חומר רקע

TLP: White | בלמ״ס היחידה להזדהות וליישומים ביומטריים 1 23 ספטמבר2020 ה' תשרי תשפ"א :סימוכין968 0 לכבוד מר אריה מכלוף דרעי, שר הפנים מכובדי, :הנדון 'דו״ח פיקוח מס10 ספטמבר 2020 :סימוכין דו״חות פיקוח9-1 1 בהתאם לסמכות הפיקוח של הממונה על היישומים הביומטריים (להלן- ״הממונה״), על פי סעיף30 ()(ב3 ) לחוק הכללת אמצעי זיהוי ביומטריים ונתוני זיהוי ביומטריים במסמכי זיהוי ובמאגר מידע התש"ע 2009 (להלן- '״החוק״), מוגש בזאת, דו״ח פיקוח מס10 (להלן- .)״הדו״ח״ דו"ח זה מתמקד בהתנהלות הפרויקט במהלך התקופה ינואר עד ליולי2020 ומכיל גם את ריכוז עיקרי דוחות 8 ו-9 , מיולי2018 ועד לדצמבר2019 , .אשר מציגים פערים שטרם טופלו במלואם טיוטת הדו״ח הועברה להתייחסות מקדימה לגופים הבאים: הרשויות- רשות האוכלוסין וההגירה (להלן - ״רשות"האוכלוסין ,)ה רשות לניהול המאגר הביומטרי הלאומי (להלן- ״רשות המאגר )ו ׳ משטרת ישראל והתייחסות,, ככל שהיו שולב ו .בדו"ח הדו"ח תואם עם אגף תמ"ק במערך הסייבר הלאומי (להלן- ״אגף תמ"ק)״ - הקצין המוסמך המנחה את הרשויות בהיבטי אבטחת המידע על פי החוק להסדרת הביטחון בגופים ציבוריים התשנ"ח1998 . לדו"ח זה , המסווג בלמ"ס, מצורף נספח שסיווגו סודי . הדו"ח המלא כולל הנספח הסודי מ ועבר לראשי הרשויות אליהן הוא מתייחס וכן לוועדת הכנסת המשותפת ליישומים ביומטריים העוסקת על פי החוק בנושאים המסווגים בפרויקט. להלן ממצאים ופערים עיקריים: 1. רשות האוכלוסין: 1.1 . שמירת תמונות פנים באיכות פחותה אינה עומדת בדרישות החוק - החוק מאפשר לשמור במערכות רשות האוכלוסין"תמונות פנים באיכות פחותה" . בבדיקה שקיימה יחידת הממונה נמצא כי בשל ההתקדמות הטכנולוגית של אלגוריתמי השוואות פנים, כיום תמונות אלו מהוות מידע ביומטרי לכל דבר ועניין, ו לכן שמירתן אינה עומדת בדרישות החוק . על הרשות לגבש בהקדם האפשרי פתרון העומד בדריש ות החוק. 1.2 . שיעור השגיאה ב השוואת טביעת אצבע מול תעודה ( 1:1 ) - בעת הזו לא ניתן לקבוע כי השוואת ט"א של אדם אל מול תעודתו עומדת באיכות הראויה שכן על אף עבודת ניתוח נתונים שבוצעה ברשות והוצגה ליחידה, קיימים נתונים נוספים של השוואות טביעות אצבע שאינם עומדים ברף הנדרש .יש לבצע עבוד ה נוספת שתיישב בין הנתונים . 1.3 . קשיים ב הרכשת ט"א מתושבים מעל גיל65 - יש מקום לבחון את עדכון אופן ה הרכשה באופן שיתחשב באיכות טביעת אצבע של.מבוגרים 1.4 . בקרה על ספקים חיצוניים - ברכיבי הפרויקט הנמצאים באחריות רשות האוכלוסין התרחשו .בשנים האחרונות מספר תקלות מסתמן כי סיבה עיקרית לתקלות היא חוסר בקרה מספק מצד הרשות על אופן ו איכות עבודת קבלני המשנה. רשות האוכלוסין גיבשה נוהל בקרת איכות בנושא זה, ויש ליישמו בה קדם לצד ביצוע ביקורות אצל קבלני המשנה. 1 דו"חות הפיקוח: דו"ח פיקוח מס׳1 ( של הממונהor036 מה- 16.2.2014 ) דו״ח פיקוח מס׳2 ( של הממונה5- or065 מה- 28.1.2015 ) דו״ח פיקוח מסכם לתקופת המבחן של הממונה30.6.2015 - 30.6.2013 (4- 083 מה- 20.7.2015 ) 'דו״ח פיקוח מסכם מס2 לתקופת המבחן של הממונה (6- 092 מה- 19.4.2016 ) 'דו״ח פיקוח מסכם מס3 לתקופת המבחן של הממונה ( 0586 מה- 27.10.2016 ) 'דו״ח פיקוח מס6 יולי2017 – ( היערכות למימוש שינויי החקיקה2- 0670 מה- 31.7.2017 ) דו״ 'ח פיקוח מס7 יולי2018 – ( 0748 מה- 2.7.2018 ) 'דו״ח פיקוח מס8 אפריל2019 – ( 0824 מה- 16.5.2019 ) 'דו״ח פיקוח מס9 ינואר 20 20 – ( 0824 מה- 20 .20 1 16. ) TLP: White | בלמ״ס היחידה להזדהות וליישומים ביומטריים 2 2. רשות המאגר 2.1 . קצב היערכות לפקיעת הוראת השעה - כהיערכות לפקיעת הוראת השעה לחוק, הצפויה בשנת 2022 ,תיארה הרשות "אבני דרך "למאגר ביומטרי מבוסס תמונות פנים בלבד . ,עם זאת תאריך היעד שמסרה הרשות לעדכון מערכת ההשוואה הינו בשנת2024 . מועד זה מאוחר בשנתיים מלוחות ,הזמנים של הוראת השעה ולכן אינו .נותן מענה להוראות החקיקה ראוי לפעול להתאמת לוחות הזמנים להיערכות בהתאם למועד פקיעת הוראת השעה. 2.2 . כיול מערכת ההשוואה הביומטרית – כיול המערכת בוצע לאחרונה בשנת2018 . יש לבצע כיול של המערכת בהקדם האפשרי , בהתאם לתכנית העבודה של הרשות. בכבוד רב, רועי פרידמן הממונה על היישומים הביומטריים :העתקים מר מרדכי כהן- מנכ"ל משרד הפנים מר יגאל אונא- ראש מערך הסייבר הלאומי פרופ' שלמה מור יוסף- מנכ"ל רשות האוכלוסין ההגירה מר אברהם מינס- ראש רשות המאגר הביומטרי הלאומי משטרת ישראל– לשכת סמפכ"ל ד"ר שלומית ווגמן– מ"מ ראש הרשות להגנת הפרטיות, משרד המשפטים מר רפאל פרנקו–ראש מכלול עמידות, מערך הסייבר הלאומי עו״ד שלומית ברנע- פרגו- יועמ״ש משרד ראש הממשלה עו״ד יהודה זימרת- יועמ״ש משרד הפנים עו״ד דניאל סלומון- יועמ״ש רשות האוכלוסין וההגירה עו"ד עירית וייסבלום– עו"ד, הלשכה המשפטית, רשות האוכלוסין וההגירה עו״ד מגי לוי - יועמ״ש ה רשות לניהול המאגר הביומטרי עו״ד אביטל שטרנברג- ראש תחום ייעוץ, מחלקת ייעוץ וחק יקה, משרד המשפטים מר אלי גזית– ראש אגף תמ"ק, מערך הסייבר הלאומי מר אורן אריאב– ראש אגף מערכות מידע, רשות האוכלוסין וההגירה מר עידו תלמי- ,מנהל אבטחת מידע והגנת הסייבר ,מתכלל סייבר וביומטריה רשות האוכלוסין וההגירה מר מאיר גופשטיין- מנהל אגף הגנת הפרטיות ,רשות המאגר הביומטרי הלאומי מר עמיר אריהן- ,ראש אגף, מערכות מידע רשות המאגר הביומטרי הלאומי מר אייל סיסו- רח"ט לעניינים קונסולריים , משרד החוץ סנ"צ אלישע קוגן - ,מדור מידע פלילי, אח"ם משטרת ישראל גב' נעמה הולצמן– עוזרת מנכ״ל משרד ראש ה ממשלה TLP: White | בלמ״ס 3 היחידה להזדהות וליישומים ביומטריים 1. רקע 1.1 . פרויקט ה תיעוד :הלאומי החכם 1.1.1 . פרויקט הנפקת תעודות הזהות החכמות, הדרכונים ומסמכי הנסיעה החכמים משולבי ביומטריה, תוכנן נבנה ומבוצע על ידי משרד הפנים, באמצעות רשות האוכלוסין ו רשות המאגר הביומטרי הלאומי ("רשות המאגר "), בהתאם למתווה הקבוע בחוק. הנפקת התעודות לתושבים החלה ב- 30.6.2013 ., עם תחילת תקופת המבחן 1.1.2 . הפרויקט כולל מאגר ביומטרי, אשר מנוהל ע"י רשות המאגר . מטרת המאגר הינה לאתר ולמנוע מקרים של התחז ות ו-"הרכשה כפולה" בהתבסס על זיהוי ביומטרי על מנת לממש את העיקרון "אדם אחד- ."