לא רק אבק על המיטה: על זכות היידוע של נחקרים / עמיר כהנא

בשנת 1957 התלונן ח"כ מנחם בגין על שסוכני השירות החשאי שחיפשו בדירתו השאירו אחריהם אבק על מיטתו.[1] אמנם, שהלצה זו נועדה לעקוץ את השב"כ, שבאותה תקופה נעשה בו שימוש למטרות פוליטיות.[2] עם זאת, במסגרת התקרית אותה תיאר בגין נשמרה – ולו בטעות – זכותו להיות מיודע כי הוא היה נתון תחת מעקב.

בזמן כתיבת שורות אלו עוד מוקדם לדעת מה תהיה תגובת המחוקק לחשיפות בקשר לשימוש של משטרת ישראל ברוגלות של חברת NSO.[3] הגם שיש מקום לרפורמה מקיפה בדיני המעקב המקוון הישראליים,[4] לרבות בכל הנוגע לפיקוח על הפעלת אמצעים סיגינטיים,[5] ישנם עתה מחוקקים הקוראים לתיקונים נקודתיים בחוק, כדי להתמודד ולו באורח חלקי עם חלק מהכשלים שנתגלו בפרשה. יש חברי כנסת המקדמים הקשחה של כללי פסלות ראיות[6] (גם בעקבות פרשת אוריך[7]), ויש כאלו הקוראים לשיפור איכות הדיווח לוועדות הפיקוח הפרלמנטריות,[8] ולתיקון החוק כך שיגדיר במפורש את סמכויות המשטרה לעשות שימוש ברוגלות.

מטרת רשימה זו היא להציג זכות שעיגונה בדיני המעקב המקוון עשוי להרתיע את רשויות החקירה משימוש שלא כדין בסמכויותיהם: זכותו של מושא המידע להיות מיודע כאשר עושים שימוש במידע שלו – הזכות ליידוע. יש להבהיר כי זכות זו אינה מוגבלת להקשר הצר של מעקב מקוון, או של מעקבים בלבד. הזכות של מושאי המידע לקבל הודעה בקשר לאיסוף המידע אודותיהם מוכרת בדיני הגנת הפרטיות הכלליים,[9] וכן בדין הישראלי.[10]  

זכות היידוע

לחובת ההודעה למושא המידע – או הזכות של מושא המידע להיות מיודע – חשיבות רבה, מאחר שבלעדיה קשה לממש עקרונות יסוד בדיני הגנת הפרטיות, ובתוכם היכולת לתת הסכמה מדעת לעיבוד המידע, ולהבטיח שמירה על עקרון צמידות המטרה (לפיו מידע שנאסף למטרה מסוימת לא יכול לשמש למטרה אחרת).[11] יש להבחין בין זכות היידוע לבין הזכות לעיין במידע שנאסף,[12] או בזכויות אחרות של מושאי המידע, כגון הזכות לתיקון המידע או למחיקתו ('הזכות להישכח'). ישנם כותבים המצביעים על השקיפות הנלווית לחובת היידוע כערך כשלעצמו,[13] בייחוד בהקשר של האתגרים הנלווים לפיתוח והשימוש האתיים במערכות נבונות.

ואולם, זכות  היידוע אינה זכות מוחלטת גם בדיני הגנת הפרטיות הכלליים. עם זאת, חוק הגנת הפרטיות פוטר מאחריות רשויות ביטחון ואת עובדיהן על פגיעה בפרטיות שנעשתה באופן סביר ולשם מילוי תפקידיהם,[14] אך הוא אינו מסייג את חובת ההודעה שבס' 11 באופן פרטני.[15] ה-GDPR מחריג מתחולתו עיבוד של מידע אישי לתכליות של אכיפת חוק,[16] ובאיחוד האירופי מוסדרות זכויות היידוע בהקשרים אלו  תחת דירקטיבת המשטרה.[17]

איסוף רגיל של מידע יכול שיתבצע באמצעות שחקנים מסחריים או רשויות ממשלה, והוא לפי רוב נעשה אגב בקשת הסכמה לעצם השימוש במידע או להחזקתו. בנסיבות שגרתיות כאלו, על המבקש לעשות שימוש במידע, במאגר מידע או להחזיק במאגר ליידע את מושא המידע במטרות השימוש במידע, ובאשר לגורמים שאליהם המידע יימסר ומטרות המסירה.[18] כאשר מדובר בפעילות מעקב במסגרת חקירה מודיעינית, בין אם לתכליות אכיפת חוק או למטרות של ביטחון לאומי, פעמים רבות חשיפת החקירה עשויה לסכל את תכלית המעקב. שעה שחשוד יודע שהוא מטרה למעקב, חזקה עליו שישנה את התנהגותו בהתאם.

