ערים חכמות ותאגידים עירוניים – פינת הגנת הפרטיות

מאת עו”ד אביב מעוז

(הכתבה פורסמה בגרסה מקוצרת בדה מרקר)

ישראל דיגיטלית” הוא נושא החלטת ממשלה משנת 2017. הרשויות המקומיות והתאגידים העירוניים  (גופים ציבוריים) פועלים להשגת מטרה זו תוך כדי קידום מיזמים טכנולוגיים שהופכים את הערים ל”ערים חכמות”. בנובמבר 2018 פרסם המרכז הבינתחומי לראשונה “מדד ערים חכמות” המעריך את העשייה העירונית הישראלית בתחום ערים חכמות ומקיימות. יחד עם זאת, בתוך המירוץ לעיר החכמה, נדמה שלעיתים נשכח נושא חשוב לא פחות, שבעידן הנוכחי מכה גלים גם בהיבט הגלובאלי ובמקרים מסוימים יכול להיות בעל משמעויות אזרחיות ופליליות לנושאי המשרה  בגופים הציבוריים – והוא הגנת הפרטיות. מהי עיר חכמה, כיצד משתלבים התאגידים העירוניים בקונספט הזה ומהן החובות המוטלות על  הרשויות והתאגידים, כדי לשמר את פרטיות תושביהן תוך מתן דגש לעמידת נושאי המשרה בהוראות הרגולציה כדי להימנע מפעולות אכיפה, זו מטרתו של מאמר זה.      

קונספט “העיר החכמה” תופס בשנים האחרונות תאוצה בישראל וכן ההבנה הברורה שהקידמה יש בה כדי להועיל לעיר, להקל על חיי תושביה במגוון תחומים שבתחום סמכותה של הרשות המקומית ולבסוף, עם התנהלות נכונה, להשפיע לטובה על תוצאותיה של מערכת בחירות. בהתאם, רשויות מקומיות יחד עם התאגידים העירונייים מתקצבים ופועלים למימוש תפיסה זו.

בחלק מהמקומות עדיין קיים החשש שמא הטמעתן של מערכות חכמות ושימוש ברשתות חברתיות בתוך מערכות העירייה עלולים להוביל לאובדן שליטה של נושאי המשרה ונבחרי הציבור בגופים הציבוריים . יחד עם זאת חשש זה והפחד שהוא טומן בחובו מהקידמה, הינם שגויים ומשולים להיסטריה מבאג 2000 או החשש מיום הדין, היום בו “המכונות ישתלטו על העולם”.

יש להבין, למרות שאין לה הגדרה אחת, הרי שמשמעות “העיר החכמה”, בבסיסה, הינה שילוב בין רשתות ותשתיות קיימות לטכנולוגיות מתקדמות במטרה לשפר ולייעל את השירותים הניתנים לאזרח. למושג זה ממשק לכל תחומי החיים בין אם מדובר בתחבורה, בריאות, איכות הסביבה, סביבת מגורים, חינוך, ביטחון הציבור וכו’, במטרה לאפשר איכות חיים גבוהה יותר, בהתאם לתיעדוף הפרויקטים ברשות המקומית ולרמת השקיפות והשיתופיות שהרשות מוכנה לפעול כלפי תושביה.

פרוייקטים בתחום העיר החכמה דורשים תקצוב עירוני וממשלתי, אך משזה ניתן מספר יעדים  עירוניים אסטרטגיים מושגים. יעילות וצמצום תשומות כח אדם, צמצום פערים חברתיים, מעורבות אזרחית, שיתופי פעולה עסקיים ותדמית חדשנית הם רק חלק מיעדים אלו.        