זהות אחת 1.1.3 . ב- 1.3.17 , לקראת תום תקופת מבחן שנמשכה4 שנים, קיבלה הכנסת תיקון לחוק (להלן )""החוק המתוקן2 . 1.1.4 . בהתאם לחוק המתוקן, החל מ- 1.6.2017 מונפק תיעוד חכם לכל תושב המגיע ללשכות רשות האוכלוסין והנפקת ה תיעוד ה"ישן" הופסקה (למעט חריגים מסוימים). ה תיעוד החכם משולב ביומטריה, כולל טביעות שתי אצבעות מורות ותמונת פנים באיכות ביומטרית. תמונות הפנים נשמרות במאגר הביומטרי אולם לגבי הכללת טביעות האצבע במאגר, ניתנת לכל תושב זכות בחירה. על מנת שאלה ישמרו במאגר, על התושב לחתום על .טופס הסכמה ייעודי לכך 1.1.5 . תיעוד של תושב שתמונת פניו בלבד נכללה במאגר הביומטרי יהיה בתוקף ל- 5 שנים ואילו תיעוד של תושב שנתן הסכמתו שגם טביעות האצבע שלו י כללו במאגר, יהיה בתוקף ל- 10 .שנים 1.1.6 . עד1 ב יולי 20 20 הצטרפו לפרויקט כ- 4.8 מיליון איש, הונפקו כ- 4.2 מיליון דרכונים וכ-4 3. מיליון תעודות זהות ביומטריות. מאז החלת החוק באופן מנדטורי ועד כה , כ- 89% ממקבלי ה תיעוד הבגירים מעל גיל18 ., נתנו הסכמתם לשמירת ט.א. במאגר הביומטרי 1.1.7 . מיד לאחר תקופת המבחן הוגשה עתירה לבג"צ כנגד קיומו של המאגר הביומטרי (ומספר סעדים חלופיים נוספים). עתירה זו טרם הוכרעה (בג"צ2780/17 ארד ואח' נ' שר הפנים .)'ואח 1.2 . תמונת מצב לאור תיקוני החקיקה בשנת2017 שינויי החקיקה שנעשו בחוק בשנת2017 , התייחסו בעיקרם למאגר הביומטרי ולמידע שיש לשמור בו (נוספו גם תיקונים העוסקי ם בקטינים ובמי שמונה לו אפוטרופוס, בהנגשת שירותים ובמערך ההסברה שינוהל על ידי רשות האוכלוסין .). החוק הגדיר תקופת קבע ותקופה בה חלה הוראת שעה בתקופת הוראת השעה ישמרו בנוסף לתמונת הפנים של התושבים גם טביעות אצבע של מי שנתן .לכך את הסכמתו אלה ההוראות העיקריות הנוגעות לניהול ושמירת הביומטריה בפרויקט בתקופת הקבע ובעת :החלת הוראת השעה 1.2.1 . תקופת הקבע 1.2.1.1 . .המאגר הביומטרי יהיה מבוסס על תמונת פנים בלבד 1.2.1.2 . ה תיעוד( החכם ימשיך לכלול שתי טביעות אצבע להלן.ט"א) ותמונת פנים 1.2.1.3 . תוקף ה תיעוד.(ת"ז/ דרכון) לחמש שנים 1.2.2 . הוראת שעה 1.2.2.1 . תחילתה של הוראת השעה ביום תחילתן של התקנות (סעיף1 )(א) להוראת השעה יום זה הוא1.6.2017 . 3 2 חוק הכללת אמצעי זיהוי ביומטריים ונתוני זיהוי ביומטריים במסמכי זיהוי ובמאגר מידע, התש"ע- 2009 )(תיקון והוראת שעה ,התשע"ז2017 , ס"ח2607 , , ג' באדר התשע"ז1.3.17 3 ק"ת7810 9.5.2017 'עמ5 103 סעיף5. TLP: White | בלמ״ס 4 היחידה להזדהות וליישומים ביומטריים 1.2.2.2 . הוראת השעה נקבעה ל-5 שנים שתסתיימנה ב- 31.5.2022 . שר הפנים רשאי להאריכה באמצעות צו, שיאושר בממשלה ובכנסת, לתקופות נוספות בנות5 .שנים 1.2.2.3 . ה תיעוד החכם ימשיך לכלול שתי ט"א ותמונת.)פנים (ללא שינוי 1.2.2.4 . תמונת ה פנים ש נ יטל ה מתושב, תשמר .במאגר הביומטרי 1.2.2.5 . .שמירת ט"א של תושב במאגר הביומטרי, כפופה למתן הסכמתו בכתב 1.2.2.6 . תוקף ה תיעוד של תושב יהיה5 שנים אלא אם נתן הסכמתו לשמירת ט"א במאגר )(בנוסף על תמונת פנים- במקרה כזה תוקף ה תיעוד יהיה10 .שנים 1.2.2.7 . ט"א של תושב שלא נתן הסכמתו לשמירתן במאגר הביומטרי, ינטלו לצורך הנפקת ה תיעוד עצמו וכן יועברו למאגר הביומטרי לשם השוואתן לט"א שבמאגר וימחקו .לאחר ביצוע השוואה זו 1.2.2.8 . מתן הסכמה לשמירת ט"א אפשרי מגיל16 .ומעלה 1.2.2.9 . החוק המתוקן מאפשר למי שהסכים לשמירת טביעות אצבעותיו במאגר, ל חזור בו .ולבקש למחקן מהמאגר המשמעות הינה ביטול ה תיעוד הקודם והנפקה מחודשת של ה תיעוד שיהיה בתוקף ל-5 .שנים בלבד 1.2.2.10 . לפי סעיף40 ()(ב1 ) לחוק המתוקן, שימושי המשטרה במאגר הביומטרי יכנסו לתוקף .רק לאחר אישור תקנות בנושא .תקנות כאלה טרם נקבעו 1.2.2.11 . הוראת השעה קבעה כי ראש מ ערך הסייבר יבדוק אחת ל- 18 חודש ה אם קיימים אמצעים טכנולוגיים שיש בהם כדי לתת מענה במידה נאותה, לזיהוי ואימות זהות של תושב, לצורך קבלת תוצאות זיהוי על בסיס מאגר של תמונות פנים בלבד ויגיש את חוות דעתו בעניין לשר הפנים. באם שר הפנים יחליט שלא לקצר את תוקף הורא ת ,השעה או להאריך את תוקף מסמך הזיהוי המבוסס על שמירת תמונת פנים במאגר .הוא יודיע על כך לכנסת 1.2.2.12 . עד כה, נבדקה השאלה האמורה לעיל על ידי ראש מערך הסייבר, פעמיים, וחוות דעתו הוגשו לשר הפנים ביום28.11.2018 וביום1.6.2020 . בחוות דעתו האחרונה של ראש המערך הוא קבע כי יש נם אמצעים טכנולוגיים אשר יש בהם לתת מענה נאות להנפקת תיעוד בעל תוקף של10 ,שנים .על בסיס מאגר של תמונות פנים 1.2.2.13 . ב- 28.2.2019 , לאחר קבלת חוות הדעת הראשונה של ראש מערך הסייבר, הודיע שר הפנים ליו"ר ועדת הכנסת המשותפת על החלטתו שלא לקצר את תקופת הוראת ,השעה ויש לאפשר את המשך הבחינה בתקופה נוספת של עד18 חודשים שבמהלכה ניתן יהיה לבחון ולפעול ככל שיידרש לרכישה ולהטמעת טכנולוגיות חדשות ככל .שיהיה צורך 1.2.2.14 . ב- 6.2020 .1 הגיש ר' מערך הסייבר הלאומי את חוות דעתו לשר הפנים בתום התקופה השנייה של הוראת השעה. 1.2.2.15 . בנספח מצורף מובאים עיקרי חוות דעת הממונה ועיקרי המלצת ראש מערך הסייבר הלאומי בנושא תכולת המאגר הביומטרי בהתאם להוראת השעה בחוק. 1.2.2.16 . ב- 17.9.2020 העביר שר הפנים את החלטתו ליו"ר ועדת הכנסת המשותפת , ולפיה: ..."שוכנע תי שאכן קיימ ים אמצעים טכנולוגיים עם אלגוריתמיקה מפותחת ובשלה לזיהוי פנים שיש בה כדי לתת מענה נאות לזיהוי ואימות זהות של תושב, לצורך קבלת תוצאת זיהוי לפי סעיף14 לחוק העיקרי, על בסיס מאגר של תמונות פנים בלבד, ,ברם .הליך לרכישה, פיתוח והטמעה של אמצעים שלו, הינו הליך אשר דורש מספר שנים כמו כן, עלה כי אמצעי ם טכנולוגיים אלו, אינם נותנים מענה מלא ליתר תכליות ומטרות החוק ובכללם בכל הנוגע למניעת נ י סיונות התחזות וליכולת זיהוי נפגעים ."