ואולם, לזכות היידוע ישנן הצדקות נוספות. בהקשר של דיני הגנת הפרטיות הכלליים זכות היידוע, כפי שראינו לעיל, היא בסיס למימוש עקרונות היסוד של הסכמה וצמידות המטרה. אמנם, מטיבו וטבעו מעקב חשאי דורש שיהיה ללא הסכמה, אך חובת ההודעה מהווה תמריץ לרשויות החקירה להקפיד שבעתיים על הדין, מאחר שכך עשויים להתגלות בדיעבד מקרים בהם נעשה שימוש באמצעי מעקב שלא לתכליות הסטטוטוריות המצדיקות את השימוש בהן. למשל, רבים מפעילי מחאת 'הדגלים השחורים' קראו לפרסם את שמותיהם של אלו מתוכם אחריהם עקבה המשטרה, לפי הנטען בתחקיר כלכליסט,[19] באמצעות הרוגלה של חברת NSO, בשעה שכפי הנראה אין לכך כל בסיס משפטי.[20] מדובר בבקרה על שימוש בסמכות שלא כדין (כמדיניות, או כ'קיצור דרך' של שוטרים להוטים יתר על המידה להגיע לתוצאות) וגם על מצבים של ניצול לרעה של סמכויות (כאשר שוטר בודד משתמש באמצעי מעקב על מנת להשיג שלא כדין מידע למטרותיו האישיות).[21]

זכות היידוע בדין המשווה

בהתאמה, חובת יידועם של מי שהיו מטרות למעקב מקוון בדין המשווה מסויגת. דירקטיבת המשטרה, למשל, לא מחייבת הודעה אקטיבית אלא זכות יידוע על בסיס פנייה של מושא המידע.[22] בנוסף, מתירה הדירקטיבה למדינות חברות לאמץ חקיקה המעכבת, מגבילה או משעה את זכות זו אם הדבר נחוץ ומידתי כדי למנוע שיבוש חקירות או להגן על שלום הציבור, על הביטחון הלאומי, או על חירויות וזכויות של הזולת.[23] סייגים דומים חלים גם ביחס לזכות העיון במידע עצמו.[24]

הדין הגרמני נוקט גישה מרחיבה לחובת היידוע. החוק המסדיר את סמכויות המעקב הכלליות של גופי המודיעין הגרמניים,[25] מורה שבתום מעקב אחר יעד מודיעני פרטני, יש ליידע את היעד על ביצוע המעקב. יש לממש את זכות היידוע תוך שנה, וכל דחיה נוספת כרוכה באישור ועדת פיקוח מיוחדת.[26] הוראות דומות מצויות בקוד סדר הדין הפלילי הגרמני,[27] המורה שכשהיידוע אינו מסכן את מטרות החקירה, חיי אדם, את שלמותו הגופנית או את חירותו, חובה ליידע את הנעקבים על כך שהיו מטרה לאמצעי יירוט תקשורת. דחייה ביידוע הנעקבים החורגת משנה לאחר השלמת המעקב כפופה לאישור בית המשפט.[28] הוראות יידוע דומות חלות גם בחוק המשטרה הפדרלית של גרמניה (BKAG – Bundeskriminalamtgesetz),^[29] לפיו יש ליידע לאחר מעשה את המטרות המודיעניות בשורה של שיטות מעקב (לרבות יירוט תקשורת), ושיהוי של מעבר לשנה מהשלמת המעקב כפוף לאישור בית המשפט.[30]

ההסדר הבריטי, מנגד, מקנה למושאי מעקב מקוון זכות יידוע צרה יותר. להבדיל מזכות גורפת ליידוע, חוק סמכויות חקירה (IPA) מורה על יידוע הנעקבים רק במקרים חריגים.[31] לפי החוק, אם נציב סמכויות החקירה גילה שבמסגרת הפעלת הסמכויות שבחוק נעשתה טעות חמורה בעניינו של אדם מסוים שהסבה לו נזק רציני, על הנציב לדווח לאותו אדם על הטעות, ובתנאי שהדיווח משרת את האינטרס הציבורי.

