דיני מחשבים בישראל הם כנראה הדינים המשתנים ביותר בעשור האחרון, המשמעותיים ביותר והמסובכים ביותר שידעה החקיקה, הכללת הזכות לפרטיות בתוכם היא בעיה גדולה עוד יותר. אחת הבעיות העיקריות לכך היא העובדה ש"דיני מחשבים" מורכב משתי מילים: "דיני" ו"מחשבים" ודומה שכל אחד מהם עובר מטאמורפוזה לא קטנה בשנים האחרונות. חקיקה טכנולוגית, אם ניתן לקרוא לזה כך, משתרעת היום החל מנושאי בנקאות ומסחר (הצעת חוק מסחר אלקטרוני), דרך טלפוניה (חוק התקשורת), זכויות יוצרים (חוק זכויות יוצרים), פרטיות (חוק הגנת הפרטיות), זכויות אדם (הצעת חוק סינון אתרים זצ"ל) ואל תוך המשפט הפלילי ודיני הראיות (הצעת החוק הביומטרי, חוק סדר הדין הפלילי (סמכויות אכיפה – נתוני תקשורת), הצעת חוק חיפוש סמוי).

במסע קצר, נוכל לראות את הקשר בין הדינים הטכנולוגים לאורך הזמן, ולהבין שלמרות המראה הרנדומאלי למחצה שלהם, יש הקשר אחד, והוא הטיפול במידע פרטי.

השאלה האמיתית היא האם דיני המידע והטכנולוגיה, להבדיל מהדין הפלילי, דורשים מטא-עורכי דין או שהם לא צריכים להלמד כדינים אינדיבידואליים. אם נקח את טענתו של השופט איסטרברוק, שהשווה את דיני המידע והטכנולוגיה לדיני סוסים (Lawrence Lessig, "The Law of the Horse: What Cyberlaw Might Teach, Frank H. Easterbrook, "Cyberlaw and the Law of the Horse") שהרי בעוד שסוסים משמשים להעברת סחורות, דומה שהכנסתם לעולם באותה העת לא שינתה את העולם כה מהר.

אולי אחת הבעיות הרציניות ביותר עם דיני המידע והטכנולוגיה היא האמורפיות של המושג; לחוקק חקיקה טכנולוגית זה כמו לנהל מירוץ משוכות לאורך 100 מטר על אסטרואיד שנע במהירות האור. בעוד שמצד אחד דרושים שינויים בחקיקה על מנת לאפשר לאזרחים לחתום על חוזים בצורה אלקטרונית מאובטחת, החתימה נעשית כבר שנים בצורה פחות פורמאלית על ידי הזמנות מאובטחות במייל. חוק התקשורת, לדוגמא, מחייב כל מי שמספק שירותי נקודת סיום רשת [נס"ר] להחזיק רשיון; דא עקא, שכיום כמעט כל בית קפה שמחזיק ראוטר אלחוטי מספק נס"ר. סעיף 29 לחוק התקשורת אוסר על "התערבות בשדר בזק", תחת אותה התערבות יכולה גם להכנס כל פעולה של מניפולציה או האצת תכנים.

בעצם השאלה הראשונה שצריך אדם לשאול את עצמו היא מדוע יש "חוק מחשבים"? חוק המחשבים שקיים משנת 1995 מגדיר מהו מחשב וקובע שורה של עבירות: שיבוש פעולה של מחשב (סעיף 2), יצירת מידע כוזב (סעיף 3), חדירה שלא כדין לחומר מחשב (סעיף 4, 5) ויצירת נגיפי מחשב (סעיף 6). לכאורה, אם יש לנו דין פלילי במדינה, אנחנו צריכים לשאול מדוע לא הוכנסו העבירות לדין הכללי. לצורך כך, אפשר לבחון היכן עוד יש מקרים ספציפיים של חוקים עם עבירות פליליות (כמו חוק הגנת הפרטיות לדוגמא, או חוק איסור גידול חזיר). לכאורה, מדובר במקומות בהם החוק ספציפי ומטפל בסוגיה ספציפית שלא מרחיבה מעבר לחוק עצמו. אולם, דווקא השימוש הנרחב בחוק המחשבים מגיע כאשר השימוש במחשב הופך ליום יומי. המחוקק של שנות התשעים לא דמיין לעצמו "סחר בסמים באמצעות האינטרנט"  ו"סחר בנשים באינטרנט" אלא פשעים קלאסיים יותר; וברור. המחוקק בתקופה בה פחות מרבבה היו מחוברים לרשת לא יכל לדמיין שיעורי חדירה של 77% ולא יכל לחשוב על הנזק כתוצאה מהפעילויות האלו.

