האם ניתן לחייב אדם למסור את ססמאת המחשב שלו או הססמא שמצפינה כונן קשיח במסגרת חקירה פלילית או במסגרת הליך אזרחי? זו, בקצרה, אחת השאלות המעניינות יותר שרשויות האכיפה מנסות להמנע ממנה בצורה אובססיבית. אחת הסיבות להמנעות מהשאלה הזו היא כיוון שרשויות השלטון מעדיפות, עד שבית משפט יחליט אחרת, לנסות למצות דרכים טכנולוגיות לעקוף את הרגשת הפרטיות היחסית שמרגיש אדם שמשתמש בשירותים אלקטרוניים כמו שירות הצפנת התקשורת של Blackberry, שיחות מוצפנות של Skype ושירות הדואר האלקטרוני של Google. בעצם, במהלך העסקים הרגיל שלנו, אנו סומכים על עשרות שירותי צד שלישי שמחזיקים ססמאות שלנו, מנהלים עבורנו תקשורת מאובטחת ומוצפנת ומהווים את היד הארוכה שלנו.

ראשית, צריך להבין מהו הכלל: המידע שלך, בין אם הוא מוחזק על ידך ובין אם הוא מוחזק על ידי צד שלישי, נחשב מידע פרטי שלך, שאתה קובע למי יש את הגישה אליו. גישה לא מורשית לקבצי מחשב של אדם מהווה עבירה פלילית: חוק המחשבים קובע כי "החודר שלא כדין לחומר מחשב הנמצא במחשב, דינו – מאסר שלוש שנים". הפסיקה פרשה את החדירה ככניסה ללא הסכמתו של אדם, תוך מעקף של אמצעי אבטחה. בפרשת אבי מזרחי, ציין בית המשפט כי: "עצם העובדה שבעל מחשב איננו שש למעשי החודר אליו, איננה מספקת. העובדה שבעל האתר איננו מעוניין במעשי אחרים אין לה דבר עם ההליך הפלילי. רק אם החדירה הצליחה לעקוף אמצעי אבטחה ברורים כלשהם, ומטרתה הייתה לעקוף אמצעים אלו, אז ורק אז מדובר בחדירה שלא כדין" (ת"פ (י-ם) 3047/03 מדינת ישראל נ' מזרחי, פ"מ תשס"ג(3) 769 וכן עפ71766/04 מדינת ישראל נ' ברמן רם (פורסם בנבו), אושר בעליון ברע"פ 6489/04 מדינת ישראל נ' רם ברמן).

כך גם גורס השופט טננבוים בהחלטה בנושא הלוי (פ 9497/08 מדינת ישראל נ' משה הלוי) כאשר פסק כי חדירה לאתר אינטרנט, לאחר שסופקה לנאשם מחרוזת שקולה לססמאת הגלישה, בה ביצע הנאשם שורה של מעשים בשם המתלונן, אינה חדירה לחומר מחשב: “אישית אנו סבורים כי ייתכן שמן הראוי היה לנסות לזנוח את הניסיון להגדיר מושגית את המונח "חדירה למחשב" אלא לנסות להגדרו בצורה קזואיסטית. קרי, לתת רשימת מקרים שקיומם ייחשב ל"חדירה" (כגון השגת סיסמאות במרמה, כניסה לאתרים שמבקשים לחסום באופן טכנולוגי את הכניסה ממי שאין לו "מפתח", או שיש בהם אמצעי אבטחה שרמתם תוגדר בחוק, ועוד). אין אפשרות לדעתנו למצוא הגדרה מופשטת טובה שנוכל היעזר בה, אולם שוב, זו דעה אישית. אולם כל זה איננו רלוונטי למקרה שלפנינו. משקבעתי עובדתית כי הלמו קיבל משדות את הקישור לאתר המרכז לגביית קנסות שדן בו, הרי ברור כי לא עבר עבירת חדירה למחשב וממילא לא חדר למחשב על מנת לעבור עבירה”.

