חומר רקע

אל: חברי וועדת הכנסת המשותפת לפי חוק הכללת אמצעי זיהוי ביומטריים ונתוני זיהוי ביומטריים במסמכי זיהוי ובמאגר מידע, תש"ע-2009 מאת: היועצת המשפטית לוועדה- עו"ד נירה לאמעי רכלבסקי 1.11.16 מסמך רקע לקראת ישיבת הוועדה המשותפת לפי חוק הכללת אמצעי זיהוי ביומטריים ונתוני זיהוי ביומטריים במסמכי זיהוי ובמאגר מידע, תש"ע-2009 (להלן- החוק; להלן- הוועדה) לקראת ישיבת הוועדה בתאריך 2 בנובמבר 2016 ישיבת הוועדה מתוכננת לדון בשני עניינים: תיקון צו הכללת אמצעי זיהוי ביומטריים ונתוני זיהוי ביומטריים במסמכי זיהוי ובמאגר מידע (תקופת מבחן), תשע"א-2011 (להלן- הצו); דיון בדוח התקופתי השישי של תכנית המבחן למאגר הביומטרי (פיילוט) ובהשלמה לדו"ח המסכם של תכנית המבחן. לגבי תיקון הצו- התקיים דיון ב- 1.8.16 אשר נקטע ולא הסתיים בהצבעה. בדיון אז הוגש לחברי הכנסת מסמך מאת היועצת המשפטית מיום 31.7.16 המציג את התיקונים המבוקשים לצו ואת הנקודות לדיון- והוא מצורף למסמך זה לעיונכם ומסומן כנספח א'. יש לציין כי התיקונים המתבקשים לביצוע בצו מתייחסים לנושאים אשר הוחל כבר ביישומם על ידי רשויות ניהול תכנית המבחן (הרשות לניהול המאגר הביומטרי ורשות האוכלוסין וההגירה). רקע וההשלמה לדוח המסכם- בספטמבר 2016 הוגשו לוועדה הדו"ח התקופתי (חצי שנתי) השישי של תכנית המבחן למאגר הביומטרי (פיילוט) וכן השלמה לדו"ח המסכם של תכנית המבחן. תכנית המבחן אשר יצאה לדרך ב- 30.6.13 לתקופה של שנתיים, הוארכה בהתאם לחוק פעמיים (בחודש יוני 2015 ובחודש מרץ 2016)- בכל פעם בתשעה חודשים. לפיכך, סוף חודש נובמבר 2016 הוא כרגע המועד לסיום תקופת הפיילוט. על פי סעיף 41(4) לחוק, שלושה חודשים לפני תום תקופת המבחן ראש הממשלה אמור להעביר דיווח מסכם על הממצאים הסופיים של תכנית המבחן- לשתי וועדות הכנסת הרלוונטיות, כמו גם לוועדת השרים ליישומים ביומטריים. אולם, הדיווחים אשר הוגשו לוועדה בחודש ספטמבר האחרון, היו שני דוחות נפרדים של הרשויות המנהלות את תכנית המבחן (הרשות לניהול המאגר הביומטרי ורשות האוכלוסין וההגירה), בתוספת דוח נפרד של הלשכה המרכזית לסטטיסטיקה, אשר מלווה את תכנית המבחן. הדוחות מסכמים את תקופת ההארכה של הפיילוט ומשלימים למעשה את הדו"ח המסכם המקורי שהוגש במרץ 2015, לקראת סיום שתי שנות הפיילוט הראשונות. הדוח המסכם המקורי סיכם את ביצוען של בדיקות לחלופות למאגר הביומטרי (בדיקת נחיצות המאגר). מאז הוארך הפיילוט לא חזרו או עובו בדיקות הנחיצות בטענה שמבחינת רשויות ניהול תכנית המבחן, בדיקת החלופות מוצתה. הדוחות לא הועברו לוועדה על ידי ראש הממשלה והשר אלא ישירות מהרשויות המנהלות את תכנית המבחן והם אינם מכילים המלצות חד משמעיות לגבי תום תקופת הפיילוט- היינו, מה הוחלט ברמת הממשלה לגבי המשך גורלו של המאגר הביומטרי בואכה סיום הפיילוט, אלא את ההמלצות