יתר על כן, ההבדלים בין סעיף 4 ל5 לחוק המחשבים אירוניים; בעוד שסעיף 4 מדבר על שלוש שנות מאסר לחודר לחומר מחשב, סעיף 5 מדבר על ענישה של חמש שנים אם החדירה נוצרה לצורך עבירה אחרת. לצורך הבנה של ההבדלים, אני רוצה לקחת שלושה מקרים: אבי מזרחי (ע"פ 8333/08 מדינת ישראל נ' אבי מזרחי, פ 3047/03 מדינת ישראל נ' אבי מזרחי), מיכאל לרמן (4888/02 מדינת ישראל נ' מיכאל לרמן) ומקרי הסוס הטרויאני למינם (תפ 40206/05 מדינת ישראל נ' אברהם בללי, פ 40206/05 מדינת ישראל נ' צבי קרוכמל)

בפרשת מזרחי, שהיא הקלה ביותר, נדונה השאלה האם Port Scanning פשט שבוצע על אתר המוסד מהווה עבירה פלילית; בית המשפט קבע כי:

ניסיון חדירה, לעומת זאת, בא לידי ביטוי בהפעלת פקודות המתיימרות לחדור, ללא הצלחה, או שהאדם המנסה לא הספיק להשלים את הפעולה. בהגדרת היסוד הנפשי של עבירת הניסיון נאמר: "במטרה לבצעה", כלומר צריך שיתקיים בעבריין הלך נפש של החפץ לבצע את העבירה המושלמת. צריך שיתקיים במנסה אותו יסוד נפשי הדרוש להרשעה בעבירה המושלמת. כדי ללמוד על היסוד הנפשי, נדרשת ראיה חיצונית שממנה ניתן לעמוד על חפצו של הנאשם (ע"פ 1639/98 דהן נ' מדינת ישראל, פ"ד נה(4) 501). בית המשפט קבע כי המשיב אינו מבין באבטחת מחשבים; המשיב התעניין זמן ממושך בהצטרפות למוסד; הוריד תוכנה חיונית ופופולארית לבדיקת אתרים, שלא הכיר אותה קודם לכן; לאחר הפעלתה, הוציאה התוכנה פלט (log), שאותו לא הצליח המשיב לפענח, ולכן, מחק המשיב את הפלט ואת התוכנה. המסקנות העולות מעובדות אלה, מצביעות על כך שהמשיב רק עשה פעולה הנקראת port scanning, דהיינו בחן אילו פורטים פתוחים ואילו פורטים סגורים. המדובר הוא בתוכנה ראשונית בלבד, הבודקת כאמור, אילו פורטים פתוחים והאם האתר מאובטח. הא ותו לא. בנוסף, לא הוכח כי המשיב ניסה לפרוץ באמצעות תוכנה זו או אחרת. (ע"פ 8333/08 מדינת ישראל נ' אבי מזרחי)

פרשת לרמן, שהיתה קטנה מאוד, עסקה בחוקר פרטי שהשתיל סוס טרויאני במחשבים באמצעות ICQ. לא ברור מפסק הדין האם דובר בפרצת אבטחה בתוכנה, או בפיתוי להתקנת הטרויאני; אולם בית המשפט עוסק לא מעט בסוגיה של ראיות מחשב:

במצבים רבים, בדומה לעניינינו, הראיות שקיימות אינן עונות על שלושת הדרישות הללו, כך למשל, ייתכן והוירוס לא ימצא במחשב הקורבן משום שהמחשב תוקן ותוכנו נמחק, ייתכן והקובץ לא יימצא במחשב הנאשם, היות והנאשם מחק אותו וניסה לטשטש עקבות ולהעלים ראיות, או אף ייתכן מצב בו הווירוס יימצא הן במחשב הקורבן והן במחשב הנאשם, אך לא נמצא את כתובת ה I.P של הנאשם בגלל אובדן מאגר הנתונים של הכתובות.

שאלות אלו אינן פשוטות כלל וכלל, שכן עסקנין בראיות מחשב, שמאפייניהן שונים מהראיות הרגילות הן מבחינת איתורן, והן מבחינתם דיוקן, ועל כן, בבואנו לדון בעבירות כגון אלו, עלינו לקחת בחשבון את מכלול הראיות הדיגיטליות, והראיות הנסיבתיות האחרות שמקשרות בין המעשה של ההפצה לבין הנאשם עצמו.