בתאונות ופיגועים 1.3 . :דו״חות הממונה ושיטת העבודה 1.3.1 . בהתאם להוראות סעיף30 ()(ב3 ) לחוק, גובשה ומומשה תכנית הפיקוח של היחידה להזדהות וליישו מים ביומטריים (להלן: "יחידת הממונה"). עם תיקון החוק והפיכת הנפקת ה תיעוד .הביומטרי למנדטורי, עודכנה תכנית הפיקוח TLP: White | בלמ״ס 5 היחידה להזדהות וליישומים ביומטריים 1.3.2 . מתחילת תקופת המבחן ב- 30.6.2013 הוגשו תשע ה דו״חות פיקוח. הדו"חות מציגים את הנושאים בהם טיפל צוות הפיקוח במהלך תקופת הדו"ח, את הפערים בין התכנון לביצוע .ואת המלצות הממונה בהתייחס לממצאים הדו"ח האחרון, 'דו"ח מס9, פורסם ב ינואר 2020 . 1.3.3 . דו״ח הפיקוח הנוכחי, הדו״ח ה עשירי, מתמקד בנושאים שבפיקוח במהלך התקופ מ ה חודש ינואר עד לחודש אוגוסט 2020 , ו בנוסף מסכם את דוחות8 ו-9 מיולי2018 ועד לדצמבר 2019 . 1.3.4 . לדו"ח זה, המסווג בלמ"ס, מצורף נספח שסיווגו סודי. הנספח הסודי יועבר לראשי הרשויות אליהן הוא מתייחס וכן לוועדת הכנסת המשותפת ליישומים ביומטריים העוסקת על פי החוק.באבטחת מידע נספח סודי צורף.גם לדוחות הקודמים 1.3.5 . כחלק מעבודת הפיקוח, יחידת הממונה מקיימת פגישות עיתיות עם כל אחת מהרשויות בתדירות של אחת לחודשיים. הפגישות העיתיות מתקיימות על פי מצע המופץ לרשות לפני הפגישה. הרשות מציגה מסמכים רלוונטיים לנושאים שבמצע ומענה לשאלות הנוגעות לנושאים אלה. בנוסף, נערכות פגישות ייעודיות המיועדות לנושאים ספציפיים בעלי .חשיבות והשפעה על הפרויקט 1.3.6 . חלק בלתי נפרד מעבודת הפיקוח הינם סיורים באתרי הרשויות. יחידת הממונה מבצעת .אותם באופן עיתי, בהתאם לתוכנית עבודה 2. נושאי הדו״ח 2.1 . סקירת הנושאים שנב דקו במהלך התקופה מ מאי 9 201 ועד לדצמבר 2019 . 2.2 . פערים מדו"ח ות קוד מי.ם 2.3 . .המלצות 3. סקירת הנושאים שנבדקו בתקופת הדו"ח רשות האוכלוסין 3.1 . תמונות פנים באיכות פחותה– אי עמידה בדרישות החוק בדו"ח9 העיר הממונה ש שמירת תמונת ה פנים באיכות פחותה ברשות האוכלוסין ה אינ עומד ת .בדרישות החוק 3.1.1 . סעיף27 ,לחוק מאפשר לעובד משרד הפנים להפיק ולשמור תמונת פנים באיכות פחותה .לצורך הצגה חזותית הנדרשת במסגרת מילוי תפקידו 3.1.2 . סעיף2 לחוק מגדיר תמונת פנים באיכות פחותה כ"תמונת תווי פניו של אדם המאפשרת זיהוי חזותי שלו והמעובדת כך שנתוני הזיהוי הבי ומטריים שיהיה ניתן להפיק ממנה לא יוכלו לשמש, באופן מעשי, לצורך זיהוי או אימות זהותו של אדם, באופן ממוחשב או ."ממוחשב בחלקו 3.1.3 . לפיכך, ,מתחילת הפרויקט תמונות אלה ה ופקו כתמונות"מרודדות" (באיכות פחותה) של התמונות שניטלו במסגרת תהליך הנפקת ה תיעוד החכם והן נשמרו ,במרשם האוכלוסין לצד המידע הדמוגרפי של התושב. תהליך ההפחתה של התמונות נקבע לפני מספר שנים על ידי רשות האוכלוסין4 . 3.1.4 . נקודת המוצא של החוק הייתה ש"תמונות מופחתות" אינן "מידע ביומטרי" וכי ניתן לשמור אות ן .לצורך שימוש פקיד רשות האוכלוסין במפגש עם התושב 3.1.5 . בשנים האחרונות חל שיפור משמעותי באלגוריתמיקה לזיהוי פנים, אשר בהשוואה ליכולת ( הטכנולוגית שהייתה קיימת בעת ניסוח החוק2007/8), התקדמה בכמה סדרי גודל5 . 4 מימוש לתמונות מופחתות, הפחתה ביומטרית בתמונת פנים, מיום12.9.2010 . 5 https://www.gov.il/BlobFolder/generalpage/opinion/he/maagar_beyometry.pdf TLP: White | בלמ״ס 6 היחידה להזדהות וליישומים ביומטריים 3.1.6 . ניסוי שקיימה יחידת הממונה, תוך שימוש באלגוריתמים עדכניים, הצביע על כך ששיעור הדיוק של השוואות1:1 על גבי תמונות באיכות מופחתת דומה לשיעור הדיוק של תמונות .לא מופחתות 3.1.7 . .גם רשות האוכלוסין קיימה ניסוי דומה והגיעה למסקנות דומות 3.1.8 . לפיכך, לא ניתן לומר כי כיום תמונות הפנים המופחתות השמורות ברשות האוכלוסין בהתאם לסעיף27 לחוק "לא יוכלו לשמש, באופן מעשי, לצורך זיהוי או אימות זהותו של ."אדם באופן ממוחשב 3.1.9 . ,לאור תוצאות אלו אין אלא לקבוע כי במצב הנוכחי תמונות פנים באיכות פחותה "השמורות במערכות רשות האוכלוסין מהוות "אמצעי זיהוי ביומטריים ומאגר ביומטרי ,לכל דבר ועניין .ואינן עומדות בדרישות החוק 3.1.10 . 'בתגובה לדו"ח פיקוח מס9 , בחודש ינואר2020 , השיבה הרשות כי היא בוחנת4 חלופות לטיפול בנושא זה, וכי עבודה המטה צפויה להימשך מספר חודשים. מאז, טרם דיווחה .הרשות על התקדמות בנושא זה 3.1.11 . אין מחלוקת על כך שכיום התמונות אינן מופחתות, ו על רשות האוכלוסין לגבש ולממש ב אופן מידי .פתרון העומד בדרישות החוק או לפעול לשינוי החוק 3.1.12 . מצב בו פעילות רשות ממשלתית אינה עומדת בדרישות החקיקה לפרק זמן ממושך אינו .סביר, ויש להסדירו 3.2 . שיעורי שגיאה גבוהים ב השווא ת טביעת אצבע מול תעודה 3.2.1 . נושא שיעורי השגיאה ב ה שוואה של טביעות אצבע של אדם מול תעודתו עלה בדו"חות פיקוח ( קודמים מ דו"ח פיקוח5 אוקטובר2016 )ואילך, בהתייחס להשוואות של טביעות אצבע המבוצעות על ידי ה)משטרה (ניידות ותחנות משטרה ובמעברי ה .גבול 3.2.2 . בדו"ח פיקוח9 צוין כי ממצאים נוספים שהתקבלו מרשות האוכלוסין מצביעים כי יתכן ו קיימת בפרויקט בעיה רוחבית של שיעור גבוה של שגיאות באימות זהות של אדם מול תעודתו ( 1:1 )(ממצאים אלה התבססו על בדיק ות שנערכ ו בלשכות רשות האוכלוסין בהשוואה מול תעודת הזהות) . 3.2.3 . צנו למה כי תבוצע ברשות האוכלוסין עבודת מטה (תפעולית, טכנולוגית, משפטית) על מנת לוודא שאימות טביעת אצבע מול תיעוד , בכל המקומות בהן השוואות אלו מבוצעות על פי החוק, יתבצע תוך שמירה על שיעורי שגיאה סבירים כמקובל. 3.2.4 . בחודש ינואר2020 דיווחה רשות האוכלוסין כי מתבצעת.עבודת מטה בנושא זה עד כה טרם התקבל לו"ז ל סיום עבודת המטה כאמור , ולא הוצגו יעדי הרשות בהקשר זה. 3.2.5 . ניתוח נתונים כמותיים שביצעה הרשות מעלה תוצאות המשקפות מצב טוב יותר בלשכות מהתוצאות ,אותן הציגה הרשות בעבר .