בעולם, רשויות מקומיות רבות כבר נמצאות בעיצומם של תהליכים להטמעת יישומים טכנולוגיים שישפיעו לטובה על חיי תושביהן . בארה”ב – 66% מהערים משקיעות בסוג מסוים של טכנולוגית עיר חכמה. כך לדוגמא: העיר בוסטון מקדמת פרוייקט שנקרא: Vision Zero Boston כחלק מחזון העיר למזער או למנוע לחלוטין מקרי תאונות דרכים קטלניות עד לשנת 2030. במסגרת פרויקט זה התקינה העירייה סנסורים ומצלמות בצמתים מרכזיים באמצעותם אוספת מידע על הפעילות באותה הצומת, מנתחת את המידע ועורכת שינויים בצמתים לטובת תושבי העיר. לוס אנג’לס, שב- 2018 נבחרה בפעם השלישית ברציפות כעיר הדיגיטלית של ארה”ב ,מטפלת בצורה חכמה בבעיית האשפה ומאפשר לתושביה להוריד אפלקציה באמצעותה מדווחים התושבים על מקרי השלכת אשפה פירטית למוקד העירוני, המוקד אוסף את הנתונים ומחלקת התברואה מטפלת עד לסגירת הפנייה במוקד. איסוף הנתונים דרך האפליקציה מאפשר לעירייה לערוך דוחות סטטיסטיים מדויקים ובתוך כך לנהוג בשקיפות ייתרה כלפי תושביה באמצעות האפליקציה.

בישראל, ברמת השלטון המרכזי, החלטת ממשלה 2733 מיוני 2017 אישרה את התוכנית הדיגיטאלית הלאומית ואת קידומו של המיזם הלאומי “ישראל דיגיטאלית”. 

ברמת השלטון המקומי, הערים הגדולות, תל אביב, ירושלים, חיפה ובאר שבע כבר הפנימו את יתרונות העיר החכמה ופועלות בעצמן, באמצעות התאגידים העירוניים או צוותים משותפים ייעודיים, לקידום פרויקטים חדשניים וחכמים בתחום החינוך, אנרגיה, תחבורה, ביטחון הציבור, תברואה ועוד. 

למשל, עיריית תל אביב, שדורגה במקום הראשון ב”מדד הבינתחומי לערים חכמות ומקיימות” שמוביל בית הספר לקיימות במרכז הבינתחומי הרצליה, מקדמת באמצעות החברה העירונית עתידים פרויקטים למציאת פתרונות טכנולוגיים לבעיות אורבניות בדגש על איתור מפגעים בביטחון ותברואה. עיריית אילת שדורגה במקום השני במדד התקינה באמצעות החברה הכלכלית מערך אינטרנט אלחוטי בעיר. תהליך דומה קורה גם  בפריפריה הצפונית – עיריית נהריה, הגדירה את שנת 2019 כשנת היעד להגשמת חזון העיר החכמה ופועלת באמצעות החברה הכלכלית למימושו. 

היבט הגנת הפרטיות

במהלך קידום וביצוע פרויקטים חכמים אוספים (Collect) ומעבדים (Process) הגופים הציבוריים, אם בעצמם ואם באמצעות צדדים שלישיים, כמויות מידע אישי עצומות (Big Data) על תושביהם ומבקריהם. זאת, בין היתר באמצעות רישום לאתר האינטרנט, הנפקת כרטיס חכם לתושב, רישום לאפליקציה עירונית, רישום לרשת ה- WiFi העירונית שימוש בסנסורים ומצלמות, יישום טכנולוגיות IoT (Internet of Things) ועוד. 

למען הבהירות, המידע שנאסף כולל, בין היתר שמות, כתובות, תעודות זהות, מספרים סלולאריים, כתובות IP, מיקומי GPS ומרגע שניתן לקשר את המידע לאדם מסוים ולזהות באמצעותו אינדיבידואל ספציפי, המידע הזה הופך למידע אישי ופרטי שנדרשת לגביו הסכמה ובסיס חוקי לאיסופו ולעיבודו על ידי הגוף הציבורי  או צד שלישי (מסחרי או אחר) שאליו הועבר המידע האישי.  

כלומר, עם כל היתרונות שיש לעיר חכמה ברמה התכנונית, סביבתית וחברתית, הרי שהיכולת לכרות (Mine) כמות מידע שכזו, ולקשר אותה ברמה שניתן לנטר (Monitor) התנהגויות והרגלים עלולה לבוא על חשבון האינדיבידואל, שחי או מבקר בעיר או ליתר דיוק, על חשבון פרטיותו של התושב או האדם הפרטי שמסכים, לעיתים קרובות מבלי משים או בהעדר חלופות, ללא ברירה אמיתית, לפגיעה בפרטיותו.