בית הדין האירופי לזכויות אדם (ECtHR) התייחס אף הוא מספר פעמים לזכות ליידוע של מושאי מעקב מקוון.[32] בעניין Ekimszhiev הראשון,[33] שניתן לפני כעשור וחצי, בית הדין האירופי הצביע על היעדר מנגנון יידוע של נעקבים בדיני המעקב המקוון הבולגריים, שבהיעדרו "אלא אם הם מועמדים לדין עקב מידע שנאסף על אודותם כתוצאה מפעולות מעקב חשאיות, או במקרים של דליפה, אין הנעקבים יכולים ללמוד על כך שהם נוטרו ובהתאם אין ביכולתם לבקש סעדים בגין פגיעה שלא כדין של זכויותיהם."[34]

החוק הבולגרי תוקן בעקבות עניין Ekimszhiev הראשון, וה- ECtHR דן בו לאחרונה שוב, בעניין Ekimszhiev השני.[35] במסגרת התיקון, הוקמה בבולגריה הלשכה המיוחדת לבקרה על אמצעי מעקב מיוחדים (ובתוכם אמצעים סיגינטיים) – גוף פיקוח עצמאי הממונה באמצעות הפרלמנט.[36] בדומה להסדר הבריטי, החוק מורה ללשכה המיוחדת ליידע מיוזמתה אנשים פרטיים שהושמו תחת מעקב שלא כדין, אלא אם הדבר יסכל את תכלית המעקב, יסגיר שיטות ואמצעים, או יסכן את חייהם של סוכנים חשאיים וקרוביהם.[37] לפי פרסומי הלשכה המיוחדת, בין השנים 2014 ו-2020, ניתנו עשרים ואחת הודעות כאלו.[38] להבדיל מההסדר הבריטי, שמאפשר למושאי המעקב לבקש סעדים גם בהתבסס על נסיבות עובדתיות משוערות בלבד (ולא על בסיס ידיעה מלאה) ביחס לפגיעה בזכויותיהם במסגרת טריבונל מיוחד,[39] ההסדר הבולגרי אינו מאפשר לעתור לסעד על בסיס השערות גרידא.

בהתייחס לזכות היידוע של מושאי מעקב בדין הבולגרי, הלכת ה- ECtHR מדגישה שבהיעדר סעדים שאינם תלויים ביידוע, חובת יידוע הנעקבים אינה מוגבלת למקרים של מעקבים שנעשו שלא כדין, ושיש להודיע לכל יעדי המעקב על דבר המעקב בהזדמנות הראשונה שבה ההודעה אינה מסכלת את תכליתו.[40] משכך, קבע בית הדין שהסדרי היידוע הבולגריים שלעיל צרים מדי,[41] ושהם תורמים להפרה של הזכות לפרטיות תחת סעיף 8 לאמנה האירופית לזכויות אדם.[42] גם לאחר עניין Ekimszhiev השני יש להביא בחשבון שנוכח האופן ההוליסטי בו בית הדין האירופי לזכויות אדם מנתח דיני מעקב מקוון לאומיים,[43] זכות היידוע של נעקבים אינה תנאי הכרחי להלימה עם הדין האירופי,[44] ונראה שהטעם העיקרי לה הוא כדרישת קדם מעשית למימוש הזכות לתבוע סעדים בגין הפרות. זאת משום שבלעדי יידוע הנפגעים על הפרת זכויותיהם, אין הם יכולים לדעת שהם היו מושא למעקב.

המודל המוצע בישראל

החלת חובת יידוע על גופי אכיפת החוק בישראל, לפיה אלו ידווח למושאי המעקב שלהם עם סיומו של המעקב או במועד הקרוב ביותר לסיומו שאינו מסכל את החקירה, ואינו מסכן חיי אדם או את שלמות הגוף, תשמש בקרה נוספת על פעילותם במטרה להבטיח שזו תהיה כדין. כדי שחובת יידוע זו תהיה אפקטיבית יש להשלימה בהעמדת סעדים למושאי המעקב בגין פגיעה בזכויות,[45] ובהצבת גוף המפקח על יישום חובה זו.[46] כך למשל ניתן להתנות צווים המתירים איסוף סיגינטי בציון המועדים הצפויים ליידוע הנעקבים, ובהארכתם בכפוף לאישור בית המשפט.

להתעורר בבוקר ולגלות אבק וטביעות רגליים זרות על המיטה, או מכתב מהמשטרה המבשר לך שהיית תחת האזנה, או שהתוכן של מכשיר הטלפון הנייד שלך נשאב במסגרת חקירה פלילית, זה לא עניין נעים. ואולם כבר בהקשרים אחרים נאמר שבערות היא כוח,[47] וכאשר אדם אינו יודע שהוא היה נתון תחת מעקב – הכוח עשוי להשחית.