של רשויות ניהול הפיילוט בלבד, כפי שהוגשו לשר ולראש הממשלה. ההמלצות הן כדלקמן: רשות האוכלוסין וההגירה- הרשות מפנה לבדיקות שנערכו עד לתום תקופת השנתיים הראשונות של הפיילוט ומדגישה רק את העובדה כי חלופת התשאול איננה חלופה ראויה למאגר ביומטרי. למעט אמירה זו לרשות אין המלצות או עמדה לגבי תוכנו של מאגר ביומטרי כאמור או לגבי שימושים בו מעבר להנפקת תעודות זהות ומסמכי נסיעה. הרשות מציינת כי היא ערוכה להמשיך ולהנפיק תיעוד ביומטרי לאומי בהתאם לכל החלטה שתתקבל. הרשות לניהול המאגר הביומטרי- הרשות עדיין מחזיקה בעמדה שהובאה בדוח המסכם הראשון לפיה חלופה של שמירת נתונים של שתי טביעות אצבע ותמונת פנים ביומטרית במאגר נתונים תהיה היעילה ביותר למניעת הרכשות כפולות והתראות שווא. יחד עם זאת, מתייחסת הרשות לראשונה במסמכיה לאפשרות של קיום מאגר מצומצם יותר מנתוני שתי טביעות אצבע ופנים וכן לאפשרות כי הוראות החוק הקיימות ישתנו כך שהשימוש הרחב המתאפשר היום לפי חוק לרשויות החוק עם תחילת הפעלתו של מאגר ביומטרי- יצומצם. הרשות מעלה אפשרות זו כאמצעי לצמצום החששות מפני פגיעה באבטחה של מאגר ביומטרי: בין היתר מציינת הרשות בהמלצותיה כי: "בהתאם להחלטת השר ובמידת הצורך בצמצום החששות מהמאגר ניתן להגביל את הרשאת הגישה החוקית לגורמי אכיפת החוק לקבלת מידע המבוסס על נתוני המאגר..... באם יוחלט ליישם מאגר המבוסס על תמונות פנים בלבד, המלצת גורמי המקצוע הינה כי יש לכל הפחות לשמור טביעות אצבע במאגר לכל מבקשי הדרכון (שאינו מסמך חובה), ולאפשר בחירה (שמשמעה שתושב המעוניין בכך יוכל לבחור אם טביעות אצבעותיו יישמרו גם במאגר), בבקשת תעודת זהות בלבד. במקרים בהם מבקש תעודת הזהות יבחר לא לשמור את טביעות אצבעותיו במאגר, המלצת גורמי המקצוע הנה כי יש לנקוט במספר פעולות מפצות, ביניהן קיצור תוקף התעוד, שמירת פרטים דמוגרפיים במאגר וצילום פנים מעולה הכולל הסרת כיסויי ראש." " (דו"ח מסכם שלישי, ספטמבר 2016, עמ' 110). תהיינה אשר תהיינה המלצות השר וראש הממשלה, על פי סעיף 41 לחוק, הארכת הפיילוט, אשר אורכו שנתיים שהחלו ב- 30.6.13- מוגבלת לשנתיים נוספות בלבד. מכאן שבסוף חודש יוני 2017 תסתיים בהכרח תקופת המבחן לגבי נחיצות קיומו והפעלתו של מאגר ביומטרי ושר הפנים יצטרך לקבל החלטה לגבי יישומו. באם לא תתקבל הכרעה כאמור- יימחק המאגר שבו נתוני זיהוי ביומטריים של אזרחים שהתנדבו להשתתף בתכנית המבחן ולקבל תעודת זהות ודרכון ביומטריים. לפתחם של השר ושל ראש הממשלה עומדת הכרעה לגבי עצם קיומו ונחיצותו של מאגר ביומטרי, ללא קשר להחלטה שכבר התקבלה על מעבר לתיעוד ביומטרי חכם- היינו, תעודות זהות ודרכונים ביומטריים וכן לגבי הנתונים ואמצעי הזיהוי הביומטריים שיישמרו במאגר. זאת, בעיקר לאור חוות דעתו של הממונה על היישומים הביומטריים במשרד ראש הממשלה העומד בראש הוועדה