עליהן התבססה הערת הממונה בדו"ח הקודם 3.2.6 . אולם גם בעת הזו, לאחר עבודת ניתוח הנתונים הכמותיים שבוצעה ברשות והוצג ה ,ליחידה לא ניתן לקבוע כי השוואת ט"א של אדם אל מול תעודתו עומדת באיכות הראויה. שכן נדרשת העמקה נוספת ב ניתוח הנתונים הכמותיים כאמור, וכן קיימים ממצאים נוספים שנצפו ב סיורים שקיימנו בלשכות, ונתונים שקיבלנו המ מ שטרה ו ממינהל מעברי גבול שאינם עומדים ברף הנדרש . 3.2.7 . הממונה העביר את עמדתו לרשות לפיה נ דרשת עבוד ה נוספת שתיישב בין הנתונים. פירוט .נוסף מופיע גם בנספח המסווג המצורף לדוח זה 3.2.8 . הנכונות של הרשות להתמודד עם הממצאים ולפעול לשיפור המצב, מקדמת מציאות בה תוכל המדינה לשפר את יכולת השימוש הביומטרי בתעודה , ולממש את החזון שהוגדר ביציאה ל דרך. 3.2.9 . רשות האוכלוסין העבירה התייחסות לטיוטת הדו"ח ובעקבותיה עודכן נוסח סעיף זה. 3.3 . הרכשת ט"א מתושבים מעל גיל65 : 3.3.1 . תופעה מוכרת בתחום הביומטריה היא ש איכות טביעות אצבע של מבוגרים מעל גיל65 פחותה מאיכות הטביעות של .צעירים כך עלה מהדו"ח המסכם לתקופת המבחן של TLP: White | בלמ״ס 7 היחידה להזדהות וליישומים ביומטריים הלמ"ס6 ו כך גם התרשם צוות הפיקוח בסיור ים שקיים בלשכות רשות האוכלוסין- תהליך ההרכשה של המבוגרים לוקח זמן רב ומסתיים במקרים רבים באישור מנהל (שזו )הפרוצדורה כאשר איכות ט"א הניטלות מן האזרח אינה עומדת ברמת האיכות הנדרשת . הת הליך המבוצע היום ברשות האוכלוסין לא לוקח עובדה זו בחשבון , כלומר, אינו מבדיל בין אזרח שגילו מבוגר מ- 65 ,לאזרח צעיר יותר ו לכן מחייב את הפקיד לבצע ניסיונו ת הרכש ה חוזר ים ומרוב ים לטביעות אצבע (עשוי להגיע עד36 .)ניסיונות תהליך זה לוקח זמן רב ואינו מניב הרכשה.איכותית 3.3.2 . הממונה ציין זאת בפני לרשות האוכלוסין במסגרת עבודת המטה בנושא איכות טביעות ( האצבע סעיף2 3. לע.)יל 3.3.3 . מעבר לבעיית האיכות ולעמידה בתקןISO כאמור בתקנה5 7 (וההשפעה שיש בכך לתוצאות ההשוואה מול התיעוד ומול המאגר), יש בכך גם פגיעה שלא לצורך בתושבים מבוגרים , אף כי תקנה8 8 .מאפשרת התחשבות בנסיבות אלה :התייחסות רשות האוכלוסין "בניגוד לעמדת הממונה, עמדת הרשות היא כי על ידי הנחישות להרכשה של מבוגרים מעל גיל65 הרשות דווקא מיטיבה עם אוכלוסייה זו. ההסבר לכך נעוץ בעובדה כי במידה והרשות לא תתעקש לבצע הרכשה לאוכלוסייה מבוגרת, התוצאה תהיה מתן תיעוד ל-5 שנים. מה שיוביל את האזרח המבוגר להגעה ללשכת רשות האוכלוסין כל 5 שנים ולא כל10 שנים כפי שמתאפשר במידה ונלקחות ט.א. אך טבעי, כי יחידת הממונה מסכימה כי הגעה ללשכות רשות האוכלוסין לאוכלוסייה מבוגרת משמעותה טרחה,וסיטואציה שעדיף להימנע ממנה (בזבוז זמן הגעה, המתנה בתורים הסתייעו ת במלווה, תשלום אגרה נוספת, סכנה בריאותית"וכיו ב '.) נוסיף שבסעיף6 3.5. הממונה מציין בעצמו כי התייצבות בלשכה משמעותה פגיעה בשירותיות ועלויות כספיות למדינה. ולכן בראייתנו הנחישות דווקא מיטיבה עם האוכלוסיי ה המבוגרת ולא .מריעה את מצבם" 3.3.4 . יחידת הממונה סבורה שיש מקום ל בצע עבודת מטה ש תבחן לעומק ו ית תן מענה לקשיי .ההרכשה של טביעות אצבע למבוגרים במסגרת עבודה זו יש לבדוק גם את היבטי החוק , לרבות משך תוקף התיעוד של מבוגרים אשר טביעות האצבע שלהם אינן מורכשות. 3.3.5 . מתן מענה נכון להרכשת טביעות האצבע של מבוגרים עשוי לצמצם במידת מה את שיעורי השגיאה ,בגילאים אלה כמפורט בסעיף2 3. .לעיל 3.3.6 . .רשות האוכלוסין העבירה התייחסות לטיוטת הדו"ח ובעקבותיה עודכן נוסח סעיף זה 3.4 . נוהל החשדה 3.4.1 . החשדה פירושה אי- התאמה בין אמצעים או נתונים ביומטריים שהועברו לרשות המאגר לבין המידע השמור במאגר. סעיף13(ד) בתקנות9 מפרט את הפעולות שעל עובדי הרשויות .לבצע במידה והתגלתה החשדה 3.4.2 . אי התאמה שכזו הינה למעשה החשדה של בעל הנתונים הביומטריים הנבדקים. ההחשדה יכולה שתקרה במספר,תרחישים ,למשל כש הביומטריה של הת ושב אינה זהה לביומטריה ה קודמת שנתן אותו תושב, או ש הביומטריה שנתן תושב א' זהה לביומטריה שנתן תושב .'ב 3.4.3 . תהליך בדיקת ההחשדה מתחיל למעשה ברשות המאגר כאשר המערכת הממוחשבת מתריעה עליה ובוחן אנושי מאמת את תוצאות הבדיקה. מכיוון ש ,על פי החוק הנתונים הביוגרפיים של התושב נמצאים רק ברשות האוכלוסין, אזי התהליך ממשיך ברשות 6 "יישום החוק הביומטרי: דוח תקופתי חמישי לתקופה: 1 יולי עד31 אוקטובר2015 ודוח מסכם שני לממצאי המדידה והערכה בתקופת המבחן" ( למ"ס דצמבר2015 ;) פרק4 תהליך ההרכשה, פרק5 השוואות ביומטריות בלשכות ופרק 7 נתונים הנוגעים לביקורת גבולות 7 איכות אמצעי הזיהוי הביומטריים 8 אופן נטילת אמצעים ביומטריים מתושבים קשישים או מבעלי מוגבלות 9 תקנ ות הכללת אמצעי זיהוי ביומטריים ונתוני זיהוי ביומטריים במסמכי זיהוי ובמאגר מידע, התשע"א- 2011 TLP: White | בלמ״ס 8 היחידה להזדהות וליישומים ביומטריים האוכלוסין המקבלת מהמאגר ,את ההתרעה רצ עו ת את הנפקת ה תיעוד לתושב ומבררת האם אין כאן שגיאת הרכשה בלשכה או בעיה אחרת ובמידת הצורך מזמנת את התושב .להרכשה חוזרת במידה והחשד נשאר, מתלונן נציג לשכת רשות האוכל וסין שבה בוצעה ההרכשה החשודה ,במשטרה החוקרת על פי חוק, האם יש חשד לעבירה פלילית בגין התחזות או הרכשה כפולה. 3.4.4 . נמסר כי לכל גוף בתהליך )(רשות המאגר, רשות האוכלוסין והמשטרה יש נוהל המגדיר את .הפעולות הנדרשות בקרות אירוע החשדה 3.4.5 . דו"ח9 קבע שיש לוודא שהנהלים העדכניים של נוהל החשדה ברשות האוכלוסין, ברשות לניהול המאגר הביומטרי ובמשטרה מתואמים ומתוכללים.קצה לקצה 3.4.6 . בתקופת הדו"ח הנוכחי הוצג ו תוצרי עבודת המטה שהובילה רשות האוכלוסין לתכלול נוהל .החשדה "קצה לקצה" בין הגופים 3.4.7 . הממונה ביקש מהרשות השלמה על מנת לוודא שהתמונה הכוללת של תופעות ניסיונות ההתחזות וזיוף התיעוד מועברת מדרגי השטח ומובאת במלואה לדרגי המטה ולמקבלי .