---

עמיר כהנא הוא חוקר במרכז לערכים ולמוסדות דמוקרטיים שבמכון הישראלי לדמוקרטיה ועמית מחקר במרכז פדרמן לחקר הסייבר באוניברסיטה העברית, התוכנית לסייבר ומשפט.

ציטוט מוצע: עמיר כהנא "לא רק אבק על המיטה: על זכות היידוע של נחקרים" ICON-S-IL Blog‏ (30.1.2022).

---

[1]  מנחם בגין "מעמדו של ש.ב. המחלה: שלטון ממושך" חרות 21.6.1957, 2.

[2]  על השימוש הפוליטי בשב"כ בראשית ימי המדינה, ראו עמיר כהנא ויובל שני פיקוח על מעקב מקוון בישראל 34–35 (מחקר מדיניות 149, המכון הישראלי לדמוקרטיה 2020) (להלן: כהנא ושני פיקוח) והמקורות שם.

[3] תומר גונן "חברת NSO בשירות משטרת ישראל: פריצות לטלפון של אזרחים ללא פיקוח או בקרה" כלכליסט (18.1.2022); תומר גונן "'הולך עם גברים ככל הנראה, בזמן שהוא נשוי. להכין חיסיון. להגיד ליחידה החוקרת להכין צו האזנות'" כלכליסט (20.1.2022).

[4]  עמיר כהנא ויובל שני רגולציה של מעקב מקוון בדין הישראלי ובדין המשווה (מחקר מדיניות 123, המכון הישראלי לדמוקרטיה 2019) (להלן: כהנא ושני רגולציה).

[5]  כהנא ושני פיקוח, לעיל ה"ש 2.

[6] עומר כביר "הצעת חוק חדשה בעקבות תחקיר כלכליסט: לפסול על הסף כל ראיה שנאספה שלא כדין" כלכליסט (19.1.2022).

[7]  דנ"פ 1062/21 אוריך נ' מדינת ישראל (אר"ש 11.1.2022).

[8] צבי זרחיה "'היעדר מפכ"ל קבוע הקל על מעקבי המשטרה'" כלכליסט (20.1.2022)

[9] לדוגמא, Commission Regulation 2016/679 of 27 Apr. 2016 on the Protection of Natural Persons with Regard to the Processing of Personal Data and on the Free Movement of Such Data, and Repealing Directive 95/46/EC (General Data Protection Regulation), Art. 13, 2016 O.J. (L 119) 1 (EU) (להלן: GDPR).

[10]  ס' 11 לחוק הגנת הפרטיות, התשמ"א-1981. ראו גם רחל ארידור-הרשקוביץ ותהילה שוורץ-אלטשולר הצעת חוק הגנת הפרטיות, התשע"ט-2019 56–60 (2019).

[11] מיכאל בירנהק מרחב פרטי: הזכות לפרטיות בין משפט וטכנולוגיה 230–232 (2011); ס' 2(9) לחוק הגנת הפרטיות; ארידור-הרשקוביץ ושוורץ-אלטשולר, לעיל ה"ש 10, בעמ' 51–52; ס' 5(1) ו-6(4) ל-GDPR.

[12] ראו ס' 13 לחוק הגנת הפרטיות; ארידור-הרשקוביץ ושוורץ-אלטשולר, לעיל ה"ש 10, בעמ' 63–68; ס' 15 ל-GDPR.

[13]  Gabriela Zanfir-Fortuna, Article 13. Information to be Provided Where Personal Data Are Collected From The Data Subject, in The EU General Data Protection Regulation (GDPR): A Commentary 412 (Christopher Kuner et al. eds., 2020).

[14]  ס' 19(ב) לחוק הגנת הפרטיות.

[15]  וזאת, להבדיל למשל מהגבלת זכות העיון במאגרי מידע של רשות ביטחון בס' 13(ה)(1) לחוק הגנת הפרטיות.

[16]  ס' 2(2)(d) ל-GDPR.

[17] Directive 2016/680, of the European Union Parliament and of the Council of 27 April 2016 on the Protection of Natural Persons with regard to the Processing of Personal Data by Competent Authorities for the Purposes of the Prevention, Investigation, Detection or Prosecution of Criminal Offences or the Execution of Criminal Penalties, and on the Free Movement of such Data, and Repealing Council Framework Decision 2008/977/JHA, OJ L 119, 4.5.2016, p. 89–131 (להלן: דירקטיבת המשטרה). להרחבה, ראו כהנא ושני רגולציה, לעיל ה"ש 4, בעמ' 121–130.

