוי יתבקשו חברי הכנסת להכריע אם להפוך את מאגר ,(המידע הביומטרי לחובה לכלל אזרחי המדינה, להאריך את תקופת הניסוי בשנית )דורש תיקון חקיקה .או לבטל את המאגר ולמחוק אותו בתחילת מרץ2016, הודיע שר הפנים חה"כ אריה דרעי שהוא מבקש להאריך את תקופת הניסוי בתשעה חודשים נוספים, לנוכח רצונו לבחון את מכלול העמדות והגישות שונות שהוצגו בפניו, בכל הנוגע לשאלת .היקף המאגר הנדרש ותכולתו לאורך תקופת הניסוי פרסמה הרשות הביומטרית מספר דו"חות, בהם קבעה כי המאגר הביומטרי נחוץ לשם הגנה על זהות האזרחים. דו"ח המומחים מנתח ומציג את הכשלים ואת פערי המידע בדו"חות הרשות הביומטרית, עד כדי חשש להשמטת מידע מכוונת וניסיון שיטתי להטעות את חברי הכנסת ואת ,הציבור במידע חלקי ומסולף. ודוק, עצם הציפיה לקבל מאדם או מגוף כלשהו חוות דעת אובייקטיבית לגבי הצורך או אי הצורך בקיומו הוא, מקפלת בתוכה ניגוד עניינים עמוק ומובנה. בעיקר, כאשר קביעה לשבט ולא לחסד, משמעותה אבדן משרות רבות, כולל אלו של כותבי חוות הדעת, פירוק גוף שהוקם תוך השקעת משאבים רבים, וביטול הנחות היסוד שעמדו ביסוד הקמתו. קביעת מסקנות לגבי צורך בדבר .מסוים או גוף מסוים, חייבת להיעשות ע"י מי שנמצא מחוצה לו ואין לו אינטרס במסקנות דו"ח המומחים מנתח את תהליכי תכנון המאגר הביומטרי, את הקמתו ואת הדיווחים של מפעיליו במהלך תקופת הניסוי. מפורטים בו השיקולים המקצועיים והציבוריים באשר לנחיצות השימוש במאגר מידע ביומטרי מרכזי, כמו גם ניתוח החלופות לשימוש בו. אלה וגם אלה מובילים למסקנות ברורות בדבר אי .נחיצותו של המאגר הביומטרי לשם קיום דרישות החוק לעניין הנפקת תיעוד חכם לאזרחי המדינה הדו"ח מתייחס לתקפות הגדרת הבעיה שהמאגר מתיימר לפתור )מניעת "הרכשה כפולה"(. הוא מנתח את תקפות הבדיקות שפרסמה הרשות ואת השיטות הסטטיסטיות שבעזרתן נוצרו, ומציע ניתוח מעט יותר ,מאוזן של התוצאות. דו"ח המומחים מטפל גם במערכת הביומטרית עצמה – ליבו של המאגר הביומטרי בהשוואה לנעשה במדינות אחרות ובמגוון נושאים נוספים. בנוסף מפנה הדו"ח את הזרקור לגדילה זוחלת ") בשימושים שצפויה המדינה לעשות במאגרMission Creep .(" על פי הדו"ח, הרשות לניהול המאגר הביומטרי לא קיימה את חובתה לערוך ניסוי אמיתי, שיציג בפני חברי הכנסת את המידע הנחוץ לשם קבלת החלטה שקולה בדבר נחיצות המאגר הביומטרי. היא לא טרחה לבחון ברצינות שיטות חלופיות לקיום דרישות החוק, ובכללן שיטות ידועות ומקובלות כגון שיטת התיעוד הבלגית או שיטת התשאול המוגבר. לדוגמה, הממונה על היישומים הביומטריים הורה לרשות לבדוק את – I – ,שיטת ההקבצים שהציע פרופ׳ עדי שמיר, אך הרשות הפכה את הבדיקה לחוכא ואטלולא. לדוגמה הרשות הורידה באופן מלאכותי את הציון עבור חלופת תמונת הפנים, במטרה להטות את תוצאות המבחן לטובת .חלופת המאגר המלא דו"ח המומחים מציג ומנתח את החלופות הקיימות וכן חלופות נוספות, שהיה .מצופה מהרשות הביומטרית לבחון בעצמה, במסגרת תקופת המבחן ,קיים פער מידע מובנה בין המתנגדים למאגר – בעיקר מומחים העושים זאת בזמנם החופשי ועל חשבונם מתוך דאגה לאינטרס הציבורי – לבין הרשויות הציבוריות התומכות בו. יכולת המתנגדים לטעון את טענותיהם, תלויה גם בפרסום המידע והדו"חות זמן סביר מראש. נתונים רבים, הנדרשים לבחינת תוצאות תקופת הניסוי ותקפותן, טרם פורסמו, חלקם אף נתונים שפרסומם מחויב עפ"י חוק. נתונים חיוניים נוספים הוגדרו באופן שרירותי כמסווגים, אולי מכיוון שפרסומם עלול להציג את הרשות באור שלילי. גם למומחים חיצוניים בעלי סיווג בטחוני גבוה לא ניתן לעיין בהם. ולבסוף, דו"חות ומסמכים מהותיים הוגשו לוועדת הכנסת בסוף מאי2015, כחודש בלבד לפני תום תקופת הניסוי. זאת, על אף שהחוק מקצה .לדיונים על תקופת הניסוי שלושה חודשים, לפחות יחסן של הרשויות למתנגדי המאגר הביומטרי, הבאים מדיסציפלינות רבות וחלקם מומחים בעלי שם שיח פרודוקטיבי, במטרה לצמצם את חששות-בינלאומי, הוא בלתי קביל לחלוטין. במקום לקיים דו המבקרים ולתכנן את המערכת באופן שיצמצם את הפגיעה בפרטיות האזרחים, בחרו גורמים רשמיים להכפישם ולהתעלם מחוות דעתם ומיכולותיהם המקצועיות הייחודיות. בדו"ח סיכום תקופת המבחן התגוללה הרשות הביומטרית על כותבי מסמך זה, תוך שימוש בלשון משתלחת שאין מקומה במסמך רשמי של המדינה, ואשר מצביעה, לכל הפחות, על חוסר הבנה של כללי המשחק הדמוקרטי ושל תפקיד ,אנשי הרשות כמשרתי ציבור. בין היתר הרשות"הציגה את דו"ח המומחים כ גיבוב של שקרים והטעיות מכוונות.", וכיוצא באלה דברים, שמקומם לא יכירם בהתבטאויות של גורם רשמי לנוכח נתוני הדו"ח, ברורה המסקנה כי אין לקבל את עמדת הרשות לניהול המאגר הביומטרי להפוך את המאגר הביומטרי לחובה לכלל אזרחי המדינה. ברור כבר עתה, והדו"ח מראה זאת בבהירות, כי אין צורך ממשי במאגר מידע ביומטרי לשם קיום מטרות החוק המקוריות, וסכנותיו, לביטחון התושבים ולפרטיותם, עולות עשרות מונים על תועלתו. אין טעם להאריך את תקופת המבחן לתקופה נוספת, בה אזרחי ישראל ימשיכו להמתין להחלטות המשפיעות עמוקות על ביטחונם ופרטיותם, ובינתיים להתנהל עם תעודות נייר מיושנות ומסוכנות. לפיכך, אנו קוראים לממשלת ישראל ולחברי הכנסת לבטל את המאגר .הביומטרי כבר עתה במקום המאגר הביומטרי, אנו ממליצים להיענות לדרישת מבקר המדינה הקודם, ולנפק לציבור תעודות ,בבד, נמליץ לעבות ולשפר משמעותית את תהליכי התשאול בזמן ההרכשה הראשונית-זהות חכמות. בד ועוד יותר בזמן הרכשות שניוניות )אבדן תעודות(, כפי שנעשה במקומות אחרים, ובנוסף לבחון את ,האפשרות להשתמש בשיטה הבלגית, המקשה מאוד על התחזויות בלשכות האוכלוסין. לצד ביטול המאגר ובדומה לשיטה הבלגית, ניתן לשמור מאגר תמונות פנים באיכות מופחתת שישמשו לצורכי אימות זהות בלבד, בהתאם לסעיף27 . לחוק קלות הזיוף של תעודות הזהות הנוכחיות היא איום קבוע על ביטחון הציבור. כבר שנים שהחלפתן בתיעוד חכם היא צורך בוער. אילולא התעקשות משרד הפנים לכרוך את פרויקט התיעוד החכם עם הקמת מאגר .ביומטרי, תעודות זהות מתקדמות היו מונפקות לכלל אזרחי ישראל לפני שנים פרופ׳ אלי ביהם צבי דביר פרופ׳ קרין נהון דורון שקמוני דורון אופק עו"ד יהונתן קלינגר – II – השתתפו בכתיבת הדו"ח פרופ' אלי ביהם – חבר סגל בפקולטה למדעי המחשב בטכניון. שימש כדיקן הפקולטה בשנים2008-2013 , ומייסד מרכז הסייבר בטכניון. תחום עיסוקו הוא קריפטוגרפיה ואבטחת מידע, ובפרט חקר חוזקם של צפנים. עבודותיו הידועות הינן פיתוח הקריפטאנליזה הדיפרנציאלית, שבירת תקן ההצפנהDES ושבירת מערכת ההצפנה של הטלפונים הסלולריים מטיפוסGSM ,. שימש ומשמש במגוון תפקידים בטכניון .בארגון הבינלאומי למחקר בקריפטולוגיה ובגופים אחרים צבי דביר מייסד של חברה בתחום הדימות הרפואי. בוגר תואר שני במדעי המחשב-טק ושותף- – יזם היי מהטכניון. מהנדס אלגוריתמים ומומחה מחשבים בעל ניסיון באנליזה דיגיטלית, אנליזת מידע ואנליזה .פורנזית. ממייסדי התנועה לזכויות דיגיטליות ומוביל פרויקט בסדנא לידע ציבורי פרופ' קרין נהון – חוקרת וחברת סגל בבית הספר למידע באוניברסיטת וושינגטון ובבית הספר לממשל במרכז הבינתחומי. תחום המחקר שלה עוסק בהשלכות חברתיות של טכנולוגיות מידע. ראש קבוצת המחקר בתחום וירליות של מידע והקימה את המרכז למידע ולחברה באוניברסיטת וושינגטון. חברת .קבינט התקשוב הממשלתי ומופיעה כמומחית באופן קבוע בוועדת המדע והטכנולוגיה בכנסת דורון שקמוני – מומחה לאבטחת מידע וסייבר, מייסד חברת סייבר בינלאומית, חבר ועדת המומחים הבינלאומית שלICANN , לאבטחתה ויציבותה של רשת האינטרנט, יועץ לאסטרטגיית אבטחה וסייבר .לשעבר ארכיטקט מערך "תהילה" הממשלתי, ממייסדי איגוד האינטרנט הישראלי ונשיאו בעבר דורון אופק – יועץ, מרצה ופרויקטור בתחומי סייבר, אבטחת מידע ומערכות פתוחות )קוד פתוח(. משמש -כCISO )מנהל אבטחת המידע( של חברת אנרגיה מובילה. מורה מן החוץ בקורסים בתחום הסייבר גוריון )בעבר גם בטכניון ובמכון ויצמן למדע(. יועץ לגופים מסחריים, בנקאיים-באוניברסיטת בן -וביטחוניים שונים. בעל ניסיון של למעלה מ20 . שנה כפרויקטור בצה"ל ובמקומות נוספים עו"ד יהונתן קלינגר – היועץ המשפטי של התנועה לזכויות דיגיטליות. נבחר מאז2012 ברצף, בתור אחד -מ500 עורכי הדין המובילים בעולם בתחום משפט וטכנולוגיה על ידי מגזיןWho's Who Legal 500, וכן .טק, אבטחת מידע וטכנולוגיה בעמידה בהנחיות משפטיות-מסייע לחברות היי מרכז עבודת צוות המומחים: צבי דביר – III – בפתח הגרסה השלישית .לפני תשעה חודשים, לקראת תום תקופת המבחן הראשונה, פורסמה הגרסה השנייה של דו"ח המומחים .עתה, לקראת תום תקופת המבחן השנייה, מוגשת מהדורה שלישית ומעודכנת של דו"ח המומחים :שר הפנים חה"כ אריה דרעי הודיע לאחרונה כי הוא מבקש להאריך את תקופת המבחן בשנית ברצוני לבחון את מכלול העמדות והגישות השונות שהוצגו בפניי, בכל הנוגע לשאלת היקף המאגר הנדרש ותכולתו. מדובר בסוגיה משמעותית, הן למדינה והן לחברה הישראלית, הטומנת בחובה התקדמות וחדשנות בכלל תחומי החיים. זהו נושא מורכב, רגיש וכבד משקל, שישפיע על החברה לשנים רבות. על כן אני מבקש עוד מספר חודשים כדי להשלים את הבחינה הנדרשת של .מכלול העמדות והגישות השונות כפי שהוצגו בפניי, כדי לקבל החלטה מושכלת ,משמעי וברור, כי תופעת ההרכשה הכפולה-הנתונים שנאספו לאורך תקופות המבחן מוכיחים באופן חד ,שהוצגה למחוקק ולציבור כרציונל להקמתו של מאגר ביומטרי כמעט ואינה קיימת במציאות . התופעה צפויה כנראה בעתיד, והיקפה הצפוי, ככל שניתן לצפות לפי נתונים אובייקטיביים, הוא לכל היותר עשרות בודדות של מקרים לשנה. לכן אנו סבורים כי ניתן לסיים כבר עתה את הניסוי הביומטרי, שכן הוכח כי .מאגר ביומטרי איננו נחוץ לצורך קיום הטעמים שנמנו בחוק להצדקת קיומו ,בבד-במקום המאגר הביומטרי, אנו ממליצים לנפק לציבור תעודות זהות חכמות בלבד, כבר עתה. בד נמליץ לעבות ולשפר משמעותית את תהליכי התשאול בזמן ההרכשה הראשונית ועוד יותר בזמן הרכשות שניוניות )אבדן תעודות(, כפי שנעשה במקומות אחרים בעולם. לצד ביטול המאגר המלא, ניתן להסתפק במאגר ביומטרי הכולל תמונות פנים באיכות מופחתת, בדומה למאגר רישיונות הנהיגה, שישמשו לצורכי אימות זהות בהתאם לסעיף27 לחוק. מאגר מסוג זה יכול לשמש לאימות זהות של אדם )למשל, הנפקה חוזרת של מסמכי זיהוי לאדם שכל מסמכיו אבדו(, תוך הקטנת הפגיעה בפרטיות ותוך מזעור הסכנה .הביטחונית בדליפת המאגר ביוני2015 פרסמה הוועדה המייעצת/מפקחת דו"ח מסכם לתקופת המבחן. הוועדה סברה כי הוכח קיומה העתידי של בעיית ההרכשה הכפולה, וכי מאגר ביומטרי הוא הפתרון לבעיה עתידית זאת. הוועדה המליצה, בניגוד לעמדת הרשות הביומטרית, להקים מאגר ביומטרי הכולל תמונות פנים בלבד ללא .טביעות אצבע אנו מעריכים את עבודתה המקצועית של הוועדה, אך בניגוד לעמדתה אנו סבורים כי ההיקף החזוי של הבעיה אינו מצדיק הקמת מאגר מידע ביומטרי של כלל תושבי מדינת ישראל. אנו סבורים כי לצורך איתור ניסיונות תרמית בהרכשה במערך ההנפקה של תיעוד חכם, די במאגר תמונות באיכות ביומטרית מופחתת היכולות לשמש לאימות זהות. פרק3 . כולל התייחסות למסקנות הוועדה גם בתום תקופת המבחן השנייה, הרשות הביומטרית כשלה בהטמעת מערכת "מגן" – מערכת ההשוואה הביומטרית שבלב המאגר הביומטרי. דו"חות הסיכום המעודכנים מבוססים על נתוני הדיוק של מערכת "להב" הזמנית. הרשות לא ניצלה את תקופת המבחן הנוספת לשם בחינה חוזרת של נתוניה ושל מסקנותיה, ורוב הפערים שהוצגו בדו"ח המומחים לפני כתשעה חודשים נותרו בעינם. הרשות הביומטרית .ורשות האוכלוסין וההגירה לא ערכו בחינה של החלופות הנוספות שהוצגו בדו"ח המומחים באוגוסט2015 פרסמה הרשות הביו מטרית מסמך בשם "התייחסות הרשות לטענות המתנגדים שהובאו במסמך ניתוח הדוח המסכם מטעמם". מסמך זה מבקש להגיב לטענות ולממצאים השונים שהועלו בדו"ח .המומחים. טענות והתייחסויות הרשות שולבו בגרסה זאת של הדו"ח, ככל שיש בהן רלוונטיות בפתח הגרסה השנייה גרסה ראשונה של דו"ח המומחים הוגשה ביום15/06/2015 לראש הממשלה, לשר הפנים, לשרת המשפטים, לחברי ועדת הכנסת המשותפת, לחברי הכנסת, לממונה על היישומים הביומטריים, לחברי /הוועדה המייעצת מפקחת, למבקר המדינה ולחברי הוועדה לביקורת המדינה. הדו"ח התייחס לסדרת – IV – כשלים שהתגלו בעבודת הרשות הביומטרית, והוא תוצר של עבודה מאומצת של צוות מומחים שנעשתה .בחודשים האחרונים :בתגובה לממצאי הדו"ח, פרסמה הרשות הביומטרית את התגובה הבאה מדובר בגיבוב של שקרים, הטעיות והמצאות, אשר כולו רצוף מסקנות שגויות מוטעות ומטעות בצורה מכוונת. המסמך כולל שימוש במידע מהימן ומקצועי שפרסמה הרשות תוך .עיוותו בניסיונות להציגו כמידע מוטעה מצופה מרשות ממלכתית שתספק התייחסות עניינית לביקורת עליה, אך מתגובת הרשות נראה כי היא מבקשת להתחמק מדיון בממצאי הדו"ח. אנו מאמינים כי הדו"ח מדבר בעד עצמו, וכי תגובת הרשות .הביומטרית מעידה עליה יותר מכל ,גרסה זאת, שנייה במספר של דו"ח המומחים, מוגשת לאור פרסום דו"ח ביקורת מיוחד על תקופת המבחן .מטעם מבקר המדינה. הדו"ח העלה ליקויים מהותיים בעלי משמעות ציבורית מרחיקת לכת ורגישות רבה לכן, גורמי ביטחון הגישו בקשת חיסיון נרחבת על ממצאי דו"ח הביקורת. ביום10/06/2015 צמצמה הוועדה לביקורת המדינה את היקף החיסיון, והתירה את פרסום הדו"ח כמעט במלואו. ביום23/06/2015 .("פרסם מבקר המדינה את דו"ח הביקורת המיוחד על תקופת המבחן )להלן, "דו"ח ביקורת מיוחד דו"ח הביקורת מחזק את ממצאי דו"ח המומחים, ומוסיף מידע בדבר פערים וכשלים נוספים שלא היו .ידועים קודם לכן במיוחד, דו"ח הביקורת מחזק את ממצאי דו"ח המומחים בנושאים הבאים: בעניין בדיקת הנחיצות )פרק4 (; בעניין היעדר מערכת השוואה ביומטרית בתקופת המבחן )פרק8(; בעניין היעדר נתוני דיוק אמינים )פרק9(; בעניין חוסר הנכונות של הרשות הביומטרית לבחון את החלופות השונות )פרק10 (; בעניין דרך מתן הציונים לחלופות )פרק11 .( הוועדה לביקורת המדינה ציינה כי החיסיון שהוטל על הדו"ח צומצם ברובו, אך לא במלואו. הפרק משמעית לשר הפנים לוודא כי-"היבטי אבטחת מידע" אינו כולל פירוט של ממצאים, אך כולל המלצה חד כל היבטי אבטחת המידע טופלו כנדרש. מנוסח המלצת המבקר ומתגובת הרשות הביומטרית, ברור כי ,קיימים ממצאים שונים, שרמת חומרתם לא ידועה, עליהם הוטל חיסיון. די בידיעה כי קיימים ממצאים כדי לחזק את ממצאי דו"ח המומחים בנושאי אבטחת מידע )פרק7 .( הגרסה השנייה של דו"ח המומחים הוגשה ביום24/06/2015, וכללה התייחסות לממצאי דו"ח מבקר המדינה )פרק2 .( – V – תקציר מנהלים בקרוב צפויה להסתיים תקופת הניסוי השנייה הקבועה בחוק הביומטרי. חברי הכנסת יתבקשו להכריע אם להפוך את המאגר הביומטרי לחובה לכלל אזרחי המדינה, לתקן את החוק כך שיתאפשר להאריך את תקופת המבחן פעם נוספת, או לבטל ולמחוק את המאגר. מטרת הניסוי היא, בראש ובראשונה, לבדוק את נחיצותו של מאגר ביומטרי מרכזי. זאת מהטעם שהמחוקק, בעקבות דיון ציבורי ער וחריף, לא השתכנע .בכך שמעבר לתעודות הזהות הביומטריות החכמות, נחוץ גם מאגר מידע מרכזי מנת לאפשר-תלויים. הדו"ח נכתב על-דו"ח המומחים הינו דו"ח מפורט שנכתב ע"י מספר מומחים בלתי לדיון הציבורי להעמיק בשאלות המהותיות הנובעות מקיומו של מאגר ביומטרי. מטרת הדו"ח לספק .למקבלי החלטות ולציבור תמונה מקצועית ואמינה בשאלת נחיצות המאגר הביומטרי החלופות השונות הן הקמת מאגר ביומטרי מלא )עמדת הרשות הביומטרית(, הקמת מאגר ביומטרי של תמונות פנים בלבד )עמדת הוועדה המייעצת/מפקחת(, הקמת מאגר ביומטרי של תמונות פנים באיכות .מופחתת )השיטה הבלגית; מאגר רישיונות נהיגה(, וחלופות שאינן כוללות הקמת מאגר ביומטרי הנתונים שנאספו מוכיחים באופן ברור כי תופעת ההרכשה הכפולה, שהוצגה כרציונל להקמתו של מאגר ,ביומטרי כמעט ואינה קיימת במציאות., ולכן אין צורך במאגר ביומטרי לשם הנפקת תיעוד חכם לציבור במקום הקמת מאגר ביומטרי מלא, הדו"ח ממליץ לעבות ולשפר את תהליכי התשאול בזמן ההרכשה הראשונית ובזמן הרכשות שניוניות )אבדן תעודות(. לצד ביטול המאגר המלא, ניתן להסתפק במאגר תמונות באיכות מופחתת. מאגר מסוג זה יכול לשמש לאימות זהות של אדם, תוך הקטנת הפגיעה .בפרטיות ותוך מזעור הסכנות הביטחוניות :להלן עיקרי הדו"ח ממצאי דו"ח הביקורת המיוחד )פרק2 :( מבקר המדינה פרסם דו"ח ביקורת מיוחד על תקופת המבחן ועל הרשות הביומטרית. הדו"ח העלה ליקויים קשים ומהותיים, בעלי משמעות ציבורית מרחיקת לכת .ורגישות רבה. ממצאי מבקר המדינה מחזקים את ממצאי דו"ח המומחים דו"ח הוועדה המייעצת/מפקחת )פרק3 :( הוועדה המייעצת/מפקחת פרסמה דו"ח סיכום לתקופת המבחן. הוועדה קבעה כי הרשות הביומטרית לא הציגה נתונים בדבר קיום תופעה ההרכשה הכפולה כיום. אולם, הוועדה סברה כי התופעה צפויה לקרות בעתיד , וכי מאגר מידע ביומטרי הוא הפתרון העדיף לבעיה ,זאת. הוועדה המליצה להקים מאגר ביומטרי הכולל תמונות פנים בלבד, ללא טביעות אצבע בניגוד לעמדת הרשות הביומטרית . אנו סבורים כי היקפה החזוי של התופעה אינו מצדיק פתרון קיצוני של הקמת .מאגר ביומטרי הוועדה מציינת כי הרשות הביומטרית הורידה במכוון את הציון של חלופת תמונת הפנים, למרות שהחלופה עומדת בדרישות החוק. במילים פחות עדינות, הרשות הביומטרית עיוותה את תוצאות הניסוי .כדי שתתקבל התוצאה העדיפה עליה בדיקת הנחיצות )פרק4 :( המטרה העיקרית של המאגר הביומטרי היא מניעת זיופים והתחזויות בהנפקת .תיעוד חכם. הרשויות התחמקו עד כה מבדיקת הנחיצות של רכיב המאגר הביומטרי המרכזי במערכת רשות האוכלוסין וההגירה צוותה לבחון את נתוני עבירות הזיוף וההתחזות שהתגלו במשטרה ובלשכות האוכלוסין. לפי נתונים אלו, בשנת2014 התגלו71 , מקרי התחזות וזיוף, מתוכם70 היו נמנעים ע"י שימוש בתעודה חכמה או ביומטרית; אחד היה נמנע ע"י תשאול מעמיק יותר; ואף לא מקרה יחיד היה נמנע ע"י המאגר הביומטרי. בשנת2015 - התגלו כ80 מקרי התחזות וזיוף. נתונים אלה צונזרו מהדו"ח המסכם של .הרשות הביומטרית. הנתונים נעלמו גם מהדו"ח המסכם של רשות האוכלוסין וההגירה ,"הרשות הביומטרית הסבירה שהמאגר הביומטרי מיועד לפתור בעיה שאינה קיימת, "במבט צופה עתיד אך לא הביאה בדל של מידע אובייקטיבי בדבר היקף הבעיה הצפוי. הנתונים אודות היקף התופעה מראים .כי המדובר בתופעה זניחה – VI – תפוצת מאגרים בעולם המערבי )פרק5 :( קיים פער בין הנתונים המשווים המסופקים על ידי הרשות תלויות, כגון בסקירת מרכז המידע והמחקר של-הביומטרית לבין הנתונים כפי שעלו בסקירות בלתי .המערבי שדומים לתכנית הישראלית-הכנסת, לגבי קיומם של מאגרים ביומטריים בעולם הדמוקרטי הסקירות מציגות תמונות שונות בתכלית. הסתירות נובעות מהשוואה שעושה הרשות למאגרים מסוג שונה שהם בתכליתם וולונטריים, אינם חובה לכלל אזרחי המדינה, ואופן השימוש בהם שונה. סקירת הממ"מ מראה כי גם אותם המאגרים שכן קיימים בכמה מדינות מערביות, ברובם המוחלט לא דומים למאגר הביומטרי הישראלי, שבו יאספו הנתונים הביומטריים מכל אזרחי המדינה. במדינות המערביות המובילות כגון בריטניה או גרמניה, הוחלט לא להקים מאגר ביומטרי מרכזי כלל, בבחינה של סיכוניו .הגדולים מול תועלתו המועטה תכנון המערכת הביומטרית )פרק6 :( תורת ההפעלה גובשה בהחבא, מבלי להתייעץ עם די מומחים .בתחום. עקב כך, התכנון העקרוני של תצורת המערכת ותצורת המאגר הביומטרי שגוי בכמה היבטים ,התכנון השגוי גרם לפסילת חלופות לשימוש בביומטריה בטוחה יותר בהשוואה לנטילת טביעות אצבע כגון שימוש בתמונת קשתית, וכן גרם להטיה כנגד שימוש בחלופות שאינן כוללות מאגר מלא, כגון שימוש בתבניות. בנוסף, המאגר הביומטרי של הרשות תוכנן באופן שאינו מקובל בעולם הביומטריה. כישלון .המכרזים הביומטריים נבע, ככל הנראה, מאותן דרישות ייחודיות בעיות אבטחה )פרק7 :(הסמכה לפי נוהלי תמ"ר- הרשות הביומטרית התחילה את ההנפקה במצב של תת )תורה ומתודולוגיה רוחבית(. לא ברור אם נכון להיום, סוף תקופת המבחן השנייה, הרשות עומדת בכל נוהלי תמ"ר ודרישות רא"ם )הרשות לאבטחת מידע(. ידוע שהתגלו פערים שונים בסקרי הסיכונים ובמבדקי החדירות שבוצעו, אך לא ברור האם תיקון הפערים נעשה כנדרש, מכיוון שמדובר במידע מסווג שלא נחשף לציבור. ידוע כי מנהל אבטחת המידע של הרשות הביומטרית התפטר בנסיבות חריגות, וכי .הרשות לא הצליחה לגייס מנהל אבטחת מידע במשך למעלה מחצי שנה היעדר מערכת השוואה ביומטרית )פרק8 :( פער קרדינלי, המשליך באופן ישיר על ת קקפות הניסוי הביומטרי. היעדר מערכת השוואה פירושו שנתוני הדיוק שנמדדו ע"י הרשות הביומטרית, לא יכולים /לשמש לקבלת החלטות לגבי שימוש במידע ביומטרי מופחת. הוועדה המייעצת מפקחת התריעה על פער זה. מבקר המדינה התייחס גם הוא לכשל זה, בדבריו אודות "כשלים מהותיים". גם בתום תקופת המבחן .השנייה, פער זה לא נסגר, ונתוני הדיוק שהרשות פרסמה מבוססים על המערכת הזמנית דיוק ההשוואות וטווחי השגיאות במערכת הביומטרית )פרק9 :( הרשות הביומטרית לא ערכה מבדקי -דיוק אמיתיים עבור מנועי ההשוואה הביומטריים. הבדיקה נערכה על מדגם זניח של כ16,000 רשומות ביומטריות, מתוך למעלה מחצי מיליון רשומות הקיימות במאגר. התוצאות שהוצגו בדו"חות הרשות מעלות יותר שאלות מתשובות. הרשות הטילה חיסיון על מדידות הדיוק, בניגוד לצו המבחן, ולכן לא ניתן .לבחון את נתוני הדיוק חלופות נוספות ומתן ציונים למדדים )פרקים10 - ו11 :( הרשות הביומטרית לא בדקה חלופות מקובלות בעולם למאגר ביומטרי. חלק מהציונים שהרשות נתנה לחלופות שכן נבדקו, סותרים את ההיגיון. הרשות הביומטרית "תיקנה" חלק מהציונים באופן שעיוות את התוצאות, במטרה להביא לבחירת החלופה העדיפה עליה )חלופת המאגר המלא(. בפרקים אלו הציונים חושבו מחדש, גם עבור החלופות הקיימות וגם עבור החלופות הנוספות. התוצאות המעודכנות מציגות תמונה הפוכה מזו המופיעה בדיווחי הרשות. דו"ח המומחים מצא כי שיטות התשאול השונות והשיטה הבלגית מקבלות את הציונים הגבוהים ביותר במבחן .הכולל, ועל כן עדיפות על חלופת המאגר הביומטרי סיכום )פרק12 :( מערכת הזיהוי הביומטרי, כפי שהוקמה על ידי הרשות הביומטרית, מתעדפת בצורה ברורה שימוש במאגר ביומטרי ללא כל צורך ותוך כדי סיכון בטחון האזרחים ופרטיותם. הדו"ח מנתח את הצורך במערכת זו ואת הסיכונים הנובעים ממנה. הדו"ח מציע מגוון פתרונות שהיו צריכים להיבחן ע"י .הרשות ולא נבחנו בתקופת הניסוי, ביניהן מספר שיטות זיהוי המשמשות בהצלחה במדינות אחרות המסקנה היא שניתן לבצע פרויקט תיעוד לאומי הרבה פחות מסוכן ופוגעני, וזאת ללא ירידה של ממש .באיכות הזיהוי – VII – תוכן עניינים מכתב מקדים⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ I השתתפו בכתיבת הדו"ח⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ III בפתח הגרסה השלישית⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ IV בפתח הגרסה השנייה⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ IV תקציר מנהלים⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ VI תוכן עניינים⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ VIII מעקב גרסאות⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ IX 1.מבוא⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 1 1.1תקופת המבחן הקבועה בחוק⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 1 1.2צו המבחן המקורי לא בחן את נחיצות המאגר⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 2 1.3הרשות הביומטרית לא פעלה לבחון את נחיצות המאגר⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 2 1.4פירוט הגורמים המפקחים⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 3 1.5עמדת הגורמים השונים בשאלת המאגר ביומטרי⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 8 1.6האלטרנטיבות למאגר⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 9 1.7הליכי האישור הצפויים⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 11 1.8מבנה הדו"ח⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 11 2.דו"ח מבקר המדינה⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 13 2.1מהימנות תקופת המבחן⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 13 2.2בדיקת הנחיצות של המאגר הביומטרי⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 13 2.3שימוש במערכת השוואה ביומטרית זמנית בתקופת המבחן⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 14 2.4החלפת סורקי טביעות האצבע והשפעתם על נתוני הדיוק⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 14 2.5פערים בבחינת החלופות למאגר והיקף המידע שיש לשמור בו⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 15 2.6אופן מתן ציונים לחלופות השונות⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 16 2.7היבטי אבטחת מידע⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 17 3.דו"ח הוועדה המייעצת/מפקחת לתקופת המבחן⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 18 3.1מסקנות הוועדה בדבר נחיצות המאגר הביומטרי⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 18 3.2תופעת ההרכשות הכפולות כבעיה המצריכה מענה⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 19 3.3ההיקף החזוי של הבעיה⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 19 3.4התייחסות הרשות הביומטרית להמלצות הוועדה⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 20 3.5המניפולציה של הרשות הביומטרית בציון של חלופת הפנים⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 21 4.הצורך במאגר – בחינת הנחיצות⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 23 4.1תשתית עובדתית חסרה⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 23 4.2סוגי עברות הזיוף וההתחזות⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 30 4.3עברות זיוף והתחזות מדו"ח הרשות הביומטרית⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 33 4.4תגובת הרשות הביומטרית לממצאים⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 33 4.5הערכת היקף התופעה⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 35 4.6שאלת המידתיות⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 36 5.מאגרים ביומטריים בעולם המערבי⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 37 5.1תפוצת מאגרים ביומטריים בעולם, לפי סקירת הרשות הביומטרית⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 37 5.2תפוצת מאגרים ביומטריים בעולם, לפי סקירת הממ"מ⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 37 5.3התייחסות לסתירות בין הסקירות⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 38 5.4התייחסות הרשות הביומטרית⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 39 5.5תפוצת מאגרים ביומטריים בעולם המערבי – השוואת סקירות⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 40 6.תכנון המערכת הביומטרית⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 42 6.1עבודת המטה לגיבוש תורת ההפעלה⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 42 6.2אופני הפעולה של המאגר הביומטרי⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 43 6.3תכנון לקוי בגיבוש תורת ההפעלה⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 44 6.4בחירת התוכן הביומטרי ויכולת השימוש בו⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 46 6.5סיכונים בעצם הקמת המערכת הביומטרית⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 49 7.בעיות אבטחה ופרטיות⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 51 7.1הסמכה של הרשות הביומטרית-תת⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 51 7.2ממונה אבטחת מידע⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 54 – VIII – 7.3רישום המאגר הביומטרי אצל רשם מאגרי המידע⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 55 7.4 ?רשת מבודלת או רשת מנותקת⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 56 7.5שירות התאוששות מאסון במערכות חיצוניות⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 57 8.פרשת מערכת ההשוואה הביומטרית⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 59 8.1מערכת השוואה ביומטרית⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 59 8.2התייחסות הוועדה המייעצת/מפקחת⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 59 8.3 (מערכת "להב" )המערכת הזמנית( לעומת מערכת "מגן" )המערכת הקבועה⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 60 8.4ת קקפות תוצאות הבדיקות בתקופת המבחן⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 61 8.5כישלון המכרזים לרכישת מערכת השוואה ביומטרית⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 64 9.אמינות נתוני הדיוק של הרשות הביומטרית⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 66 9.1מבוא: מדידות דיוק במערכות השוואה ביומטריות⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 66 9.2דרישות דיוק בצו המבחן⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 66 9.3הצגת נתוני הדיוק⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 67 9.4גודל המאגר הביומטרי⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 70 9.5 חוסר התאמה של התוצאות עבורFAR , FRR , FMR - וFNMR ⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 71 10 .חלופות למאגר הביומטרי⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 73 10.1חלופת התשאול המוגבר⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 73 10.2בדיקת חשודים מול המאגר המשטרתי⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 74 10.3החלופה הבלגית – תעודה מגיל אפס⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 75 10.4שימוש בתמונות באיכות פחותה⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 75 11 .מתן ציונים לחלופות השונות⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 76 11.1פירוט המדדים והחלופות לפי צו המבחן⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 76 11.2קביעת המדדים לקראת סוף תקופת המבחן⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 76 11.3חלופות נוספות⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 77 11.4חישוב מחדש של ציוני המדדים⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 77 11.5פירוט הציונים המתוקנים למדדים השונים⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 79 11.6שינוי משקלי המדדים⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 87 11.7ציון משוקלל של שילוב חלופות⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 89 12 .סיכום והמלצות⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱⸱ 90 מעקב גרסאות גרסה תאריך מהות העדכון 1.0 15/06/2015גרסה ראשונה לפרסום 2.0 24/06/2015 התייחסות לדו"ח מבקר המדינה התייחסות להערות הרשות הביומטרית בתקשורת 3.0 15/03/2016 התייחסות לדו"ח הוועדה המייעצת/מפקחת התייחסות להערות הרשות הביומטרית עדכון לפי הדו"חות המעודכנים מינואר2016 – IX – 1.מבוא 1.1תקופת המבחן הקבועה בחוק -חוק הכללת אמצעי זיהוי ביומטריים ונתוני זיהוי ביומטריים במסמכי זיהוי ובמאגר מידע, התש"ע2009 )להלן, "החוק הביומטרי"(, נחקק בשנת2009 בתום ויכוח ציבורי עז. מוקד הוויכוח היה )ועודנו( בשאלת הצורך במאגר ביומטרי, הכולל את הנתונים הביומטריים של אזרחי המדינה, לשם הנפקת תיעוד חכם לאזרחים. עקב המחלוקת, נקבעה בסעיף41 )1 ,( תקופת מבחן"במטרה לבחון את אופן היישום של הוראות ]החוק[, את נחיצות קיומו של מאגר ביומטרי ומטרותיו, את המידע שיש לשמור במאגר ואת אופן השימוש בו:" ,השר יקבע, בהתייעצות עם שר האוצר ושר המשפטים ובאישור ועדת הכנסת המשותפת, בצו תקופת מבחן של שנתיים שבמהלכה יחולו ההוראות לפי חוק זה על תושבים שייתנו את ,הסכמתם לכך בכתב במטרה לבחון בתקופה זו את אופן היישום של הוראות לפי חוק זה על תושבים אלה, את נחיצות קיומו של מאגר ביומטרי ומטרותיו, את המידע שיש לשמור במאגר ואת אופן השימוש בו )להלן – תקופת מבחן(; בצו כאמור ייקבעו בפירוט העניינים שייבחנו בתקופת המבחן, המדדים להצלחתו ואופן קבלת ההסכמה מאת תושבים להחלת הוראות לפי החוק לגביהם בתקופת המבחן; בתקופת המבחן יחולו ההוראות לפי חוק זה .בהתאם לצו האמור תקופת המבחן ודרכי הבחינה נקבעו בצו הכללת אמצעי זיהוי ביומטריים ונתוני זיהוי ביומטריים במסמכי -זיהוי ובמאגר מידע )תקופת מבחן(, התשע"א2011 )להלן, "צו המבחן"(, כפי שתוקן בדצמבר2012 ובאוגוסט2014 , ותוכננה להסתיים ביום29/06/2015 . סעיף41 )4 ( לחוק הביומטרי קובע כי90 יום לפני תום תקופת המבחן ידווחו שר הפנים וראש הממשלה על :ממצאי תקופת המבחן 90 ימים לפני תום תקופת המבחן, לכל המאוחר, ידווחו ראש הממשלה והשר לוועדת השרים ליישומים ביומטריים, ולוועדה של הכנסת שבה יהיו חברים חברי ועדת הכנסת המשותפת ) ליישומים ביומטריים וחברי ועדת הכנסת המשותפת, על ממצאי הבחינה כאמור בפסקה1 .( הדו"ח המסכם של הרשות לניהול המאגר הביומטרי הוגש ביום31/03/2015 . ופורסם שבועיים לאחר מכן " הרשות, שהתבקשה למעשה לכתוב דו"ח הבוחן את הצורך בקיומה, טענה כי רק תיעוד חכם המבוסס על מאגר ביומטרי מבטיח זהות אחת לאדם אחד" 1, ושר הפנים דאז גלעד ארדן המליץ לקדם חובה הדרגתית להצטרף למאגר הביומטרי2. אולם, ראש הממשלה לא הצטרף להמלצת שר הפנים. הממונה על היישומים .הביומטריים והוועדה המייעצת/מפקחת טרם פרסמו את התייחסותם לדו"ח, נכון לאותו מועד במקביל, נשמעה ביקורת מצד הגורמים המפקחים השונים – הוועדה המייעצת/מפקחת, ועדת הכנסת המשותפת, ומבקר המדינה, שהתריע פומבית על ליקויים מהותיים בהתנהלות תקופת המבחן ופרסם דו"ח חריף על תקופת המבחן והתנהלות הרשות הביומטרית. לקראת תום תקופת המבחן הראשונה, פרסמה ,הוועדה המייעצת/מפקחת דו"ח סיכום מטעמה בו היא דוחה את עמדת הרשות הביומטרית, וממליצה .להסתפק במאגר ביומטרי של תמונת פנים בלבד ביום23/06/2015 ביקש שר הפנים דאז סילבן שלום להאריך את תקופת המבחן במספר חודשים, בכדי :לתת לו שהות ללמוד את הנושא באופן מעמיק ולגבש את עמדתו לאחר כניסתי לתפקיד שר הפנים ולאחר שנערכו מספר דיונים בנושא, החלטתי כי יש מקום להאריך את תקופת המבחן. מטרת הארכת תקופת המבחן הינה עיון מעמיק בדו"חות שהוגשו .לקראת סיום תקופת המבחן ולימוד הנושא באופן מספק על מנת לקבל החלטה מושכלת ,הארכת תקופת המבחן תאפשר גם קיומם של דיונים ממצים בועדות הרלוונטיות שנקבעו בחוק .ללא שלחץ הזמן ימנע דיון ראוי ומעמיק בסוגיות שעל הפרק 1 הרשות לניהול המאגר הביומטרי, הודעה לתקשורת מיום13/04/2015 . 2 ר' ה"ש1 . השר לא פרסם את מסקנותיו באופן הקבוע בסעיף40 )()ב4 .( לחוק – 1 – ביום29/02/2016 הודיע שר הפנים חה"כ אריה דרעי כי הוא מבקש להאריך את תקופת הניסוי בשנית, כדי :להשלים את הבחינה הנדרשת ברצוני לבחון את מכלול העמדות והגישות השונות שהוצגו בפניי, בכל הנוגע לשאלת היקף המאגר הנדרש ותכולתו. מדובר בסוגיה משמעותית, הן למדינה והן לחברה הישראלית, הטומנת בחובה התקדמות וחדשנות בכלל תחומי החיים. זהו נושא מורכב, רגיש וכבד משקל, שישפיע על החברה לשנים רבות. על כן אני מבקש עוד מספר חודשים כדי להשלים את הבחינה הנדרשת של .מכלול העמדות והגישות השונות כפי שהוצגו בפניי, כדי לקבל החלטה מושכלת 1.2צו המבחן המקורי לא בחן את נחיצות המאגר צו המבחן המקורי3 לא עמד בדרישות החוק לעניין מבדקי תקופת המבחן. הצו יצר מראית עין של מענה לדרישות החוק, אך לא הטיל על הרשויות חובות פוזיטיביות לבדיקת הנושאים שבדיקתם נדרשה בסעיף 41 )1 ,( לחוק. הצו נמנע מבחינת חלופות שיאפשרו להשיג את תכלית החקיקה ללא מאגר, או לחלופין באמצעות מאגר עם מידע ביומטרי מופחת. כמו כן הוא נעדר את פירוט העניינים שייבחנו ואת המדדים .להצלחה או לכישלון לאחר פרסום הצו, הוגשה עתירה לבג"ץ4, שבה נתבקשו שר הפנים ואחרים לתת טעם מדוע לא יבוטל צו המבחן, ויבוא במקומו צו מבחן אחר המקיים את הוראות החוק לעניין תקופת המבחן. בית המשפט הציע לשר הפנים לבחון מחדש את הצו, ולוודא שכל הפרמטרים המנויים בסעיף41 לחוק אכן כלולים בו. השר קיבל את ההצעה, והצו הוחזר לדיון מחודש בוועדת הכנסת המשותפת. צו המבחן המתוקן פורסם בדצמבר2012 , ובעקבותיו, ביוני2013 ., פורסם פרוטוקול מבחן מתוקן 1.3הרשות הביומטרית לא פעלה לבחון את נחיצות המאגר גם לאחר תיקון הצו והפרוטוקול נמנעה הרשות הביומטרית מבחינה אובייקטיבית של נחיצות המאגר .הביומטרי. הרשות הניחה מראש כי המאגר הביומטרי נדרש לשם התמודדות עם זיופים והתחזויות :לשיטתה, נחיצות המאגר היא בגדר הנחת יסוד, ותקופת המבחן מיועדת אך כדי לאשש אותה בשנת2007 ביצע המטה ללוחמה בטרור במשרד ראש הממשלה עבודת מטה מקיפה בנוגע לתיעוד במדינת ישראל. בעבודה זו נקבע כי יש לשפר את רמת האבטחה של התיעוד על ידי שילוב של נתונים ביומטריים במסמכי הזיהוי יחד עם היכולת לוודא כי לכל אדם יהא רק תיעוד אחד בזהותו האמיתית. מטרה זו ניתנת להשגה על ידי שימוש בבסיס נתונים מרכזי, שהינו המאגר הביומטרי. סיכומה של עבודת המטה הנ"ל היווה את הבסיס לחוק אשר התקבל בשנת 2009 . ועל פיו פועל מערך התיעוד החכם והמאגר הביומטרי כיום בהתאם לחוק המבוסס כאמור על אותה עבודת מטה מקיפה, המאגר הביומטרי הוא הכלי הטכנולוגי שנבחר על מנת למנוע את תופעת גניבת הזהות וההתחזות מול פקיד בלשכת רשות .[…] האוכלוסין )דו"ח מסכם, פרק1.4 .( הצורך בהקמת המאגר הביומטרי הוגדר כאמור בעבודת המטה שהתבצעה על ידי מטה לוט"ר והצביעה על הצורך בניהול סיכונים הצופה פני עתיד, על פיו לא ניתן להסתפק בשכלול מסמכי הזיהוי עצמם, אלא שגם לאחר שכלולם יש לתת מענה לפרצות נוספות שנותרות במערך התיעוד .הלאומי כאשר מסמכי הזיהוי עצמם אינם ניתנים יותר לזיוף )דו"ח מסכם, פרק3 .( המחוקק לא קיבל את עמדת הלוט"ר כתורה מסיני, וקבע מפורשות כי יש לבחון את נחיצות המאגר הביומטרי לשם קיום מטרות החוק. עתה, מבקשת הרשות הביומטרית להוכיח את נחיצות המאגר באמצעות הנחת נחיצות המאגר )"הנחת המבוקש"(, הנחה שנדחתה על ידי המחוקק בשנת2009 . מכיוון שמסמך הלוט"ר לא הוצג בפני הציבור, לא ברור אם הוא פוסק כי המאגר הביומטרי הוא הפתרון היחיד לבעיה, או אם מאגר ביומטרי יכול להיות פתרון לבעיה )ויכולים להיות גם פתרונות נוספים(. על כל .תלויים חלוקים עליה-פנים, דעה זו של הלוט"ר היא דעתו, שכבודה במקומה; מרב המומחים הבלתי 3 'כפי שפורסם בק"ת תשע"א מס7025 ', עמ1287 . 