הליכוד ו"אלקטור" לבג"ץ: ליקויי האבטחה תוקנו; הרשות להגנת הפרטיות: עצם השימוש באפליקציה בעייתי

העתירה לבג"ץ נגד השימוש במערכת "אלקטור" בבחירות מחדדת את המחלוקת החריפה בנוגע לליקויי האבטחה שהתגלו בה. בליכוד ובחברת התוכנה טוענים שהאפליקציה אינה פוגעת בפרטיות, ושלא נעשה בה שימוש בלתי חוקי. מנגד, ברשות להגנת הפרטיות, שחוקרת את החברה, מתעקשים שהחקירה חשפה ליקויים חמורים ואף חשד להפרות חוק. לטענת הרשות, החשד להפרות חוק אינו נובע רק מליקויי האבטחה, אלא גם מעצם השימוש באפליקציה.

אפליקציית "אלקטור" היא מערכת שמאפשרת לעובדי ופעילי הקמפיין לעקוב אחר שיעורי ההצבעה ולהמריץ בוחרים שסווגו מראש כתומכים פוטנציאליים. כדי לעשות זאת הוזנו לתוכה פרטיהם האישיים של 6.4 מיליון הישראלים בעלי זכות הבחירה. לצד פרטים יבשים כמו שמות וכתובות מגורים עדכניות – שמופיעים בפנקס הבוחרים ונמסרו לליכוד כחוק – חלק מהבוחרים סווגו גם לפי הדעות הפוליטיות המיוחסות להם ורקע רפואי ורגשי שיש לנצל כדי להשפיע עליהם.

בשבועות האחרונים התברר שפרצות אבטחה שהתגלו ב"אלקטור" גרמו לדליפת מאגר המידע העצום של הליכוד. עוד לפני הדליפה התברר כי בליכוד מעניקים לפעילים גישה למאגר בלי לסנן אותם כראוי – מצב שאִפשר לפעילי שמאל ועיתונאים להיכנס למאגר ולחשוף כיצד הוא פועל ואיזה מידע נשמר בו. על רקע זה מתבקש בג"ץ למנוע מהליכוד לעשות שימוש ב"אלקטור" בבחירות שייערכו בשבוע הבא, או למצער להגביל את השימוש באפליקציה לעובדי המפלגה בלבד.

הרשות להגנת הפרטיות: "נושא השימושים באפליקציה בשגרה (אף ללא קשר לאירוע הדלף) מעלה חששות להפרות הוראות חוק הגנת הפרטיות ותקנותיו, אשר ייבדקו"

העותרים, עורכי-הדין שחר בן-מאיר ויצחק אבירם, מבקשים מבג"ץ גם לאסור על משקיפי הליכוד בקלפיות להשתמש ב"אלקטור" בזמן אמת כדי לדווח למטה המפלגה אילו מצביעים הגיעו לקלפי ואילו טרם עשו זאת.

העתירה לבג"ץ הוגשה בשבוע שעבר אחרי שעתירה דומה הוגשה לוועדת הבחירות המרכזית ונדחתה על-ידי יו"ר הוועדה, השופט ניל הנדל, בטענה שאין לו סמכות לדון בה. אתמול (23.2) הוגשו לבג"ץ תגובות מטעם הליכוד, חברת "אלקטור" והמדינה – הרשות להגנת הפרטיות במשרד המשפטים, היועץ המשפטי לממשלה ויו"ר ועדת הבחירות המרכזית. המשיבים אמנם מאוחדים בדרישה לסלק את העתירה על הסף, אך מציגים עמדות הפוכות בנוגע למשמעות השימוש באפליקציה ובמאגר המידע שעל בסיסו היא פועלת.

בליכוד וב"אלקטור" טוענים שמדובר בעתירה פוליטית ומצהירים שהשימוש באפליקציה חוקי ואינו פוגע בפרטיות. ב"אלקטור" אף חוזרים על גרסה לא נכונה שהשמיעו קודם לכן, ולפיה פרצת האבטחה הראשונה התגלתה ב-8 בפברואר, יום שבת, ותוקנה "שניות ספורות לאחר שהובאה לידיעת מנכ"ל החברה [צוריאל ימין], שומר שבת". חושף פרצת האבטחה, המתכנת והעיתונאי רן בר-זיק, מצא אותה יום קודם לכן בעקבות הדלפה של אדם אחר שגילה אותה עוד לפני כן, במועד בלתי ידוע.

