מכונית סדאן אפורה חולפת מתחת לגשר סימון בכביש מהיר במהירות 110 קמ״ש. המצלמה המקובעת לתורן קוראת את הלוחית, מחתימה אותה בזמן, שומרת אותה. אין בכך חידוש: המתקן הזה קיים כבר עשרים שנה, פרוס בעשרות אלפי עותקים בצפון אמריקה כמו באירופה.
אבל אם הגשר הזה קיבל את היחידה שקבוצת לאונרדו האיטלקית משווקת מיוני 2026, הוא הרגע רשם עוד משהו. את האייפון של הנהג. את האוזניות האלחוטיות של הנוסעת. את השעון החכם על לוח המחוונים. את מערכת השמע. את מחזיק המפתחות המחובר בתא הכפפות. את חיישני הלחץ של ארבעת הצמיגים. את תג הכניסה שנשאר בז׳קט. ואם כלב ישן מאחור, גם את שבב הזיהוי שלו.
תריסר מזהים, לוחית אחת, מיקום אחד, שעה אחת. חזרו על כך בכל גשר ברשת ואתם כבר לא עוקבים אחרי מכונית: אתם עוקבים אחרי אנשים, ואתם יודעים עם מי הם נעים.
מה המתקן עושה באמת
שם המוצר SignalTrace. הוא נמכר על ידי Leonardo US Cyber and Security Solutions ומשלים את סדרת ELSAG, אחד מקווי קוראי לוחיות הרישוי האוטומטיים הנפוצים ביותר בשוק האמריקאי. על קיומו נחשף ב-8 ביוני 2026 על ידי ג׳וזף קוקס ב404 Media , מתוך דף מוצר של היצרן.
הנקודה המכרעת נכנסת למשפט אחד: אין מדובר במצלמות חדשות. SignalTrace הוא חיישן רדיו שמתווסף לקוראי לוחיות שכבר מותקנים. התורן אינו משתנה, המיקום אינו משתנה, מתאר הציוד בצד הדרך אינו משתנה. מה שמשתנה הוא למה הציוד מאזין.
החיישן רושם את המזהים שמשודרים בגלוי על ידי פרוטוקולי הבלוטות׳, ה-Wi-Fi וה-RFID של המכשירים שברכב. נקודה טכנית שלרוב מובנת לא נכון: אף מכשיר אינו נפרץ ואף חולשה אינה מנוצלת. מכשיר בלוטות׳ או Wi-Fi משדר ברציפות מסגרות גילוי, משום שכך תוכננו הפרוטוקולים. האוזניות שלכם מכריזות על נוכחותן כדי שהטלפון ימצא אותן, והטלפון עצמו תוהה אל האוויר שסביבו בחיפוש אחר הרשתות שהוא מכיר. שידורים אלה פומביים מעצם בנייתם, וכל מקלט בטווח שומע אותם.
לאונרדו אף מציינת שהמערכת פועלת עם קורא לוחיות או בלעדיו , לרבות בתוך מבנים, ומזהה רכב שלוחיתו הוסתרה או הוסרה.
השדרוג של ציוד קיים הוא הסוגיה הפוליטית האמיתית. התקנת רשת מצלמות חדשה מחייבת הצבעה, דיון, לעתים התדיינות משפטית. הוספת כרטיס אלקטרוני לתוך מארז שכבר אושר אינה מחייבת דבר. יכולת המעקב משנה את טיבה בלי דיון ציבורי, משום שמבחינה חומרית אין שום דבר חדש לראות.
מהרכב אל האדם, ומהאדם אל הקבוצה
קורא לוחיות עונה על שאלה אחת: היכן היה הרכב הזה. SignalTrace מוסיף שתיים: מי היה בו, ועם מי.
לאונרדו אינה מסתירה זאת, זו טענת המכירה. המערכת יוצרת את מה שהתיעוד מכנה טביעת אצבע אלקטרונית, אוסף של מזהים ש״משודרים לעתים קרובות יחד״. הדוגמה של היצרן מפורשת: בעיר שלמה, רק רכב אחד יצרף אייפון 13rev2, מערכת שמע של אאודי, אוזניות Bose, שעון Garmin, איתרן מפתחות והלוחית ABC-1234.