[18]  ס' 11 לחוק הגנת הפרטיות.

[19] ראו המקורות המנויים בה"ש 3 לעיל.

[20] ניצן שפירא "מובילי מחאת בלפור נגד המשטרה: 'הפכה בתקופת אוחנה-נתניהו לגוף שרודף אזרחים'" N12 (18.1.2022).

[21]  כהנא ושני פיקוח, לעיל ה"ש 2, בעמ' 31.

[22]  ס' 13(1) לדירקטיבת המשטרה נוקט בלשון " shall provide for the controller to make available to the data subject at least the following information" [ההדגשה אינה במקור].

[23]  ס' 13(3) לדירקטיבת המשטרה.

[24]  ס' 15 לדירקטיבת המשטרה.

[25] Artikel 10-Gesetz vom 26. Juni 2001 (BGBl. I S. 1254, 2298; 2007 I S. 154), das zuletzt durch Artikel 12 des Gesetzes vom 14. August 2017 (BGBl. I S. 3202) geändert worden ist (להלן: G10). להרחבה, ראו כהנא ושני רגולציה, לעיל ה"ש 4, בעמ' 205–209.

[26] ס' 12 ל-G10.

[27] Strafprozessordnung [StPO] [Code of Criminal Procedure] BGBl I (Ger.).

[28] ס' 101, שם.

[29] Bundeskriminalamtgesetz vom (7.7.1997) (BGBl. I S. 1650), as amended by Article 2 of (1.6.2017) (BGBl. I S. 1354) (להלן: BKAG).

[30]  ס' 74, שם.

[31]  Investigatory Powers Act 2016, c.25, § 231 (UK).

[32] ראו, למשל, Weber and Saravia v. Germany, App.No. 54934/00 Eur. Ct. H.R. (June 29, 2006); The Association for European Integration and Human Rights and Ekimdzhiev v. Bulgaria, App. No. 62540/00 Eur. Ct. H.R. (June 28, 2007) (להלן: עניין Ekimszhiev הראשון).

[33] שם.

[34] שם, בפס' 91.

^[35] Ekimszhiev and Others v. Bulgaria, App. No. 70078/12 (Jan. 11, 2022) (להלן: עניין Ekimszhiev השני).

[36] שם, בפס' 13–17.

[37] שם, בפס' 130.

[38] שם, בפס' 135.

[39]  כהנא ושני פיקוח, לעיל ה"ש 2, בעמ' 132–135.

[40] עניין Ekimszhiev השני, לעיל ה"ש 34, בפס' 349.

[41]  שם, בפס' 356‎‏(g) ו-419(g).

[42]Convention for the Protection of Human Rights and Fundamental Freedoms, Nov. 4, 1950, 213 U.N.T.S. 221.

[43]  ראו, לאחרונה, Big Brother Watch and Others v. the United Kingdom [GC, Applications no. 58170/13, 62322/14 and 24960/15] (2021). להרחבה, ראו עמיר כהנא "'אני, האח הגדול, יודע מה עשית בקיץ האחרון': על פסק הדין בעניין Big Brother Watch v. UK" ‏ICON-S-IL Blog‏‏ (25.7.2021).

[44]  Maria Helen Murphy, Surveillance and the Right to Privacy: Is an 'Effective Remedy' Possible?, in Justiciability of Human Rights Law in Domestic Jurisdictions 289, 296 (Alice Diver & Jacinta Miller eds., 2016).

[45]  נוכח הוראות הפטור בס' 19 לחוק הגנת הפרטיות, ספק אם ניתן לתבוע מרשויות ביטחון סעד של פיצויים בגין פגיעה בפרטיות.

[46] הכוונה לפיקוח שוטף שמטרתו לוודא כי אכן עם תום כל מעקב מקוון, היעדים המודיעיניים שלו מיודעים (בכפוף לסייגים). בעת כתיבת שורות אלו, לא ברורה מידת הכשל בפיקוח שמפעיל משרד המשפטים על אמצעי הסיגינט המשטרתיים בפרשת השימוש המשטרתי ברוגלות. במקום אחר הצעתי להקים נציבות סיגינטית עצמאית לפיקוח על פרקטיקות מעקב מקוון של סוכנויות המודיעין ואכיפת החוק (ראו כהנא ושני פיקוח, לעיל ה"ש 2, בעמ'  248–258). אפשר שגם ביחס לחובת היידוע, הגורם המפקח היעיל ביותר הוא נציבות סיגינט עצמאית.

[47] ג'ורג' אורוול 1984 7(1971).