כלומר, על פי חוק המחשבים, אין כל אפשרות להכנס למחשבו של אדם אלא בהסכמתו או על פי דין. לכן, במקביל להוספת העבירה, תוקנה פקודת סדר הדין הפלילי (מעצר וחיפוש) כך שסעיף 23א של הפקודה יאפשר במקרים בהם שופט נותן צו חיפוש לערוך חיפוש אגב חדירה לחומר מחשב. על הצו לפרט את מטרת החיפוש ונאסר על החיפוש לפגוע בפרטיות במידה העולה על הנדרש. הדרישה היא כה מהותית עד שהפסיקה הבינה כי החיפוש במחשב הוא פגיעה בקניינו של אדם (ב"ש 1152/03 מדינת ישראל נ' מיכאל אברג'יל) וכי כל חדירה כזו נדרשת להעשות בנוכחות עדים מטעם בעל המחשב.

אולם, צו החיפוש מאפשר אך לחדור לחומר המחשב. כיצד תבוצע החדירה? בפרשת אברג'יל אימץ בית המשפט את גישתו של דר' נמרוד קוזלובסקי וקבע כי "לאחר תפיסת המחשב, יועתקו קבצי המחשב (בנוכחות מומחה מטעם המשיב), כאשר הדיסק בו מצוי החומר המועתק ייחשב כמקור וניתן יהיה להציגו כראיה בתיק העיקרי, וזאת לאחר שב"כ המשיב מסכים מראש לכך שלא יטען כל טענה כאילו דיסק זה אינו מקור, ולא יטען כל טענה שהבאת דיסק זה כראיה סותר את "כלל הראיה הטובה ביותר". לאחר העתקת הקבצים לדיסק, ניתן יהיה להחזיר את המחשב (על התוכנה שבו) לבעליו".

אבל לעיתים לא די בהעתקת המחשב, שכן העתקתו עדיין לא מאפשרת את החיפוש בו. במקרים בהם נדרשת ססמא על מנת לחדור לחומר המחשב, גם אם ימצא העתק בידי המשטרה, עדיין לא יהיה בכך כדי לאפשר להם לחדור ולקרוא את חומר המחשב. בעניין ע"פ 1761/04 גלעד שרון נ' מדינת ישראל. באותה הפרשה החזיק גלעד שרון במספר מסמכים אשר היו דרושים לצורך חקירה נגדו. המסמכים הוחזקו בבית ראש הממשלה, ועל כן למשטרה לא היתה סמכות להכנס לביתו של החשוד ולחפש שם. לכן, ביקשה המשטרה צו שמחייב את שרון להציג בפניה מספר מסמכים. שרון לא ציית בצורה מוחלטת לצו, וטען כי החסיון מפני הפללה עצמית וזכות השתיקה מאפשרים לו לא לשתף פעולה עם רשויות החקירה כאן. בית המשפט, בהחלטה שאינה חד-משמעית, קבע כי "סעיף 43 עצמו אינו קובע סנקציה בשל אי קיום צו שהוצא מכוחו. לכאורה, יוצא כי בית המשפט מוציא הצו אינו מוסמך להטיל עונש על מי שאינו מקיים את הצו וכל שמוסמך הוא לעשות הוא להבהיר בהחלטה מטעמו כי הצו לא קוים כדין"; אולם, קבע כי על שרון ישנה חובה למסור את המסמכים.

בישראל טרם נדונה השאלה האם יש להכריח אדם למסור את ססמתו בעת חקירה פלילית, למרות שהעניין עלה בצורה אגבית במספר הליכים משפטיים מבלי לקבל את ההתייחסות הראויה (בש"א 9455/09 תום קפלן נ' קבוצת PCIC, תפ (ת"א) 40071/04 מדינת ישראל נ' חברת בוריס פקר הנדסה בע"מ, עב (ת"א) 7615/02 דוד בנימין נ' קוריג'ין בע"מ), מקרים בהם אישר או דחה בית המשפט בקשה לחדירה לחומרי מחשב של עובדים או שותפים עסקיים (עב 010121/06 טלי איסקוב נ' הממונה על חוק עבודת נשים ו‫עב' 1158/06 רני פישר נ' אפיקי מים, (ה"פ 1529/09 חן בת שבע ואח' נ' יוני בן זאב). או טען כי פריצה למחשביו של עובד היא פגיעה בפרטיותו (עמר"מ 13028-04-09 בנימין אליהו נ' עיריית טבריה). אולם, בכל אחד ממקרים אלה לא עלתה השאלה האם ישנה חובה על אדם למסור את הססמא, ומה תהיה הסנקציה במקרה של אי מסירתה.