המוצר אינו מסתפק במעקב אחרי כלי רכב. הוא מייצר אוטומטית גרף של קשרים בין אנשים, בלי שאיש נדרש לנסח ולו את החשד הקל ביותר.
כאן מתרחשת הקפיצה האיכותית. באמצעות מתאם בין מכשירים שנוסעים יחד באופן סדיר, המערכת בונה מכנית גרף חברתי. שני טלפונים שנפגשים כל בוקר באותה מכונית הם נסיעה משותפת, או קשר ששני הצדדים אינם מעוניינים לפרסם. חמישים מכשירים שנקלטים באותו מקום ובאותה שעה הם התכנסות: הפגנה, תפילה, ישיבת ועד עובדים או תור לפני מרפאה.
אף אחת מהמסקנות הללו אינה דורשת גישה לתוכן של תקשורת. היא נגזרת מטבלת קרבה, כברירת מחדל, על כלל האוכלוסייה הנעה ולא על יעדים שהוגדרו. זו אשמה מכוח היכרות, המיוצרת בקנה מידה תעשייתי, לפני כל חקירה. טום באומן, משפטן בCenter for Democracy & Technology , מסכם את הבעיה בעמודי TechNewsWorld : מה שהופך את הכלי למועיל למעקב אחרי חשוד אמיתי הופך אותו מסוגל באותה מידה לעקוב אחרי כל שאר הנהגים, שאיש מהם לא הסכים לכך שמכשיריו יירשמו.
לאונרדו משיבה בשתי טענות: המערכת אינה מפענחת ואינה קוראת את תוכן התקשורת, והיא אינה מזהה אנשים מעצמה. שתי הקביעות מדויקות, ושתיהן חורגות מהעניין. המידע המבוקש מעולם לא היה התוכן, הוא נמצא במטא-נתון המיקום, החושפני יותר ממסר. באשר לזיהוי, היצרן עצמו מודה שחוקר יכול לקשור חתימה אלקטרונית ללוחית, ומשם להגיע לבעלים דרך מרשמי הרישוי.
דין אמריקאי שנכתב לדבר אחר
בארצות הברית קיימים חוקי מדינה המסדירים את קוראי הלוחיות, וחלקם תובעניים באשר לתקופות שמירה ולמטרות גישה. אבל כולם נוסחו סביב מושא מוגדר אחד: תמונת לוחית הרישוי. אף אחד מהם אינו צופה קליטה של מזהי מכשירים אישיים על ידי אותו ציוד עצמו.
הפער הזה אינו יוצר אי-חוקיות אלא אזור אפור, נוח יותר למוכר. משטרה יכולה לטעון, בלי לשקר, שתוכנית קוראי הלוחיות שלה מאושרת ותקינה, בעודה אוספת מעתה תחת אותו משטר נתונים בעלי טיב שונה לחלוטין. לאונרדו גם מחזיקה בחוזים פדרליים, מול פיקוד המבצעים המיוחדים ומול מינהל השירותים הכלליים, כלומר נתיב רכש העוקף במידה רבה את האישורים המקומיים.
הדיון החוקתי, מצדו, זז זה עתה, ויש להקפיד כאן על דיוק משום שמצב הדין השתנה בקיץ הזה. בינואר 2026 קבע בית משפט פדרלי בווירג׳יניה, בעניין Schmidt v. City of Norfolk, שרשת מצלמות Flock של העיר אינה מהווה חיפוש במובן התיקון הרביעי, משום שאינה מכסה את מלוא תנועותיהם של התושבים. ההחלטה נמצאת בערעור בפני המחוז הרביעי, שם התייצב הACLU .
לאחר מכן, ב-29 ביוני 2026, נתן בית המשפט העליון את פסק הדין Chatrie v. United States . ברוב של חמישה מול ארבעה, מפי השופטת קייגן, נקבע שהשגת נתוני המיקום של טלפון בידי המשטרה מהווה חיפוש, שכן אדם שומר על ציפייה סבירה לפרטיות בנתונים אלה גם כשהם מוחזקים בידי צד שלישי וגם לתקופה קצרה. פסק הדין ממשיך את Carpenter v. United States משנת 2018 ומחליש את דוקטרינת הצד השלישי, כפי שציין הCDT .