4 בג"ץ1516/11 .' פרופ' קרין נהון ואח' נ' הכנסת ואח – 2 – הוועדה המייעצת/מפקחת קבעה כי עבר זמן רב מאז גיבוש תורת ההפעלה, ועולם היישומים הביומטריים השתנה והתפתח מאז. לכן, הנימוקים שעמדו בבסיס גיבוש תורת ההפעלה לפני עשור אינם תקפים בהכרח :להיום עולם הזיהוי ובתוכו עולם היישומים הביומטריים מתפתח ומשתנה במהירות רבה. ערב קבלת החלטה בעלת משמעות הנוגעת לכל אחד מאיתנו כפרטים ולמדינת ישראל, נכון להעדיף ראייה רחבה ועדכנית, הנותנת מענה מספק למטרה הראשונה והמרכזית של החוק, על פני היצמדות לתהליך שהיה נכון במועד בו עוצבה תורת ההפעלה2007-2008 . המשמשת בבסיסו של החוק ')דו"ח הוועדה המייעצת/מפקחת, עמ19 .( לעניין זה, ר' פרק6.1.4 . 1.4פירוט הגורמים המפקחים 1.4.1ועדת הכנסת המשותפת ,ועדת הכנסת המשותפת היא ועדה המשותפת לוועדת החוקה, חוק ומשפט, לוועדת הפנים והגנת הסביבה ולוועדת המדע והטכנולוגיה. ועדת הכנסת המשותפת היא הוועדה האחראית על הפעלת החוק. לפי סעיף 11 .)ב( לצו המבחן, הדו"חות התקופתיים של תקופת המבחן ידווחו ויידונו בוועדת הכנסת המשותפת 1.4.2הוועדה ליישומים ביומטריים לפי סעיף32 (" לחוק, ועדת הכנסת המשותפת ליישומים ביומטריים )להלן, "הוועדה ליישומים ביומטריים " תעסוק בעניינים הנוגעים לפעילות רשויות הביטחון ולאבטחת מידע ". חברי הוועדה הם יו"ר ועדת החוץ והביטחון, יו"ר ועדת הכנסת המשותפת, חברי ועדת החוקה חוק ומשפט וחברי ועדת המשנה למודיעין ולשירותים חשאיים של ועדת החוץ והביטחון. הוועדה ליישומים ביומטריים התכנסה פעם אחת, לאישור הארכת תקופת המבחן5. 1.4.3דו"חות תקופתיים לפי סעיף11)ב( לצו המבחן, הרשות הביומטרית ורשות האוכלוסין וההגירה יכינו דו"ח תקופתי אחת לחצי :שנה, אשר יפרט את הבדיקות שנערכו במהלך תקופת המבחן הרשות ]לניהול המאגר הביומטרי[ ורשות האוכלוסין ]וההגירה[ יכינו דין וחשבון מפורט בכתב ובו תיאור כל תוצאות הבדיקות שבוצעו בתקופה האמורה לפי צו זה, אחת לכל חצי שנה במשך תקופת המבחן; דין וחשבון זה יוגש לראש הממשלה, שר הפנים, שר המשפטים, השר לביטחון /הפנים ולוועדת הכנסת המשותפת, לממונה על היישומים הביומטריים ולוועדה ]המייעצת .[מפקחת תקופת המבחן החלה בפועל חצי שנה לאחר המועד הקבוע בצו המבחן, ולא הוכן דו"ח לתחילת שנת2013 . שנתיים הנוספים הוגשו כחודשיים לאחר תום כל תקופה. ועדת הכנסת-הדו"חות התקופתיים החצי :המשותפת דנה רק בדו"ח התקופתי הראשון, שכן שאר הדיונים בוטלו לבקשת הרשויות במשך שתי שנות הפיילוט הגישו הרשויות ארבעה דיווחים לגבי ארבע תקופות כאשר האחרון בהם, הדיווח המסכם הוגש בסוף חודש מרץ. ועדת הכנסת המשותפת דנה רק בדיווח אחד מתוך הארבעה – לגבי התקופה הראשונה. המועדים שנקבעו לדיון בוועדה המשותפת לגבי דו"ח ) התקופה השניה1.1.14 – 30.6.14( נדחו מספר פעמים ולמעשה לא התקיים דיון ביתר הדיווחים -של הפיילוט. זאת, בין היתר, בשל יציאתה של הכנסת לפגרת הבחירות לכנסת ה20 . )מסמך רקע מיום24/06/15 ', עמ3 .( :להלן פירוט הדו"חות התקופתיים והדיונים בוועדה 5 ,"עומר כביר, "הכנסת נרדמה בשמירה: ועדת הרפאים של המאגר הביומטרי כלכליסט 09/06/2015 . – 3 – תקופת דו"ח תאריך הכנה מועדי דיון בוועדה מחצית ראשונה2013 – תקופת המבחן החלה בפועל ביום04/07/2013 . H1 – מחצית שנייה2013 28/01/2014 הדיון תוכנן ליום19/03/2014 ;( )הדיון בוטל הדיון תוכנן ליום26/03/2014 ;( )הדיון בוטל הדיון התקיים ביום22/07/2014 . H2 – מחצית ראשונה2014 28/08/2014 הדיון תוכנן ליום28/10/2014 ;( )הנושא בוטל הדיון תוכנן ליום17/02/2015 ;( )הדיון בוטל הדיון תוכנן ליום01/03/2015 ;( )הדיון בוטל .טרם התקיים דיון H3 – מחצית שנייה2014 25/02/2015 הדיון תוכנן ליום01/03/2015 ;( )הדיון בוטל .טרם התקיים דיון H4 – מחצית ראשונה2015 01/09/2015 .טרם נקבע דיון H5 – יולי עד אוקטובר2015 15/12/2015 31/01/2016 .טרם נקבע דיון 1.4.4דו"ח מעקב ותמונת מצב מטעם ועדת הכנסת המשותפת לקראת הדיון שתוכנן ליום17/02/2015 , הכינה היועצת המשפטית של הוועדה עו"ד נירה לאמעי רכלבסקי דו"ח מעקב ותמונת מצב6 )להלן, "דו"ח מעקב"(. עם פרסום הדו"ח ביום16/02/2015, בוטלו הדיון ,המקורי וגם הדיון שנקבע בהמשך, שניהם ללא הסבר. עד היום לא התקיים דיון מהותי בעניין דו"ח .המעקב דו"ח המעקב ביקר בחומרה רבה את תפקוד הרשות הביומטרית, ואת היעדר המידע הנדרש בדו"חות התקופתיים. לפי דו"ח המעקב, הרשות הביומטרית לא הציגה בפני חברי הכנסת נתונים המאפשרים :הכרעה בשאלת נחיצותו של מאגר ביומטרי לצורך הנפקת תעודות זהות ביומטריות בנקודת הזמן הנוכחית ]דו"ח המעקב פורסם בפברואר2015 [ – כארבעה חודשים לפני תום תקופת הפיילוט בסוף יוני2015 – לא נראה כי בפני חברי הכנסת נמצאים כל הנתונים המאפשרים הכרעה בנושא נחיצותו של מאגר נתונים ביומטרי בתמיכה למערכת הנפקה .של תעודות זהות אלקטרוניות התשובה לשאלת הנחיצות של המאגר ]…[ לא ניתנה, בין היתר מכיוון שלא מוצתה בדיקת כל .החלופות האפשריות לטיפול בבעיית זיוף התיעוד הלאומי גם ללא קיומו של מאגר ביומטרי גם מקריאת דו"ח תקופת הפיילוט השניה, לא עולה מסקנה לפיה לא ניתן להפעיל מערכת .אמינה של תעודות זהות אלקטרוניות – ללא מאגר ביומטרי יש להדגיש כי הרקע לקיומה של תכנית מבחן ובחינת נחיצותו של מאגר היה הסכנה הטמונה בקיומו של מאגר כאמור וביתר שאת המשמעות הבלתי הפיכה של דליפתו של מאגר כאמור והפגיעה הבלתי הפיכה בחייו של מי שטביעות אצבעותיו דלפו ונמצאות בסכנת זיוף והפגיעה .בפרטיותו )דו"ח מעקב, פרק5 .( לשם הסדר, נביא את תגובת הרשות הביומטרית לדו"ח המעקב, כלשונה7: ידי רשות עצמאית שהוקמה לצורך ייחודי זה, בהתאם-המאגר הביומטרי הוקם ומנוהל על לדרישות החוק. החוק מבוסס על עבודת מטה מקיפה של המל"ל, אשר קבעה באופן מפורש כי 6 הדו"ח התבסס על שני הדו"חות התקופתיים שפורסמו עד אותו מועד )תקופותH1 - וH2 .( 7 ,"גור מגידו, "משבר הזהות של המאגר הביומטרי גלובס 16/02/2015 . – 4 – תופעת גניבת הזהות וההתחזות הנה תופעה נרחבת ביותר, אשר גורמת נזקים כבדים למדינת .ישראל בהיבטים הכלכלי, החברתי והלאומי היועצת המשפטית של הוועדה כתבה חוות דעת המבוססת על דו"ח תקופתי אשר הוגש באוגוסט2014שנתי השלישי אשר יוגש בהתאם לחוק בעוד כשבוע, כולל הסברים-. הדו"ח החצי מקיפים ומפורטים לכל הנושאים הנדרשים כולל תופעת ההרכשות הכפולות, כולל בחינה .מפורטת של כל החלופות, כולל הסבר לנושאי אבטחת מידע ועוד תמוהה בעינינו העובדה שהיועצת המשפטית של הוועדה מצאה לנכון לפרסם דו"ח הכולל מסקנות, ולהפיצן, בלא לקבל את התייחסות הרשויות הפעילות במסגרת תקופת המבחן. חוות דיוקים רבים. בדיון הוועדה הבא יוצגו כאמור כל הנושאים הנדרשים בצורה-הדעת כוללת אי .מפורטת וחברי הכנסת יקבלו את מלוא הנתונים והמענה לכלל השאלות והקושיות כנדרש ,בניגוד לתגובת הרשות" הדו"ח התקופתי השלישי אשר פורסם בסוף פברואר לא כלל התייחסות מפורטת לנושאים הנדרשים" ", לא את מלוא הנתונים ", ובנושאים מסוימים )כגון בדיקת החלופות( אף לא את ,חלקם. מכיוון שהדיון בוטל וגם הדיון שנדחה בוטל, טרם ניתן מענה לכלל השאלות והקושיות כנדרש ובעיקר, לא ניתן מענה לשאלת נחיצותו של המאגר. גם הדו"ח המסכם מלא חורים ופערי מידע, כמוסבר .בהרחבה במסמך זה 1.4.5דו"חות הסיכום לתקופת המבחן לפי סעיף41 )4( לחוק הביומטרי, על ראש הממשלה ושר הפנים להגיש דו"ח מסכם על ממצאי הבחינה של :תקופת המבחן 90 [ ימים לפני תום תקופת המבחן, לכל המאוחר, ידווחו ראש הממשלה והשר ]שר הפנים לוועדת השרים ליישומים ביומטריים, ולוועדה של הכנסת שבה יהיו חברים חברי ועדת הכנסת המשותפת ליישומים ביומטריים וחברי ועדת הכנסת המשותפת, על ממצאי הבחינה כאמור ) בפסקה1 ;( לצורך דיווח ראש הממשלה, ובהתאם לצו המבחן, על הרשות הביומטרית ועל רשות האוכלוסין וההגירה להגיש דיווח אודות תוצאות בחינת תקופת המבחן. הרשות הביומטרית הכינה דו"ח מסכם מטעמה ביום 23/03/2015 , אך הדו"ח פורסם לציבור רק ביום13/04/2015 8. רשות האוכלוסין וההגירה הכינה דו"ח מסכם מטעמה ביום24/03/2015 , אך הדו"ח פורסם רק ביום23/06/2015 9. דו"ח הרשות הביומטרית כולל נספחים שונים. חלקם פורסם באתר הרשות10, וחלקם פורסם רק לאחר .פנייה לוועדה המייעצת/מפקחת. חלק מהנספחים לא פורסם שכן נטען שהם כוללים מידע מסווג לקראת סיום תקופת המבחן השנייה, הרשויות עדכנו את הדו"חות המסכמים. הרשות הביומטרית הכינה דו"ח מסכם מעודכן ביום10/12/2015. רשות האוכלוסין וההגירה הכינה דו"ח מסכם מעודכן ביום 15/12/2015 . הדו"חות פורסמו לציבור ביום18/01/2016 . רוב הדו"חות אינם מופיעים באתר האינטרנט של הרשות הביומטרית או באתר האינטרנט של רשות האוכלוסין וההגירה. התנועה לזכויות דיגיטליות רכזה את הדו"חות באתרה11. 1.4.6הממונה על היישומים הביומטריים הממונה על היישומים הביומטריים במשרד ראש הממשלה )להלן, "הממונה"( אחראי ומפקח על התנהלות הרשות הביומטרית מכוח סעיף30)ב( לחוק הביומטרי. הממונה עומד בראש הוועדה המייעצת/מפקחת לתקופת המבחן לפי סעיף10ד לצו הניסוי. ביחידת הממונה הוכנה תכנית פיקוח מפורטת, הבוחנת את 8 :חלק מהדו"חות מופעים באתר הרשות הביומטריתhttp://biodb.gov.il/publications/Pages/Periodic-report.aspx 9 הדו"ח המסכם לא: מופיע באתר רשות האוכלוסין וההגירה http://piba.gov.il/Subject/BiometricPassports/Pages/SmartIDMoreInformation.aspx 10 :פרסומים נוספיםhttp://biodb.gov.il/Professional_Info/Pages/Research.aspx 11 :ריכוז דו"חות תקופת הניסוי באתר התנועה לזכויות דיגיטליותhttp://drm.org.il/?p=7 50 – 5 – הרשות הביומטרית בשלושה תחומים: הסדרים ושימושים ביומטריים; הקמת המאגר הביומטרי; סוגיות .של הגנת הפרטיות בהתאם לתכנית הפיקוח, במהלך תקופת המבחן יופקו שני דו"חות ביניים, ולקראת תום תקופת המבחן יוכן דו"ח מסכם. דו"חות הפיקוח מתייחסים לשלושה היבטים עיקריים: היבט פונקציונלי של היישומים הביומטריים; היבט אבטחת מידע; היבט הגנת הפרטיות וכבוד האדם. דו"ח מסכם לפי סעיף30 )()ב1( לחוק כולל את המלצות הממונה והוועדה המייעצת/מפקחת בדבר הקמה, ביטול או הפעלה חלקית של .המאגר הביומטרי דו"ח פיקוח ראשון פורסם בפברואר2014 . דו"ח פיקוח שני פורסם בתחילת2015. דו"ח פיקוח מסכם פורסם ביולי2015 . הדו"ח המסכם הראשון לתקופת המבחן פורסם ביום23/06/2015. הדו"ח המסכם .השני לתקופת המבחן טרם פורסם 1.4.7הוועדה המייעצת/מפקחת הוועדה המייעצת המפקחת על התנהלות תקופת המבחן לפי סעיף10ד לצו הניסוי )להלן, "הוועדה /המייעצת מפקחת"( מונתה ביום20/06/2013 ע"י שר הפנים. הוועדה הגישה ביום29/01/2015 וביום 28/05/2015 , את סיכום דיוניה עד אותו מועד. מהסיכומים עולה כי הוועדה דנה במספר פערים מהותיים .לדבריה, שהתגלו בהתנהלות הרשות הביומטרית במהלך תקופת המבחן הפער העיקרי והמהותי ביותר הוא שכל תקופת המבחן התנהלה מבלי שיש בידי הרשות הביומטרית מערכת השוואה ביומטרית מקצועית. כלומר, הרשות ביססה את הדו"חות התקופתיים ואת הדו"ח המסכם על מערכת השוואה זמנית, פרי פיתוח מקומי. הסוגיה משליכה באופן ישיר על תקפות ממצאי המבחן, כמוסבר בפרק8 להלן. מפתיע, ומעט מאכזב למען האמת, כי במשך חמש שנים תמימות לא לבו של המאגר-הצליחה הרשות הביומטרית להקים ולהטמיע מערכת השוואה מקצועית, שהיא לב .הביומטרי מעבר לבעיה המהותית לעיל, הוועדה דנה במספר פערים נוספים, כדלהלן: הצורך בהשלמת תכניות 'העבודה )דיונים מס7 , 8 , 10 -, ו11 '(; ממצאי הביקורת של הממונה )דיון מס9 , 23(; סוגיות האבטחה של 'המאגר הביומטרי )דיון מס10 '(; ממצאי הביקורת של מבקר המדינה )דיון מס15 , 18 .( הוועדה המייעצת/מפקחת מסרה לשר הפנים דו"ח מסכם מטעמה ביום28/05/2015. הדו"ח פורסם לציבור ביום23/06/2015. הוועדה סברה כי תופעת ההרכשה הכפולה צפויה לקרות בעתיד, וכי מאגר מידע ביומטרי הוא הפתרון העדיף לבעיה זאת. הוועדה המליצה להקים מאגר ביומטרי הכולל תמונות פנים בלבד, ללא טביעות אצבע, וזאת בניגוד להמלצות הרשות הביומטרית. בפרק3 מובאים עיקרי הדו"ח .והתייחסותנו למסקנותיו הוועדה מציינת כי הרשות הביומטרית הורידה במכוון את הציון של חלופת תמונת הפנים, למרות שלפי תוצאות הניסוי, החלופה עומדת בדרישות החוק. במילים פחות עדינות, הרשות הביומטרית עיוותה את תוצאות הניסוי במטרה שתתקבל התוצאה העדיפה עליה. על כך בפרק3.5 . 1.4.8מבקר המדינה מבקר המדינה הכין דו"ח ביקורת מיוחד על הרשות הביומטרית ועל ניהול תקופת המבחן )להלן, "דו"ח :ביקורת מיוחד"(. עוד טרם פרסום הדו"ח, התייחסה הרשות הביומטרית לפעולות הביקורת של המבקר מבקר המדינה מבקר את פעילות הרשות במסגרת תכנית העבודה השנתית של משרד מבקר המדינה. במהלך שנת2014 קיים מבקר המדינה בדיקות במסגרת ביקורת שערך לפרויקט התעוד ,החכם והמאגר הביומטרי. בהתאם לטיוטת דו"ח הביקורת אשר הועברה לרשות הביומטרית כלל הנושאים העיקריים אשר נבדקו במסגרת הבדיקה וכלל הממצאים טופלו באופן מלא על ידי הרשות. בפרט, בנושאים הרלוונטיים בהם ביקש המבקר שהממונה על היישומים הביומטריים וכן הועדה המייעצת יגיעו בהם להחלטה, התקבלו ההחלטות והובהר על ידי הועדה המייעצת והממונה על היישומים הביומטריים כי נחה דעתם בנושאים העיקריים הרלוונטיים שהועלו .בדו"ח. מענה מפורט לדו"ח הועבר למבקר על ידי הרשות )דו"ח מסכם, פרק6.1.8 .( – 6 – " הרשות הביומטרית טוענת כי נחה דעתם " של הגורמים המפקחים, אך לא כך הדבר. הגורמים המפקחים השונים אמנם יודעו בדבר ממצאי המבקר, אך טענת הרשות כי גורמים אלו מחזיקים בדעה כי היא טיפלה בהצלחה ובאופן מלא בכל ממצאי הביקורת, רחוקה מהמציאות. מבקר המדינה עצמו מחזיק בעמדה כי " דו"ח הביקורת העלה ליקויים מהותיים בכל הנוגע לפעילות המאגר הביומטרי, ליקויים בעלי משמעות ציבורית מרחיקת לכת ורגישות רבה ", ובאופן חריג ביותר הוא טרח להבהיר את עמדתו בפומבי12. המבקר " לא היה מוציא הודעה כה חריגה לו אכן נחה דעתו " כי כל הליקויים תוקנו כנדרש, וכי אין לממצאים .נגיעה לשאלת נחיצות המאגר מבקר המדינה, השופט בדימוס יוסף שפירא, שיגר מכתב לראש הממשלה בנימין נתניהו ולשר הפנים גלעד ארדן, לגבי דו"ח ביקורת בנושא "תיעוד לאומי ביומטרי – תקופת המבחן", שנשלח .אליהם טרם פרסומו במכתבו מציין המבקר כי הואיל ודו"ח הביקורת מעלה ליקויים מהותיים, ומכיוון שלדברים משמעות ציבורית מרחיקת לכת ורגישות רבה, הוא מבקש מהם להביא לידיעתו בהקדם .את הפעולות שנעשו לתיקון הליקויים שהועלו בדו"ח בטרם יתחיל הליך החקיקה בנושא :לשם הסדר, נביא את תגובת הרשות הביומטרית כלשונה מכתבו של מבקר המדינה מתעלם מהעובדה שהליקויים עליהם הצביע תוקנו, והדברים מפורטים בדו"ח המסכם שהוגש לכנסת. יתרה מזאת, על פי לשון החוק, הדו"ח המסכם הונח על שולחן הכנסת אשר אמורה לדון בו בפרוצדורה קבועה ומוגדרת. הניסיון של המבקר לעצור את התהליך אשר נקבע בחוק אינו ברור. יודגש, תקופת המבחן נקבעה בחוק על מנת לבחון את .המערכת ולתקן ליקויים ככל שיימצאו לאורך תקופת המבחן, נבדק פרויקט התיעוד הלאומי הביומטרי על ידי מבקר המדינה. העובדה שהבדיקה בוצעה בזמן אמת אפשרה לרשות לתקן את הליקויים עליהם הצביע המבקר כבר במהלך תקופת המבחן. הדו"ח המסכם אשר הוגש על ידי השר כולל התייחסויות מפורשות .לליקויים ומפרט את האופן בו תוקנו הרשות הביומטרית טוענת כי כל הליקויים שהמבקר התייחס אליהם, טופלו ותוקנו באופן מלא, עוד .במהלך תקופת המבחן. לאור פרסום דו"ח המבקר, נראה כי ההצהרה מוגזמת במקצת ממצאי דו"ח הביקורת מאוד רלוונטיים לשאלת תקפות תקופת המבחן. אולם, גורמי ביטחון ביקשו לחסות את דו"ח המבקר במלואו, ובכך להקשות על עריכת הדיון הנדרש. ביום10/06/2015 החליטה הוועדה לביקורת המדינה של הכנסת לדחות את בקשת החיסיון שהוגשה, והתירה את פרסום הדו"ח כמעט במלואו13 : ועדת המשנה לביטחון של הועדה לביקורת המדינה החליטה ]…[ לצמצם באופן משמעותי את ,בקשת החיסיון שהוגשה על ידי גורמי הביטחון לעניין דו"ח מבקר המדינה על המאגר הביומטרי .ולהתיר לפרסם את הדו"ח כמעט במלואו יו"ר הועדה, ח"כ קארין אלהרר )יש עתיד( אמרה כי "ראוי שהציבור ומקבלי ההחלטות, יכירו את ."כל העובדות הכרוכות במאגר ביומטרי, כדי שתתקבל ההחלטה הנכונה והטובה ביותר .הדו"ח יתפרסם ע"י מבקר המדינה, השופט )בדימוס( יוסף שפירא, בקרוב הדו"ח פורסם ביום23/06/2015, והעלה שורה ארוכה של בעיות קשות ביותר בהתנהלות הרשות הביומטרית. ממצאי הביקורת מחזקים את ממצאי דו"ח המומחים, כמפורט להלן בפרק2. 1.4.9 (החטיבה לסיכול איומי סייבר / הרשות הממלכתית לאבטחת מידע )רא"ם החטיבה לסיכול איומי סייבר, לשעבר הרשות הממלכתית לאבטחת מידע )רא"ם(, מבקרת את הרשות .הביומטרית בענייני אבטחת מידע 12 מבקר המדינה, הודעה לתקשורת מיום15/04/2015 . 13 הודעת דובר הכנסת מיום10/06/2015 . – 7 – במהלך תקופת המבחן התגלו מספר פערי אבטחה משמעותיים. התברר כי הרשות הביומטרית קיבלה היתר להתחיל בהנפקה לפני שקיבלה הסמכה כנדרש )פרק7.1(; התברר כי הרשות הביומטרית כשלה בחלק מסקרי הסיכונים ומבדקי החדירות )פרק7.1.2(, ולא ברור מתי תוקנו הליקויים, והאם כולם טופלו בהצלחה; ממונה אבטחת המידע של הרשות התפטר בנסיבות לא ברורות, והרשות פעלה במשך כחצי שנה ללא ממונה אבטחת מידע, בניגוד גמור לחוק )פרק7.2 .( ההסמכה של הרשות-רא"ם סירבה להתייחס לפניות התנועה לזכויות דיגיטליות לעניין סוגיות תת הביומטרית, לעניין הפרת החוק להסדרת הביטחון בגופים ציבוריים, ולעניין פערי האבטחה שהתגלו .בסקרי הסיכונים ובמבדקי החדירות השונים בדו"חות הקודמים נחשפו ראיות לקיומם של פערי אבטחה מסוימים. הרשות הביומטרית פרסמה הבהרות שונות בדבר ראיות אלו, ופרקים7.4 - ו7.5 . בדו"ח זה עודכנו בהתאם להבהרותיה מבקר המדינה ממליץ, מבלי לפרט בדו"ח הפומבי14, כי שר הפנים יחזור ויבקש את התייחסות רא"ם :לשאלת היבטי אבטחת המידע של הרשות הביומטרית לדעת משרד מבקר המדינה, נוכח ההשלכות העלולות להיות לדליפת מידע בעת הנפקת תעודות חכמות ושמירת המידע במאגר, בטרם תתקבל החלטה בסיום תקופת המבחן, על שתי הרשויות לשוב ולוודא כי כל מערכי הטכנולוגיה, התפעול והמערך הביומטרי ליישום החוק עומדים בתקנים וברמת האבטחה של הרשות הממלכתית לאבטחת מידע במשרד ראש הממשלה ושל ,נוהלי רשות האוכלוסין והרשות לניהול המאגר הביומטרי. זאת ועוד משרד מבקר המדינה ,סבור כי טרם קבלת החלטה באשר לעתידו של המאגר הביומטרי בסיום תקופת המבחן ראוי ששר הפנים ישוב ויפנה לרשות הממלכתית לאבטחת מידע במשרד ראש הממשלה על מנת לקבל את עמדתה בנושא אבטחת המידע בפרויקט על כל היבטיו . ')דו"ח ביקורת מיוחד, עמ53 .( " יצוין כי אחד התנאים להפיכת המאגר הביומטרי לחובה לכלל האזרחים, הוא כי ננקטו כל האמצעים הדרושים לשם הגנה על פרטיות התושבים, אבטחת המידע במאגר הביומטרי ומניעת ניצולו לרעה " )סעיף 40 )()ב4 ( לחוק(. כל עוד לא תוקנו100% . מהליקויים באופן מלא, לא ניתן להפוך את המאגר לחובה 1.4.10 (הרשות למשפט טכנולוגיה ומידע )רמו"ט הרשות למשפט טכנולוגיה ומידע )רמו"ט( שבמשרד המשפטים, אחראית לפיקוח על הרשות הביומטרית -מכוח חוק הגנת הפרטיות, התשמ"א1981 . במהלך תקופת המבחן התגלו מספר הפרות של חוק הגנת הפרטיות: הרשות פעלה במשך כחצי שנה ללא ממונה אבטחת מידע, תוך הפרת סעיף17 ב לחוק הגנת הפרטיות )פרק7.2(. הרשות הביומטרית לא רשמה את המאגר כנדרש, תוך הפרת הוראות סעיף8 לחוק הגנת הפרטיות )פרק7.3 .( 1.5עמדת הגורמים השונים בשאלת המאגר ביומטרי הרשות הביומטרית טוענת כי כל, גורמי הביטחון שותפים לעמדתה בדבר נחיצות המאגר הביומטרי בהתבסס על עבודת מטה של הלוט"ר משנת2008 ומסמך מעודכן משנת2014 – מסמכים שלא הוצגו .לציבור 1.5.1עמדת המשרד לענייני מודיעין בדיון שנערך בוועדה לביקורת המדינה הבהיר נציג המשרד לענייני מודיעין כי לא קיימת המלצה בדבר נחיצות המאגר הביומטרי. לדבריו, עמדת המשרד "טרם גובשה", כיוון שטרם נאספו הנתונים הדרושים :לגיבושה :קארין אלהרר?יש פה נציג ממשרד המודיעין? אדוני, מה עמדתכם בנושא הזה :ארי שועלי אני ארי שועלי, ראש אגף המודיעין. עמדת המשרד ]לענייני מודיעין[ לא 14 .על ממצאי פרק "היבטי אבטחת מידע" הוטל חיסיון – 8 – גובשה. השר לומד את זה, והוא עדיין לא גיבש לעצמו את התמונה המלאה .האם המאגר נחוץ או לא נחוץ על סמך הנתונים שקיימים :יעל גרמן[…] ?אתה אומר שלא גובשה. ]…[ מה עמדת אגף המודיעין :ארי שועלי.העמדה טרם גובשה :יעל גרמן?מה זה "לא גובש"? אין לכם המלצה :ארי שועלי.עדיין לא :יעל גרמן?אין לכם נתונים :ארי שועלי.[]מהנהן )דיון הוועדה לביקורת המדינה מיום24/06/2015 .( 1.5.2עמדת הוועדה המייעצת/מפקחת והממונה על היישומים הביומטריים כמוסבר בפרק3, הוועדה המייעצת/מפקחת והממונה על היישומים הביומטריים מחזיקים בעמדה לפיה לצורך מניעת הרכשות כפולות, די במאגר ביומטרי הכולל תמונות פנים, ואין צורך במאגר הכולל טביעות .אצבע. לעמדת הוועדה שותף ראש מטה הלוט"ר, החבר בה 1.6האלטרנטיבות למאגר מטרת תקופת המבחן היא להציג נתונים בדבר נחיצות מאגר ביומטרי ככלי למניעת התחזות מסוג "הרכשה כפולה". כמוסבר בפרקים3 - ו4 ,, מדובר בבעיה שלא קיימת כיום, אך עלולה להתרחש בעתיד בהיקף זה או אחר. לכן, בחינת האלטרנטיבות השונות חייבת להתבסס על עקרון המידתיות )ר' פרק4.6 .( האלטרנטיבות הקיימות הן: מאגר ביומטרי מלא, מאגר ביומטרי של תמונות פנים, מאגר ביומטרי של .תמונות פנים באיכות מופחתת, והפעלת מערך הנפקה ללא מאגר ביומטרי 1.6.1מאגר ביומטרי מלא מאגר ביומטרי מלא, לצורך דיון זה, הוא מאגר ביומטרי הכולל תמונת פנים באיכות גבוהה ושתי טביעות אצבע. הרשות הביומטרית תומכת בהקמת מאגר ביומטרי מלא, ומבקשת להפוך את המאגר לחובה לכל :אזרחי המדינה תוצאות מבחני הנחיצות והחלופות, מובילים בצורה חד משמעית למסקנה בדבר הצורך ביישום מאגר ביומטרי הכולל תמונות פנים וטביעות אצבע, אשר יאפשר מניעת התחזות וגניבת זהות ויספק לתיעוד החכם את רמת המהימנות הנדרשת. האפשרות המומלצת במסגרת תום תקופת המבחן הנה החלה של החוק על כלל התושבים במהלך הדרגתי של מספר שנים כפי שיקבע שר .הפנים בצו )דו"ח מסכם מעודכן, פרק12 .( חסרונותיו של מאגר מסוג זה רבים ומשמעותיים, ובראשם הסיכון העצום שהוא טומן בחובו לביטחון ,תושבי המדינה ולפרטיותם, גם בעצם קיומו ועוד יותר מרגע שתוכנו ידלוף, בחלקו או בשלמותו. בנוסף .מאגר ביומטרי אינו מתמודד כלל עם התופעה של התחזות בעת ההרכשה הראשונית 1.6.2מאגר ביומטרי של תמונות פנים הוועדה המייעצת/מפקחת הגיעה למסקנה כי מאגר ביומטרי הכולל תמונות פנים בלבד, ללא טביעות :אצבע, מהווה פתרון מידי ומספק לשם צמצום תופעה עתידית של הרכשות כפולות, תוך הפחתת סיכונים ,בשונה מהמלצת הרשויות הוועדה המייעצת ממליצה לבחור בחלופת הפנים עבור מאגר .המידע הביומטרי הוועדה מצאה כי מאגר ביומטרי מבוסס תמונות פנים בלבד הוא פתרון מספק אשר מחד נותן מענה איכותי לצמצום תרחיש ה"הרכשות הכפולות", ומאידך מפחית .סיכונים ממשיים ,פתרון זה הוא ישים וממומש היום על ידי מספר מדינות לצורך ניהול מאגרים בקנה מידה לאומי והוא מתאים לגודל האוכלוסייה בישראל. לחסרונות הקיימים לחלופה זו קיימים פתרונות .בהישג יד ')דו"ח הוועדה המייעצת/מפקחת, עמ16 .( – 9 – המלצה זו ניתנת בשים לב לכך שהרשויות נתנו לחלופת "המאגר המלא" את הניקוד הגבוה ביותר, כאשר חלופת הפנים קיבלה ניקוד נמוך יותר; לכך שריבוי ביומטריות מיטיב עם ביצועי מערכת ביומטרית ומשפר את הדיוק שלה; לעובדה שמשטרת ישראל לא תוכל לבצע את כל השימושים מול המאגר הביומטרי ביחס לטביעות אצבע, העומדים לה כיום על פי החוק; לכך שלא ניתן יהיה לעשות שימוש מיטבי במאגר הביומטרי לצורך זיהוי נעדרים וחללים; לכך ;שניהול מאגר ביומטרי המבוסס על תמונות פנים בלבד עשוי להצריך עבודה ידנית נוספת ולפרויקטים מקבילים בעולם אותם הציגו הרשויות, בהם מדינות עושות שימוש במאגר ;המתבסס על תמונות פנים וטביעות אצבע על אף כל זאת, הוועדה המייעצת סבורה כי זהו פתרון מאוזן ומידתי המשרת את המטרה .הראשונה והעיקרית של החוק – הנפקת תיעוד חכם ואמין עבור תושבי ישראל ')דו"ח הוועדה המייעצת/מפקחת, עמ19-20 .( 1.6.3מאגר ביומטרי של תמונות באיכות מופחתת פרק10.4 מציג חלופה מקובלת ונפוצה במדינות שונות, של שימוש במאגר ביומטרי הכולל תמונות פנים באיכות ביומטרית מופחתת. בישראל כבר קיים מאגר תמונות כזה: מאגר התמונות של משרד התחבורה המשמש להנפקת רישיונות נהיגה15 . הסדרה חוקית של מאגר תמונות באיכות מופחתת נקבעה בסעיף27 .לחוק הביומטרי הפחתת האיכות מאפשרת שימוש במאגר לצורכי אימות זהותו של אדם )השוואה של אחד לאחד( ברמת ,אמינות גבוהה מאוד, אך מונעת במאגר לצורך חיפוש של אדם במאגר )השוואה של אחד לרבים(. כלומר ,המאגר יכול כאמור לשמש לצורך אימות זהותו של אדם, אך לא יכול לשמש לצורך זיהוי אדם אקראי. כך מעוקרת אחת הסכנות המשמעותיות ביותר הנובעות מקיומו של מאגר ביומטרי – היכולת לזהות אדם .ברחוב או בהפגנה, והיכולת לאתר אנשים המצויים במאגר על פי דגימה .חלק מהמדינות בהן הוקם מאגר ביומטרי עבור הנפקת דרכונים עושות שימוש במאגר תמונות מסוג זה המאגר מאפשר לרשויות לאמת את זהותו של אדם שכבר הוציא תיעוד ביומטרי, מבלי לפגוע יתר על המידה בביטחון אזרחי המדינה ובפרטיותם. המאגר לא נועד במקורו למניעת הרכשות כפולות, אך מסוגל לתת מענה לחלק הארי של תרחישי הרכשה כפולה. כמוסבר בפרק4.5, היקף תופעת ההרכשה הכפולה צפוי להיות קטן ואף זניח. לכן, קיימת עדיפות למאגר ביומטרי של תמונות מופחתות, המאפשר הקמת .מערך הנפקה בטוח ומוגן. יתרון נוסף הוא ההקלה המשמעותית בדרישות האבטחה המוטלות על הרשות המאגר הביומטרי סווג כמאגר סודי ביותר. מאגר התמונות של משרד התחבורה הוא מאגר רגיש, אך לא .בסיווג סודי ביותר "חסרונו" העיקרי של מאגר מסוג זה, הוא הפגיעה ביכולות של רשויות הביטחון לעשות שימוש במאגר .הביומטרי עבור צרכים משניים שונים 1.6.4חלופות ללא מאגר ביומטרי קיימות מספר חלופות מידתיות שאינן דורשות הקמת מאגר ביומטרי. חלופות אלו אינן מיועדות מראש להתמודד עם התופעה )הזניחה( של הרכשה כפולה, אך יכולות להתמודד עם חלק מתרחישי הרכשה כפולה בהצלחה. חלק מהחלופות מתמודד בהצלחה טובה גם עם הבעיה המשמעותית של התחזות בהרכשה הראשונית )בעיה שהמאגר הביומטרי אינו נותן לה כל פתרון(. פרק10 . מפרט אודות חלופות אלו שילוב החלופות, יחד או ללא מאגר תמונות ביומטרי באיכות מופחתת, נותן פתרון מקיף לבעיות האמתיות ,של מערך ההנפקה, תוך מזעור הסכנה לביטחון המדינה והקטנת הפגיעה בפרטיות האזרחים. לצערנו הרשויות סרבו לערוך בחינה של החלופות, וזאת נוכח רצונן לקדם הקמת המאגר הביומטרי מלא לכלל .האזרחים 15הקמת המאגר לא הוסדרה בחוק. מתשובת משרד התחבורה לבקשת חופש מידע עולה כי נתוני המאגר עברו לרשויות .הביטחון, אך המשרד לא פרט את הגורמים אליהם הועבר המידע ואת היקף המידע שהועבר – 10 – 1.7הליכי האישור הצפויים תקופת הניסוי השנייה מסתיימת ביום31/03/2016 ., לאחר שהוארכה בתשעה חודשים נוספים לפי סעיף41 )5 )-( ו6 :( לחוק, בתום תקופת המבחן השנייה, יוחלט על אחד מהבאים 1. ;החלת החוק על כלל התושבים 2. ;החלה הדרגתית או בתנאים של החוק 3. ;בתום תקופת המבחן הראשונה היה ניתן להאריכה לתקופה שלא תעלה על שנתיים נוספות בהתאם ללשון החוק, אפשרות ההארכה מתייחסת לתקופת המבחן המקורית. לצורך הארכה .לתקופת ניסיון שלישית נוספת יש לתקן את החוק 4.המאגר הביומטרי שהוקם בתקופת המבחן, כולו או חלקו, לא יופעל והמידע שנאסף במסגרתו .יימחק לפי סעיף41 )5 :( לחוק, תהליך האישור כולל מספר שלבים 1. ;הוצאת צו על ידי שר הפנים 2. ;התייעצות עם שר המשפטים 3. ;אישור שר האוצר 4. ;אישור של ועדת הכנסת המשותפת וועדת הכנסת ליישומים ביומטריים 5. .(אישור הכנסת )מליאה 1.8מבנה הדו"ח .מבנה הדו"ח הוא כדלהלן פרק2 . דן בממצאי מבקר המדינה מבקר המדינה פרסם דו"ח ביקורת מיוחד על תקופת המבחן ועל הרשות הביומטרית. הדו"ח העלה ליקויים קשים ומהותיים, בעלי משמעות ציבורית מרחיקת לכת .ורגישות רבה. ממצאי מבקר המדינה מחזקים ומשתלבים עם ממצאי דו"ח המומחים פרק3 . דן בדו"ח הוועדה המייעצת/מפקחת הוועדה המייעצת/מפקחת פרסמה דו"ח סיכום לתקופת המבחן מטעמה. הוועדה סברה כי על אף שתופעת ההרכשות הכפולות אינה קיימת כיום , התופעה צפויה לקרות בעתיד , וכי מאגר מידע ביומטרי הוא הפתרון לבעיה זאת. הוועדה המליצה להקים מאגר ביומטרי ,הכולל תמונות פנים בלבד, ללא טביעות אצבע בניגוד לעמדת הרשות הביומטרית. הוועדה מציינת כי הרשות הביומטרית הורידה במכוון את הציון של חלופת תמונת הפנים, למרות שהחלופה עומדת בדרישות החוק. במילים פחות עדינות, הרשות הביומטרית עיוותה את תוצאות הניסוי .כדי שתתקבל התוצאה העדיפה עליה פרק4 . דן בבדיקות הנחיצות של המאגר פרק זה בוחן את נחיצות המאגר הביומטרי לשם מניעת זיופים והתחזויות במערך התיעוד החכם. מוסבר כיצד הרשויות התחמקו מבדיקת הנחיצות של המאגר .הביומטרי. בפרק מפורטים נתוני עבירות הזיוף וההתחזות, כפי שהתגלו במשטרה ובלשכות האוכלוסין לפי נתונים אלו, בשנת2014 התגלו71 , מקרי התחזות וזיוף, מתוכם70 היו נמנעים ע"י שימוש בתעודה חכמה או ביומטרית; אחד היה נמנע ע"י תשאול מעמיק יותר; ואף לא מקרה יחיד היה נמנע ע"י המאגר הביומטרי. בשנת2015 - התגלו כ80 מקרי התחזות וזיוף. נתונים אלה צונזרו מהדו"ח המסכם של הרשות .הביומטרית. הנתונים נעלמו גם מהדו"ח המסכם של רשות האוכלוסין וההגירה ,"הרשות הביומטרית הסבירה כי המאגר הביומטרי מיועד לפתור בעיה שאינה קיימת, "במבט צופה עתיד אך לא הביאה בדל של מידע אובייקטיבי בדבר היקף הבעיה הצפוי. בפרק זה יוסבר מדוע היקף התופעה .צפוי להיות זניח פרק5 . דן בתפוצת מאגרים ביומטריים בעולם המערבי -הרשות הביומטרית טוענת כי ב13 מדינות בעולם המערבי קיים מאגר ביומטרי עבור אזרחי המדינה. מרכז המחקר והמידע של הכנסת ערך סקירה עצמאית – 11 – שהעלתה ממצאים סותרים. בפרק מושוות שתי הסקירות, ומוסבר כיצד גם כאן ניסתה הרשות .הביומטרית להטעות את הציבור פרק6 . דן בתכנון המערכת הביומטרית תורת ההפעלה גובשה בהחבא, מבלי להתייעץ עם די מומחים בתחום. עקב כך, התכנון העקרוני של תצורת המערכת ותצורת המאגר הביומטרי שגויים בכמה היבטים. ,התכנון השגוי גרם לפסילת חלופות לשימוש בביומטריה בטוחה יותר בהשוואה לנטילת טביעות אצבע כגון שימוש בתמונת קשתית, וכן גרם להטיה כנגד שימוש בחלופות שאינן כוללות מאגר מלא, כגון שימוש בתבניות. בנוסף, המאגר הביומטרי של הרשות תוכנן באופן שאינו מקובל בעולם הביומטריה. כישלון .המכרזים הביומטריים נבע, ככל הנראה, מאותן דרישות ייחודיות פרק7 . דן בבעיות אבטחה הסמכה לפי נוהלי-הרשות הביומטרית התחילה את ההנפקה במצב של תת תמ"ר )תורה ומתודולוגיה רוחבית(. לא ברור אם נכון להיום, סוף תקופת המבחן השנייה, הרשות עומדת בכל נוהלי תמ"ר ודרישות רא"ם )הרשות לאבטחת מידע(. ידוע שהתגלו פערים שונים בסקרי הסיכונים ובמבדקי החדירות שבוצעו, אך לא ברור האם תיקון הפערים נעשה כנדרש, מכיוון שמדובר במידע מסווג שלא נחשף לציבור. ידוע כי מנהל אבטחת המידע של הרשות הביומטרית התפטר בנסיבות חריגות, וכי .הרשות לא הצליחה לגייס מנהל אבטחת מידע במשך למעלה מחצי שנה פרק8 . דן בפרשת מערכת ההשוואה הביומטרית הפרק מצביע על פער קרדינלי, המשליך באופן ישיר על ,ת קקפות הניסוי הביומטרי. היעדר מערכת השוואה פירושו שנתוני הדיוק שנמדדו ע"י הרשות הביומטרית /לא יכולים לשמש לקבלת החלטות לגבי שימוש במידע ביומטרי מופחת. הוועדה המייעצת מפקחת התריעה על פער זה. מבקר המדינה התייחס גם הוא לכשל זה, בדבריו אודות "כשלים מהותיים". גם בתום .תקופת המבחן השנייה הפער לא נסגר, ונתוני הדיוק שהרשות פרסמה מתבססים על המערכת הזמנית פרק9 . דן באמינות נתוני הדיוק של הרשות הביומטרית הרשות הביומטרית לא ערכה מבדקי דיוק -אמיתיים עבור מנועי ההשוואה הביומטריים. הבדיקה נערכה על מדגם זניח של כ16,000 רשומות ביומטריות, מתוך למעלה מחצי מיליון רשומות הקיימות במאגר. התוצאות שהוצגו בדו"חות הרשות מעלות יותר שאלות מתשובות. הרשות הטילה חיסיון על מדידות הדיוק, בניגוד לצו המבחן, ולכן לא ניתן .לבחון את נתוני הדיוק פרק10 . דן בחלופות נוספות .הרשות הביומטרית לא בדקה חלופות מקובלות בעולם למאגר ביומטרי בפ רק מוצגות שלוש חלופות נוספות, המקובלות בעולם, אשר לא נבדקו. חלופות אלו הן חלופת התשאול המוגבר; בדיקה מול המאגר המשטרתי; והשיטה הבלגית. בנוסף נתייחס לחלופת מאגר ביומטרי הכולל .תמונות פנים באיכות ביומטרית מופחתת פרק11 . דן במדדי תקופת הניסוי חלק מהציונים שהרשות נתנה לחלופות שכן נבדקו, סותרים את ההיגיון. הרשות הביומטרית "תיקנה" חלק מהציונים באופן שעיוות את התוצאות, במטרה להביא לבחירת החלופה העדיפה עליה, היא חלופת המאגר המלא. בדו"ח זה הציונים חושבו מחדש, גם עבור החלופות הקיימות וגם עבור החלופות הנוספות שתוארו בפרק10. התוצאות המעודכנות מציגות תמונה הפוכה מזו המופיעה בדיווחי הרשות. דו"ח המומחים מצא כי שיטות התשאול השונות והשיטה הבלגית .מקבלות את הציונים הגבוהים ביותר במבחן הכולל, ועל כן עדיפות על חלופת המאגר הביומטרי פרק12 . כולל המלצות וסיכום ,מערכת הזיהוי הביומטרי, כפי שהוקמה על ידי הרשות הביומטרית .מתעדפת בצורה ברורה שימוש במאגר ביומטרי ללא כל צורך, ותוך כדי סיכון בטחון האזרחים ופרטיותם הדו"ח מנתח את הצורך במערכת זו ואת הסיכונים הנובעים ממנה. הדו"ח מציע מגוון פתרונות שהיו צריכים להיבחן ע"י הרשות ולא נבחנו בתקופת הניסוי, ביניהן מספר שיטות זיהוי המשמשות בהצלחה במדינות אחרות. המסקנה היא שניתן לבצע פרויקט תיעוד לאומי הרבה פחות מסוכן ופוגעני, וזאת ללא .ירידה של ממש באיכות הזיהוי – 12 – 2.דו"ח מבקר המדינה דו"ח מבקר המדינה פורסם ביום23/06/2015, לאחר שבקשת גורמי ביטחון להטיל חיסיון על ממצאיו נדחתה ברובה. הדו"ח מעלה שורה ארוכה של פערים וכשלים, להם השלכות קשות על תקופת המבחן ועל המסקנות שניתן להסיק מתוצאות הניסוי הביומטרי. דו"ח הביקורת המיוחד מחזק את ממצאי דו"ח המומחים )כפי שפורסם לראשונה ביום15/06/2015(, ומוסיף מידע בדבר פערים וכשלים נוספים, שלא היו ידועים קודם לכן. בפרק זה יוצגו עיקר הממצאים, ויוסבר כיצד ממצאי המבקר וממצאי דו"ח המומחים .משתלבים יחדיו 2.1מהימנות תקופת המבחן דו"ח המומחים מתייחס למהימנות הבדיקות שנערכו במהלך תקופת המבחן, ומציג כשלים המצביעים על .פערי מידע ממשיים, שלא מאפשרים לקבל החלטה מושכלת בדבר עתיד המאגר הביומטרי בדומה, מבקר המדינה מדגיש את חשיבות עריכת תקופת המבחן באופן שיבטיח את מהימנותה, כך שניתן .יהיה לבסס עליה מסקנות מבוססות בנוגע לעתיד המאגר הביומטרי הפרויקט הלאומי למעבר לתעודות חכמות הוא בעל חשיבות ראשונה במעלה: מטרתו למנוע בעיות שמקורן בזיוף תעודות ובהנפקת תעודות כפולות לאותו אדם לצורך "גנבת זהות". אין עוררין על הצורך במעבר לתעודות חכמות. אשר לנחיצות קיומו של מאגר ביומטרי, התעוררה .מחלוקת ציבורית שנבעה מטענות בדבר פגיעה בפרטיות והחשש מפני דליפת המידע שבמאגר מטעם זה נקבעה בחוק תקופת מבחן, שתכליתה העיקרית לבחון אם המאגר נחוץ וכן לבחון .חלופות לקיומו לנוכח מטרותיה של תקופת המבחן, יש לקיימה באופן שיבטיח את מהימנותה, כך שניתן יהיה לבסס עליה מסקנות בנוגע לעתיד המאגר הביומטרי במדינת .ישראל […] בספטמבר2014 הצביע משרד מבקר המדינה בפני הרשויות וגורמי הפיקוח על פערים שונים בהתנהלות תקופת המבחן. משרד מבקר המדינה ציין כי להיעדר מענה מספק לממצאים האמורים בפרק הזמן שנותר עד לתום תקופת המבחן, עלולות להיות השלכות .על המסקנות שניתן יהיה להסיק בסיומה עוד ציין משרד מבקר המדינה כי נוכח העובדה שמדובר בתקופת מבחן ייחודית בנושא בעל משמעות ציבורית, אשר החוק קבע לוחות זמנים קשיחים ליישומה, יש חשיבות במתן מענה מיידי לממצאים האמורים, הן על ידי רשות האוכלוסין והרשות לניהול המאגר הביומטרי, והן על ידי גורמי הפיקוח – הממונה על היישומים הביומטריים והוועדה המייעצת. כמפורט בדוח, במהלך החודשים ספטמבר2014 – ינואר2015 דיווחו הגורמים המעורבים בתקופת המבחן אודות פעולות שעשו או שבכוונתם לקיים לצמצום .חלק מפערים אלו משרד מבקר המדינה סבור כי ראוי שהממונה על היישומים הביומטריים והוועדה המייעצת – יעקבו אחר השלמת פערים אלו, ובראשם פערים בנוגע לבחינת החלופות למאגר והמידע שיש לשמור בו, תוך עמידה על מכלול המשמעויות הנובעות מהם, לרבות בנוגע ללוחות .הזמנים שנקבעו ליישום תקופת המבחן, ככל שייווכחו שקיים קושי בהשלמת פערים אלו עליהם ליידע בכך את שר הפנים ואת הגורמים אשר רשות האוכלוסין והרשות לניהול המאגר שנתיים. זאת, על מנת שתעמוד בפני גורמים אלה-הביומטרי מגישות להם את דיווחיהן החצי .תמונה מלאה בנוגע להתנהלות תקופת המבחן ולעמידתה בדרישות שנקבעו בדין ')דו"ח ביקורת מיוחד, עמ55-56 .( 2.2בדיקת הנחיצות של המאגר הביומטרי דו"ח המומחים קבע כי הרשות הביומטרית לא בדקה, ובוודאי לא הוכיחה, את נחיצותו של המאגר ,הביומטרי וכי הרשויות לא הביאו נתונים עובדתיים ברורים בדבר היקף הבעיה שהמאגר מכוון, לכאורה לפתור )פרק4 .( – 13 – מבקר המדינה קובע כי משרד הפנים והרשות הביומטרית נדרשו להציג נתוני אמת בדבר הצורך בקיומו של המאגר. הוא מדגיש כי לא די בהצגה של קלות הזיוף של התעודה, אלא האם תעודה טובה יותר תמנע :את הזיופים ושאר נתונים הקשורים לנושא הצורך המרכזי שלשמו הוקם המאגר הוא מניעת הרכשות כפולות. על כן, ראוי שההחלטה בדבר קיומו של המאגר תהא מושתתת בין היתר על מידע ונתונים אודות תופעת ההרכשות הכפולות והנזק הנגרם בגינן. אף שהרשות לניהול המאגר הביומטרי נוקטת צעדים לאיסוף מידע ונתונים אודות תופעות אלו, ומסמכים בעניין זה הוכנו או נמצאים בשלבי הכנה מתקדמים, נכון לינואר 2015 טרם גובשה תשתית זו באופן שיאפשר למקבלי ההחלטות לקבל החלטה בהתבסס עליה .בסוף תקופת המבחן ')דו"ח ביקורת מיוחד, עמ7 .( בדו"ח המומחים מוצגים נתוני האמת, כפי שפורסמו בדו"חות התקופתיים. נתונים אלו לא הוצגו בפני מבקר המדינה, למרות שהיו ידועים לרשויות נכון למועד הביקורת. כמוסבר בפרקים4.1.4 - ו4.1.5 , הנתונים לא מופיעים בדו"ח המסכם של הרשות הביומטרית, והוסרו מהדו"ח המסכם של רשות .האוכלוסין וההגירה הנתונים מראים כי בשנת2014 התגלו71 מקרי זיוף והתחזות, מתוכם70 היו .נמנעים ע"י תעודות חכמות או ביומטריות, אחד באמצעות תשאול מוגבר, ואפס באמצעות מאגר ביומטרי :רשות האוכלוסין וההגירה טענה, בתגובה למבקר, שלא מוטלת עליה חובה חוקית לאסוף את הנתונים רשות האוכלוסין כתבה ]…[ כי לא הוטלה על משרד הפנים החובה בחוק, בתקנות או בצו .להביא בפני מקבלי החלטות נתונים אודות היקף תופעת גנבת הזהות וההתחזות בניגוד לדבריה, סעיף10 " ג לצו המבחן קובע כי פרוטוקול המבחן יפרט את האמור בצו זה, ולפי הצו והפרוטוקול תתנהל תקופת המבחן ". פרק14.7 לפרוטוקול המבחן מצווה על רשות האוכלוסין וההגירה לאסוף נתונים אלו. ר' פרק4.1.3 . 2.3שימוש במערכת השוואה ביומטרית זמנית בתקופת המבחן מבקר המדינה מחזק את ממצאי דו"ח המומחים, לפיהם הרשות הביומטרית הייתה צריכה לבסס את תקופת המבחן על מערכת מקצועית, שאין כל ספק בדבר ביצועיה, ולא על מערכת זמנית פרי פיתוח :מקומי בחוק נקבע שאחת מהמטרות המרכזיות של תקופת המבחן היא לבחון את נחיצות המאגר .הביומטרי. בכלל זה, יש לוודא שהמאגר עונה לצורך שלשמו הוקם – איתור הרכשות כפולות […] .