כלומר, במסגרת חקירה פלילית, יכול חוקר המשטרה לשאול אדם לססמאת הגישה שלו למחשב. אדם יכול לסרב ממספר טעמים: ראשית, הוא יכול לטעון לכך שמסירת הססמא תפגע בזכותו למניעת הפללה עצמית לפי סעיף 47 לפקודת הראיות; שנית, הוא יכול לטעון כי מסירת הססמא פוגעת בפרטיותו מעבר למידה הנדרשת ועל כן מדובר בפגיעה בזכות חוקתית. כאמור, אי מסירת הססמא עשויה להיות בעייתית מבחינת המשטרה, אולם, לאור הפרקטיקה הפסולה שמשטרת ישראל נוקטת בעת חיפוש בחומרי מחשב ((בשפ 5837/09 אורטיז נ' מדינת ישראל, תפ (י-ם) 2077/06  מדינת ישראל נ' אליהו אריש), הרי שאי מסירת ססמא יכולה להציל לעיתים חפים מפשע יותר מלהרשיע פושעים.

בארצות הברית, מנגד, פסקו בתי המשפט כי אין על נאשם חובה למסור את ססמאת המשתמש שלו. בית המשפט פסק כי "ססמא, כמו צירוף מספרים, נמצאת בתודעתו (mind) של החשוד ולכן היא עדות הנמצאת מעבר לאפשרות החקירה של חבר המושבים במשפט" (Boucher v. State, United States District Court for the District of Vermont, 2007 WL 4246473). בית המשפט לערעורים באותו המקרה, אמנם, חייב את הנאשם למסור את תוכן הכונן הקשיח שלו (אך לא את הססמא) כיוון שבתחילה אכן נתן לרשויות את הרשות לחפש בכונן (2:06-mj-91 In Re: Grand Jury Subpeona v. Boucher). בית המשפט פסק, בצורה דומה מאוד לבית המשפט העליון בישראל בנושא גלעד שרון כי:

"Boucher accessed the Z drive of his laptop at the ICE agent's request. The ICE agent viewed the contents of some of the Z drive's files, and ascertained that they may consist of images or videos of child pornography. The Government thus knows of the existence and location of the Z drive and its files. Again providing access to the unencrypted Z drive adds little or nothing to the sum total of the Government's information about the existence and location of files that may contain incriminating information".

בבריטניה ישנו חוק ספציפי המאפשר את חשיפת מפתחות ההצפנה The Regulation of Investigatory Powers Act 2000 שקובע בסעיף 49 כי ניתן, במקרים בהם ישנו חשד כי מפתח למידע מוצפן נמצא בידי אדם, לחייב את אותו אדם למסור את המפתח. במקרה אחד, בית המשפט העליון בבריטניה פסק כי חובה על חשודים למסור את מפתחות ההצפנה שלהם:

"On analysis, the key which provides access to protected data, like the data itself, exists separately from each appellant's "will". Even if it is true that each created his own key, once created, the key to the data, remains independent of the appellant's "will" even when it is retained only in his memory, at any rate until it is changed. If investigating officers were able to identify the key from a different source (say, for example, from the records of the shop where the equipment was purchased) no one would argue that the key was not distinct from the equipment which was to be accessed, and indeed the individual who owned the equipment and knew the key to it" (S & Anor v. R [2009] 1 All ER 716, [2008] EWCA Crim 2177).

לשיטתי, ההחלטות שגויות ונובעות מתוך תפישה לא נכונה של מהות ההצפנה. אין מחלוקת, כי לו יכלו רשויות החקירה בצורה טכנית לחדור לחומר המחשב המוצפן, היתה להם את הסמכות לעשות כן. אלא שהמחלוקת היא על עצם חיובו של אדם למסור מפתח הצפנה כלשהוא. הן במקרה הבריטי של S & R וגם במקרה האמריקאי של Boucher, החיוב למסור את מפתח ההצפנה נבע מצורך טכנולוגי שבגללו לא הצליחו רשויות החוק לחדור לחומר. דרשו מאדם לשתף פעולה עם רשויות חקירה שמעוניינות לפעול נגדו, ובעצם להיות חלק מהליך החקירה. לא מדובר על מענה על שאלות פשוטות (שגם עליהן יכול אותו אדם לסרב לענות), אלא על מצב בו נדרש אותו חשוד לפענח עבור רשויות החוק את מילות הקוד שלו.

