וועדת חו”ב תקיים שני דיונים נוספים בהצע”ח סמכויות לאיסוף ואבחון של נתוני נוסעים הנכנסים לישראל או היוצאים ממנה – הכנה לקריאה שנייה ושלישית; פורסמו עמדות “אל על” והמכון הישראלי לדמוקרטיה

וועדת החוץ והביטחון בכנסת תקיים השבוע שני דיונים נוספים בהצעת חוק סמכויות לאיסוף ואבחון של נתוני נוסעים הנכנסים לישראל או היוצאים ממנה – הכנה לקריאה שנייה ושלישית. באתר הוועדה פורסמו עמדות חברת “אל על” והמכון הישראלי לדמוקרטיה.

עמדה ראשונית של הלשכה המשפטית בחברת “אל על” [מ- 20.2.2023]

“אל על נתיבי אויר לישראל בע”מ מתכבדת להציג את עמדתה ביחס להצעת החוק שבנדון לקראת ישיבת ועדת החוץ והביטחון של הכנסת שעתידה להתכנס ולדון בהצעת החוק. תחילה נציין כי הזימון לישיבה התקבל אצל אל על רק לפני מספר ימי ולפיכך מדובר בעמדה ראשונית בלבד שאינה ממצה, ואל על מבקשת כי יינתן לה פרק זמן נוסף על מנת להעמיק בהצעת החוק ולהבין את המשמעויות וההשלכות העולות והנובעות ממנה וכן להביע את עמדתה ביחס לכך בצורה מסודרת

“כמו כן, ובשים לב לכך שכפי שצוין בדברי ההסבר להצעת החוק, רשות האוכלוסין וההגירה הקימה ממשק טכנולוגי לאיסוף נתוני API והחלה לאסוף באמצעותו נתוני API במסגרת תכנית הרצה (פיילוט), וכן פיילוט נוסף להפעלת המרכז הלאומי לאבחון נתוניי נוסעים מט עם רשות המיסים בו משתתפת גם אל על, מוצע להמתין לסיום הפיילוט ים ולגיבוש הלקחים והמסקנות מהם בטרם קידום הצעת החוק.

“בעמדה ראשונית זו נבקש להפנות את תשומת לב הוועדה למספר נקודות (לא ממצות) שדורשות התייחסות:

+ שיוויון – הצעת החוק חלה לכאורה על כל חברות התעופה הטסות אל ישראל או ממנה (בהתאם להגדרת המונח “מוביל נוסעים” בסעיף ההגדרות). עם זאת, הסעיף המסמיך לדרוש מסירת מידע ממוביל נוסעים מעניק לראש המרכז שיקול דעת רחב, ולמעשה בלתי מוגבל, בשאלה איך כיצד וכלפי מי להפעיל את דרישת נתוני הנוסעים. יש חשש כי סמכות זו תופעל באופן לא שוויוני ביחס לחברות התעופה המפעילות טיסות אל ישראל או ממנה. במילים אחרות, יש חשש כי הסמכות תופעל בראש ובראשונה כלפי חברות התעופה הישראליות, ובראשן אל על.

“לעמדת אל על, יש לעגן בחוק חובה המורה לראש המרכז לפעול באופן שוויוני ביחס לכל חברות התעופה ומנגנון שיבטיח שמירת עקרון בסיסי זה.

+ עוד נציין בהקשר זה, כי לעמדתה של אל על יש לחייב בחוק את כל חברות התעופה המפעילות טיסות אל ישראל או ממנה, כחובה בסיסית הקבועה בחוק, להקים את הממשק האלקטרוני ולא רק חברת תעופה שתקבל דרישה ספציפית למסירת נתוני נוסעים מאת ראש המרכז.

+ כמו כן, לעמדת אל על, כאשר מדובר בטיסה בשיתוף, יש לחייב באופן שוויוני את כלל מובילי הנוסעים ולא רק את המוביל המבצע את הטיסה בפועל מישראל ואליה.

+ עלויות תפעוליות ומשמעויות כספיות – בשלב ראשוני זה טרם עלה בידי אל על להבין ולגבש באופן סופי את העלויות התפעוליות והמשמעויות הכספיות הנובעות מיישום החובות הקבועות על חברת התעופה בהצעת החוק. עם זאת, על פני הדברים נראה כי מדובר בעלויות ובמשמעויות שעשויות להיות לא מבוטלות. זאת בפרט לאור הצורך בתפעול ממשק להעברת הנתונים באמצעות ספק חיצוני, עלויות ההטמעה של ממשק זה ועלויות נוספות המושתות על החברה בגין כל פעימה של העברת מידע. כך גם הדרישה לבצע העברות נתונים נוספות בגין כל שינוי בפרטיו של מי מהנוסעים או אנשי הצוות, וכן במועדים נוספים בהתאם לשיקול דעתו של עובד המרכז, עשויות להטיל על החברה נטל כלכלי ותפעולי כבד. בהקשר זה, עמדתה של אל על היא כי יש לצמצם את מספר הפעימות בהן החברה מתבקשת לבצע העברת נתונים להעברה אחת בלבד, במועד ידוע ומוגדר מראש. בנוסף, מתן סמכות לקבוע הוראות נוספות בדבר איכות הנתונים, דרכי הצגתם, האמצעים האלקטרונים להעברתם ואבטחתם, עשויה להשית על החברה הוצאות בלתי מבוטלות ובלתי מוגבלות שאינן צפויות מראש.