ההחלטות ,הרשות טרם העבירה השלמות כאמור. כמו כן הממונה ביקש מרשות האוכלוסין מספר השלמות המתמקדות בדיווח ומעקב אח רי ניסיונות התחזות על מנת לוודא שכל המקרים מטופלים ואינם נסגרים על ידי המשטרה ""מחוסר ענין לציבור . 3.4.8 . ,כך לדוגמא בעת כתיבת דו"ח זה העבירה הרשות דוגמא ל הודע ה ממשטרת ישראל על החלטתה של א לחקור תלונה ספציפית של ניסיון זיוף מסמך ביומטרי. 3.4.9 . תגובת המשטרה מלמדת שנושא הטיפול בהחשדות בפרויקט הביומטרי עדיין טעון שיפור וכי הטיפול נעשה בצורה המטפלת בכל מקרה בנפרד ולא ב כלל המקרים כ .שלם אנו סבורים שיש לעדכן את הנוהל באופן שכל התלונות ירוכזו ע"י גורם אחד ברשות האוכלוסין שיעביר את המקרים ליחידה משטרתית אחת ולא בתחנות משטרה רבות . באופן זה, הן הרשות והן המשטרה, יראו את התמונה הכוללת ויוכלו לטפל בהתאם , ולקיים בקרה על כך. 3.4.10 . ,בנוסף בתקופת דו"ח זה התפרסמו בתקשורת אירועים הכרוכים ככל הנראה בניסיונות זיוף של תיעוד ושל ניסיונות להשגת תיעוד.אותנטי במרמה 3.4.11 . הממונה פנה ל סמפכ"ל משטרת ישראל על מנת לוודא שרשויות האכיפה חוקרות אירועים כאלה ו פועלו ת באופן אקטיבי ויזום לאיתור הגורמים המספקים שירותים ה אל כ. טרם .התקבלה התייחסות של משטרת ישראל 3.4.12 . רשות האוכלוסין העבירה התייחסות לטיוטת הדו"ח ובעקבותיה עודכן נוסח סעיף זה. 3.5 . ממצאים הנוגעים להנפקת תיעוד 3.5.1 . ה גלמים של תעודות הזהות (תעודות זהות ללא שיוך ונתונים) יוצרו עד שנת2012 , עוד לפני .שהחלה תקופת המבחן 3.5.2 . תקופת האחריות( של היצרן לגלמים7 שנים) היא נתון המשק ף את התחזית ל עמידת הגלמים .באיכות הנדרשת בעת הזו אין אחריות יצרן על התיעוד (שבידי התושבי ם .)ושבמחסני מפעל ההנפקה 3.5.3 . תעודות המונפקות היום צפויות להיות בידי אזרחים עד שנת2030 - 18 .שנים מיום ייצורן 3.5.4 . מהדיון עם מפעל ההנפקה של תעודות הזהות עולה כי ככל שמתרחקים ממועד יצירת ( הגלמים2012 ) עולה ההסתברות שתעודות המונפקות היום לא יחזיקו מעמד לכל תקופת התוק ף של התעודה( 10 )שנים במידה ותושב הסכים לשמור את טביעות אצבעותיו במאגר. 3.5.5 . בדיון הנ"ל תיאר מפעל ההנפקה פעולות שהוא יזם שתכליתן הארכת "תוחלת החיים" של .הגלמים .סיכום הדיון הנ"ל הועבר לרשות האוכלוסין בסיכום, ביקש הממונה מסמכים בנדון שטרם התקבלו. 3.5.6 . בלאי של התיעוד יכול שיבוא לידי ביטוי בהפרדות השכבות של התעודה , בנפילת השבב מהתעודה וכד'. במקרים אלו על התושב יהיה להתייצב בלשכת רשות האוכלוסין ולבצע הרכשה מחדש. לתהליך זה יש בראש ובראשונה פגיעה בשירותיות לתושב ומלבד זה .משמעויות כספיות ותפעוליות למדינה TLP: White | בלמ״ס 9 היחידה להזדהות וליישומים ביומטריים 3.5.7 . נוכח החשש שתיעוד ,הנמצא בידי אזרחים יהיה פגום ראוי ש רשות האוכלוסין תבצע בדיקת מעבדה מקיפה של איכות התיעוד המיועד להנפקה לשם קביעת שמישותו. תוצאות עבודת מחקר זה אמור ות להנחות את הרשות בתכנון ההצטיידות במלאים חדשים וכן .להשליך על תהליך הכנת גלמים בעתיד 3.5.8 . התייחסות הרשות: "ה רשות בתהליך תכנון הצטיידות מקיף של התיעוד הביומטרי החדש בשיתוף פעולה מלא עם יחידת הממונה. הלקחים שנלמדים מתהליך ההצטיידות הישן ו יי שמו בתהליך החדש." 3.6 . תעודות עם שבב של חברת אינפיניון 3.6.1 . תעודת הזהות הביומטרית מכילה שבב אלקטרוני ובו מידע ביומטרי ו .מידע דיגיטלי 3.6.2 . בעת הה י :ערכות להתנעת פרויקט התיעוד הלאומי נרכשו שבבים משתי חברות בינלאומיות סמסונג ואינפיניון. הסתבר כי לשבב אינפיניון נפח זיכרון קטן ביחס לשבב סמסונג . כתוצאה מנפח השבב הקטן קריאת המידע שעליו לוקח ת זמן ארוך משמעותית מקריאת .שבב סמסונג 3.6.3 . עובדה זו היתה ידועה לרשות ה אוכלוסין ולמפעל ההנפקה ב תחילת הפרויקט ועל כן רוב תעודות הזהות הונפקו .עם שבב סמסונג עד היום הונפקו רק כ- 400,000 תעודות זהות עם "שבב מסוג "אינפיניון, ו בנוסף קיימים כ350,000 גלמים עם שבב מסוג זה אשר טרם .הונפקו 3.6.4 . עד כה השימושים הביומטריים בתעודה הזהות לא היו רבים ולכן נושא זמן הקריאה של .תעודות המכילות את שבב אינפיניון לא עלה על הפרק אולם בעת הזו נעשית ברשות האוכלוסין ו במשרדי הממשלה פעילות רבה לצורך מימוש הזדהות ביומטרית ודיגיטלית באמצעות תעודת הזהות, .ונושא זה עלה 3.6.5 . בתרחישים מסוימים זמן הקריאה הארוך עלול ל עו מנ שימוש בהשוואה ביומטרית מול תעודת הזהות, ו עלול לא ל .אפשר את מימוש אחת המטרות בגינן מיוצר התיעוד 3.6.6 . לאור זאת ,הורתה רשות האוכלוסין למפעל ההנפקה להפסיק להנפיק תעודות המכילות את שלב אינפיניון . 3.6.7 . רשות האוכלוסין העבירה התייחסות לטיוטת הדו"ח ובעקבותיה עודכן נוסח.סעיף זה 3.7 . נפילת שבב 3.7.1 . ב לשכות למדנו על שכיחות הולכת וגוברת של נפילת השבב מתעודות הזהות ועל "מאבדים סדרתיים" של ה תיעוד . התברר לנו שבמערכת עליה מתבצעת העבודה בלשכות, חסרים שדות לדיווח הסיבה להחלפת התעודה, כך שעובדי המטה האחראים על איסוף המידע מהלשכות אינם מודעים ל היקף ול שכיחות של תופעו ת אלה .ומהותן 3.7.2 . מומלץ שרשות האוכלוסין תגבש שיטה להעלאת נושאים כגון זה, "מהשטח" לרמת המטה ו.ההנהלה, לצורך קבלת החלטות ניהוליות מושכלות 3.8 . גוון עור 3.8.1 . בלשכות מסוימות דווחנו על קשיים בהרכשת תמונות של תושבים בעלי גון עור כהה. יתכן כי הדבר קשור בהגדרות התוכנה באמצעותה מתבצעת ההרכשה10 . 3.8.2 . התקבלה התייחסות רשות האוכלוסין ובה תיאור הפעולות שעשתה על מנת להתמודד עם .התופעה 3.8.3 . מומלץ שרשות האוכלוסין ת משיך לל מו ד סוגי ה זו במטרה לת ת לה מענה אופטימאלי. 3.9 . סיורים באתרי רשות האוכלוסין 3.9.1 . כחלק מפעולות הפיקוח, ביצעה יחידת הממונה סיורים גלויים וסמויים באתרי רשות האוכלוסין , הממצאים המפורטים לעיל מסתמכים בין היתר על סיורים אלו : 10 הקושי האמור מוכר גם בספרות העולמית בנושא, ר' לדוגמא דו"חNIST FRVT . TLP: White | בלמ״ס 10 היחידה להזדהות וליישומים ביומטריים בתקופת דו"ח8 : 3.9.1.1 . בשדה תעופה רמון- .