מסקנתי היא שבכדי להרשיע אדם בעבירה של הפצת וירוס, חייבים להתקיים לפחות שניים מהיסודות של ההפצה או ההחדרה, וזאת בנוסף לראיות נסיבתיות אחרות וכן קיומו של הסבר סביר להיעדרות היסוד השלישי החסר. (4888/02 מדינת ישראל נ' מיכאל לרמן)

פרשת הסוס הטרויאני, מנגד, סיפקה לא מעט דיון משפטי בשאלות של עבירות המחשב; בפרשת בללי בית המשפט תהה על מהותה של עבירת החדירה, תוך שהוא מסתמך על הלכת מזרחי, אך נמנע מלקבוע מסמרות:

יש להבחין בין "התקשרות או התחברות" עם מחשב לבין "חֲדירה לחומר מחשב", שכּן בעולם המודרני, בו מחשבים משוחחים זה עם זה על-בסיס קבוע ומעבירים זה לזה מידע וקבצים באופן תדיר – לא ניתן לראות בכל התקשרות שכזו בין מחשבים כ"חֲדירה למחשב". ההשוואה שהוצעה בפסיקה לבחינת "החֲדירה" שאוּבה מעבירת ההתפרצות והכניסה לחצרים (ראו: ת.פ. (ירושלים) 3047/03 מדינת ישראל נ' מזרחי), אף שישנם הבדלים בין שני סוגי החדירות הללו, שכּן החֲדירה למחשב מהווה התפרצות וירטואלית. מכֹּל מקום, במקרה שבפנַי אינני נדרש לקבוע מסמרות באשר לגבולותיה של "החֲדירה לחומר מחשב", לעומת התקשרות עם מחשב, כֵּיוון שמדובר במקרה מובהק של כניסה בלתי-מורשית למחשבי הקורבנות, העונה ללא כל ספק על יסודות העבירה המנויים בסעיף 4 לחוק. (תפ 40206/05 מדינת ישראל נ' אברהם בללי)

בעצם, המשפט הצליח להכיר בכך שחדירה למחשבים ללא כל מטרה אינה בדיוק העבירה הקלאסית. גם בפרשת לרמן וגם בפרשת בללי החדירה היתה לצרכים שונים, ולעומת זאת כאשר החדירה היתה ללא כל מטרה, כמו במזרחי, לבית המשפט היה קל יותר לזכות את הנאשם בכלל.

אולם, בעוד שלא מעטים המקרים בהם אנשים מורשעים על חדירה לחומרי מחשב, יש כאלה שעושים זאת על בסיס יום יומי; אותם גורמים עושים זאת באמצעות מספר היתרים בחוק. הראשון הוא חוק האזנת סתר. בית המשפט, במסגרת החלטה לפסילת ראיות (פ 40107/05 מדינת ישראל נ' פילוסוף) דן בית המשפט המחוזי בשאלה האם האזנה להודעות דואר אלקטרוני הם האזנת סתר או תפיסת חפץ. התשתית המשפטית לסוגיה אינה רלוונטית, כמו האופן שהדבר מבוצע על בסיס יומי. בית המשפט הסביר כי "אין המדובר בדרך פרשנית השוללת כליל מרשויות החקירה את היכולות לבצע מלאכתם החשובה ולהאזין להודעות דוא"ל – כאשר אלה נחוצות לצורך חקירה, אלא שדרך זו מקטינה ככל האפשר את מידת הפגיעה בזכויות החירות של הפרט ומכפיפה את הליך המעקב לסוד שיחו של הפרט בעידן המחשב לפיקוח וביקורת שיפוטית קפדנית יותר מזו שמתבצעת בהליך החיפוש". בית המשפט שכח כי סך הכל, האזנות הסתר הן מקרה פרטי של צו חיפוש, והפך את היוצרות,כעת, במקום ששחיה תהיה מקרה פרטי של חפץ, חפץ הפך להיות מקרה פרטי של שיחה.

הליך תפיסת מידע על ידי רשיות השלטון מוסדר על ידי מספר חוקים: חוק האזנת סתר מאפשר האזנה לשיחה רק באמצעות צו בית משפט; לעומת זאת חוק סדר הדין הפלילי (סמכויות אכיפה – נתוני תקשורת) הוא חוק שדן בMeta-Data ומאפשר למדינת ישראל לקבל ממאגרי בזק נתונים אודות מנויים לשירותי הטלפוניה, לרבות איכונים (GPS) ולדעת מה הרשת החברתית של אותו אדם.

