דיני הגנת מידע on Arpokrat

סיגנל‌טרייס: אירופה מייצאת את המעקב שאינה מתירה לעצמה

Tue, 01 Sep 2026 00:00:00 +0000

מכונית סדאן אפורה חולפת מתחת לגשר סימון בכביש מהיר במהירות 110 קמ״ש. המצלמה המקובעת לתורן קוראת את הלוחית, מחתימה אותה בזמן, שומרת אותה. אין בכך חידוש: המתקן הזה קיים כבר עשרים שנה, פרוס בעשרות אלפי עותקים בצפון אמריקה כמו באירופה.

אבל אם הגשר הזה קיבל את היחידה שקבוצת לאונרדו האיטלקית משווקת מיוני 2026, הוא הרגע רשם עוד משהו. את האייפון של הנהג. את האוזניות האלחוטיות של הנוסעת. את השעון החכם על לוח המחוונים. את מערכת השמע. את מחזיק המפתחות המחובר בתא הכפפות. את חיישני הלחץ של ארבעת הצמיגים. את תג הכניסה שנשאר בז׳קט. ואם כלב ישן מאחור, גם את שבב הזיהוי שלו.

תריסר מזהים, לוחית אחת, מיקום אחד, שעה אחת. חזרו על כך בכל גשר ברשת ואתם כבר לא עוקבים אחרי מכונית: אתם עוקבים אחרי אנשים, ואתם יודעים עם מי הם נעים.

מה המתקן עושה באמת

שם המוצר SignalTrace. הוא נמכר על ידי Leonardo US Cyber and Security Solutions ומשלים את סדרת ELSAG, אחד מקווי קוראי לוחיות הרישוי האוטומטיים הנפוצים ביותר בשוק האמריקאי. על קיומו נחשף ב-8 ביוני 2026 על ידי ג׳וזף קוקס ב404 Media, מתוך דף מוצר של היצרן.

הנקודה המכרעת נכנסת למשפט אחד: אין מדובר במצלמות חדשות. SignalTrace הוא חיישן רדיו שמתווסף לקוראי לוחיות שכבר מותקנים. התורן אינו משתנה, המיקום אינו משתנה, מתאר הציוד בצד הדרך אינו משתנה. מה שמשתנה הוא למה הציוד מאזין.

החיישן רושם את המזהים שמשודרים בגלוי על ידי פרוטוקולי הבלוטות׳, ה-Wi-Fi וה-RFID של המכשירים שברכב. נקודה טכנית שלרוב מובנת לא נכון: אף מכשיר אינו נפרץ ואף חולשה אינה מנוצלת. מכשיר בלוטות׳ או Wi-Fi משדר ברציפות מסגרות גילוי, משום שכך תוכננו הפרוטוקולים. האוזניות שלכם מכריזות על נוכחותן כדי שהטלפון ימצא אותן, והטלפון עצמו תוהה אל האוויר שסביבו בחיפוש אחר הרשתות שהוא מכיר. שידורים אלה פומביים מעצם בנייתם, וכל מקלט בטווח שומע אותם.

לאונרדו אף מציינת שהמערכת פועלת עם קורא לוחיות או בלעדיו, לרבות בתוך מבנים, ומזהה רכב שלוחיתו הוסתרה או הוסרה.

השדרוג של ציוד קיים הוא הסוגיה הפוליטית האמיתית. התקנת רשת מצלמות חדשה מחייבת הצבעה, דיון, לעתים התדיינות משפטית. הוספת כרטיס אלקטרוני לתוך מארז שכבר אושר אינה מחייבת דבר. יכולת המעקב משנה את טיבה בלי דיון ציבורי, משום שמבחינה חומרית אין שום דבר חדש לראות.

מהרכב אל האדם, ומהאדם אל הקבוצה

קורא לוחיות עונה על שאלה אחת: היכן היה הרכב הזה. SignalTrace מוסיף שתיים: מי היה בו, ועם מי.

לאונרדו אינה מסתירה זאת, זו טענת המכירה. המערכת יוצרת את מה שהתיעוד מכנה טביעת אצבע אלקטרונית, אוסף של מזהים ש״משודרים לעתים קרובות יחד״. הדוגמה של היצרן מפורשת: בעיר שלמה, רק רכב אחד יצרף אייפון 13rev2, מערכת שמע של אאודי, אוזניות Bose, שעון Garmin, איתרן מפתחות והלוחית ABC-1234.

המוצר אינו מסתפק במעקב אחרי כלי רכב. הוא מייצר אוטומטית גרף של קשרים בין אנשים, בלי שאיש נדרש לנסח ולו את החשד הקל ביותר.

כאן מתרחשת הקפיצה האיכותית. באמצעות מתאם בין מכשירים שנוסעים יחד באופן סדיר, המערכת בונה מכנית גרף חברתי. שני טלפונים שנפגשים כל בוקר באותה מכונית הם נסיעה משותפת, או קשר ששני הצדדים אינם מעוניינים לפרסם. חמישים מכשירים שנקלטים באותו מקום ובאותה שעה הם התכנסות: הפגנה, תפילה, ישיבת ועד עובדים או תור לפני מרפאה.

אף אחת מהמסקנות הללו אינה דורשת גישה לתוכן של תקשורת. היא נגזרת מטבלת קרבה, כברירת מחדל, על כלל האוכלוסייה הנעה ולא על יעדים שהוגדרו. זו אשמה מכוח היכרות, המיוצרת בקנה מידה תעשייתי, לפני כל חקירה. טום באומן, משפטן בCenter for Democracy & Technology, מסכם את הבעיה בעמודי TechNewsWorld: מה שהופך את הכלי למועיל למעקב אחרי חשוד אמיתי הופך אותו מסוגל באותה מידה לעקוב אחרי כל שאר הנהגים, שאיש מהם לא הסכים לכך שמכשיריו יירשמו.

לאונרדו משיבה בשתי טענות: המערכת אינה מפענחת ואינה קוראת את תוכן התקשורת, והיא אינה מזהה אנשים מעצמה. שתי הקביעות מדויקות, ושתיהן חורגות מהעניין. המידע המבוקש מעולם לא היה התוכן, הוא נמצא במטא-נתון המיקום, החושפני יותר ממסר. באשר לזיהוי, היצרן עצמו מודה שחוקר יכול לקשור חתימה אלקטרונית ללוחית, ומשם להגיע לבעלים דרך מרשמי הרישוי.

דין אמריקאי שנכתב לדבר אחר

בארצות הברית קיימים חוקי מדינה המסדירים את קוראי הלוחיות, וחלקם תובעניים באשר לתקופות שמירה ולמטרות גישה. אבל כולם נוסחו סביב מושא מוגדר אחד: תמונת לוחית הרישוי. אף אחד מהם אינו צופה קליטה של מזהי מכשירים אישיים על ידי אותו ציוד עצמו.

הפער הזה אינו יוצר אי-חוקיות אלא אזור אפור, נוח יותר למוכר. משטרה יכולה לטעון, בלי לשקר, שתוכנית קוראי הלוחיות שלה מאושרת ותקינה, בעודה אוספת מעתה תחת אותו משטר נתונים בעלי טיב שונה לחלוטין. לאונרדו גם מחזיקה בחוזים פדרליים, מול פיקוד המבצעים המיוחדים ומול מינהל השירותים הכלליים, כלומר נתיב רכש העוקף במידה רבה את האישורים המקומיים.