המייעצת המפקחת על התנהלות תכנית המבחן לפי יש לקיים מאגר ביומטרי אולם מומלץ שלא לאגור בו טביעות אצבע של אזרחים כי אם תמונות פנים בלבד. באם יוחלט על קיומו של מאגר- עם תכולת נתונים כזו או אחרת כאמור לעיל- הרי שבאופן עקרוני עם כניסתו של החוק לתוקף יחל שימוש במאגר לפי מה שקבע החוק. השימוש במאגר לפי החוק נקבע לא רק לשם תמיכה בהנפקת תיעוד ביומטרי כדי למנוע גניבת זהות, אלא באופן נרחב גם לשימושים משטרתיים יומיומיים כגון בדיקת הזדהות שגרתית. נושא השימוש הנרחב במאגר שלא למטרות מניעת התחזויות וגניבת זהות בעת הנפקת תיעוד ביומטרי, היינו לשימושים משטרתיים שגרתיים, היה במחלוקת עמוקה בעת חקיקתו של החוק. זאת הן מטעמים של הגנת הפרטיות, אך גם מהטעם ששימוש נרחב ויומיומי במאגר ומסירת מידע ממנו לרשות שלישית עלול לפגוע ברמת האבטחה שלו. יצויין כי בדוח הרשות הביומטרית לתקופה השישית של תכנית המבחן אשר הוגש לוועדה, צוין כי: "הייעוד העיקרי של בסיס הנתונים הביומטריים המרכזי הנו מניעה וסיכול של ניסיונות קבלת תיעוד במרמה" (ההדגשה במקור). באם ירצה השר נתונה לו הסמכות, לפי סעיף 41(5) לחוק, לקבוע כי החלת החוק תהיה הדרגתית ובתנאים בהתאם לצו שיקבע. היינו, כי ההוראות הנוגעות לשימוש במאגר שלא לצרכי תיעוד ביומטרי לא ייכנסו לתוקף מחד עם סיומה של תקופת המבחן. הדו"ח התקופתי לתקופה השישית של הפיילוט- 31.12.15-31.5.16/ 1.11.15 דיווח תקופתי זה מתבצע מתוקף הוראת סעיף 11(ב) לצו המטילה חובה על רשויות ניהול תכנית המבחן להגיש דיווח תקופתי חצי שנתי לוועדה, עם תיאור כל תוצאות הבדיקות שבוצעו בתקופה האמורה לפי הצו. מתחילת תכנית המבחן ב- 30.6.13 הוגשו שישה דוחות כאמור. נתונים בולטים ונקודות לדיון עקב דוח התקופה השישית: מתוך דוח רשות האוכלוסין וההגירה- 1. ביצוע סימולציות של בקשות נתונים מהמאגר על ידי המשטרה ממרץ 2014 (בתקופת הפיילוט לא מתאפשרת העברת בקשות אמיתיות מהמשטרה לקבלת נתונים מהמאגר)- דווח כי משטרת ישראל מבצעת בניידות ובתחנת משטרה בדיקות השוואה של טביעות אצבע מול תעודות זהות חכמות- על פי אילו כללים נלקחות טביעות אלה, מה דינן של טביעות האצבע שנערמות במכשיר ההשוואה המשטרתי ולגבי מי מבוצעות בדיקות אלה? (עמ' 6 לדוח). 2. פרוייקט ייעול מסירת תעודת הזהות החכמה לתושב- הפרוייקט אמור לאפשר דיוור ישיר של תעודות ביומטריות שהונפקו לתושב באופן ישיר ואישי במקום במסירה בלשכה באמצעות אימות זהות על ידי טביעת אצבע. הפרוייקט צפוי היה להסתיים בסוף ספטמבר 2016- כיצד הסתיים הפרוייקט? האם התגלעו קשיים ביישומו מבחינת אבטחה ומסירה מאובטחת של התעודות ללא אימות טביעת אצבע? (עמ' 10 -11 לדוח). לציין כי מתחילת הפיילוט קיימת מגמה, לפי הנאמר בדוח, של אי הגעה לאיסוף תעודות הזהות. בתקופה השישית 24% לא אספו את תעודת הזהות הביומטרית שהונפקה להם. 3. לגבי