בפרוטוקול צוין כי החלטה זו תתבסס בין היתר על ביצועי המאגר ועל יעילותו התפעולית ביצועי המאגר מתבססים על ביצועי מערכת השוואה ביומטרית, שהיא מערכת הליבה לניהול המאגר. ביצועים אלה מושפעים בין היתר מאיכות הנתונים הביומטריים שבמאגר ומאיכות .הנתונים המוזנים אליה לצורך השוואתם לנתונים שכבר נכללים במאגר מאחר שכאמור, ביצועי המאגר עתידים להשפיע על ההחלטות שיתקבלו בסיום תקופת המבחן בנוגע לעתיד המאגר הביומטרי ולהיקף המידע שיש לשמור בו, יש להבטיח שייעשה שימוש .במערכות שאין ספק בנוגע לביצועיהן, כך שניתן יהיה לבסס עליהם את מסקנות תקופת המבחן ')דו"ח ביקורת מיוחד, עמ18-19 .( דו"ח הביקורת מוסיף פרטים חדשים על הספקות שהתעוררו אצל הוועדה המייעצת/מפקחת בדבר תקפות תוצאות המבחן תוך שימוש במערכת הזמנית. ר' פרק8.4 . 2.4החלפת סורקי טביעות האצבע והשפעתם על נתוני הדיוק 2.4.1דיווח לרשויות-אי מבקר המדינה קובע, במלים מפורשות, כי הרשויות הטעו את הגורמים הממונים לגבי אמינות הסורקים, :ולא דיווחו כנדרש על הבעיה לשר הפנים ]…[ מניסויים שנערכו מאמצע שנת2012 ואילך עלה כי ישנן בעיות בחלק מטביעות האצבע .שהורכשו לצורך ביצוע השוואות במאגר, וכי יש להחליף בדחיפות את הסורק שנפרס בלשכות .כפי שיפורט להלן, אף על פי כן, תקופת המבחן החלה תוך שימוש בסורק זה – 14 – משרד מבקר המדינה העיר בספטמבר2014 כי לא נמצא שדווח לשר הפנים דאז אודות .הבעיה שנתגלתה באיכות טביעות האצבע בטרם החלה תקופת המבחן משרד מבקר המדינה הוסיף כי נוכח משמעות תקופת המבחן והשלכותיה, מתחדד הצורך ,בהתנהלות בשקיפות מלאה למול מקבלי ההחלטות, וכי לדעת משרד מבקר המדינה היה על רשות האוכלוסין ,, האחראית על מערך ההרכשה, ובכלל זה על סורק טביעות האצבע לדווח לשר הפנים דאז על הבעיה האמורה ועל כך שנערכים ניסויים שמטרתם לבחון את השימוש .בסורק שנפרס בלשכות למול סורקים חלופיים משרד מבקר המדינה העיר לרשות האוכלוסין בינואר2015 כי לא נמצא תיעוד לכך שרשות האוכלוסין דיווחה לשר הפנים דאז אודות הבעיה שנתגלתה באיכות טביעות האצבע טרם החלה תקופת המבחן , ועל הנחיות שניתנו לרשות בעקבות דיווח זה. יצוין כי משרד מבקר המדינה פנה בנושא זה גם לשר הפנים שכיהן בעת תחילת תקופת המבחן. בדצמבר2014 מסר .שר הפנים דאז, כי לא זכור לו שנמסר לו דיווח בנושא ')דו"ח ביקורת מיוחד, עמ26-27 .( 2.4.2השפעה על דיוק המערכת ועל תוצאות המבחן :דו"ח הביקורת מציין כי להחלפת סורקי טביעות האצבע השפעה משמעותית על דיוק המערכת הרשות ]לניהול המאגר הביומטרי[ ציינה כי אכן ניכרה השפעת הסורקים הישנים על בחינת החלופות הביומטריות. הרשות הוסיפה כי היא עורכת בחינה יסודית של השפעת החלפת הסורקים מתחילת מועד פריסתם של הסורקים החדשים. בינואר2015 דיווחה הרשות לניהול -המאגר הביומטרי כי ממועד השלמת פריסת הסורק החדש התקבלו למעלה מ50,000 בקשות -לתעודות חכמות, מתוכן למעלה מ3,000 בקשות חידוש. לדברי הרשות, כמות זו מספיקה לעריכת בדיקות מלאות, לרבות בנוגע לחלופות הביומטריות. עוד היא מסרה כי בדוח החצי שנתי השלישי של הרשויות, שעתיד להתפרסם בפברואר2015, תוצג בדיקת החלופות המבוססת .על הסורק החדש ')דו"ח ביקורת מיוחד, עמ30 .( נכון לסוף שנת2014 -, המאגר הביומטרי כלל נתונים של כ550,000 איש, מתוכם50,000 נדגמו בעזרת .הסורקים החדשים ,כלומר90% מהרשומות הביומטריות שנאספו לאורך תקופת המבחן לא מתאימות .לצורך עריכת מבדקי הדיוק אם כך, הנתונים שהוצגו בשני הדו"חות התקופתיים הראשונים אינם מבוססים על נתונים אמינים. ממצא זה מחזק את ממצאי פרק9 בדבר היעדר נתוני דיוק )עקומותROC וגרפיDET( של המערכת הזמנית, ונותן הסבר חלקי מדוע המערכת הזמנית נבדקה על מאגר זעיר ולא משמעותי של16,200 . רשומות בלבד כל עוד לא יוסר החיסיון מעל נתוני הדיוק, לא יהיה ניתן לבחון את טענות הרשות הביומטרית בדבר .תקפות נתוני הדיוק של המערכת הזמנית 2.5פערים בבחינת החלופות למאגר והיקף המידע שיש לשמור בו ממצאי דו"ח הביקורת המיוחד מדגישים את חוסר הנכונות של הרשות הביומטרית לבחון את החלופות למאגר הביומטרי. דו"ח המומחים התייחס גם הוא לחוסר הנכונות של הרשות הביומטרית לבחון חלופות מקובלות בעולם )פרק10 .( .אחת הפעולות העיקריות האמורות להתבצע בתקופת המבחן היא בחינה של נחיצות המאגר לשם כך נקבע, בין היתר, כי ייבחנו כמה חלופות למאגר הביומטרי ולהיקף המידע שיש לשמור :בו 1. :חלופת התשאול .א מטרת התשאול לאמת את זהות מבקשי התעודות החכמות על מנת למנוע הנפקת תעודה חכמה למתחזים. נמצא כי למעלה משנה לאחר שהחלה תקופת המבחן, בספטמבר2014 , התשאול לא הבטיח זאת בצורה מספקת – התשאול התבסס על רשימת שאלות מצומצמת. נוסף על כך, נמצא שעד יוני2014, מי שלא צלח את התשאול הראשון והשני .נשאל סדרות שאלות נוספות עד להצלחתו – 15 – .ב לתשאול תכלית נוספת בתקופת המבחן – בחינתו כחלופה למאגר. בספטמבר2014 , למעלה משנה לאחר שהחלה תקופת המבחן, נמצא כי רשות האוכלוסין טרם גיבשה סופית את אופן בחינת חלופת התשאול, בשל קשיים משפטיים וטכנולוגיים. רק כחצי שנה לפני תום תקופת המבחן הוחלט על שיטה לבדיקת החלופה. נכון לינואר2015, טרם יושמה השיטה ונותרו פעולות שיש לנקוט טרם מימושה. זאת ועוד, נוכח הממצאים אודות תהליך התשאול במתכונתו הנוכחית, מתעורר ספק אם ניתן להסתמך עליו לצורך .בחינתו כחלופה ממשית למאגר 2.חלופות ביומטריות: נמצא כאמור כי היות שישנו שיפור ניכר בביצועי הסורק החדש אל מול הסורק שהוחלט להחליפו, ספק אם ניתן לעשות שימוש בבחינת החלופות הביומטריות כפי .שבוצעה עד להחלפת הסורק על מנת לקבל החלטה בדבר היקף המידע שיש לשמור במאגר על כן, הרשות לניהול המאגר הביומטרי דיווחה כי היא נערכת לביצוע בחינה מחודשת של .החלופות הביומטריות על בסיס טביעות אצבע שהורכשו בסורק החדש 3. חלופת שיטת ההקבצים: נמצא כי בספטמבר2014, יותר משנה לאחר שהחליט הממונה על היישומים הביומטריים כי שיטת ההקבצים תיבחן במהלך תקופת המבחן, לא נעשתה בחינה כזאת. נוכח ההסתייגויות שהעלתה הרשות לניהול המאגר הביומטרי בנוגע לאפשרות לבחון את שיטת ההקבצים על גבי המערכת הזמנית, ובהתחשב בכך שהטמעת המערכת הקבועה מתוכננת להתחיל רק בסמוך לסיום תקופת המבחן – מרץ2015 , העלה בספטמבר2014 משרד מבקר המדינה ספק אם בחינת חלופה זו תתאפשר לפני תום תקופת המבחן. רק בדצמבר2014 הציגה הרשות לניהול המאגר הביומטרי לממונה על היישומים הביומטריים לוח זמנים ולפיו בכוונתה לבדוק את שיטת ההקבצים על גבי המערכת הזמנית במהלך .החודשים הספורים שנותרו עד תום תקופת המבחן ')דו"ח ביקורת מיוחד, עמ9 .( 2.6אופן מתן ציונים לחלופות השונות מבקר המדינה מחזק את טענות דו"ח המומחים כי אופן מתן הציונים לחלופות השונות )פרק11( נעשה :באופן כללי ולא ברור בספטמבר2014 העיר משרד מבקר המדינה כי חלק מהנושאים שעל בסיסם יוערכו החלופות הם כלליים, ויש לצקת לתוכם פרמטרים מדידים, וכי לדעת משרד מבקר המדינה, מן הראוי היה לעשות זאת בסמוך לקביעת המשקל של הנושאים הנבדקים על ידי הוועדה המייעצת. משרד מבקר המדינה הוסיף וציין כי על רשות האוכלוסין והרשות לניהול המאגר הביומטרי להשלים ללא דיחוי את גיבוש הפרמטרים שעל בסיסם יינתנו הציונים עם תום תקופת המבחן, על מנת הוודאות בנושא זה. עוד העיר משרד מבקר המדינה כי נוכח מרכזיות בחינת-להסיר את אי החלופות בתקופת המבחן וחשיבות השקיפות למול הוועדה המייעצת, בהיותה גורם המפקח על תקופת המבחן, ראוי כי שתי הרשויות יציגו בפני הוועדה המייעצת את אופן חישוב הציונים עם .גיבושו ')דו"ח ביקורת מיוחד, עמ48 .( מבקר המדינה ציין כי הועדה המייעצת/מפקחת עמדה על הצורך לקבוע את אופן מתן הציונים מראש, כדי :למנוע חשש מביצוע מניפולציות על התוצאות בתשובתה מנובמבר2014 מסרה הוועדה המייעצת כי הנושא נדון בדיון שקיימה באוקטובר 2014. במהלך הדיון, עמד הממונה על היישומים הביומטריים על כך שהמטרה בגיבוש אופן " חישוב הציונים עוד בטרם תסתיים תקופת המבחן הייתה למנוע חשש או טענה להתאמת הפרמטרים לקביעת הציונים לפי ממצאי הניסויים שיבוצעו לבחינת החלופות, כדי לכוון לתוצאה מסוימת ." ')דו"ח ביקורת מיוחד, עמ48 .( .החשש שהרשות הביומטרית תתאים את הציונים לחלופה העדיפה עליה, לא היה חשש שווא הוועדה המייעצת/מפקחת הסבירה שהרשות הביומטרית אכן עיוותה את הציונים כדי לכוון לפסול את החלופה :של מאגר ביומטרי של תמונות פנים בלבד :תוצאות האמת שהושגו בבדיקת חלופת זיהוי הפנים במהלך תקופת המבחן, היו מצוינות -כ99% הצלחה במניעת הרכשות כפולות לעומת מדד ההצלחה שהוגדר בצו של95% ,. ואולם – 16 – הרשות לניהול המאגר סברה שתוצאה מצוינת זו אינה משקפת את רמת הדיוק שתהיה .בפועל בטווח של שנים קדימה ]…[ לפיכך החליטה הרשות לניהול המאגר שלא להסתמך על בדיקותיה היא , אלא על הנתון "הצהרת היצרן", לצורך שקילת החלופה של זיהוי פנים ומתן הציונים בהתאם. הרשות דיווחה על נתון זה כעומד על90%, ביחס ליצרן מנוע ההשוואה .הנוכחי שבו נעשה שימוש כיום )דו"ח הוועדה המייעצת/מפקחת, פרק4.4.3.1 ', עמ77 .( .בדו"ח המסכם של הרשות הביומטרית אין גילוי נאות בדבר "תיקון" הציון עבור חלופת הפנים לעניין זה, ר' פרק3.5 . 2.7היבטי אבטחת מידע בפרק7 של דו"ח המומחים מוסבר כי במהלך סקרי הסיכונים ובדיקות החדירות התגלו פערים שונים במערכות הרשות הביומטרית. הרשות הביומטרית טענה כי היא עמדה בהצלחה מלאה בכל סקרי .הסיכונים ומבדקי החדירות, וכי אין בטענות דו"ח המומחים דבר ,דו"ח הביקורת המיוחד כולל פרק קצר בשם "היבטי אבטחת מידע". הפרק לא כולל את ממצאי הביקורת שכן על הממצאים הוטל חיסיון. העובדה הרלוונטית אינה פירוט הממצאים, אלא העובדה כי עלו ממצאים הקשורים להיבטים של אבטחת מידע. כלומר, הרשות הביומטרית לא דייקה בטענה כי לא התגלו כל פערי .אבטחה " ראש הרשות הביומטרית טען בתחילה כי אין כל התייחסות לסוגיות אבטחת מידע:" בדו"ח המבקר :גון קמני מבקר המדינה לא נדרש לסוגיית אבטחת המידע במאגר ולא נגע בה, וגם לא נגע .בסוגיית נחיצות המאגר )פרוטוקול הוועדה המשותפת מיום24/06/2015 .( :אך הרשות הביומטרית הודתה בהמשך כי טענה זאת אינה מדויקת ,נושא אבטחת המידע אכן מופיע בדו"ח המבקר, אולם לא כליקוי הדורש תיקון אלא כהמלצה .הנובעת מכך שהמבקר רואה במידע ביומטרי מידע רגיש ופרטי, אליו יש להתייחס בהתאם )מסמך התייחסות, פרק2.2.6 .( דו"ח מבקר המדינה לא מפרט את הכשלים, אך נרמז באופן ברור כי לא כל מערכי הטכנולוגיה, התפעול והמערך הביומטרי עומדים בתקנים וברמת האבטחה של רא"ם. לכן, משרד מבקר המדינה ממליץ לשר :מנת לקבל את עמדתה בנושא אבטחת המידע ברשות הביומטרית-הפנים לפנות לרא"ם על לדעת משרד מבקר המדינה, נוכח ההשלכות העלולות להיות לדליפת מידע בעת הנפקת תעודות חכמות ושמירת המידע במאגר, בטרם תתקבל החלטה בסיום תקופת המבחן, על שתי הרשויות לשוב ולוודא כי כל מערכי הטכנולוגיה, התפעול והמערך הביומטרי ליישום החוק עומדים בתקנים וברמת האבטחה של הרשות הממלכתית לאבטחת מידע במשרד ראש הממשלה ושל ,נוהלי רשות האוכלוסין והרשות לניהול המאגר הביומטרי. זאת ועוד משרד מבקר המדינה ,סבור כי טרם קבלת החלטה באשר לעתידו של המאגר הביומטרי בסיום תקופת המבחן ראוי ששר הפנים ישוב ויפנה לרשות הממלכתית לאבטחת מידע במשרד ראש הממשלה על .מנת לקבל את עמדתה בנושא אבטחת המידע בפרויקט על כל היבטיו ')דו"ח ביקורת מיוחד, עמ53 .( אם לא היו בעיות בנושא אבטחת המידע בפרויקט על כל היבטיו, מבקר המדינה לא היה נדרש להכליל :המלצה זאת. תשובת הרשות הביומטרית למבקר מלמדת כי דו"ח הביקורת העלה פערים הדורשים טיפול בתשובתה מנובמבר2014 מסרה הרשות לניהול המאגר הביומטרי כי היא משקיעה מאמצים רבים ותמשיך להשקיע מאמצים אלו לכל אורך תקופת המבחן ולאחריה על מנת לוודא ,שהמערכות עומדות בתקני אבטחת המידע. לצורך כך, ייבחנו וישולבו טכנולוגיות מתאימות יבוצעו סקרי סיכונים ומבדקי חדירות תקופתיים, ויתוקפו ויעודכנו תהליכים ונוהלי עבודה בהיבטי אבטחת מידע. לאור חשיבות הנושא, האבטחה הפיזית ואבטחת המידע מקבלות ויקבלו .תשומת לב ומשאבים מלאים כנדרש ')דו"ח ביקורת מיוחד, עמ53 .( – 17 – 3.דו"ח הוועדה המייעצת/מפקחת לתקופת המבחן הוועדה המייעצת/מפקחת הגישה ביום28/05/2015 לשר הפנים "דו"ח מסכם והמלצות לקראת תום תקופת המבחן". הוועדה הציגה סיכום מסודר של עבודתה במהלך תקופת המבחן, וכן את פעולות הפיקוח והביקורת שערכה. הדו"ח מציג ניתוח הן של היתרונות והן של החסרונות של מאגר ביומטרי. מבחינה זאת, הדו"ח מציג תמונה הרבה יותר מאוזנת ורחבה בהשוואה לדו"חות המגמתיים והחלקיים של הרשות .הביומטרית בפרק זה נתייחס אל מסקנות הוועדה, לפיהן, בעיית ההרכשות הכפולות היא בעיה הדורשת מענה , ומאגר ביומטרי הכולל תמונות פנים בלבד נותן פתרון לבעיה זאת. אין ספק בלבנו שהוועדה עשתה עבודה מקצועית, אך עם זאת אנו סבורים כי לנוכח ההיקף החזוי של הבעיה, מאגר ביומטרי, אף כזה של תמונות פנים באיכות גבוהה בלבד, הוא פתרון לא מידתי. לבעיה צו המבחן ביקש להפריד בין הגוף הביצועי והגוף המקצועי. הגוף הביצועי עורך את הבדיקה לפי הנחיות הגוף המקצועי. תפקיד הגוף המקצועי להנחות את הגוף הביצועי כיצד לערוך את הניסוי, ולנתח את הנתונים שהגוף הביצועי מפיק. כמוסבר בפרק3.4 ,הרשות הביומטרית מסרבת לקבל את מסקנות הוועדה המייעצת/מפקחת ואת דעתו של הממונה על היישומים הביומטריים. היא מבקשת , למעשה, לפסול את .שיקול הדעת של הגוף המקצועי /כאמור, הרשות הביומטרית ממליצה להקים מאגר ביומטרי מלא. דו"ח הוועדה המייעצת מפקחת מראה כי הרשות הביומטרית 'תיקנה' את הציון של חלופת הפנים, ובכך עיוותה את תוצאות המבחן. הרשות לא סיפקה הסבר בדבר התיקון והשפעתו על ציוני חלופת הפנים. על כך, בפרק3.5 . 3.1מסקנות הוועדה בדבר נחיצות המאגר הביומטרי :הוועדה מציינת שלוש מסקנות עיקריות, עליהן נרחיב להלן .א כיום לא קיימת בעיית ההרכשות הכפולות, אך ,, לטעמה הרשויות הציגו ראיות מספקות כדי לקבוע כי הבעיה.צפויה להתקיים בעתיד .ב מאגר ביומטרי הוא כלי טכנולוגי המסוגל לתת מענה ל.בעיית ההרכשות הכפולות .ג.די במאגר ביומטרי של תמונות פנים )ללא טביעות אצבע( כדי למלא אחר דרישות החוק לפיכך, המליצה הוועדה לשר הפנים לבחור בחלופה של מאגר ביומטרי של תמונות פנים בלבד, המאזן לדעתה את יתרונות המאגר ככלי למניעת הרכשות כפולות אל מול הפגיעה הנגזרת ממאגר מידע ביומטרי :מרכזי הוועדה המייעצת ממליצה כי המידע שיישמר במאגר הביומטרי יהיה תמונות פנים בלבד ;מסמכי הזיהוי ימשיכו לכלול תמונת פנים ושתי טביעות אצבע מורות לכל תושב/ת מאגר המידע הביומטרי הכולל תמונות פנים בלבד הוא פתרון מספק אשר מחד נותן מענה איכותי למניעת תרחיש ה"הרכשות הכפולות", ומאידך מפחית סיכונים ממשיים ממדינת ישראל ;ותושביה פתרון זה הוא ישים וממומש היום על ידי מספר מדינות לצ]ו[רך ניהול מאגרים בקנה מידה .לאומי, והוא מתאים לגודל האוכלוסייה בישראל ;לחסרונות הקיימים לחלופה זו קיימים פתרונות בהישג יד זהו פתרון מאוזן, סביר ומידתי, המשרת את המטרה הראשונה והעיקרית של החוק – הנפקת ;תיעוד חכם ואמין עבור תושבי ישראל )דו"ח הוועדה המייעצת/מפקחת, פרק4.4 ', סיכום, עמ88 .( המלצת הוועדה ניתנה פה אחד , והיא מייצגת את עמדת כל חברי הוועדה, כולל ראש הלוט"ר. המלצות .הוועדה התקבלו בניגוד לעמדת הרשות הביומטרית, לאחר שחבריה דנו ושקלו בכובד ראש את עמדתה – 18 – 3.2תופעת ההרכשות הכפולות כבעיה המצריכה מענה " הוועדה המייעצת/מפקחת סוברת כי הוכחה נחיצותו של המאגר הביומטרי ". את מסקנתה היא מבססת על הקביעה כי בעיית הרכשות כפולות היא בעיה פוטנציאלית, וכי מאגר ביומטרי הוא הכלי העדיף :להתמודדות עם הבעיה לגבי שאלת נחיצות קיומו של מאגר המידע הביומטרי הלאומי, סבורה הוועדה כי יש נימוקים :המבססים נחיצות זו. להלן תמצית נימוקי הוועדה המייעצת בנושא "הרכשות כפולות" – בעיה המצריכה מענה : אף שאין נתונים כמותיים המלמדים על קיומה של תופעת "הרכשות כפולות" כיום, עמדת הוועדה היא כי יש ממש בטענת הרשויות לפיה תופעת "ההרכשות הכפולות" צפויה להתפתח בעתיד, עם המעבר לתיעוד חכם, כאשר יהיה קשה מאד לזייף את התיעוד עצמו. הונחה תשתית בדבר התרחשותה הצפויה של תופעת ההרכשות […] .הכפולות, גם אם לא במלוא ההיקף הנחזה על ידי הרשויות מתן מענה באמצעות מאגר המידע הביומטרי : הוועדה מצאה כי המאגר הביומטרי הוא כלי טכנולוגי נדרש למניעת ההרכשות הכפולות ולאיתורן. חלופת התשאול, אשר הועמדה כאלטרנטיבה לשימוש במאגר המידע הביומטרי, לא תוכל להיות אפקטיבית כאשר היא עומדת .ככלי יחידי והיא אינה יכולה להוות תחליף ')דו"ח הוועדה המייעצת/מפקחת, תקציר מנהלים, עמ15 .( " הוועדה מציינת כי אין נתונים כמותיים המלמדים על קיומה של תופעת 'הרכשות כפולות' כיום:" לאור המידע אשר הובא על ידי הרשויות ביחס לתופעת "ההרכשות הכפולות", הבעיה עמה ,אמור המאגר הביומטרי להתמודד סבורה הוועדה המייעצת כי לא הונחה תשתית מספקת ,באשר לקיומה של תופעה כזו כיום. בישראל לא ניתן להסיק באופן ברור כי קיימת תופעה של "הרכשות כפולות" מהמקרים הספורים .שהובאו לצורך הדגמת תרחישי הונאה במסמכי הרשויות כמו כן, אף שניתוח נתוני רשות האוכלוסין והמשטרה בדבר קיום מתאם חיובי בין דיווח על אובדן או גניבת תיעוד, ובין מעורבות פלילית מהווה אינדיקציה מסוימת, היא נסיבתית בלבד, ולא ניתן לגזור ממנה לגבי תופעה רחבת היקף. יתרה מכך, גם הנחת המוצא של הרשויות בדוחו"ת המסכמים היא, כי אין כיום תמריץ מספק לעבריינים לפנות לקבלת תיעוד בדוי "אמיתי" באמצעות הונאת הפקיד בלשכת האוכלוסין, ולבוא במגע עם רשויות המדינה לשם כך, שכן ניתן לזייף בקלות את התיעוד הישראלי ובכך להשיג את המטרה בדרך פשוטה יותר. קיומה של תופעה רחבה של "הרכשות .כפולות" בישראל כיום, אינה מתיישבת עם הנחת מוצא זו )דו"ח הוועדה המייעצת/מפקחת, פרק4.3.1 ', עמ56 .( :עם זאת, הוועדה סוברת כי המדובר בבעיה הצפויה להתפתח בעתיד הוועדה המייעצת סבורה כי יש ממש בטענה לפיה תופעת "ההרכשות הכפולות" צפויה להתפתח בעתיד, עם המעבר לתיעוד הלאומי החכם, וכי מדובר בהערכה מבוססת. לפיכך הונחה תשתית מספקת בדבר התרחשותה הצפויה של בעיה, גם אם לא במלוא ההיקף הנחזה על .ידי הרשויות, אשר המאגר הביומטרי אמור לתת לה מענה ')שם, עמ57 .( 3.3ההיקף החזוי של הבעיה עצם הקביעה כי תופעה ההרכשות הכפולות עשויה להתקיים בעתיד אינה במחלוקת. זאת כלל אינה השאלה. השאלה הנכונה היא מה צפוי להיות היקף התופעה. אם יוכח כי המדובר בתופעה שהיקפה משמעותי, ייתכן ואפשר להצדיק את מחיר הפגיעה באזרחים. אולם, אם ההיקף החזוי הוא מספר מועט .של ניסיונות התחזות בשנה, אין זה ראוי לפגוע בכלל אזרחי המדינה לרשויות ניתנו ארבע שנים כדי לספק נתונים בדבר ההיקף החזוי של התופעה. נתוני האמת מראים שהתופעה לא קיימת משמעית- כלל בארץ. כל שהרשויות סיפקו היו הערכות כלליות, שהוועדה קבעה חד שהן הערכות מוגזמות. כמוסבר בפרק4.1.5 , הנתונים שהרשויות אספו )והצניעו( הראו כי ההיקף הכולל -של עבירות זיוף והתחזות בארץ, מכל הסוגים, עומד על פחות מ100 מקרים ידועים. כמוסבר בפרק4.4.2 , בתחשיב הפסימי ביותר, נגיע בקושי לכמה עשרות מקרים חזויים של הרכשה כפולה בשנה. – 19 – מכאן עולה שאלת המידתיות: האם לשם פתרון מלא של בעיה פוטנציאלית של עשרה מקרים בשנה, אפילו מאה מקרים בשנה, ראוי לפגוע בפרטיותם ובביטחונם של מליוני אזרחי ישראל, תוך סיכון תמידי לביטחון ?המדינה אנו סוברים כי אין להכשיר פגיעה ודאית סמך חשש מ- בפרטיות האזרחים על בעיה עתידית בהיקף זניח ., בעיה שכלל לא קיימת בפועל אפילו, אם בתרחיש קיצון, יתגלה בעתיד כי בניגוד לכל .התחזיות, היקף הבעיה גדל – ניתן יהיה להוסיף מאגר ביומטרי במועד זה לעניין זה, ר' פרק4.6 . 3.4התייחסות הרשות הביומטרית להמלצות הוועדה 3.4.1עמדת הרשות הביומטרית משמעית בדבר הצורך בחלופת המאגר-הרשות הביומטרית טוענת כי בחינת החלופות מביאה למסקנה חד :הביומטרי המלא )תמונות פנים ושתי טביעות אצבע( לכלל התושבים במדינה בחינת החלופות ]…[ הובילה את מומחי המרכז למחקרים צבאיים ברפא"ל ואת מומחי הביומטריה אשר בחנו את הנושא למסקנה חד משמעית בדבר העובדה ששימוש במגוון רחב של נתונים ביומטריים במסגרת תהליכי השוואת הנתונים, יאפשר איתור מתחזים ומניעת גניבת זהות בצורה מדויקת ויעילה, בד בבד עם כמות מינימלית של התראות שווא. האמצעי הטכנולוגי ,אשר מאפשר את יישום המסקנות העולות מן ההסבר התמציתי שלעיל הנו בסיס נתונים מרכזי .המאגר הביומטרי, אשר מכיל נתוני טביעות אצבע ותמונת פנים של מבקשי התיעוד )דו"ח מסכם מעודכן, פרק12 .( תוצאות מבחני הנחיצות והחלופות, מובילים בצורה חד משמעית למסקנה בדבר הצורך ביישום מאגר ביומטרי הכולל תמונות פנים וטביעות אצבע, אשר יאפשר מניעת התחזות וגניבת זהות ויספק לתיעוד החכם את רמת המהימנות הנדרשת. האפשרות המומלצת במסגרת תום תקופת המבחן הנה החלה של החוק על כלל התושבים במהלך הדרגתי של מספר שנים כפי שיקבע שר .הפנים בצו.()שם 3.4.2תגובת הרשות הביומטרית להמלצות הוועדה הרשות הביומטרית דוחה לחלוטין את המלצת הוועדה לעשות שימוש רק בתמונות פנים ולוותר על שימוש בטביעות אצבע. הרשות פרסמה באוגוסט2015 "מסמך התייחסות הרשות הביומטרית לדוח הועדה :המייעצת", בו היא תוקפת את הנימוקים שהביאו את הוועדה להחליט כי די בתמונות פנים הועדה המייעצת אשר מונתה על ידי שר הפנים לפקח על התנהלות תקופת המבחן הגישה דוח מסכם בו קובעת הועדה כי הוכחה נחיצותו של המאגר הביומטרי. עם זאת, ממליצה הועדה ליישם מאגר שיכיל תמונות פנים בלבד. הועדה גורסת כי פתרון הכולל תמונות פנים בלבד מהווה מענה מספק לדרישות החוק ולמטרותיו. לאור המלצת הועדה הרחיבה הרשות .הביומטרית את בחינת החלופה שבה המאגר כולל תמונת פנים בלבד תוצאות הבחינה המורחבת שהתקיימה לבחינת חלופת השימוש בתמונת פנים בלבד, מבהירות בצורה חד משמעית כי שימוש במאגר המבוסס על תמונת פנים בלבד אינו נותן מענה מתאים ולאורך זמן לדרישות החוק ולמטרותיו בהיבטי יכולת מניעת התחזות והרכשה כפולה ואף לא יאפשר מתן שירות ברמה הולמת לאזרחי המדינה בשל ריבוי התראות שווא שיגרמו להחזרת .מבקשי תעוד רבים לתהליך חוזר בלשכות היתרון המשמעותי היחיד של חלופת השימוש בתמונת פנים בלבד הוא צמצום חששות הציבור מהמאגר. חשש זה ניתן לצמצם מבלי לעקר מתוכן את החוק ותורת ההפעלה שבבסיסו, על ידי יישום מאגר הכולל טביעות אצבע תוך הגבלת הרשאת הגישה החוקית לגורמי אכיפת החוק .לקבלת מידע המבוסס על נתוני המאגר )דו"ח מסכם מעודכן, פרק1.5 .( 3.4.3שיקולי הוועדה המייעצת/מפקחת הוועדה המייעצת/מפקחת בחנה את הסתייגויות הרשות הביומטרית ורשות האוכלוסין וההגירה בטרם פרסמה את המלצותיה. הוועדה פרסמה את עמדתה לאחר שקלול כל ההערות והנימוקים שהתקבלו – 20 – מהרשויות. רק לאחר הדיון בכל הנימוקים, פרסמה הוועדה את עמדתה לפיה אין צורך במאגר ביומטרי :מלא לצורך קיום תכלית החוק תמצית המלצותיה של הוועדה הועברה לרשות האוכלוסין והרשות לניהול המאגר הביומטרי וכן למשטרת ישראל, בטרם נכתב דו"ח זה, ואלה מסרו את התייחסותן. בהערות גופים אלה, ובפרט הערות משטרת ישראל, יש אמירות כבדות משקל הנוגעות לנושאים שיש בהם כדי להשליך על עבודתם. החלטה סופית תהיה חייבת לשקלל גם את ההסתייגויות שהציגו המשטרה והרשויות .ואלו מובאות בדו"ח הוועדה לאחר שהוועדה למדה הסתייגויות אלה היא סוברת שהצעתה מאזנת באופן נכון את מכלול .השיקולים בעת הזו אין בכך כדי להסיק כי המלצת הרשויות על "מאגר ביומטרי מלא" היא מוטעית. אכן, הוספת שתי טביעות אצבע תשפר את ביצועי המערכת, כמו גם הוספתן של עשר טביעות אצבע או ביומטריות נוספות. אולם נוכח הסיכונים והמשמעויות הכרוכות בניהול מאגר כזה, נכון בעיניי הוועדה המייעצת לבחור במענה מספק אשר ייתן תוצאות איכותיות דיין, ולא במענה שייתן את .התוצאה "הטובה ביותר" מבחינה תפעולית עולם הזיהוי ובתוכו עולם היישומים הביומטריים מתפתח ומשתנה במהירות רבה. ערב קבלת החלטה בעלת משמעות הנוגעת לכל אחד מאיתנו כפרטים ולמדינת ישראל, נכון להעדיף ראייה רחבה ועדכנית, הנותנת מענה מספק למטרה הראשונה והמרכזית של החוק, על פני היצמדות לתהליך שהיה נכון במועד בו עוצבה תורת ההפעלה2007-2008 . המשמשת בבסיסו של החוק ')דו"ח הוועדה המייעצת/מפקחת, תקציר מנהלים, עמ19 .( 3.5המניפולציה של הרשות הביומטרית בציון של חלופת הפנים בדו"ח הסיכום של הרשות הביומטרית, חלופת מאגר הפנים קיבלה ציון אפס במדד "יכולת איתור הרכשה :כפולה". הרשות נמקה זאת בקביעה שהחלופה אינה עומדת בדרישות החוק יכולת איתור הרכשה כפולה עבור תבחין זה החלופות הכוללות את מרב הנתונים הביומטריים וכן חלופת התשאול המכוילת .לדרישות הצו נותנות את הביצועים הטובים ביותר בצורה מובהקת ,חלופת התשאול בתצורה הקיימת חלופת פנים בלבד וחלופת טביעת אצבע בודדת אינן .מאפשרות עמידה בדרישות החוק, וציונן הוא אפס )דו"ח מסכם, פרק9.7.1 .( כיצד, אם כן, קובעת הוועדה המייעצת/מפקחת כי חלופת מאגר תמונות פנים עומד בדרישות החוק, לאחר ?שהרשות הביומטרית קבעה שאינו עומד בדרישות דו"ח הוועדה המייעצת/מפקחת מסביר כי הרשות הביומטרית הקטינה באופן מלאכותי את הציון של .חלופת הפנים , לפי הדו"ח נתוני הדיוק של חלופת הפנים עמדו על99%, והרשות הפחיתה את הציון -ל90% ., כך שהחלופה לא תעמוד בדרישות החוק, הרשות קבעה כי הדיוק של חלופת הפנים אינו מספק תוך התעלמות מתוצאות האמת שהתקבלו במהלך תקופת הניסוי, בניגוד לצו המבחן, לפרוטוקול המבחן ,ולמסמכי קביעת הציונים לחלופות. במילים אחרות, הרשות ביצעה מניפולציה מכוונת בציוני החלופות .במטרה להטות את תוצאות הניסוי .הוועדה המייעצת/מפקחת נוקטת לשון עדינה יותר לתיאור המניפולציה בציונים :ממצאי בדיקת רמת הדיוק של חלופת הפנים בתקופת המבחן ,ראשית דבר יודגש: תוצאות האמת שהושגו בבדיקת חלופת זיהוי הפנים במהלך תקופת המבחן -היו מצוינות: כ99% הצלחה במניעת הרכשות כפולות לעומת מדד ההצלחה שהוגדר בצו של 95%. ואולם, הרשות לניהול המאגר סברה שתוצאה מצוינת זו אינה משקפת את רמת הדיוק .שתהיה בפועל בטווח של שנים קדימה ]…[ לפיכך החליטה הרשות לניהול המאגר שלא להסתמך על בדיקותיה היא, אלא על הנתון "הצהרת היצרן", לצורך שקילת החלופה של זיהוי פנים ומתן הציונים בהתאם. הרשות דיווחה על נתון זה כעומד על90% ., ביחס ליצרן מנוע ההשוואה הנוכחי שבו נעשה שימוש כיום – 21 – "החלטה מסוג זה, שלא להסתמך על תוצאות האמת של תקופת המבחן אלא על "נתוני יצרן התקבלה רק לגבי זיהוי פנים )לגבי חלופת הפנים וכל חלופה בה היה משולב זיהוי פנים( והיא ) הביאה להנמכת הציון שניתן לחלופת הפנים. נתון זה השפיע בעיקר על ניקוד נושא נבדק1( )-ו3( לביצועי המערכת, מתוך שורת הנושאים הנבדקים. אולם היה בכך כדי להשפיע גם על .קביעת הניקוד בנושאים נבדקים נוספים, בהן נעשתה הסתמכות על רמת הדיוק של המערכת )דו"ח הוועדה המייעצת/מפקחת, פרק4.4.3.1 ', עמ77 .( ,הדו"ח המסכם של הרשות הביומטרית מציין כי נערך ניתוח נפרד הן לפי נתוני האמת והן לפי נתוני היצרן :אך בשום מקום בדו"ח לא נרשם כי הציונים עבור חלופת הפנים תוקנו לרעה נתוני השוואת תמונות הפנים היו טובים בהרבה יחסית להצהרת היצרן, כתוצאה מסמיכות הזמנים בין מופעים חוזרים של אותו אדם במאגר )פרק הזמן הממוצע העובר בין הגעת אדם פעם ראשונה לבין הגעתו פעם שניה להנפקת מסמך נוסף המתקבל במאגר כבקשת "חידוש" הנו קצר מאוד יחסית ועומד על שבועות ספורים בלבד. בפועל בעתיד, יעמוד פרק זמן זה בממוצע על מספר שנים בין הגעה לחידושים(. מסיבה זו בוצע ניתוח נפרד לשני המצבים )ביצועים ע"פ .(הצהרת היצרן וביצועי האמת )דו"ח מסכם, פרק9.4 .( בפרק9.7 של הדו"ח, המפרט את הציונים שניתנו לחלופות השונות, לא רשום שהציונים ניתנו לפי נתוני היצרן ולא לפי נתוני האמת. באופן זה, הרשות הביומטרית הטעתה את הציבור, את כותבי דו"ח זה ואולי .גם את הגורמים המפקחים, בקביעה לפיה תמונות פנים אינן עומדות בדרישות החוק – 22 – 4.הצורך במאגר – בחינת הנחיצות המטרה המרכזית של תקופת המבחן היא לענות על השאלה אם המאגר הביומטרי נחוץ לשם התמודדות .עם עברות זיוף והתחזות לשם מתן מענה על שאלה זאת יש לבחון מספר שאלות משנה: )א( מהו היקף הבעיה? )ב( באיזו מידה תעודות זהות ביומטריות )ללא המאגר( פותרות את הבעיה? )ג( מהי התועלת ?הנוספת במאגר ביומטרי לפתרון הבעיה 4.1תשתית עובדתית חסרה אין צורך להכביר מילים בדבר הצורך לבסס עבודת מטה לגיבוש מדיניות על עובדות בדוקות ועל מערך :שיקולים מבוסס הדרך הנאותה לקבלת החלטה על מדיניות כרוכה בעבודת מטה, והיא שלב בתהליך קבלת ההחלטות. במהלך עבודת המטה יש לעשות את הפעולות האלה: איסוף מידע ונתונים כדי להכין תשתית עובדתית אמינה לפני קבלת ההחלטה; הצגת הצעות החלטה חלופיות ובחינתן; העלאת ,החלופה המועדפת והצגת נימוקים לבחירתה. על סמך עבודת מטה ראויה אפשר לבסס מדיניות לנמקה ולהכין את החקיקה הנדרשת ליישומה, אם הדבר דרוש. פעולות אלה מצוינות במסקנות "ועדת קוברסקי" שהממשלה אישרה עקרונית בינואר1990, בפסיקת בית המשפט העליון ובדוחות של מבקר המדינה. מדיניות צריכה, אם כן, להיות מושתתת על עובדות בדוקות ועל .שיקולים מבוססים המגבירים את סבירותה )מבקר המדינה, דו"ח שנתי61 'ב, עמ1179 .( מבקר המדינה קבע כי מקבלי ההחלטות קיבלו החלטות וגיבשו את תורת ההפעלה כאשר אין בידיהם נתונים כמותיים ולו חלקיים על היקף התופעה והבעיות שמערך ההנפקה צריך להתמודד עמן: משרד מבקר המדינה העיר למשרד הפנים כי אין בידיו נתונים כמותיים, ולו חלקיים, על הבעיות שהעלה כנימוק להכללת אמצעי זיהוי ביומטריים בתעודות הזיהוי של כלל האוכלוסייה – זיוף מסמכי זיהוי ותיעוד כפול – על שכיחותן ועל מאפייניהן. בהיעדר נתונים כאלה אין בידיו .תשתית עובדתית נאותה לביסוס החלטותיו בנושא זה ')שם, עמ1182 .( דו"ח הביקורת המיוחד מציין כי נתונים אלו לא נאספו נכון לינואר2015 : הצורך המרכזי שלשמו הוקם המאגר הוא מניעת הרכשות כפולות. על כן, ראוי שההחלטה בדבר קיומו של המאגר תהא מושתתת בין היתר על מידע ונתונים אודות תופעת ההרכשות הכפולות והנזק הנגרם בגינן. אף שהרשות לניהול המאגר הביומטרי נוקטת צעדים לאיסוף מידע ונתונים אודות תופעות אלו, ומסמכים בעניין זה הוכנו או נמצאים בשלבי הכנה מתקדמים, נכון לינואר 2015 טרם גובשה תשתית זו באופן שיאפשר למקבלי ההחלטות לקבל החלטה בהתבסס עליה .בסוף תקופת המבחן ')דו"ח ביקורת מיוחד, עמ7 .( 4.1.1 טענה: בארץ חיים350,000 אנשים עם תעודות זהות מזויפות במהלך הדיונים על החוק הביומטרי ועל תקופת המבחן, אמר מאיר שטרית )שר הפנים בעת גיבוש הצעת החוק( כי הצורך במאגר ביומטרי נובע מנתוני המשטרה, שבארץ חיים מאות אלפי אנשים עם תעודות :זהות מזויפות -על פי נתוני המשטרה שהיו בידי בעת כהונתי כשר הפנים, יש בישראל כ350 אלף אנשים שחיים בארץ בתעודות זהות מזויפות , שההשלכה, שזה על הפשיעה בארץ, היא איומה. ודאי שההשלכה על ביטחון ישראל היא איומה, כיוון שביניהם ודאי שיש, לדעתי, גם מחבלים .בפוטנציה, אם לא גם הלכה למעשה ')ישיבת הכנסת מס81 מיום07/12/2009 .( .]…[ יש הרבה נתונים שקיבלתי מהמשטרה אז, כשר הפנים יש בארץ350,000 אנשים שחיים .עם תעודות מזויפות בארץ אני שמעתי את המספר הזה, לא יכולתי לישון. אני אומר בצדק ואני לא יודע איך אתם ישנים בשקט. האנשים האלה עושים אלפי עבירות כל שנה, עשרות אלפי .עבירות )פרוטוקול ועדת המדע והטכנולוגיה מיום15/07/2013 .( המשטרה לא סיפקה נתונים התואמים את הטענות של שטרית. כמוסבר להלן, המשטרה התקשתה לספק .נתונים מדויקים גם ליועץ המשפטי לממשלה, למבקר המדינה או למנכ"ל משרד הפנים – 23 – כאן אולי המקום להעיר כמה הערות בדבר הטיעון כאילו המאגר הביומטרי הוא הוא הפתרון לבעיות הזיוף. במציאות, הטכנולוגיה של תעודות חכמות מונעת זיופים, גם ללא שימוש בביומטריה, ולבטח ללא כל צורך במאגר ביומטרי. גם משרד הפנים מודה בעובדה זו. הסיבה העיקרית לקיום תופעה של תעודות אף שהדבר היה אפשרי לפני-זהות מזויפות, היא שמשרד הפנים לא עבר להנפקת תעודות זהות חכמות, על למעלה מעשור. לו היה מנפיקן, תופעת הזיוף הייתה נכחדת מזמן. במקום זאת, המשרד החליט לחכות .שנים רבות ומיותרות 4.1.2היעדר תשתית עובדתית בעת חקיקת החוק הביומטרי אין זה סוד כי בעת הכנת הצעת החוק לא היו בידי הממשלה, המשטרה או כל גורם אחר נתונים בדבר :היקף הבעיה שהחוק מבקש לפתור יצוין כי"אין בישראל נתונים מדויקים על היקף התופעה המכונה "גניבת זהות , קרי, מצבים שבהם אדם אחד לוקח לעצמו זהות של אדם אחר, ופועל כאילו הוא היה אותו אדם ]…[ אין כיום סטטיסטיקה מפורטת של תופעה זאת על פי תלונות ומקרים של אנשים שזהותם נגנבה .ואשר נפגעו מתופעה זו )הודעת מזכיר הממשלה מיום03/08/2008 .(', סעיף ב ביולי2008, בעת הדיונים על נוסח תזכיר החוק, דרש המשנה ליועץ המשפטי לממשלה ממשרד הפנים להציג נתונים ברורים בדבר היקף הבעיה. הוא נענה כי הנתונים טרם נאספו, נכון לאותו מועד, וכי :המשטרה התחייבה לספק את הנתונים החסרים בהקדם במהלך הדיונים בתזכיר החוק ביקש המשנה ליועץ המשפטי לממשלה )ייעוץ( לקבל מן המשרד ומן המשטרה מידע על היקף תופעת "גנבת הזהות" בישראל, שלדבריהם הייתה אחת הסיבות לכך שיש להקים מאגר ביומטרי. הוא ציין שאין להסתפק בנתונים על הקלות שבה אפשר לזייף תעודות זהות, שכן גם אם מדובר בנתונים חשובים, ספק אם הם מצדיקים כשלעצמם את הצורך ."במאגר, הגם שהם מצדיקים בוודאי "את הצורך בתעודת זהות חזקה יותר במכתב ששלח המשנה ליועץ המשפטי לממשלה )ייעוץ( ביולי2008 , אל מנכ"ל המשרד דאז ,בנושא תזכיר החוק, ציין שלמרות הבקשות שהפנה למשרד ולמשטרת ישראל טרם קיבל את המידע המבוקש בדבר "היקף תופעת 'גניבת הזהות' בישראל, שהיא אחד הבסיסים ."החשובים לצורך בהקמתו של מאגר ביומטרי עוד ציין שדברי ההסבר להצעת החוק אינם כוללים נתונים בעניין מספר האנשים שהתלוננו על כך שנעשה שימוש בזהותם בלי ידיעתם, ועל מספר האנשים שהשתמשו בזהות גנובה ונתפסו. בתגובה שלח מנכ"ל המשרד למשנה ליועץ המשפטי לממשלה )ייעוץ( מכתב ובו עסק בנושאים שהעלה. הוא ציין כי אין במשרד נתונים בעניין היקף תופעת "גנבת הזהות" וכי המשטרה הודיעה שתספק נתונים בנושא, אך טרם .עשתה כן )מבקר המדינה, דו"ח שנתי61 'ב, עמ1181 .( נכון לנובמבר2010 נתונים אלו טרם נאספו. מבקר המדינה העיר כי בידי משרד הפנים אין נתונים :כמותיים, ולו חלקיים, על היקף עברות הזיוף וההתחזות משרד מבקר המדינה העיר למשרד הפנים כי אין בידיו נתונים כמותיים, ולו חלקיים, על הבעיות שהעלה כנימוק להכללת אמצעי זיהוי ביומטריים בתעודות הזיהוי של כלל האוכלוסייה – זיוף מסמכי זיהוי ותיעוד כפול – על שכיחותן ועל מאפייניהן. בהיעדר .נתונים כאלה אין בידיו תשתית עובדתית נאותה לביסוס החלטותיו בנושא זה מתשובת משטרת ישראל למשרד מבקר המדינה בנובמבר2010 עולה כי אין בידיה נתונים על .עברות הזיוף של תעודות הזהות אלא רק על עברות זיוף באופן כללי בתשובת מנכ"ל רשות האוכלוסין למשרד מבקר המדינה מנובמבר2010 נכתב כי מנכ"ל הרשות הקים ביולי2010 יחידה לתכנון מחקר, איכות ומצוינות, שמטרתה לסייע להנהלת הרשות ויחידותיה בגיבוש מדיניות וקבלת החלטות באמצעות הספקת נתונים ומידע, הפקת דוחות .נתונים, עשיית סקירות ומחקרים ועוד ')שם, עמ1182 .( אחת ממטרות תקופת המבחן היא איסוף נתוני אמת בדבר היקף הבעיה כדי להעמיד בפני המחוקק את .התשתית העובדתית שהייתה חסרה בעת הליכי החקיקה – 24 – 4.1.3פרוטוקול המבחן הואיל ובעת הליכי החקיקה לא היו בידי משרד הפנים נתונים בדבר היקף הבעיה, פרוטוקול המבחן מצווה במפורש )בפרק14.7 ( לבחון את כלל, עברות הזיוף שטופלו או התגלו על ידי המשטרה ומשרד הפנים :מנת לספק למחוקק מידע מהימן על כמות מקרי הזיוף וההתחזות-על 14.7. נתוני זיוף תיעוד 14.7.1. עבירות זיוף תיעוד שהתגלו במשטרה נתון זה יכלול את כמות עבירות הזיוף של תיעוד לאומי ישראלי שטופלו או התגלו על ידי המשטרה. כיום המשטרה אוספת מידע סטטיסטי על עבירות שטופלו על ידה אך הן מתויגות בדרך כלל על פי אופי העבירה הראשית, גם אם זיוף תיעוד היה חלק מהעבירה. יש צורך .בהיערכות מיוחדת לצורך זה ובהנחיה של גורמי הרישום במשטרה 14.7.2. עבירות זיוף תיעוד שהתגלו ברשות האוכלוסין נתון זה יכלול את כמות עבירות הזיוף של תיעוד לאומי ישראלי שהתגלו ברשות האוכלוסין או .ביקורת הגבולות " פרוטוקול המבחן מעיר כי נדרשת היערכות מיוחדת לצורך ]איסוף הנתונים[ ובהנחיה של גורמי הרישום במשטרה.". בפועל, הרשויות נערכו לאיסוף הנתונים באופן חלקי בלבד, אם בכלל 4.1.4היעדר נתוני אמת בדו"ח הרשות הביומטרית הדו"ח המסכם של הרשות הביומטרית כולל פרק ארוך למדי )פרק3 .( על אודות נחיצות המאגר בכל13 עמודי הפרק אין ולו נתון מספרי אחד בדבר תופעת הזיוף בישראל , כפי שהתגלתה או תועדה ברישומי משטרת ישראל או רשות האוכלוסין וההגירה16 . בפברואר2015 פרסמה הרשות מסמך בשם "נחיצות המאגר הביומטרי חלקI .: תופעת ההרכשות הכפולות וגנבת הזהויות", שביקש להציג את היקף התופעה גם מסמך זה לא הציג נתונים מספריים רלוונטיים לשאלת היקף תופעת ההרכשות הכפולות. כך קובע :דו"ח המעקב עבודה שנעשתה לאחרונה ברשות המאגר הביומטרי ונושאת את הכותרת "נחיצות המאגר הביומטרי – חלקI (" – תופעת ההרכשות הכפולות וגניבת הזהויות לא הצביעה על היקף .מדויק של תעודות זהות מזויפות תחת זאת נטען כי הבעיה מתאפיינת בנזקים כלכליים גדולים עקב עבירות הונאה אך לא הובאו נתונים לגבי נזקים כלכליים אלה. כמו כן נטען כי יש קשר בין אובדן סדרתי של תעודות זהות לבין עבריינות. גם בהנחה )סבירה( כי קשר כזה אכן קיים, הרי שאין קשר בינו לבין הצורך בקיומו של מאגר. המסקנה העיקרית העולה מהמסמך היא כי למרות המודעות לקיומו של קשר כזה )בין "אובדן" תעודת זהות לפרופיל עברייני של הונאה(, לא ננקטו צעדים לחקירת התופעה וניסיון להביא את העבריינים לדין ולמעשה למשטרת ישראל אין מידע מדויק לגבי כמות .תעודות הזהות המזויפות )דו"ח מעקב, סעיף3.2.3 .( :כך קובע גם דו"ח הוועדה המייעצת/מפקחת הממצאים הנובעים ממסמכי הרשויות הרשויות )בפרט הרשות לניהול המאגר( לא הציגו נתונים כמותיים ברורים לגבי ההיקף .הנוכחי של תופעת ההרכשה הכפולה בעת הזו בישראל בחוברתI של הרשות לניהול המאגר ובדו"ח המסכם של הרשות, ניתנה סקירה מקיפה על סוגי ,הונאות שונים, בארץ ובעולם, במסגרתן נעשה שימוש בהתחזות ותיעוד בדוי. לצורך הדגמה הוצגו מקרים שונים בהם נעשתה התחזות, זיוף תיעוד והונאה אשר התרחשו בישראל, בצד 16 :בדו"ח הסיכום המעודכן נתוני האמת מוזכרים בחטף נציין כי במספר דיונים הוצגו נתונים בדבר70 . מקרים בלבד בהם נמנעה הנפקת תיעוד בשל חשד לזיוף או התחזות נבהיר כי מקרים אלו מתייחסים לזיוף של תעודות זהות ישנות בהם נתקלו עובדי רשות האוכלוסין, ללא קשר .לתהליך הביומטרי הכולל הרכשה בלשכה ובדיקות אימות וזיהוי על ידי מערכות המאגר )דו"ח סיכום מעודכן, פרק3.5 .( – 25 – הערכה או התייחסות לנזקים הנגרמים ממקרים אלה. חלקם הגדול של מקרים אלה לא שויכו .לתופעת "ההרכשה הכפולה" בלשכות רשות האוכלוסין, אלא לזיוף התיעוד עצמו )דו"ח הוועדה המייעצת/מפקחת, פרק4.3.1 ', עמ52 .