הדיון החוקתי, מצדו, זז זה עתה, ויש להקפיד כאן על דיוק משום שמצב הדין השתנה בקיץ הזה. בינואר 2026 קבע בית משפט פדרלי בווירג׳יניה, בעניין Schmidt v. City of Norfolk, שרשת מצלמות Flock של העיר אינה מהווה חיפוש במובן התיקון הרביעי, משום שאינה מכסה את מלוא תנועותיהם של התושבים. ההחלטה נמצאת בערעור בפני המחוז הרביעי, שם התייצב הACLU.

לאחר מכן, ב-29 ביוני 2026, נתן בית המשפט העליון את פסק הדין Chatrie v. United States. ברוב של חמישה מול ארבעה, מפי השופטת קייגן, נקבע שהשגת נתוני המיקום של טלפון בידי המשטרה מהווה חיפוש, שכן אדם שומר על ציפייה סבירה לפרטיות בנתונים אלה גם כשהם מוחזקים בידי צד שלישי וגם לתקופה קצרה. פסק הדין ממשיך את Carpenter v. United States משנת 2018 ומחליש את דוקטרינת הצד השלישי, כפי שציין הCDT.

היקפו המדויק של Chatrie לגבי SignalTrace לא הוכרע, ויהיה זה פזיז לטעון אחרת: פסק הדין עוסק בנתונים שנדרשו מגוגל, לא בקליטה ישירה של חיישן משטרתי במרחב הציבורי. אבל הוא מבסס את ההיגיון שחשוב, דהיינו שרגישותו של נתון מיקום אינה תלויה במי שמחזיק בו.

השאלה האירופית, שהיא השאלה האמיתית

כאן התיק נעשה לא נוח לאירופה. לאונרדו אינה ספקית אמריקאית אלא קבוצה איטלקית הנסחרת במילאנו, שבעלת המניות הראשונה בה היא משרד הכלכלה והאוצר האיטלקי, בשיעור של כ-30 % מההון, ובידה הכוח למנות את רוב הדירקטוריון. המדינה האיטלקית אינה בעלת מניות פסיבית במוצר הזה.

ראשית הנקודה הטכנית

בדין האירופי, מזהה של מכשיר הוא נתון אישי. אין זו דעה תיאורטית אלא עמדתן העקבית של הרשויות. ה-CNIL מתייחסת במפורש לכתובת ה-MAC ככזו בהנחיותיה בנוגע למערכות מדידת תנועת קהל, ומתירה את איסופן במרחב הציבורי רק בתנאים צרים: אנונימיזציה בתוך דקות ספורות עם שיעור התנגשות גבוה בין פרטים, או פסאודונימיזציה אמינה ולאחריה השמדה בתוך עשרים וארבע שעות, שאחרת ההסכמה נעשית חובה. אותן הנחיות מבהירות שהזמנת אנשים לכבות את ה-Wi-Fi אינה דרך התנגדות קבילה.

בית הדין של האיחוד האירופי הבהיר ב-4 בספטמבר 2025, בעניין EDPS נגד SRB (C-413/23 P), שאופיו האישי של נתון מפוסאודן נבחן לאור אמצעי הזיהוי מחדש שניתן לגייס באופן סביר. והנה כאן המחזיק הוא רשות משטרתית, שבידיה מרשמי הרישוי. אמצעי הזיהוי מחדש אינם היפותטיים, הם בחדר הסמוך.

הניואנס שמשנה הכול

יהיה זה שגוי לכתוב ש-SignalTrace ״יהיה בלתי חוקי באירופה״, וקורא משפטן יבחין בכך מיד. עיבוד המתבצע בידי רשות מוסמכת לצורכי מניעה ואכיפה פלילית אינו כפוף ל-GDPR. הוא כפוף להנחיה (האיחוד האירופי) 2016/680, הקרויה הנחיית המשטרה והמשפט, שכל מדינה חברה מיישמת בנפרד, ובצרפת בפרק השלישי של חוק המידע והחירויות. ה-CNIL מזכירה שמשטר זה עצמאי, עם בסיסי חוקיות משלו וזכויות משלו.

השאלה הנכונה אינה אפוא שאלת החוקיות המופשטת, אלא שאלת התנאים. תחת משטר זה, מתקן כזה יחייב בסיס חוקי לאומי מפורש, מטרות מוגדרות, נחיצות מוכחת, תקופת שמירה תחומה, הערכת השפעה ופיקוח עצמאי. בצרפת, קוראי הלוחיות מוסדרים כך: סעיפים L233-1 ו-L233-1-1 לחוק הביטחון הפנים קובעים רשימה סגורה של עבירות המקנות זכות לשימוש בהם, ותקופת השמירה נותרת מהקצרות באיחוד, חמישה עשר יום ככלל, גם אם הצעת חוק של הסנאט מבקשת להאריכה.

זהו ההבדל המהותי מן המצב האמריקאי. בארצות הברית החוק מסדיר מושא, הלוחית, והשתיקה באשר למזהי מכשירים כמוה כהיתר. באירופה החוק מסדיר מטרות וקטגוריות של נתונים, ושתיקה זו כמוה דווקא כאיסור, בהיעדר בסיס חוקי מפורש. החלל שנצפה מעבר לאוקיינוס אינו קיים כאן באותה צורה. לא משום שאירופה מוסרית יותר: הטכניקה המשפטית שלה הפוכה.

ומה שווה אז ההגנה

נותרת השאלה שבגללה נכתב מאמר זה. מה שווה הגנה רגולטורית אירופית כאשר חברה אירופית, הנשלטת בידי מדינה חברה, מוכרת מחוץ לאירופה יכולת שלא הייתה יכולה לפרוס אצלה בלי חוק חדש?

ההשגות ראויות להתייחסות רצינית. יצרן אינו אחראי למסגרת החוקית של לקוחו: על הרשויות האמריקאיות להחליט מה מותר אצלן. המוצר אינו נמכר לדיקטטורה אלא למדינת חוק בעלת בית משפט עליון פעיל, כפי ש-Chatrie הזכיר זה עתה. וטענת הריבונות התעשייתית לגיטימית: אם הקבוצות האירופיות יאסרו על עצמן את השווקים האלה, ייטלו אותם ספקים ישראלים, אמריקאים או סינים, בלי שהמעקב ייסוג ולו מטר אחד, ואירופה תאבד את בסיסה הטכנולוגי.

טענות אלה קבילות. הן אינן משיבות על הבעיה.

ראשית, משום שהאיחוד כבר הכיר בכך שייצוא אמצעי מעקב אינו מסחר ככל מסחר. תקנה (האיחוד האירופי) 2021/821 בדבר פריטים דו-שימושיים הכניסה בסעיף 5 שלה סעיף-סל המכוון לפריטי מעקב סייבר, משום שהמחוקק הודה שכלי שחוקי לייצור עשוי להיות בלתי לגיטימי ביעדו. מגבלתו מאלפת: הוא מופעל בסיכון של דיכוי פנימי או הפרות חמורות של זכויות אדם, קטגוריות שנוסחו עבור משטרים סמכותניים. מכירה למשטרה עירונית אמריקאית אינה נכנסת בהן. הסרגל האירופי בוחן את מוסריות הלקוח, ולעולם לא את טיבה של היכולת הנמכרת.