האתגרים שמתמודדות עימן הערים החכמות והתאגידים העירוניים שאחראיים על ביצוע הפרויקטים בהקשרים של הגנת הפרטיות באים לידי ביטוי בכמה רמות ובעיקר בהיבט אבטחת המידע, היכולת להבטיח שהשימוש שנעשה במידע הינו בהתאם למטרה לשמה נאסף (עקרון הצמידות), העברת המידע לצדדים שלישיים תוך שמירה על עקרונות הדין וכמובן, העלויות הנלוות לכך. 

אין ספק שהלחצים והמבחנים שעומדים בהם נושאי המשרה ברשויות ובתאגידים העירוניים, בעיקר כשמעורבים גם גורמים שלישיים עסקיים, לקיים רמת אבטחה נדרשת, לעשות שימוש במידע רק למטרה לשמה נאסף ולהימנע משיקולים זרים הינם אדירים. 

במילים אחרות, הידע שנובע מהמידע שנאסף הוא כוח ומה יותר קל מלעשות שימוש במידע, בכוח הזה, לפגיעה בתחרות, לשימושים מסחריים, או אפילו במקרה הגרוע להשפעה על דעת הקהל בתקופת בחירות סוערת. 

מתוך הבנה לגבי הסיכונים והקשיים שתוארו לעיל, בדצמבר 2018 פרסמה הרשות להגנת הפרטיות את ה”מדריך הגנת הפרטיות לעיר החכמה”. המדריך נכתב ונועד להבהיר, בין היתר, את מחויבויות ומשמעויות הגופים  הציבוריים בהקשר לתקנות הגנת הפרטיות (אבטחת מידע), התשע”ז – 2017 שנכנסו לתוקף במאי 2018.

יצוין כי תקנות אלו נכנסו לתוקפן כשבועיים לפני כניסתו לתוקף של חוק הפרטיות המשמעותי ביותר של זמננו, ה General Data Protection Regulation (GDPR) האירופאי וממילא, גם במטרה להתאים את דין הפרטיות הישראלי לדין האירופאי, יחד עם חוק הגנת הפרטיות מאגדות תקנות אלה בחובן הגדרות וחובות שנכללו ב- GDPR. כך לדוגמא:

• “עקרון הצמידות” – שימוש במידע שנאסף למטרה לשמה נמסר המידע בלבד;

• בסיס חוקי לאיסוף ו/או עיבוד ו/או העברת המידע – חובת יידוע וקבלת הסכמת נושא המידע (האדם הפרטי) לאיסוף המידע, שימוש בו והעברתו לצדדים שלישיים;

• Controllers vs. Processors – הבחנה בין בעל מאגר המידע לבין המחזיק בו;

• זכות עיון ותיקון המידע הפרטי שמופיע במאגר על ידי נושא המידע, ככל שהמידע שמופיע במאגר אינו מדויק;

• אבטחת המידע בהתאם להערכת הסיכון Risk Based Approach)) – הגדרת מאגר מידע בסיכון גבוה מטילה חובות אבטחה שונות לעומת הגדרת סיכון בינוני או נמוך;

• ממונה אבטחת מידע – חובת מינוי במקרים מסוימים בדומה לחובת מינויו של ה- DPO (Data Protection Officer) האירופאי;

• גישה והרשאה לגורמים מוסמכים בלבד למאגרי המידע;

• אמצעים נוספים שעל הגופים הציבוריים לנקוט בקשר עם מאגרי המידע, כגון: דיווח על ורישום עצם החזקת המאגר, דיווח מיידי במקרה של אירוע אבטחה (פריצה למאגר או זליגת מידע ממנו), עריכת מסמך הגדרות ונוהל אבטחה, ועוד. 

נושאי המשרה ברשויות ובתאגידים העירוניים – ראשי ערים, מנכ”לים, חברי דירקטוריון, ראשי מחלקות וממונים אחרים הפועלים בתחום העיר החכמה חייבים להביא בחשבון, כי משמעות אי עמידה בהוראות הדין עלולה להביא לפעולות אכיפה מצד הרשות להגנת הפרטיות נגד הרשות או התאגיד וכן עלולה להוביל להעמדה לדין פלילי או תביעה אזרחית בגין פגיעה בפרטיות.  