( היעדר הנתונים הטריד את חברי הוועדה המייעצת/מפקחת. בדיון מיום28/09/2014 " צוין כי הרשויות טרם מיצו את פעולותיהן לאיתור נתונים מספריים הנוגעים למתחזים ", והוועדה הורתה לרשויות לאתר .ולהציג נתונים מספריים מדויקים :מבקר המדינה העיר גם הוא כי כל הרשויות להציג נתוני אמת בדבר הצורך בקיומו של המאגר הצורך המרכזי שלשמו הוקם המאגר הוא מניעת הרכשות כפולות. על כן, ראוי שההחלטה בדבר קיומו של המאגר תהא מושתתת בין היתר על מידע ונתונים אודות תופעת ההרכשות הכפולות והנזק הנגרם בגינן. אף שהרשות לניהול המאגר הביומטרי נוקטת צעדים לאיסוף מידע ונתונים אודות תופעות אלו, ומסמכים בעניין זה הוכנו או נמצאים בשלבי הכנה מתקדמים, נכון לינואר 2015 טרם גובשה תשתית זו באופן שיאפשר למקבלי ההחלטות לקבל החלטה בהתבסס עליה .בסוף תקופת המבחן ')דו"ח ביקורת מיוחד, עמ7 .( 4.1.5נתוני אמת מדו"חות רשות האוכלוסין וההגירה הרשות הביומטרית מסרבת לספק נתונים מספריים הניתנים לבדיקה. לעומתה, רשות האוכלוסין וההגירה הציגה נתונים ממשיים בדבר היקף עברות הזיוף וההתחזות שהתגלו. נתונים אלו מופיעים בנספחים של .הדו"חות התקופתיים שפרסמה .הנתונים נעלמו מהדו"ח המסכם )הראשון( של הרשות הביומטרית, וצוינו באופן מינורי בדו"ח המעודכן ההסתרה של הנתונים המספריים מעלה חשש כי הרשות הביומטרית צנזרה מהדו"חות הפומביים ומהדו"חות המסווגים נתונים ועמדות שאינם תומכים בעמדותיה בדבר נחיצות המאגר הביומטרי. נתונים .אלו הושמטו גם מהדו"ח המסכם של רשות האוכלוסין וההגירה :להלן סיכום הנתונים, מתוך הדו"חות התקופתיים של רשות האוכלוסין וההגירה מדד40 ידי המשטרה, סעיף- – עבירות זיוף תיעוד שהתגלו על14.7.1 בפרוטוקול מידע למדד זה נאסף באמצעות פניה יזומה של נציג רשות האוכלוסין אל הגורם המתאים במשטרת ישראל. ]…[ בשאלונים שהופצו ללשכות עלו מקרים של זיוף תיעוד לאומי שהועברו .ידי המשטרה ללשכות, נתונים אלה מפורטים להלן-על :תוצאות המדידה ]תקופה H2 [ בתקופת הדיווח העבירה משטרת ישראל ללשכות רשות האוכלוסין שישה מקרים .של ניסיונות זיוף תיעוד לאומי, אף לא אחד מהם של תיעוד ביומטרי ]תקופה H3 [ בתקופת הדיווח העבירה משטרת ישראל ללשכות רשות האוכלוסין שישה מקרים .של ניסיונות זיוף תיעוד לאומי, אף לא אחד מהם של תיעוד ביומטרי ]תקופה H4 [ בתקופת הדיווח העבירה משטרת ישראל ללשכות רשות האוכלוסין מקרה אחד של ניסיונות זיוף דרכון רגיל )תיעוד שאינו ביומטרי( ע"י החלפת התמונה של בעל הדרכון המקורי .בתמונת החשוד ]תקופה H5 [ בתקופת הדיווח העבירה משטרת ישראל ללשכות רשות האוכלוסין85 מקרים -בחלוקה הבאה: מקרה אחד של התחזות, מקרה אחד של זיוף ת"ז ו83 מקרים של זיוף תמציות רישום במסגרת מקרה הונאה שנחקר17. :להלן התפלגות המקרים לפי סוג התיעוד 17 לדברי המשטרה, מדובר במקרה הונאה אחד הכולל83 מקרים של זיוף של תמצית רישום. נראה כי נכון לספור את מקרה -ההונאה פעם אחת, ולא כ83 . זיופים נפרדים ככל הנראה מדובר בת"פ619-02-16 ות"פ667-02-16 . לפי כתבי האישום, שני החשודים זייפו תמציות רישום לצורך פירעון מוקדם של פיקדון חיילים משוחררים. לא ברור מה עניינה של פרשיה זאת למקרי זיוף תיעוד, שכן זיוף תמצית רישום דומה :לזיוף אישור נישואין או להצגת דיפלומה מזויפת לצורך קבלת הטבות כספיות. ר' גם: אחיה ראב"ד, "הפיקדון והכלות ,"תרמית החיילים המשוחרריםynet 24/01/2016 . – 26 – סוג תיעוד תקופהH5 תקופהH4 תקופהH3 תקופהH2 ]זיוף[ תעודות זהות ביומטריות0 0 0 0 ]זיוף[ דרכונים ביומטריים0 0 0 0 ]זיוף[ תעודות זהות רגילות1 0 5 2 ]זיוף[ דרכונים רגילים0 1 1 4 ]זיוף[ ספח ותמצית רישום1 ] 83 [ 0 9לא דווח התחזות לאחר1 0 1לא דווח מדד41 – עבירות זיוף תיעוד שהתגלו ברשות האוכלוסין, סעיף14.7.2 בפרוטוקול מדד זה מתייחס לניסיונות זיוף של תיעוד לאומי שהתגלו בלשכות רשות האוכלוסין. מקור .הנתונים למדד זה הוא דיווחי הלשכות ובקרי הגבול :תוצאות המדידה ]תקופה H2 [ בתקופת הדיווח התגלו בלשכות רשות האוכלוסין17 מקרים של ניסיונות זיוף .תיעוד לאומי, אף לא אחד מהם של תיעוד ביומטרי ]תקופה H3 [ בתקופת הדיווח התגלו בלשכות רשות האוכלוסין31 מקרים של ניסיונות זיוף .תיעוד לאומי, אף לא אחד מהם של תיעוד ביומטרי ]תקופה H4 [ בתקופת הדיווח התגלו בלשכות רשות האוכלוסין12 מקרים של ניסיונות זיוף .תיעוד לאומי, אף לא אחד מהם של תיעוד ביומטרי ]תקופה H5 [ בתקופת הדיווח התגלו בלשכות רשות האוכלוסין12 : ]צ"ל63[ מקרים של .ניסיונות זיוף תיעוד לאומי, אף לא אחד מהם של תיעוד ביומטרי :להלן התפלגות המקרים לפי סוג תיעוד סוג תיעוד תקופהH5 תקופהH4 תקופהH3 תקופהH2 ]זיוף[ תעודות זהות ביומטריות0 0 0 0 ]זיוף[ דרכונים ביומטריים0 0 0 0 ]זיוף[ תעודות זהות רגילות6 2 4 12 ]זיוף[ דרכונים רגילים52 6 26 5 התחזות לאחר4 4 1לא דווח זיוף דרכון זר1לא דווח לא דווח לא דווח 4.1.6סיכום נתוני רשות האוכלוסין וההגירה לפי נתוני רשות האוכלוסין וההגירה בשנת2014 נחקרו22 , מקרי זיוף והתחזות ע"י משטרת ישראל והתגלו48 מקרים נוספים של זיוף או התחזות בלשכות רשות האוכלוסין או בנציגויות ישראל, סה"כ70 מקרים. בשנת2015 נחקרו4 מקרי זיוף והתחזות ע"י משטרת ישראל, והתגלו75 מקרים נוספים של זיוף או התחזות בלשכות רשות האוכלוסין או בנציגויות ישראל, סה"כ80 . מקרים – כלומר מספר עברות הזיוף וההתחזות עומד על בין 70 - ל 80 מקרים בשנה! :יודגש-מתוך כ80 מקרים שהתגלו, כולם, ללא יוצא מן הכלל, היו נמנעים ע"י שימוש בתעודות ביומטריות, ללא כל צורך במאגר ביומטרי. למעשה, כמוסבר בפרק4.2 -, ניתן למנוע מעל ל95% מעברות .הזיוף וההתחזות ע"י תעודות חכמות גם ללא שימוש במידע ביומטרי – 27 – במקביל, בשנת2014, דווחה הרשות הביומטרית שהמאגר הביומטרי לא סייע לה בגילוי הרכשות כפולות )אפס אירועי הרכשה כפולה(. רשות האוכלוסין וההגירה דיווחה על מקרה יחיד של התחזות בהרכשה ,הראשונית שלא: התגלתה ע"י הרשות הביומטרית, של אח שהתחזה לאחיו התאום במהלך תקופת המבחן אובחנו שלושה אירועים חריגים בלשכות הרשות ]…[ משלושת האירועים החריגים שדווח שני מקרים מקורם בהרכשה שגויה שגויה בשל טעות אנוש והבעיה ידי מבקש התיעוד. המקרה השלישי הוא אירוע התחזות של תאום לאחיו והבעיה-אותרה על .אותרה לאחר בדיקה ברשות לניהול המאגר הביומטרי )רשות האוכלוסין וההגירה, דו"ח תקופתי שלישי, פרק4 .( תמונה1 : . תעודת זהות מזויפת.()מקור: אתר הרשות הביומטרית 4.1.7הרשות הביומטרית: ארבעה מקרי הרכשה כפולה לאורך תקופת המבחן הרשות הביומטרית מדווחת כי מתוך1,100 מקרים של עצירת הנפקה, ניתן לסווג ארבעה מקרים בלבד :כניסיונות להרכשה כפולה -במהלכה של תקופת המבחן נעצרה על ידי המאגר הנפקתם של כ1,100 תעודות זהות ודרכונים ,בעקבות השוואת נתוני ההרכשה לנתוני המאגר ובשל אי התאמה לנתוני מבקשי התיעוד ביניהם ארבעה מקרים של ניסיון הרכשה כפולה . וודאי אשר הועברו לתחקור המשטרה )מסמך התייחסות, פרק3.2.6 .( מנגד, רשות האוכלוסין מציינת כי לכל אורך תקופת המבחן לא תועד אף לא אירוע אחד של עצירת הנפקה עקב זיהוי ניסיון להרכשה כפולה. נראה כי ארבעת המקרים הללו הם רובם או כולם מקרי התחזות מסוג "הרכשה ראשונית", עימם מאגר ביומטרי אינו מסוגל להתמודד. מדד37 – אירועי עצירת הנפקה, סעיף14.5.3 בפרוטוקול מדד זה מתייחס לאיזה שלב משלבי תהליך ההנפקה הייתה עצירה של ההנפקה בגלל הרכשה .כפולה :תוצאות המדידה ]תקופה H2 [ .במהלך תקופת הדיווח השניה לא דווח על אף אירוע של עצירת הנפקה ]תקופה H3 [ במהלך תקופת הדיווח השניה ]צ"ל: השלישית[ לא דיווח על אף אירוע של עצירת .הנפקה ]תקופה H4 [ במהלך תקופת הדיווח השניה ]צ"ל: הרביעית[ לא דיווח על אף אירוע של עצירת .הנפקה ]תקופה H5 [ במהלך תקופת הדיווח השניה ]צ"ל: החמישית[ לא דיווח על אף אירוע של עצירת .הנפקה – 28 – 4.1.8הערות בדבר דיוק נתוני האמת .א .רשות האוכלוסין וההגירה מסבירה כי ייתכן שרישומים נוספים של עברות זיוף והתחזות לא נספרו הסיבה לכך היא שרשות האוכלוסין וההגירה כשלה בקיום מצוות המחוקק, ולא בחנה את כלל עברות :הזיוף שנחקרו במשטרה. תחת זאת היא הסתפקה בהעברת שאלונים ליחידות המשטרה מידע למדד זה ]נתוני זיוף והתחזות שהתגלו במשטרה[ נאסף באמצעות פניה יזומה של נציג רשות האוכלוסין אל הגורם המתאים במשטרת ישראל. הקושי באיסוף הנתונים למדד זה נובע מהעובדה שבמערכת המשטרתית הממוחשבת מידע סטטיסטי נאסף ומתויג לפי סוג העבירה הראשית, כך שזיוף תיעוד לאומי נכלל בקטגוריה הכללית של זיוף. לפיכך, איתור ושליפת מידע ספיציפי אודות עבירת זיוף של תיעוד לאומי מחייבת פתיחה ועיון בכמות נכבדה של תיקים .שאין באפשרות המשטרה לבצע )רשות האוכלוסין וההגירה, דו"ח תקופתי שלישי, פרק9 .( מצופה כי הרשויות הרלוונטיות ישקיעו את כל העבודה הנדרשת לשם בחינת כל תיקי החקירה המסווגים כעברות זיוף, ימיינו את העבירות לפי סוגי הזיוף וההתחזות, ויספקו למחוקק מידע אמין ובדוק בדבר ההיקף המדויק של עבירות הזיוף וההתחזות. נזכיר כי המשטרה התחייבה לספק נתונים עוד בשנת2008 18. הימנעות הרשויות מעריכת בחינה מקיפה בדבר היקף התופעה, מעידה יותר מכל על קלישות הטענות בדבר "מאות אלפי תעודות זהות מזויפות בישראל." .ב " הרשות הביומטרית טוענת כי הנחת היסוד ]היא[ שפושע המעוניין לבצע הרכשה כפולה פשוט לא יתנדב ל]הוציא תעודה ביומטרית במהלך[ תקופת המבחן ". לכן, צפוי כי במהלך תקופת המבחן פושעים יעדיפו לעשות שימוש בתעודות רגילות. כלומר, צפוי כי פושעים המעוניינים להשיג זהות נוספת, יבחרו .להוציא תעודות זהות רגילה, ולא ביומטרית, כל עוד ניתן לעשות כן אם כך, כמות ההרכשות הכפולות בהנפקת תעודות זהות רגילות במהלך תקופת המבחן מהווה אומדן מקסימלי לכמות מקרי ההרכשות הכפולות הצפויות במהלך הנפקה ביומטרית עתידית. רשות האוכלוסין וההגירה לא ציינה כמה מתוך מקרי התחזות שהתגלו בשנת2014 היו מסוג התחזות כפולה, במטרה להשיג .תעודת זהות רגילה בלשכות האוכלוסין נזכיר כי במהלך שנת2014 התגלו שני מקרים בלבד של עברות התחזות מתוך70 , מקרי זיוף והתחזות .ומקרה נוסף של התחזות בהרכשה הראשונית .ג הרשות נדרשה לדווח על "עבירות זיוף תיעוד לאומי ישראלי". לא ברור מדוע במדד זה הוכללו עבירות ,של זיוף תמציות רישום. באותה מידה ניתן לכלול זיוף תעודות הסמכה מקצועית, זיוף תארים אקדמאים זיוף תעודות נישואין וגירושין, וזיוף של כל תעודה אחרת. לא ברור גם מדוע הוכללו זיופים של דרכונים ."זרים, שאינם "תיעוד לאומי ישראלי 4.1.9 350,000 ≟ 70 :ניתן לסכם את העניין כולו בשני מספרים350,000 ( )שלוש מאות וחמישים אלף-, לעומת כ70 ( )שבעים. המאגר הביומטרי הוצג כהכרח, מתוך הנחת עבודה כי בארץ חיים מאות אלפי אנשים עם תעודות זהות -מזויפות. בפועל, דווח על כ70 מקרי זיוף של תיעוד לאומי והתחזויות בשנה, וכולם היו נמנעים ע"י שימוש בתעודות זהות חכמות או ביומטריות. גם אם נכפיל ואף נשלש את נתוני האמת, ההנחה שבבסיס עבודת ,המטה, כי נדרש מאגר ביומטרי לשם טיפול במאות אלפי זיופים, הוכחה כשגויה. משנשללו הנחות היסוד .אין עוד תוקף למסקנות עבודת המטה בדבר הצורך במאגר ביומטרי מצער להיווכח כי הרשות הביומטרית לא נותנת לעובדות להשפיע על הנחות הבסיס לפעולתה. לנתונים אלו כמעט ואין זכר בדו"חות הרשות. היא מסרבת להתייחס לנתוני המשטרה, ועתה היא מבקשת להצדיק .את קיום המאגר הביומטרי לצורך מטרות משנה שאינן בבסיס החוק הביומטרי נשוב ונזכיר: הרשות, שהוקמה כחלק מהניסוי הביומטרי, מצופה לחוות את דעתה על הצורך בעצם קיומה. קיים ניגוד עניינים מובנה בדרישה, שיכול להסביר היטב מדוע הרשות תעדיף להשתדל אצל 18 מבקר המדינה, דו"ח שנתי61 'ב, עמ1181 ; ר' פרק4.1.2 . לעיל – 29 – האדם והמשאבים שהושקעו-המחוקק לפסוק את דינה לחיים ולא לחידלון, עם תקציבה, תקני כוח .בהקמתה עד כה 4.2סוגי עברות הזיוף וההתחזות 4.2.1סוגי תיעוד בהנפקה קיימים סוגים שונים של תיעוד שיכול להיות מונפק, בהתאם לסוג התיעוד עצמו והמידע שנאסף בתהליך :ההנפקה ()א תעודת נייר. – תעודה מודפסת, העשויה לכלול סימנים מיוחדים או אמצעי אבטחה המקשים על הזיוף תעודות הזהות הישראליות לא כוללות אמצעי הגנה, וניתן לזייפן באמצעות מדפסת צבעונית, צילום .פספורט ומכשיר קפסולציה משרדי ()ב תעודה חכמה – כרטיס פלסטי עם שבב מידע אלקטרוני, כמו כרטיס אשראי מתקדם. בשבב המידע ניתן לאחסן מידע )מוצפן או לא מוצפן( כגון פרטים על התעודה או על בעליה. המידע השמור בתעודה .ניתן לאימות באמצעים קריפטוגרפיים וכך הוא מוגן מזיוף ()ג תעודה ביומטרית – תעודה חכמה שמוצפנים בה פרטים ביומטריים של המחזיק בה. בעת ההנפקה נאספים נתונים ביומטריים של נושא התעודה, ומוצפנים בשבב המידע שבתעודה. אימות זהות נושא התעודה נעשה ע"י השוואת המידע הביומטרי המוצפן לנתונים ביומטריים הניטלים בזמן אמת. כדי להגן על פרטיות בעל התעודה, די לשמור תבניות של המידע הביומטרי באופן המאפשר אימות .ביומטרי אך לא מאפשר את שחזור המידע הביומטרי המלא ()ד תיעוד ביומטרי עם מאגר ביומטרי – בעת הנפקת תעודה ביומטרית נשמר המידע הביומטרי במאגר .כללי של כל אזרחי המדינה 4.2.2סוגי עברות זיוף והתחזות :עברות הזיוף וההתחזות מתחלקות לכמה סוגים ()א זיוף – זיוף פיזי של התעודה, למשל ע"י הדפסת תעודה מזויפת במדפסת צבעונית ושימוש במכשיר קפסולציה. תעודה חכמה מספיקה על מנת להפוך.את הזיוף הפיזי לבלתי אפשרי אחד מסוגי הזיוף הוא זיוף לצורך התחזות – גנבת זהות באמצעות התחזות לפלוני ללא שימוש בתעודה מקורית, אלא באמצעות זיוף תעודה עם פרטיו של פלוני. שימוש בתעודות חכמות מונע .התחזות מסוג זה, גם ללא שימוש בביומטריה, שכן לא ניתן לזייף פיזית את התעודה ()ב(התחזות לאחר )באמצעות תעודה גנובה – גנבת זהות באמצעות התחזות לאדם אחר תוך שימוש מאוד, שכן ניתן לוודא את זהות-בתעודה אמיתית. תעודה ביומטרית הופכת את ההתחזות לקשה עד בעל התעודה ע"י אימות ביומטרי בעזרת הנתונים המקודדים בתעודה. הגנה קריפטוגרפית מונעת את .זיוף הנתונים המקודדים בתעודה החכמה ()ג התחזות בהרכשה הראשונית – התחזות בעת הנפקת התעודה, כלומר אדם שטרם הוציא תעודת זהות .מזדהה כאדם אחר או לאדם פיקטיבי בלשכת האוכלוסין, וכך משיג תעודת זהות בזהות שאינה שלו מאגר ביומטרי אינו מסוגל למנוע התחזות בעת התשאול הראשוני, שכן נתוניו הביומטריים של המתחזה לא נמצאים במאגר. ההתחזות תתגלה רק כאשר האדם האחר יבקש להוציא תעודה .ביומטרית, אם אדם כזה קיים התחזות לאדם שלא קיים במערכת )ברוב המקרים, יצירת אדם פיקטיבי(, קיימת בעיקר בנקודות .ההגירה לישראל ()ד התחזות מסוג הרכשה כפולה – אדם שכבר הוציא תעודת זהות חוזר ללשכת האוכלוסין ומזדהה כאדם אחר, וכך משיג זהות נוספת. באופן מדויק יותר, הרכשה כפולה היא פעולתו של אדם להרכשת (תעודה בזהות שאינה שלו, על פי רוב בנוסף לזהותו האמיתית. מאגר ביומטרי יכול למנוע )חלקית .(התחזות מסוג זה, ע"י זיהוי ביומטרי )חיפוש נתוני המבקש במאגר הקיים – 30 – :יוער, כי קיימים סוגי התחזות נוספים, כדוגמת תרחיש שעדיין נדיר יחסית זיוף נתונים ביומטריים– אדם נוטל נתונים ביומטריים, כגון טביעת אצבע של אחר, ו"מלביש" את הנתונים הללו על עצמו. מאגר ביומטרי לא יכול להתמודד עם התחזויות מסוג זה. דוגמה נוספת לזיוף נתונים ביומטריים היא הפללת .אדם ע"י השתלת נתוניו הביומטריים בזירת פשע 4.2.3מניעת עברות זיוף והתחזות תעודה חכמה מונעת, בפני עצמה, זיוף פיזי של התעודה. קידוד הנתונים הביומטריים בתעודה מונע התחזות וגנבת זהות, שכן ניתן להשוות את נתוניו הביומטריים של המחזיק לנתונים הביומטריים המקודדים, בדיוק כפי שנערך זיהוי ביומטרי של נוסע בעל דרכון ביומטרי. לשם כך אין צורך במאגר .ביומטרי. מאגר ביומטרי אינו מסוגל למנוע התחזות בעת התשאול הראשוני הטבלה הבאה מסכמת את יכולות סוגי התעודות, המאגר הביומטרי ותשאול למנוע את צורות הזיוף .השונות זיוף התחזות ()גנבת תעודה הרכשה ראשונית הרכשה כפולה תעודת נייר✘ ✘ ✘ ✘ תעודה חכמה✔ ✘ ✘ ✘ תעודה ביומטרית✔ ✔ ✘ ✘ מאגר ביומטרי– – ✘ ✔ תשאול מוגבר– – - ✔ - ✔ + תעודה ביומטרית מאגר ביומטרי✔ ✔ ✘ ✔ + תעודה ביומטרית תשאול מוגבר✔ ✔ - ✔ - ✔ 4.2.4גילוי התחזות רוב עברות הזיוף וההתחזות דינן להתגלות במוקדם או במאוחר. במוקדם – בעת ביצוע העבירה; במאוחר – לאחר שקרבן העברה יתלונן על הזיוף או ההתחזות. השימוש בתעודה חכמה או בתעודה ביומטרית הופך .את גילוי העברה למידי, וכך נמנעים הזיוף או ההתחזות כמו כרטיס אשראי, תעודה חכמה ניתנת לביטול מרחוק. אם תעודה אובדת או נגנבת, בעל התעודה נדרש לדווח מידית על האבדן או הגנבה, ותוקף התעודה מבוטל לאלתר. ניסיון להשתמש בתעודה המבוטלת .מדווח לגורם המנפיק, ולכן ניסיון התחזות באמצעות תעודה שדווחה כאבודה יתגלה מידית בעת הנפקת תעודה חדשה תוקף התעודה הקודמת מבוטל לאלתר. במקרה של התחזות בהנפקה, התעודה שבידי בעל הזהות האמתית )הקרבן( מתבטלת מידית. אם הקרבן עושה שימוש תדיר בתעודה, הוא יגלה כי התעודה שבידיו אינה תקפה עוד, וניסיון ההתחזות בהרכשה יתגלה ויטופל תוך זמן קצר. לשם כך אין .צורך במאגר או אפילו בתעודה ביומטרית אם הקרבן טרם הוציא תעודה, ההתחזות בהרכשה תתגלה ברגע שהוא יבקש להוציא תעודה. המקרה היחיד של התחזות בהרכשה שארע בתקופת המבחן )התחזות של אדם לאחיו התאום(, התגלה בעת שהאח .האחר ביקש להנפיק תיעוד תשאול מוגבר מקשה מאוד על התחזות בהרכשה, גם בהרכשה הראשונית וגם בהרכשה החוזרת, שכן המתחזה צריך להכיר טוב מאוד את הקרבן כדי לעבור את התשאול בהצלחה. זאת, בהנחה שהתשאול אינו מסתמך על מידע שדלף ממשרד הפנים או על מידע שזמין לכל אדם ברשת19. 19 ,"אביעד קליקמן, "פרשת מרשם האוכלוסין: כך דלף המידע לרשתynet 25/10/2011 . – 31 – 4.2.5היקף תופעות הזיוף וההתחזות בטבלה הבאה מסוכמים נתוני עבירות הזיוף וההתחזות שהתגלו בשנת2014 ובשנת2015 בחלוקה לפי סוגי העבירות, לפי נתוני רשות האוכלוסין וההגירה )פרק4.1.5 :( לעיל זיוף התחזות הרכשה ראשונית הרכשה כפולה שנת2014 70 1 0 שנת2015 80 0 0 -גם אם נניח שהיקף התופעה הוא פי חמישה מנתוני המשטרה ורשות האוכלוסין וההגירה, נגיע לכ350 מקרים של התחזות וזיוף של תיעוד לאומי כל שנה . גם אם נניח שהיקף תופעת ההרכשות הכפולות הצפוי הוא1% – 2% מכלל עברות הזיוף )אלו שהתגלו ואלו שלא התגלו(, מדובר לכל היותר בכחמישה מקרים של .הרכשות כפולות כל שנה, שמאגר ביומטרי יכול אולי למנוע :ולכן, עולה כאן השאלה המרכזית בדבר נחיצות המאגר הביומטרי ספרתי של זיופים מסוג-האם לשם מניעת מספר חד הרכשה כפולה, שמאגר ביומטרי עשוי למנוע, ראוי לפגוע !?בביטחונם ובפרטיותם של שמונה מיליון אזרחי המדינה 4.2.6מאגר ביומטרי לא יכול למנוע התחזויות בהרכשה ראשונית כאמור בפרק4.2.3, מאגר ביומטרי לא יכול למנוע התחזות בהרכשה הראשונית, שכן נתוניו של המתחזה ,עדיין אינם במאגר. רשות האוכלוסין וההגירה יכולה לאתר )בדיעבד( אירועי התחזות בהרכשה הראשונית .ודבר זה נעשה ללא שימוש במאגר ביומטרי המאגר הוצג ככלי לשם איתור הרכשות כפולות. אולם, כמוסבר להלן, המאגר אינו פתרון קסם כנגד התחזות בהרכשה כפולה. הוא אמנם מקשה על הרכשות כפולות, אך לא מונע לחלוטין את האפשרות .להוציא זהות נוספת החוליה החלשה היא לרוב הגורם האנושי. מערך הנפקת מסמכי זיהוי ביומטריים לא שונה בכך. בלשכות האוכלוסין עובדים אלפי פקידים שתפקידם לוודא את זהות מבקש התיעוד ולדגום את נתוניו הביומטריים. עבריין המבקש להוציא זהות נוספת, צריך למצוא פקיד אחד מתוך האלפים, שתמורת שוחד ידגום אצבע שגויה, או לא ישים לב שהעבריין משתמש בטביעת אצבע מזויפת )מעין כפפת גומי שמוטבעים עליה נתונים ביומטריים מזויפים(. תמורת סכום לא גדול יצליח עבריין נחוש לעקוף את כל מנגנוני ההגנה של תהליך ההרכשה הביומטרי ולזכות בזהות נוספת )שכאמור לעיל, ברוב המקרים תתגלה במהרה גם ללא מאגר ביומטרי.(, כשהאדם שבזהותו מדובר ימצא את עצמו עם תעודה מבוטלת :דו"ח המעקב מביא מספר תרחישים בהם המאגר לא יוכל לפתור בעיות של התחזות •מי שיגיע לבצע הרכשה ראשונית או הרכשה חוזרת לאחר טענת "אבידה" עם טביעת אצבע ;מזויפת • .זיוף התמונה שעל גבי תעודה ביומטרית חכמה או הגעה עם תמונה מזויפת לקבל תעודה •הגורם האנושי – דו"ח זה כמו גם קודמו הצביעו על כך שחלק נכבד מהכשלים במערכת היו תוצאה של טעויות אנוש. הגורם האנושי עשוי להוות מכשלה גם במקרים של שיתוף פעולה בזיוף של מי שיש לו נגישות למאגר ולהרכשת תיעוד ביומטרי. המערכת איננה חסינה מפני .אלה וגם על בעיה זו יתקשה המאגר להתגבר )דו"ח מעקב, סעיפים3.2.5 - ו3.2.6 .( – 32 – 4.3עברות זיוף והתחזות מדו"ח הרשות הביומטרית בפרק זה נסקור את הדוגמאות לעברות זיוף והתחזות שהרשות הביומטרית הציגה לעניין הצורך במאגר ביומטרי. כמוסבר להלן, הדוגמאות, כמעט ללא יוצא מן הכלל, היו נמנעות בעזרת תעודה חכמה או תעודה .ביומטרית; ללא כל קשר למאגר ביומטרי 4.3.1 הונאות חשבון בנק ואשראי )פרקים3.2.1 - ו3.2.2 ( לדו"ח הדוגמאות הן של התחזות לאדם אחר, ע"י זיוף פיזי של התעודה, ופתיחת חשבון בנק באמצעות התעודה המזויפת. במקרים אלו די בתעודה חכמה או בתעודה ביומטרית כדי למנוע את ההתחזויות. יוער כי החוק .אוסר על בנקים לבצע אימות ביומטרי של מחזיק התעודה יש לציין שהסיכוי של גורם פלוני לפתוח חשבון מתחזה בבנק הוא נמוך בכל מקרה, שכן הבנק מבצע שורה של בדיקות מול מאגרי מידע נוספים. אם הייתה בעיה אמיתית של הונאות בנק ואשראי, הבנקים וחברות .האשראי היו מציפים את הבעיה לפני שנים רבות 4.3.2 הונאות בענף הנדל"ן )פרק3.2.3 ( לדו"ח הדוגמאות הן של התחזות לאדם אחר באמצעות זיוף התעודה. גם במקרים אלו די בתעודה חכמה או .בתעודה ביומטרית כדי למנוע את ההתחזויות כוח פיקטיביים או מסמכים נוטריוניים-אולם בפועל, הונאות הנדל"ן נעשות ע"י זיוף מסמכי ירושה, ייפויי זרים. לכן, המאגר הביומטרי לא היה מונע הונאות נדל"ן, כמו בפרשת דב פיכמן וגל הרינג20, או בפרשת גנבת הקרקעות השיטתית בצפון, שנחשפה לאחרונה21. 4.3.3 הונאות עסקיות ומסחריות )פרק3.2.4 ( לדו"ח הדוגמאות הן של התחזות לאדם אחר באמצעות זיוף תעודה, ודי בתעודה חכמה או בתעודה ביומטרית .כדי למנוע את ההתחזויות 4.3.4 הונאת זהות מול גורמים ממשלתיים )פרק3.2.5 ( לדו"ח רוב הדוגמאות הן של התחזות לאדם אחר באמצעות זיוף תעודה, ודי בתעודה חכמה או בתעודה .ביומטרית כדי למנוע את ההתחזויות המקרה של שרונה פרינץ22 – שונה. לפי כתב האישום, הנאשמת ביצעה עברות של התחזות בהרכשה הוצאת תעודת זהות, דרכון ורישיון נהיגה במרמה, תוך שימוש בפרטיו של אדם אחר. הנאשמת קיבלה .לידיה את תעודת הזהות של האדם שהתחזתה אליו, והיו בידיה רק הפרטים הבסיסיים של אותו אדם .לכן תחקור בלשכות האוכלוסין היה חושף את ניסיון ההתחזות 4.3.5 הפיגוע במלון "פארק" בנתניה )פרק3.3.1 ( לדו"ח שוב, זאת דוגמה של זיוף תעודות זהות. כדי למנוע את הזיוף אין צורך בתעודה ביומטרית, ודי בתעודה חכמה. לפיכך, אילו הנפיק משרד הפנים לאזרחי המדינה תעודות חכמות כבר בשנת1996, ייתכן שהפיגוע .במלון "פארק" בנתניה היה נמנע, שכן המחבלים לא היו יכולים לזייף את התעודות הישראליות 4.4תגובת הרשות הביומטרית לממצאים 4.4.1טענה: תופעת ההרכשות הכפולות היא תופעה רחבת היקף :ראשית, הרשות הביומטרית ממשיכה לטעון כי תופעת ההרכשות הכפולות היא תופעה רחבת היקף 20 ת"פ180/99 . מדינת ישראל נ' דב פיכמן וגל הרינג 21 -וינריב, "חשד: יותר מ-חן מענית ואלה לוי30 ," ישראלים גנבו קרקעות בצפון באופן שיטתי גלובס 27/04/2015 . ,"?אודי ששון, "למה כ"כ קל לגנוב קרקעות בישראל – ומה אפשר לעשות גלובס 11/05/2015 . 22 ת"פ33300-04-13 . מדינת ישראל נ' שרונה פרינץ – 33 – תופעת ההרכשות הכפולות המבוצעות תוך התחזות מול פקיד הנה תופעה רחבת היקף. מנתוני רשות האוכלוסין )הממוסמכים( עולה כי מידי שנה מתקבלים בלשכות רשות האוכלוסין למעלה -מ160,000 - דיווחים על אבדן או גניבת תעודות זהות וזאת מתוך סך של כ600,000 תעודות זהות חדשות המונפקות בכל שנה. כלומר, מעל רבע מהתעודות מונפקות מדי שנה למי שדיווח על אובדן או גניבה. מבדיקת המשטרה )הממוסמכות( עולה כי רבים מאלו המדווחים על אובדן או גניבה רשומים במרשם המשטרתי הפלילי, עובדה המצביעה על קשר מובהק בין דיווח על אובדן או גניבת תעודת זהות ופעילות פלילית. להרחבה בנושא זה, ראה את מסמך "נחיצות המאגר הביומטרי פרקI ." – תופעת ההרכשות הכפולות וגניבת הזהויות :הוועדה המייעצת/מפקחת קבעה מפורשות כי לא הונחה תשתית עובדתית להוכחת טענות אלו לאור המידע אשר הובא על ידי הרשויות ביחס לתופעת "ההרכשות הכפולות", הבעיה עמה ,אמור המאגר הביומטרי להתמודד סבורה הוועדה המייעצת כי לא הונחה תשתית מספקת ,באשר לקיומה של תופעה כזו כיום. בישראל )דו"ח הוועדה המייעצת/מפקחת, פרק4.3.1 ', עמ56 .( 4.4.2 "טענה: "מבט צופה לעתיד במסמך ההתייחסות, הסבירה הרשות הביומטרית את הסיבות שהביאו אותה להתעלם ולהצניע את נתוני :"האמת. הסיבה לכך, לדבריה, היא שהיא בחנה את הסכנות "במבט צופה עתיד ולא לעבר […] .תכנון נכון של מערכת צופה לעתיד ולא לעבר פרויקט התיעוד הביומטרי צריך .""להילחם את המלחמה של מחר" ולא "להילחם את המלחמה של אתמול תכנון ראוי, על פי מתודולוגיה סדורה, מחייב בכל מערך טכנולוגי גדול תהליך סדור של ניהול סיכונים. תהליך זה נועד כדי להצביע על בעיות אפשריות הצפויות לאורך כל חיי הפרויקט ובפרט בעתיד. נתוני העבר הם רק חלק אחד, ולא בהכרח עיקרי מהתמונה הכוללת עבור תהליך כזה של ניהול סיכונים, באותה מידה שביצועי עבר של מנייה בבורסה אינם מספקים חיווי מהימן כלשהו לגבי ביצועי העתיד של מנייה זו. ההסתכלות של ניהול הסיכונים היא תמיד .קדימה, לעתיד. נתוני העבר הם אכן תשתית חשובה, אך בפירוש לא תשתית יחידה )מסמך התייחסות, פרק2.2.2 .( הרשות מבקשת לכמת סכנה פוטנציאלית עתידית, שאינה קיימת כיום אך ניתן לכאורה לצפות כי היא עתידה להתקיים, והמאגר הביומטרי הוא פתרון הנטען לבעיה זאת. הרשות הביומטרית מבקשת כי נקבל כתורה מסיני את הצפי שלה בדבר היקף התופעה, למרות שהיא מודה במפורש כי אין לה תשתית עובדתית :מהימנה בדבר ההיקף החזוי של התופעה מתן הערכה מהימנה היא בעיה סבוכה מאד, בחלקה בגלל חוסר היכולת לכמת את אפקט ההרתעה ובחלקה בגלל שנתונים על זיופי זהות אינם מתויגים ככאלו בתיקי המשטרה, אלא מתויגים על פי העבירות שבהן היו מקרים כאלו. לדוגמה, תיק של הונאה יתויג כמקרה הונאה .ולא כמקרה של זיוף זהות, למרות שמקרה כזה היה בסיסו של התיק.()שם הוועדה המייעצת/מפקחת קבעה כי בעיה של הרכשות כפולות עלולה להתקיים בעתיד, אך דחתה לחלוטין :את ההערכות של הרשות בדבר היקף הבעיה, בהיותן מוגזמות אף שאין נתונים כמותיים המלמדים על קיומה של תופעת "הרכשות כפולות" כיום, עמדת הוועדה היא כי יש ממש בטענת הרשויות לפיה תופעת "ההרכשות הכפולות" צפויה להתפתח .בעתיד, עם המעבר לתיעוד חכם, כאשר יהיה קשה מאד לזייף את התיעוד עצמו הונחה תשתית בדבר התרחשותה הצפויה של תופעת ההרכשות הכפולות, גם אם לא במלוא .ההיקף הנחזה על ידי הרשויות ')דו"ח הוועדה מייעצת/מפקחת, תקציר מנהלים, עמ15 .( – 34 – 4.5הערכת היקף התופעה אף-אנו יוצאים מנקודת הנחה כי תופעה של הרכשות כפולות היא תופעה שעשויה להתרחש בעתיד, על שהוכח שהיא כמעט ואינה קיימת כיום . השאלה המהותית היא האם ניתן להעריך עד כמה יהיה היקף סמך הנתונים הקיימים. הרשות הביומטרית טוענת כי לא ניתן להעריך את-התופעה משמעותי בעתיד, על .היקף התופעה. נסביר מדוע עמדת הרשות שגויה ומטעה 4.5.1הערכה מתוך כלל מקרי הזיוף כיום, קל לזייף מסמכי זיהוי. בעתיד, יהיה הרבה יותר קשה לזייף מסמכי זיהוי. לכן, מספרן הכולל של עבירות מסוג זיוף תיעוד והתחזות כיום , מהווה אומדן מקסימלי של מספרן הכולל של עבירות מסוג זה -בעתיד. בהתאם לנתוני האמת )שהרשות הצניעה בדו"חותיה(, בישראל מתגלים פחות מ100 מקרי זיוף והתחזות כל שנה. לצורך העניין, נניח שלא כל המקרים מתגלים, וכי המספר האמתי הוא200, או אפילו 400 בשנה. עתה נשאלת השאלה: כמה מתוך200 או400 ,( עבירות הזיוף )מכל הסוגים ומכל המינים ?"צפויים להיות מוחלפים בעבירות התחזות מסוג "הרכשה כפולה -לצורך הדיון נניח שההיקף הצפוי של עבירות ההתחזות מסוג "הרכשה כפולה", הוא כ10% מסך עבירות הזיוף )ולא2%, התחזות בהרכשה הראשונית ובהרכשה כפולה יחדיו, לפי נתוני האמת(. אנו מגיעים להיקף של20 . מקרים בשנה,האם כדי לפתור בעיה שההיקף החזוי שלה הוא כמה עשרות מקרים לשנה ?יש להקים מאגר ביומטרי, על סכנותיו הרבות בפרקים2.2.2 - ו3 של מסמך ההתייחסות חסר נתון אחד: נטען כי תיעוד ביומטרי ללא מאגר ביומטרי מביא לתופעה של הרכשות כפולות. לפיכך, במדינות בהן קיים תיעוד ביומטרי ללא מאגר ביומטרי, ניתן לבחון את התפלגות עבירות הזיוף, וכך למדוד את ההיקף התופעה יחסית לסך עבירות הזיוף וההתחזות הידועות. לטענת הרשות קיים מידע רב בדבר הסכנות הכרוכות בהרכשה כפולה. מצופה מהרשות להציג .פילוח של העבירות, ממנו ניתן להסיק וללמוד על היקף התופעה הצפוי 4.5.2נתונים מהעולם הרשות הביומטרית מציינת כי מדינות שונות בעולם עושות שימוש ביומטרי לצורך מערך זהות לאומי23. בחלק מהמדינות הוקמו מאגרים ביומטריים של תמונות פנים לצורך הנפקת דרכונים ביומטריים. הרשות ,הביומטרית טוענת שהיא מחליפה מידע עם רשויות דומות בעולם. לכן הרשות יכולה בקלות רבה לברר מה היקף תופעת הזיוף, על כל סוגיה וגווניה, ממדינות שונות בהן קיים מסמכי זיהוי ביומטריים, עם או .ללא מאגר ביומטרי לצידו נתונים מסוג זה לא הוצגו על ידי הרשות. הנתונים קיימים – למשל במקומות בהם נעשה שימוש בדיעבד באלגוריתמים להשוואת תמונות ונתונים ביומטריים, כדי לטייב את הנתונים או לזהות מקרי זיוף זילנד(. מדינות שונות עושות השוואה של נתוני ההרכשה אל מול המאגר המשטרתי-והתחזות )כדוגמת ניו )כדוגמת בריטניה(. נתונים אלו יכולים לספק מידע בדבר ההיקף הצפוי בפועל של תופעת התחזות בהרכשה .הראשונית ותופעת ההרכשה הכפולה -זילנד מפעילה מאגר תמונות דרכון הכולל כ-ממשלת ניו4.5 מיליון תמונות. בשנת2012 ביצעה הממשלה טיוב נתונים עבור מאגר התמונות, ולשם כך הפעילה אלגוריתמים לזיהוי כפילויות במאגר. כתוצאה מכך -הוצפו כ210,000 התאמות אפשריות, שנבדקו ידנית על ידי צוות מפעילים. בסופו של דבר נמצאו65 חשודים בהרכשה כפולה, מתוכם30 הופנו לחקירת משטרה. חלק ניכר מההחשדות האחרות נגרם עקב תקלות פקידותיות24 . מתוך4,500,000 תושבים הנמצאים במאגר, התגלו30 מקרים של התחזות מסוג .הרכשה כפולה זילנד", ושבישראל חיים מאות אלפי אנשים-עשויה כמובן להיטען מיד הטענה הנפוצה ש"ישראל אינה ניו עם תיעוד מזויף. ועדיין, גם אם נכפיל את הכמות פי עשרה או פי מאה, נקבל שאמנם קיימת תופעה של .הרכשות כפולות, אך היקפה זניח למדי 23 .מערך תיעוד לאומי, כלומר מערך להנפקת תעודות זהות או דרכונים. רישיונות נהיגה אינם מערך תיעוד לאומי 24 Jared Savage, "Checks reveal 65 false passports", New Zealand's Herald 05/11/2012. – 35 – 4.6שאלת המידתיות עיקרון המידתיות, אשר שימש לא אחת בפסיקות בית המשפט העליון, נועד לקבוע האם החקיקה היא :מידתית תוך שימוש בשלושת המבחנים הבאים1. האם ישנה התאמה בין מטרת החקיקה ובין האמצעי ?המפורט בה2. האם האמצעי המפורט בחקיקה הוא זה אשר פגיעתו בפרט היא הפחותה ביותר מבין כל ?האמצעים הניתנים לשימוש לשם השגת המטרה3. האם ישנו יחס ראוי בין התועלת שתצמח מהשגת ?המטרה ובין הפגיעה בזכויות הפרט כתוצאה משימוש באמצעי הנ"ל המבחן השלישי הוא החשוב ביותר מכיוון שהוא דורש שפגיעת האמצעי המפורט בחקיקה תהיה פחותה ,לא רק ביחס לחלופות אפשריות, אלא גם ביחס לנזק שהוא גורם לזכויות הפרט באופן כללי. בהקשר זה :נביא את דברי בית המשפט העליון עת פסק כי אין להפריט את בית הסוהר ניתן, אפוא, לומר כי על אף שתיקון28 נולד מתוך שאיפה לשפר את תנאי הכליאה של האסירים, הרי תכליתו של ההסדר החקיקתי הקונקרטי שנבחר כאמצעי להגשמת שאיפה ראויה זו היא השגת חסכון כלכלי רב ככל הניתן עבור המדינה... במתח זה בין האינטרס הציבורי לבין זכויות הפרט, הנטייה היא להגן ככל הניתן על היקפן של זכויות האדם עד לאותו גבול שמעבר .אליו עלול האינטרס הציבורי באכיפת החוק להיפגע פגיעה קשה ומהותית )בג"ץ2605/05 .( חטיבת זכויות האדם נ' שר האוצר מטרת המאגר הביומטרי היא שמירה על אמינות המסמכים המזהים. המאגר הביומטרי מוצג ככלי למניעת התופעה של הרכשה כפולה של מסמכי זיהוי, והוא מקיים את מבחן המידתיות הראשון. לעומת זאת, המאגר הביומטרי נכשל במבחן השני, שכן לא זו בלבד שהוא אינו האמצעי שפגיעתו היא הפחותה ביותר, אלא להפך – המאגר הביומטרי הוא האמצעי שפגיעתו הרבה ביותר. כפי שעולה מדו"ח זה, כל אחת מהחלופות, כגון תשאול מוגבר או השיטה הבלגית, פגיעתן פחותה בהרבה מזו של המאגר. אפילו החלופה .של מאגר תמונות פנים עליה ממליצה הוועדה המייעצת/מפקחת, פוגענית פחות מהמאגר המלא המאגר הביומטרי נכשל גם במבחן המידתיות השלישי, העיקרי. כמוסבר בפרקים4 - ו6, בהתחשב בפגיעתו ,בפרטיות, בסיכון הביטחוני הנלווה, בעלותו, ובכך שבעיית ההרכשה הכפולה היא בעיה תאורטית, עתידית אשר סביר שתחול רק בהיקפים קטנים, המאגר הביומטרי מהווה פגיעה רחבת היקף ומידית, שאינה .עומדת ביחס ראוי לתועלת האפשרית שבהקמתו בהקשר של בדיקת חלופות, בית המשפט העליון כבר פסק, לא אחת, כי מבחן המידתיות קשור הוא בבחינת החלופות; על המדינה לבדוק את כל החלופות, ולא להסתפק בחלופה שמאפשרת את התוצאה הרצויה, אלא לבדוק חלופות אשר אינן פוגעות בזכויות אדם, גם אם אותן חלופות לא מספקות למדינה את הפתרון המלא. בשני מקרים בית המשפט העליון הורה למדינה בעבר לבחון חלופות כאשר הפתרון :שהוצג הפר זכויות אדם על המפקד הצבאי לשקול חלופות אשר גם אם תרומנה למידת ביטחון פחותה, הן תגרומנה .להקטנה משמעותית )גם אם לא מלאה( בפגיעה בחיי התושבים המקומיים )בג"ץ2056/04 .( מועצת הכפר בית סוריק נ' ממשלת ישראל על המשיבים4-1 לשקול מחדש, בתוך זמן סביר, את החלופות השונות של תוואי גדר ההפרדה באלפי מנשה, תוך שעליהם לבחון חלופות ביטחוניות הפוגעות פחות בחיי התושבים של כפרי המובלעת. בהקשר זה יש לבחון את החלופה לפיה המובלעת תכלול את אלפי מנשה בלבד וכביש מחבר לישראל, תוך העתקת הכביש הקיים המחבר בין אלפי מנשה לבין ישראל למקום .אחר בדרום המובלעת )בג"ץ7957/04 .( מראעבה נ' ראש ממשלת ישראל :אין מחלוקת, כי בחינת המידתיות חייבת להתבצע באמצעות החלופות; במקרה שלנו, החלופות שהוצגו הן השיטה הבלגית, הן שיטת התשאול המוגבר, הן חלופת מאגר התמונות המופחתות ואפילו הצעת הועדה המייעצת/המפקחת לשימוש במאגר תמונות פנים בלבד, כל אחת מהן משיגה את הפתרון בצורה מידתית .יותר – 36 – 5.מאגרים ביומטריים בעולם המערבי המערבי, הדומים לתכנית-הדיון ההשוואתי לגבי קיומם של מאגרים ביומטריים בעולם הדמוקרטי הישראלית, צריך להסתמך על נתונים ברורים. למרבה הצער, עולות סתירות בין הנתונים המסופקים ידי הרשות-על הביומטרית לבין הנתונים של סקירת מרכז המידע והמחקר של הכנסת. הסקירות מציגות .תמונות שונות בתכלית, ובפרק זה נציג את מקור הסתירות 5.1תפוצת מאגרים ביומטריים בעולם, לפי סקירת הרשות הביומטרית הרשות הביומטרית פרסמה מסמך בשם "נחיצות המאגר הביומטרי חלקII: מאגרים ביומטריים ומגמות -עולמיות בתחום הביומטריה". במסמך נטען כי ב13 מדינות מערביות )לפחות( הוקמו מאגרים ביומטריים .עבור אזרחי אותן המדינות. כך נטען גם בדו"ח המסכם במסגרת בחינת הנחיצות בוצעה עבודת מחקר מקיפה לבחינת הנעשה בעולם בתחום הביומטריה, בדגש על יישום מאגרים ביומטריים. את תוצר העבודה ניתן לראות במסמך ""מאגרים ביומטריים ומגמות עולמיות בתחום הביומטריה כשבתמצית ניתן לומר כי בשנים האחרונות הולכת ומתפתחת בעולם מגמת השימוש בביומטריה ככלי נפוץ לאימות זהות .משתמשים במגוון תחומים ]…[ ביישומים אשר בהם נדרשת רמה גבוהה של מהימנות .בתהליך ההזדהות יש לעיתים קרובות שימוש גם במאגרי נתונים ביומטריים מרכזיים במדינות מובילות רבות בעולם , ובהן: שווייץ, דנמרק, בלגיה, בריטניה, צרפת, אוסטרליה, ניו ,זילנד, פינלנד, מקסיקו, הודו, ספרד, ברזיל, קנדה, ארצות הברית ועוד הוקמו בשנים האחרונות מאגרי נתונים ביומטריים הכוללים את פרטי אזרחי המדינות במסגרת הנפקת .תיעוד לאומי, דרכונים או רישיונות נהיגה )דו"ח מסכם, פרק3.8 .( הרשות טוענת למגמה עולמית של שימוש גובר בביומטריה לצורך אימות זהות, ויש לא מעט מן האמת בטענתה זו. היא טוענת עוד, כי מדינות מערביות רבות בעולם הקימו מאגרי נתונים ביומטריים הכוללים .את פרטי אזרחי אותן המדינות. את הטענה הזאת הפריך מרכז המחקר והמידע של הכנסת, כמוסבר להלן 5.2תפוצת מאגרים ביומטריים בעולם, לפי סקירת הממ"מ יו"ר ועדת המדע והטכנולוגיה של הכנסת, ח"כ משה גפני, ביקש מהממ"מ לערוך עבור הוועדה מחקר בדבר תפוצת מאגרים ביומטריים בעולם. הממ"מ פרסם סקירה מקיפה, "אמצעי זיהוי ביומטריים במסמכי "זיהוי ושמירת המידע במאגרי מידע ממשלתיים – תמונת מצב25, אשר מעדכנת סקירה קודמת בנושא26. המסמך סוקר את המדינות המערביות לפי המאפיינים הבאים: האם הנפקת מסמכי הזיהוי היא חובה או .רשות; האם מסמכי הזיהוי כוללים מידע ביומטרי; האם הנתונים הביומטריים נאגרים במאגר מרכזי המסמך מתייחס למאגרים המיועדים לאזרחי המדינה כולם, לא למאגרים המיועדים לזרים המבקשים .להיכנס למדינה, למאגים המיועדים לחשודים בפלילי וכיוצא באלו מן הסקירה המעודכנת עולה שרק במדינה מערבית אחת, פורטוגל27, קיים )ככל הנראה( מאגר ביומטרי הדומה למאגר המתוכנן בישראל. בשאר המדינות אין חובה להנפיק תעודה ביומטרית, או שהנתונים :הביומטריים נשמרים בתעודה בלבד ולא במאגר 25 הסקירה הוכנה ביום31/03/2014 ופורסמה ביום26/10/2014 ; הסקירה עודכנה ביום10/02/2015 וביום24/02/2015 . http://knesset.gov.il/committees/heb/material/data/H26-10-2014_08-59-57_mmm.pdf http://knesset.gov.il/committees/heb/material/data/H11-02-2015_15-25-08_mmmmeodkan.pdf http://knesset.gov.il/committees/heb/material/data/H24-02-2015_16-02-48_mmmmeodkan240215.pdf 26 "אמצעי זיהוי ביומטריים במסמכי זיהוי ומאגרי מידע ממשלתיים, סקירה משווה", ינואר2009 . http://knesset.gov.il/mmm/data/pdf/m02179.pdf 27קיים מידע סותר לגביי פורטוגל. ידוע כי נעשה שימוש בתעודות ביומטריות, אך לא ברור אם המידע נשמר גם במאגר -ביומטרי. לפי דו"ח הEPHR טביעות אצבע נשמרות בתעודה בלבד. בנוסף, החוקה הפורטוגזית אוסרת על הקמת מרשם :ארציArticle 35 section 5: "The allocation of a single national number to any citizen shall be prohibited" . ר' גם סקירת חברתGemalto :, כאןhttp://gemalto.com/govt/inspired/biometrics/portugal – 37 – באשר לקיומו של מאגר ביומטרי לצורך הנפקת תעודות זהות, בארבע מתשע המדינות שנעשה בהן שימוש בתעודת זהות )ללא ישראל(, אין מאגר של מידע ביומטרי כלשהו לצורך תעודות הזהות )הולנד, שבדיה, גרמניה וצרפת(; בבלגיה28 ובפינלנד29 ישנו מאגר תמונות עבור הנפקת תעודות זהות; בשווייץ30 ישנו מאגר תמונות אך אין חובה לתת טביעות אצבע; בפורטוגל31 ישנו מאגר ביומטרי הכול]ל[ תמונות וטביעות אצבע; באשר לספרד32 ולאוסטריה33 אין ברשותנו מידע .