התקיים סיור בשדה, קודם הפעלתו 3.9.1.2 . .סיור בלשכת רשות האוכלוסין עכו 3.9.1.3 . .סיור בלשכת רשות האוכלוסין ברחובות 3.9.1.4 . .סיור בלשכת רשות האוכלוסין במזרח ירושלים 3.9.1.5 . .ביקורת סמויה בלשכת רשות האוכלוסין בתל אביב 3.9.1.6 . .ביקורת סמויה בלשכת רשות האוכלוסין באשקלון בתקופת דו"ח9 : 3.9.1.7 . .סיור סמוי בשדה תעופה בן גוריון 3.9.1.8 . .סיור בלשכת רשות האוכלוסין אשדוד 3.9.1.9 . סיור במעבר.גבול נהר הירדן 3.9.1.10 . סיור בלשכת רשות האוכלוסין רמלה- .לוד 3.9.1.11 . .)סיור בלשכת רשות האוכלוסין בדרום תל אביב (סלמה בתקופת דו"ח10 )(תקופת הקורונה: 3.9.1.12 . .סיור בלשכת רשות האוכלוסין כפר סבא 3.9.1.13 . דיון מקוון עם מפעל הנפקת הדרכונים )(סיור לא התאפשר בשל מגבלות הקורונה. 3.9.1.14 . דיון מקוון עם מפעל הנפקת תעודות זהות )(סיור לא התאפשר בשל מגבלות הקורונה. 3.9.2 . מטרת הסיורים הינה לוודא שהעבודה בלשכות, במעברי הגבול ובמפעלי ההנפקה מתבצעת .בהתאם להוראות החוק 3.9.3 . סיורים בלשכות 3.9.3.1 . בבחירת הלשכות שנבדקו, בכל תקופת דו"ח, נבחרו לשכות עם מאפיינים ייחודיים. לדוגמה, לשכות הנותנות מענה לערים גדולות, לשכות הנותנות מענה לקבוצות .'מיעוטים באוכלוסייה, לשכות הנותנות שירות בפריפריה וכד 3.9.3.2 . הסיורים הגלויים כללו הצגת הפעילות בלשכות ע"י מנהלי הלשכות, בדגש על ה תיעוד הביומטרי, מאפיינים מיוחדים ללשכה, המלצות לשיפור התהליך, אירועים מי וחדים 'וכד, .ולאחר מכן, צפייה בתהליכי העבודה וקבלת הקהל בלשכה 3.9.4 . סיכום הסיורים– יחידת הממונה התרשמה כי ככלל התנהלות העבודה בלשכות ובאתרי ההנפקה תואמת את הוראות החוק, ורואה לנכון לציין לטובה את מיומנות הפקידים והגמישות של מנהלי הלשכות בפתרון בעיות שוטפות במט רה לספק שירות אופטימלי .לאזרחים 3.9.5 . בנמל התעופה בן גוריון נמצאו מספר פערים, המפורטים להלן (סעיפים4.4 ו- 4.5 ). הרשות לניהול המאגר הביומטרי 3.10 . כיול מערכת ההשוואה הביומטרית 3.10.1 . מערכת ההשוואה הביומטרית מהווה את הליבה.של המאגר הביומטרי באמצעות ה מתקבלת ההחלטה האם ההשוואה הביומטרית תקינה, וניתן להתקדם להנפקת תיעוד עבור התושב, או שאינה תקינה ו בקשת התושב לתיעוד תדחה ותפתח בדיקה , ואף יתכן .שהחשדה 3.10.2 . בדו"חות קודמים בדקה היחידה את נהלי הכיול של רשות המאגר ומצאה אותם מספקים (ראה סעיף4.7 )להלן. 3.10.3 . בתקופת דו"ח זה למדה היחידה את נושא תדירות.כיול המערכת המבצעית של הרשות 3.10.4 . הכיול הקודם בוצע בעת בחינת הקבלה ,של מערכת ההשוואה במחצית השנייה של שנת 2018 . 3.10.5 . קצב גידול המאגר הוא כ- 1.2 מיליון רשומות לשנה. 3.10.6 . אנו סבורים שיש לכייל את המאגר באופן עיתי ולקחת בחשבון גידול כה משמעותי בתכולת .המאגר TLP: White | בלמ״ס 11 היחידה להזדהות וליישומים ביומטריים 3.10.7 . על פי תכנית העבודה שמסרה הרשות , כיול מערכת ההשוואה היה אמור להסתיים עד חודש יוני2020 . 3.10.8 . הרשות דיווחה כי כיול מערכת ההשוואה טרם בוצע, בין היתר בשל תיעדוף משימות (ובין השאר גם משימות שהממונה הטיל על יה) .וקשיים הנובעים מהעבודה בתקופת הקורונה 3.10.9 . הממונה סבור כי על הרשות להשלים את כיול המערכת בהקדם האפשרי , כפי שגם התחייבה בתוכנית העבודה השנתית. 3.11 . היערכות לפקיעת הוראת שעה 3.11.1 . כאמור בסעיף1.2 לעיל, הוראת הקבע של החוק קובעת כי המאגר הביומטרי יתבסס על תמונות פנים בלבד, כאשר הוראת שעה שתוקפה ל-5 שנים קובעת כי ניתן בתנאים מסוימים להכליל את טביעות האצבע.במאגר הוראת שעה זו החלה במחצית שנת2017 והיא מסתיימת במחצית שנת2022. פרק זמן זה היה אמור לאפשר, בין היתר, את היערכות רשות המאגר לשינוי תצורת עבודתה והתב ס.סות על מאגר תמונות פנים בלבד 3.11.2 . נושא הוראת השעה וחוות הדעת של ראש מערך הסייבר בנוגע לקיומם של אמצעים טכנולוגיים שיש בהם כדי לתת מענה במידה נאותה, לזיהוי ואימות זהות של תושב, לצורך קבלת תוצאות זיהוי על בסיס מאגר של תמונות פנים בלבד לתקופה של10 שנים, נסקרה בסעיף1.2.2 לעיל ובנספח לדו"ח זה. 3.11.3 . בדו"ח 'פיקוח מס9 צוין ש הממונה ביקש מרשות המאגר להציג לו כיצד הרשות נערכת ל פקיעת הוראת השעה בשנת2022 . 3.11.4 . בדיון פיקוח עם רשות המאגר תיארה רשות המאגר "אבני דרך" של תכנית היערכות למאגר ביומטרי מבוסס תמונות פנים בלבד. תאריך היעד שתיארה הרשות ל עדכון של מערכת ההשווא ה הנוכחית הינו רק בשנת2024 . מועד זה מאוחר בשנתיים מ לוחות הזמנים של הוראת השעה , ואינו נותן מענה להוראות החקיקה. ,ללא היערכות מתאימה כעת יידרש שר הפנים להאריך את הוראת השעה, והכנסת תאלץ להיעתר לבקשה זו גם אם מצאה שאין צורך בכך מבחינה אובייקטיבית . 3.11.5 . הממונה סבור כי ה שיהוי המתואר בהיערכות הרשות, עלול לה ביא לכך ש הכנסת תידרש להאריך את הוראת השעה שלא לצורך. על הרשות לפעול באופן מידי להתאמת לוחות הזמנים להיערכות, למועד פקיעת הוראת השעה בתום5 שנים ,ב חודש מאי 2022 , באופן שיתיר לכנסת קבלת החלטה ללא אילוצים. 3.11.6 . בדיון מסרה הרשות כי היא מקיימת עבודת מטה לבחינת אופן ההיערכות הנדרש. הרשות דיווחה כי טיוטה של תכנית ההיערכות תוצג ליחידת הממונה במהלך חודש דצמבר2019 . 3.11.7 . בדיוני פיקוח במהלך שנת2020 .חזר הממונה וביקש להציג את תכנית ההערכות 3.11.8 . נכון למועד כתיבת דו"ח זה טרם הוצגה תכנית היערכות הרשות. היעדר תכנית כאמור מקטין .עד מאוד את הסבירות שהיערכות הרשות תושלם עד לתום תקופת הוראת השעה :התייחסות רשות המאגר " ,הנושא בעמ"ט התכנית תוצג ראשית לשר הפנים לאישורו ולאחר מכן תועבר .לעיון יח' הממונה" 3.12 . ניסוי לבדיקת אמצעים טכנולוגיים הנותנים מענה נאות להוראת השעה 3.12.1 . בהמלצתו הראשונה (בתום18 )חודש של ראש המערך, ביקש ראש המערך מרשות המאגר להתחיל בבדיקות על מנת לוודא שהאמצעים הנ"ל , שנמצאו מתאימים לפי ניסויים על ,אוכלוסיות מחו"ל אכן מתאימים גם למאגר התמונות הלאומי של תושבי ישראל ונותנים אכן מענה נ א.