היקפו המדויק של Chatrie לגבי SignalTrace לא הוכרע, ויהיה זה פזיז לטעון אחרת: פסק הדין עוסק בנתונים שנדרשו מגוגל, לא בקליטה ישירה של חיישן משטרתי במרחב הציבורי. אבל הוא מבסס את ההיגיון שחשוב, דהיינו שרגישותו של נתון מיקום אינה תלויה במי שמחזיק בו.
השאלה האירופית, שהיא השאלה האמיתית
כאן התיק נעשה לא נוח לאירופה. לאונרדו אינה ספקית אמריקאית אלא קבוצה איטלקית הנסחרת במילאנו, שבעלת המניות הראשונה בה היא משרד הכלכלה והאוצר האיטלקי, בשיעור של כ-30 % מההון, ובידה הכוח למנות את רוב הדירקטוריון. המדינה האיטלקית אינה בעלת מניות פסיבית במוצר הזה.
ראשית הנקודה הטכנית
בדין האירופי, מזהה של מכשיר הוא נתון אישי. אין זו דעה תיאורטית אלא עמדתן העקבית של הרשויות. ה-CNIL מתייחסת במפורש לכתובת ה-MAC ככזו בהנחיותיה בנוגע למערכות מדידת תנועת קהל , ומתירה את איסופן במרחב הציבורי רק בתנאים צרים: אנונימיזציה בתוך דקות ספורות עם שיעור התנגשות גבוה בין פרטים, או פסאודונימיזציה אמינה ולאחריה השמדה בתוך עשרים וארבע שעות, שאחרת ההסכמה נעשית חובה. אותן הנחיות מבהירות שהזמנת אנשים לכבות את ה-Wi-Fi אינה דרך התנגדות קבילה.
בית הדין של האיחוד האירופי הבהיר ב-4 בספטמבר 2025, בעניין EDPS נגד SRB (C-413/23 P), שאופיו האישי של נתון מפוסאודן נבחן לאור אמצעי הזיהוי מחדש שניתן לגייס באופן סביר. והנה כאן המחזיק הוא רשות משטרתית, שבידיה מרשמי הרישוי. אמצעי הזיהוי מחדש אינם היפותטיים, הם בחדר הסמוך.
הניואנס שמשנה הכול
יהיה זה שגוי לכתוב ש-SignalTrace ״יהיה בלתי חוקי באירופה״, וקורא משפטן יבחין בכך מיד. עיבוד המתבצע בידי רשות מוסמכת לצורכי מניעה ואכיפה פלילית אינו כפוף ל-GDPR. הוא כפוף להנחיה (האיחוד האירופי) 2016/680 , הקרויה הנחיית המשטרה והמשפט, שכל מדינה חברה מיישמת בנפרד, ובצרפת בפרק השלישי של חוק המידע והחירויות. ה-CNIL מזכירה שמשטר זה עצמאי, עם בסיסי חוקיות משלו וזכויות משלו.
השאלה הנכונה אינה אפוא שאלת החוקיות המופשטת, אלא שאלת התנאים. תחת משטר זה, מתקן כזה יחייב בסיס חוקי לאומי מפורש, מטרות מוגדרות, נחיצות מוכחת, תקופת שמירה תחומה, הערכת השפעה ופיקוח עצמאי. בצרפת, קוראי הלוחיות מוסדרים כך: סעיפים L233-1 ו-L233-1-1 לחוק הביטחון הפנים קובעים רשימה סגורה של עבירות המקנות זכות לשימוש בהם, ותקופת השמירה נותרת מהקצרות באיחוד, חמישה עשר יום ככלל, גם אם הצעת חוק של הסנאט מבקשת להאריכה.
זהו ההבדל המהותי מן המצב האמריקאי. בארצות הברית החוק מסדיר מושא, הלוחית, והשתיקה באשר למזהי מכשירים כמוה כהיתר. באירופה החוק מסדיר מטרות וקטגוריות של נתונים, ושתיקה זו כמוה דווקא כאיסור, בהיעדר בסיס חוקי מפורש. החלל שנצפה מעבר לאוקיינוס אינו קיים כאן באותה צורה. לא משום שאירופה מוסרית יותר: הטכניקה המשפטית שלה הפוכה.
ומה שווה אז ההגנה
נותרת השאלה שבגללה נכתב מאמר זה. מה שווה הגנה רגולטורית אירופית כאשר חברה אירופית, הנשלטת בידי מדינה חברה, מוכרת מחוץ לאירופה יכולת שלא הייתה יכולה לפרוס אצלה בלי חוק חדש?