קיומו של מאגר-חד משמעי על קיומו או אי ')ממ"מ, סקירה משווה, עמ50 .( 5.3התייחסות לסתירות בין הסקירות בהתאם לנתוני הממ"מ, קיימת מדינה מערבית אחת – פורטוגל – בה קיים )אולי( מאגר ביומטרי -שהצטרפות אליו היא חובה לאזרחי המדינה. מנגד, הרשות הביומטרית טוענת כי לפחות ב13 מדינות ,מערביות )שווייץ, דנמרק, בלגיה, בריטניה, צרפת, אוסטרליה, ניו זילנד, פינלנד, מקסיקו, הודו, ספרד ברזיל, קנדה, ארצות הברית( הוקמו בשנים האחרונות מאגרים הכוללים את הפרטים הביומטריים של :אזרחי אותן המדינות. דו"ח המעקב מתייחס לסתירה זו דו"ח הרשות השני בחר להתייחס למתרחש בעולם כחלק מהוכחת הנחיצות לקיומו של מאגר 'ביומטרי בישראל. )עמ83-90 סעיף5.3(. כמו כן נשלח לוועדה דו"ח נפרד שערכה הרשות הסוקר .מגמות ביומטריות עולמיות כחלק מהוכחת נחיצות כאמור .דו"ח הרשות איננו מפרט את המקורות עליהם נסמך המידע המובא בו על המתרחש בעולם לעומת זאת, מרכז המחקר והמידע של הכנסת ערך בנפרד מסמך אקדמי ומעודכן לפברואר2015 )המסמך המקורי פורסם במרס2014 .(, המגובה במקורות מפורטים על המתרחש בעולם ממצאי דו"ח מרכז המחקר והמידע הכנסת סותרים בחלקם את הממצאים שהובאו בדו"ח .הרשות לניהול המאגר הביומטרי )דו"ח מעקב, סעיף3.3 .( הסיבה לשוני הוא שהרשות הביומטרית מערבת סוגים שונים של מאגרים, מין בשאינו מינו: מאגרים ביומטריים המיועדים לזרים, יחד עם מאגרים ביומטריים המיועדים לאזרחי המדינה; מאגרים התנדבותיים יחד עם מאגרי חובה ל אזרחים; מאגרים המיועדים לאוכלוסיות מיוחדות, כגון חשודים .בפלילים, עם מאגרי נתונים על כלל אזרחי המדינה; ועוד סקירת הממ"מ העדכנית מתייחסת לנתונים שהביאה הרשות הביומטרית. בסקירה מצוין כי הרשות לא סיפקה סימוכין למספר טענות בדבר קיומם של מאגרים ביומטריים במדינות שונות34. במסמך רקע של ועדת הכנסת המשותפת, שהוכן לקראת הדיון ביום24/06/2015 :, נרשם כך .מרכז המחקר והמידע של הכנסת ביצע בדיקה מעודכנת של המתרחש במדינות אחרות בעולם :דו"ח זה נמצא על שולחן הוועדה. מדו"ח מרכז המחקר והמידע של הכנסת עולה כי בכל הנוגע למדינות שבהן נעשה שימוש בתעודת זהות, וידוע לנו שקיים בהן מאגר ביומטרי של תעודות זהות – מדובר על פורטוגל ועל שווייץ, אך לגבי שווייץ ידוע לנו כי אין חובה להנפיק תעודת זהות )וישנה אפשרות לבחור תעודה ללא אמצעי זיהוי ביומטריים, או .(תעודה רק עם תמונה ללא טביעות אצבע – יחד עם זאת ,גם בספרד קיים איסוף של תמונת פנים וטביעות אצבע לצורך הנפקת תעודות זהות )נכון להיום יש חובה לתעודת זהות אם כי לא לתעודת זהות אלקטרונית(, אך לגבי קיומו של מאגר ביומטרי .המידע שבידינו סותר ואינו חד משמעי 28 לפי פרק2.4 . בבלגיה נשמרות תמונות אנלוגיות סרוקות, המאפשרות אימות זהות בלבד בהנפקה חוזרת 29 לפי פרק2.11 . בפינלנד אין חובה להוציא תעודת זהות 30 לפי פרק2.9 . בשווייץ אין חובה להוציא תעודת זהות או תעודה אלקטרונית 31 לפי פרק2.7 ."בהירות מסוימת ביחס לקיומו של מאגר ביומטרי- לגבי פורטוגל קיימת "אי 32 לפי פרק2.6.1 . בספרד אין חובה להוציא תעודה אלקטרונית 33 לפי פרק2.12 . באוסטריה אין חובה להוציא תעודת זהות 34 ר' סקירת הממ"מ: ה"ש110 ; ה"ש132 ; פרק2.3.3 . – 38 – ,באוסטריה )שבה תעודת זהות אינה חובה( קיים איסוף של תמונות לצורך הנפקת תעודת זהות .קיומו של מאגר-אך אין בידינו מידע באשר לקיומו או אי בבלגיה, בה חובה לשאת תעודת זהות, ישנו מאגר תמונות אנלוגיות שמשתמע כי אפשרויות .החיפוש בו מוגבלות בהולנד, בה אין חובה לשאת תעודת זהות )אלא תעודה מזהה כלשהי(, ידוע על מאגרי תמונות .ברשויות המקומיות )מסמך רקע מיום24/06/2015 ', עמ6 .( :השאלה המשמעותית והרלוונטית היא זאת באילו מדינות מערביות קיים מאגר ביומטרי, אשר ?הצטרפות אליו היא חובה לכלל אזרחי אותה מדינה בעמודים הבאים מוצגת טבלת השוואה בין סקירת הרשות הביומטרית לבין סקירת הממ"מ. ההשוואה מפרידה בין מאגרים המיועדים לאזרחים, לבין כן, ההשוואה מפרידה בין תעודות זהות לבין-מאגרים המיועדים לזרים, לחשודים בפלילים וכיוצ"ב. כמו .דרכונים 5.4התייחסות הרשות הביומטרית ,הרשות הביומטרית טוענת כי בידיה מידע בדבר מאגרים ביומטריים נוספים במדינות מערביות. לטענתה נאסר עליה לפרסם את הנתונים מטעמי סודיות35. לדעתנו אין זה סביר כי דמוקרטיה מערבית מתקדמת שומרת מידע ביומטרי מלא על אזרחיה, ללא חוק מסמיך ומבלי שהאזרחים יהיו מודעים לכך36. :את התייחסות הרשות הביומטרית ניתן לתמצת בפסקה אחת סוגיית המנדטוריות של מאגר ביומטרי המופיעה בדוח המתנגדים, כלומר האם הרישום ,למאגר מחויב בחקיקה או התנדבותי אשר עולה בדוח המתנגדים היא סוגיה משנית מאד .בעינינו אנו סבורים שהגישה הנכונה והשקופה היא "לשים הכל על השולחן", כלומר להגדיר בצורה שקופה, מפורשת ומפורטת את "כללי המשחק". במדינות אחרות ננקטה לעיתים גישה .שונה לגמרי, שהפכה במקרים רבים מאגר התנדבותי לכאורה למאגר מחויב בפועל )מסמך התייחסות, פרק4.2 .( 35 מסמך התייחסות, פרק4.2 . 36 לדוגמה, הרשות טוענת )מסמך התייחסות, ה"ש24( שבבריטניה קיים מאגר ביומטרי לדרכונים בהסתמך על פרסום מכרז ) ביומטרי. אך המכרז מתייחס למערכת השוואה ביומטרית של תמונות אל מול רשימת בדוקאיםWatchlist(. לדעתנו, לא .ניתן להסיק מנתוני המכרז שממשלת בריטניה הקימה, ללא הסמכה כחוק, מאגר תמונות של בעלי דרכונים ") בעדות כתובהWritten evidence submitted by the Home Office"( שהוגשה מטעם משרד הפנים הבריטי בנושא .שימוש בביומטריה, מוזכרים מאגרים ביומטריים שונים, אף לא אחד מהם מאגר ארצי של אזרחי המדינה http://data.parliament.uk/writtenevidence/committeeevidence.svc/evidencedocument/science-and-technology- committee/current-and-future-uses-of-biometric-data-and-technologies/written/14712.pdf – 39 – 5.5תפוצת מאגרים ביומטריים בעולם המערבי – השוואת סקירות :מקור (מסמך הממ"מ )גרסה ראשונהhttp://knesset.gov.il/committees/heb/material/data/H26-10-2014_08-59-57_mmm.pdf (מסמך הממ"מ )גרסה שלישיתhttp://knesset.gov.il/committees/heb/material/data/H24-02-2015_16-02-48_mmmmeodkan240215.pdf מסמך הרשות הביומטריתhttp://knesset.gov.il/committees/heb/material/data/H02-02-2015_16-07-00_perek2.pdf :מקרא ✔יש מאגר ביומטרי חובה לתעודות זהות✓ יש מאגר ביומטרי/תמונות לדרכונים()או לרישיונות נהיגה ✘אין מאגר ביומטרי חובה לתעודות זהות✗אין מאגר ביומטרי/תמונות לדרכונים( )או לרישיונות נהיגה ✔✘מאגר ביומטרי חלקי או אחר ✓✗ מאגר ביומטרי חלקי או אחר ?אין מידע או קיים מידע סותר טקסט באפור – מאגר שאינו( מיועד לאזרחים )מאגר לזרים, לחשודים בפלילי וכיוצ"ב מדינה סוג סקירת הרשות הביומטרית ٭ סקירת הממ"מ ٭٭ ٭ ٭٭ האיחוד האירופאי – זריםEurodac – חשודיםSIS/Prum – זריםVIS – זריםEntry/Exit 3.3.21 מבקשי מקלט 3.3.23 מאגר אירופאי משותף 3.3.20 מבקשי אשרות 3.3.22 ביקורת הגבולות 2.1.1 מאגר לזרים – מבקשי מקלט, מסתננים ושב"חים 2.1.2 מאגר לחשודים 2.1.3 מאגר למבקשי אשרה זרים 2.1.4 מאגר מתוכנן לזרים – המידע ימחק לאחר180 יום דרכונים2.1.5 דרכונים ביומטריים✗ ארה"ב תעודות זהות רישיונות נהיגה – דרכוניםCCD 3.2.1 אין תעודות זהות 3.3.1 מאגר תמונות 3.3.6 מאגר תמונות למבקשי דרכון 2.2. אין מרשם פדרלי ואין חובה להוציא תעודת זהות 2.2.1 בחלק מהמדינות מאגר תמונות לרישיונות]1[ 2.2.4-5 - הנתונים נשמרים לחצי שנה בTDIS ואז נמחקים ✘ ✓ ✓ ✘ ✓✗ ✓✗ – זריםUS-VISIT – חשודיםFBI IAFIS – אשרותCCD TWIC DHS 3.3.3 מאגר ביומטרי ביקורת הגבולות 3.3.7 - מאגר הFBI 3.3.5 מאגר למבקשי אשרות 3.3.2 מאגר ביומטרי לעובדי ממשל 3.3.4 - מאגר ביומטרי הDHS 2.2.2 מאגר לזרים 2.2.3 חשודים, עובדי ממשל פדרלי וצבא 2.2.4 מאגר לזרים ] 1[ .רישיונות נהיגה תקפים בכל המדינות, ולכן ניתן להוציא רישיון נהיגה במדינה אחרת בריטניה תעודות זהות דרכונים3.3.8 מאגר ביומטרי לדרכונים 2.3.1 מאגר ביומטרי לת"ז בוטל בדצמבר2010 ! 2.3.3 אין מאגר ביומטרי]1[ ✓ ✘ ✗ זרים3.3.9 מאגר ביומטרי לזרים2.3.2 מאגר ביומטרי לזרים ] 1[ .""לטענת נציג הרשות… נדרש קיומו של מאגר תמונות פנים. ]אולם[ פרסומים רשמיים של הממשלה הבריטית… אינם מתייחסים לנושא מאגר התמונות בלגיה תעודות זהות דרכונים 3.3.18 מאגר תמונות לתעודות זהות 3.3.18 מאגר תמונות לדרכונים 2.4 מאגר תמונות ()לא ביומטריות לתעודות זהות ורישיונות]1[ 2.4 מאגר תמונות )לא ביומטריות( לדרכונים]1[ ✔ ✓ ✔✘ ✓✗ ] 1[ .לפי הממ"מ, נשמרות תמונות אנלוגיות סרוקות, לצורכי אימות זהות בלבד הולנד תעודות זהות דרכונים 2.5.2 אין מאגר לתעודות זהות )המאגר בוטל בשנת2011 (! 2.5.2 החוק מאפשר מאגר תמונות לדרכונים, בפועל אין כרגע ✘ ✗ ספרד תעודות זהות דרכונים 3.3.13 יש מאגר ביומטרי 3.3.13 מאגר ביומטרי הכולל עשר אצבעות]1[ 2.6 יש מאגר לתעודות זיהוי, אין חובה להצטרף 2.6 לא ידוע לגבי מאגר דרכונים ✔ ✓ ✘ ✗? ] 1[ .הממ"מ העיר כי הרשות הביומטרית לא ספקה סימוכין לטענה זאת פורטוגל תעודות זהות דרכונים 2.7בהירות בנוגע למאגר- התעודות כוללת מידע ביומטרי, אי]1[ 2.7 אין מידע לגבי מאגר ביומטרי לדרכונים ? ✔ ? ] 1[ בהירות מסוימת ביחס לקיומו של מאגר ביומטרי". לפי דו"ח-לפי דו"ח הממ"מ, "איEPHR ' )עמ639 .(, נראה כי טביעות אצבע נשמרות בתעודה בלבד פולין דרכונים2.8 אין מאגר ביומטרי✗ שווייץ תעודות זהות דרכונים 3.3.19 יש מאגר ביומטרי 3.3.19 יש מאגר ביומטרי 2.9 יש מאגר לתעודות זיהוי, אך אין חובה להוציא 2.9 מאגר ביומטרי לדרכונים ✔ ✓ ✘ ✓ דנמרק תעודות זהות דרכונים3.3.15 יש מאגר ביומטרי]1[ 2.10 ככל הנראה אין מאגר ביומטרי]2[ 2.10 אין מידע חד משמעי]2[ ✓ ✘ ✗? ] 1[ .הממ"מ העיר כי הרשות הביומטרית לא ספקה סימוכין לטענה זאת ] 2[ הממ"מ מציין כי לפי דו"חTILT ' )עמ32 .(, אין בדנמרק מאגרים ביומטריים לאזרחים. בדנמרק אין חובה להוציא תעודת זהות פינלנד תעודות זהות דרכונים3.3.14 , 3.3.17 מאגר ביומטרי לדרכונים 2.11 מאגר עם תמונה ודוגמת חתימה, אין חובה להוציא 2.11 מאגר ביומטרי, נמחק לאחר תפוגת הדרכון✓ ✘ ✓ אוסטריה תעודות זהות דרכונים 2.12 לא ידוע אם קיים מאגר, אין חובה להוציא 2.12 לא ידוע אם קיים מאגר]1[ ✘ ✗? ] 1[ דו"חTILT ' )עמ31 (: לאחר שמירת הפרטים הביומטריים בדרכון, המידע הביומטרי נמחק עפ"י חוק. ר' גם דו"חEPHR ' עמ88 . שבדיה תעודות זהות דרכונים 2.13 אין מאגר ביומטרי לתעודות זהות 2.13 אין מאגר ביומטרי לדרכונים ✘ ✗ צרפת תעודות זהות דרכונים6.1 מאגר ביומטרי לדרכונים 2.14 -מאגר תעודות בוטל ב2012 ! אין חובה להוציא 2.14 יש מאגר לדרכונים]1[ ✓ ✘ ✓ ] 1[ דו"חTILT ' )עמ33 .( מציג נתונים סותרים גרמניה תעודות זהות דרכונים 2.15 אין מאגר ביומטרי לתעודות זהות 2.15 אין מאגר ביומטרי לדרכונים ✘ ✗ אוסטרליה דרכונים3.3.10 מאגר תמונות לדרכונים2.16.1 מאגר תמונות לדרכונים✓ ✓ זילנד-ניו דרכונים3.3.11 מאגר תמונות לדרכונים2.17.1 מאגר תמונות לדרכונים✓ ✓ קנדה דרכונים3.3.24 מאגר תמונות לדרכונים2.18.1 מאגר תמונות לדרכונים✓ ✓ :מקורות נוספים דו"חTILT 2013 http:// www. coe.int/t/dghl/standardsetting/dataprotection/tpd_documents/CoE_Progress_report_2013 04 12_17 46_final!.pdf דו"חEPHR 2011 http://cmds.ceu.edu/sites/cmcs.ceu.hu/files/attachment/article/275/ephr.pdf 6.תכנון המערכת הביומטרית פרק זה יסקור את הליקויים בתכנון ובתורת ההפעלה של המאגר הביומטרי. בפרק6.1 נתייחס לדרך בה גובשה תורת ההפעלה מחוץ למשרד הפנים . בפרק6.2 נתייחס לשאילתות המתוכננות למאגר. בפרק6.3 .נציג מספר שגיאות בתכנון אופן פעולת המערכת 6.1עבודת המטה לגיבוש תורת ההפעלה 6.1.1חוץ-גיבוש תורת ההפעלה במיקור משרד הפנים העביר את סמכותו לקבוע מדיניות ותורת הפעלה למאגר הביומטרי למטה ללוחמה בטרור ,)הלוט"ר(. מבקר המדינה מצא בכך פגם, והעיר כי משרד הפנים הוא שצריך היה לבצע את עבודת המטה :וכי העברת האחריות להתוויית תורת ההפעלה, נעשתה בניגוד גמור לכללי המנהל התקין משרד מבקר המדינה העיר כי משרד הפנים מחזיק בתפקידים אזרחיים במהותם שנקבעו בסדרת חוקים, וכי תורת ההפעלה צריכה להיגזר ממדיניות המשרד, שאמורים לקבוע קברניטיו. היה אפשר לצפות שאת עבודת המטה לגיבוש תורת ההפעלה יובילו גורמים במשרד המעורים בפעולותיו וביעדיו ואחראים למימושם ושהמשרד לא יטיל זאת על גוף חיצוני שתפקידיו .העיקריים נוגעים לעניינים ביטחוניים משרד מבקר המדינה חוזר ומעיר כי תורת ההפעלה כשמה כן היא, תורה שנועדה להגדיר את הפעולות שמשרד הפנים נדרש לעשות לשם הנפקת תעודת זהות חכמה, ובכללן קביעת תהליכי ההנפקה, תהליכי תפעול הלשכות ועוד. לדעת משרד מבקר המדינה היות שתעודת הזהות היא מסמך אזרחי, היה אפשר לצפות כי את עבודת המטה לגיבוש תורת ההפעלה יובילו הגורמים .המוסמכים במשרד ולא גוף חיצוני )מבקר המדינה, דו"ח שנתי61 'ב, עמ1178 .( 6.1.2'אובדן' מסמכי גיבוש המדיניות לא ניתן לבחון את התהליכים במשרד הפנים אשר הובילו להחלטה להקים מאגר ביומטרי במסגרת :פרויקט התיעוד הלאומי, שכן המשרד טוען שמסמכי גיבוש המדיניות אבדו ואינם בנמצא משרד מבקר המדינה ביקש לעיין במסמכים המתעדים את הדיונים שקיים המנכ"ל דאז, מר אריה בר, בעניין תורת ההפעלה שגיבש המטה ללוט"ר ואת ההחלטות שקיבל. ]…[ לא נמצאו […] מסמכים המסכמים את הדיונים ואת ההחלטות שהתקבלו במסגרתם. משרד מבקר המדינה ביקש לקבל מסמכים המלמדים על החלטות שקיבלו השר והמנכ"ל בשנים2007-2008 וכן מסמכים שבהם נידונו בשנים אלה תורת ההפעלה והאישור שניתן לה. בתגובה הודיע מנכ"ל המשרד, מר גבריאל מימון, כי "]ה[מסמכים ]…[ לא נמצאו ולכן אין באפשרותנו להעביר ."אליכם לדעת משרד מבקר המדינה היעדרם של מסמכי מפתח בלשכת מנכ"ל משרד הפנים הנוכחי על אודות הפרויקט, על מטרותיו, על ההחלטות שהתקבלו בעניינו ועל אבני הדרך שנקבעו ליישומו, אף על פי שהפרויקט נמצא בעיצומו, שחשיבותו הלאומית רבה ושעלויותיו .גבוהות, פוגע ברציפות השלטונית זאת ועוד, משרד מבקר המדינה מעיר למשרד הפנים כי בהיעדר מסמכים על תהליך קבלת אפשר לדעת מהם השיקולים והנתונים שעליהם התבססו השר והמנכ"ל-ההחלטות אי בהחלטותיהם. מן הראוי היה שמשרד הפנים יתעד את הדיונים שבמהלכם גיבש את מדיניותו וקיבל החלטות בעניין כה חשוב, וכי יתעד את מסמכיו באופן שיטתי ועל פי הכללים שנקבעו בחוק, בהנחיות היועץ המשפטי לממשלה ובהוראות גנז המדינה, כדי .שישמשו זיכרון ארגוני וכדי שיהיה אפשר לעיין בהם ')שם, עמ1179-1180 .( 6.1.3היעדר ביקורת על מסמכי המדיניות הרשות הביומטרית הסבירה כי ההחלטה על הקמת מאגר ביומטרי נובעת מעבודת המטה שהתבצעה ע"י :(הלוט"ר )אשר מסמכי הגיבוש שלה "אבדו", כאמור לעיל – 42 – הצורך בהקמת המאגר הביומטרי הוגדר כאמור בעבודת המטה שהתבצעה על ידי מטה לוט"ר והצביעה על הצורך בניהול סיכונים הצופה פני עתיד, על פיו לא ניתן להסתפק בשכלול מסמכי הזיהוי עצמם, אלא שגם לאחר שכלולם יש לתת מענה לפרצות נוספות שנותרות במערך התיעוד .הלאומי כאשר מסמכי הזיהוי עצמם אינם ניתנים יותר לזיוף )דו"ח מסכם, פרק3 .( האם מסמך המדיניות של הלוט"ר קובע כי המאגר הביומטרי הוא הפתרון היחיד לבעיית זיוף מסמכי תיעוד, או כי מאגר ביומטרי יכול להיות פתרון, ויכולים שיהיו גם פתרונות נוספים? הרשות הביומטרית מסרבת להציג את מסמך המדיניות של הלוט"ר לציבור. גורמים מקצועיים ברשות האוכלוסין וההגירה הציעו כי תינתן למומחים חיצוניים )בעלי סיווג בטחוני מספק( אפשרות לעיין במסמך, אך הניסיון לקדם .את היזמה נכשל עקב התנגדות הרשות הביומטרית 6.1.4עדכון תורת ההפעלה הוועדה המייעצת/מפקחת מציינת כי עולם היישומים הביומטריים משתנה במהירות, ואין מקום להיצמד .לתורת הפעלה שגובשה לפני שנים עולם הזיהוי ובתוכו עולם היישומים הביומטריים מתפתח ומשתנה במהירות רבה. ערב קבלת החלטה בעלת משמעות הנוגעת לכל אחד מאיתנו כפרטים ולמדינת ישראל, נכון להעדיף ראייה רחבה ועדכנית, הנותנת מענה מספק למטרה הראשונה והמרכזית של החוק, על פני היצמדות לתהליך שהיה נכון במועד בו עוצבה תורת ההפעלה2007-2008 . המשמשת בבסיסו של החוק ')דו"ח הוועדה המייעצת/מפקחת, תקציר מנהלים, עמ19 .( 6.2אופני הפעולה של המאגר הביומטרי – מאגרים ביומטריים ברחבי העולם משמשים בשני אופני פעולה נפוצים אימות ביומטרי ו זיהוי ביומטרי. ,המאגר הישראלי ייחודי בכך שהוא דורש אופן פעולה שלישי זיהוי הרכשות כפולות. 6.2.1 ) אימות ביומטריauthentication ( בשאילתת אימות, המערכת מקבלת דגימה ביומטרית יחד עם מידע מזהה על אדם, ומחזירה תשובה .חיובית אם הדגימה הביומטרית תואמת את הנתונים הביומטריים השמורים במאגר עבור אותו אדם ) "ההשוואה היא של דגימה ביומטרית מסוימת מול רשומה ביומטרית מסוימת, "אחד מול אחדone to one .(. קל לבצע אימות ביומטרי בדיוק גבוה במקרה זה מתקבלות דגימות ביומטריות של אדם ]…[. מערכות המאגר מבצעות השוואה מסוג 1:1 של הדגימה המתקבלת לדגימות קיימות בזהות זו, ומשיבות אם הדגימות שהתקבלו דומות .לדגימות הקיימות או לא )דו"ח מסכם, פרק5.6.3 .( 6.2.2 ) זיהוי ביומטריidentification ( בשאילתת זיהוי, המערכת מקבלת דגימה ביומטרית לא ידועה, ומחזירה זהות של אדם שנתוניו ) "הביומטריים תואמים לדגימה. הזיהוי מתבצע באמצעות השוואה מסוג "אחד מול רביםone to many ,( כלומר דגימה ביומטרית מסוימת מושווית לכל הרשומות הביומטריות שבמאגר. זהו אופן הפעולה השכיח של מערכות ביומטריות המשמשות לזיהוי פלילי, לזיהוי נעדרים או לזיהוי של אנשים החסרים יכולת להזדהות. זיהוי ביומטרי מורכב יותר מאימות ביומטרי, וככל שהאוכלוסייה גדולה יותר, כך קשה יותר .לבצע זיהוי ביומטרי באופן מדויק במקרה זה מתקבלות דגימות ביומטריות של אדם ]…[. מערכות המאגר משיבות בזהות אחת )או יותר( שדגימותיה הקיימות במאגר דומות בצורה המרבית לדגימות שהתקבלו. לצורך שאילתה זו מתבצע חיפוש מסוג1:M . )דו"ח מסכם, פרק5.6.2 .( 6.2.3 ) גילוי הרכשות כפולותde-duplication ( :המערכת אותה מבקש משרד הפנים להקים ייחודית בכך שהיא דורשת אופן שימוש שלישי גילוי הרכשות כפולות) ", כלומר התאמה של "רבים מול רביםmany to many(. פעולה זאת מסובכת בהרבה מזיהוי .ביומטרי, ודיוקה נמוך יותר – 43 – במקרה זה מתקבלות מלשכות רשות האוכלוסין דגימות חדשות של תושבים ]…[. הדגימות החדשות נבדקות מול כלל הדגימות הקיימות במאגר )תרחיש זיהוי, על ידי חיפוש מסוג1:M ,( כדי למנוע הרכשה כפולה, כלומר שתי זהויות שונות השייכות לאותו אדם. אם נמצאת דגימה דומה מאוד תחת זהות אחרת, יש חשד להתחזות ויש לבדוק את הנושא. אם לאותה זהות כבר קיימות דגימות קודמות במאגר )כגון בעת חידוש תיעוד או קבלת סוג שונה של תיעוד(, הדגימות החדשות נבדקות גם מול הדגימות הקודמות )תרחיש אימות זהות על ידי השוואה מסוג1:1 ,( .במטרה למנוע משני אנשים שונים להנפיק תעודות בשם זהות יחידה )דו"ח מסכם, פרק5.6.1 .( 6.2.4ייחודיות המאגר הישראלי ,לדברי אנשי רשות האוכלוסין וההגירה השימוש במאגר ביומטרי ככלי לגילוי הרכשות כפולות נדיר .למדי, ואינו קיים כמעט במערכות ביומטריות בעולם זאת אחת הסיבות לכישלון המכרזים הבינלאומיים להקמת מערכת השוואה ביומטרית )כמוסבר בפרק8.5(. הסבר דומה סיפק מנהל אגף הפרויקטים ברשות :האוכלוסין וההגירה במהלך הדיונים על הפרויקט ,אנחנו עוסקים בפרויקט לאומי כבד, קשה, מסובך שאין לו דוגמא לא במדינת ישראל וגם לא .במקומות שביקרנו בעולם, על מנת לחקות ולהעתיק ולעשות מה שעשו בכל תחום ותחום )הוועדה לביקורת המדינה, פרוטוקול מיום21/06/2011 .( :הרשות הביומטרית טענה בתגובה כי אין שחר לטענות בדבר ייחודיות המאגר הישראלי ,אפיון המאגר תוכנן על פי המקובל במדינות ובארגונים המנהלים מאגרים ביומטריים גדולים תוך שקלול התצורה הייחודית של מאגר ביומטרי ללא נתונים ביוגרפיים מזהים, שנקבעה בחקיקה. אין שחר לאמירה שכתובה בדו"ח המתנגדים בנושא זה. לדוגמה, נאמר שם שתצורת -הde-duplication . הינה ייחודית ונדירה בעולם לאמירה זו אין שחר ואין אחיזה במציאות .והיא מוטעית ומטעה […] זוהי שיטת עבודה מקובלת והטענה שתהליך כזה הינו חריג .בעולם היא פשוט מגוחכת וחסרת שחר )מסמך התייחסות, פרק5.2.3 .( ,אנחנו עומדים מאחורי האמירה כי המאגר תוכנן ככלי שמטרתו העיקרית היא זיהוי הרכשות כפולות וככזה דרישותיו ייחודיות ונדירות. אנחנו מסתמכים, בין השאר, על דברי אנשי הרשות הביומטרית :וראשה, כפי שהוצגו בזמן אמת בעת תכנון אופני הפעולה של המאגר הביומטרי ) יש לציין שעד היום לא בוצעו ברחבי העולם פרויקטים רבים של התאמהMATCHING ( ביומטרית לצורךDe-duplication ) ברמת מדינה ליישומים אזרחייםCivil(, ]…[ ומספר .השחקנים הרלבנטיים בעלי ידע וניסיון מוכח, הינו מצומצם לאחר ביטול המכרז ]מכרז118/2011[, נעשתה בדיקה לאתר פרויקטים נוספים בעלי מאפיינים .דומים ]…[ החיפושים העלו מעט מאוד מידע חדש )גון קמני, חוו"ד מקצועית מיום22/07/2012 .( 6.3תכנון לקוי בגיבוש תורת ההפעלה 6.3.1תעודה עם שבב מקולקל עדיין תקפה .השימוש בתעודה חכמה מותנה בכך שהתעודה פועלת באופן תקין, וניתן לבצע בעזרתה אימות זהות האימות נעשה בפועל ע"י תקשורת מוצפנת עם השבב שעל התעודה. אם השבב מקולקל, בעל התעודה אמור לגשת ללשכת האוכלוסין ולהחליף את התעודה בתעודה תקינה. בפועל, סעיף25 לחוק מרשם -האוכלוסין, תשכ"ה1965 אינו מגביל את תוקפן של תעודת זהות עם שבב לא תקין. כלומר, תעודה עם .שבב מקולקל תקפה כמו תעודה עם שבב תקין כל ההגנות הקריפטוגרפיות המונעות את זיוף התעודה דורשות תקשורת נתונים תקינה עם השבב. ללא .תקשורת, לא ניתן לאמת את מקוריות התעודה, אך, גם לא ניתן גם להוכיח שהתעודה מזויפת כדי לזייף תעודה ביומטרית מקולקלת, די לזייף את המעטפת הפלסטית )החלק הוויזואלי( של התעודה הביומטרית – משימה קשה מאוד, אך אפשרית – ולהרוס את השבב שבתעודה. כך ישיג הזייפן תעודה .הנחזית לתעודה תקפה אך מקולקלת, ולא ניתן יהיה לגלות את הזיוף – 44 – 6.3.2 ) שימוש במידע המלא במקום בתבניותtemplates ( תבניות ביומטריות הן מאפיינים מתמטיים של הדגימה הביומטרית. תקןISO/IEC 24745:2011, המגדיר את ההליכים לשמירת מידע ביומטרי, מדגיש כי אין לשמור את המידע הביומטרי המלא אלא את כיווני. אם פלוני נמצא במאגר, ניתן לקחת ממנו-התבניות. המרת דגימה ביומטרית לתבנית היא תהליך חד דגימה ביומטרית חוזרת, להוציא את התבנית ולהשוותה לתבנית המצויה במאגר. ניתן לקחת את התבנית .מהתעודה הביומטרית ולהשוותה למידע המצוי במאגר מתבנית ביומטרית לא ניתן לשחזר את המידע הביומטרי המלא. משום כך, השימוש בתבניות מצמצם את הנזק במקרה של דליפה מהמאגר. לעומת זאת, במאגר בו נשמר מלוא המידע, ולא רק התבנית, דליפה של המידע מאפשרת להשיג את תמונת הפנים של האדם ואף לייצר טביעת אצבעות דומה לשלו, ולכן הנזק .הנגרם לפרטיותו ולביטחונו חמור בהרבה המערכת הביומטרית הנוכחית, מתבססת על שמירת מידע ביומטרי מלא, במקום שמירת תבניות של המידע הביומטרי. במילים אחרות, המאגר המתוכנן אינו עומד בתקן, ואינו יכול להבטיח את ביטחונו של .אדם שפרטיו נשמרים במאגר ) תכנון נכון, עם מודעות לפרטיותPrivacy by Design ,(, היה עושה שימוש בתבניות ביומטריות בלבד ונמנע משמירת מידע ביומטרי מלא. תכנון אחראי היה לוקח בחשבון את התקן הבינלאומי, ויוצר מצב בו המאגר שיוקם )ומאגרים עתידיים אחרים( יהיו תקניים. התקן העולמי נכתב ע"י מומחים עולמיים לביומטריה, ולאחר שורה ארוכה של בדיקות ובחינות. נראה כי בעת גיבוש המדיניות, משרד הפנים בחר .להתעלם מהניסיון העולמי בתחום 6.3.3תורת הפעלה לקויה מונעת שימוש בתבניות תורת ההפעלה שגובשה דורשת שמירה של מידע ביומטרי מלא לצורכי השוואה ויזואלית. לא ניתן לבצע השוואה ויזואלית לאחר המרת המידע הביומטרי ל תבניות ,. השוואה זאת אינה נדרשת בחוק. עתה עקב ,תכנון ליקוי של תורת ההפעלה:מבקשת הרשות הביומטרית לפסול את חלופת התבניות בתצורת העבודה ברשות, תוצרי המערכת הביומטרית נבחנים ע"י עובדי הרשות בצורה פרטנית על מנת לוודא בצורה מלאה כי התראת המערכת אכן במקומה ותואמת את התרחיש כפי שהתקבל. זאת כדי למנוע התראות שווא אשר בגינן יידרשו תושבים להגיע ללשכות רשות האוכלוסין לביצוע הרכשה חוזרת. חלופת התבניות מתבססת על ביצועיה של המערכת .הביומטרית בלבד )מנועי ההשוואה( ללא בחינה ע"י גורם אנושי של תוצאות בדיקת המערכת ביצועי המערכת בכל הנוגע להתראות שווא ויכולת איתור כפיל בחלופה זו זהים לביצועי חלופת מאגר מלא הכולל שתי טביעות אצבע ותמונת פנים. משמעות יישומה של חלופה זו היא שלא ניתן לבצע בדיקה ויזואלית לתוצאות בדיקת המערכת והעברתן של כלל תוצאות הזיהוי ) והאימות1:1 , 1: N( אשר התקבלו כתוצאה מעיבוד הנתונים והשוואתם על ידי המערכת הביומטרית, לטיפולה של רשות האוכלוסין. זו מצידה תאלץ לזמן את אותם התושבים אשר לגביהם עלו ההתראות ע"י המערכת הביומטרית לבירור בלשכות, מכיוון שבתצורת חלופה זו .אין תמונות במאגר אלא רק תבניות שאינן מאפשרות בדיקה ידנית על ידי גורם אנושי המשמעות ליישום חלופת התבניות הנה מניעת הנפקת תיעוד לעשרות מבקשי תיעוד מדי יום .ביומו )נחיצות המאגר חלקIII , פרק7.3.3.2 .( :מעניין לבחון כיצד הנימוקים כנגד חלופת התבניות השתנו במרוצת השנים ]…[ תבנית הינה רידוד של המידע כך שניתן עדיין לבצע השוואה הסתברותית ולקבל ציון "התאמה בינה לבין הדגימה בפועל. בלשון החוק ההתייחסות לתבנית היא "נתונים ביומטריים "אמצעים ביומטריים". נציין שנושא זה הוסבר בהרחבה בדיונים על החוק בכנסת-המופקים מ ונחזור על הסבר זה בקצרה כאן. גם ארגון התעופה האזרחית הבינלאומיתICAO ממליץ להשתמש בתמונות הגולמיות )"אמצעי ביומטרי"( ולא בתבניות )"נתון ביומטרי"(, אך הצורך העיקרי לכך הוא תפעולי. בעת שמטפלים בשגיאת השוואה יש להציג למפעיל המערכת את התמונות הגולמיות לצורך קבלת החלטה. אין לכך חלופה אחרת כי מפעיל אנושי איננו יכול לקבל החלטה על סמך רצף סיביות חסר משמעות מבחינתו. סיבה חשובה נוספת היא הרצון – 45 – להיות גמישים ולא ליצור תלות בלתי הפיכה ביצרן זה או אחר, המכונה בעגה המקצועית " vendor lockin". במערכות ביומטריות רוב התבניות הן במבנה קנייני של ספק זה או אחר ושימוש בתבנית, ללא שמירה ארוכת טווח של המידע הגולמי, הינה "חתונה קתולית" עם ספק זה. מעבר לספק אחר הינו על סף הבלתי אפשרי ומעורר קשיים רבים. קיימות אמנם תבניות שהמבנה שלהן אינו קנייני אלא מבנה מתוקנן אך רמת הביצועים שלהן נמוכה יותר וקצב .השגיאות שלהן גבוה יותר )פרוטוקול הניסוי גרסה1.3 , פרק19.3.1.8 .( זניחת חלופת התבניות והוספת הדרישה לשמירת המידע הביומטרי המלא, מקורה, ככל הנראה, ברצון להשתמש במאגר הביומטרי לצורכי חקירה ומניעת פשעים ע"י המשטרה. אישוש לכך אפשר לראות בסעיף 17 :)א( של החוק הביומטרי, אשר מסדיר שאילתא מיוחדת לצורכי המשטרה בית משפט השלום רשאי, לפי בקשה מאת קצין מוסמך להתיר בצו לרשות להעביר למשטרת ישראל או למשטרה הצבאית, לפי העניין, תוצאת זיהוי, וכן אמצעים או נתונים ביומטריים הכלולים במאגר הביומטרי, אם שוכנע, מטעמים מיוחדים שיירשמו, כי הדבר נדרש למטרה מהמטרות המפורטות להלן, ובלבד שאין בהעברת המידע כאמור כדי לפגוע במידה העולה על […] הנדרש בפרטיותו של אדם ,כיוון שהמדובר בשימושי משנה, אין לתת להם משקל בעת קבלת ההחלטה אודות הקמת מאגר ביומטרי ביטולו או שינוי היקף המידע הנשמר בו, כאמור בסעיף41 )1 .( לחוק 6.4בחירת התוכן הביומטרי ויכולת השימוש בו סוגים שונים של ביומטריה נבדלים זה מזה בסיכונים הנלווים להם. ניתן, באופן כללי, לחלק את הנתונים הביומטריים לכאלה שקל לאסוף ללא ידיעת האדם, ובפרט, ללא הסכמתו, ולכאלה שקשה לאסוף ללא ידיעתו. דוגמאות לנתונים ביומטריים שקל לאסוף ללא ידיעת האדם הינן: טביעות אצבע )נטילה מחפצים ,(שהושארו(, תווי פנים )צילום במצלמה נסתרת או מרחוק(, סמני דנ"א )נטילה מחפצים שהושארו ודגימות קול )הקלטת סתר(. דוגמאות לנתונים ביומטריים שקשה לאסוף ללא ידיעת האדם הינן: נתוני שיניים )צילום דנטלי(, תמונת קשתית )צילום קרוב של החלק הפנימי של העין(, מיפוי נימי דם באצבע או בכף היד )סריקת כלי דם פנימיים תוך נגיעה במקור אור מיוחד( , ובמידה מסוימת גם תכונות גאומטריות .(של מבנה כף היד )סריקת כף יד פתוחה שימוש בנתונים ביומטריים שקל לאסוף ללא ידיעת האדם טומן בחובו סיכון רב, מכיוון שאיסופם ללא רשות מאפשר התחזות לאדם אחר מול מערכת לזיהוי ביומטרי, ובהינתן גישה לא מורשה למאגר של נתונים כאלה, איסופם אף מאפשר זיהוי של אדם ומעקב אחריו, באופן לא חוקי, ללא ידיעתו וללא .הסכמתו :המערכת הביומטרית שנבחנה בניסוי מבוססת על שניים מהסוגים המסוכנים יותר של נתונים ביומטריים תווי פנים וטביעות אצבע. בסעיף זה אנו משווים בינם, ובין כמה מסוגי הנתונים הביומטריים הבטוחים .יותר: תמונת הקשתית, מיפוי נימי הדם באצבע, ומדידת גאומטריית כף היד יש לציין שכל אחת מהביומטריות הבטוחות יותר תורמת לזיהוי של הרכשות כפולות – המטרה המקורית והעיקרית של החוק הביומטרי והמאגר הביומטרי – אך תוך סיכון נמוך בהרבה של פגיעה בפרטיות .ובביטחון האישי. למרות זאת, דווקא הנתונים הביומטריים היותר מסוכנים נבחרו לשמירה במאגר ,בהמשך סעיף זה אנו דנים בטכנולוגיה המאפשרת חשיפה קטנה יותר של הנתונים הביומטריים שבתעודה במהלך אימות זהותו של המחזיק בה. גם טכנולוגיה זו לא נבחנה על יד משרד הפנים, וזאת על אף הבחירה .בשימוש בנתונים הביומטריים מהסוג המסוכן יותר .חלקו האחרון של פרק זה עוסק בקצרה בכמה מהסיכונים הנלווים לעצם קיום המאגר הביומטרי 6.4.1שימוש בטביעות אצבע ותמונות פנים מערכת האימות הביומטרית הנוכחית מתבססת על שני סוגי ביומטריה – תמונות ביומטריות וטביעות אצבע. שימוש בנתונים ביומטריים אלו גורע מבטיחות המערכת, שכן עבריין יכול להשיגם ללא צורך בשיתוף פעולה מצד הקרבן. תמונה ביומטרית ניתנת להרכשה באמצעות צילום )גם צילום טלסקופי – 46 – שנעשה מרחוק(, וטביעות אצבע הן מידע ביומטרי אשר כל אדם מותיר אחריו כמעט על כל עצם חלק בו הוא נוגע במקרה; טביעות אצבע ניתנות לאיסוף, ללא ידיעת האדם, אפילו באמצעות צילום37 ,. אם כן נקלה את כל המידע הביומטרי הדרוש לו כדי ליצור חיקוי אמין של המידע-עבריין עשוי להשיג על .הביומטרי הנדרש, וכך להתחזות לאדם אחר שבמאגר מלבד שימושם בתעודת הזהות, לנתונים הביומטריים שנבחרו לשימוש במאגר, שימושים נפוצים בהזדהות מול מערכות מאובטחות: כניסה לחשבון מחשב, זיהוי מול מכשיר הטלפון הסלולרי, פתיחת מנעול ביומטרי, וכן הלאה. לכן, אדם אחד שבחזקתו נתונים ביומטריים כאלה של אדם אחר, יכול להתחזות אליו באימות מול מערכות כאלה. כאשר מדובר בהתחזות המתבצעת בעזרת סיסמה שדלפה, הקורבן יכול להגן על עצמו, מלכתחילה, על ידי שינוי תקופתי של הסיסמה. לעומת זאת, האזרח הפשוט אינו יכול ,להחליף את נתוניו הביומטריים כדי להגן על עצמו מפני דליפה אפשרית שלהם לידי מתחזים. מסיבה זו למתחזים קיימת מוטיבציה לזייף ביומטריה של אנשים אחרים, למשל ע"י שימוש בהעתק של טביעת האצבע על גבי נייר דבק או שימוש באצבע מלאכותית – שני מקרים שכבר ארעו בעבר – שכן בכך הם משיגים סיסמה שכמעט אינה ניתנת להחלפה. אי לכך, על הרשות הביומטרית היה לבחון לעומק את אפשרות השימוש בביומטריות שמצד אחד קשה לזייף, ומצד שני אינן משמשות את האזרח הרגיל לצרכים .אחרים כאמור בהקדמה של סעיף זה, בגלל הקלות בה ניתן לאסוף אותן ללא רשות, תמונות פנים וטביעות אצבע ביומטריות מאפשרות, בנוסף להתחזות, זיהוי ומעקב לא חוקיים. אדם אשר משיג גישה לא חוקית למאגר הביומטרי, אם בשל דליפה ואם בעזרת אדם אחר שהינו בעל גישה למאגר, יכול להשוות את הנתונים שאסף, לאלה אשר במאגר, וכך לבצע זיהוי של אדם )שעשוי להיות, לדוגמה, סוכן מוסד, סוכן משטרה ,סמוי, עובד שרות הביטחון הכללי, חייל צה"ל, דיפלומט ישראלי, מקור עיתונאי, ישראלי הנמצא בחו"ל חולה הנכנס למרפאה, זוג בחדר מלון או ברכב וכו'(, ובטכנולוגיות קיימות, אף לעקוב אחריו בצורה ממוכנת. טביעות אצבעות מאפשרות, בנוסף, גם זיהוי של אנשים שנגעו במסמך מסוים, או נכחו בישיבה .בחדר סגור, גם זמן ארוך מאד לאחר שעזבו את המקום 6.4.2ביומטריה שלא נבחרה: תמונות קשתית38 תכנון נאות של המערכת הביומטרית לא היה ממהר לדחות שימוש באמצעים ביומטריים הבטוחים יותר מתווי פנים וטביעות אצבע. דוגמה לאמצעי כזה, בעל אמינות גבוהה לצורכי אימות ביומטרי, היא תמונת הקשתית – אותה קשה מאוד ליטול מאדם ללא ידיעתו מכיוון שהיא דורשת שימוש קרוב בסורק אדום מיוחד, תוך שיתוף פעולה מסוים של האדם: צילום בסתר של האדם בזמן הליכה ברחוב לא-אינפרה יניב, לכן, מידע ממשי על תמונת הקשתית, ולכן לא יאפשר לזהותו, לעקוב אחריו ללא ידיעתו, או להתחזות אליו אל מול מערכת זיהוי אוטומטית המבוססת על ביומטריה זו. לכן, תעודה ביומטרית בה ,מידע הלקוח מתמונת קשתית במקום טביעות אצבע מאפשרת אימות זהות מדויק של נושא התעודה .ובטוחה לשימוש בהרבה, בהשוואה לזו המכילה תווי פנים וטביעות אצבע חלופה זו נפסלה עקב בחירת הרשות הביומטרית בתורת הפעלה הכוללת השוואה חזותית בידי אדם של :מלוא המידע הביומטרי בקצרה ובהתאם לאמור לעיל ומן הניסיון בעולם בפרויקטים ביומטריים בכלל ובקשתית העין בפרט, ניתן לסכם ולקבוע כי מבחינת רמת הדיוק והביצועים, השוואות המבוססות על קשתית העין מאפשרות רמת דיוק טובה מאוד וביצועים איכותיים בהיבט איתור מתחזים והתראות שווא. בנושא אבטחה והגנה על הפרטיות, השימוש בקשתית מאפשר רמה גבוהה של פרטיות ואבטחה בשל העובדה שבטכנולוגיה הקיימת כיום נדרש שיתוף פעולה של המשתמש בשלב ההרכשה, וכמו כן בבסיס הנתונים נשמרות רק תבניות אשר שימוש בהן לרעה הנו בלתי ישים .בטכנולוגיה הקיימת כיום .כאן גם טמון החיסרון העיקרי של שימוש בטכנולוגיה זו כמרכזית בפרויקט תעוד לאומי העובדה שהפירוש הממוחשב של קשתית העין הנו תבנית בלבד והעובדה שלא קיימת תמונה 37 ,"עודד ירון, "האקר העתיק את טביעת האצבע של שרת ההגנה הגרמנית מצילום הארץ 29/12/2014 . 38 .בגרסה קודמת של הדו"ח נכתב "תמונות רשתית". אנו מודים לרשות הביומטרית על שהעירה את תשומת ליבנו לטעות – 47 – הניתנת להשוואה אנושית על ידי מומחה, יוצרת מצב בו בשל תצורת עבודת מערכות ההשוואה .הביומטריות מספר הנדחים בשל התראות שווא יהא גבוה מדי )נחיצות המאגר חלקIII , פרק3.8.1.6 .( 6.4.3ביומטריות נוספות שלא נבחנו כאמור לעיל, נתונים ביומטריים אותם קשה לאסוף ללא ידיעת האדם מקשים על גניבת זהותו, כמו גם על ,זיהויו ומעקב סתר אחריו, ועל כן בטוחים יותר. טביעות אצבע וסריקת פנים אינן בטוחות מבחינה זאת ותמונת הקשתית בטוחה בהרבה. בנוסף אליה, נזכיר שתי משפחות נוספות של שיטות ביומטריות: מיפוי ,כלי דם פנימיים באצבע ובכף היד, ומדידת תכונות גאומטריות של מבנה כף היד. שיטות ביומטריות אלה בגרסאותיהן השונות, נוסו בהצלחה על מיליוני אנשים. הגרסאות השונות לטכנולוגיות אלה נבדלות .בעלותן, ברמת הדיוק, ובמידה בה הן מקשות על איסוף הנתונים של האדם ללא ידיעתו נגיעה מן האצבע. להבדיל-מיפוי נימי הדם הפנימיים בתוך האצבע דורש צילום בתאורה מיוחדת, במרחק מפני עור האצבע, נימי הדם אינם מותירים טביעה כלשהי בחפצים בהם אנו נוגעים – לכן איסוף שיטתי של מידע ביומטרי כזה ללא ידיעת בעליו, אינו מעשי. מיפוי נימי דם נמצא בשימוש נפוץ, למשל, עבור אימות זהות לקוחות בנקים ביפן. על פי הדוחות שהגישה הרשות הביומטרית, חלופת השימוש במפות נימי דם כלל לא נבדקה; אך בעוד שפסילת תמונות הקשתית כאמצעי ביומטרי הוצדקה בקושי לביצוע השוואה .ידי אדם, השוואה כזו הינה אפשרית, דווקא, בין מפות נימים-ויזואלית על המשפחה השנייה של אמצעים ביומטריים היא מיפוי גאומטריית כף היד, גב כף היד, או אפילו גאומטריה של אצבע בודדת. זוהי טכנולוגיה פשוטה בהשוואה לניתוח טביעות אצבע, וגרסה אחת שלה משמשת כבר למעלה מעשור במסלול מעבר הגבולות המהיר בנמל התעופה בן גוריון. טכנולוגיה זו, הבודקת את אורכן ורוחבן של אצבעות היד, עוביין, וגובה האצבעות ביחס למיקומן בכף היד, מוגנת רק באופן חלקי נגד איסוף הנתונים הביומטריים ללא ידיעתו של אדם: אמנם רוב בני האדם אינם משאירים טביעת כף יד מלאה על חפצים באופן יומיומי, אך באופן עקרוני, ניתן להעריך שמדידת מבנה כף היד על ידי צילום מרחוק אפשרית בטכנולוגיות צילום מתקדמות. טכנולוגיות מיפוי גאומטרי של כף היד או של האצבעות קיימות בגרסאות שונות, ולמיטב ידיעתנו, אף אחת מהן לא נבדקה במסגרת הניסוי – הגם ששיטות אלה .מאפשרות השוואה ויזואלית, וכך עומדות בתנאי אשר הציבה הרשות הביומטרית 6.4.4תעודה ביומטרית תומכת פרטיות ניתן לשפר את המוצע על ידי משרד הפנים ולאפשר שימוש מתקדם יותר בתעודות חכמות על ידי שדרוג טכנולוגי, שאמנם ייקר את התעודות, אבל יאפשר להשתמש בביומטריה שבהן באופן שלא אפשרי .בתעודות הקיימות, ותוך הגנה מעמיקה על הפרטיות ,בתעודות הקיימות הנתונים הביומטריים שמורים בתעודה, אבל נטילתם מהאדם נעשית ע"י קורא חיצוני .במקביל לכך שהתעודה שולחת את הנתונים הביומטריים שבה למחשב שמשווה אותם לנתונים מהקורא ,לכן, טביעות האצבע נחשפות במהלך אימות הזהות, בפני המחשב אשר בבעלות הגוף המבצע את הבדיקה ועותק שלהן עלול להישמר בו. בצורה זו, מסוגל כל גוף המבצע את האימות הביומטרי, לאסוף את .הנתונים הביומטריים במאגר משלו טכנולוגיה המתפתחת מזה מספר שנים, ושלא נבחנה על ידי משרד הפנים, היא של תעודות חכמות שהן עצמן קוראות את הטביעות ע"י קורא פנימי. תעודות אלה מתקשרות החוצה באופן מאובטח, ושולחות .החוצה התחייבות קריפטוגרפית שהן בדקו את טביעות האצבע, במקום לשלוח את טביעות האצבע עצמן כך מתקבלת טכנולוגיה שמאפשרת שימוש במידע ביומטרי ללא כל חשש לדליפתו מהתעודה, וללא כל .חשש לאיסוף נתונים ביומטריים ע"י גופים הבודקים את התעודות אם המדינה הייתה ממתינה מספר שנים עד שטכנולוגיה זו תבשיל, תוך שימוש זמני בתעודות חכמות "רגילות", ניתן היה להשיג אבטחה טובה יותר של הנתונים הביומטריים בתעודה, וכתוצאה מכך להרשות לגופים רבים יותר, למעשה, לכל המעוניין בכך, לוודא באמצעים ביומטריים שמחזיק התעודה החכמה .הוא אכן בעליה החוקיים, תוך שמירה מליאה על פרטיות המידע הביומטרי שלו – 48 – 6.4.5תעודה ביומטרית חכמה "במיוחד" – דוגמת פורטוגל התעודות הביומטריות בישראל הן תעודות חכמות המשמשות לשמירת הנתונים הביומטריים, אך לא מסוגלות לבדוק את נכונות הנתונים בעצמן. לצורך בדיקת דגימה ביומטרית התעודות מתקשרות עם מחשב חיצוני, אליו נשלחים הנתונים הביומטריים. המחשב מקבל במקביל נתונים ביומטריים מאמצעי .חיצוני, ומשווה בין הנתונים. שיטה זו מחייבת מערכת מחשוב בעלת כוח חישוב ויכולת שמירת נתונים מטבע הדברים, מערכת המחשוב מסוגלת לשמור עותק של הנתונים שנמדדו ושל הנתונים שהתקבלו .בתקשורת עם התעודה פורטוגל מתגאה בשיטה משופרת פרטיות, המגבירה את אמון האזרחים בתעודות הזהות. תעודות הזהות בפורטוגל משתמשות בתעודות חכמות במיוחד. תעודות אלו מאפשרות את בדיקת הנתונים הביומטריים .על גבי התעודה עצמה, מבלי ששום נתון ביומטרי מועבר מהתעודה לשום גורם אחר לשיטה זו יתרון משמעותי בשמירה על פרטיות האזרח משתי סיבות: האחת, הנתונים הביומטריים שעל התעודה לעולם אינם נשלחים ממנה לגורמים אחרים, ולכן קוד התכנה של התעודה לא מכיל אפשרות להעברת המידע. באופן זה המידע מוגן באופן משמעותי מפני תוקפים, שגם אם ימצאו דרך להפעיל קוד .