התנועה לזכויות דיגיטליות ליועץ המשפטי לממשלה: עצור את הפרטת האבטחה של המאגר הביומטרי

התנועה לזכויות דיגיטליות פנתה ליועץ המשפטי לממשלה בבקשה לעצור את הפרטת האבטחה של המאגר הביומטרי ולהחזיר את חוק הביומטריה אל הכנסת, במטרה לבצע בו שינויים שיאפשרו לאבטח אותו כראוי. זאת, בעקבות המכרז הפומבי שפורסם השבוע לבחירת חברה שתספק שירותי אבטחת מידע למאגר הביומטרי. על השירותים אותם דורשת הרשות הביומטרית מהחברה נמנים מבדקי חדירה אפליקטיביים ותשתיתיים, ייעוץ, הכוונה וסיוע בפיקוח על ספקים בנושאי אבטחת מידע וטיפול מעשי (Hands On) בנושאי סיסטם ותקשורת. יודגש, כי הדרישות הללו עומדות בניגוד לחוק המאגר הביומטרי, הקובע כי המאגר יהיה חסוי ולא תינתן אליו גישה למי שאינו עובד הרשות.

במכתב ששלח עו"ד יהונתן קלינגר, היועץ המשפטי של התנועה לזכויות דיגיטליות, נכתב כי "תנאי המכרז לאבטחת המאגר הביומטרי, אשר פורסמו בשבוע האחרון, עומדים בניגוד לחוק, ומאפשרים לחברה פרטית לבצע מבחני חדירה למאגר ובכך, למעשה, לפרוץ אותו. אחד מתפקידיו של היועץ החיצוני יהיה לבצע מבדקי חדירה אפליקטיביים למאגר, במסגרתם מומחה אבטחה ינסה בפועל לפרוץ לתוך המאגר הביומטרי. פעולה זו עשויה להוות עבירה פלילית, שדינה על פי החוק הוא מאסר של שבע שנים".

לדברי עו"ד קלינגר, "במקום לאבטח את המאגר על ידי הרשויות, בוחרת המדינה להפריט את הנושא הרגיש ביותר לכולנו – והוא אבטחת המידע הסודי של כל אחד ואחת מאזרחי ישראל. על פי מכרז שעומד להתפרסם בימים הקרובים, הרשות הביומטרית נותנת את המפתחות למידע לחברה פרטית, בניגוד לחוק, כאשר ברור לכולם שזוהי רק ההקדמה לדליפת המידע לגורמים עוינים".

על פי תנאי המכרז, טוען קלינגר, "ראש רשות המאגר הביומטרי יהיה חייב לבחור בחברה אשר תיכשל בתפקידה למצוא פרצות במאגר, שכן אחרת הוא יהיה אשם ברשלנות שדינה מאסר בפועל. כמו כן, במידה ואכן תצלח החדירה האפליקטיבית, הרי שמנהלי הרשות יהיו אחראים ברשלנות. משכך, עשוי אף ראש הרשות להימצא בניגוד עניינים, אשר יגרום לו לבחור את הקבלן אשר לא יצלח בחדירתו האפליקטיבית".

ממשרד הפנים, הממונה על הרשות הביומטרית, טרם נמסרה תגובה.

"הפיילוט יפגע באזרחי ישראל"
בתגובה לדברי סגנית השר פאינה קירשנבאום, כי המאגר הביומטרי יופעל בתוך שבועיים, מסרה פרופ' קרין נהון, האחראית על תחום המאגר הביומטרי בתנועה לזכויות דיגיטליות, כי "הפיילוט של המאגר הביומטרי יוצא לדרך בצורה לא מקצועית ופוגע באזרחי ישראל. קשה להאמין שהמאגר יופעל, כאשר אין עדיין תוכנה המשווה בין טביעות אצבע והמונעת זיופי תעודות זהות. הפעלה של המאגר הביומטרי בצורה הנוכחית היא תעלול יחצני במקרה הטוב, וניסוי מסוכן בבני אדם, במקרה הרע".

הרשות לניהול המאגר הביומטרי מסרה, כי היא "פועלת בהתאם לחקיקה שמגדירה בדיוק רב את ההנחיות הנוגעות לניהול ואבטחת המידע והפרטיות במערכות הרשות. מטרת מכרז זה היא לבצע מבדקי אבטחה וסקרי סיכונים מקצועיים ובלתי תלויים למערכות ולתהליכי העבודה ברשות, בנוסף לאלה המבוצעים על ידי עובדי הרשות והגורמים הרלוונטיים בשירות הביטחון. כל פעילות הנוגעת למערכות הרשות תבוצע אך ורק על ידי גורמים מסווגים בהתאם להנחיות החוק ובפיקוח מנהל אבטחת מידע ומנהל הגנת הפרטיות של הרשות".