ההשגות ראויות להתייחסות רצינית. יצרן אינו אחראי למסגרת החוקית של לקוחו: על הרשויות האמריקאיות להחליט מה מותר אצלן. המוצר אינו נמכר לדיקטטורה אלא למדינת חוק בעלת בית משפט עליון פעיל, כפי ש-Chatrie הזכיר זה עתה. וטענת הריבונות התעשייתית לגיטימית: אם הקבוצות האירופיות יאסרו על עצמן את השווקים האלה, ייטלו אותם ספקים ישראלים, אמריקאים או סינים, בלי שהמעקב ייסוג ולו מטר אחד, ואירופה תאבד את בסיסה הטכנולוגי.
טענות אלה קבילות. הן אינן משיבות על הבעיה.
ראשית, משום שהאיחוד כבר הכיר בכך שייצוא אמצעי מעקב אינו מסחר ככל מסחר. תקנה (האיחוד האירופי) 2021/821 בדבר פריטים דו-שימושיים הכניסה בסעיף 5 שלה סעיף-סל המכוון לפריטי מעקב סייבר, משום שהמחוקק הודה שכלי שחוקי לייצור עשוי להיות בלתי לגיטימי ביעדו. מגבלתו מאלפת: הוא מופעל בסיכון של דיכוי פנימי או הפרות חמורות של זכויות אדם, קטגוריות שנוסחו עבור משטרים סמכותניים. מכירה למשטרה עירונית אמריקאית אינה נכנסת בהן. הסרגל האירופי בוחן את מוסריות הלקוח, ולעולם לא את טיבה של היכולת הנמכרת.
שנית, משום שמוצר כזה אינו מלאי שמחסלים, אלא יכולת שמתחזקים: היא מממנת מחקר, מכשירה מהנדסים, צוברת ידע-כיצד ויוצרת בסיס מותקן. ביום שבו פיגוע גדול ידחוף מדינה חברה לדרוש את היכולת הזו, הדיון כבר לא יעסוק בשאלה אם ראוי לבנותה. היא תתקיים, היא תהיה אירופית, היא תהיה בשלה, וספקה יהיה ציבורי בחלקו. הטענה ״אנחנו רק הולכים אחרי השוק״ נעשית אז מעגלית, שכן השוק המקומי הוכשר בידי הייצוא.
זה מה ששווה הגנה רגולטורית בתרחיש הזה: היא מגינה על האירופים מפני השימושים, לא מפני עצם קיומם של האמצעים. היא מסדירה את השאלה מי רשאי ללחוץ על הכפתור, ומשאירה לתעשייה לבנות אותו, למכור אותו, לשפר אותו, ואז להמתין.
מה אפשר לעשות, בלי לספר לעצמנו סיפורים
התשובה הראשונה שעולה תמיד היא אקראיות כתובת ה-MAC. היא ראויה לבחינה כנה, לא קידום ולא זלזול. היא אמיתית והיא עובדת.
אנדרואיד מגרסה 10 ו-iOS מגרסה 14 מבצעים כברירת מחדל אקראיות של כתובת ה-MAC המשמשת ב-Wi-Fi, עם כתובת נפרדת לכל רשת. ב-Bluetooth Low Energy מכשירים מודרניים משדרים כתובות פרטיות הניתנות לפענוח, המשתנות מעת לעת וניתנות לקישור למכשיר האמיתי רק בידי צד המחזיק במפתח הפענוח.
מגבלותיה אמיתיות באותה מידה.
- הצימוד פותח את הדלת מחדש. מפתח הפענוח מועבר בעת הצימוד. מכשיר שכבר צומד, או שאושר במפורש, מוצא מחדש את הזהות היציבה שמאחורי הכתובת המתחלפת. המנגנון תוכנן בדיוק לשם כך.
- הרבה חפצים אינם מבצעים אקראיות כלל. חיישני לחץ אוויר בצמיגים, תגי RFID, שבבי זיהוי לבעלי חיים, מערכות שמע לרכב ואביזרים זולים משדרים מזהים קבועים. דף המוצר של לאונרדו מזכיר בדיוק את הקטגוריות האלה, וזה אינו מקרי.