בדיקת ה FAR , היינו, שיעורי קבלה מוטעית (false acceptance ) להוכחת דיוק ההשוואה הביומטרית- נקבע כי סטיית התקן באימות תמונות פנים היתה קטנה בהרבה מסטיית התקן לגבי טביעות אצבע- (5 מקרים של קבלה שגויה מתוך 150,000 בתמונות פנים לעומת 285 מקרים של קבלה שגויה של טביעות אצבע)- מה משמעות הנתונים לגבי שימוש בתמונות פנים? 4. על פי דוח הלמ"ס, אשר צורף לשני הדוחות של רשויות ניהול תכנית המבחן, המדד היחידי לגביו לא הושגו היעדים שנקבעו בפרוטוקול תכנית המבחן, הוא נטילת טביעות אצבע מאנשים מבוגרים (גילאי 60 ומעלה). בדברי הפתיחה לדוח של הססטיסטיקן הראשי, פרופ' דני פפרמן, נאמר: "הקושי בהרכשת טביעת האצבע אצל מבוגרים בא לידי ביטוי במדדים המרכזיים: מספר ניסיונות הרכשה גבוה יותר, זמני הרכשה ארוכים יותר ועמידה בציוני סף נמוכים יותר מאשר לכלל האוכלוסייה, וזאת על אף הירידה בציון הסף שהוגדר לאחר הכנסת הסורקים החדשים. יש לציין שההחמרה במדדים מגיעה דווקא לאחר שהמדדים השתפרו בתקופת הדוח החמישי."- כיצד נערכים לטיפול בעניין זה? (יש לציין כי לעומת נתון זה, לא היו כשלונות כלל בהרכשות עבור תמונת פנים ביומטרית, היינו כל התמונות שנלקחו קיבלו ציון עובר ולמעשה קיים שיפור מתמיד באיכות צילומי הפנים לאורך כל תקופת המבחן (עמ' 23 לדוח). ) דוח הרשות לניהול המאגר הביומטרי 5. בדוח צוין כי עצירות הנפקה של תיעוד ביומטרי נעשו ממספר סיבות כגון נתונים ביומטריים של אדם דומים לנתונים ביומטריים של אדם אחר (24 מקרים בשלוש שנות הפיילוט ו- 3 בתקופה השישית), או נתונים של אדם שלא דומים לנתוניו מבקשות קודמות (מספר גבוה יחסית בתקופה השישית- 105 מקרים)- מה היו הסיבות שעמדו מאחורי נתונים אלה? איזה חלק מעצירות ההנפקה היה עקב התחזות בפועל שנתפסה על ידי המאגר? נספח א': אל: חברי הוועדה המשותפת 31.7.16 מאת: הייעוץ המשפטי לוועדה- עו"ד נירה לאמעי רכלבסקי רקע לדיון לישיבת הוועדה המשותפת לפי חוק אמצעי זיהוי ביומטריים ונתוני זיהוי ביומטריים במסמכי זיהוי ובמאגר מידע, התש"ע- 2009 (להלן- החוק) הקבועה ליום 1.8.16 ישיבת הוועדה מכוונת לדון בשני נושאים: צו הכללת אמצעי זיהוי ביומטריים ונתוני זיהוי ביומטריים במסמכי זיהוי ובמאגר מידע (תקופת מבחן) (תיקון), התשע"ו - 2016 (להלן- צו תכנית המבחן)- תיקון סעיפים 8ב(ב) ו- 10(ה); דיון בדיווח התקופתי על תקופת המבחן לפי סעיף 11 לצו הכללת אמצעי זיהוי ביומטריים ונתוני זיהוי ביומטריים במסמכי זיהוי ובמאגר מידע (תקופת מבחן), תשע"א-2011 (להלן- צו תקפת המבחן) ובחוק- לקראת סיומה של תקופת המבחן לגבי תיקון צו תכנית המבחן- מתבקשים מהוועדה שני תיקונים לצו תכנית המבחן לגבי שני סעיפים שונים: סעיף 8ב(ב)- סעיף זה דן בביצוע בדיקות יזומות במהלך תכנית המבחן כחלק מבחינת נחיצות המאגר הביומטרי על ידי בחינת חלופת התשאול. על פי