+ בנוסף, נציין כי הטלת עלויות על חברות התעופה באופן לא שוויוני, טומנת בחובה סכנה להגברת האפליה ולהעמקת הפגיעה בתעופה הישראלית, ותפגע בסופו של דבר בתחרות ההוגנת בין חברות התעופה.

+ נתוני נוסעים שאינם נגישים בידי חברת התעופה – החוק מפרט בתוספת הראשונה את נתוני הנוסעים שחברת התעופה נדרשת למסור, וקובע סנקציות שונות בגין אי מסירת הנתונים, לרבות הטלת עיצומים כספיים. הנתונים המבוקשים הינם נרחבים, וחלקם אינם מצויים בידי החברה או שאינם מצויים בידי החברה במועדים בהם החברה מתבקשת למסרם, כגון נתונים על אודות מגדרו של אדם, כתובות פיזיות, אישורי הגעה, ועוד.

“כמו כן, חלק מהנתונים אינם ניתנים להעברה באמצעות התשתית הטכנולוגית המשמשת מכח רגולציות זרות, שכאמור מתבצעת באמצעות ספק חיצוני בעל יכולות טכניות מסוימות, וההיתכנות הטכנית להעברתם נתונה בספק, או למצער עשויה להשית עלויות כבדות מאוד על החברה . בהתאם לכך, מבוקש לקבוע חריג לפיו אי מסירת נתונים בשל כך כי אלו אינם מצויים במישרין בידי החברה, באמצעות כלי ההעברה הסטנדרטים במנגנונים הסטנדרטיים המשמשים את החברה, מכל סיבה שאינה נובעת מפעולה מכוונת של מחיקת הנתונים על ידי חברת התעופה, לא תהווה הפרה של הוראות החוק ולא תוביל להטלת סנקציה כלשהי על חברת התעופה.

“[…] חיוב חברות התעופה ליידע את הנוסעים אודות העברת הנתונים – ההסדר המוצע כולל הוראה המחייבת את חברות התעופה ליידע את הנוסעים אודות העברת המידע לרשויות. עמדת אל על היא כי החברה האחריות ליידוע הנוסעים אינה צריכה להיות מוטלת על חברות התעופה, הפועלות בנסיבות אלו בהתאם להוראות הרשויות בלבד. עמדת אל על היא כי חובת יידוע כללית מכח סעיף 11 לחוק הגנת הפרטיות, מוטלת במקרה זה על המרכז הלאומי לאבחון נתוני נוסעים בלבד. הטלת האחריות למסירת הודעה כאמור, שנוסחה אף עשוי להשתנות בכל עת, על חברות התעופה, עשויות להקשות על פעילותן, לסרבל את ממשקי הפעילות מול הלקוח וליצור חשיפות משפטיות שלא לצורך. עוד יצוין כי הישימות למילוי דרישה זו מוטלת בספק ככל שמדובר באפיקי מכירות באמצעות סוכנים. מכל מקום, עמדת אל על היא כי אין להטיל אחריות על החברה בגין אי מסירת הודעה בהתאם לתנאים המנויים בהצעת החוק.

“חשיפה משפטית לחברות תעופה ישראליות הנובעת מיישום הוראות החוק – יישום הוראות החוק עלול לחשוף את אל על לתביעות מצד נוסעים ו/או צדדים שלישיים נוספים בפני טריבונלים משפטיים זרים ו/או לקנסות מצד רשויות רגולטוריות זרות, וזאת בין היתר בשים לב לדיני הגנת הפרטיות באיחוד האירופי (לרבות תקנות ה- GDPR), עמדת אל על היא כי הצעת החוק צריכה לכלול התחייבות ל כך שאיסוף המידע והשימושים במידע ייעשו באופן מידתי בלבד, תוך הקפדה על עקרונות מינימיזציה של השימוש במידע ושמירתו בהתבסס על קריטריונים של צורך ממשי בלבד, על מנת לצמצם את יצירת של חשיפות משפטיות כאמור לחברות התעופה הישראליות. בפרט, מבוקש לקבוע בחוק הוראה לפיה ככל שתוטל על חברת תעופה ישראלית חבות כלשהי, בשל יישום החוק, הרי שהמדינה תשפה את חברת התעופה הישראלית במלוא ההוצאות שייגרמו לה בשל כך. עוד יש להבהיר, כי חברה שתיישם את הוראות החוק תזכה לפטור גורף מטענות בגין פגיעה בפרטיות בהתאם להוראות הדין הישראלי.

“בנוסף, עמדת אל על היא כי יש לכלול בחוק מנגנון באמצעותו תוכל החברה להתנגד באופן נקודתי להעברת נתונים מסוימים ככל שהיא סבורה כי הדבר עשוי ליצור עבורה חשיפות משפטיות ו/או לפגוע באינטרסים לגיטימיים של החברה ובזכויותיהם של נוסעיה. מנגנון זה נדרש בפרט לאור הסמכות המוענקת בהצעת החוק לגורם הממונה, להרחיב את דרישות הנתונים, כמפורט לעיל”.