ות לדרישות החוק 3.12.2 . בהמלצתו השנייה סבר ר' המערך כי יש בנמצא אלגוריתמיקה מפותחת ובשלה לזיהוי פנים ,שיש בה להוות מענה נאות לזיהוי ואימות זהות של תושב לצורך קבלת תוצאת זיהוי לפי סעיף14 לחוק העיקרי, על בסיס מאגר של תמונות פנים בלבד. 3.12.3 . הרשות לניהול המאגר דיווחה כי בכוונתה לבצע ניסוי על גבי אלגוריתם זה, ור' המערך .ביקש מהרשות להציג ולעדכן את הממונה בתהליך העבודה ובמהלך הניסוי עצמו TLP: White | בלמ״ס 12 היחידה להזדהות וליישומים ביומטריים 3.12.4 . בימים אלו, לאחר עיכובים ר( בים חלק מהעיכובים נבעו מסיבות הקשורות ל,התקשרויות חלק עקב ה )קורונה בוצע הניסוי ודו"ח הניסוי ותוצאותיו הועברו ליחידת המ מ.ונה 3.12.5 . הדו"ח נמצא בלמידה ותוצאותיו מלמדות שקיים אמצעי טכנולוגי המהווה" מענה נאות". 4. פערים מדו"חות קודמים – נושאים נוספים רשות האוכלוסין 4.1 . הכשרות עובדים ב לשכות 4.1.1 . בדו"ח8 הערנו על הצורך בריענון ה הכשרות לעובדים בלשכות. במענה שקיבלנו מרשות האוכלוסין ושאומת בסיור בלשכות, עובדי הלשכות עוברים הכשרה מקיפה עם תחילת עבודתם הכוללת גם את הנושאים המתחייבים מהחוק והתקנות הביומטריים. אחת לשנתיים מתקיים ריענו ן וכל אימת שיש עדכון בהוראות, העובדים מתודרכים ב.עדכון 4.1.2 . פער זה נסגר .יחידת הממונה ת.משיך לעקוב אחר נושא זה בעתיד 4.2 . טופסי הסכמה בשפות 4.2.1 . בדו"ח8 הערנו שראוי שטופסי ההסכמה לשמירת טביעות האצבע במאגר י תורגמו לשפות השונות למרות שהתקנות לא מחיבות זאת (התקנות עוסקות בדפי הסבר ולא בטופסי )ההסכמה , על מנת לוודא שהתושב אכן מבין את הטופס עליו הוא חותם . 4.2.2 . בבירור שערכנו ושאומת בסיור בלשכות, טופס ההסכמה לשמירת טביעת האצבע במאגר אכן תורגם לשש שפות והפקידים בלשכות מתודרכים להחתים את התושבים על מסמך בשפה אותה.התושב מבין 4.2.3 . .פער זה נסגר 4.3 . אימות ביומטרי בלשכות 4.3.1 . האימות הביומטרי בלשכות בעת קבלת שירות נעשה רק באמצעות השוואת טביעות אצבע אל מול תעודת הזהות. אין בלשכות אפשר ות לבצע השוואה אל מול תמונת פנים או אל מול ה דרכון ה ביומטרי. 4.3.2 . בדו"ח ות קוד מי ם הערנו שנכון להיערך לביצוע הליך האימות באמצעות השוואה ביומטרית ( מבוססת הן טביעות אצבע והן תמונות פנים1:1 ), כחלופות, בעת חידוש תיעוד ביומטרי על פי תקנה4 ., ובעת מתן שירות בלשכות 4.3.3 . רשות האוכלוסין טרם נתנה מענה .לנושא זה 4.3.4 . אנו סבורים שעם הגידול המשמעותי של מס ,פר המצטרפים לפרויקט ולנוכח שיעור השגיאות הגבוה יחסית בהשוואות טביעות אצבע (ראה סעיף2 3. ,)לעיל הגדלת האופציות לאימות זהות בלשכה תאפשר זיהוי אמין יותר לצד מתן שירות טוב יותר ועל כן אנו סבורים .שיש לקדם נושא זה 4.4 . נוהל המתייחס להצבת בקר אנושי במתחם עמדות המעבר הביומטריות 4.4.1 . בדו"ח ות קוד מי ם הערנו ש בביקורים במעבר הגבול שבשדה התעופה נתב"ג, נתקל צוות הפיקוח במקרים בהם עמדות המעבר הביומטרי באמצעות הדרכון הביומטרי אינן מלוות על ידי בקר אנושי בהיקף הנדרש, לצורך הפעלה ברמה נאותה . 4.4.2 . תקניFRONTEX 11 מתייחסים לנושא זה, וקובעים את היחס המומלץ בין המערכות האוטומטיות להצבת בקרים אנושיים לצידן12 . 4.4.3 . ביקשנו להציג בפנינו את הנוהל אולם ה רשות ל ביקו ר ת גבולות שברשות האוכלוסין מסרה שנושא זה אינו ,בסמכות הממונה והנוהל לא יוצג. 4.4.4 . הממונה סבור כי נושא זה מצוי תחת סמכותו ואף הסביר זאת לרשות. 11 FRONTEX - European Border and Coast Guard Agency 12 Best Practice Operational Guidelines for Automated Border Control (ABC) Systems - 3.7.1.3 סעיף . TLP: White | בלמ״ס 13 היחידה להזדהות וליישומים ביומטריים 4.4.5 . .פער זה טרם נסגר 4.5 . עמדות ביומטריות לדרכונים לא ביומטריים 4.5.1 . מנכ"ל רשות האוכלוסין הורה שהבדיקות הביומטריות אל מול הדרכון הלא ביומטרי .ישמשו כמערכות תומכות החלטה של בקר הגבול ולא כמערכות הפועלות באופן עצמאי 4.5.2 . הממונה סבור שהשימוש בעמדות ביומטריות עבור דרכונים לא ביומטריים בתקופת המעבר עד שהדרכון הביומטרי יהיה בידי רוב מוחלט של העוברים במעברי הגבול, הוא סביר. יחד עם זאת , אין לאפשר שימוש במערכת זו ללא בקרה אנושית . 4.5.3 . בנושא זה התייחסה רשות האוכלוסין ש הנהלים מול בקרי הגבול חודדו וביקורות לאכיפת הנהלים יבוצעו. 4.5.4 . ,לאורך התקופה סיורים גלויים וסמויים בנתב"ג הראו שנהלים אלו אינם נשמרים בהרבה מקרים . 4.5.5 . פער זה טרם נסגר 4.6 . דרכונים בחו"ל 4.6.1 . בדו"חות קודמים הערנו ש.יש לפעול להנפקת דרכונים ביומטריים בחו"ל 4.6.2 . פער זה טרם נסגר. הרשות לניהול המאגר הביומטרי 4.7 . נהלי עבודה ברשות 4.7.1 . בדוח9 נכתב ש.יחידת הממונה בוחנת באופן עיתי את מסמכי המדיניות של הרשות 4.7.2 . בתקופת דו"ח זה ביקשה היחידה להכיר שני נהלים העוסקים בתפעול וכיול המערכת .המבצעית של הרשות 4.7.3 . .הנהלים הועברו, נלמדו על ידי היחידה ונמצאו מספקים 4.8 . נושאים בתכנית העבודה של הרשות הנוגעים לפיקוח ולמימוש הוראות החוק 4.8.1 . בדו"חות קודמים נכתב ש הרשות התבקשה להעביר לממונה נושאים מתוך תכנית העבודה לשנת2019 הנוגעים לנושאי הפיקוח ולמימוש הוראות החקיקה. 4.8.2 . יחידת הממונה ביקשה שלקראת שנת העבודה2020 תציג הרשות תכנית עבודה שנתית .מפורטת בנושא הביומטרי 4.8.3 . תכנית העבודה לשנת2020 .הוצגה באופן ראוי 4.8.4 . .פער זה נסגר 4.9 . עובדים ברשות לניהול המאגר הביומטרי שאינם עובדי מדינה 4.9.1 . בסעיף11 (ג) לחוק נאמר שעובדי הרשות יהיו עובדי מדינה ואילו סעיף13 לחוק, העוסק במורשי הגישה למערכות המאגר הביומטרי, קובע כי עשויים להיות בעלי הרשאה שלא יהיו ."עובדי מדינה ובלבד שיהיו אלה "בעלי תפקידים חיוניים 4.9.2 . נושא העסקת עובדים ברשות המאגר נדון בהרחבה בדוחות7 ו-8. 4.9.3 . ,בעת הזאת כל עובדי המאגר הינם עובדי מדינה למעט שלשה עובדים המועסקים בהתאם .להסכם חשכ"ל כל מורשי הגישה הינם עובדי מדינה למעט אחד שהינו עוב יב ד ת ת ו .