אולי דווקא באמצעות הדין הפלילי, ואיך שהוא מתייחס לעבירות מחשב, ניתן להבין מהי הזכות לפרטיות; הזכות לפרטיות היא זכות יחסית אמורפית שאמנם נמצאת בחוק יסוד – כבוד האדם וחירותו ובחוק הגנת הפרטיות, אולם השאלה מהי פרטיות לא תמיד זוכה למענה. דווקא המשפט הפלילי, שברווח הצר בין עבירות המחשב לסמכויות המשטרה, יכול להסביר לנו מהי פרטיות, גם אם ההסבר הוא צר מדי.

היכן בעצם עומד התחום הפרטי? המדינה קבעה תחום אליו איש מלבד המדינה אינו יכול להכנס; זהו המתחם שנמצא בתוך ביתך, בתוך המחשב ובתוך שרתי האינטרנט של אדם: כאשר אדם חודר לתיבת הדואר האלקטרוני של חברתו, הדבר ברור לנו כפסול; בעצם, שם המשתמש והססמא נועדו כדי למנוע מהציבור לקרוא את אותם מסרים "פרטיים" שכן ללא אותם אמצעי הגנה, המסרים לא היו פרטיים. אולם, מה קורה אם אותו אדם מחזיק את המידע שלו מוצפן? האם למדינה יש זכות לפענח את הצפנים האלה?

הצפנה יכולה שתהיה זכות חוקתית: דמיינו אדם שמצפין את הכונן הקשיח שלו, שמכיל מידע מסוים. רשות מקבלת צו מוסמך מבית משפט מוסמך בעילות מוסמכות כדי לחדור למחשב שלו, בידיעת אותו  אדם, המקרה הקלאסי של פגיעה בפרטיות ברשות החוק. אלא מה, לכשמגיעים למחשב מגלים שהמידע עליו מוצפן. לכן, כשהמשטרה מבקשת צו שיחייב את אותו אדם לתת את המפתח לצופן, בית המשפט עשוי לסרב: "ססמא, כמו צירוף מספרים, נמצאת בתודעתו (mind) של החשוד ולכן היא עדות הנמצאת מעבר לאפשרות החקירה של חבר המושבים במשפט" (Boucher v. State, United States District Court for the District of Vermont, 2007 WL 4246473)

לכן, בית המשפט מניח שהגבול לפרטיות עובר בנקודה בה המח מתחבר עם התודעה; בעוד שרשויות החוק יכולות לקבל צווים חדשות לבקרים, יש בעיה אחת חמורה כאשר אדם מחזיק את המפתחות שלו: אי אפשר להכריח אותו, על פי חוק, למסור מידע שעשוי להפליל אותו.

לכן, כל כך ברור מדוע החוק מתנגד לקריפטוגרפיה, קריפטוגרפיה היא פרטיות דה-פקטו, ללא כל מחוקק. דו"ח של הכנסת בנושא אבטחת מידע הבהיר את הבעייתיות בצו הצופן ההיסטורי של ישראל:  הכרזה על מנגנוני הצפנה כמוצרים בטחוניים ברי פיקוח בשנת 1974, כל הצפנה מעבר ל56 סיביות נהפכה להיות הצפנה בלתי חוקית; בפועל, עד תיקון הצו בשנת 1998 (צו הפיקוח על מצרכים ושירותים (עיסוק באמצעי הצפנה) (תיקון), התשנ"ח – 1998) כל דפדפן מודרני היה מוגדר בעצם בתור אמצעי לחימה. המצב האבסורדי הזה היה מושלם מבחינת מדינה שרוצה לדעת הכל, אבל בפועל לא יכל לעמוד בסטנדרטים של השוק. בשנת 2000 הבהיר עו"ד חיים רביה את אי הסבירות: "צו הצופן הופך מאות אלפים לעבריינים, שכן הם משתמשים באמצעי הצפנה (טלפונים סלולאריים או תוכנות מחשב) בלי לקבל רישיון מתאים; הואיל שזהו היקף העבריינות שהוא מוליד, לא ניתן לאכפו ביעילות; זהו דין מיושן שאינו תואם עוד את הזכות החוקתית לקנין ולפרטיות; הוא סותר את החובה המוטלת על בעלי, מנהלי ומחזיקי מאגרי מידע להבטיח את המידע שהם מחזיקים; מקנה סמכות לרשויות הבטחון בקשר עם שימושים אזרחיים מובהקים בהצפנה שאינם מעניינן כלל ועיקר; מעמיד את ישראל בסכנה של חרם אירופאי על שיתוף במידע; אינו הולם את הגישה המערבית המתקדמת לייצוא אמצעי הצפנה וכולל אי בהירויות בשאלות מפתח בהצפנה מודרנית ? כגון השימוש באמצעי הצפנה לתכלית של זיהוי (חתימה דיגיטלית)".