הסעיף, בתקופת המבחן יבוצעו בדיקות יזומות של ניסיונות התחזות בזהות כפולה, כאחת מהבדיקות לנחיצות מאגר ביומטרי. על פי פרוטוקול הניסוי לתקופת המבחן (סעיף 7.3) כחלק מהבדיקה יש ליצור אירועים יזומים שידמו מצבים שלא יקרו בכמות מספקת באופן טבעי. התיקון המתבקש: השר מבקש לתקן את הצו כך שהבדיקה שאמורה היתה להתבצע על ידי מתחזים יזומים תתבצע באמצעות ניסוי סטטיסטי שיעריך את הסיכויים של מתחזים לעבור את הליך התשאול בהצלחה כדי להזדהות בהזדהות כפולה. זאת עת מנת לבחון אם חלופת התשאול מאפשרת להתמודד בהצלחה עם תופעת גניבת הזהויות גם ללא מאגר ביומטרי. נקודות לדיון: הפער בין הניסוי באמצעות מתחזים לניסוי הסטטיסטי והשפעתו על מודל חלופת התשאול במקום מאגר ביומטרי; ההסבר לזניחתה של הבדיקה היזומה באמצעות מתחזים לאחר שזו הוספה לצו תכנית המבחן בעת בחינתו המחודשת לאחר עתירה שהוגשה לבג"צ. על פי המידע שנמסר היתה הכנה לביצוע בדיקת התחזות יזומה עם מדגם אמיתי של כ- 400 אנשים שלא יצאה לבסוף אל הפועל. תיקון סעיף 10(ה)- שינוי תקני איכות טביעות האצבע- מדד האיכות בו נעשה שימוש במהלך הפיילוט הוא רמות 1-2 מתוך חמש ("מצויין" ו"טוב מאוד"- בהתאמה) בתקן NIST. השינוי המתבקש בצו- להכיר בנטילת טביעות אצבע באיכות ברמה 3 (הפחות טובה לעומת רמות 1 ו- 2- ומוגדרת "טוב" ). הרקע לצורך בשינוי הוא השימוש בסורקים חדשים בהם קשה יותר ליטול טביעות אצבע ברמות 1 ו- 2 מכיוון שהם "רואים" פחות עמוק אל תוך העור (אם כי נותנים תמונה כללית טובה יותר להשוואה). בנוסף, בנטילת טביעות אצבע מאנשים מסוימים קשה יותר להגיע לדרגת איכות נטילה של 1 או אפילו 2. נטען כי גם נטילת טביעות אצבע באיכות של רמה 3 עומדת במדדי ההצלחה של 95%-99% הנדרשים במסגרת צו תכנית המבחן. נקודות לדיון: האם הורדת רמת איכות טביעות האצבע הניטלות במסגרת תכנית המבחן תפגע ברמת ההשוואה של תוצאת זיהוי של אדם או אל מול תיעוד (היינו, רמת ההזדהות מול המאגר הביומטרי); כמה ניסיונות נטילה יש לבצע באוכלוסיות "בעייתיות" מבחינת נטילה על מנת להגיע לרמה 3? האם לא רצוי להגביל את השימוש במדד הפחות איכותי של דרגה 3 לאוכלוסיות מסוימות בלבד? לטווח הארוך- כיצד ישפיע השינוי ברמות הנטילה במידה ויוחלט על מאגר קבוע עם טביעות אצבע? האם ניתן יהיה לעשות שימוש בטביעות אצבע אלה על פי החוק? כיצד התנהלו הנטילות מהסורקים החדשים עד לדיון המתקיים היום בוועדה לגבי אישור נטילה ברמה 3 לאור הבעייתיות שהועלתה בנטילה ברמות 1 ו- 2? מה ההשפעה של איכות נטילה ברמה 3 אל מול הפונקציות והשימושים של רשות בקורת הגבולות ומשטרת ישראל? לגבי הדיון בדיווח התקופתי- ביום 26.7.16 נודע לצוות הוועדה כי הדיווח התקופתי לגבי התנהלות תקופת המבחן (הפיילוט) לתקופה דצמבר 2015- יוני 2016, אשר נמסר לוועדה כי יונח על שולחנה במהלך חודש יולי - לא יוגש עד