הקיים בתעודה באופן שלא תוכנן מראש, המידע לא ייצא מהתעודה היתרון השני משמעותי אף יותר: לצורך בדיקת נתונים ביומטריים, התעודה צריכה להתחבר לאמצעי מדידה חיצוני 'טיפש', שכל מה שנדרש ממנו הוא מדידת הנתונים הביומטריים. מכיוון שהוא אינו נדרש .לבצע השוואות ביומטריות, קל ליצור אמצעים כאלה שאין להם כל יכולת שמירת נתונים חוקי אצל הגורם-יתרון זה מבטיח שהאזרח יכול לבטוח שנתונים הביומטריים אינם נשמרים באופן לא מולו הוא מזדהה, ושלמכשיר המדידה אין כל צורך לדעת את זהות האזרח. כך, אפילו אם ישמר בו מידע שיורי, משמעות דליפת מידע זה מבחינת פרטיות האזרח היא שולית, בהשוואה לדליפת מידע מהמכשירים .המוצעים על ידי הרשות הביומטרית 6.5סיכונים בעצם הקמת המערכת הביומטרית לסיכום, נדון בקצרה בכמה דוגמאות של סיכונים הנגזרים מעצם הקמת המאגר הביומטרי, והאפשרות ,לדליפתו או ניצולו לרעה. לשימוש במאגר ביומטרי יתכנו השלכות רבות על הפרטיות, על חופש הדיבור ועל המרקם החברתי והדמוקרטי, אולם הדוגמאות המובאות בסעיף זה מתייחסות בעיקרן למישור .הביטחוני והפלילי לשימוש במאגר ביומטרי כולל, גם אם זה מתבצע על פי חוק, נזקים נלווים הנוגעים לחיים היומיומיים של חלק גדול מתושבי המדינה. על פי הערכותיו של ראש המטה ללוחמה בטרור לשעבר, ניצן נוריאל, במידה והמאגר הביומטרי ייכנס לשימוש, כאחוז מתושבי המדינה צפוי להיות מזומן לשווא לחקירה במשטרה פעם בשנה39 ,. המדובר באזרחים שצולמו במקרה בסביבת זירת עבירה או שנגעו במקרה בחפץ המונח שם .לעתים אף שנים לפני שבוצעה במקום העבירה למרות שמשמעות ההערכות הללו היא שכבר בעשור הראשון של הפעלת המאגר כמיליון אזרחים יקבלו זימוני שווא למשטרה, לשימוש שגרתי במאגר הביומטרי ישנן השלכות מזיקות נוספות שסביר שישפיעו על מספר גדול אף יותר של אזרחים. לדוגמה, אירוע נפוץ שרבים מתושבי המדינה עלולים לחוות במהלך חייהם הוא פריצה לבית, במהלכה נגנבו חפצי ערך שהוחבאו, למשל, בחדר השינה. כיום, חוקרי המשטרה מגיעים לדירה ואוספים טביעות אצבע לשם זיהוי מבצע העבירה, והטביעות שנאספו מושוות לאלה שבמאגר הביומטרי המשטרתי, המכיל )בעיקר( נתונים של מורשעים בעבירות. הרשימה המתקבלת מכילה, על כן, רק שמות של עבריינים שנכחו במקום. לעומת זאת, שימוש במאגר ביומטרי המכיל את כלל ,התושבים, יניב רשימה של שמות כל האנשים שהיו באותו חדר שינה, כולל אלה שאינם בעלי עבר פלילי ואף אם נכחו במקום זמן רב בטרם ארעה הפריצה. גם אם איש מאלה לא יוזמן לחקירה במשטרה, עצם קיום הרשימה הזו, אשר בסבירות גבוהה תישמר לעד במערכת המידע של המשטרה, מהווה פגיעה חמורה 39 " ,עומר כביר1% ," מהאזרחים יבקר במשטרה אם המאגר הביומטרי יופעל כלכליסט , 21/06/2015 – 49 – בפרטיותם של קרבן העבירה ומכריו. מציאות שכזו דוחקת בכל אזרח לשקול פעמיים אם היעזרות .במשטרה עולה על הנזק שייגרם לפרטיותו במקרה של דליפה מלאה של המאגר, אפילו ללא קישור הנתונים הביומטריים לזהות בעליהם, יוכלו .מדינות זרות לזהות כל אזרח ישראלי הנכנס למדינה, כולל, לדוגמה, סוכני מוסד ישראלים בעלי דרכון זר ,ארגוני טרור, כמו גם גופים אנטי ישראלים אחרים, יזכו ביכולת לזהות תיירים ישראליים העוברים למשל, באזורים הומים כגון תחנות רכבת, באמצעות תמונות פניהם, או חיילים ישראלים שהשאירו טביעות אצבע, למשל, במבנים ברצועת עזה, בזמן הלחימה שם. סביר להניח, ששיקולים מסוג זה הם שעומדים מאחורי הוראת שרות הביטחון הכללי והמוסד לעובדיהם, להימנע ממסירת הנתונים .הביומטריים שלהם למאגר השלכה אפשרית נוספת היא פגיעה ביכולתה של המשטרה להביא להרשעת פושעים על פי זיהוי טביעות האצבע שלהם בזירת פשע, בשל האפשרות שטביעות אלה הושתלו על ידי אדם אחר. היכולת להשתלת טביעות אצבע מזויפות קיימת כבר מספר שנים, וצפוי שהטכנולוגיות המאפשרות אותה יתפתחו בקצב מואץ. לשם השוואה, הרשות למשפט וטכנולוגיה במשרד המשפטים הוציאה הוראה האוסרת על שימוש בנתונים הנמצאים במרשם האוכלוסין שדלף בתשאול לשם זיהוי אזרחים, מאחר שכל מתחזה יכול לדעת .את התשובות. צפוי לכן, שהוראה דומה תפורסם בקשר לזיהוי ע"י טביעות אצבע לאחר דליפת המאגר אפילו אם לא ידלוף כולו, עדיין צפוי שנתונים מתוך המאגר יזלגו באופן תדיר, ויגרמו לחלק מהנזקים המתוארים. כמעט כל מאגר מידע דולף, ובמשך השנים דלף מגוון רחב של מאגרי מידע סודי מחברות ומגופים ביטחוניים, כולל הרגישים ביותר. נציין, כדוגמה, את פרשת וענונו, ואת טענות חברת אבטחת המידע קספרסקי בנוגע לדליפת חומרים מסווגים של רפאל וגופים ביטחוניים אחרים. בארה"ב דלפו ,הנתונים הביומטריים )כולל טביעות אצבע( של כלל עובדי המדינה כולל כלל בעלי הסיווג הביטחוני התכניות המסווגות של מטוסי החמקן המתקדמים, כמו גם מידע עצום על שיטות הפעולה של הסוכנות .לביטחון לאומי מאגרי מידע המכילים נתונים על אזרחי ישראל דולפים תדיר, ומידי פעם מופיעות כתבות בעיתונות על מעצרים של עובדי מס הכנסה, ביטוח לאומי, בנקים ושוטרים, שהשתמשו בהרשאות הגישה שלהם למאגרי מידע רגישים כדי לקדם את ענייניהם האישיים, למשל ע"י מכירת מידע לחוקרים פרטיים. במאגר הביומטרי צפויים לעבוד עשרות עובדים בעלי הרשאה לתרגם כמות גדולה של טביעות אצבע או תמונות ולזהות את בעליהן. יכולת זו קורצת לחוקרים פרטיים, לארגוני פשיעה ולארגונים זרים, שיסכימו לשלם .סכומים משמעותיים לשם ניצולה בנוסף לעובדי הרשות הביומטרית, קיימת קבוצת אנשים גדולה הרבה יותר שהחוק מרשה לה במפורש לקבל תרגום של טביעת אצבע לזהות בעליה. המדובר באוכלוסיית השוטרים, אשר לפי סעיף7 , לחוק חייבת רשות המאגר לתת להם את זהות בעל הטביעה, ללא צורך בצו שופט. סעיף19 לחוק גם מתיר למשטרה להעביר הלאה מידע זה לרשויות התביעה, לפרקליטות, לבית המשפט, לבית דין צבאי, למרכז הלאומי לרפואה משפטית, לרשויות הביטחון, וכן לרשות אכיפה מחוץ לישראל. מספר השוטרים שיקבלו גישה לפי החוק מסתכם באלפים רבים, וכפי שהוכח שוב רק לאחרונה, סביר שיהיו ביניהם גם כאלה ."שיבצעו "שירות זיהוי למעוניינים מנת לצמצם במידת-שיקולים אלה ואחרים, אמורים היו להשפיע על מתכנני התיעוד הביומטרי, על האפשר את הסיכונים המתוארים. אולם, הבחירות שנעשו במהלך התכנון, וההתעלמות הגורפת מחלופות .בטוחות יותר, מובילות למסקנה שההפך הוא מה שאירע – 50 – 7.בעיות אבטחה ופרטיות 7.1הסמכה של הרשות הביומטרית-תת סעיף10א)א( לצו המבחן קובע כי אין להתחיל את תקופת המבחן בטרם יוודאו רשות האוכלוסין וההגירה והרשות הביומטרית כי כלל מערכי הטכנולוגיה, התפעול והמערך הביומטרי, עומדים בתקני האבטחה :המחמירים לפי הנחיות רא"ם רשות האוכלוסין ]וההגירה[ והרשות ]לניהול המאגר הביומטרי[ יוודאו טרם תחילת תקופת המבחן כי כל מערכי הטכנולוגיה, התפעול והמערך הביומטרי למימוש מטרות תקופת המבחן עומדים בתקנים וברמת האבטחה של הרשות הממלכתית לאבטחת מידע במשרד ראש הממשלה .ושל נוהלי רשות האוכלוסין והרשות :כך מוסבר גם בדו"ח הביקורת המיוחד של מבקר המדינה בצו ]המבחן[ נקבע שרשות האוכלוסין והרשות לניהול המאגר הביומטרי יוודאו טרם תחילת תקופת המבחן כי כל מערכי הטכנולוגיה, התפעול והמערך הביומטרי למימוש מטרות תקופת המבחן עומדים בתקנים וברמת האבטחה של הרשות הממלכתית לאבטחת מידע במשרד ראש הממשלה ושל נוהלי רשות האוכלוסין והרשות לניהול המאגר הביומטרי. עוד נקבע שרמת הגדרת סיווג המערכות לא תפחת מההגדרות שנקבעו בתחילת תקופת המבחן, עד תום תקופת .המבחן ')דו"ח הביקורת המיוחד, עמ52-53 .( 7.1.1תקני אבטחת מידע – רמת האפיון ורמת הבדיקות כל תקן אבטחה מודרני40 מכתיב התייחסות בשתי רמות: רמת האפיון, ורמת הבדיקות הנדרשות כדי לוודא עמידה באפיון. ברמה הראשונה, התקן מכתיב אפיון של תצורת המערכת, כגון תקן חומרה, אבטחה פיזית, מנגנוני בקרה, הפרדת מערכות וכדומה. ברמה השנייה, התקן מכתיב בדיקות הכרחיות, הכוללות ,("בין השאר ביצוע סקרי סיכונים וביצוע מבדקי חדירות. בנוסף, כאשר מתגלים ליקויי אבטחה )"פערים .התקן דורש את תיקונם בלוחות זמנים הנגזרים מחומרתם ניתן להקביל את תקן האבטחה לאפיון מערך שמירה. ברמה הראשונה, האפיון מגדיר את התצורה "על הנייר": תקן בנייה של הגדר, טווחי ביטחון, תקני כ"א, סדרי שמירה וכדומה. ברמה השנייה, האפיון דורש בחינה ע"י גורם מקצועי חיצוני )סקר סיכונים(, וכן עריכת ביקורות פתע )מבדקי חדירות(. בנוסף, האפיון .דורש כי אם מתגלה פרצה בגדר, היא תטופל מיידית .דרישות האבטחה של רא"ם ונהלי תמ"ר )תורה ומתודולוגיה רוחבית( מתחלקים גם הם לאפיון ולבדיקות כדי שהמערך הביומטרי יעמוד בדרישות, רא"ם צריכים לספק אישור כפול: ראשית, אישור כי התצורה )המתוכננת( של המערכת מסוגלת לספק את רמת האבטחה הנדרשת. שנית, אישור כי המערך עצמו נבדק .ונמצא בטוח – לאחר עריכת סקר סיכונים ולאחר שעמד במבדקי חדירות מקצועיים 7.1.2במועד תחילת ההנפקה המערך הביומטרי לא עמד בהנחיות רא"ם ) במועד תחילת ההנפקה08/07/2013(, הוחל בביצוע סקרי סיכונים ומבדקי חדירות, אך אלו לא הושלמו במועד. עובדה זאת הודגשה במכתב רמו"ט מיום30/06/2013 )"מענה לבקשה לקיום חובת ההיוועצות בהתאם לתקנות מרשם האוכלוסין"(, בהתייחס למערכת הביומטרית עצמה: נמסר לנו ]…[ כי רא"ם יבצעו ביקורת לבחינת תשתיות חומרה, תוכנה ותשתיות תקשורת אשר -תחל ב9/7/2013 ;, וכן יבוצעו תרגיל תקיפה על המערכת נמסר לנו ]…[ כי על תשתיות המערכת המשמשים את הרשות, בוצעו ביקורות של מערך אבטחת המידע של הרשות וכן נערכו בדיקות על ידי רא"ם. כמו כן נמסר כי רא"ם אישרו 40 ,לדוגמה, תקן האבטחה הבינלאומי המובילISO/IEC 15408 – Common Criteria for Information Technology Security Evaluation , מתחלק לאפיון מערכות אבטחת מידע )חלק2 ( ולבדיקות אבטחת מידע )חלק3(. ר' גם "נהלי .מסגרת לאבטחת מידע", אגף בכיר לביקורת המדינה והביקורת הפנימית, המועצה המייעצת לביקורת ואבטחת מידע – 51 – שהמערכת עומדת ברמת האבטחה הנדרשת לתשתיות מהסוג האמור, אך נאסר על הרשות .להעביר לעיוננו את ממצאי הבדיקות שנערכו ביום04/02/2014 פרסמה הרשות הביומטרית דו"ח תקופתי למחצית השנייה של שנת2013 . בסעיף4.12 של הדו"ח התקופתי עולה כי המערך הביומטרי לא עמד בהצלחה בסקרי סיכונים ובמבדקי חדירות חצי :שנה לאחר תחילת ההנפקה 4.12. סקרי סיכונים ומבדקי חדירות ,בהתאם ללשון הצו עומדת רשות האוכלוסין בהנחיות הרשות הממלכתית לאבטחת מידע התקבלו מלוא האישורים להתחיל בתקופת המבחן והניסוי מבוצע על פי הנהלים הקיימים. כמו ,כן, בהתאם ללשון הצו והפרוטוקול בימים אלו נשלמות ההכנות ברשות האוכלוסין לביצוע .סקר סיכונים ומבדקי חדירה בלתי תלויים האמור בחלקה הראשון של הפסקה אינו מתיישב עם האמור בחלקה השני. רא"ם דורשת ביצוע סקר סיכונים ומבדקי חדירות כתנאי למתן אישור כי המערך נבחן ונמצא עומד ברמת האבטחה הנדרשת. לא די בהשלמת ההכנות לביצוע סקר סיכונים ומבדקי חדירות, אלא נדרש ביצועם בפועל , ותיקון ליקויי .האבטחה המתגלים 7.1.3אישור רא"ם לתחילת ההנפקה :לפי דו"ח הביקורת המיוחד, רא"ם סיפקה אישור עקרוני להתחיל ביישום תקופת המבחן תחת תנאים בפברואר2012 ביקש שר הפנים דאז לקבל את עמדתם של כמה גופים ביחס לאבטחת המידע בכלל הפרויקט. באפריל2012 הודיעה הרשות הממלכתית לאבטחת מידע במשרד ראש הממשלה .לשר הפנים דאז, שהיא מאשרת להתחיל ביישום תקופת המבחן, כפי שפורט במכתבה ')דו"ח ביקורת מיוחד, עמ53 .( התנאים האמורים במכתב לא פורטו בדו"ח הביקורת. נראה כי רא"ם אישרה את תצורת המערכת )עמידה בתקן הפיזי(, וכי נערכו סקרי סיכונים ומבדקי חדירות החל מיולי2013. כלומר, ייתכן כי רא"ם נתנה אישור עקרוני לתחילת ההנפקה , בכפוף להשלמת סקרי סיכונים ומבדקי חדירות. ייתכן כי המערך הביומטרי נכשל במבדקים אלו, ועתה הרשות הביומטרית עמלה על תיקון הליקויים. אם כך, רק לאחר .סיום תיקון כשלי האבטחה הידועים, "יושלמו ההכנות" לביצוע סקרי סיכונים ומבדקי חדירות חוזרים .ורק לאחר שהבדיקות החוזרות יושלמו בהצלחה, יעמוד המערך הביומטרי בהוראות צו המבחן 7.1.4תיקון הליקויים לאחר תחילת ההנפקה הרשות הביומטרית הפרה את חובתה החוקית לוודא לפני תחילת תקופת המבחן ו לפני תחילת ההנפקה, את עמידת כלל המערכים בתקני האבטחה המחמירים. גם לאחר תחילת ההנפקה, המערך הביומטרי לא עמידה בלוחות זמנים, אלא-עמד בהצלחה בסקרי הסיכונים ובמבדקי החדירות. אין המדובר "רק" באי .בסכנה ביטחונית מתמשכת לא ברור כיצד טיפלה הרשות הביומטרית בליקויים שהתגלו, וכמה חודשים היה המאגר הביומטרי חדיר לארגונים זרים. למעשה, לא ברור האם נכון למועד כתיבת שורות אלה מאובטח המערך הביומטרי מאובטח. העובדה כי הרשות ערכה מבדקים חוזרים ומבדקים חוזרים נוספים, רומזת כי במבדקים .המוקדמים התגלו כשלים מהותיים – אשר עצם קיומם הוסתר מהציבור דו"ח הרשות מספק אישוש נוסף להנחה כי רא"ם אמנם אישרה את תצורת המערכת לקראת תחילת :ההנפקה, אך כי במהלך סקרי סיכונים ומבדקי חדירות התגלו פערים שונים אשר דרשו טיפול בהתאם לנדרש בצו, עומדת הרשות לניהול המאגר הביומטרי בהנחיות הרשות הממלכתית לאבטחת מידע. כתוצאה מכך התקבלו מלוא האישורים הנדרשים להתחיל בתקופת המבחן. טרם התחלת תקופת המבחן,בוצעו ברשות לניהול המאגר הביומטרי מגוון מבדקי אבטחה ביקורות וסקרי סיכונים על ידי רשויות הביטחון האמונות על הנושא וכן על ידי גורמים בלתי .תלויים שעברו סיווג מתאים – 52 – .כל ממצאי הסקרים נבדקו וטופלו הפעילות החלה רק לאחר קבלת האישורים הנדרשים מכל .הגורמים המוסמכים לכך סקרי סיכונים, ביקורות ומבדקי חדירה נוספים בוצעו כחלק מתוכנית העבודה השנתית וכחלק .מהוראות החוק כאשר מטרתם אחת – להמשיך ולעמוד ברף האבטחה הגבוה הקיים היום בשנת2014 בוצעו מבדקי חדירה וסקרי סיכונים על ידי גורמי הביטחון הרלוונטיים, אותם עברה .הרשות בהצלחה )דו"ח מסכם, פרק8.10 .( כאמור, על ממצאי דו"ח הביקורת המיוחד הוטל חיסיון. אך, תגובת הרשות הביומטרית למבקר המדינה .מעלה ספק אם היא אכן עברה בהצלחה מלאה את מבדקי החדירות ואת סקרי הסיכונים הרשות לניהול המאגר הביומטרי ]מסרה[ כי היא משקיעה מאמצים רבים ותמשיך להשקיע מאמצים אלו לכל אורך תקופת המבחן ולאחריה על מנת לוודא שהמערכות עומדות בתקני אבטחת המידע. לצורך כך, ייבחנו וישולבו טכנולוגיות מתאימות, יבוצעו סקרי סיכונים ומבדקי חדירות תקופתיים, ויתוקפו ויעודכנו תהליכים ונוהלי עבודה בהיבטי אבטחת מידע. לאור חשיבות הנושא, האבטחה הפיזית ואבטחת המידע מקבלות ויקבלו תשומת לב ומשאבים מלאים .כנדרש ')דו"ח ביקורת מיוחד, עמ53 .( ,להבדיל מהרשות הביומטרית, רשות האוכלוסין וההגירה מודה שליקויים שונים התגלו במהלך הביקורות :ומציינת כי גבשה תוכנית להפחתת חומרתם ביצוע מבדקי אבטחה וסקר סיכונים ]…[ – כמתחייב בצו ובפרוטוקול תקופת המבחן, קיימה רשות האוכלוסין קיימה במהלך תקופה זו שני מבדקי אבטחה וביצעה בנוסף סקר סיכונים על ידי גוף חיצוני לרשות, שעיסוקו המרכזי באבטחת מידע ומבדקי אבטחה. ]…[ בעקבות ממצאי מבדקי האבטחה וסקר הסיכונים שבוצעו, נכתבה תוכנית להפחתת סיכונים אותה הרשות .מיישמת בימים אלו )דו"ח מסכם רשות האוכלוסין וההגירה, פרק9.10.1 סעיף3 .( 7.1.5תגובת הרשות הביומטרית ,ראש הרשות הביומטרית ומסמך ההתייחסות מציגים עמדות סותרות בשאלה עובדתית פשוטה יחסית :האם נושא אבטחת המידע מופיע בחלק המסווג של דו"ח מבקר המדינה :גון קמני מבקר המדינה לא נדרש לסוגיית אבטחת המידע במאגר ולא נגע בה, וגם לא נגע .בסוגיית נחיצות המאגר )פרוטוקול הוועדה המשותפת מיום24/06/2015 .( ,נושא אבטחת המידע אכן מופיע בדו"ח המבקר, אולם לא כליקוי הדורש תיקון אלא כהמלצה .הנובעת מכך שהמבקר רואה במידע ביומטרי מידע רגיש ופרטי, אליו יש להתייחס בהתאם )מסמך התייחסות, פרק2.2.6 .( :להלן תגובת הרשות הביומטרית בנוגע לסקרי הסיכונים ומבדקי החדירות ,עוד לפני תחילת תקופת המבחן בוצעו ברשות לניהול המאגר הביומטרי מגוון סקרי אבטחה ביקורות וסקרי סיכונים על ידי גורמי הביטחון האמונים על הנושא וכן על ידי גורמים מקצועיים חיצוניים שעברו סיווג ביטחוני לרמה הנדרשת. כל הסקרים והמבדקים הסתיימו בהצלחה .מרובה ובציונים גבוהים.כל ממצאי הסקרים, ככל שהיו כאלה, נבדקו וטופלו בדצמבר2014 , בוצעו מבדקי חדירה נוספים וסקר סיכונים על ידי גורמי הביטחון הרלוונטיים אותם עברה הרשות בהצלחה רבה. כך מעידים מנהלי החטיבה לסיכול איומי הסייבר, לא רק אנשי הרשות הביומטרית. )מסמך התייחסויות, פרק6.2.2 .( ,למה הכוונה במשפט "כל ממצאי הסקרים ככל שהיו כאלה , נבדקו וטופלו"? או שהיו ממצאים, או שלא היו ממצאים. אם נתעלם מההתחכמות המילולית, התשובה היא שהיו ממצאים כאלו או אחרים, שרמת חומרתם לא ידועה41. לדברי הרשות הביומטרית ולדברי נציג רא"ם, הממצאים טופלו לאורך הזמן, וכיום .המערכת עומדת בתקנים הנדרשים 41 " הדבר עומד, אגב, בניגוד להצהרתה הנחרצת של הרשות לפיה []הסקרים והמבדקים לא העלו כל כשלי אבטחה." ,"ר' עומר כביר, "האם יש פרצות במאגר הביומטרי? משרד הפנים כלל לא בדק כלכליסט 20/03/2014 . – 53 – אם נקבל את הצהרות הרשות כלשונן, כנראה נכון להיום. המערכת הביומטרית עומדת בדרישות האבטחה אך סעיף10 .א)א( לצו המבחן מתייחס למועד תחילת ההנפקה, לא למועד סיום תקופת המבחן השנייה 7.2ממונה אבטחת מידע 7.2.1התפטרות ממונה אבטחת מידע הרשות הביומטרית הודתה כי מאז חודש פברואר2014 42 ועד חודש ספטמבר2014 43, לא כיהן בה ממונה :אבטחת מידע. ממצא זה הדאיג את הוועדה המשותפת לוועדה דווח כי בעת עריכת הדו"ח אין מנהל אבטחת מידע לתכנית הפיילוט וכי הנושא מצוי .בהליכי מכרז; ממצא מדאיג זה הפתיע את הוועדה )דו"ח מעקב, סעיף2.4 .( נסיבות התפטרותו של ממונה אבטחת המידע לוטות בערפל. ניתן לשער, כי ישנו קשר בין ההתפטרות לליקויי אבטחת המידע והסיכונים שהתגלו; זאת בייחוד לאור הזמן הרב בו לא הצליחה הרשות לגייס .מחליף 7.2.2חובת מינוי ממונה אבטחת מידע מינוי ממונה אבטחת מידע הוא חובה חקוקה לפי סעיף17 )(ב)א2 -( לחוק הגנת הפרטיות, התשמ"א1981 , לפי סעיף2 -)א( לחוק להסדרת הביטחון בגופים ציבוריים, התשנ"ח1998, לפי תקנות הגנת הפרטיות )תנאי -החזקת מידע ושמירתו וסדרי העברת מידע בין גופים ציבוריים(, התשמ"ו1986 ,, לפי החוק הביומטרי .ולפי כל נהלי האבטחה הממשלתיים וכל תקני האבטחה הרלוונטיים הגופים המפורטים להלן חייבים במינוי אדם בעל הכשרה מתאימה שיהיה ממונה על אבטחת ) […] :(מידע )להלן – הממונה2 ( גוף ציבורי כהגדרתו בסעיף23 ; )סעיף17 .(ב)א( לחוק הגנת הפרטיות .גוף ציבורי ימנה ממונה בטחון שיהיה כפוף במישרין למנהל הגוף הציבורי או לסגנו )סעיף2 .()א( לחוק להסדרת הביטחון בגופים ציבוריים ביום14/06/2014, פנתה התנועה לזכויות דיגיטליות אל רמו"ט, בדרישה שתעשה שימוש בסמכותה לפי סעיף10 לחוק הגנת הפרטיות, ותקבע כי הרשות הביומטרית הפרה את חוק הגנת הפרטיות לעניין מינוי :ממונה אבטחת מידע הרשות הביומטרית, היא רשות ציבורית אשר הוקמה מכוח החוק להכללת אמצעי זיהוי -ביומטריים ונתוני זיהוי ביומטריים במסמכי זיהוי ובמאגר מידע, התש"ע2009 " והיא "גוף ציבורי כהגדרתו בסעיף23 . לחוק הגנת הפרטיות בהתאם לסעיף17ב לחוק הגנת הפרטיות, הרשות הביומטרית חייבת במינוי אדם בעל הכשרה מתאימה שיהיה ממונה על אבטחת מידע. ביולי2013 הרשות הביומטרית החלה להפעיל מאגר מידע הכולל מערך הרכשה ביומטרית במשרד הפנים, במסגרת תקופת ניסוי בה אמור להיבחן .הצורך במאגר ביומטרי מרכזי ,זמן קצר לאחר תחילת ההנפקה, סיים את תפקידו ממונה אבטחת המידע ברשות הביומטרית בנסיבות שאינן ידועות למרשתי. הרשות הביומטרית פרסמה בספטמבר2013 ובמרץ2014 מכרזים פומביים למנהל תחום )אבטחת מידע ותקשורת(. לא ידוע למרשתי אם בעקבות מכרזים .אלו מונה ממונה אבטחת מידע, כנדרש בחוק ביום04.05.2014, קיבלה מרשתי מכתב ממר יוגב שמני, מנמ"ר רשות האוכלוסין וההגירה, ממנו עולה כי נכון למאי2014 ., טרם מונה לרשות הביומטרית ממונה אבטחת מידע לאחרונה, נודע למרשתי כי נכון ליוני2014, לא מונה ממונה אבטחת מידע ברשות הביומטרית .וזו עדיין מחפשת אדם אשר יאייש את התפקיד 42 ,"?אהוד קינן, "מי מנהל את אבטחת המאגר הביומטריynet 23/06/2014 . 43 סעיף11 למכתב המלווה של הרשות הביומטרית לדיווח התקופתי השלישי מיום25/02/2015 . – 54 – אם אכן נכונים הדברים, הרי שהרשות הביומטרית מפרה מזה כשנה את סעיפים17 - ו17ב לחוק -הגנת הפרטיות, התשמ"א1981 . בשם מרשתי אבקש כי תעשה שימוש בסמכויותיך לפי סעיף10 לחוק הגנת הפרטיות, ותקבע כי הרשות הביומטרית הפרה את חוק הגנת הפרטיות לעניין מינוי .ממונה אבטחת מידע .טרם התקבלה תשובת רמו"ט לגבי תוצאות בירור תלונת התנועה לזכויות דיגיטליות 7.2.3תגובת הרשות הביומטרית :הרשות הביומטרית טוענת מקובל ותקין כי במשך למעלה מחצי שנה לא כיהן בה ממונה אבטחת מידע מנהל אבטחת המידע ברשות סיים את תפקידו בנסיבות רגילות המתרחשות בכל ארגון. בשל תהליכי הגיוס המורכבים הנקבעים על ידי נציבות שירות המדינה ארך תהליך הגיוס של מחליפו כחצי שנה, כאשר בסיומו גויס מנהל אבטחת מידע. במהלך תקופה זו נוהל התחום באופן שוטף .על ידי ראש הרשות, הממונה על הפרטיות וצוות אבטחת המידע אשר המשיך ופעל כשיגרה )מסמך התייחסויות, פרק6.2.3 .( לרוב ממונה אבטחת מידע עוזב את תפקידו רק לאחר. שממונה לו מחליף, ולאחר תקופת חפיפה מתאימה יוער כי בהתאם לסעיף2 )()ג1 -( לחוק להסדרת הביטחון בגופים ציבוריים, התשנ"ח1998, ראש הרשות אינו יכול לכהן בתפקיד ממונה אבטחת מידע אלא אם כן קיבל אישור מתאים מטעם השב"כ. הסיבה לכך היא שממונה אבטחת מידע צריך להיות עצמאי באופן שתפקודו, כמי שמעלה כשלים ומציג בעיות, לא יוגבל משיקולים מערכתיים או כפיפות מנהלית. מנהל רשות נדרש לאזן מכלול שיקולים מערכתיים, ומכלול זה .שונה ממכלול שיקולים שמנהל אבטחת מידע עצמאי נדרש לבחון 7.3רישום המאגר הביומטרי אצל רשם מאגרי המידע בהתאם לסעיף8 : לחוק הגנת הפרטיות, בעל מאגר מידע חייב ברישומו ()א לא ינהל אדם ולא יחזיק מאגר מידע החייב ברישום לפי סעיף זה, אלא אם כן התקיים אחד :מאלה )1( ;המאגר נרשם בפנקס )2( הוגשה בקשה לרישום המאגר והתקיימו הוראות סעיף10)ב1 ;( […] ()ב לא ישתמש אדם במידע שבמאגר מידע החייב ברישום לפי סעיף זה, אלא למטרה שלשמה .הוקם המאגר ()ג:בעל מאגר מידע חייב ברישום בפנקס ועל בעל המאגר לרשמו אם נתקיים בו אחד מאלה )1( מספר האנשים שמידע עליהם נמצא במאגר עולה על10,000 ; )2( ;יש במאגר מידע רגיש […] )4( המאגר הוא של גוף ציבורי כהגדרתו בסעיף23 ; […] אדם פלוני פנה בתחילת שנת2015 לרשם מאגרי המידע במשרד המשפטים בבקשה לעיין בפרטי הרישום של המאגרים שנרשמו ע"י הרשות הביומטרית. לאחר מספר תזכורות הוא קיבל את פרטי הרישום של המאגר הביומטרי; מן הנתונים נלמד כי המאגר נרשם רק ביום07/05/2015, חודשים מספר לאחר פנייתו המקורית של אותו אדם. כלומר, הרשות הביומטרית הפרה במשך שנים את חוק הגנת הפרטיות לעניין .רישום מאגרי מידע, והרישום בפועל בוצע ככל הנראה רק בעקבות פנייתו של אותו אדם רישום-התנועה לזכויות דיגיטליות פנתה בתלונה לשר הפנים וליועץ המשפטי לממשלה, הן בנוגע לאי :המאגר במועד, והן לגבי פרטי רישום שגויים, שנמסרו לרשם מאגרי המידע לאחרונה, בעקבות פנייתו של ]פלוני[, התגלה כי הרשות לניהול המאגר הביומטרי התנהלה .במשך כשנתיים בניגוד לחוק – 55 – להזכירכם, סעיף8 לחוק הגנת הפרטיות קובע כי "לא ינהל אדם ולא יחזיק מאגר מידע החייב ."ברישום לפי סעיף זה, אלא אם … המאגר נרשם בפנקס חובת רישום מאגרי מידע חלה על גופים ציבוריים ועל כל מאגר ציבורי בהתאם לסעיף8 )()ב4( לחוק. כמו כן, יש חובה לרשום כמחזיקים במאגר את כל הגורמים אשר להם גישה למאגר על פי .חוק דא עקא, שהרשות לניהול המאגר הביומטרי רשמה את מאגר המידע, המכיל את טביעות אצבעות אזרחי מדינת ישראל וצילומי הפנים אך ביום7 במאי2015, כשנתיים לאחר תחילת .[הניסוי והקמת המאגר בפועל. רישום זה בוצע רק לאחר פנייתו הראשונה של ]פלוני להזכירכם, על פי סעיף31א לחוק הגנת הפרטיות, הרי שהמחזיק, מנהל או משתמש במאגר מידע בניגוד להוראות סעיף8, דינו מאסר שנה, כאשר עבירה לפי סעיף זה אינה טעונה הוכחת .מחשבה פלילית או רשלנות מעבר לכך, הרי שבהתחשב בסעיף23ד)ג( לחוק הגנת הפרטיות, הרי שמשטרת ישראל, המשטרה הצבאית שירות הבטחון הכללי, המוסד למודיעין ולתפקידים מיוחדים, ומשרד הפנים, אשר כולן זכאיות לקבל מידע מהמאגר בהתחשב בהוראות חוק הכללת אמצעי זיהוי ביומטריים ונתוני -זיהוי ביומטריים במסמכי זיהוי ובמאגר מידע, התש"ע2009, כולם יחדיו היו צריכים להיות .רשומים בפרטי הרישום של המאגר המצויים בידי רשם מאגרי המידע גם כאן, הפרה שוב הרשות לניהול המאגר הביומטרי את הוראות סעיף31 )()א2( לחוק הגנת הפרטיות, כאשר מסרה פרטים לא נכונים בבקשה לרישום מאגר מידע, וסעיף31 )()א8( כאשר מסרה מידע בניגוד לסעיפים23 ב עד23 .ה .טרם התקבלה תגובת שר הפנים או היועץ המשפטי לממשלה 7.4 רשת מבודלת או?רשת מנותקת בגרסה הקודמת של דו"ח זה טענו כי הרשות עושה שימוש ברשת מבודלת ולא ברשת מנותקת. התבססנו על דברי הרשות עצמה, בפרקים5.5.1 - ו6.2.6 לדו"ח המסכם, המתארים את אופן העברת המידע מרשות :האוכלוסין וההגירה :מערכת לקליטת הרכשות מערכת מחשוב שתפקידה לבחון את ההרכשות המגיעות מלשכות רשות האוכלוסין, כדי לאמת את מקורן ואת שלמותן. בנוסף לכך כוללת מערכת זו יכולת איתור .קוד מפגע כדי למנוע פגיעה במערכות המאגר ") מערכת זו כוללת בעיקר חיבור חד כיווניData diode"(, כדי שהנתונים יוכלו לעבור למערך המחשוב הראשי, שאיננו מקוון ואין לו קישוריות רשת חיצונית כלשהי. חיבור חד .כיווני זה מונע באופן פיסי זליגה של מידע בכיוון ההפוך )דו"ח מסכם, פרק5.5.1 .( מערכות המחשוב ברשות הוקמו כסביבת מחשוב נפרדת לחלוטין אשר אינה מקושרת באופן ") מקוון לכל רשת חיצונית בכל צורת חיבור שהיא לרבות לא למערכות רשות האוכלוסיןAir gap .("העברת המידע המוצפן המתקבל מלשכות רשות האוכלוסין נעשית באמצעות ממשק ") חד כיווניData diode ."( שאינו מאפשר זליגת מידע בכיוון ההפוך ) ,דו"ח מסכם פרק6.2.6 .( עוד ביססנו את טענתנו על תשלום בסך37,700, שהרשות הביומטרית שילמה לרכישה ולהטמעה של₪ ."מערכת לבידול רשתות מחברת "ווטרפול סקיוריטי סולושינס בע"מ כיווני אל רשת המחשבים של הרשות הביומטרית, העושה שימוש-מנתונים אלו הסקנו כי קיים ממשק חד ) בבידול ע"י מוצר חומרהdata diode ) ( ולא ע"י ניתוק פיזיair gap(. יש להדגיש: הטענה הייתה בדבר .ממשק לרשת המחשבים של הרשות הביומטרית, לא ממשק פיזי לשרתים עליהם שמור המאגר הביומטרי :בתגובתה, הרשות הביומטרית קובעת כי הטענה אינה נכונה לחלוטין הטענה כי רשת המאגר מנותקת לוגית ולא פיסית מרשתות אחרות איננה נכונה ומתבססת על כיווני מסוג-הסקת מסקנות תמוהה מאד מתוך פניית הרשות לרכש מערכת לקישור חד Waterfall. בפועל מערכת זו טרם נרכשה והתכנון לשימוש במערכת זו אינו רלוונטי כלל לחיבור .מערכות המאגר למערכת חיצונית כלשהי או לשימוש בה לצורך בידול רשת המאגר מהעולם – 56 – ,("מדובר בתכנון עתידי להעברת נתוני בקרה בין מערכות פנימיות ברמת סיווג זהה )"סודי ביותר בתוך מערכות הרשות ולצרכיה. רשת המאגר מבודלת לחלוטין מהעולם בצורה פיסית, כפי שנדרש מפורשות בחקיקה וכפי שהובהר, נבדק, מפוקח ומבוקר על ידי הגורם המנחה את ,הרשות. נבהיר זאת שנית – רשת המאגר הינה רשת מנותקת ונפרדת לחלוטין מכל רשת אחרת הן לוגית והן פיסית – ובאופן מלא. זוהי תצורה המקובעת בחקיקה, כך היה מלכתחילה וכך יתקיים תמיד. )מסמך התייחסות, פרק6.4.2.1 .( משמעית לטענה כי המוצר משמש לחיבור אל רשת המחשבים של הרשות, הסרנו את-נוכח ההכחשה החד הטענה מהדו"ח המעודכן. עם זאת, נציין כי בניגוד לדברי הרשות, המערכת נרכשה באוקטובר2014 . " כלומר, הטענה כי בפועל המערכת טרם נרכשה.", אינה נכונה 7.5שירות התאוששות מאסון במערכות חיצוניות הרשות הביומטרית שכרה שירותי אירוח באתר גיבוי מחברות חיצוניות. הרשות הביומטרית הבהירה כי ) היא שוכרת שטחי אירוח לצורכי אתר גיבוי חלופי כחלק מתוכנית התאוששות מאסוןDRP .( של הרשות לדבריה, שטחי האחסון אינם משמשים בשום דרך לגיבוי מוצפן של נתוני המאגר. אך גם אם אתר הגיבוי .משמש רק לצורכי תוכנית התאוששות מאסון זאת עדיין בעיית אבטחה ממשית, כמוסבר להלן בעולם אבטחת הנתונים והמידע מקובל לתחזק תוכניתDRP - )תוכנית התאוששות מאסון( וBCP )תוכנית המשכיות עסקית( לארגון. תכניות אלו מפרטות כיצד הארגון או המשרד יוכל להמשיך לתפקד גם אם .מערכת המידע העיקרית שלו נפגעת בדצמבר2013 ' רכשה הרשות הביומטרית "שירותי אירוח באתר גיבוי לפי הוראת תכ"מ מס16.3.17 " -מחברת אינטרנט בינת בע"מ, בסכום של כ220,000 . בדצמבר₪ 2014 רכשה הרשות הביומטרית "שירותי -אירוח עבור אתר גיבוי" מחברת בזק בינלאומי, בסכום של כ520,000. כלומר, הרשות קנתה שירותי₪ .אירוח לאתר התאוששות מספקים חיצוניים הרשות הבהירה כי באתר הגיבוי שהיא שוכרת לא נשמרים נתוני המאגר הביומטרי, והוא משמש רק :כ"שטח רצפה" במקרה של התאוששות מאסון לעניין הקמת אתר גיבוי – לרשות קיים אתר גיבוי, כנדרש בחוק וכפי שמקובל בפרויקטים טכנולוגיים רבים. אתר הגיבוי כולל שרתים ומערכות ללא כל נתונים ביומטריים וללא קישור חיצוני, הנמצאים במצב המתנה למועד שבו יידרש להפעילם. לצורך זה שכרה הרשות "שטח רצפה" עבור אתר הגיבוי במסגרת מכרז חשכ"ל, כמו משרדים ממשלתיים אחרים וכמו שמקובל אצל ארגונים שאינם ממשלתיים )בנקים, חברות ביטוח, קופות חולים ועוד(. יתר על כן, שטח זה אופיין על ידי הגורם הרלוונטי בשב"כ והוקם כך שיעמוד בדרישות אבטחת מידע למתחם בסיווג ."סודי ביותר" אף על פי שאין כל אחסון נתונים ביומטריים במתחם זה בעיתות שגרה האמירה ששכירת שטח רצפה כנ"ל מוכיח ה העברת מידע לגורם פרטי כמוה כאמירה שכל עורך לקוח, כי המידע הרגיש-דין ששוכר משרד אשם בעבירה אתית חמורה מאד – הפרת חיסיון עו"ד שברשותו חשוף למשכיר המשרד. זוהי טענה משוללת כל בסיס ומטעה, ואנו תמהים מאד על .הסקת המסקנות הנמהרת והשגויה, המהווה כאמור לשון הרע )מסמך התייחסות, פרק6.4.2.2 .( רשויות או חברות המחזיקות מידע סודי מעבירות את המידע בין מתקנים השייכים לאותה רשות או חברה – המידע אינו עובר מהרשות או החברה אל חברה פרטית חיצונית. הרשות הביומטרית לא הקימה .אתר גיבוי חלופי, אלא בחרה לשכור אתר כזה מחברה חיצונית. החלטה זאת יוצרת בעיית אבטחה .באתר הגיבוי מותקנות מערכות הרשות הביומטרית, מערכת גיבוי שלמה, אך ללא הנתונים הביומטריים הנתונים מועברים רק בעת הפעלת תוכנית ההתאוששות מאסון. האתר מאובטח ע"י החברות מהן נשכרים שטחי האחסון. מעצם היות של אתרים אלו מחוץ לתחומי האבטחה של הרשות, קל יותר לגורמים עוינים לחדור למתקנים ולהשיג גישה פיזית למערך בזמן שהוא לא פעיל. גורם עוין כזה יכול להחדיר מראש תוכנה או רכיבי חומרה זדוניים, או מערכת רדומה אחרת, שיפגמו באבטחת המאגר הביומטרי בעת .הפעלת אמת של אתר הגיבוי – 57 – כאשר אתר הגיבוי מופעל, מידע ביומטרי מועבר למערכת החלופית. כדי שהמערכת החלופית תהיה מאובטחת באותה רמה כמו המערכת הרגילה של הרשות, המערכת החלופית חייבת להיות באתר באותה רמת אבטחה כמו של המערכת הראשית. גם לאחר סיום הפעלת אתר הגיבוי והחזרת ליבת הפעילות לאתר ,הראשי, לא תמה סכנת הדליפה של הנתונים הביומטריים. הנתונים נשמרו באופן זמני על מערכות מחשוב .וגישה למערכות מחשוב אלו עלולה לאפשר את שחזור הנתונים לקוח שגויה ומטעה. לא ניתן להעביר מידע בטחוני מסווג לעו"ד שאין לו סיווג-ההשוואה לחסיון עו"ד מתאים. אם גוף בטחוני רוצה להתייעץ עם עו"ד על נושא מסווג, על הגוף הבטחוני לקבל אישור מוקדם מקצין בטחון מוסמך, כי לעוה"ד ניתן סיווג בטחוני מתאים. רק לאחר מתן האישור מותר להעביר מידע .מסווג לעיון עוה"ד לסיכום: לדברי הרשות הביומטרית, אתרי הגיבוי לא כוללים מידע ביומטרי בעתות שגרה. המידע הרגיש .מועבר לאתר בעת חירום בלבד. ובעת חירום כזאת המידע יוצא מהשטח הפיזי של הרשות הביומטרית .רשויות ביטחון אחרות הקימו אתרי התאוששות מאסון באתרים אחרים הנמצאים בשליטתן המלאה .לדעתנו היה על הרשות הביומטרית לפעול באופן דומה – 58 – 8.פרשת מערכת ההשוואה הביומטרית 8.1מערכת השוואה ביומטרית מערכת השוואה ביומטרית נוטלת שתי דגימות ביומטריות, ובודקת אם מדובר בנתונים ביומטריים המתייחסים לאותו אדם. בדיקה זאת משמשת לאימות ביומטרי ולזיהוי ביומטרי, וכן לזיהוי הרכשות כפולות, כמוסבר בפרק6.2 לעיל. מערכת ההשוואה הביומטרית היא רכיב מרכזי בפרויקט, ובלעדיה לא .ניתן לבצע אימות וזיהוי ביומטריים באיכות מספקת סעיף8 " א)א( של צו המבחן, קובע כי על הרשות הביומטרית לבצע בחינה מדוקדקת בדבר נחיצות קיומו של המאגר ומטרותיו" ", ובדבר היקף המידע שיש לשמור בו ואופן השימוש בו ". לאיכות מערכת ההשוואה הביומטרית השפעה מכרעת על היקף המידע שיש לשמור. שהרי, ככל שנעשה שימוש במנוע ההשוואה יותר איכותי ומקצועי, כך צפוי כי יספק תוצאות ברמות דיוק גבוהות יותר. וככל שנתוני הדיוק של מנוע .ההשוואה טובים יותר, כך צפוי שמנוע ההשוואה יעמוד בדרישות הצו גם עבור מידע ביומטרי חלקי לדוגמה, ניתן להניח כי מנוע השוואה של חברה בינלאומית, המסוגל לנתח במדויק את תווי הפנים של מליוני תושבים )ובהתאם, מחירו מגיע למיליוני דולרים(, ייתן תוצאות אימות וזיהוי טובות בהרבה ממנוע השוואה פשוט, המיועד לעסקים קטנים, ומסוגל להשוות תווי פנים במאגר של כמה אלפי עובדים .()ובהתאם, מחירו אלפי דולרים בודדים מבקר המדינה התריע כי השימוש במערכת זמנית או קבועה ישפיע בצורה משמעותית על ביצועי המאגר :הביומטרי ועל תוצאות בחינת החלופות בחוק נקבע שאחת מהמטרות המרכזיות של תקופת המבחן היא לבחון את נחיצות המאגר .הביומטרי. בכלל זה, יש לוודא שהמאגר עונה לצורך שלשמו הוקם – איתור הרכשות כפולות בפרוטוקול צוין כי החלטה זו תתבסס בין היתר על ביצועי המאגר ועל יעילותו התפעולית. נוסף ) על כך, הוועדה המייעצת קבעה שלביצועי המאגר יינתן משקל ניכר40%( במסגרת בחינת החלופות. ביצועי המאגר מתבססים על ביצועי מערכת השוואה ביומטרית, שהיא מערכת הליבה לניהול המאגר. ביצועים אלה מושפעים בין היתר מאיכות הנתונים הביומטריים שבמאגר .ומאיכות הנתונים המוזנים אליה לצורך השוואתם לנתונים שכבר נכללים במאגר מאחר שכאמור, ביצועי המאגר עתידים להשפיע על ההחלטות שיתקבלו בסיום תקופת המבחן בנוגע לעתיד המאגר הביומטרי ולהיקף המידע שיש לשמור בו, יש להבטיח שייעשה שימוש .במערכות שאין ספק בנוגע לביצועיהן, כך שניתן יהיה לבסס עליהם את מסקנות תקופת המבחן ')דו"ח ביקורת מיוחד, עמ19 .( 8.2התייחסות הוועדה המייעצת/מפקחת " ,הוועדה המייעצת/מפקחת דנה מספר פעמים בפער משמעותי לדבריה סוגיית ניהול המערכת המרכזית ) של הרשות לניהול המאגר הביומטרי, על גבי מערכת זמניתPLAN B(, כאשר חל עיכוב ברכישתה של ) מערכת קבועהPLAN A ( ,". הוועדה ציינה כי קיים עיכוב משמעותי ברכישת מערכת השוואה קבועה, ולכן .כי תקופת הניסוי נערכה תוך שימוש במערכת זמנית בלבד 'דיון מס 7 :הדיון עסק ]…[ בפערים העיקריים שנמצאו נכון למועד הדיון. הועלתה סוגיית ) ניהול המערכת המרכזית של הרשות לניהול המאגר הביומטרי, על גבי מערכת זמניתPLAN B ,( ) כאשר חל עיכוב ברכישתה של מערכת קבועהPLAN A .[…] ( 'דיון מס 8 :הוועדה דנה בהיבטים שונים לסוגיית ניהול המערכת המרכזית של הרשות ) לניהול המאגר הביומטרי והמעבר מהמערכת הזמנית לקבועהPLAN B / A( ועמדה על הצורך בהשלמת מסמכים ומתן מענה לשאלות רלוונטיות, בין היתר לגבי ההשלכות שעשויות להיות .למעבר בין המערכות על תקפות תוצאות הבדיקות בתקופת המבחן 'דיון מס 12 :הוועדה דנה בסוגיית ניהול המערכת המרכזית של הרשות לניהול המאגר ) הביומטרי והמעבר מהמערכת הזמנית לקבועהPLAN B / A( וקבעה כי נותרו שני נושאים – 59 – בעניינם מבקשת הוועדה לקבל מענה לשם מתן החלטה והם הצגת אישור מקצועי נוסף הנוגע .לתקפות הממצאים הרלוונטיים לתוצאות תקופת המבחן ובדיקת קיומו של נוהל הסבה מתאים 'דיון מס 16 :הוועדה דנה במערכת המרכזית של הרשות לניהול המאגר הביומטרי והכריעה בסוגיות שנותרו בנושא זה )ראו דיון12 .( ) המערכת הקבועהPlan A( היא מערכת שמשרד הפנים ורשות האוכלוסין וההגירה מבקשים לקנות מחברה בעלת ניסיון מספק בהקמת מערכות מסוג זה )יש מספר מצומצם ביותר של חברות בינלאומיות בעלות הניסיון הנדרש(. מכרז118/2011 ומכרז82/2013 יועדו לבחירת החברה שתקים את המערכת .הקבועה ) המערכת הזמניתPlan B( היא מערכת שפותחה ע"י יועץ חיצוני, שהחל את עבודתו ברשות האוכלוסין וההגירה כסטודנט "בעל הכשרת טכנאי עם נסיון של5 שנים הלומד באוניברסיטה הפתוחה". ההתקשרות החלה בנובמבר2010, מיד לאחר שחרורו מצה"ל ובטרם סיים את חוק לימודיו, ונמשכה גם לאחר שהחל לעבוד כמהנדס תוכנה במשרה מלאה בחברתEx Libris , וגם לאחר שעבר לחברתIntuit. כלומר המפתח הראשי של מערכת ההשוואה הזמנית עליה מבוסס הניסוי הביומטרי נכתבה ע"י יועץ חיצוני שעבד .במקביל במקום עבודה אחר 8.3 "מערכת "להב( )המערכת הזמנית" לעומת מערכת "מגן( )המערכת הקבועה ) הרשות הביומטרית מכנה את המערכת הזמניתPlan B ) ( "מערכת להב", ואת המערכת הקבועהPlan A ,( שטרם הוטמעה, "מערכת מגן". הרשות מסבירה כי היא נמצאת בשלבים מתקדמים של החלפת מערכת :ההשוואה הביומטרית ממערכת "להב" הזמנית למערכת "מגן" הקבועה מערכת ההשוואה הביומטרית הפועלת ברשות, המכונה מערכת "להב", הינה מערכת שפותחה .באופן ייעודי על בסיסם של מנועי השוואה ביומטריים אשר נרכשו מחברות ידועות ומנוסות המערכת פותחה על בסיס אפיון מפורט ומסמכי בדיקות מתאימים. המערכת נבדקת ונבחנת ברשות בצורה שוטפת בשני אופנים עיקריים. ראשית בחינת עמידה בתנאי החוק ושנית בחינה ,לצרכי שיפור תהליכים והתמקצעות תוך ביצוע בדיקות ושיפורים מתמידים. המערכת, כאמור מבוססת מנועי השוואה ביומטריים המבצעים השוואת טביעות אצבעות וכן השוואת תמונות פנים. מנועים שהינם מוצרי מדף של חברות בעלות ניסיון במגוון פרויקטים ובהיקפים של […] .מיליוני רשומות בעולם במקביל לכך, נמצאת הרשות בימים אלו בשלבים מתקדמים של הטמעת מערכת השוואות חדישה, מערכת "מגן". המערכת הנרכשת הנה מערכת מבית חברתCogent, חברה אמריקאית גדולה אשר מערכות דומות שלה משמשות בפרויקטים גדולים בעולם ומוטמעות כעת גם במשטרת ישראל ובצה"ל. מערכת "מגן" נרכשת כחלק ממהלך צופה פני עתיד וכהיערכות לגידול "הדרגתי של המאגר ובהתאם להתקדמות הפרויקט מבחינת היקף המצטרפים. למערכת "מגן "יכולות ומאפיינים נוספים אשר יאפשרו שדרוג טכנולוגי של המערכת הקיימת. מערכת "מגן .תעבור התאמות כך שתתאים לדרישות הרשות ותאפשר עבודה המותאמת לחוק הישראלי )דו"ח מסכם, פרק7.1 .( :מועד ההטמעה של המערכת הקבועה התעכב, ותקופת המבחן נערכה עם המערכת הזמנית במאי2013 פורסם מכרז נוסף להספקת המערכת הקבועה. במרץ2014 הכריזה ועדת המכרזים של משרד הפנים על חברה אחת כעל מציעה כשירה, ואישרה לערוך עמה משא ומתן בקשר להצעתה. בספטמבר2014 נחתם הסכם עם החברה האמורה להספקת המערכת הקבועה. על פי הערכת הרשות לניהול המאגר הביומטרי, הטמעת המערכת הקבועה תחל במרץ2015 )זמן קצר .