מנגד, הצפנה חזקה מדי תמיד תמנע את יכולתה של המדינה לחקור פשעים; לכן, תוכנות כמו Skype שפועלות בהצפנה נמוכה יחסית, אבל ללא תשתית מרכזית הן נקודות כשל של ממשל: הממשל לא יכול להאזין לשיחות טלפוניה מבוססות P2P כיוון שהוא לא יודע איך ליירט את מנגנון ההצפנה בהן, הבעיה הזו יוצרת אחד משניים: או דה-רגולציה ונסיונות לשיבוש אותם פרוטוקולים של תקשורת, או נסיון לטעון כאילו ישנה דרך לפתוח שיחות מוצפנות אלו.

ההצפנה היא אויבו הגדול ביותר של הממשל; אבל היא  גם חברתו הטובה ביותר: מרגע שמילת הקסם "מוצפן" נאמרת, כאילו במילת קסם, והציבור מתכופף: מידע מוצפן, גם אם הוא  ידלוף, לא יכול להיות בו שימוש. מנגד, אנשים שוכחים שגם כאשר מידע מוצפן, המפתח לקרוא אותו נמצא בכל מקום,  אם המידע הביומטרי על הכרטיס החכם מוצפן, הרי שאף אחד שגונב את הכרטיס לא יכול לקרוא אותו; אף אחד, אלא אם הוא כמובן יקח את קורא הכרטיסים שנמצא אצל כל שוטר, לא? גם אם המאגר הביומטרי מוצפן, הרי שלאלפי עובדים במשרד הפנים שמצפינים את המידע מדי יום יש את המפתח הקריפטוגרפי.

לכן, כאשר אנחנו מדברים על הצפנה כפרטיות, אנחנו צריכים לחשוב איך מייצרים מידע מוצפן שהמפתח שלו לא יהיה בידי רבים, אלא רק בראשו של האדם שרוצה להצפין (או מספר מפתחות שיחדיו יהיו Secret Sharing). בעצם, בצורה הזו יובהר כי המחשב הוא לא ידידו הטוב של האדם, אלא הארכה של זרועו הארוכה ממילא.

לכן, פרטיות צריכה להיות מוגדרת מחדש, הרבה מעבר לטענתו של בירנהק, (מיכאל בירנהק, "שליטה והסכמה – הבסיס העיוני של הזכות לפרטיות") כי הבסיס הוא רק הסכמה ושליטה במידע, שליטה והסכמה על המידע בפועל קיימים רק בראש, כל יציאה מתחום הראש כבר מפקיעה את הפרטיות כיוון שזו הופקעה בפועל. כדי לשלוט על הפרטיות, הרפורמה בדיני הפרטיות צריכה לצאת מנקודת הנחה שמדברת על הרחבה של הקריפטוגרפיה כפתרון טכנולוגי, אבל גם לדון האם, לכשהוצפן המידע, יש זכות למישהו בכלל לפתוח את המידע.

זה לא אומר שאותה רפורמה צריכה להניח שכל מידע שאינו מוצפן אינו פרטי, אלא לצאת מנקודת הנחה שיש רגישויות שונות למידע, מידע מוצפן הוא מידע הרבה פחות חשוב מאשר מידע שהועלה בצורה רצונית לרשת, בכל מדיה שתהיה. כלומר, בעוד שלכאורה, אם אדם מצטרף לקבוצת "חולי פסוריאזיס" בפייסבוק, פייסבוק מחזיקה מאגר מידע רפואי על בני אדם, ברור שיש הבדל בין מידע זה, שהוא וולונטרי, לבין המידע המוצפן. אבל גם המידע המוצפן אמור להיות זכאי להגנה קריטית יותר מאשר מידע בתוך פורום לא מוצפן.

מנגד, הכרה בתיאוריה כאילו מידע שאינו מוצפן אינו זכאי להגנה כמידע פרטי תרחיב את השימושים המותרים במידע שאינו מוצפן, ותקטין את השווי של המידע המוצפן גם כן.

כשאנו צריכים לחשוב על עתיד הפרטיות, וכיצד החקיקה תמשיך לנגוס בו, אנו צריכים לראות האם אנו מתפשרים על כך שמראש כל המידע שנמצא מחוץ לראשנו אינו פרטי ונוכל להלחם רק על מה שבפנים, או שאנחנו נמשיך במאבק לראות איך מחזקים את הפרטיות, גם כאשר ברור לנו שחלק מהקרב אבוד מראש.