למועד קיום הישיבה. על פי סעיף 11(ב) לצו תקופת המבחן הרשות ורשות האוכלוסין מחויבות להכין דין וחשבון מפורט ובו תוצאות הבדיקות שבוצעו- אחת לחצי שנה. דין וחשבון זה אמור להיות ערוך על פי כללים מקובלים לעריכת מבדקים למערכות ביומטריות ולכלול חוות דעת של הסטטיסטיקאי הממשלתי בדבר התאמה לכללים כאמור. יש לציין כי בתום השנתיים הראשונות של תכנית המבחן, עם הכניסה לתקופת ה"הארכה"- הרשות איננה מבצעת בדיקות לחלופות לקיומו של מאגר ביומטרי כפי שהיא מחוייבת לבצע על פי חוק. הרשות טענה כי בדיקות אלה הסתיימו עם תום שתי שנות תכנית הפיילוט המחויבות על פי חוק. דיון כללי לקראת סיומה של תכנית המבחן- תכנית המבחן הוארכה במרץ 2016 בפעם השניה בתשעה חודשים נוספים ועתידה להסתיים (נכון לעכשיו") בסוף דצמבר 2016. על פי סעיף 41 לחוק, הארכת הפיילוט, אשר אורכו שנתיים שהחלו ב- 30.6.13- מוגבלת לשנתיים נוספות בלבד. מכאן שבסוף חודש יוני 2017 תסתיים בהכרח תקופת המבחן לגבי נחיצות קיומו והפעלתו של מאגר ביומטרי ושר הפנים יצטרך לקבל החלטה לגבי יישומו. באם לא תתקבל הכרעה כאמור- יימחק המאגר שבו נתוני זיהוי ביומטריים של אזרחים שהתנדבו להשתתף בתכנית המבחן ולקבל תעודת זהות ודרכון ביומטריים. לפתחו של השר עומדת הכרעה לגבי עצם קיומו ונחיצותו של מאגר ביומטרי, ללא קשר להחלטה שכבר התקבלה על מעבר לתיעוד ביומטרי חכם- היינו, תעודות זהות ודרכונים ביומטריים וכן לגבי הנתונים ואמצעי הזיהוי הביומטריים שיישמרו במאגר. זאת, בעיקר לאור חוות דעתו של הממונה על היישומים הביומטריים במשרד ראש הממשלה העומד בראש הוועדה המייעצת המפקחת על התנהלות תכנית המבחן לפי יש לקיים מאגר ביומטרי אולם מומלץ שלא לאגור בו טביעות אצבע של אזרחים כי אם תמונות פנים בלבד. באם יוחלט על קיומו של מאגר- עם תכולת נתונים כזו או אחרת כאמור לעיל- הרי שבאופן עקרוני עם כניסתו של החוק לתוקף יחל שימוש במאגר לפי מה שקבע החוק. השימוש במאגר לפי החוק נקבע לא רק לשם תמיכה בהנפקת תיעוד ביומטרי כדי למנוע גניבת זהות, אלא באופן נרחב גם לשימושים משטרתיים יומיומיים כגון בדיקת הזדהות שגרתית. נושא השימוש הנרחב במאגר שלא למטרות מניעת התחזויות וגניבת זהות בעת הנפקת תיעוד ביומטרי, היינו לשימושים משטרתיים שגרתיים, היה במחלוקת עמוקה בעת חקיקתו של החוק. זאת הן מטעמים של הגנת הפרטיות, אך גם מהטעם ששימוש נרחב ויומיומי במאגר ומסירת מידע ממנו לרשות שלישית עלול לפגוע ברמת האבטחה שלו. באם ירצה השר לדון בנושא השלכות השימושים הנרחבים במאגר שלא למטרות תיעוד ביומטרי, זאת בין היתר לאור מסקנות תקופת המבחן שנערכה- נתונה לו הסמכות, לפי סעיף 41(5) לחוק, לקבוע כי החלת החוק תהיה הדרגתית ובתנאים בהתאם לצו שיקבע. היינו, כי ההוראות הנוגעות לשימוש במאגר שלא לצרכי תיעוד ביומטרי לא ייכנסו לתוקף מחד עם סיומה של תקופת המבחן.