שנית, משום שמוצר כזה אינו מלאי שמחסלים, אלא יכולת שמתחזקים: היא מממנת מחקר, מכשירה מהנדסים, צוברת ידע-כיצד ויוצרת בסיס מותקן. ביום שבו פיגוע גדול ידחוף מדינה חברה לדרוש את היכולת הזו, הדיון כבר לא יעסוק בשאלה אם ראוי לבנותה. היא תתקיים, היא תהיה אירופית, היא תהיה בשלה, וספקה יהיה ציבורי בחלקו. הטענה ״אנחנו רק הולכים אחרי השוק״ נעשית אז מעגלית, שכן השוק המקומי הוכשר בידי הייצוא.

זה מה ששווה הגנה רגולטורית בתרחיש הזה: היא מגינה על האירופים מפני השימושים, לא מפני עצם קיומם של האמצעים. היא מסדירה את השאלה מי רשאי ללחוץ על הכפתור, ומשאירה לתעשייה לבנות אותו, למכור אותו, לשפר אותו, ואז להמתין.

מה אפשר לעשות, בלי לספר לעצמנו סיפורים

התשובה הראשונה שעולה תמיד היא אקראיות כתובת ה-MAC. היא ראויה לבחינה כנה, לא קידום ולא זלזול. היא אמיתית והיא עובדת.

אנדרואיד מגרסה 10 ו-iOS מגרסה 14 מבצעים כברירת מחדל אקראיות של כתובת ה-MAC המשמשת ב-Wi-Fi, עם כתובת נפרדת לכל רשת. ב-Bluetooth Low Energy מכשירים מודרניים משדרים כתובות פרטיות הניתנות לפענוח, המשתנות מעת לעת וניתנות לקישור למכשיר האמיתי רק בידי צד המחזיק במפתח הפענוח.

מגבלותיה אמיתיות באותה מידה.

הצימוד פותח את הדלת מחדש. מפתח הפענוח מועבר בעת הצימוד. מכשיר שכבר צומד, או שאושר במפורש, מוצא מחדש את הזהות היציבה שמאחורי הכתובת המתחלפת. המנגנון תוכנן בדיוק לשם כך.
הרבה חפצים אינם מבצעים אקראיות כלל. חיישני לחץ אוויר בצמיגים, תגי RFID, שבבי זיהוי לבעלי חיים, מערכות שמע לרכב ואביזרים זולים משדרים מזהים קבועים. דף המוצר של לאונרדו מזכיר בדיוק את הקטגוריות האלה, וזה אינו מקרי.
את האקראיות אפשר לכבות. היא מנוטרלת רשת אחר רשת, ולעתים קרובות היא כבויה מטעמי נוחות, לצורך סינון MAC בנתב ביתי או מכוח מדיניות ארגונית.
הקבוצה שורדת את חילופי המזהים. זו הנקודה הפחות אינטואיטיבית והחשובה ביותר. SignalTrace אינו מחפש מזהה, הוא מחפש אוסף של מכשירים הנוסעים יחד. אם חבר אחד בקבוצה משדר מזהה יציב, האוסף כולו נותר בר-שיוך, יהיה אשר יהיה המשמעת של האחרים.

האמצעי היעיל ביותר נותר המשעמם ביותר: לא לשדר. משמעות הדבר היא לכבות בלוטות׳ ו-Wi-Fi ברמת המערכת, בהגדרות, ולא מלוח הקיצורים. ההבחנה אינה קוסמטית, פירטנו אותה במאמרנו על האיכון המתמיד של הטלפון: ברוב מערכות הצריכה, הכפתור בלוח המהיר מנתק את הצימוד הנראה אך משאיר את מחסנית התוכנה חיה, וניתוחי הקרבה נמשכים. אותו מאמר תיאר את סריקת הבלוטות׳ כווקטור תיאורטי. SignalTrace הוא המוצר המסחרי שלה, מקוטלג וניתן לאספקה.

יש להישאר כנים לגבי התוצאה: אמצעים אלה מצמצמים את משטח החשיפה, אינם מבטלים אותו. רכב נותר לוחית, ולוחית נותרת קריאה. הדרך היחידה לא לשדר דבר היא לא לשאת דבר, וזו אינה מדיניות ציבורית.

מה זה אומר על בחירות התכן שלנו

ב-Arpokrat, ההיגיון הזה בדיוק הוא שהוביל אותנו לטפל בבלוטות׳ ברמת ה-Core של ArpokratOS ולא ברמת ההגדרות. מתג בממשק הוא העדפת משתמש: עדכון, יישום מערכת או שירות מיקום יכולים לעקוף אותו או להפעילו מחדש, בלי שהמשתמש יידע. מחסנית שאיננה אינה מופעלת מחדש.

מול קליטה כמו זו של SignalTrace, ברור שאין בכך כדי להפוך מכשיר לבלתי ניתן לגילוי, ואיננו טוענים זאת: טלפון נותר ברשת סלולרית, והחפצים האחרים ברכב משדרים על חשבון עצמם. מה שזה מבטיח הוא שווקטור שידור מסוים נעדר מעצם הבנייה במקום להיות מכובה מכוח אמון. זו התזה שהצגנו בעניין ה-5G וטעות המיקוד של הדין: ההגנה המשפטית מתרכזת בגישה לנתונים בעוד שהיא צריכה לעסוק בעצם קיומה של התשתית המייצרת אותם. SignalTrace הוא ההמחשה לכך, אלא שהתשתית הזו נבנית באירופה.

סיכום

הדבר המדהים ביותר בתיק הזה אינו היכולת הטכנית, שחוקרים מתארים כבר שנים. זו שיטת הפריסה.

לא תהיה רשת מצלמות חדשה לחנוך, לא תהיה החלטה עירונית לתקוף, לא יהיה מכרז ציבורי שניתן לזהותו כשינוי מהותי. יהיו יחידות שיתווספו לתרנים קיימים, תחת חוזים קיימים, בתוכניות שכבר אושרו. ביום שבו הדיון הציבורי ייפתח, התשתית תהיה מותקנת, מופחתת ומשולבת בהליכי החקירה. הדיון יעסוק אז בתנאי הגישה למאגר שכבר קיים, ולעולם לא בשאלה אם היה ראוי להקימו.

זהו הסדר הרגיל של הדברים בענייני מעקב, והוא אינו מקרי. נותר לדעת אם אירופה סבורה שיש לה מה לומר כאשר התעשיינים שלה עצמה, בגיבוי מדינותיה שלה, בונים את התשתית הזו עבור אחרים. הדין האירופי ארגן בקפידה את התשובה לשאלה מי רשאי לעיין בנתונים האלה אצלנו. הוא מעולם לא שאל מי רשאי לייצר את המכונה.

5G, נתוני מיקום והמטרה השגויה של המשפט

Tue, 18 Aug 2026 00:00:00 +0000

בשנת 2011 ביקשה משטרת דטרויט מחברת סלולר את היסטוריית ההתחברות של הטלפון של טימותי קרפנטר לאנטנות. היא קיבלה 12,898 נקודות מיקום שנפרסו על פני 127 ימים, כמאה ליום. שבע שנים לאחר מכן קבע בית המשפט העליון של ארצות הברית שבקשה כזו מהווה חיפוש ומחייבת צו.

אותן 12,898 נקודות הגיעו מאנטנות של הדור הרביעי, שכל אחת מהן כיסתה רדיוס של כמה קילומטרים. אותה בקשה עצמה, אילו הופנתה היום לרשת 5G עירונית, לא הייתה מחזירה מאה נקודות ביום בדיוק של כמה קילומטרים. היא הייתה מחזירה נפח גדול בהרבה, בדיוק של כמה עשרות מטרים.