הרציונאל בשני המקרים היה כי רשויות החקירה ידעו על קיומו של החומר, ופשוט לא היתה להם גישה אליו; במקרה של S&R דובר על סרטון מוצפן שהתגלה ובמקרה של Boucher דובר על פורנוגרפית קטינים. אלא, שברוב המקרים, דווקא לרשויות החקירה אין מושג לגבי תוכן הכונן, ואין דרך להבטיח שהחיפוש שיבצעו יהיה ממוקד אך ורק לחומרים אותם הם מחפשים. אלא שהעדר היכולת הפרקטית של רשויות החוק לפתוח מפתחות הצפנה וכן הרצון המתמד שלהן לפקח על התנהגויות, מביאות לכך שפרקטיקות פסולות ננקטות.

מטרת ההצפנה היא להגדיר, בפועל ובלי כל חוק, מידע מסוים כחלק אינהרנטי מהמידע הנמצא בראשו של אדם. בניגוד למפתח פיסי, כמו מפתח הבית שלך, שהמשטרה יכולה לתפוס כיוון שהוא חפץ, מחשבה אינה חפץ. הססמא שנשמרת בצורה של מחשבה (ומחשבה בלבד) היא חלק ממחשבותיו של אדם, ואף אם היא מועילה לרשויות בחקירה, היא חלק בלתי נמנע מהמתחם הפרטי ביותר. כשם שנאסר על המשטרה להגיש ראיות שהופקו על ידי פוליגרף (עממ 1/95 פלוני נ' שר הביטחון) למרות שמותר למשטרה להשתמש במכשיר לצרכים פנימיים, (בג"צ 620/02 התובע הצבאי הראשי נ' בית הדין הצבאי לערעורים אלוף אילן שיף); כלומר, כאשר מדובר בחקירה המבוססת על ממצאים פיסיולוגיים לא רצוניים של אדם, בתי המשפט אפשרו קליטה חיצונית (כמו פוליגרף) או חיפוש בגוף החשוד אך לא חדירה לנבכי מוחו.

חדירה למוחו של אדם חורגת הרבה מעבר למותר; החדירה שוברת את האיזון העדין בין אדם וחברה (בג"צ 5100/94 הועד הציבורי נגד עינויים נ' ממשלת ישראל). בפרשת הועד הציבורי נגד עינויים, ציטט בית המשפט העליון את ספרו של יעקב קדמי, "על הראיות", בו אומר קדמי כי "כל חקירה, ותהא זו ההוגנת והסבירה מכולן, מעמידה את הנחקר במצבים מביכים, מחטטת בצפונותיו, חודרת לפני ולפנים של ציפור נפשו ויוצרת אצלו לחצים נפשיים חמורים"; אולם, קבע כי על אמצעי החקירה לא להיות בלתי סבירים ובלתי ראויים, ועליהם להגשים את מטרת החקירה. בית המשפט פסל שלל אמצעים הכוללים פגיעה בכבודו של אדם והבהיר כי הנסיבות היחידות בהן יכול חוקר להפעיל לחץ או אלימות כלפי אדם הוא הסייג של "פצצה מתקתקת" וגם אז, ההגנה שתנתן היא הגנה של פטור מאחריות על הפעלת האלימות על האדם.

חקירה המחייבת אדם למסור את מפתח הכניסה למוחו או לקבציו המוצפנים אינה שונה מהפעלת היפנוזה, סמים או לחץ פיסי על מנת לקבל את המידע הצפון בתוך ראשו של האדם. חומר המחשב המוצפן אינו חפץ, אלא חומר שאדם בחר שלא לשתף עם אף אדם אלא עם עצמו בלבד. אם היה נותן את מפתחות ההצפנה לאדם אחר, או אם היתה ראיה חיצונית כלשהיא אודות אותו החומר, הרי שהיה ניתן להשיג את החומר באמצעי אחר; מנגד, כאשר החומר מוצפן, הוא מהווה חלק מנפשו של אדם והאמצעי הטכנולוגי אינו משפיע על היכולת לגעת בחומר.

[פורסם בגליון ספטמבר של Digital Whisper]