עמדת התוכנית לדמוקרטיה בעידן המידע/המכון הישראלי לדמוקרטיה [מ- 19.2.2023]

בפתח הדברים כותבות ד”ר רחל ארידור הרשקוביץ וד”ר תהילה שוורץ אלטשולר כי “לצד מנגנוני הפרטיות החשובים והחיוניים המוצעים בהצעת החוק, היא מעוררת חששות משמעותיים בנוגע להיקף השימושים שמבקשת המדינה לעשות במידע אישי מזוהה, המגיע לידיה בכפייה. על חששות אלה נבקש להצביע בחוות הדעת”.

“בעידן הנוכחי קיימים הרבה מאד מאגרי מידע בידי המדינה ובידי חברות מסחריות, וקל מאד להצליב ולשלב מידעים ממאגרים שונים. קלות זו יוצרת בידי המחזיק במידע כוח רב שבצידו פיתוי לעשות שימושים שונים במידע על מנת לחשוף, לגלות ולהבין נושאים שונים ומגוונים. עם זאת, יש לזכור שלשימוש במידע יש מחיר הבא לידי ביטוי בפגיעה בפרטיות, בפגיעה באוטונומיה של הפרט ובסופו של דבר ביסודות עליהם מושתת המשטר הדמוקרטי. משום כך, יש להיזהר מפני ההתאהבות בכוח ובאפשרויות האין סופיות שמעניקות הגישה והשליטה בכמויות עצומות של מידע אישי. הבנה זו היא שצ ריכה לשמש כבסיס לבחינת השימוש בנתוני הנוסעים המוצע בהצעת החוק. הצעת החוק מגדירה באופן רחב מאד את מטרות השימוש, אופי השימוש והגופים המוסמכים לעשות שימוש בנתוני נוסעים ובכך מביאה איתה סכנה משמעותית לפגיעה בזכות לפרטיות.

“[…] לפי הצעת החוק, הרשות הממונה על איחסון נתוני הנוסעים ועיבודם היא רשות המיסים, בה יוקם “מרכז לאומי לאיבחון נתוני נוסעים”, ינוהל מאגר המידע ועובדיה יהיו עובדי המרכז, אם כי בעת העסקתם במרכז אין הם מורשים לעבוד בכל תפקיד אחר ברשות  המיסים. עובדי המרכז הם מורשי גישה לנתוני הנוסעים לשם עיבודם.

“הבחירה ברשות המיסים לתפקיד תמוהה ביותר. אין מדובר ברשות האחראית במהלך תפקידיה הרגילים על מידע הקשור בכניסה וביציאה לישראל, בהגירה, או בביטחון המדינה. בארה”ב הרשות האחראית לעיבוד נתוני הנוסעים הינה רשות המכס. באיחוד האירופי הרשויות המורשית לעבד את נתוני הנוסעים הן אלו שאחראיות למניעה, חקירה ואכיפה של העבירות המנויות במטרות החוק – מניעת מעשי טרור ופשיעה חמורה.

“נוכח מטרות החוק והרציונל שבבסיסו הגיוני יותר שהרשות האחראית על שמירה ועיבוד נתוני הנוסעים תהיה רשות האוכלוסין המורגלת בנתוני מידע מסוג זה, מחזיקה במומחיות המתאימה ומנגד אינה מחזיקה במאגרי מידע אחרים הקשורים לפעילות  הכלכלית של אזרחי המדינה או בסמכויות חקירה ואכיפה בתחום זה כרשות המיסים. העובדה שרשות האוכלוסין אף הקימה בעבר מימשק טכנולוגי לאיסוף נתוני נוסעים והחלה באיסוף סוג מסוים של נתוני נוסעים במסגרת פיילוט רק מחזקת את העמדה שהיא הרשות המתאימה להובלת המרכז.

“[…] התוצאה היא שארבע רשויות מוסמכות לעבד את המידע שבמאגר נתוני הנוסעים כרצונן ובחצרן וארבע נוספות מוסמכות לעשות זאת בתנאים. המספר הרב של הרשויות מורשות הגישה למאגר נתוני הנוסעים הוא תוצאה ישירה של ההגדרה הרחבה של מטרות השימוש במאגר. אולם, יש לזכור שמדובר בשימוש שמבקשת המדינה לעשות במידע אישי, רגיש ומזוהה, שנאסף בכפייה מנושאי מידע למטרות שונות בתכלית מאלו המצויינות בהצעת החוק. כבכל מאגר מידע גם כאן יש סיכוי שהמידע שבנתוני הנוסעים יאפשר לימוד מידע אחר או נוסף, לרבות מאפיינים או דפוסי התנהגות. אולם, אין בכך כדי להצדיק את הפגיעה החמורה והלא מידתית בזכות לפרטיות. יש לצמצם את מטרות השימוש במאגר ובהתאם לצמצם את רשימת הרשויות מורשות הגישה אליו”.