אין חובה לדווח על מאגר מידע שנפרץ. מדוע?

בזמן שהכנסת והתקשורת מצקצקות על חוק הלאום ומתווכחות האם יורד גשם בחוץ, נאלם בתקשורת השיח האחר, על דחיית הצעת חוק נוספת. הצעת החוק של אורי מקלב, משה גפני ויעקב אשר לחובת דיווח על פריצה למאגרי מידע נדחתה על-ידי ועדת שרים לענייני חקיקה. הצעת החוק פשוטה מאוד, וראוי לשים לה את תשומת הלב: כיום, אם חברה מסוימת, כגון לאומי קארד, מחזיקה מידע על אנשים, היא מחויבת בהנחיות מסוימות (נניח, הנחיות לשימוש במיקור חוץ במאגרי מידע), היא מחויבת במערך של בדיקות סבירות וגיבויים למידע, אבל היא אינה מחויבת לדווח לציבור כאשר מאגר המידע שלה נפרץ ומידע נגזל.

בעצם, מה שקורה היום הוא שרוב הפריצות למאגרי מידע לא מדווחות, והקורבן האמיתי, זה שמוחזק עליו המידע, כלל לא יודע שהמידע דלף ונעלם עד שהוא מגלה אותו ברשת או עד שנעשה שימוש לרעה במידע. הצעת החוק של אורי מקלב באה לטפל בבעיה ולחייב את בעלי המאגר לדווח למי שהמידע עליו שמור (בעל המידע) על הפריצה בתוך זמן סביר. בקליפורניה יש חקיקה דומה מאוד, והצעת חוק פדראלית נמצאת בצינורות. אבל, בסופו של דבר: האזרח הקטן לא יודע מתי דלף המידע.

מדוע כל כך חשוב לדעת שהמידע דלף לפני שעושים בו שימוש לרעה? ובכן, התשובה פשוטה. אם פרצו למאגר המידע של לאומי קארד, ולאחר הפריצה דיווחו לכל האזרחים, הרי שכולם יכולים לבטל את כרטיס האשראי ולמנוע מראש שימוש לרעה בכרטיס האשראי. אם פרצו לאתר המכיל מידע רפואי שלי, אני אוכל להתחיל לחפש את המידע בגוגל ולנסות לאתר מהם האתרים שמחזיקים אותו, כדי לשלוח בקשות משפטיות להסיר את המידע. אם מדובר בתמונות עירום שלי, או בחומרים שאני לא רוצה שיסתובבו, אוכל לפנות לבית המשפט לקבל צווי מניעה.

את כל זה אני לא אוכל לעשות לאחר שהמידע כבר מסתובב בצורה היסטרית ברשת וכולם משתפים אותו.

לכן, חשוב מאוד לקדם הצעת חוק כזו. הסיבה לדחיית הצעת החוק הזו לא תיוודע לעולם (הצבעות בוועדת שרים לענייני חקיקה חסויות), אבל מה שאפשר להניח הוא שכיוון שמפלגת יהדות התורה נמצאת באופוזיציה, הרי שהצעת החוק תידחה אוטומטית. הפתרון (התיאורטי) היה להוסיף חותם ממפלגת השלטון. אכן, זה לא פתרון ענייני וראוי. משה גפני, יו"ר ועדת המדע והטכנולוגיה בכנסת, הוא אחד מתומכי הפרטיות הטובים ביותר במושב הזה, ואם הוא חתום על הצעת החוק, והוא מי שיקדם את הצעת החוק, אז ראוי היה לגייס את התמיכה.

אז איך כן אפשר לקדם את חובת היידוע? יש עוד שתי דרכים קטנות. הראשונה היא באמצעות רמו"ט, הרשות למשפט, טכנולוגיה ומידע. רמו"ט יכולים להוציא הנחיה לגבי חובת יידוע, כפי שהוצע בתקנה 11 להצעת תקנות הגנת הפרטיות (אבטחת מידע) שטרם הגיעו לוועדה. גם שם, בהצעת התקנות, מדובר על חובת יידוע חסרה ורק במאגרים מסוג מסוים.

הדרך השנייה היא באמצעות דרישה אקטיבית. אותם אזרחים, שבכל מקרה לא אכפת להם מהפרטיות שלהם, יתחילו לדרוש זאת מבעלי המידע. אולי באמצעות שוק משוכלל נוכל להגיע לשם.