אין ספק שהמשמעות של עמידה בהוראות הדין וצמצום הסיכונים המשפטיים באה לידי ביטוי גם בעלויות כספיות נוספות שיוטלו על הגופים הציבוריים ובתקצוב מתאים, בין היתר לצורך איתור, רישום וביצוע הערכת סיכון מכל אחד ממאגרי המידע שבהם מחזיקים; התאמה טכנולוגית של מערכות איסוף המידע ועיבודו להוראות הדין; הקמת צוותים ייעודיים לניהול התחום; העסקת כוח אדם מיומן ומקצועי; קיום הדרכות בתחום הגנת פרטיות; ביצוע Due Diligence מקיף ביחס לכל חברה עימה מתקשרים ובחינה אם עומדת בהוראות דין הפרטיות, שמא מחדליה יובילו לאחריות נושא המשרה בגוף הציבורי; ומעל הכל בטחון הציבור במובן של אבטחת המידע, פיסית ווירטואלית;

יחד עם זאת, ברור שככל שיעשו הגופים הציבוריים יותר מאמצים להיות יותר שקופים בקשר עם אופן איסוף, עיבוד והעברת המידע לצדדים שלישיים, יבצעו הערכת סיכונים מקצועית ומיומנת, יוודאו עדכניותו של המידע במערכות הממוחשבות, ישתמשו במידע בהתאם לעקרון הצמידות, ידווחו כשנדרש על אירוע אבטחה ובעיקר יפעלו בהתאם לדין הפרטיות, כך יגבר אמון התושבים במערכת הציבורית, המידע שייאסף ויעובד יהיה מהימן יותר וממילא יהיה קל יותר לקדם פרוקטים בתחום העיר החכמה.

סיכום 

כבר בשנת 2012 עוד לפני תקנות אבטחת המידע ערך מבקר המדינה ביקורת ברשויות המקומיות ביחס לאסדרת הטיפול בנושא אבטחת מידע ומאגרי מידע וממילא הגת הפרטיות. ברשויות שנבדקו נמצאו ליקויים. כן נמצאו ליקויים ברמת השלטון המרכזי – משרד המשפטים, משרד הפנים והרשות הלאומית להגנת הסייבר במשרד ראש הממשלה, שאינם פועלים להנחות את הרשויות המקומיות ולהתוות מסגרת רגולטורית מתאימה לשמירת הפרטיות בפרוייקטים עירוניים. 

בשנת 2017 ערך מבקר המדינה ביקורת נוספת בתחום זה ומעקב אחר תיקון ליקויים. למותר לציין שגם בביקורת מעקב זו נמצא שהרשויות המקומיות, בהעדר אסדרה מרכזית לנושא, למעשה מתמודדות עם נושא אבטחת המידע והגנת הפרטיות, בדרך להגשמת חזון “ישראל דיגיטאלית”, כל רשות לפי מיטב הבנתה ולפי תקציב שהקצתה לנושא. 

לצד כל אלו, ביולי 2018 השיקו משרד הכלכלה, משרד הפנים וישראל דיגיטאלית תוכנית לאומית חדשה לקידום טכנולוגיות בתחום ערים חכמות (CITYZOOM) מתוך הבנה לחשיבות הנושא ומשמעותו להתפתחות עירונית ושיפור השירותים לתושבים.

במצב דברים זה, כאשר מחד מושקות ומקודמות תוכניות בתחום ערים חכמות ללא אסדרה מתאימה בתחום הגנת הפרטיות, ומאידך ברור שאיומי הסייבר רק הולכים ומתרבים ובעקבותיהם גוברים הסיכוניים המשפטיים ואיתם אחריות נושאי המשרה בגופים הציבוריים, נראה שיש צורך בשינוי, ויותר מכך בהתעשתות מערכות. אחרת, עלולים למצוא  עצמם הגופים הציבוריים בשנת 2022 תחת אותם ליקויים בביקורת וחמור מכך תחת פריצות למאגרי המידע, פגיעה בפרטיות, אובדן אמון הציבור ומשם קצרה הדרך להליכים משפטיים ואכיפה רגולטורית מכבידה.