כנה 4.9.4 . .נעשה מאמץ להמיר את התקן לתקן עובד מדינה 4.9.5 . יחידת הממונה ממשיכה במעקב אחר נושא זה. TLP: White | בלמ״ס 14 היחידה להזדהות וליישומים ביומטריים משטרת ישראל 4.10 . ממשק לביצוע שאילתות בין המשטרה ורשות המאגר :בדו"חות קודמים דיווחנו כי 4.10.1 . קבלת מידע מרשות המאגר ע" י המשטרה דורשת בניית ממשק לביצוע שאילתות בהתאם לסעיפים16-20 לחוק. 4.10.2 . ממשק זה טרם נכתב ונכון להיום, ישנה רק דרישה מבצעית(להלן :דמ"צ ) ואף היא גובשה ע"י המשטרה רק בדצמבר2018 . 4.10.3 . הנושא נמצא בהליך עבודה מול רשות המאגר ומשרד הפנים , ולשם מימושו יש צורך באישור תקנות בכנסת. 4.10.4 . נוכח הבעיה באיכות השוואת טביעות אצבע מול תיעוד בניידו ת במשטרה כמתואר לעיל ( סעיף3.2 ,) יש לוודא שמימוש סמכות המשטרה על פי סעיפים16 - 20 לחוק לקבלת מידע מהמאגר לא יופעל כמנגנון מפצה לבעיה המתוארת. 4.10.5 . פער זה טרם נסגר. 5. נושאי אבטחת מידע 5.1 . ראש מערך הסייבר הלאומי קבע כי רמת ההגנה על המאגר הביומטרי עומדת בסטנדרט הנדרש והיא אף גבוהה מזו ה קיימ ב ת חלק מ מאגרי מידע אחרים,, בעלי סיווג דומה .במדינת ישראל 5.2 . סטטוס נכון ל יולי2020 : 5.2.1 . יצוין כי בתהליכים מסוימים של הפרויקט, מחוץ למאגר הביומטרי, קיימים פערי אבטחת מידע. 5.2.2 . נכון לכתיבת דו"ח זה, לא ידוע על חשש קונקרטי.להתממשות סיכון דליפה מהמאגר 5.3 . נושאי אבטחת מידע מסווגים ברמת סיווג "סודי" ומפורטים בנספח המסווג , המצורף לדוח זה. .נספח זה כולל גם חלק מהסוגיות המסווגות הנוגעות לפרטיות בפרויקט 6. :סיכום 6.1 . הגנת המידע במאגר הביומטרי הינה ברמה גבוהה מאוד. אין אינדיקציה לדליפת מידע מ.המאגר 6.2 . הרשויות נדרשות להשלים פערים ונושאים ש טרם נסגרו , המפורטים בדו"ח ובנספחו, תוך המשך שיפור, טיוב ושדרוג המערכות הממוחשבות ונהלי העבודה, והמשך הקפדה על רמה גבוהה של .שימוש בטכנולוגיות המתקדמות ביותר, אבטחת המידע והגנה על הפרטיות 6.3 . בנספח המסווג מצוינים מספר פערים אשר סגירתם נדרשת בהקדם האפשרי, על מנת להבטיח .את תקינות הפרויקט, ואבטחתו TLP: White | בלמ״ס 15 היחידה להזדהות וליישומים ביומטריים נספח- עיקרי חוות דעת הממונה ועיקרי המלצת ראש מערך הסייבר הלאומי בנושא תכולת המאגר הביומטרי בהתאם להוראת השעה בחוק 1. הוראת סעיף2 (ב) בחוק, קובעת כי ראש מערך הסייבר הלאומי יבדוק האם קיימים אמצעים טכנולוגיים שיש בהם כדי לתת מענה במידה נאותה, לזיהוי ואימות זהות של תושב לצורך קבלת תוצאת זיהוי לפי סעיף 14 .ל"חוק הכללת אמצעי זיהוי" על בסיס מאגר של תמונות פנים בלבד, ויגיש את חוות דעתו לשר הפנים 2. על פי הוראה2 ()(ב2 ), טרם מתן חוות דעתו ישמע ראש המערך את עמדתם של ראש הרשות לניהול המאגר הביומטרי, .והממונה על היישומים הביומטריים 3. במהלך תקופת דו"ח זה, הממונה גיבש את עמדתו לפיה קיימים אמצעים טכנולוגיים שיש בהם כדי לתת מענה במידה נאותה, לזיהוי ואימות זהות של תושב לצורך קבלת תוצאת זיהוי לפ י סעיף14 לחוק, על .בסיס מאגר של תמונות פנים בלבד 4. להלן עיקרי חוות הדעת: 4.1 . על פי נתוני13 NIST , שיעור הדיוק של אלגוריתמים לזיהוי פנים קפצו פי100 בין השנים- 2010 2019 , כפי שבא לידי ביטוי בתוצאות הסבב השלישי שלFRVT ,. כלומר בעת כתיבת תורת ההפעלה לפרויקט התיעוד הלאומי החכם והגדרת הצרכים, בשנת2008 , עמדה בפני כותבי המסמך תמונת מצב טכנולוגית שונה בתכלית מזו הקיימת כיום, ועל כן הצורך לשלב טביעות .אצבע במאגר הביומטרי יחד עם תמונת פנים היה נכון לשעתו כיום , ההתפתחות הטכנולוגית המהיר.ה, כפי שתוארה לעיל, מאפשרת הישענות על תמונות פנים בלבד 4.2 . דו"ח הסבב השלישי של 14 FRVT שלNIST מ ציג שיפור נוסף מהתוצאות אשר הוצגו בסבב השני, ובחוות הדעת הראשונה. כך, ביצועי אלגוריתםNEC-2 , נותנים מענה מערכתי שלם למאגר לאומי מבוסס תמונות פנים בלבד ועומדים גם עבור הזדקנות של10 שנים, במדדי ביצוע גבוהים מאד. הדברים נכונים גם ביחס למדדים שנקבעו בזמנו בצו תקופת המבחן ואשר אינם בתוקף .עוד 4.3 . מבדיקה מעמיקה שביצענו, עולה כי היקף ניסיונות ההרכשה הכפולה בפרוייקט הינו נמוך מאוד באופן אבסולוטי וגם בקנה מידה לאומי. כמו כן, ב חלוף18 חודשים מכתיבת חוות הדעת .הראשונה, ניתן לומר כי אין שינוי מהותי בקצב ניסיונות ההרכשה הכפולה 4.4 . ,לאור האמור לעיל עם השלמת היערכות בת מספר חודשים על ידי ה רשות לניהול המאגר הביומטרי, ניתן יהיה לבטל את הוראת השעה ול התבסס על מאגר ביומטרי מבוסס תמונות פנים .בלבד לכן אין הצדקה להארכה של הוראת השעה מעבר ל- 5 ה שנים ,שהוגדרו בעת שחוקקה כאמור גם בחוות הדעת הקודמות בנושא. 5. לאחר שמיעת עמדת הממונה ועמדת ראש הרשות לניהול המאגר הביומטרי העביר ראש מערך הסייבר :את המלצתו לשר הפנים ועיקריה 5.1 . בעת הזו יש כבר בנמצא אלגוריתמיקה מפותחת ובשלה לזיהוי פנים שיש בה כדי ליתן מענה נאות לזיהוי ואימות זהות של תושב, לצורך קבלת תוצאת זיהוי לפי סעיף 14 לחוק ,על בסיס של מאגר תמונות פנים בלבד. 5.2 . המסקנה מבוססת על התוצאות שהוצגו על ידיNIST , וההבנה כי לא צפויים הבדלים דרמטיים ,בינן ובין התוצאות שיושגו בהטמעה נכונה ומושכלת במאגר הישראלי. התוצאות כה גבוהות .באופן שמעניק מרווח ביטחון מספק לצורך קבלת החלטה כאמור 5.3 . קיימת ציפייה כי מגמת השיפור ביכולות אלגוריתמיקה תימשך, וכי בתקופה הקרובה אלגוריתמים נוספים יציגו עליה משמע.ותית בשיעורי הדיוק 5.4 . המסקנה כי מדובר ב"מענה נאות" מבוססת על בדיקה שנעשתה מול מספר מדינות המנהלות פרויקטים לאומיים להנפקת תיעוד, הנשענים על מאגר ביומטרי מבוסס תמונות פנים, ובפרט על ניתוח נתוני אמת של היקף ניסיונות ההרכשה הכפולה שאותרו עד כה בפרוייקט, העומדים על .מספר נמוך מאוד בקנה מידה לאומי 13 The National Institute of Standards and Technology (NIST) - https://www.nist.gov/ 14 https://www.nist.gov/sites/default/files/documents/2019/09/11/nistir_8271_20190911.pdf