הטכנולוגיה החליפה סדר גודל. החשיבה המשפטית נותרה באותה נקודה בשרשרת.

אינטרס מוגן ששופטים משני עברי האוקיינוס מכירים בו

יש אינטרס שכמעט כולם מודים בקיומו וכמעט שום הוראה אינה מגנה עליו ביעילות: הזכות להימצא במקום כלשהו בלי שהעובדה הזו תתועד.

הפסיקה האירופית קבעה זאת באופן חד־משמעי. בפרשת Digital Rights Ireland (תיקים מאוחדים C-293/12 ו-C-594/12, 8 באפריל 2014), ולאחר מכן בפרשת Tele2 Sverige ו-Watson (תיקים מאוחדים C-203/15 ו-C-698/15, המותב המורחב, 21 בדצמבר 2016), קבע בית הדין של האיחוד האירופי שנתונים אלה, בהצטברותם, מאפשרים להסיק מסקנות מדויקות מאוד על חייהם הפרטיים של אנשים: הרגלי היום־יום, מקומות שהייה, תנועות, פעילויות ויחסים חברתיים.

בית המשפט העליון של ארצות הברית הגיע למסקנה קרובה בפרשת Carpenter v. United States, 585 U.S. 296 (2018). הוא הדגיש נקודה שהספרות האמריקאית דנה בה רבות: האופי הבלתי נמנע והאוטומטי של האיסוף. איש אינו מסכים להיות מחובר לאנטנה; הוא מחובר משום שיש בידיו טלפון דלוק.

האינטרס המוגן קיים אפוא, ושני בתי המשפט שיש להם משקל בתחום מכירים בו. הבעיה נמצאת במקום אחר.

מה ה-5G באמת שינה

בלבול נפוץ הוא לראות במיקום נתון שהטלפון משדר, בדיוק כמו הודעה או תמונה. זה אינו המצב. המיקום הוא תוצאה פיזיקלית של אופן פעולת הרשת. המפעילה יודעת לאיזו אנטנה המכשיר מחובר משום שהיא חייבת לדעת זאת כדי לנתב שיחה. אין שום מפתח שבאמצעותו אפשר להצפין את המידע הזה, שכן אין מדובר בתוכן אלא בתכונה של החיבור עצמו.

זה בדיוק מה שהופך את ה-5G למשמעותי במישור המשפטי ולא במישור הטכני.

הארכיטקטורות הקודמות נשענו על תאים רחבים. אנטנת 4G משרתת בדרך כלל רדיוס של כמה קילומטרים, והמיקום שנגזר מעצם ההתחברות נמדד במאות מטרים בעיר, ולעתים בעשרות קילומטרים באזור כפרי. ה-5G נשען על ציפוף מסיבי: תאים עירוניים מכסים בדרך כלל כמה מאות מטרים, וספרות ההנדסה מדברת על צפיפות של ארבעים עד חמישים תחנות בסיס לקילומטר רבוע, לעומת ארבע או חמש בימי ה-3G.

התוצאה מכנית. על פי הנייר הלבן של אריקסון על מיקום ב-5G, התשתית שנפרסה לצורכי קישוריות בלבד מגיעה לדיוק של עשרים עד חמישים מטרים בחוץ ושל מטר עד שלושה מטרים בפנים, ויורדת אל מתחת למטר בתנאים עירוניים נוחים. אין זו פונקציית מיקום שהופעלה אי־שם, אלא מה שהרשת יודעת מעצם מבנֶהָ, בלי שהותקנה אפליקציה ובלי שניתנה הרשאה. פירטנו את כל המנגנונים הללו, וגם את אמצעי הנגד שבאמת עובדים, במאמרנו על איתור המיקום המתמיד של הטלפון.

הפגיעה גדלה אפוא בכמה סדרי גודל. המסגרת המשפטית החלה נותרה זו שנועדה ל-2G ול-3G. שום התאמה נורמטיבית לא ליוותה את שינוי סדר הגודל.

המשפט מגן על הגישה, לא על ההיווצרות

המשפט האירופי מסדיר בקפידה מי רשאי לגשת לנתוני מיקום, באילו תנאים ותחת איזו בקרה. הוראה 2002/58/EC קובעת את עקרון חיסיון התקשורת, ובית הדין קבע בפרשת La Quadrature du Net (תיקים מאוחדים C-511/18, C-512/18 ו-C-520/18, המותב המורחב, 6 באוקטובר 2020) שסעיף 15(1) להוראה זו, בקריאה לאור סעיפים 7, 8, 11 ו-52(1) לאמנה, מונע שמירה כללית ובלתי מבחינה של נתוני תעבורה ומיקום כאמצעי מניעה. עם זאת בית הדין התיר חריגים מתוחמים כאשר מדינה חברה ניצבת מול איום חמור על הביטחון הלאומי המתברר כממשי ועכשווי או צפוי, בכפוף לביקורת אפקטיבית.

אלה הגנות אמיתיות, ויהיה זה מגוחך להמעיט בהן. אך כולן מתערבות בדיעבד. הן מניחות שהנתון קיים, שהוא נשמר, ורק אז מסדירות את תנאי השימוש בו.

אלא שאם המיקום הוא תוצר לוואי בלתי נמנע של פעולת הרשת, נקודת ההתערבות הנכונה אינה החיסיון. היא ההתמדה בזמן.

מיקום רגעי, הדרוש לניתוב תקשורת ונמחק מיד לאחר מכן, אינו כלי מעקב. היסטוריית מיקומים הנשמרת חודשים היא כלי כזה, יהיו אשר יהיו ערובות הגישה העוטפות אותה.

ההבדל בין השניים אינו משפטי אלא ארכיטקטוני. ולוח הזמנים האירופי הופך את השאלה לדחופה ולא לתיאורטית. הנציבות משכה את הצעת תקנת ה-ePrivacy ב-2025, בהיעדר הסכמה בין המחוקקים השותפים. מאז היא עובדת על מכשיר נפרד בעניין שמירת נתונים לצרכים פליליים, שהוכרז לשנת 2026 ונועד להאחיד משטרים לאומיים שהתפצלו מאז ביטול ההוראה משנת 2006. במילים אחרות, הטקסט שיקבע לעשור את משטר מטא־נתוני המיקום נכתב ברגע זה, על יסוד חשיבה שגובשה בעידן התאים הקילומטריים.

התקדים שה-5G יצר בעצמו

ההיבט המעניין ביותר בתיק הוא שהתשובה הנכונה כבר מופיעה בתקן הטכני, אלא שהיא מיושמת על אובייקט אחר.

עד ה-4G, המזהה הקבוע של המנוי, ה-IMSI, עבר בגלוי בממשק הרדיו בעת ההתחברות. זה מה שאפשר את לוכדי ה-IMSI, אותן תחנות בסיס מזויפות אשר, לפי התיאור המקובל של קרן החזית האלקטרונית, משדרות חזק יותר מהאנטנות הלגיטימיות כדי למשוך מכשירים וללכוד את המזהה שלהם.

החל מ-Release 15 של מפרטי 3GPP, שפורסם ב-2019, ה-5G מציע תשובה אלגנטית. המזהה הקבוע, הקרוי כיום SUPI, ניתן להחלפה בממשק הרדיו ב-SUCI, מזהה מוסתר המתקבל מהצפנת החלק הייחודי למנוי באמצעות קריפטוגרפיה של עקומים אליפטיים, עם המפתח הציבורי של המפעילה הביתית. רק הרשת הביתית, המחזיקה במפתח הפרטי המתאים, יכולה לפענח אותו. התוצאה ייחודית בכל חישוב, מה שמונע קישור בין מושב אחד למשנהו.