(לפני סיום תקופת המבחן ')דו"ח ביקורת מיוחד, עמ20 .( גם לקראת תום תקופת המבחן השנייה המערכת עדיין לא הוטמעה. הצפי הנוכחי להפעלת המערכת החדשה נדחה לסוף חודש יוני2016 ,שלושה חודשים לאחר תום תקופת המבחן השנייה. – 60 – 8.4ת קקפות תוצאות הבדיקות בתקופת המבחן ) הרשות הביומטרית ערכה את בדיקות הדיוק לאורך תקופת המבחן עם מערכת "להב" הזמניתPlan B .( לפי הבדיקות שערכה, היא קבעה כי חלופות מסוימות עומדות בדרישות הדיוק של החוק בעוד חלופות אחרות אינן עומדות בדרישות הדיוק של החוק44. .ככל שנעשה שימוש במערכת השוואה מקצועית יותר, כך תוצאות השוואה מתקבלות בדיוק גבוה יותר וככל שדיוק המערכת טוב יותר, כך צפוי שמנוע ההשוואה יעמוד בדרישות החוק גם עבור מידע ביומטרי חלקי יותר. מכיוון שנתוני הדיוק של מערכת "מגן" טובים יותר מנתוני הדיוק של מערכת "להב", המערכת .תוכל לעמוד בדרישות הדיוק עבור חלופות ביומטריות חלקיות יותר האם ניתן להסתמך על ניסוי שמתבסס על מערכת זמנית, המבוססת על מערכות השוואה ביומטריות " פשוטות? כאמור, הוועדה המייעצת/המפקחת הביעה חשש כבד בדבר תקפות תוצאות הבדיקות בתקופת המבחן ". גם מבקר המדינה התייחס לפער מהותי זה, המשליך באופן ישיר על תקפות הבחינה שהרשות :הביומטרית ערכה בחוק נקבע שאחת מהמטרות המרכזיות של תקופת המבחן היא לבחון את נחיצות המאגר .הביומטרי. בכלל זה, יש לוודא שהמאגר עונה לצורך שלשמו הוקם – איתור הרכשות כפולות […] .בפרוטוקול צוין כי החלטה זו תתבסס בין היתר על ביצועי המאגר ועל יעילותו התפעולית ביצועי המאגר מתבססים על ביצועי מערכת השוואה ביומטרית, שהיא מערכת הליבה לניהול המאגר. ביצועים אלה מושפעים בין היתר מאיכות הנתונים הביומטריים שבמאגר ומאיכות .הנתונים המוזנים אליה לצורך השוואתם לנתונים שכבר נכללים במאגר מאחר שכאמור, ביצועי המאגר עתידים להשפיע על ההחלטות שיתקבלו בסיום תקופת המבחן בנוגע לעתיד המאגר הביומטרי ולהיקף המידע שיש לשמור בו, יש להבטיח שייעשה שימוש .במערכות שאין ספק בנוגע לביצועיהן, כך שניתן יהיה לבסס עליהם את מסקנות תקופת המבחן ')דו"ח ביקורת מיוחד, עמ18-19 .( 8.4.1תגובת הרשות הביומטרית הרשות הביומטרית טוענת כי השימוש במערכת הזמנית לא אמור להשפיע על תקפות הבדיקות שערכה :במהלך תקופת המבחן, שכן ]…[ ביצועי מערכת "להב" נבחנים באופן שוטף ע"י יועץ חיצוני מקצועי מומחה בתחום הביומטריה. המערכת עומדת בצורה מלאה בדרישות החוק בכל היבטי הביצועים, הדיוק ורמות השירות הנדרשות מן המערכת ומן הרשות. בנוסף לכך מתבצע באופן שוטף תהליך בחינת נתונים על ידי מומחי המכון למחקרים צבאיים ברפא"ל המבצעים בחינות סטטיסטיות לביצועיה .של מערכת ההשוואות ביצועי המערכת ורמות הדיוק בהן היא עומדת הוצגו בהרחבה לממונה על היישומים הביומטריים וכן לוועדה המייעצת על ידי הרשות ועל ידי יועצים מומחים מטעמה ומומחי מחצ"ב רפא"ל. הממונה על היישומים הביומטריים וכן הועדה המייעצת הבהירו כי נחה דעתם בנוגע לתקפות ביצוע תקופת המבחן והבדיקות הנדרשות, כולל בחינת החלופות, על בסיס ."מערכת "להב […] הממונה על היישומים הביומטריים וכן הוועדה המייעצת עודכנו לגבי תהליכי הטמעת מערכת ההשוואה ונתנו דעתם לנושא. הוצגה בפניהם על ידי מומחי הביומטריה ועל ידי ,מומחי מחצ"ב רפא"ל העובדה כי נתוני הדיוק, רמת התראות השווא ורמת איתור המתחזה -המוצגים כעקומת הFAR - והFRR ", יתנהגו בצורה דומה בשתי מערכות ההשוואה "להב .ו"מגן". וכי אין צפי לשינוי בתקפות התוצרים בין שתי המערכות )דו"ח מסכם, פרק7.1 .( 44או, לפחות, כך הרשות הייתה אמורה לפעול לפי צו המבחן. דו"ח הוועדה המייעצת/מפקחת מסביר כי תוצאות האמת של חלופת הפנים עומד בביצועים הנדרשים לפי חוק. בפועל הרשות הביומטרית הורידה את הציונים של החלופה באופן מלאכותי, ופגמה בתוצאות הניסוי. לעניין זה, ר' פרק3.5 . לעיל – 61 – .ראוי לשים לב לסיוג שבדברים: הרשות טוענת כי לא צפוי שינוי בתקפות התוצרים בין שתי המערכות הדברים אינם מדויקים, בלשון המעטה, שכן שיפור בנתוני הדיוק בין המערכות, יהפוך שימוש במידע ביומטרי חלקי שאינו עומד בדרישות החוק במערכת הזמנית לכזה שעומד בדרישות החוק במערכת .הקבועה 8.4.2דו"ח הוועדה המייעצת/מפקחת ודו"ח מבקר המדינה הוועדה המייעצת/מפקחת דנה מספר פעמים בשאלת תקפות נתוני הדיוק של המערכת הזמנית על המערכת הקבועה. הוועדה קיבלה לבסוף את עמדת הרשות הביומטרית, בהסתמך על חוו"ד מקצועיות לפיהן לא צפוי הבדל משמעותי בממצאים בין מערכות "להב" ו"מגן", וכי אם יהיה הבדל כזה הוא יהיה :זניח ולא ישפיע על תוצאות המבחן ,הוועדה קיימה דיונים בנושא המערכת המרכזית המשרתת את הרשות לניהול המאגר באמצעותה מבוצעות ההשוואות הביומטריות, על מנת לבדוק סוגיות שעלו נוכח השימוש :"במערכת "להב האם מערכת "להב" מסוגלת לשאת את תקופת המבחן כולה מבחינה תפעולית; האם איסוף הנתונים בתקופת המבחן על גבי מערכת "להב" יפגום בתקפות הנתונים הסטטיסטיים שייאספו .ויבחנו, ומהן ההשלכות האפשריות של המעבר למערכת "מגן" ביחס לממצאי תקופת המבחן .בנוסף לכך, ביקשה הוועדה לוודא, כי תהליך ההסבה בין המערכות יתבצע באופן סדור )דו"ח הוועדה המייעצת/מפקחת, פרק2.2.2.1 ', עמ35 .( דו"ח הביקורת המיוחד מוסיף פרטים על הספקות שהתעוררו בוועדה המייעצת/מפקחת בדבר תקפות :תוצאות המבחן תוך שימוש במערכת הזמנית החל מיולי2012 , פנה הממונה על היישומים הביומטריים אל הרשות לניהול המאגר הביומטרי בבקשה לקבל נתונים על המערכת הזמנית, וכן תכנית להיערכות למעבר משימוש במערכת […] .הזמנית למערכת הקבועה, וקיבל מסמכים שונים לעיונו בדצמבר2013 שלח הממונה על היישומים הביומטריים מכתב לרשות לניהול המאגר הביומטרי ובו ציין כי לנוכח חשיבות הנושא, הוא מוצא לנכון להביא לידיעתה את עיקרי ממצאיו עוד לפני הוצאתו של דוח פיקוח ראשון מטעמו. הממונה כתב כי מתחייב ניתוח משמעויות מלא של תפעול המערכת על בסיס המערכת הזמנית, ובכלל זה לבחון אם יש מגבלה תפעולית שאינה מאפשרת להתבסס על המערכת הזמנית במשך כל תקופת המבחן, וזאת עקב המגבלות שעל " פיהן תוכננה המערכת מלכתחילה, והאופן שבו היא יושמה ומופעלת. עוד ציין כי מאחר ,והמערכת הזמנית אופיינה, תוכננה ומומשה על מנת לתת מענה לתקופת ביניים בלבד ,עולה השאלה, עד כמה הממצאים שיופקו וינותחו על פי השימוש במערכת ייעודית זאת משקפים בצורה מהימנה את נושאי הבדיקה של החלופות השונות, כפי שהוגדרו בצו ובפרוטוקול תקופת המבחן... במילים אחרות, השאלה היא עד כמה המשך ההתבססות על מערכתPLAN B... מבטיחה שהעילה המרכזית של תקופת המבחן, קרי – בדיקת הצורך בקיומו של מאגר ביומטרי, תיענה בצורה מלאה ושלמה ותעמוד בביקורת מקצועית וציבורית כאחת." […] בישיבת הוועדה המייעצת בתחילת ינואר2014 ציין הממונה כי "על אף האמירות שהושמעו בדיון שנערך ביום17.12.13, אינני יכול לומר שנחה דעתי בנושא זה ויש צורך בבדיקות נוספות ."ביחס לעמדה שהביעו הרשויות בישיבה העלו חברי הוועדה המייעצת שאלות בדבר האפשרות לקבל בתום תקופת המבחן החלטות המתבססות על ביצועי המערכת הזמנית, ובדבר האפשרות להסיק מסקנות על ביצועי המערכת הקבועה על סמך ביצועי המערכת הזמנית. בסיום הישיבה הוחלט שעל הרשויות להעביר למשרד הממונה את כל המסמכים הנוגעים למערכת הזמנית. עוד הוחלט כי הממונה יבקש מראשי הרשויות למסור לו התייחסות כתובה לגבי התנהלות תקופת המבחן על גבי לאומיים וישראליים; לגבי עמידתה-המערכת הזמנית, לרבות לגבי עמידת המערכות בתקנים בין של המערכת הזמנית בדרישות החוק והפרוטוקול; ההבדלים שעשויים להיות בתוצאות בחינת – 62 – החלופות הנבדקות בתקופת המבחן בין שתי המערכות; וכן התייחסות לשאלה אם במסגרת הדיווח על תוצאות תקופת המבחן אפשר להתייחס לממצאי הבדיקה של ביצועי המערכת .הזמנית כתקפים גם לגבי המערכת הקבועה […] בדיון הוועדה המייעצת שהתקיים באפריל2014 שבו והעלו חברי הוועדה שאלות בנוגע לשימוש במערכת הזמנית. הממונה ציין לפני הוועדה כי נושא שמבחינת יחידת הממונה "עדיין לא קיבל מענה שיניח את דעתנו הוא היכולת שלPlan B לשאת על גביה את תקופת המבחן. אנו פועלים ."לקבל תשובות שיתנו מענה לסוגיה זו ')דו"ח ביקורת מיוחד, עמ20-22 .( בסופו של יום, הוועדה החליטה לקבל חוות דעת של יועץ ביומטריה מטעם הרשות הביומטרית, לפיה להחלפת מערכת ההשוואה הביומטרית אין השפעה על תקפות תוצאות תקופת המבחן לאחר מספר דיונים נמצא כי מערכת "להב" תוכל לשאת על גבה את התנהלות תקופת המבחן במלואה. נקבע כי נחה דעתה של הוועדה הן לגבי קיומו של תהליך הסבה סדור בין מערכת "להב" ל"מגן", וכן כי נחה דעתה ביחס לשאלת ההשפעה של המעבר בין המערכות על תוצאות תקופת המבחן. בהתאם לחוות דעת מקצועיות שהונחו בפניה ומתן הבהרות נוספות על ידי מומחים )מתחום הביומטריה והסטטיסטיקה(, נמצא כי לא צפוי הבדל משמעותי בממצאים בין מערכת "להב" למערכת "מגן", וכי אם יהיה הבדל כזה הוא יהיה זניח ולא ישפיע על תוצאות .המבחן )דו"ח הוועדה המייעצת/מפקחת, פרק2.2.2.1 ', עמ35 .( ביוני2014 העבירה הרשות לניהול המאגר הביומטרי לממונה על היישומים הביומטריים ולוועדה המייעצת מסמכים המפרטים את יכולות המערכת הזמנית ואת מידת עמידתה בדרישות תקופת ,המבחן. בין היתר צוין כי "המערכת עומדת בצורה מלאה בדרישות החוק בכל היבטי הביצועים הדיוק, ורמות השירות הנדרשות מן המערכת ומן הרשות". עוד ציינה הרשות כי גם אם צפויים ,כמה הבדלים בין ביצועי המערכת הזמנית לביצועי המערכת הקבועה בפרמטרים מסוימים הרי שלהערכתה ביצועיהן של שתי המערכות בפרמטרים המרכזיים )דיוק, התראות שווא וקבלת מתחזים( יהיו דומים. נציגי הרשות ציינו שלנוכח האמור לעיל הם אינם "צופים ."לשינוי בתקפות התוצרים בין שתי המערכות הרשות לניהול המאגר הביומטרי ציינה לסיכום כי "אנו ברשות סומכים את ידינו על המערכת ועל תקפות תוצאות המבדקים ובחינת ."החלופות אשר מבוצעות על בסיס המערכת ]הזמנית[ במהלך תקופת המבחן ')דו"ח ביקורת מיוחד, עמ22 .( ,הרשות הביומטרית טוענת כי מאחר ששכנעה את הוועדה המייעצת/מפקחת כי הפער בין המערכות זניח :אין בעיה בכך שתוצאות הניסוי מתבססות על המערכת הזמנית בהחלטת הוועדה המייעצת מדצמבר2014 נכתב בצורה מפורשת וברורה כי נחה דעתה ביחס לשאלת ההשפעה של המעבר בין המערכות. הוועדה קבעה כי בהתאם לחוות הדעת המקצועיות שהוצגו לה, "אין צפי להבדל בממצאים בין שתי המערכות לצורך בדיקת החלופות בתקופת המבחן וכי אם יהיה פער, הוא יהיה זניח מכדי להשפיע על תקפות הממצאים או לשנות ."מהתוצאות של תקופת המבחן )מסמך התייחסות, פרק7.2.2 .( חוות הדעת אינה זמינה לנו. מבלי לקרוא את נימוקי היועץ, קשה להבין כיצד היועץ הגיע למסקנה כי .ההבדל בין ביצועי מערכת "להב" ו"מגן" צפוי להיות זניח ולא ישפיע על תוצאות המבחן 8.4.3 ?האם אכן צפוי פער זניח בין ביצועי המערכות כאמור בפרק9 להלן, אמינות נתוני הדיוק של המערכת הזמנית נתונים בספק רב. המערכת הזמנית נבדקה על מדגם מצומצם של16,200 רשומות בלבד. ייתכן כי אם נתוני הדיוק היו מחושבים מתוך מדגם של מאות אלפי רשומות היה ניתן להשוות את ביצועי המערכת הזמנית בפועל עם נתוני היצרן אודות ביצועי .המערכת הקבועה, ולהסיק מסקנות בדבר שקילות המערכות ומידת ההשפעה על תקופת הניסוי דו"ח הביקורת המיוחד מציין שיועץ הביומטריה של הרשות העביר לוועדה המייעצת/מפקחת דו"ח בדבר תקפות נתוני הדיוק של המערכת הזמנית ביוני2014. אולם, הסורקים הביומטריים הוחלפו מאז, ודו"ח הביקורת מבהיר כי להחלפתם הייתה השפעה משמעותית על נתוני הדיוק. מכאן, לא ברור אילו נתונים – 63 – " תומכים בטענת הרשות הביומטרית כי אין צפי להבדל בממצאים בין שתי המערכות לצורך בדיקת החלופות בתקופת המבחן וכי אם יהיה פער, הוא יהיה זניח מכדי להשפיע על תקפות הממצאים או לשנות מהתוצאות של תקופת המבחן." שעה שלא קיימים נתוני דיוק אמינים של המערכת הזמנית, קל וחומר במועד הבדיקה של יועץ הביומטריה, לא ברור על אילו נתונים מתבסס הדו"ח. הדו"ח של יועץ הביומטריה לא פורסם, ולא ניתן בידינו לנתח את מסקנותיו. לא ניתן לבסס את הניסוי הביומטרי על סמך "הערכה כללית" כי אין צפי .בסיס השוואות אמת מהמערכת הקבועה-בשוני בין התוצאות. יש לוודא את הערכה הזאת בפועל, על 8.5 כישלון המכרזים לרכישת מערכת השוואה ביומטרית כיצד רשות ממשלתית, שהפרוטה מצויה בכיסה, מגיעה למצב שבמשך ארבע שנים מהמועד המקורי של תקופת המבחן , ולאורך כל תקופת המבחן אין בידיה מערכת השוואה מקצועית וייעודית? וכאמור, אין ליבו של המאגר, במערכת המחשוב המרכזית-המדובר ברכיב זניח, אלא בלב. רשות האוכלוסין וההגירה ומשרד הפנים פרסמו שני מכרזים בינלאומיים להקמת מערכת השוואה 'ביומטרית – מכרז מס118/2011 ' ומכרז מס82/2013. המכרז הראשון בוטל והמכרז השני נתקל בקשיים לחתימתו, מסיבות שמשרד הפנים מסרב לחשוף45. 8.5.1המכרז הראשון בחודש יולי2011 , רשות האוכלוסין וההגירה פרסמה מכרז בינלאומי118/2011 לאספקת מערכת השוואה ביומטרית. למכרז ניגשו ארבע מציעות – חברתMorpho , חברתDaon , חברתAccenture וחברת 3M/Cogent ,. מתוכןMorpho - וDaon הוכרזו כמציעות כשרות, ושתי האחרות נפסלו, מכיוון שלא עמדו .בתנאי הסף המחמירים בינואר2012 הכריזה רשות האוכלוסין וההגירה על זכייתה שלDaon . במכרזMorpho טענה כי ועדת -המכרזים פגעה בשוויון שבין המציעים, שכן ועדת המכרזים הודיעה לDaon בכמה עליה לשפר את הצעתה כדי לזכות במכרז. בעקבות הטענות מצדMorpho , המכרז בוטל. לאחר ביטול המכרזDaon תבעה את נזקיה מהמדינה וזכתה לפיצוי בסך מיליון ש"ח46. :דו"ח הביקורת המיוחד מסביר כי המכרז הראשון בוטל עקב הליכים משפטיים, מבלי לפרט ביולי2011 פרסמה רשות האוכלוסין מכרז להספקת מערכת השוואה ביומטרית. ]…[ במאי2012 .בוטל המכרז להספקת המערכת הקבועה בעקבות הליכים משפטיים ')דו"ח ביקורת מיוחד, עמ19 .( 8.5.2המכרז השני בפברואר2013 פרסם משרד הפנים מכרז חדש, הוא מכרז בינלאומי82/2013. למכרז השני נרשמו, בין היתר, ארבעת החברות שניגשו למכרז118/2011 . באוקטובר2013, עם סגירת המכרז, התברר כי רק חברה ,אחת3M/Cogent ., הגישה בכלל הצעה למכרז חברת3M/Cogent לא עמדה בתנאי הסף של המכרז הראשון, ולא ברור אם היא עומדת בתנאיי הסף של .המכרז השני למעשה, לא ברור כלל אם ההצעה של3M/Cogent . עומדת כלל בתנאיי המכרז רק בספטמבר2014 , כמעט עשרה חודשים לאחר סגירת המכרז, נחתם הסכם עם חברת3M/Cogent להקמת מערכת "מגן". משרד הפנים מסרב לפרסם את התנאים בהם נסגר המכרז, ומסרב להעביר נתונים בדבר הקשיים שמנעו חתימה מהירה של ההסכם ההקמה עם החברה הזוכה. במהלך הדיונים עם החברה .עודכנו הדרישות הטכניות של המערכת, אך הרשות אינה מוכנה להבהיר את מהות השינויים :דו"ח הביקורת המיוחד מפרט מעט יותר על המכרז השני לרכישת המערכת 45 עת"מ54247-04-15 .' התנועה לזכויות דיגיטליות והתנועה לחופש המידע נ' משרד הפנים ואח 46 ,"עומר כביר, "מחדל ביומטרי: רשות המאגר ניהלה מכרז לקוי, פגמה בפיילוט התוכנית כלכליסט 06/05/2015 . – 64 – במאי2013 פורסם מכרז נוסף להספקת המערכת הקבועה. במרץ2014 הכריזה ועדת המכרזים של משרד הפנים על חברה אחת כעל מציעה כשירה, ואישרה לערוך עמה משא ומתן בקשר להצעתה. בספטמבר2014 נחתם הסכם עם החברה האמורה להספקת המערכת הקבועה. על פי הערכת הרשות לניהול המאגר הביומטרי, הטמעת המערכת הקבועה תחל במרץ2015 )זמן קצר .(לפני סיום תקופת המבחן ')דו"ח ביקורת מיוחד, עמ19-20 .( נכון ליוני2015, מערכת "מגן" טרם הוטמעה. הרשות הביומטרית מעריכה כי תהליך ההטמעה יסתיים בסוף חודש יוני2016 ., שלושה חודשים לאחר תום תקופת המבחן השנייה 8.5.3 עלות המכרזים לרכישת מערכת השוואה ביומטרית משרד הפנים מסרב לחשוף את מחירי המכרזים הביומטריים. הצעתDaon במכרז הראשון הייתה להקים -את המערכת תמורת כ2.6 מיליון דולר. חברת3M/Cogent עתידה להקים את המערכת תמורת עלות -משוערת של כ6.5 מיליון דולר! עלויות אלו הן עלויות משוערות, שכן משרד הפנים מסרב לחשוף כל פרט בנוגע למכרז, אפילו לא מידע המחויב בפרסום47. במכרז השני ניתנה הצעה יחידה, ולכן משרד הפנים לא היה יכול לערוך הליך התמחרות בין מספר .מציעים היעדר הליך התמחרות הביא את המדינה לשלם מחיר גבוה פי שניים מהמחיר שנדרשה לשלם .במכרז הראשון 8.5.4תגובת הרשות הביומטרית :להלן תגובת הרשות הביומטרית לממצאים לכישלון המכרז הראשון אין קשר כלשהו לשיטת הפעלתו של המאגר הביומטרי. מדובר בסוגיה עסקית מול הספק המציע. זהו ניסיון נוסף להציג מצג שווא-חוזית ללא בסיס עובדתי. .המכרז השני מתנהל בצורה תקינה והטמעת המערכת מתקדמת כמתוכנן )מסמך התייחסות, פרק7.2.4 .( הרשות הביומטרית זורה חול בעיני הציבור. הקביעה כי אין לממצאים בסיס עובדתי היא שקרית . אנחנו "עומדים מאחורי הממצאים, המבוססים בין היתר על תחקיר עיתון "כלכליסט48. הרשות הביומטרית מתנגדת בכל כוחה לפרסום מסמכי המכרז והפרוטוקולים של ועדת המכרזים, גם בהשמטת פרטים .העלולים לפגוע בביטחון המאגר 47 ה"ש45 . לעיל 48 ה"ש46 . לעיל – 65 – 9.אמינות נתוני הדיוק של הרשות הביומטרית פרק זה מתייחס לנושא טכני במהותו: מדידת נתוני הדיוק של מנועי ההשוואה הביומטריים. הרשות הביומטרית הטילה חיסיון על נתוני הדיוק – החלטה מעוררת תמיהה. בפרק זה נציג רק את השאלות אשר .חשוב לשאול, שכן על התשובות הוטל, כאמור, חיסיון 9.1מבוא: מדידות דיוק במערכות השוואה ביומטריות מנוע השוואה ביומטרי מקבל שתי דגימות ביומטריות, משווה ביניהן ונותן ציון מספרי המתאר את מידת ההתאמה בין הדגימות. ככל שהציון גבוה יותר, סביר יותר שהדגימות נלקחו מאותו אדם. ככל שהציון .נמוך יותר, סביר יותר שהדגימות נלקחו משני אנשים שונים .'ציון ההתאמה הוא ערך מספרי אותו יש להפוך לתשובת 'כן' או 'לא', כלומר 'יש התאמה' או 'אין התאמה לשם כך נקבע סף החלטה מספרי: אם ציון התאמה עובר את סף ההחלטה, המערכת מחזירה תשובה חיובית – הדגימות נלקחו לאותו אדם. אם ציון ההתאמה נמצא מתחת לסף ההחלטה, המערכת מחזירה .תשובה שלילית – הדגימות נלקחו מאנשים שונים :מנוע השוואה מחזיר תמיד תשובה בינרית )'כן' או 'לא'(, ולכן הוא יכול לשגות בשני אופנים ()א) תוצאה חיובית שגויהfalse positive (, מנוע ההשוואה עונה "כן, יש התאמה", אך הדגימות נלקחו ."משני אנשים שונים, כלומר התשובה הנכונה היא "לא, אין התאמה ()ב) תוצאה שלילית שגויהfalse negative (, מנוע ההשוואה עונה "לא, אין התאמה", אך הדגימות ."נלקחו מאותו אדם, כלומר התשובה הנכונה היא "כן, יש התאמה במציאות לא קיימות מערכות השוואה מושלמות. ככל שמנוע השוואה שוגה פחות, כך נחשב הוא למהימן יותר. כמות השגיאות נמדדת באופן יחסי לסך ההשוואות המבוצעות. דיוק המערכת נמדד באמצעות היחס ) בין קצב השגיאות מסוג תוצאה חיובית שגויהFalse Positive Rate = FPR( לבין קצב השגיאות מסוג ) תוצאה שלילית שגויהFalse Negative Rate = FNR .( -באמצעות שינוי סף ההחלטה, ניתן לשפר את הFPR -חשבון ה- עלFNR ,, ולהפך. ככל שסף ההחלטה יורד -כך גדל הFPR - וקטן הFNR - במקביל. ככל שסף ההחלטה עולה, כך קטן הFPR - וגדל הFNR . במקביל -מדידת הדיוק של המערכת מתבצעת ע"י שינוי הדרגתי של ערכי הסף, ובדיקת היחס בין הFPR - והFNR . הדרך המקובלת לעריכת מבדקי דיוק למערכות סיווג, כגון מנועי השוואה ביומטריים, היא הצגת עקומת ROC ) Receiver Operating Characteristic ( 49 או גרףDET ) Detection Error Tradeoff(. שתי אלו הן ) צורות )שקולות( להצגת קצב שגיאות מסוג תוצאה חיובית שגויהFPR(, לעומת קצב שגיאות מסוג ) תוצאה שלילית שגויהFNR .החלטה שונים של מנוע ההשוואה-(, עבור ערכי סף 9.2דרישות דיוק בצו המבחן :צו המבחן מגדיר ארבעה סוגים של שגיאות השוואה עבור מערכת השוואה ביומטרית ] ""דחייה מוטעיתFRהתאמה בין אמצעי הזיהוי-[ – מצב שבו תוצאת הזיהוי הראתה אי הביומטריים שניטלו מתושב או נתוני הזיהוי הביומטרי שהופקו מהם, לבין האמצעים או הנתונים הביומטריים הכלולים במסמך הזיהוי או במאגר לגבי אותו תושב, במקום שבו היתה ) התאמהfalse rejection ;( ] ""קבלה מוטעיתFA[ – מצב שבו תוצאת הזיהוי הראתה התאמה בין אמצעי הזיהוי הביומטריים שניטלו מתושב או נתוני הזיהוי הביומטרי שהופקו מהם, לבין האמצעים או הנתונים הביומטריים הכלולים במסמך הזיהוי או במאגר לגבי אותו תושב, במקום שבו לא ) היתה התאמהfalse acceptance ;( 49 סעיף3.1.7 . לפרוטוקול הניסוי – 66 – ] "התאמה מוטעית-"איFNM[ – מצב שבו תוצאת זיהוי לא הראתה התאמה בין אמצעים או נתונים ביומטריים של תושב לבין אמצעים או נתונים ביומטריים של תושב אחר, בבדיקה מול ) כל האמצעים והנתונים במאגר, במקום שבו היתה התאמהfalse non match ;( ] ""התאמה מוטעיתFM[ – מצב שבו תוצאת הזיהוי הראתה התאמה בין אמצעים או נתונים ביומטריים של תושב, לבין אמצעים או נתונים ביומטריים של תושב אחר, בבדיקה מול כל ) האמצעים והנתונים הביומטריים הכלולים במאגר, במקום שבו לא היתה התאמהfalse match ;( קבלה מוטעית) FA( ו התאמה מוטעית) FM ( שתיהן שגיאות מסוג תוצאה חיובית שגויה : מנוע ההשוואה מוצא שיש התאמה בין הדגימה הנבדקת לדגימה של תושב מסוים, למרות שהדגימה הנבדקת לא נלקחה .מאותו תושב דחייה מוטעית) FR( ו התאמה מוטעית-אי) FNM ( שתיהן שגיאות מסוג תוצאה שלילית שגויה : מנוע ההשוואה מוצא שאין התאמה בין הדגימה הנבדקת לדגימה של תושב מסוים למרות שהדגימה הנבדקת אכן נלקחה. מן התושב המסוים ,צו המבחן ופרוטוקול הניסוי קובעים את דרישות הדיוק בהן נדרש מנוע ההשוואה הביומטרי לעמוד .כלומר את קצבי השגיאות מסוג תוצאה חיובית שגויה ומסוג תוצאה שלילית שגויה עבור משימת אימות ביומטרי50 ) , נדרש קצב קבלה מוטעיתFAR, הווה אומר FPR ( של1:10,000 עם קצב ) דחייה מוטעיתFRR , הווה אומרFNR ( של1:100. כלומר, מנוע ההשוואה צריך לתת תוצאות השוואה העומדות בסף הדיוק FPR = 10–4 עםFNR = 10–2 עבור משימת זיהוי ביומטרי51 ) התאמה מוטעית-, נדרש קצב איFNMR , הווה אומרFNR ( של5%, כלומר 1:20 ) , עם קצב התאמה מוטעיתFMR , הווה אומרFPR ( של1:1,000 עבור מאגר של מיליון רשומות52, או קצב התאמה מוטעית של1:109 לכל השוואה בנפרד. כלומר, מנוע ההשוואה צריך לתת תוצאות השוואה העומדות בסף הדיוק FPR = 10–9 עםFNR = 0.05 -דרישות אלו קובעות שתי נקודות ייחוס בעקומת הROC - או בגרף הDET של מערכת הסיווג או מנוע .ההשוואה 9.3הצגת נתוני הדיוק 9.3.1 "דרישה להצגת הנתונים "לפי הכללים המקובלים בסעיף8א)א( לצו הניסוי קובע כי על הרשות הביומטרית לבחון את דיוק מנוע ההשוואה הביומטרי בהפעלתו על מידע ביומטרי מלא או חלקי מסוגים שונים. סעיף11)ג( לצו המבחן מצווה על הרשות לערוך " את הדו"חות לפי ]ה[כללים ]ה[מקובלים לעריכת מבדקים למערכות ביומטריות:" 11. סקר דין וחשבון […] ()ב הרשות ]הביומטרית[ ורשות האוכלוסין ]וההגירה[ יכינו דין וחשבון מפורט בכתב ובו תיאור כל תוצאות הבדיקות שבוצעו בתקופה האמורה לפי צו זה, אחת לכל חצי שנה במשך .[…] תקופת המבחן ()ג,דין וחשבון כאמור ייערך לפי כללים מקובלים לעריכת מבדקים למערכות ביומטריות ,ככל שהם רלוונטיים ובכלל זה יסקור את הממצאים והאסמכתאות לממצאים בהתאם 50 סעיף10 )ב( לצו המבחן וסעיף-)א( ו14.4.1.1 . לפרוטוקול הניסוי 51 סעיף10 )ג( לצו המבחן וסעיף14.4.1.2 . לפרוטוקול הניסוי 52 הפרוטוקול קובע קצב התאמה מוטעית של1:1,000 עבור מאגר של1,000,000 רשומות, וקצב התאמה מוטעית של1:10,000 עבור מאגר של100,000 רשומות. הדרישות שקולות לקצב שגיאה של1:1,000,000,000 . בהשוואה בודדת – 67 – לפרוטוקול המבחן, וכן חוות דעת של הסטטיסטיקאי הממשלתי בדבר התאמה של הבדיקה .והממצאים לכללים מקובלים בתחום זה הכללים המקובלים לעריכת מבדקים למערכות ביומטריות מוגדרים בתקןISO/IEC 19795-6:2012 53. שיטת ההצגה המקובלת היא הצגת עקומתROC או גרףDET . עבור כל מנוע השוואה ביומטרי :גם פרוטוקול הניסוי מבהיר כי על הרשות הביומטרית להציג כך את נתוני הדיוק לכל חלופה תופק עקומתROC המשקללת נתוניFM - וFNM -. מניתוח והשוואה של עקומות ה ROC […] . תתקבל תמונה לגבי החלופה המספקת והרצויה בעזרת עקומתROC - ייבדק בפרט ערך הFM בנקודותFNM קבועות של1% , 5% ואם יתאפשר גם0.1% . לדוגמא: בגרף להלן מתואר שעבור1% = FNM - לחלופת אצבע אחת ופנים יש כ2% FM - ולחלופה של אצבע אחת בלבד יש יותר מ20% FM . )פרוטוקול הניסוי, פרק14.12.5 .( הגרף שלהלן מופיע בפרוטוקול הניסוי, כדוגמה לעקומתROC . מדודה עבור שתי חלופות ביומטריות .גרפים מסוג זה לא הופיעו בדו"חות התקופתיים או בדו"חות המסכמים של הרשות הביומטרית 9.3.2הצגת נתוני הדיוק בדו"חות התקופתיים אף אחד מהדו"חות הפומביים אינו כולל עקומותROC או גרפיDET, אפילו לא עבור חלופת המאגר המלא. הרשות הביומטרית הטילה חסיון על הנתונים, אף על פי שהצו והפרוטוקול קובעים מפורשות כי :עליה לפרסמם בדו"חות בדיקות הביצועים ועמידה במדדים ובחינת החלופות הביומטריות מלווה על ידי המרכז למחקרים צבאיים )מחצ"ב( / רפא"ל ויועץ חיצוני מקצועי בתחום הביומטריה. מטרת הבדיקה היא לאמת שניתן לבחור סף החלטה שבו יינתן מענה לדרישות הצו, הן עבור טביעות האצבע .והן עבור זיהוי הפנים במסמכי מחצ"ב / רפא"ל, אשר ציטוטים מהם מובאים להלן, מפורטים ממצאים שונים המתייחסים להערכת הביצועים הנוכחיים של מנועי הזיהוי הביומטרי, והשוואתם ליעדי הביצועים שהוגדרו בחוק. הניתוח והממצאים הנ"ל אינם מתייחסים ואינם כוללים את המערך .האנושי אשר תומך ומגבה את המערכת הטכנית דו"חות מחצ"ב / רפא"ל הינם מסווגים ולכן יועברו בתפוצה מוגבלת. במסמך זה כאמור ישולבו .הפניות לדו"חות אלו וציטוטים מתוכם )דו"ח מסכם, פרק8.5 .( 53 ISO/IEC 19795-6:2012 – Information Technology – Biometric Performance Testing and Reporting – Part 6: Testing Methodologies for Operational Evaluation. – 68 – התנועה לזכויות דיגיטליות פנתה לוועדה המייעצת/מפקחת, כדי שתורה לרשות הביומטרית להציג את הנתונים החסרים. הוועדה המייעצת/מפקחת הודיעה כי בשל החלטת הרשות הביומטרית לסווג את .הנתונים המבוקשים כסודיים, לא ניתן להעבירם 1.בפניותיך שבסימוכין, הוצגו דרישות לקבלת מסמכים שונים מהרשות לניהול מאגר ביומטרי )להלן: "הרשות"( הנוגעים ל"תקופת המבחן", אשר הופיעו במסגרת רשימת הנספחים לדו"ח […] ."המסכם של הרשות ל"תקופת המבחן 2.פניות אלה הועברו להתייחסות הרשות, היחידה לסיכול איומי סייבר במשרד ראש הממשלה .[…] )להלן "רא"ם"( אשר אמונה על אבטחת המידע של הפרויקט 3.חלק מהמסמכים המבוקשים הם מסווגים, כאשר הכלל לגבי מסמכים מעין אלה הוא שהגורם המפיק אותם קובע את רמת סיווגם ואת מידורם. לפיכך, ובהתאם לעמדת הגורמים המנויים לעיל, לא ניתן להעביר את המסמכים המסווגים הבאים: דוחו"ת רפא"ל לבחינת ביצועי המערכות ברשות )נספח8 (, המכילים בין היתר עקומותroc - וdet )אשר כשלעצמם מהווים .[…] (נתונים מסווגים כמוסבר בפרק8, תקופת הניסוי נערכה ללא מערכת השוואה ביומטרית מקצועית. ייתכן שהמערכת הזמנית אינה מאפשרת הפקה של נתוני הדיוק הנדרשים, או שבדיקות הדיוק נערכו באופן חלקי, מקורב ,או שגוי. במוסגר יוער כי הנתונים החלקיים שפורסמו בדו"חות התקופתיים אינם מציגים תמונה עקבית .ומעלים חשש להצגה מטעה ו/או להסתרה של פערים בבדיקות, שלא לומר חשד למניפולציה מכוונת 9.3.3חוות דעת הסטטיסטיקן הממשלתי הרשות הביומטרית הטילה חיסיון על דו"חות מחצ"ב רפאל. כתוצאה מכך, נכון לסיום תקופת המבחן .הראשונה לא הועברו כל הנתונים למומחה מטעם הסטטיסטיקן הממשלתי לצורך בחינה חיצונית בעקבות פניית התנועה לזכויות דיגיטליות לוועדה המייעצת/מפקחת פער זה טופל, ויועץ חיצוני בלתי תלוי .מטעם הסטטיסטיקן הממשלתי החל לבחון את מבדקי הדיוק של הרשות הביומטרית כאמור בפרק9.3.1 לעיל, סעיף11 " )ג( לצו המבחן קובע כי הסטטיסטיקן הממשלתי יחווה את דעתו בדבר התאמה של הבדיקה והממצאים לכללים מקובלים בתחום זה:" דין וחשבון כאמור ייערך לפי כללים מקובלים לעריכת מבדקים למערכות ביומטריות, ככל שהם ,רלוונטיים, ובכלל זה יסקור את הממצאים והאסמכתאות לממצאים בהתאם לפרוטוקול המבחן וכן חוות דעת של הסטטיסטיקאי הממשלתי בדבר התאמה של הבדיקה והממצאים לכללים .מקובלים בתחום זה ביום01/02/2016 פרסמה הרשות הביומטרית מכתב מהסטטיסטיקן הממשלתי, המתייחס לבדיקות הדיוק שנערכו ע"י הרשות. יועץ מטעם הסטטיסטיקן הממשלתי בחן את דו"חות הרשות כדי לוודא שאין ,שגיאות באופן החישוב של מדדי הדיוק. היועץ העיר מספר הערות משמעותיות לגבי המתודולוגיה :ובעקבות הערותיו תוקנו הנוסחאות ששימשו את הרשות הביומטרית /ההערות שלהלן מתייחסות לדו"חות מחצ"ב19 / 12198215v4 /מחצ"ב- ו19 / 12486367. ההערות נכתבו על ידי פרופסור דוד שטיינברג מבית הספר למתימטיקה של אוניברסיטת תל אביב המשמש כיועץ ללמ"ס בנושא המאגר הביומטרי. ]…[ הדו"ח הראשון של רפא"ל מציג מסגרת לבדיקת היתוך של שתי ביומטריות ומהווה גרסה מתוקנת של חישוב של רפא"ל לשיעורי דחייה וקבלה שגויה ולהתאמה וחוסר התאמה שגויים, במקרה של היתוך בין שתי ביומטריות, אחת לאצבעות ואחת לצילום פנים. הדו"ח השני מדגיש את התיקונים שבוצעו על ידי מומחי רפא"ל בעקבות הערות קודמות של פרופסור שטיינברג שנשלחו לרשות המאגר הביומטרי בחודש .ספטמבר של שנה זו הסטטיסטיקן הממשלתי אישר כי הנתונים שהוצגו בפני היועץ עומדים בדרישות סעיף11 :)ג( לצו המבחן ]…[ דוח"ות רפא"ל המתייחסים לביצועי המאגר הביומטרי כפי שהוצגו ללמ"ס נערכו על פי הכללים המקובלים בכל הנוגע לביצועי מערכות ביומטריות וממצאי בדיקות אלה תואמים את הממצאים הידועים בתחום. יתרה מכך, יועץ הלמ"ס בדק ואישר את נכונותה של התכנה – 69 – שבעזרתה יוצרת הרשות את טבלאות הציונים. )צוות הלמ"ס מנוע מגישה ישירה למאגר, לכן (.אין באפשרותנו לבדוק את הטבלאות עצמן אולם, אין באישור זה כדי למלא את דרישות הצו. סעיף11 )ג( לצו המבחן קובע כי הנתונים בדבר ביצועי המאגר יופיעו בדו"חות התקופתיים . לא די בהצגתם ליועץ חיצוני. פנייה לרשות הביומטרית בדרישה .לפרסם את הנתונים כחוק טרם נענתה 9.4גודל המאגר הביומטרי תקופת המבחן נקבעה כדי לבחון במציאות את הדיוק המתקבל מחלופות המאגר השונות העושות שימוש במידע ביומטרי מלא או מצומצם. נתוני הדיוק נמדדים באמצעות הפעלת הליכי אימות וזיהוי ביומטריים על מאגר הנתונים הביומטריים שנאסף במהלך תקופת המבחן. נתוני הדיוק הם נתונים סטטיסטיים: ככל שהבדיקה נערכת על מדגם יותר גדול, כך מתקבלים נתוני דיוק אמינים יותר. מסיבה זו יש חשיבות .לעריכת המבדקים על מדגם גדול ככל האפשר נכון לסוף שנת2014 היו בידי הרשות הביומטרית מאגר הכולל נתונים ביומטריים של548,018 . תושבים בהתאם לתוכנית העבודה של הרשות, הייתה היא אמורה לבצע בדיקה של נתוני הדיוק על מאות אלפי :הרשומות שבמאגר .תוצאות בדיקת חלופות אלה מתבססות על הנתונים אשר נאספו בתקופת המבחן עד כה במהלך החודשים הבאים ועד תום תקופת המבחן יימשך תהליך בחינת החלופות על בסיס .השוואות נתונים ביומטריים של מאות אלפי רשומות אשר יתווספו למאגר במהלך תקופה זו )הרשות הביומטרית, דו"ח תקופתי שני, פרק4.1 , עמוד75 .( בפועל, חישוב נתוני הדיוק של החלופות השונות נעשה על מדגם זניח, בן16,000 : רשומות בלבד -גודל המאגר אשר נבדק עמד על כ16,200 - רשומות ו2,770 . חידושים )נחיצות המאגר חלקIII , פרק6.3 .( במדגם קטן לא ניתן להעריך את קצב השגיאות ברמת דיוק סבירה. לדוגמה, אם סוג מסוים של שגיאה צפוי בקצב נמוך מאשר1:10,000 , בחינה של מדגם עם10,000 רשומות בלבד לא תאפשר הערכת דיוק בעל מבוטלת כי קצב השגיאות הוא-משמעות סטטיסטית: אם לא תימצא אף שגיאה, עדיין ישנה סבירות לא 1:10,000 . או יותר מכך 9.4.1תגובת הרשות הביומטרית :הרשות הביומטרית טוענת כי הסטטיסטיקן הממשלתי אישר את גודל המדגם דו"חות מחצ"ב/רפא"ל הכוללים את ניתוח וממצאי הבדיקות הנ"ל הינם אכן מסווגים )כפי שקבע הגורם המנחה בשב"כ(, ולכן הועברו בתפוצה מוגבלת מאד, רק לגורמי הפיקוח, ובכללם הממונה על היישומים הביומטריים במשרד רה"מ והועדה המייעצת המפקחת על התנהלות תקופת המבחן הכוללת את הסטטיסטיקאי הממשלתי ונציגים מטעמו, אשר כאמור הביעו את שביעות רצונם מגודל המדגם., ומאיכות ומהימנות התוצאות והנתונים )מסמך התייחסות, פרק8.2.2 .( 9.4.2עמדת הסטטיסטיקן הממשלתי הצהרה הרשות הביומטרית תמוהה במקצת. בדו"ח המסכם של הלמ"ס, קובע הסטטיסטקן הממשלתי מפורשות כי הבדיקות נעשו על מדגם קטן מדי של דגימות, מדגם שאינו מספק להסקת מסקנות בעניין ביצועי המאגר: הבדיקות המבוצעות ע"י הרשות לניהול המאגר שאותן היה באפשרותנו לבחון הראו כי תמונת הפנים יעילה מאוד לזהוי פרט ומניעת קבלת זהות כפולה. יש לזכור כי התוצאות תלויות בגודל ,המאגר. ככל שהמאגר יגדל, יהיו יותר אנשים שמזוהים בטעות כתואמים אדם אחר. כמו כן הבדיקות בוצעו על צילומים שבוצעו זמן קצר יחסית לאחר ההרכשה המקורית. עם טביעות האצבע התגלו שיעורי שגיאה גבוהים שהיוו את הסיבה המרכזית להחלפת הסורקים. לאחר .החלפת הסורקים בכל לשכות רשות האוכלוסין, שיעורי השגיאה עמדו בדרישות הצו חשוב – 70 – לציין שהבדיקות נעשו על כמות קטנה של דגימות ולכן לא ניתן להסיק מסקנות החלטיות בעניין ביצועי המאגר. יש חשיבות רבה לבחינה מחודשת לאחר שיתווספו פריטים רבים .למאגר ')דו"ח מסכם מטעם הלמ"ס, דבר הסטטיסטיקן הממשלתי, עמ4 .( 9.5 חוסר התאמה של התוצאות עבורFAR , FRR , FMR - וFNMR הרשות הביומטרית טוענת לחסיון על נתוני הדיוק המלאים. בדו"חות פורסמו גרפים חלקיים עבור חלופת המאגר המלא בלבד. בפרקים8.5.1 - ו8.5.2 של הדו"ח המסכם הוצג קצב השגיאות כתלות בשני ספי .ההחלטה, עבור השוואת תמונות פנים ועבור השוואת טביעות אצבע כמוסבר בפרק9.2 , לעיל קצב דחייה מוטעית) FRR( ו התאמה מוטעית-קצב אי) FNMR( נקבעים למעשה ,ידי אותו מדד של השוואת זוג דגימות-על שלילית שגויה-קצב תוצאה) FNR ,(. בהתאמה קצב קבלה מוטעית) FAR( ו קצב התאמה מוטעית) FMR (, נקבעים לפי מדד חיובית שגויה-קצב תוצאה) FPR .( .מעניין לבדוק אם הגרפים החלקיים המוצגים בדו"חות מציגים תוצאות זהות בין זוגות המדדים בטבלה הבאה מוצגים הגרפים עבורFRR ועבורFNMR, כתלות בספי ההחלטה. אכן, נראה שהגרפים מציגים את אותה המדידה, כמצופה: זאת לפי בחינת העקום עבור הערך0.001 ., המופיע בשני הגרפים ערכיFRR כתלות בספים ערכיFNMR כתלות בספים עתה נבחן את הגרפים עבורFAR ועבורFMR, כתלות בספי ההחלטה. הפעם הגרפים שונים מאוד זה :מזה, ואינם מתאימים ערכיFAR כתלות בספים ערכיFMR כתלות בספים -כיוון שהרשות מסרבת להציג את עקומות הROC - ואת גרפי הDET, קשה להבין את מדוע קצב השגיאות מסוגFAR ומסוגFMR מתנהגים התנהגות שונה כך-כל. – 71 – 9.5.1תגובת הרשות הביומטרית לממצאים הרשות הביומטרית לא מסרה התייחסות רשמית לממצאים. הרשות הביומטרית הסירה את הנתונים מהדו"ח המסכם המעודכן. נראה כי ההתייחסות של הרשות הביומטרית לסתירות המתעוררות מהגרפים .היא פשוט להסיר את הגרפים, ללא כל הסבר – 72 – 10 .חלופות למאגר הביומטרי בסעיף זה נציג מספר חלופות נוספות, שלא נבדקו במהלך תקופת הניסוי, אשר יכולות למנוע באופן יעיל .התחזויות במהלך הנפקת תיעוד חכם ,כל החלופות בפרק זה מאפשרות, במידה זו אחרת לגלות מתחזה עוד בזמן שהותו מול הפקיד בלשכת האוכלוסין – כלומר מאפשרות לתפוס אותו על חם. תכונה רצויה לכשעצמה, והיא יוצרת הרתעה מפני ניסיונות התחזות. ללא תכונה זו, קשה לתפוס את המתחזים, שכן קשה לדעת מי הם. אפילו אם מזהים אותם לאחר מעשה, קשה לדעת היכן הם ולעצור אותם. לכן, הרתעה כזו תגרום להקטנת מספר ניסיונות .ההתחזות והקטנת מספר ההתחזויות המוצלחות 10.1חלופת התשאול המוגבר חלופת התשאול הרגילה מבוססת על שאלות דמוגרפיות על מבקש התיעוד וקרובי משפחתו. כידוע, מרשם התושבים המלא דלף מספר פעמים54. בנוסף, ניתן כיום לדלות פרטים אישיים רבים על לא מעט אנשים מתוך הרשתות החברתיות וכדומה. לכן, שימוש בשאלות דמוגרפיות בלבד, לא ימנעו ממתחזה נחוש להתחזות לאחר. חלופת התשאול המוגבר מתבססת על הרחבת התשאול, באמצעות הכללת אלמנטים :נוספים כגון אלו 1. .("הרחבת סט השאלות )תשאול "קו שני 2. .(שימוש במידע המצוי בידי הרשויות, שלא נמצא במרשם התושבים )שדלף לרשת 3. .דרישה להצגת מסמכי תיעוד קיימים, כגון תעודת זהות, דרכון או רישיון נהיגה 4. .זימון כמה בני משפחה יחדיו, כך שכל אחד מאשר את זהותו של האחר 5.עדים מתועדים – בעת הרכשה ראשונית, לבקש מאדם פרטים של מי שהיה רוצה שיאמת את זהותו למקרה שהתעודה שלו תיגנב או תאבד )למשל: שכן, מפקד מהצבא וכו( – גם נקיטה בצעד .זה תקשה מאוד על מתחזים הנסמכים על מידע שיש על אדם ושניתן להשיגו בדרך אחרת 6.שימוש בכמה פריטי מידע סודיים, שהתקבלו מהתושב עצמו בעת ההרכשה הראשונית, כגון מספר ייחודי, וכדומה. בכל מקרה של שימוש בפריט מידע כזה לאימות התשאול, הוא יבוטל, ובסוף .האימות יתקבל מהתושב פריט מידע חדש 7.שיטה פשוטה במיוחד בעלת יכולת זיהוי משמעותית הינה התקשרות בטלפון על ידי פקיד לשכת האוכלוסין למספר הטלפון הרשום של אותו אדם, עוד בלשכת האוכלוסין. במצב הרגיל הטלפון הסלולרי בכיסו של האדם היושב מול הפקיד יצלצל, אך יתכן שיענו דווקא בני משפחתו בבית שישמחו לזהות אותו. אפשר כמובן גם לטלפן באופן אקראי לטלפונים של הוריו, אחיו ואחיותיו או ילדיו, שיוכלו לעזור בזיהוי האדם, ובכך לספק זיהוי פוזיטיבי מיידי. שיטה פשוטה זו קשה במיוחד לעקיפה על ידי מתחזים, תתרום להרתעה, ותקטין באופן משמעותי ביותר את מספר .ניסיונות ההתחזות ומספר ההתחזויות המוצלחות יש להדגיש כי האלמנטים דלעיל נדרשים לשימוש רק במקרים בהם הפונה מדווח על אבדן כל תעודותיו יחדיו , תעודת זהות ודרכון כאחד. אם אבדה רק תעודה אחת, יוכל התושב להציג את התעודה השנייה .ולהיבדק מולה פוזיטיבית )ביומטרית(, בהליך קצר בלא חשש לתרמית שיטת התשאול המוגבר שכיחה בקרב גופי ביטחון ובנקים. כלומר, זאת שיטה שהוכיחה את יעילותה מזה ,שנים רבות. גם דו"ח המעקב מתריע כי לא נבדקה חלופת תשאול מוגבר, ומציע מספר רעיונות נוספים :לשם לעיבוי חלופת התשאול ככלי למניעת התחזות כפולה לא נבחנו אפשרויות נוספות של תשאול שיש בהן להעמיק את אמינותו, לרבות חלופת התשאול "המוגבר. למעשה, במחצית הראשונה של הפיילוט לא כל מי שנכשל בתשאול של "קו ראשון .עבר מיידית לתשאול "קו שני" אלא חריגים בלבד 54 ,"אביעד גליקמן, "פרשת מרשם האוכלוסין: כך דלף המידע לרשתynet 24/10/2011 . – 73 – לא נבחנו חלופות למבקשים חוזרים של תיעוד ביומטרי שאבד/נגנב. עניין זה שולל את התלות במאגר במקרים כאלה כאשר עולה חשש שמבקש התיעוד הוא מתחזה ולא מי שהונפק לו התיעוד באמת. בעניין זה קיימות מספר אפשרויות שיעבו את הבירוקרטיה סביב מאבדים :סדרתיים בעיקר •חזרה על שאלות מההרכשה הראשונית – הצגת שאלות בהרכשה הראשונית ובחירת שאלה ותשובה למקרה של אובדן עתידי של התעודה שלא תאפשר למתחזה שבידו מידע ביוגרפי על אדם לדעת את התשובה או להתכונן אליה. זאת, בדומה לשאלות של קבלת סיסמא באתרי .'אינטרנט שונים. למשל: חיית מחמד אהובה בילדות, שם של חבר ילדות וכו •עדים מתועדים – בעת הרכשה ראשונית לבקש מאדם פרטים של מי שהיה רוצה שיאמת את זהותו למקרה שהתעודה שלו תיגנב או תאבד. )למשל: שכן, מפקד מהצבא וכו( – גם נקיטה בצעד זה תקשה מאוד על מתחזים הנסמכים על מידע שיש על אדם ושניתן להשיגו בדרך .