היבטים משפטיים בטכנולוגיות אבטחה

בחודש דצמבר 2022 התרחש מקרה שהצית מחדש את המחלוקת באשר לטכנולוגיות זיהוי הפנים שהשימוש בהן הולך ומתרחב, בטח במתחמים שמאוכלסים בריכוזי קהל.

במסגרת טיול של שבט צופות בניו יורק, קלי קונלון אשר ליוותה את בתה לצד אימהות נוספות ובנותיהן, ביקשה להיכנס ביחד איתן לאחד האולמות האייקוניים – Radio City Music Hall, תחת חברת האם MSG. בתורה להיכנס, אחרי שבתה ואחרות כבר נכנסו לפניה, לתדהמתה המאבטחים בלובי סירבו לאפשר לה להתקדם פנימה, זאת כשהם פונים אליה בשמה.

במהרה הוסבר לה שהיא זוהתה כמסורבת כניסה בתוכנה לזיהוי פנים שמותקנת במצלמות האבטחה בלובי. הסיבה – קלי קונלון היא עורכת דין בפירמה שמנהלת הליכים משפטיים נגד חברת האם של האולם. לפיכך, סורבה כניסתה פנימה והיא התבקשה לצאת המקום.

מקרה ספציפי זה הוא דוגמה נוספת לשימוש חריג ושגוי בטכנולוגיה לזיהוי פנים, שחרף יתרונותיה הרבים בזירות ובתרחישים מסוימים, מזמנת גם תקריות כגון זו, בהן גופים מנצלים את יכולותיה המתקדמות והייחודיות לשימוש בלתי סביר ובלתי ראוי.

ואפשר שזו רק ההתחלה – דמיינו מציאות שבה טכנולוגיות זיהוי פנים מקטלגות יחידים לפי מינם, מוצאם, דתם וכו', ומסמנת אותם לצרכים כאלה ואחרים. הפוטנציאל החיובי והשלילי מתקיימים במקביל, והמימוש שלו תלוי רק בזהות המשתמש ובשיקוליו.

האם הדברים נכונים גם לגבי ישראל? האם מקרה כגון זה יכול להתרחש בישראל?

משרד 'נשיץ, ברנדס, אמיר ושות", אשר בין התמחויותיו גם תחום הגנת הפרטיות, נדרש לסוגיות אלו ולהלן תקציר הזווית הישראלית:

ראשית, יש לציין שבישראל ישנה מגבלה בסיסית בשימור מאגר מידע אישי, לרבות תמונות פנים, למשך פרק הזמן הסביר שחורג מהנדרש לכך. המגבלה נכונה ספציפית גם לגבי מאגר תמונות פנים של מבקרים שנאסף לצורך אבטחה, וניתן לשמירה למשך 30-14 ימים בלבד, להוציא מקרים חריגים.

לפיכך, מלכתחילה מקרה כגון זה, בו הוצלבה תמונה מתוך מאגר מידע מול מבקרת מזדמנת, בלי הנמקה אבטחתית לשמירת התמונה המקורית ובחריגה ממשך הזמן המותר, יהיה מקרה פסול.

בנוסף, בישראל נדרש להבטיח את "צמידות המטרה" בשימוש במאגר המידע האישי (המצולם במקרה זה). כלומר, שימוש במאגר חומרים מצולמים שבמקור נאספו ונשמרו לצורך אבטחה – יהיה רק לצורך אבטחה, וחל איסור להשתמש בו לצרכים אחרים כגון סירוב כניסה לאדם מסוים, בשל שיקולי מדיניות אחרים.

ניתן להניח שבמקרה כגון זה בישראל, היה האולם מתקשה להוכיח שהשימוש בתוכנת זיהוי הפנים בנסיבות הללו היה ל-"תכלית הראויה" ובאורח "מידתי", שהם אלמנטים נדרשים לשימוש במאגר מידע אישי בהיותה של הפרטיות זכות יסוד בישראל.

בשנת 2012 פרסמה 'הרשות להגנת הפרטיות' הנחיות בנושא השימוש במצלמות אבטחה ובמאגרי המידע של החומרים המצולמים (הקובץ להורדה מתוך התיקיה השיתופית של הגילדה), לרבות תחולתם של דיני הגנת הפרטיות.

לצורך ההמחשה, בהצבה של מצלמה חובה להגדיר מראש את תכליתה, ולהשתמש בחומריה לצורך תכליתה בלבד. בנוסף, יש להבטיח מראש שהמצולמים מכירים בהיותם מצולמים (לדוגמה, הצבה של שילוט קריא וברור אודות המצלמות, המפנה גם לתנאי מדיניות הפרטיות של המצלם), את המטרה שלשמה הם מצולמים (במקרה שלנו, לצורך אבטחה), את משך הזמן בו החומרים המצולמים נשמרים, פרטי התקשרות וכד'.

במקרה בו מתוכננת התקנה של מצלמות במקומות ציבוריים, בטח במקרה שבו משולבות גם תוכנות אנליטיקה (ניתוח תמונה), מומלץ להקדים ולקיים תסקיר פגיעה בפרטיות שמטרתו לבחון את האיזון שבין שימוש בטכנולוגיות מתקדמות אלו לבין שימור פרטיות המצולמים, תוך חיפוש אחר חלופות שיש בהן כדי לכבד את פרטיותם.

לסיכום, האבולוציה הטכנולוגית בתחום האבטחה מזמנת למנהלי הביטחון ארגז כלים חדשני יותר, מתקדם יותר ואפקטיבי יותר, אבל במקביל גם מאתגר יותר במישור המשפטי. טכנולוגיות זיהוי הפנים הן פיתוח טכנולוגי מבורך לצורך אבטחה, ומקנות למנהלי הביטחון יכולות משופרות. אולם, למרות זאת, יש לזכור כי "ריסון הכוח" נדרש גם במקרה זה, בטח נוכח החוקים, התקנות וההנחיות בתחום הגנת הפרטיות, שהרי הפרתם חושפת הן את הארגון והן את מנהל הביטחון ברמה המשפטית.

לפיכך, במקרה בו מנהל ביטחון בוחן את האפשרות לשלב טכנולוגיות אבטחה בכלל, וטכנולוגיות זיהוי פנים בפרט, מומלץ שתחילה יבסס את ההצדקה לכך ויאשרר אותה במסגרת בדיקה משפטית קונקרטית, זאת כדי להבטיח שימוש סביר וראוי בהן, בהתאם לדרישות דיני הגנת הפרטיות.

* המאמר נכתב בשיתוף עו"ד דלית בן ישראל

תכנים משלימים:

• מאמר / 'ביטחון מול פרטיות', מיכאל גילינסקי
• בלמ"ס – פודקאסט הגילדה / 'אבטחה וגבולות משפטיים', שי זר ושחר גולדברג מארחים את סרגיי חייקין
• מאמר / 'פתרונות אנליטיקה באבטחה', חן יודלביץ