ההיגיון שנבחר ראוי להדגשה, משום שהוא בדיוק ההיגיון שאמור להנחות את המחוקק: לא מצפינים את המיקום, דבר שאינו אפשרי טכנית, אלא מצפינים את הזהות. למיקום שאין לשייך לו זהות יש ערך מוגבל מאוד לצורכי מעקב פרטני.

הכשל: הגנה שהיא רשות

ואולם יש הסתייגות כבדת משקל, ולדעתנו זו נקודת ההתערבות המעשית ביותר בכל התיק.

הנייר הלבן NIST CSWP 36A, שפורסם במרץ 2026 בידי המכון הלאומי לתקנים וטכנולוגיה, אומר זאת בלי כחל ושרק. מכשירים ופונקציות רשת התואמים ל-Release 15 ואילך חייבים לתמוך ב-SUCI, אך הפעלתו נותרת רשות בידי המפעילה. שלושה תנאים חייבים להתקיים יחד: יצרן הציוד חייב לתמוך, המפעילה חייבת להפעיל זאת ברשת שלה, וכרטיס ה-SIM חייב לשאת את הרכיבים הדרושים לחישוב.

לכך מתווספת מלכודת תצורה. התקן קובע סכמת הגנה אפסית, שבה משתמשים בפורמט SUCI באופן פורמלי אך ללא הצפנה של ממש, כך שהמזהה עובר בגלוי. NIST כותב שעל המפעילה להגדיר את רשתה בסכמת הגנה שאינה אפסית, ומזכיר שדוח של CSRIC, הגוף המייעץ של רשות התקשורת הפדרלית, המליץ כבר ב-2021 לייחד את הסכמה האפסית אך ורק לשיחות חירום ממכשיר שאינו מוכר לרשת.

ראוי להשאיר את הניסוח כפי שהוא. ההגנה הזמינה הטובה ביותר מפני מעקב אחר מכשירים ניידים קיימת בתקן הטכני מאז 2019. היא נשענת על בחירת תצורה שנתונה לשיקול דעתה של המפעילה. סוכנות פדרלית אמריקאית מוצאת לנכון לפרסם מסמך ב-2026 כדי להזכיר שכדאי להפעיל אותה. ושום מכשיר משפטי אירופי אינו מחייב זאת.

יש להוסיף שה-SUCI אינו סוגר את הנושא. העבודות שהוצגו תחת הכותרת 5G SUCI-catchers: still catching them all? מתעדות התקפות קישוריות המאפשרות לקשר מחדש מושבים חרף ההצפנה, וההגנה קורסת כליל אם התוקף מאלץ את המכשיר לרדת לדור קודם. חובה משפטית לא תפתור אפוא הכול. עם זאת היא תבטל פער שאין לו הצדקה שניתן להגן עליה: הפער בין מה שהתקן מתיר לבין מה שרשתות מסחריות עושות בפועל.

שלוש התערבויות עקיבות

אם לוקחים ברצינות את הרעיון שיש למזער את המיקום כבר בתכנון ולא להגן עליו בדיעבד, מתבקשות שלוש פעולות.

להפוך את ההסתרה האפקטיבית של המזהה לחובה. לחייב הפעלת SUCI ולאסור סכמות הגנה אפסיות ברשתות מסחריות, למעט המקרה השיורי של שיחות חירום. אין מדובר בהכתבת טכנולוגיה חדשה או במימון פריסה, אלא בדרישה להפעיל פונקציה שתוקננה לפני שבע שנים וכבר קיימת בציוד.
להתייחס לשמירה כאל חריג ולא כאל ברירת מחדל. המיקום הדרוש לניתוב תקשורת אמור להימחק ברגע שתפקיד זה הושלם. יצירת היסטוריה אמורה לחייב הצדקה ייחודית. זה ההבדל בין רשת שיודעת היכן אתם לבין רשת שזוכרת היכן הייתם.
להפוך את החזקת המפתח לזיקה המשפטית הרלוונטית. מיקום השרתים בתוך האיחוד אינו אומר הרבה אם המפתחות ההופכים את הנתונים לקריאים מצויים במקום אחר. הקריטריון בעל המשמעות המשפטית אמור להיות שליטה אפקטיבית באמצעי הפענוח, שאלה שבחנו בפירוט בהקשר ההתנגשות בין ה-Data Act ל-CLOUD Act.

הזווית שבה Arpokrat נוקטת

חשיבה זו אינה ייחודית לדיני התקשורת. זו החשיבה שאנו מיישמים על בחירות הארכיטקטורה שלנו, והיא נכנסת למשפט אחד: מה שלא נוצר אינו זקוק להגנה.

מסיבה זו ArpokratOS מסירה את ה-GPS, ה-Bluetooth וה-NFC ברמת הליבה במקום לכבות אותם בתפריט. מתג הוא מדיניות: רכיב בעל הרשאות יכול לעקוף אותו, עדכון יכול להדליק אותו מחדש, מערכת שנפרצה יכולה להתעלם ממנו. הסרת נתיב הקוד מבטלת את השאלה. זו ההעתקה, בקנה מידה של מכשיר בודד, של אותה תזוזה שאנו קוראים לה בקנה מידה של המשפט: להתערב בהיווצרות ולא בגישה.

יש לומר מיד גם מה זה אינו עושה. שום מערכת הפעלה אינה מוציאה מכשיר מגאומטריית הרשת. כל עוד כרטיס SIM פעיל, המפעילה יודעת באיזה תא המכשיר מחובר, וניתוב כל התעבורה דרך Tor אינו משנה זאת, שכן הוא מגן על התוכן ועל היעד ולא על שכבת הרדיו. בדיוק משום כך הנושא הוא נושא משפטי. יש קטגוריה של סיכונים ששום תצורה אישית אינה מצמצמת, ושהמשתנה היחיד הזמין לגביה הוא הכלל החל על המפעילה.

אותה דאגה מנחה את שאר עבודתנו. נתון שאינו קיים אינו יכול להיתפס, להימכר, לדלוף, או להיות מפוענח בעוד עשר שנים במכונה שאיש אינו מחזיק בה היום, שאלה שטיפלנו בה מזווית ההצפנה הנקצרת עכשיו ונשברת מאוחר יותר.

סיכום

הדיון הציבורי במעקב הסלולרי מתרכז כמעט אך ורק בגישה: מי רשאי לעיין בנתונים, על סמך מה, באיזה היתר. דיון זה לגיטימי, ולפסיקות בית הדין מאז 2014 היו השפעות מוחשיות. אבל הוא מתערב מאוחר מדי בשרשרת.

השאלה הקודמת לו, והמכרעת יותר, היא אם ההיסטוריה צריכה בכלל להתקיים. מאגר שנבנה היום מטעם לגיטימי נשאר זמין מחר לטעם אחר, והערובות העוטפות אותו תלויות בהחלטות פוליטיות עתידיות שאיש אינו שולט בהן ברגע האיסוף. זהו הימור על יציבות המוסדות, שנעשה לתקופה שאיש אינו קוצב.