בימים שלאחר חשיפת פרצת האבטחה הראשונה דווח על מציאת עוד שתי פרצות לפחות ב"אלקטור". ואולם, בתגובה שהוגשה לבג"ץ מכחישה החברה את עצם קיומן של אלו. "לא היתה פריצה שנייה", קובע עורך-הדין שמייצג את "אלקטור", ירון דוד. לטענת "אלקטור", פרצת האבטחה הראשונה שהתגלתה באפליקציה היתה גם פרצת האבטחה האחרונה. בעקבותיה הגיעו למשרדי החברה אנשי הרשות להגנת הפרטיות, ופתחו בהליך בדיקה ופיקוח.

אף שמדובר במעין חקירה, ב"אלקטור" מתארים את ההליך הזה כ"שיח הדדי פורה" שבו אנשי הרשות הממשלתית מנחים את עובדי החברה כיצד להגן על המידע, ועובדי החברה פועלים בהתאם. בליכוד מצטרפים לטענה הזאת, וטוענים כי הטענות על פגיעה בפרטיות של ציבור הבוחרים לא הוכחו. "בעיות אבטחה אינן מובילות בהכרח לפגיעה בפרטיות", טוענים עורכי-הדין שמייצגים את הליכוד, היועץ המשפטי של המפלגה אבי הלוי, ניבה הלוי ושמואל תמיר (שורקי).

לטענת הליכוד, "מאות אלפים" מתומכי המפלגה כבר "משתמשים באפליקציה" ו"רואים בה כלי חוקי למימוש זכותם לבחור ולהיבחר"

"הליכוד מנהל את מאגרי המידע שברשותו ומשתמש בהם בהתאם לחוק הבחירות לכנסת ולחוק הגנת הפרטיות ולתקנות שהוצאו מכוחו", מצהירים עורכי-הדין. לטענתם, "מאות אלפים" מתומכי הליכוד כבר "משתמשים באפליקציה" ו"רואים בה כלי חוקי למימוש זכותם לבחור ולהיבחר".

בדומה לתגובה שהוגשה לבג"ץ מטעם "אלקטור", גם בליכוד מתעלמים מכך שגם אם הפרצה כבר תוקנה, ואפילו אם באמת לא היו פרצות נוספות – המידע עצמו כבר דלף. בתגובת המדינה לבג"ץ, שמתבססת על חקירת הרשות להגנת הפרטיות, נקבע כעובדה שליקויי האבטחה ב"אלקטור" הובילו ל"אירוע דלף".

כפי שהצהירה הרשות להגנת הפרטיות גם בפני ועדת הבחירות המרכזית, החקירה העלתה "ממצאים חמורים" לגבי אלקטור, ובכלל זה "הפרות חוק ותקנות לכאורה" – ולא רק בגלל פרצת האבטחה. לפי הרשות להגנת הפרטיות, גם עצם השימוש באפליקציה עלול להתברר כבלתי חוקי.

"עם גיבוש הממצאים הסופיים ולאחר מתן זכות שימוע לגורמים הרלבנטיים, הרשות תפעל בעניין בהתאם לסמכויותיה על-פי דין", כתבו עורכי-הדין אבי מיליקובסקי ואילנית ביטאו ממחלקת הבג"צים בפרקליטות המדינה. "עוד יצוין כי לעמדת הרשות להגנת הפרטיות, נושא השימושים באפליקציה בשגרה (אף ללא קשר לאירוע הדלף) מעלה אף הוא כשלעצמו חששות להפרות הוראות חוק הגנת הפרטיות ותקנותיו, אשר ייבדקו".

ברשות להגנת הפרטיות מערערים גם על קביעה אחרת של אנשי "אלקטור" שלפיה כעת – לאחר התערבות הרשות – "לא יהיה זה מוגזם לומר שטרם היה בישראל יישומון כה מותקף, כה מפוקח וכה מאובטח".

ברשות להגנת הפרטיות, מנגד, מאשרים שלא נמצאו עוד "ליקויים חמורים או אינדיקציות אחרות המבססים צורך להשבית שוב את המערכת" אך מבהירים ש"הבדיקות בוצעו תחת אילוצי זמן וכלים טכנולוגיים ובהיקף חלקי", והן טרם הסתיימו. ברשות הדגישו: "בעולם הרשתי אין מערכת החסינה לאירועי אבטחה, ולכן לא ניתן לשלול אפשרות כי יתרחשו אירועי אבטחה נוספים".

בג"ץ 1311/20