אחרת •אפשרות לקבל מידע נוסף מרשויות וגורמים מקבילים כדי לאמת זהותו של אדם באופן חד פעמי – לטענת התנועה לזכויות האזרח השיטה הונהגה בעבר בבריטניה שם ניתן היה לקבל מידע גם מחברת האשראי. חלופה זו מצריכה משנה זהירות לגבי פגיעה בפרטיות ושמירה על המידע הנוסף עד למחיקתו, אך היא עשויה לספק תשאול ראשוני אמין ולהקשות מאוד על .מתחזים גם בהרכשה ראשונית •תשאול עמיתים – לדרוש ממי שטוען שאיבד את תעודת הזהות שלו לתמוך את זהותו .בזהות של עמית המופיע במסמכי הזיהוי שלו למשל אחד מההורים )דו"ח מעקב, פרקים3.5.3 - ו3.5.4 .( 10.2בדיקת חשודים מול המאגר המשטרתי הרשות הביומטרית מסבירה כי מי שצפוי לנסות להוציא תיעוד במרמה, הם גורמי פשיעה וחשודים :הרשומים גם כך במרשם המשטרתי – בוצעה עבודה מקיפה בסיוע משטרת ישראל לבחינת ההיקף הנוכחי של התחזות מול פקיד תופעת ההרכשה הכפולה. הבדיקה ]…[ כללה בחינות סטטיסטיות של התאמה מול דיווחי אבדן/גניבה לבין נתוני המרשם הפלילי. תוצאות הבדיקה מעלות נתונים מובהקים של מתאם .בין דיווחי אבדן/גניבה של תעוד לבין פעילות עבריינית בכלל, ועבריינות הונאה בפרט )נחיצות המאגר הביומטרי, פרקI , פרק8.3 .( [מבדיקת המשטרה עולה כי רבים מאלו המדווחים על אובדן או גניבה ]של תעודות זהות .[…] רשומים במרשם המשטרתי הפלילי )דו"ח מסכם, פרק3.1 .( לכן, אם יתאפשר לרשות לבדוק את הנתונים הביומטריים מול המאגר הביומטרי המשטרתי של העבריינים והחשודים, היא תוכל לבצע השוואה של הנתונים הביומטריים של מבקש התיעוד אל מול ,העתק המאגר המשטרתי. באופן זה, לא נפגעת פרטיותם של מי שלא נמצא במרשם המשטרתי, ועדיין ניסיונות התחזות של גורמים עברייניים צפויים להתגלות. כך מערך ההנפקה יוגן בפני ניסיונות התחזות .של עבריינים וחשודים הנמצאים במאגר המשטרתי הרשות הביומטרית טענה שהצעה זו אינה אפשרית, מפני שעל פי החוק הם אינם יכולים לקבל מידע מהמאגר המשטרתי. בפועל, קיבלה הרשות אישורים לקבל מידע פרטי ממגוון משרדי ממשלה, כגון משרד החינוך, לצורך יצירת מאגר שאלות להליך התשאול. לטעמנו, היה עדיף אילו היו מבקשים אישור חוקי .לקבל מידע מועיל מהמשטרה, שהיה מצמצם או מונע את הצורך במאגר הביומטרי – 74 – 10.3החלופה הבלגית – תעודה מגיל אפס בבלגיה55 , כל אזרח מקבל תעודה חכמה עם לידתו. התעודה מוחלפת בתעודה עם תמונת הילד בגיל6, ומוחלפת שנית בגיל12 . בגיל18 , מונפקת תעודת זהות ביומטרית. באופן זה, לכל אזרח בלגי, בגיר או קטין .יש תעודת זהות חכמה, שניתן להשתמש בה לשם זיהוי האזרח כל החלפה של תעודה דורשת הצגת התעודה הקודמת. לכן, כדי ליצור זהות פיקטיבית בהרכשה, המתחזה צריך שיתוף פעולה של ההורים ושל הרופא שרושם את הלידות, שמונה עשרה שנה קדימה. לכן, התחזות .כזאת אינה מעשית כאשר תעודה הולכת לאיבוד, מי שאיבד את התעודה נדרש ללכת לדווח למשטרה, ולהיחקר ע"י שני שוטרים. זה תשאול מוגבר ע"י מומחים מקצועיים. אדם שיש לו מסמכי זיהוי אחרים, יעבור את התחקור המשטרתי בקלות. אם אין לו מסמכים מספקים להציג, הוא יידרש לעבור הליך תשאול מתיש, עד שיוכיח .את זהותו לחוקרים התעודה הבלגית משמשת גם ככרטיס אלקטרוני להזדהות מול שירותי הממשל השונים. לכן, אם התעודה .בוטלה עקב התחזות של אחר לאותו אדם, האזרח יגלה זאת באופן כמעט מיידי 10.4שימוש בתמונות באיכות פחותה סעיף27 :)א( לחוק הביומטרי מתיר להפיק תמונות פנים באיכות פחותה עובד משרד הפנים שהשר הסמיכו לכך, רשאי להפיק, באופן אוטומטי, תמונת פנים באיכות פחותה, מתמונת תווי פנים שניטלה לפי סעיף3 .)א(, לצורך שימוש בה לפי הוראות סעיף זה מאגר ביומטרי המבוסס על תמונות באיכות פחותה יכול לשמש לצורכי אימות זהות בלבד – כאשר מבקש תיעוד מבקש להנפיק עבורו תיעוד נוסף במקום תיעוד שאבד. היתרון במאגר זה הוא שהוא לא מאפשר .לאתר אדם לפי תמונתו, כלומר לא ניתן לערוך באמצעותו שאילתות זיהוי ביומטרי .בבלגיה נעשה שימוש במאגר תמונות חלקי, הכולל תמונות אנלוגיות סרוקות באיכות ביומטרית פחותה זה אמנם סוג של מאגר ביומטרי, אך מאגר כזה אינו מאפשר לבצע חיפוש )זיהוי ביומטרי(, אלא רק אימות :ביומטרי :מאגר ביומטרי בבלגיה מאגר ביומטרי לצרכי הנפקת תעודת זהות ודרכון אלקטרוני לאזרחי .בלגיה, הכולל תמונת פנים )נחיצות המאגר חלקII , פרק3.3.18 .( לדברי נציג הפרלמנט הבלגי, בעת הנפקת תעודות הזהות, הדרכונים ורישיונות הנהיגה אין צורך ,בתמונה דיגיטלית, ודי בתמונה אנלוגית, המצורפת לטפסים. למרות האמור התמונות נשמרות במאגר המאפשר צפייה בהן בעת הקשת מספר תעודת הזהות, כך שמתאפשר אימות הזהות .במקרה של אובדן התעודה )סקירת הממ"מ, פרק2.4 .( כאן המקום לציין כי במדינת ישראל קיים כבר מאגר ביומטרי מסוג זה. המדובר במאגר הביומטרי של .משרד התחבורה, הכולל תמונות פנים באיכות ביומטרית פחותה של כל מחזיקי רישיון נהיגה במדינה .מאגר זה הוקם למרות היעדר תשתית חקיקתית מתאימה .משרד התחבורה נוטל תמונת פנים ממחזיקי רישיון נהיגה בעת קבלת הרישיון ו/או חידושו ברשות משרד התחבורה תמונות פנים של בעלי רישיונות נהיגה. לדברי נציג הממונה על היישומים הביומטריים במשרד ראש הממשלה, אף שלטענת נציגי משרד התחבורה הם אינם .מחזיקים במאגר ביומטרי, המידע שברשותם תואם את ההגדרה של מאגר ביומטרי )סקירת הממ"מ, פרק1.5 .( 55 :להרחבה על החלופה, ראו B. Van Alsenoy and D. De Cock: “Due processing of personal data in eGovernment? A case study of the Belgian electronic identity card”, Datenschutz und Datensicherheit, March 2008, pp. 178-183. – 75 – 11 .מתן ציונים לחלופות השונות .הרשות הביומטרית בדקה )באופן זה או אחר( מספר חלופות, ונתנה להם ציונים בהתאם לצו המבחן אולם, הרשות לא בחנה חלופות נוספות שלדעתנו היה עליה לבחון, ולחלופות שכן בדקה נתנה ציונים שגויים. בפרק זה נסקור את המדדים השונים, וננתח מחדש את הציונים שנתנו לכל חלופה. בפרקים11.4 -ו11.5 נציג ציונים מתוקנים לכל החלופות. בפרק11.6 נציג ניתוח נוסף, תוך שינוי המשקלים שניתנו למדדים השונים. בפרק11.7 . נבהיר בקצרה את השגיאות בחישוב הציונים של החלופות המשולבות 11.1פירוט המדדים והחלופות לפי צו המבחן בסעיף9)ב( לצו המבחן מפורטים עשרה מדדים לפיהם יבחנו החלופות. הוועדה המייעצת/מפקחת קבעה לכל אחד מהמדדים משקל, כמצוות סעיף11 )א1 :( לצו המבחן. להלן פירוט המדדים ומשקליהם במשך תקופת המבחן יבוצע תיעוד, בין השאר כדי לבדוק את נחיצות קיומו של המאגר, לגבי כל אחד מאופני בדיקות הזיהוי המפורטים בסעיף8 :[…] א תוך בחינת הנושאים האלה )1( ;מספר הפעמים שבהן התקיים חשד להרכשה כפולה או להתחזות בזהות אחרת12% )2( ) יכולת איתור הזהות הכפולה במקרים שנמצאו בפסקה1 ;( 12% )3(מספר הפעמים שבהן התקבלה תוצאת זיהוי מוטעית לגבי אמצעים ונתונים ביומטריים, ובכלל זה מספר הקבלות המוטעות, מספר הדחיות המוטעות, לגבי מסמך ;ההתאמות המוטעות-זיהוי ולגבי המאגר, מספר ההתאמות המוטעות ומספר אי16% )4( ;מידת המורכבות התפעולית ליישום אופן בדיקת הזיהוי5% )5( ;יכולת מתן מענה לרשות האוכלוסין7% )6( ;יכולת מתן מענה למשטרת ישראל5% )7( ;רמת שירות לתושב מבקש התיעוד6% )8( ;יכולת הגנה על הזכות לפרטיות לפי חוק ועל פרטי מידע של תושב17% )9( ;עלויות תקציביות, לרבות בנוגע למערכות הטכנולוגיות וכוח אדם3% ) 10 ( .מתן מענה לדרישות אבטחת מידע17% לפי סעיף8 א לצו המבחן, הרשויות נדרשו לבחון תשע חלופות, בתוספת14 : שילובים, כמפורט להלן )1( ;שימוש בשתי טביעות אצבע ללא תמונת תווי פנים )2( ;שימוש בטביעת אצבע אחת ללא תמונת תווי פנים )3( ;שימוש בתמונת תווי פנים ללא טביעות אצבע )4( ;שימוש בתמונת תווי פנים וטביעת אצבע אחת )5( ;שימוש בתמונת תווי פנים ושתי טביעות אצבע )6( ;חלופת התשאול )7 ( ;תשאול מכויל לצו )8( ;שיטת ההקבצים של פרופ' עדי שמיר )9( ;שימוש בתבניות בלבד, ללא שמירת מידע ביומטרי מלא ( )٭) שילוב של חלופות התשאול6-7 ) ( עם חלופות ביומטריה1-5 - ו8-9 .( 11.2קביעת המדדים לקראת סוף תקופת המבחן מבקר המדינה מעיר כי האופן בו מחושבים המדדים נקבע רק בינואר2015 :, לקראת תום תקופת המבחן הועלה כי עד ספטמבר2014 טרם החליטו סופית רשות האוכלוסין והרשות לניהול המאגר הביומטרי כיצד ייקבעו הציונים לנושאים שעל בסיסם יוערכו החלופות. בספטמבר2014 העיר משרד מבקר המדינה כי חלק מהנושאים שעל בסיסם יוערכו החלופות הם כלליים, ויש לצקת לתוכם פרמטרים מדידים, וכי לדעת משרד מבקר המדינה, מן הראוי היה לעשות זאת בסמוך – 76 – לקביעת המשקל של הנושאים הנבדקים על ידי הוועדה המייעצת. משרד מבקר המדינה הוסיף וציין כי על רשות האוכלוסין והרשות לניהול המאגר הביומטרי להשלים ללא דיחוי את גיבוש הוודאות-הפרמטרים שעל בסיסם יינתנו הציונים עם תום תקופת המבחן, על מנת להסיר את אי בנושא זה. עוד העיר משרד מבקר המדינה כי נוכח מרכזיות בחינת החלופות בתקופת המבחן וחשיבות השקיפות למול הוועדה המייעצת, בהיותה גורם המפקח על תקופת המבחן, ראוי כי .שתי הרשויות יציגו בפני הוועדה המייעצת את אופן חישוב הציונים עם גיבושו […] הממונה על היישומים הביומטריים ציין בתשובתו מינואר2015 כי הרשויות העבירו אליו בדצמבר מסמך הסוקר את הפרמטרים שלפיהם יינתנו הציוניים לחלופות. הממונה הוסיף כי הוועדה המייעצת דנה במסמך זה בינואר2015 . ')דו"ח ביקורת מיוחד, עמ48-49 .( הממונה על היישומים הביומטריים הסביר כי גיבוש המדדים בתום הניסוי עלול להטות את מסקנות .הניסוי שכן ניתן להתאים את הפרמטרים כדי לכוון למסקנה מסיומת הוועדה המייעצת ]מסרה[ כי הנושא נדון בדיון שקיימה באוקטובר2014. במהלך הדיון, עמד הממונה על היישומים הביומטריים על כך ש המטרה בגיבוש אופן חישוב הציונים עוד בטרם תסתיים תקופת המבחן "הייתה למנוע חשש או טענה להתאמת הפרמטרים לקביעת ."הציונים לפי ממצאי הניסויים שיבוצעו לבחינת החלופות, כדי לכוון לתוצאה מסוימת על ,כן החליטה הוועדה שעל הרשויות לסיים את העבודה בנושא גיבוש הפרמטרים ללא דיחוי .ולהציגה לוועדה באחד מדיוניה הקרובים ')דו"ח ביקורת מיוחד, עמ49 .( 11.3חלופות נוספות לצורך ניתוח המדדים, ננתח את הציונים שהרשות הביומטרית נתנה לכל חלופה, ונבחן ארבע חלופות .נוספות, שאינן דורשות שימוש במאגר ביומטרי, כדלהלן 11.3.1 ) חלופה10(: תשאול מוגבר חלופת התשאול המוגבר מתבססת על עיבוי אפשרויות התשאול, כך שלמתחזה יהיה יותר קשה להתחזות לאחר. חלופה זאת מוסברת בפרק10.1 . לעיל 11.3.2 ) חלופה11(: בירור משטרתי חלופת הבירור המשטרתי מבוססת על השוואת נתוניו הביומטריים של מבקש תיעוד למאגר הביומטרי המשטרתי, הכולל רק את נתוניהם הביומטריים של פושעים או חשודים. החלופה מוסברת בפרק10.2 .לעיל 11.3.3 ) חלופה12(: השיטה הבלגית השיטה הבלגית מבוססת על מתן תיעוד )לא ביומטרי( מגיל אפס, כך שבעת הנפקת התיעוד הביומטרי לראשונה, לאזרח יש תיעוד באמצעותו הוא יכול להוכיח את זהותו. החלופה מוסברת בפרק10.3 . לעיל 11.3.4 ) חלופה13 (: שילוב חלופות10-12 שילוב של שלושת החלופות המוצעות – תשאול מוגבר, ובנוסף בירור מול המאגר המשטרתי, ובנוסף .שימוש בשיטה הבלגית, בה כל אדם מקבל תיעוד מגיל אפס 11.4חישוב מחדש של ציוני המדדים ,חלק מהמדדים שהרשות הביומטרית חושבו בצורה שגויה. כל הציונים חושבו מחדש בהתאם לצו המבחן ע"י תיקון נתוני הרשות הביומטרית, כמוסבר בהמשך הפרק. בפרק זה המשקלים של המדדים עצמם לא שונו, אלא רק הציונים לכל מדד. בפרק11.6 . מוצג ניתוח אלטרנטיבי, הכולל שינוי של המשקלים .להלן התוצאה הסופית של בחינת המדדים – 77 – החלופה איתור התחזויות זיהוי התחזויות דיוק המערכת מורכבות תפעולית מענה לרשות האוכלוסין מענה למשטרה שירות לתושב הגנת פרטיות עלות תקציבית אבטחת מידע ציון סופי 1שתי ט"א5.85 5.60 16.00 1.50 6.30 4.55 4.80 7.82 1.21 6.00 59.63 2ט"א אחת5.50 5.60 11.20 1.22 5.00 4.13 3.84 7.82 1.21 6.00 51.52 3פנים5.50 6.47 11.00 1.60 5.20 3.08 3.36 7.65 1.21 6.00 51.07 4 ט"א אחת+ פנים5.80 8.00 16.00 2.00 6.30 4.34 4.80 5.36 1.21 5.00 58.81 5 שתי ט"א+ פנים5.86 8.00 16.00 3.00 6.30 5.00 4.80 5.36 1.21 5.00 60.53 6תשאול נוכחי5.00 0.00 8.00 3.25 3.90 2.00 6.00 14.03 2.80 15.00 59.98 7תשאול מכויל לצו9.70 0.00 8.00 3.13 3.90 2.00 6.00 13.26 2.80 15.00 63.79 8שיטת ההקבצים5.86 6.00 12.00 0.50 3.00 2.81 4.80 8.50 1.01 9.00 53.48 9שימוש בתבניות5.86 8.00 12.80 2.10 2.67 3.86 4.80 8.50 1.21 10.00 59.80 10תשאול מוגבר9.70 2.00 8.00 3.00 3.90 2.00 5.00 13.00 2.00 14.00 62.60 11בירור משטרתי8.00 6.00 14.00 1.50 4.50 2.00 4.80 10.00 1.50 12.00 64.30 12השיטה הבלגית7.00 0.00 8.00 4.00 4.00 2.00 6.00 16.00 3.00 15.00 65.00 13תשאול משולב10.70 6.00 14.00 1.00 4.50 2.00 4.80 10.00 1.00 12.00 66.00 כמה שניתן את דרך מתן-המדדים של החלופות הנוספות חושבו באופן מקורב, באופן המנסה לדמות עד הציונים של הרשות הביומטרית, כדי שתתקבל השוואה הוגנת. הרשות הביומטרית לא פרסמה את .מתודולוגיית מתן הציונים למדדים, ולכן חישוב מדויק עלול לשנות במעט את התוצאות הסופיות מסיכום הנתונים עולה כי חלופות התשאול, הבירור המשטרתי והחלופה הבלגית, נותנות את המענה הטוב ביותר לדרישות החוק בהתאם לצו המבחן. השילוב בין החלופות נותן מענה גמיש, שיכול לעמוד בכל דרישות החוק, תוך שמירה על פרטיות התושבים, ותוך הפיכת התחזויות בהרכשה הראשונית ובהרכשות .אפשרית כמעט-חוזרות לבלתי .הגרף הבא מסכם את שקלול הציונים המתוקנים עבור כלל החלופות :להלן ציוני החלופות, בסדר יורד לפי הציון המשוקלל החלופה הציון תשאול משולב) 13 ( 66.00 השיטה הבלגית) 12 ( 65.00 בירור משטרתי) 11 ( 64.30 תשאול מכויל לצו)7( 63.79 תשאול מוגבר) 10 ( 62.60 – 78 – 1 2 3 4 5 6 7 8 9 10 11 12 13 40.00 45.00 50.00 55.00 60.00 65.00 70.00 59.63 51.52 51.07 58.81 60.53 59.98 63.79 53.48 59.80 62.60 64.30 65.00 66.00 שקלול ציונים מעודכן החלופה הציון שתי ט"א+ פנים)5( 60.53 תשאול נוכחי)6( 59.98 שתי ט"א)1( 59.63 שימוש בתבניות)9( 59.30 ט"א אחת+ פנים)4( 58.81 שיטת ההקבצים)8( 53.48 ט"א אחת)2( 51.52 פנים)3( 51.07 .הערה לגבי מתן הציונים בחישוב מחדש השתדלנו לא לשנות באופן משמעותי את הציונים שהרשות הביומטרית נתנה לחלופות השונות, כל עוד הם היו סבירים, או שהסדר היחסי בין ציוני החלופות היה סביר. במקרים בהם טיעוניהם או ציוניהם לא היו סבירים )לאחר התעמקות ברציונל למתן הציונים, ככל שפורט(, נבחרו ערכים המייצגים את הערך האמתי, לדעתנו, לאותה החלופה. עבור חלק מהמדדים, הרשות לא התייחסה לכלל הפרמטרים הדרושים להימדד. במקרים אלה שיקללנו את הציונים של הרשות יחד עם .ציונים עבור הפרמטרים החסרים 11.5פירוט הציונים המתוקנים למדדים השונים 11.5.1 ) איתור חשד להרכשה כפולה או להתחזות בזהות אחרת12% ( " מדד זה מוגדר בצו מספר הפעמים שבהן התקיים חשד להרכשה כפולה או להתחזות בזהות אחרת," דהיינו איתור התחזויות מכל הסוגים, לא רק התחזויות מסוג הרכשה כפולה בלבד. כמוסבר בפרק4.2.1 , ההתחזות בהרכשה הראשונית היא בעיה קשה בהרבה מהרכשה כפולה. הרשות הביומטרית, בניגוד גמור לצו המבחן, יש לציין, בחנה את היכולות של חלופות המאגר לאתר הרכשות כפולות בלבד, והתעלמה מהיכולות של חלופות התשאול להתמודד עם התחזויות בהרכשה הראשונית. לכן, המדד חושב מחדש, תוך ) מתן ניקוד שווה ליכולת לאתר התחזות בהרכשה ראשונית6 נקודות מתוך12( וליכולת לאתר התחזות ) בהרכשה חוזרת או הרכשה כפולה6 נקודות מתוך12 .( לחלופות המאגר אין כל יכולת לזהות התחזות בהרכשה הראשונית )ר' פרק4.2.1(. לעומת זאת, חלופות התשאול מאפשרות התמודדות עם התחזויות בהרכשה הראשונית, ולכן חלופות אלו קיבלו לניקוד נוסף על הפרמטר של איתור התחזויות בהרכשה הראשונית. גם החלופה הבלגית זכתה לניקוד נוסף, שכן היא .מקשה מאוד על התחזות בהרכשה הראשונית .שינוי נוסף בחישוב הציונים הוא מתן ניקוד דומה לחלופות העושות שימוש במידע ביומטרי מופחת הרשות הביומטרית נתנה ניקוד0.00 )אפס( לחלופת מאגר עם טביעת אצבע אחת ולחלופת מאגר תמונת פנים בלבד, שכן היא הסתמכה על מערכת השוואה ביומטרית לא מדויקת )ר' פרק8.4(. העובדה שהרשות כשלה בעריכת מבדקי דיוק של מנועי ההשוואה, לא יכולה לעמוד לחובת החלופות השונות. לגבי חלופת – 79 – 1 2 3 4 5 6 7 8 9 10 11 12 13 0.00 5.00 10.00 15.00 5.85 5.50 5.50 5.80 5.86 5.00 9.70 5.86 5.86 9.70 8.00 7.00 10.70 יכולת איתור התחזויות הפנים, הוועדה המייעצת/מפקחת הסבירה שהחלופה עמדה בדרישות הדיוק, אך הרשות הביומטרית הקטינה את הציון באופן מלאכותי )ר' פרק3.5 .( חם של מתחזה, עוד בהיותו בלשכת האוכלוסין, וההרתעה-חישוב הציונים גם הושפע מיכולת התפיסה על .הנגזרת מכך 'מס החלופה ציון מקורי הרכשה כפולה הרכשה ראשונית ציון משוקלל 1שתי ט"א11.70 5.85 0.00 5.85 2ט"א אחת0.00 5.50 0.00 5.50 3פנים0.00 5.50 0.00 5.50 4 ט"א אחת+ פנים11.60 5.80 0.00 5.80 5 שתי ט"א+ פנים11.72 5.86 0.00 5.86 6תשאול נוכחי0.00 3.00 2.00 5.00 7תשאול מכויל לצו11.40 5.70 4.00 9.70 8שיטת ההקבצים11.72 5.86 0.00 5.86 9שימוש בתבניות11.71 5.86 0.00 5.86 10תשאול מוגבר– 5.70 4.00 9.70 11בירור משטרתי– 4.00 4.00 8.00 12השיטה הבלגית– 2.00 5.00 7.00 13תשאול משולב– 5.70 5.00 10.70 11.5.2 ) יכולת זיהוי התחזויות12% ( " מדד זה מוגדר בצו יכולת איתור הזהות הכפולה במקרים שנמצאו ב]מדד11.5.1 [". המדד חושב מחדש כך שיכלול זיהוי המתחזה בהרכשה הראשונה, אפשרות שחלופות התשאול מאפשרות באופן חלקי. הציון המתוקן הוא4 נקודות מתוך12 - עבור זיהוי בהרכשות ראשוניות, ו8 נקודות מתוך12 עבור זיהוי .בהרכשות כפולות שיטת ההקבצים קיבלה ציון3.62, ציון זניח לעומת תרומתה למדד. חלופת המאגר המקבילה קיבלה וחלופת התבניות קיבלו ציון12 ,. הציון של שיטת ההקבצים צריך להיות דומה לציון של חלופת התבניות כי יש במאגר מידע מלא על הטביעות, והפנייה לרשימה קצרה של בעלים אפשריים )ההקבץ(. לכן, הציון -לחלופת ההקבצים תוקן ל9 .( )לפני שקלול כמוסבר לעיל 'מס החלופה ציון מקורי הרכשה כפולה הרכשה ראשונית ציון משוקלל 1שתי ט"א8.40 5.60 0.00 5.60 2ט"א אחת8.40 5.60 0.00 5.60 3פנים9.71 6.47 0.00 6.47 – 80 – 1 2 3 4 5 6 7 8 9 10 11 12 13 0.00 5.00 10.00 15.00 5.60 5.60 6.47 8.00 8.00 0.00 0.00 6.00 8.00 2.00 6.00 0.00 6.00 יכולת זיהוי התחזויות 'מס החלופה ציון מקורי הרכשה כפולה הרכשה ראשונית ציון משוקלל 4 ט"א אחת+ פנים12.00 8.00 0.00 8.00 5 שתי ט"א+ פנים12.00 8.00 0.00 8.00 6תשאול נוכחי0.00 0.00 0.00 0.00 7תשאול מכויל לצו0.00 0.00 0.00 0.00 8שיטת ההקבצים3.62 6.00 0.00 6.00 9שימוש בתבניות12.00 8.00 0.00 8.00 10תשאול מוגבר– 0.00 2.00 2.00 11בירור משטרתי– 4.00 2.00 6.00 12השיטה הבלגית– 0.00 0.00 0.00 13תשאול משולב– 4.00 2.00 6.00 11.5.3 ) דיוק המערכת16% ( " מדד זה מוגדר בצו כמספר התראות השווא, כלומר מספר הפעמים שבהן התקבלה תוצאת זיהוי מוטעית לגבי אמצעים ונתונים ביומטריים, ובכלל זה מספר הקבלות המוטעות, מספר הדחיות המוטעות, לגבי ההתאמות המוטעות-מסמך זיהוי ולגבי המאגר, מספר ההתאמות המוטעות ומספר אי." הוועדה המייעצת/מפקחת הסבירה שחלופת מאגר תמונות פנים עמדה בדרישות הדיוק, אך הרשות הביומטרית הקטינה את הציון באופן מלאכותי )ר' פרק3.5 -(. לכן הציון עודכן ל11, לפי הציון של מאגר .עם טביעת אצבע אחת שיטת ההקבצים מקבלת ערך נמוך מהמגיע לה. מבחינת התראות שווא, יתקבלו תוצאות זהות לחלופת ,המאגר המלא. כל ההבדל הוא באפשרות של זיהוי האדם כמישהו אחר בהקבץ שלו, וכך לפספס התראה ,במקרים נדירים כשהאדם יודע מראש שאחר בהקבץ שלו. בכל מקרה לא יתקבלו התראות שווא נוספות -מעבר לחלופת המאגר המלא. לכן הציון של שיטת ההקבצים תוקן ל12 . עבור החלופות שאינן כוללות מאגר ביומטרי, אין התראות שווא מסוגים אלו, אך קיים מדד שקול של כישלונות בתחקור )קבלה מוטעית = אדם שהצליח להטעות את המתחקר; דחייה מוטעית = אדם שנכשל בתחקור למרות שהוא אינו מתחזה(. הרשות הביומטרית נתנה לחלופות התשאול ציון אפס, באופן המטה את תוצאות הבחינה. מכיוון שאין נתונים כדי לתת ציון מספרי לחלופות התשאול, ניתנו לחלופות אלו ציון של8 מתוך16 . לחלופת הבירור המשטרתי ניתן ציון14, שתי נקודות פחות מהחלופות העושות שימוש .במאגר ביומטרי 'מס החלופה ציון מקורי ציון מעודכן 1שתי ט"א16.00 16.00 2ט"א אחת11.20 11.20 – 81 – 1 2 3 4 5 6 7 8 9 10 11 12 13 0.00 5.00 10.00 15.00 20.00 16.00 11.20 11.00 16.00 16.00 8.00 8.00 12.00 12.80 8.00 14.00 8.00 14.00 דיוק המערכת – התרעות שווא 'מס החלופה ציון מקורי ציון מעודכן 3פנים0.00 11.00 4 ט"א אחת+ פנים16.00 16.00 5 שתי ט"א+ פנים16.00 16.00 6תשאול נוכחי0.00 8.00 7תשאול מכויל לצו0.00 8.00 8שיטת ההקבצים8.00 12.00 9שימוש בתבניות12.80 12.80 10תשאול מוגבר– 8.00 11בירור משטרתי– 14.00 12השיטה הבלגית– 8.00 13תשאול משולב– 14.00 11.5.4 ) מורכבות תפעולית5% ( " מדד זה מוגדר בצו מידת המורכבות התפעולית ליישום אופן בדיקת הזיהוי ". המדד מנסה לכמת את מידת המורכבות התפעולית בעת ההרכשה. לא ברור כיצד הרשות הביומטרית חישבה את הציונים: מדוע ציון המורכבות התפעולית עבור נטילת שתי טביעות אצבע ותמונת פנים, גבוה מהציון עבור נטילת תמונת ?פנים בלבד? מדוע שימוש בתבניות מקטין את ציון המורכבות התפעולית של המערכת לכן, הציון שהרשות הביומטרית נתנה למדד נלקח במלואו. בנוסף, ניתן ציון של חצי נקודה לכל אלמנט הרכשה שנחסך ממבקש התיעוד – ביצוע תשאול, נטילת טביעות אצבע, או צילום תמונת פנים. הציון .המתוקן עבור החלופות הנוספות נלקח בהתאם לציון חלופה הדומה ביותר 'מס החלופה ציון מקורי ציון מתוקן מורכבות הרכשה ציון משוקלל 1שתי ט"א0.50 0.50 1.00 1.50 2ט"א אחת0.22 0.22 1.00 1.22 3פנים0.60 0.60 1.00 1.60 4 ט"א אחת+ פנים1.50 1.50 0.50 2.00 5 שתי ט"א+ פנים2.50 2.50 0.50 3.00 6תשאול נוכחי2.25 2.25 1.00 3.25 7תשאול מכויל לצו2.13 2.13 1.00 3.13 8שיטת ההקבצים0.00 0.00 0.50 0.50 9שימוש בתבניות1.60 1.60 0.50 2.10 10תשאול מוגבר– 2.00 1.00 3.00 11בירור משטרתי– 1.00 0.50 1.50 12השיטה הבלגית– 2.50 1.50 4.00 13תשאול משולב– 1.00 0.00 1.00 – 82 – 1 2 3 4 5 6 7 8 9 10 11 12 13 0.00 1.00 2.00 3.00 4.00 5.00 1.50 1.22 1.60 2.00 3.00 3.25 3.13 0.50 2.10 3.00 1.50 4.00 1.00 מורכבות תפעולית 11.5.5 ) מתן מענה לרשות האוכלוסין7% ( " מדד זה מוגדר בצו יכולת מתן מענה לרשות האוכלוסין ". לא ברור כיצד הרשות הביומטרית חישבה את הציונים למדד זה. מכיוון ,שהרשות הביומטרית לא התייחסה לשאילתות השוואה מול התעודה נלקח הציון המקורי, במשקל של5 נקודות מתוך7 נקודות. שתי נקודות נוספות ניתנו על מתן מענה לשאילתות .של אימות ביומטרי, הנעשות מול הנתונים המקודדים בתעודה 'מס החלופה ציון מקורי ציון מתוקן אימות ביומטרי ציון משוקלל 1שתי ט"א6.02 4.30 2.00 6.30 2ט"א אחת4.20 3.00 2.00 5.00 3פנים4.50 3.20 2.00 5.20 4 ט"א אחת+ פנים6.02 4.30 2.00 6.30 5 שתי ט"א+ פנים6.02 4.30 2.00 6.30 6תשאול נוכחי2.66 1.90 2.00 3.90 7תשאול מכויל לצו2.66 1.90 2.00 3.90 8שיטת ההקבצים1.38 1.00 2.00 3.00 9שימוש בתבניות0.92 0.67 2.00 2.67 10תשאול מוגבר– 1.90 2.00 3.90 11בירור משטרתי– 2.50 2.00 4.50 12השיטה הבלגית– 2.00 2.00 4.00 13תשאול משולב– 2.50 2.00 4.50 11.5.6 ) מתן מענה למשטרת ישראל5% ( " מדד זה מוגדר בצו יכולת מתן מענה למשטרת ישראל ". גם כאן לא ברור איך הרשות הביומטרית חישבה את הציונים. מכיוון ,שהרשות הביומטרית לא התייחסה לשאילתות השוואה מול התעודה נלקח הציון – 83 – 1 2 3 4 5 6 7 8 9 10 11 12 13 0.00 2.00 4.00 6.00 8.00 6.30 5.00 5.20 6.30 6.30 3.90 3.90 3.00 2.67 3.90 4.50 4.00 4.50 מענה לרשות האוכלוסין 1 2 3 4 5 6 7 8 9 10 11 12 13 0.00 1.00 2.00 3.00 4.00 5.00 4.55 4.13 3.08 4.34 5.00 2.00 2.00 2.81 3.86 2.00 2.00 2.00 2.00 מענה למשטרה המקורי, במשקל של3 נקודות מתוך5 נקודות, ונתנו שתי נקודות נוספות על מתן מענה לשאילתות של .אימות ביומטרי, הנעשות מול המידע הביומטרי המקודד בתעודה 'מס החלופה ציון מקורי ציון מתוקן אימות ביומטרי ציון משוקלל 1שתי ט"א4.25 2.55 2.00 4.55 2ט"א אחת3.55 2.13 2.00 4.13 3פנים1.80 1.08 2.00 3.08 4 ט"א אחת+ פנים3.90 2.34 2.00 4.34 5 שתי ט"א+ פנים5.00 3.00 2.00 5.00 6תשאול נוכחי0.00 0.00 2.00 2.00 7תשאול מכויל לצו0.00 0.00 2.00 2.00 8שיטת ההקבצים1.35 0.81 2.00 2.81 9שימוש בתבניות3.10 1.86 2.00 3.86 10תשאול מוגבר– 0.00 2.00 2.00 11בירור משטרתי– 0.00 2.00 2.00 12השיטה הבלגית– 0.00 2.00 2.00 13תשאול משולב– 0.00 2.00 2.00 11.5.7 ) רמת השירות לתושב6% ( " מדד זה מוגדר בצו רמת שירות לתושב מבקש התיעוד ". לא ברור מדוע הרשות הביומטרית נתנה לחלופת ההקבצים ולחלופת התבניות ציון מופחת, ולכן הציון תוקן לציון של חלופת המאגר המלא. ציון זה ניתן גם .לחלופת הבירור המשטרתי. עבור החלופות הנוספות ניתן ציון כמו חלופת התשאול 'מס החלופה ציון מקורי ציון מעודכן 1שתי ט"א4.80 4.80 2ט"א אחת3.84 3.84 3פנים3.36 3.36 4 ט"א אחת+ פנים4.80 4.80 5 שתי ט"א+ פנים4.80 4.80 6תשאול נוכחי6.00 6.00 7תשאול מכויל לצו6.00 6.00 8שיטת ההקבצים1.80 4.80 9שימוש בתבניות0.00 4.80 10תשאול מוגבר– 5.00 11בירור משטרתי– 4.80 12השיטה הבלגית– 6.00 13תשאול משולב– 4.80 – 84 – 1 2 3 4 5 6 7 8 9 10 11 12 13 0.00 1.00 2.00 3.00 4.00 5.00 6.00 4.80 3.84 3.36 4.80 4.80 6.00 6.00 4.80 4.80 5.00 4.80 6.00 4.80 רמת השירות לתושב 11.5.8 ) הגנה על הפרטיות17% ( " מדד זה מוגדר בצו יכולת הגנה על הזכות לפרטיות לפי חוק ועל פרטי מידע של תושב ". כמוסבר בפרק 6.3.2 ., מבחינת פרטיות, שימוש בתבניות עדיף בהשוואה לכל חלופות הכוללות נתונים ביומטריים מלאים לכן, לחלופת התבניות ניתן ציון8.5 . חלופת ההקבצים גם קיבלה ציון של8.5, שכן היא מגנה מעט יותר .טוב על הנתונים הביומטריים בהשוואה לחלופות המאגר השונות חלופת התשאול המוגבר קיבלה את הציון של חלופת התשאול. חלופת הבירור המשטרתי קיבלה ציון מעט ,יותר נמוך10, שכן היא כוללת נטילת פרטים ביומטריים, גם אם אלו לא נשמרים במאגר קבוע. השיטה הבלגית קיבלה ציון16 ., שכן פגיעתה בפרטיות האזרחים מינימלית 'מס החלופה ציון מקורי ציון מעודכן 1שתי ט"א7.82 7.82 2ט"א אחת7.82 7.82 3פנים7.65 7.65 4 ט"א אחת+ פנים5.36 5.36 5 שתי ט"א+ פנים5.36 5.36 6תשאול נוכחי14.03 14.03 7תשאול מכויל לצו13.26 13.26 8שיטת ההקבצים7.14 8.50 9שימוש בתבניות6.89 8.50 10תשאול מוגבר– 13.00 11בירור משטרתי– 10.00 12השיטה הבלגית– 16.00 13תשאול משולב– 10.00 11.5.9 ) עלויות תקציביות3% ( – 85 – 1 2 3 4 5 6 7 8 9 10 11 12 13 0.00 4.00 8.00 12.00 16.00 7.82 7.82 7.65 5.36 5.36 14.03 13.26 8.50 8.50 13.00 10.00 16.00 10.00 הגנה על הפרטיות 1 2 3 4 5 6 7 8 9 10 11 12 13 0.00 1.00 2.00 3.00 1.21 1.21 1.21 1.21 1.21 2.80 2.80 1.01 1.21 2.00 1.50 3.00 1.00 עלות תקציבית " מדד זה מוגדר בצו עלויות תקציביות, לרבות בנוגע למערכות הטכנולוגיות וכוח אדם ". עלויות חלופת התשאול המכויל זהות לעלויות חלופת התשאול הרגיל, ולכן הציון שניתן לחלופה זאת תוקן. העלויות של .החלופות הנוספות הוערכו בהתאם 'מס החלופה ציון מקורי ציון מעודכן 1שתי ט"א1.21 1.21 2ט"א אחת1.21 1.21 3פנים1.21 1.21 4 ט"א אחת+ פנים1.21 1.21 5 שתי ט"א+ פנים1.21 1.21 6תשאול נוכחי2.80 2.80 7תשאול מכויל לצו1.87 2.80 8שיטת ההקבצים1.01 1.01 9שימוש בתבניות1.21 1.21 10תשאול מוגבר– 2.00 11בירור משטרתי– 1.50 12השיטה הבלגית– 3.00 13תשאול משולב– 1.00 11.5.10 ) מתן מענה לדרישות אבטחת מידע17% ( " מדד זה מוגדר בצו מתן מענה לדרישות אבטחת מידע ". הציונים של הרשות הביומטרית ממש לא מעוגנים במציאות. חלופה שאינה כוללת שמירת נתונים במאגר מידע, בהכרח נותנת מענה טוב יותר לדרישות אבטחת המידע, בהשוואה לחלופה הכוללת שמירת הנתונים במאגר מידע. ככל שנשמר פחות מידע, כך הסכנה לדליפת המידע והנזק שייגרם עקב דליפתו קטן יותר, וכך ניתן מענה טוב יותר לדרישות .אבטחת המידע 'מס החלופה ציון מקורי ציון מעודכן 1שתי ט"א15.56 6.00 2ט"א אחת15.56 6.00 3פנים15.56 6.00 4 ט"א אחת+ פנים15.56 5.00 5 שתי ט"א+ פנים15.56 5.00 6תשאול נוכחי6.12 15.00 7תשאול מכויל לצו6.12 15.00 8שיטת ההקבצים15.56 9.00 9שימוש בתבניות15.56 10.00 10תשאול מוגבר– 14.00 11בירור משטרתי– 12.00 – 86 – 1 2 3 4 5 6 7 8 9 10 11 12 13 0.00 5.00 10.00 15.00 6.00 6.00 6.00 5.00 5.00 15.00 15.00 9.00 10.00 14.00 12.00 15.00 12.00 אבטחת מידע 'מס החלופה ציון מקורי ציון מעודכן 12השיטה הבלגית– 15.00 13תשאול משולב– 12.00 11.6שינוי משקלי המדדים בפרק זה לקחנו את החירות לקבוע מחדש את משקלי המדדים השונים. הסיבה לכך היא איזון שונה בין המשקלים, שלטעמנו ראוי לתת למדדים השונים, וכן הכללת מדד נוסף – מידת הפגיעה בחברה האזרחית .והאיזון הדמוקרטי 11.6.1משקלים חדשים למדדים למדד החדש )המוגדר בפרק11.6.2 להלן(, ניתן משקל של7%, כדי להדגיש שערך האיזון הדמוקרטי חשוב לפחות ואף יותר מהצורך המשטרתי לשימוש בנתונים הביומטריים. משקל מדד ההגנה הפרטיות הוגדל -ל23%, כדי להדגיש את חשיבותה של הפרטיות והסיכונים הגדולים למדינה ולאזרחיה הנובעים מאי שמירה עליה. שינוי נוסף הוא הגדלת מדד איתור התחזויות מכל הסוגים )כמוסבר בפרק11.5.1(, על חשבון המדד של זיהוי התחזויות )פרק11.5.2(, שכן לאחרון משמעות פחותה אם המערכת מצליחה לאתר ולמנוע .התחזויות מלכתחילה. המדדים האחרים הוקטנו בהתאם :להלן משקלי המדדים המעודכנים 'מס תיאור המדד הנבדק משקל מקורי משקל מעודכן )1(איתור התחזויות12% 14% )2(זיהוי התחזויות12% 8% )3(דיוק המערכת16% 10% )4(מורכבות תפעולית5% 4% )5(מתן מענה לרשות האוכלוסין7% 4% )6(מתן מענה למשטרת ישראל5% 4% )7(מתן שירות לתושב6% 6% )8(הגנה על הפרטיות17% 23% )9(עלויות תקציביות3% 3% ) 10 (אבטחת מידע17% 17% ) 11 (פגיעה באיזון הדמוקרטי– 7% 11.6.2מדד נוסף: האיזון הדמוקרטי מדד זה מתייחס לפגיעה הפוטנציאלית באיזון הדמוקרטי בין הפרט למדינה. הציון של מדד זה משקלל את הסכנה לניצול לרעה של המידע הביומטרי, את האפקט המצנן העלול למנוע מאזרחים לנצל את .חירויותיהם הדמוקרטיות, ואת הפגיעה העודפת בפרטיות 'מס החלופה ציון חדש 1שתי ט"א2.00 2ט"א אחת2.00 3פנים1.50 4 ט"א אחת+ פנים1.00 5 שתי ט"א+ פנים1.00 6תשאול נוכחי6.00 7תשאול מכויל לצו6.00 – 87 – 'מס החלופה ציון חדש 8שיטת ההקבצים3.00 9שימוש בתבניות3.00 10תשאול מוגבר6.00 11בירור משטרתי4.00 12השיטה הבלגית7.00 13תשאול משולב4.00 11.6.3סיכום הציונים לחלופות לפי המשקלים המעודכנים .להלן התוצאה הסופית של בחינת המדדים, לפי המשקלים המעודכנים החלופה איתור התחזויות זיהוי התחזויות דיוק המערכת מורכבות תפעולית מענה לרשות האוכלוסין מענה למשטרה שירות לתושב הגנת פרטיות עלות תקציבית אבטחת מידע איזון דמוקרטי ציון סופי 1שתי ט"א6.83 3.73 10.00 1.20 3.60 3.64 4.80 10.58 1.21 6.00 2.00 53.59 2ט"א אחת6.42 3.73 7.00 0.98 2.86 3.30 3.84 10.58 1.21 6.00 2.00 47.92 3פנים6.42 4.31 6.88 1.28 2.97 2.46 3.36 10.35 1.21 6.00 1.50 46.74 4 ט"א אחת+ פנים6.77 5.33 10.00 1.60 3.60 3.47 4.80 7.25 1.21 5.00 1.00 50.03 5 שתי ט"א+ פנים6.84 5.33 10.00 2.40 3.60 4.00 4.80 7.25 1.21 5.00 1.00 51.43 6תשאול נוכחי5.83 0.00 5.00 2.60 2.23 1.60 6.00 18.98 2.80 15.00 6.00 66.04 7תשאול מכויל לצו11.32 0.00 5.00 2.50 2.23 1.60 6.00 17.94 2.80 15.00 6.00 70.39 8שיטת ההקבצים6.84 4.00 7.50 0.40 1.71 2.25 4.80 11.50 1.01 9.00 3.00 52.01 9שימוש בתבניות6.84 5.33 8.00 1.68 1.53 3.09 4.80 11.50 1.21 10.00 3.00 56.97 10תשאול מוגבר11.32 1.33 5.00 2.40 2.23 1.60 5.00 17.59 2.00 14.00 6.00 68.47 11בירור משטרתי9.33 4.00 8.75 1.20 2.57 1.60 4.80 13.53 1.50 12.00 4.00 63.28 12השיטה הבלגית8.17 0.00 5.00 3.20 2.29 1.60 6.00 21.65 3.00 15.00 7.00 72.90 13תשאול משולב12.48 4.00 8.75 0.80 2.57 1.60 4.80 13.53 1.00 12.00 4.00 65.53 .הגרף הבא מסכם את שקלול הציונים המתוקנים עבור כלל החלופות, בהתאם למשקלים המעודכנים – 88 – 1 2 3 4 5 6 7 8 9 10 11 12 13 40.00 45.00 50.00 55.00 60.00 65.00 70.00 75.00 53.59 47.92 46.74 50.03 51.43 66.04 70.39 52.01 56.97 68.47 63.28 72.90 65.53 שקלול ציונים מעודכן :להלן ציוני החלופות, בסדר יורד לפי הציון המשוקלל החלופה הציון השיטה הבלגית) 12 ( 72.90 תשאול מכויל לצו)7( 70.39 תשאול מוגבר) 10 ( 68.47 תשאול נוכחי)6( 66.04 תשאול משולב) 13 ( 65.53 בירור משטרתי) 11 ( 63.28 שימוש בתבניות)9( 56.97 שתי ט"א)1( 53.59 שיטת ההקבצים)8( 52.01 שתי ט"א+ פנים)5( 51.43 ט"א אחת+ פנים)4( 50.03 ט"א אחת)2( 47.92 פנים)3( 46.74 11.7ציון משוקלל של שילוב חלופות בהתאם לצו המבחן, על הרשות הביומטרית לבחון את שילוב חלופות המאגר )חלופות1-5 - ו8-9( עם ) חלופות התשאול6-7(. הרשות עדכנה את הציונים של החלופות המשולבות באופן שגוי עבור חלק :מהמדדים, כמוסבר להלן •יכולת איתור התחזויות – הציון עלה במקצת, שכן שילוב מאגר עם תשאול מאפשר איתור .התחזויות באופן יותר טוב • .זיהוי התחזויות – הציון נותר ללא שינוי •דיוק המערכת – הרשות החליטה, מסיבות שלא נתנה להן הסבר מספק, לתת ציון אפס עגול, לכל .החלופות. מתן ציון אפס אינו סביר, ולכן נתנו הציונים המקוריים • מורכבות תפעולית – הציון פחת בבין0.15 - נקודות ל1.50 . נקודות, ללא הסבר לשוני בהפרש התיקון לא סביר, ושאוי היה להפחית את כל הציונים בערך קבוע של0.75 . נקודות, למשל • .מענה לרשות האוכלוסין – הציון נותר ללא שינוי • .מענה למשטרה – הציון נותר ללא שינוי • .שירות לתושב – הציון נותר ללא שינוי • .הגנה על הפרטיות – הציון הוקטן בשליש. לא ברורה הסיבה לכך • -עלות תקציבית – הציון פחת ל0.07 . לכל החלופות • -אבטחת מידע – הציון פחת ב15% . לכל החלופות שימוש בחלופת התשאול )רגיל, מכויל, מוגבר וכדומה(, בנוסף לחלופת שימוש במאגר ביומטרי עם מידע ביומטרי מלא או מופחת, מעלה את הציון של מדד איתור התחזויות. מכיוון שנתוני הדיוק של מנוע ההשוואה הביומטרי אינם אמינים )פרק8.4 (, יש לתקן את ציוני חלופות המאגר לציון בטווח של10-11 נקודות, כמוסבר בפרק11.5.1 , לעיל. לכן, תוספת הניקוד הצפויה בשל שילוב מאגר ביומטרי עם תשאול .תהא בין נקודה לשתיים – 89 – 12 .סיכום והמלצות הספק לגבי נחיצות הקמתו של מאגר מידע ביומטרי מרכזי, ייחודי ביישומו בעולם, וההתנגדות הציבורית הגורפת להקמתו, הביאו את המחוקק לקבוע בחוק תקופת ניסוי, שעם סיומה יוחלט האם יש מקום ,לקיומו של מאגר כזה, ובראש ובראשונה האם הוא נחוץ. החוק, והצו שנוצר מכוחו )בעקבות הנחיית בג"ץ(, הנחו את משרד הפנים והרשויות הכפופות לו לערוך ,ניסוי שיאשש או יפריך את השערת הנחיצות של מאגר מרכזי כזה. הרשות לניהול המאגר הביומטרי שהוקמה בחוק הביומטרי לשם עריכת הניסוי במהלך תקופת המבחן, פרסמה לאחרונה דו"ח העוסק .בנחיצות המאגר כפי שניתן לצפות, המסמך קובע נחרצות, שנחיצות המאגר הוכחה מעל לכל ספק. עצם הציפיה לקבל הצורך בקיומו הוא, מקפלת בתוכה-מאדם או מגוף כלשהו חוות דעת אובייקטיבית, לגבי הצורך או אי ניגוד עניינים עמוק ומובנה. בעיקר, כאשר קביעה לשבט ולא לחסד, משמעותה אבדן משרות רבות, כולל משרתו של כותב חוות הדעת, פירוק גוף שהוקם תוך השקעת משאבים רבים, וביטול הנחות היסוד שעמדו ביסוד הקמתו. קביעת מסקנות לגבי צורך בדבר מסוים או גוף מסוים, חייבת להיעשות ע"י מי שנמצא .מחוצה לו ואין לו כל אינטרס במסקנות לכך התגייס דו"ח המומחים. במסמך זה מפורטים השיקולים המקצועיים והציבוריים שנלקחו ושצריכים היו להילקח באשר לשאלת נחיצות המאגר הביומטרי. לפי פרמטרים אלה מנתח הדו"ח את שאלת נחיצותו .של מאגר ביומטרי, ואת החלופות המקובלות להקמת מאגר ביומטרי שאלת נחיצותו של פתרון, מתחלקת לשני חלקים: )א( אם הבעיה שהוא נועד לפתור, אכן קיימת באופן משמעותי, )ב( אם פתרון זה הוא החלופה העדיפה, בבחינה של עלות )או נזק( לעומת תועלת, או שקיימת .חלופה אחרת שנזקה קטן יותר, ותועלתה דומה דו"ח זה מנתח את שאלת הנחיצות עפ"י מתווה זה. ראשית, הדו"ח מציג את הנתונים הקיימים, בדבר .(היקף הבעיה, ובודק כמה מקרים היו מקבלים מענה באמצעות תעודה חכמה בלבד )ללא מאגר מרכזי כאן אנו מגיעים למסקנה משמעותית ראשונה: הבעיה שבא המאגר לפתור )הרכשה כפולה( מסתברת .כבעיה תאורטית בלבד. ככל הנראה, מסמך מסווג של מטה הלוט"ר, שלא פורסם, הניח את קיומה בעתיד .אך במציאות, הבעיה אינה מתועדת בהמשך, הדו"ח מתייחס אל המצב בעולם המערבי. המידע הקיים, בגיבוי מסמכים שיצר מרכז המחקר והמידע בכנסת ואף התבטאויות של הרשות לניהול המאגר, מאשש את הקביעה שהפרויקט הישראלי .ייחודי, יוצא דופן וכמעט חסר תקדים בעולם המערבי בהמשך, הדו"ח בוחן את הבחירות הטכנולוגיות שביצעו מתכנני הפרויקט )כגון סוג המדדים הביומטריים הנרכשים( המשפיעות, במידה לא מבוטלת, על טענתם לצורך במאגר מרכזי, וגם על בטיחותה ואבטחתה של המערכת ככלל. הדו"ח מתייחס גם לכשלים שונים בתהליך הקמתו ואבטחתו של המאגר הביומטרי שהוקם, ובייחוד לכשלון ההקמה של מערכת ההשוואה הביומטרית המשמשת בו. לאחר כל אלה, נבחנו .השיטות הסטטיסטיות בהן נעשה שימוש בדו"ח המסכם של הרשות הדו"ח גם מציג מספר חלופות למאגר, שייתנו מענה מידתי הרבה יותר לבעיה )הצפויה, אולי, בעתיד( של תרמית בהרכשת תיעוד המכונה "הרכשה כפולה" – ומבחינות מסוימות, מענה עדיף משמעותית ממאגר .ביומטרי ,לסיכום, הדו"ח מראה בבהירות כי אין צורך במאגר ביומטרי לשם קיום מטרות החוק המקוריות. לכן אין טעם להאריך את תקופת המבחן בשנתיים נוספות, בהן אזרחי ישראל ימשיכו להמתין להחלטות המשפיעות עמוקות על ביטחונם ופרטיותם. אנו קוראים לממשלת ישראל ולחברי הכנסת לבטל את .המאגר הביומטרי כבר עתה במקום המאגר הביומטרי, אנו ממליצים להיענות לדרישת מבקר המדינה לשעבר, כב' השופט בדימוס בבד, נמליץ לעבות משמעותית את חלופת-מיכה לינדשטראוס, ולהמשיך בחלוקת תעודות חכמות. בד התשאול בזמן ההרכשה, ולבחון את האפשרות להשתמש בשיטה הבלגית, המקשה מאוד על התחזויות – 90 – בלשכות האוכלוסין. לחלופין, נמליץ על שמירת מאגר תמונות פנים באיכות מופחתת, ביומטריה שתשמש לצורכי אימות זהות בלבד, בהתאם לסעיף27 . לחוק קלות הזיוף של תעודות הזהות הנוכחיות היא איום קבוע על ביטחון הציבור. כבר שנים שהחלפתן בתיעוד חכם היא צורך בוער. אילולא התעקשות משרד הפנים לכרוך את פרויקט התיעוד החכם עם הקמת המאגר .הביומטרי, תעודות זהות מתקדמות היו מונפקות לכלל אזרחי ישראל לפני שנים אחרי עיכוב של שנים, ייטיבו מקבלי ההחלטות לעשות כשיחליטו לסיים את הניסוי, ולהנפיק תעודות .זהות חכמות לכלל תושבי ישראל, ללא מאגר מידע ביומטרי מרכזי המאיים על ביטחונם ועל פרטיותם – 91 –