ה-5G הכפיל פי כמה את הרזולוציה של המידע הזה בלי ששום התאמה נורמטיבית התרחשה. במקביל הוא הוכיח, באמצעות מנגנון ה-SUCI, שהדרך המעשית היא לנתק את המיקום מן הזהות ולא לנסות להצפין תכונה פיזיקלית של הרשת. התקן הטכני סיפק את התשובה שבע שנים לפני שהמשפט שאל את השאלה.

הטקסט האירופי על שמירת נתונים נכתב עכשיו. הוא יעסוק במטא־נתונים, כלומר במיקום, כלומר במה שה-5G מייצר כיום ברזולוציה שמנסחיו לא הכירו. אם יסתפק בהסדרת הגישה להיסטוריה שנתפסת כמובנת מאליה, או יעז לשאול אם ההיסטוריה הזו נחוצה בכלל, היא ככל הנראה שאלת הפרטיות החשובה ביותר בשנים הקרובות באירופה. וזו שאלה שהמגזר הטכני, לשם שינוי, כבר הכריע בה לכיוון הנכון.

מקורות

בית הדין של האיחוד האירופי, Digital Rights Ireland, תיקים מאוחדים C-293/12 ו-C-594/12, 8 באפריל 2014
בית הדין של האיחוד האירופי, Tele2 Sverige ו-Watson, תיקים מאוחדים C-203/15 ו-C-698/15, המותב המורחב, 21 בדצמבר 2016
בית הדין של האיחוד האירופי, La Quadrature du Net ואחרים, תיקים מאוחדים C-511/18, C-512/18 ו-C-520/18, המותב המורחב, 6 באוקטובר 2020
בית המשפט העליון של ארצות הברית, Carpenter v. United States, 585 U.S. 296, 2018
המכון הלאומי לתקנים וטכנולוגיה, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI), NIST CSWP 36A, מרץ 2026
אריקסון, 5G positioning: Locating devices anywhere
Merlin Chlosta ואחרים, 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
קרן החזית האלקטרונית, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026

Data Act מול CLOUD Act: מי שולט באמת בנתונים שלך בענן?

Fri, 19 Jun 2026 00:00:00 +0000

במשך שנים, העולם פעל על פי הנחה פשוטה: לנתונים יש מיקום פיזי. אם הם אוחסנו בשרת בדבלין, הם היו כפופים לחוק האירי והאירופי. הנחה זו קרסה בשנת 2018, כאשר ארצות הברית אימצה את ה-CLOUD Act — חוק המעניק לרשויות האמריקאיות גישה לנתונים הנשלטים על ידי חברות אמריקאיות, ללא קשר למיקומם הפיזי בעולם. מספר שנים לאחר מכן, בריסל השיבה עם מנגנון ההגנה שלה: ה-Data Act, החל כעת במלואו, המנסה להגביל את הגישה החוץ-טריטוריאלית של רשויות ממדינות שלישיות לנתונים המוחזקים באיחוד האירופי.

הנה מה שקובעים שני הטקסטים בפועל, היכן הם מתנגשים, ומדוע ההגנה האמינה היחידה מול סכסוך זה נותרת חוסר האפשרות הטכנית לגישה.

ה-CLOUD Act האמריקאי: גישה המבוססת על שליטה, לא על מיקום

ה-CLOUD Act (Clarifying Lawful Overseas Use of Data Act), שאומץ במרץ 2018, תיקן את החוק האמריקאי בהוספת סעיף 18 U.S. Code § 2713. טקסט זה מחייב כל ספק שירות תקשורת אלקטרונית או עיבוד מחשוב מרחוק לשמר, לאבטח או לחשוף את תוכן התקשורת או כל רשומה הקשורה אליה, כאשר נתונים אלה נמצאים ברשותו, בהחזקתו או בשליטתו — ללא קשר לשאלה אם נתונים אלה מצויים בתחומי ארצות הברית או מחוצה לה.

בדיוק סעיף אחרון זה משנה את הכול. הקריטריון שנבחר אינו עוד המיקום הפיזי של השרת, אלא השליטה שמפעילה החברה האם על החברות הבנות שלה. חברה אמריקאית המפעילה מרכזי נתונים באירופה נותרת אפוא כפופה לדרישות אמריקאיות, אפילו לנתונים המאוחסנים כולם על אדמה אירופית.

ה-Data Act האירופי: מחסום משפטי לגישה חוץ-טריטוריאלית

תקנה (EU) 2023/2854, המכונה Data Act, נכנסה לתוקף ב-11 בינואר 2024 וחלה במלואה מאז 12 בספטמבר 2025, כאשר הוראות מסוימות הוחלות בהדרגה עד 2026 ו-2027. סעיף 32 שלה מסדיר ישירות את שאלת הגישה הממשלתית הבינלאומית לנתונים.

הטקסט קובע כלל ברור: כל החלטה או פסק דין של בית משפט או רשות מינהלית של מדינה שלישית הדורשים מספק שירותי עיבוד נתונים להעביר או לאפשר גישה לנתונים לא-אישיים המוחזקים באיחוד האירופי יוכרו ויהיו אכיפים רק אם הם מבוססים על הסכם בינלאומי, כגון אמנת סיוע משפטי הדדי (MLA), שבתוקף בין המדינה המבקשת לאיחוד, או בין המדינה המבקשת לבין המדינה החברה הנוגעת בדבר.

בהיעדר הסכם כזה, סעיף 32 קובע מסלול שני, אך מוסדר בהחלטיות: ההחלטה הזרה ניתנת לביצוע רק אם מערכת המשפט של המדינה השלישית דורשת שהבקשה תהיה מנומקת, מידתית ומפורטת דיה — למשל, על ידי קביעת קשר ברור לאנשים ספציפיים או לעבירות ספציפיות — ואם ניתן להגיש את ההתנגדות המנומקת של הנמען לביקורת של בית משפט מוסמך באותה מדינה שלישית.

התנגשות משפטית ישירה

הבעיה היא מיידית: ה-CLOUD Act דורש חשיפה המבוססת על השליטה שמפעילה החברה האם, ללא תנאי מידתיות דומה לזה הנדרש על פי החוק האירופי. ה-Data Act, לעומת זאת, מתנה את ההכרה בבקשה כזו בקיומו של הסכם בינלאומי או בערבויות דיוניות מדויקות. חברה אמריקאית הפועלת באירופה, שנדרשת על ידי רשות אמריקאית להעביר נתונים המאוחסנים באיחוד, מוצאת עצמה לכן תקועה בין שתי חובות משפטיות סותרות: לציית לצו האמריקאי תוך הפרת חוק האיחוד, או לכבד את ה-Data Act תוך חשיפה לתוצאות של סירוב בארצות הברית.

מתח זה אינו תיאורטי. הוא כבר תועד על ידי בית הדין לצדק של האיחוד האירופי (CJUE) בשתי החלטות מכריעות, Schrems I (2015) ו-Schrems II (2020). בפסק דין Schrems II, קבע ה-CJUE כי המעקב האמריקאי המתבצע מכוח סעיף 702 של ה-FISA (Foreign Intelligence Surveillance Act) וExecutive Order 12333 אינו עומד בערבויות המינימליות הנדרשות על פי חוק האיחוד מכוח עיקרון המידתיות, ולכן אינו יכול להיחשב כמוגבל למה שנחוץ בהחלט. בית הדין ציין גם את היעדר דרך ערעור שיפוטית אפקטיבית לגבי הגורמים הנוגעים מהאיחוד, בניגוד לסעיף 47 של אמנת הזכויות הבסיסיות. פסיקה זו ביטלה את מסגרת Privacy Shield, שארגנה עד אז את העברות הנתונים בין האיחוד האירופי לארצות הברית.