- את האקראיות אפשר לכבות. היא מנוטרלת רשת אחר רשת, ולעתים קרובות היא כבויה מטעמי נוחות, לצורך סינון MAC בנתב ביתי או מכוח מדיניות ארגונית.
- הקבוצה שורדת את חילופי המזהים. זו הנקודה הפחות אינטואיטיבית והחשובה ביותר. SignalTrace אינו מחפש מזהה, הוא מחפש אוסף של מכשירים הנוסעים יחד. אם חבר אחד בקבוצה משדר מזהה יציב, האוסף כולו נותר בר-שיוך, יהיה אשר יהיה המשמעת של האחרים.
האמצעי היעיל ביותר נותר המשעמם ביותר: לא לשדר. משמעות הדבר היא לכבות בלוטות׳ ו-Wi-Fi ברמת המערכת, בהגדרות, ולא מלוח הקיצורים. ההבחנה אינה קוסמטית, פירטנו אותה במאמרנו על האיכון המתמיד של הטלפון : ברוב מערכות הצריכה, הכפתור בלוח המהיר מנתק את הצימוד הנראה אך משאיר את מחסנית התוכנה חיה, וניתוחי הקרבה נמשכים. אותו מאמר תיאר את סריקת הבלוטות׳ כווקטור תיאורטי. SignalTrace הוא המוצר המסחרי שלה, מקוטלג וניתן לאספקה.
יש להישאר כנים לגבי התוצאה: אמצעים אלה מצמצמים את משטח החשיפה, אינם מבטלים אותו. רכב נותר לוחית, ולוחית נותרת קריאה. הדרך היחידה לא לשדר דבר היא לא לשאת דבר, וזו אינה מדיניות ציבורית.
מה זה אומר על בחירות התכן שלנו
ב-Arpokrat, ההיגיון הזה בדיוק הוא שהוביל אותנו לטפל בבלוטות׳ ברמת ה-Core של ArpokratOS ולא ברמת ההגדרות. מתג בממשק הוא העדפת משתמש: עדכון, יישום מערכת או שירות מיקום יכולים לעקוף אותו או להפעילו מחדש, בלי שהמשתמש יידע. מחסנית שאיננה אינה מופעלת מחדש.
מול קליטה כמו זו של SignalTrace, ברור שאין בכך כדי להפוך מכשיר לבלתי ניתן לגילוי, ואיננו טוענים זאת: טלפון נותר ברשת סלולרית, והחפצים האחרים ברכב משדרים על חשבון עצמם. מה שזה מבטיח הוא שווקטור שידור מסוים נעדר מעצם הבנייה במקום להיות מכובה מכוח אמון. זו התזה שהצגנו בעניין ה-5G וטעות המיקוד של הדין : ההגנה המשפטית מתרכזת בגישה לנתונים בעוד שהיא צריכה לעסוק בעצם קיומה של התשתית המייצרת אותם. SignalTrace הוא ההמחשה לכך, אלא שהתשתית הזו נבנית באירופה.
סיכום
הדבר המדהים ביותר בתיק הזה אינו היכולת הטכנית, שחוקרים מתארים כבר שנים. זו שיטת הפריסה.
לא תהיה רשת מצלמות חדשה לחנוך, לא תהיה החלטה עירונית לתקוף, לא יהיה מכרז ציבורי שניתן לזהותו כשינוי מהותי. יהיו יחידות שיתווספו לתרנים קיימים, תחת חוזים קיימים, בתוכניות שכבר אושרו. ביום שבו הדיון הציבורי ייפתח, התשתית תהיה מותקנת, מופחתת ומשולבת בהליכי החקירה. הדיון יעסוק אז בתנאי הגישה למאגר שכבר קיים, ולעולם לא בשאלה אם היה ראוי להקימו.
זהו הסדר הרגיל של הדברים בענייני מעקב, והוא אינו מקרי. נותר לדעת אם אירופה סבורה שיש לה מה לומר כאשר התעשיינים שלה עצמה, בגיבוי מדינותיה שלה, בונים את התשתית הזו עבור אחרים. הדין האירופי ארגן בקפידה את התשובה לשאלה מי רשאי לעיין בנתונים האלה אצלנו. הוא מעולם לא שאל מי רשאי לייצר את המכונה.