הסיכון המבני: Harvest Now, Decrypt Later

מעבר לסכסוך השיפוטי, איום מסוכן יותר נחת על נתונים המאוחסנים בתשתיות הכפופות לחוק האמריקאי: האסטרטגיה המכונה Harvest Now, Decrypt Later (HNDL). העיקרון הוא שגורם מודיעיני או גורם מדינתי עוין מיירט ואוחסן כיום נתונים מוצפנים, בציפייה לכוח חישוב קוונטי מספיק כדי לפענח אותם בעתיד.

אסטרטגיה זו הופכת כל תלות ממושכת בתשתית ענן אמריקאית לחוב אבטחה דחוי: מה שסודי היום עשוי להפוך לקריא בעוד עשר או חמש עשרה שנים, ללא שום פעולה נוספת הנדרשת מצד התוקף — רק זמן וסבלנות.

מדוע רק חוסר האפשרות הטכנית מהווה ערובה אמיתית

הניתוח המשפטי מתכנס לכדי מסקנה המשותפת לרבים ממומחי הציות: יהיה המסגרת המשפטית של ה-Data Act מוצקה ככל שתהיה, היא נותרת טקסט שיחסי כוח גיאופוליטיים ולחצים דיפלומטיים יכולים לעקוף, לעכב או לפרש מחדש. ההגנה היחידה שאינה תלויה בשום משא ומתן עתידי היא חוסר האפשרות הטכנית לביצוע.

ארכיטקטורת zero knowledge, שבה הספק אינו מחזיק לא ברשות ולא בהחזקה של מפתחות הפענוח, הופכת צו שיפוטי לחסר תוקף מעשי. לא ניתן להיות מחויב למסור את מה שמעולם לא מוחזק.

זוהי הלוגיקה המבנה את מערכות אקוסיסטם כגון Arpokrat:

נטרול שיפוטי: התשתית מאוחסנת בשווייץ, תחת משטר חוק הגנת הנתונים הפדרלי (LPD/FADP), מחוץ לתחום ההחלה הישיר של החוץ-טריטוריאליות של ה-CLOUD Act
היעדר החזקה: ארכיטקטורת zero knowledge שוללת מהספק כל יכולת למסור מפתחות או תכנים שאינם בידיו מעולם
צמצום הטביעה הזהותית: על ידי ביטול חובת ההרשמה עם מספר טלפון או כתובת דואר אלקטרוני — מזהים שמעקב המבוסס על סעיף 702 של ה-FISA יכול לעקוב אחריהם בקלות — המשתמש חדל להיות מנוי ניתן לזיהוי ומהפך למפתח קריפטוגרפי אנונימי

שרשרת השמירה אינה עוצרת בהצפנת ההודעות

נקודה המוערכת בחסר לעתים קרובות בניתוחי ציות: אין די בהצפנת תוכן תקשורת אם מערכת ההפעלה הבסיסית — בין אם מדובר ב-Android או ב-iOS — ממשיכה ללכוד מטא-נתונים או טלמטריה ברמת הגרעין, לכיוון שרתים הכפופים לשיפוט האמריקאי. הגנת הסוד דורשת סגירה מוחלטת של שרשרת השמירה, מהתוכן ועד לתשתית החומרה עצמה.

מסיבה זו, הריבונות הדיגיטלית כרוכה גם בהרהור על מערכת ההפעלה בה נעשה שימוש, לא רק על אפליקציות המסרים. מערכות מנוקות מ-Google, שבהן מודולים כמו Bluetooth או מיקום גיאוגרפי GNSS ניתנים לביטול ישירות ברמת הגרעין, מבטלות וקטורי תקיפה פיזיים שאף הצפנה ברמת האפליקציה אינה יכולה לפצות עליהם.

הקריפטוגרפיה הפוסט-קוונטית, אופק שכבר בפתח

לאור האיום שמייצגת אסטרטגיית HNDL, אימוץ תקני קריפטוגרפיה פוסט-קוונטית (PQC) הופך לצורך עבור כל מי שמבקש להבטיח את סודיות נתונים רגישים לטווח הארוך — בין אם מדובר בסודות עסקיים, בהתכתבויות מקצועיות או בנתוני בריאות. הצפנה הנחשבת כיום חסינה לפי תקנים קלאסיים אינה מבטיחה שתעמוד ביכולות החישוב הקוונטי הצפויות בחמש עשרה השנים הקרובות.

הסכסוך בין ה-Data Act ל-CLOUD Act ממחיש מציאות רחבה יותר: ריבונות דיגיטלית אינה יכולה עוד להיבנות על טקסטים משפטיים בלבד, יהיו מוצקים ככל שיהיו. היא דורשת סגירה של שרשרת השמירה בכל רמה — מפרוטוקול ההצפנה ועד לשיפוט האחסון, דרך מערכת ההפעלה עצמה. גישה שכבתית זו, במקום הסתמכות על מסגרת רגולטורית אחת בלבד, היא המגדירה כיום ריבונות דיגיטלית אמיתית מתוך תכנון.

סוף הפרטיות? דלתות אחוריות (Backdoors), חוק הבטיחות המקוונת והתגובה של אקוסיסטמים ריבוניים

Wed, 10 Jun 2026 00:00:00 +0000

לונדון הפכה למוקד של קרב עולמי על עתיד הפרטיות הדיגיטלית. עם אימוץ חוק הבטיחות המקוונת 2023 (OSA) וההצעות האחרונות לתיקון חוק סמכויות החקירה (IPA) — המכונה על ידי מבקריו “מגילת המרגלים” —, ממשלת בריטניה טוענת לזכות לכפות חובות מעקב בלב ליבה של התקשורת הפרטית. נקודת השבירה היא הסמכות המוענקת לרגולטור OFCOM לדרוש מפלטפורמות לפרוס “טכנולוגיה מוסמכת” לאיתור תכנים של ניצול והתעללות מינית בילדים (CSEA) או טרור, לרבות בתוך תקשורת מוצפנת מקצה לקצה.

עבור פלטפורמות דיגיטליות גדולות, המסר של וסטמינסטר הוא חד משמעי: או שהן מאפשרות גישה ממשלתית לתשתיות שלהן, או שהן צפויות לקנסות של עד 10% מהכנסותיהן העולמיות. התגובה הייתה מיידית: שירותים כמו Signal ו-WhatsApp איימו בפומבי לסגת מהשוק הבריטי, וסירבו להתפשר על אבטחת המשתמשים שלהם כדי לספק תחום שיפוט יחיד. קשה לחלוק על הטיעון הטכני: אין מפתח מאסטר השמור אך ורק לשחקנים לגיטימיים. דלת פתוחה לאכיפת החוק היא, מעצם התכנון, דלת פתוחה לפושעי סייבר ושירותי ביון זרים.

המודל העסקי של פלטפורמות גדולות: מכשול מבני ל-Zero-Knowledge

ההתנגדות של פלטפורמות גדולות לאימוץ הצפנת Zero-Knowledge אינה מוסברת על ידי חוסר יכולת טכנית, אלא על ידי חוסר התאמה כלכלי מהותי. חברות כמו Alphabet ו-Meta מסתמכות על מודלים של מונטיזציה המבוססים על איסוף שיטתי של נתונים התנהגותיים. מודל זה, אגב, מוכר במשתמע על ידי חוק השווקים הדיגיטליים (DMA) של האיחוד האירופי, המסווג “שומרי סף” (gatekeepers) אלה כישויות שמעמדן הדומיננטי ניזון בדיוק על ידי צבירת נתונים בקנה מידה חסר תקדים. עבור שחקנים אלה, אימוץ ארכיטקטורת Zero-Knowledge יהיה שווה ערך למניעת הזיהוי הרציף של המשתמשים ממערכות הפרסום שלהם, המהווה את הדלק שלהן. לכן לא מדובר בבחירה טכנית, אלא בפשרה בין פרטיות המשתמשים לבין הכדאיות של המודל העסקי שלהם.

הסיכון האסטרטגי: איום ה-“Harvest Now, Decrypt Later”

מעבר לדיון על פרטיות, היחלשות ההצפנה מעלה סוגיה של ביטחון לאומי בהיקף שונה לחלוטין. האסטרטגיה המכונה Harvest Now, Decrypt Later (HNDL) כרוכה בכך שיריבים מדינתיים מיירטים ומאחסנים היום כמויות עצומות של תקשורת מוצפנת, בציפייה ליכולות פענוח קוונטי עתידיות. על ידי החלשת תקני ההצפנה הנוכחיים, המסגרת החקיקתית הבריטית מקלה באופן אובייקטיבי על סוג זה של פעולות נגד תקשורת ממשלתית, דיפלומטית או תעשייתית.

דווקא בהקשר זה של גירעון אמון אקוסיסטמים כמו זה של Arpokrat רוכשים רלוונטיות תפעולית. על ידי פעולה תחת משטר חוק הגנת הנתונים הפדרלי השוויצרי (FADP), עם ארכיטקטורה שאינה אוספת מזהים אזרחיים, Arpokrat מציעה ניתוק טכני מתשתיות הכפופות לתחום השיפוט הבריטי — מה שמבטיח שהמערכת נשארת חירשת לצווים שנקבעו על ידי ה-OSA.

התנגשות הנורמות: OSA ו-IPA נגד החוק האירופי

הניתוח המשפטי של סמכויות המדינה הבריטיות החדשות חושף התנגשות ישירה עם יסודות החוק האירופי בנוגע להגנה על נתונים וסודיות התקשורת.

OSA נגד איסור המעקב הכללי

סעיף 121 של ה-OSA מציג את האפשרות עבור OFCOM להוציא צווים המאלצים פלטפורמות ליישם סריקה בצד הלקוח (client-side scanning). צעד זה מנוגד חזיתית לעיקרון, הנגזר מהחוק האירופי ונכלל בפסיקת ה-CJEU (בית הדין לצדק של האיחוד האירופי), האוסר על חובות מעקב כלליות. על ידי כפיית “פגיעות על פי תכנון” (vulnerability by design), היא גם מציבה חברות במצב של מלכוד כפול: על ידי החלשת האבטחה שלהן כדי לציית למנדט מדינתי, הן נכשלות בחובתן להבטיח רמת אבטחה המתאימה לעיבוד, כפי שמעוגן בסעיף 32 של ה-GDPR.

דירקטיבת ה-ePrivacy וסודיות התקשורת

סריקת הודעות פרטיות עומדת בסתירה ישירה לסעיף 5, פסקה 1, של דירקטיבה 2002/58/EC (ePrivacy), המחייבת את המדינות החברות להבטיח את סודיות התקשורת האלקטרונית ואוסרת על כל צורה של יירוט או מעקב ללא הסכמה מפורשת של המשתמשים הנוגעים בדבר.

Technical Capability Notices וחסימת עדכוני אבטחה

תחת משטר ה-IPA 2016, ממשלת בריטניה מתכוונת כעת להשתמש ב-Technical Capability Notices (TCN) כדי להתנגד לעדכוני אבטחה לפני פריסתם. מנגנון זה יוצר קונפליקט בלתי פתיר עם החובה, שנקבעה על ידי סעיף 32 של ה-GDPR, להבטיח את האבטחה הרציפה של מערכות העיבוד — חובה הדורשת בדיוק את היכולת להחיל טלאים (patches) ללא עיכוב או התערבות חיצונית.

סיכוני תאימות עבור חברות הפועלות באירופה

תיקוני ה-IPA נועדו לאלץ חברות להודיע לממשלת בריטניה על כל שינוי טכני המשפיע על האבטחה, לפני יישומו, ובכך להעניק לה זכות וטו על פיתוח מוצרים. התערבות זו יוצרת חוסר ביטחון משפטי ניכר עבור ספקים הפועלים בשוק האירופי: תאימותה של בריטניה לחוק האירופי — השברירית ממילא — עלולה לעמוד בסימן שאלה אם בריטניה לא תבטיח עוד הגנה שוות ערך במהותה לזו של ה-GDPR. לפיכך, העברות נתונים לבריטניה תחת מסגרת חדשה זו צפויות לחשוף חברות לסנקציות תחת ה-GDPR.

הגנה באמצעות חוסר אפשרות טכנית: עקרון ה-Zero-Knowledge כמגן משפטי

הפסיקה הבינלאומית, שגובשה על ידי פסקי הדין Schrems I ו-Schrems II של ה-CJEU, ביססה עיקרון מכריע: ההגנה החזקה היחידה מפני מעקב בלתי מידתי היא חוסר האפשרות הטכנית לגשת אליו. ארכיטקטורות Zero-Knowledge מיישמות עיקרון זה בשלוש שכבות של הגנה:

היעדר משמורת: מכיוון שהפלטפורמה אינה מחזיקה במפתחות הפענוח, כל צו לסריקת הודעות אינו ניתן לביצוע מבחינה טכנית;
ריבונות מערכת ההפעלה: השליטה ב-ArpokratOS מבטלת טלמטריה המזינה איסוף מודיעין ברמת המכשיר;
עיגון תחום השיפוט השוויצרי: על ידי אירוח התשתית שלה בשוויץ, Arpokrat פועלת תחת משטר חוקי הדורש בקשות לעזרה משפטית הדדית אינדיבידואליות ומנומקות, מה שמנטרל את הביצוע האוטומטי של סריקות ההמונים שצופה ה-OSA.

סיכום

הוראות ה-OSA והתיקונים של ה-IPA אינם רק איום על פרטיותם של אנשים: הם מהווים פגיעה בוודאות המשפטית עבור כל הנתונים האירופיים העוברים דרך תשתיות הכפופות לתחום השיפוט הבריטי. על ידי מתן לגיטימציה להחלשת ההצפנה בשם ביטחון הציבור, לונדון חושפת באופן פרדוקסלי את בנות בריתה ושותפותיה למסחר לסיכונים של ריגול תעשייתי ומדינתי שארכיטקטורות Zero-Knowledge נועדו בדיוק למנוע.

שלמותה של התקשורת המקצועית והמוסדית דורשת כעת מענה מבני: הגירה לעבר אקוסיסטמים מבוזרים המבטיחים ריבונות דיגיטלית, מרמת הקוד ועד לעיגון תחום השיפוט.

פצצת הזמן: אסוף עכשיו, פענח מאוחר יותר והצורך באפס ידיעה

Tue, 26 May 2026 00:00:00 +0000

התלות של ממשלות אירופה בתשתית ענן אמריקאית מציבה יותר מסתם בעיית יירוט מיידית. האיום ההרסני ביותר לעשורים הבאים הוא אסטרטגיית HNDL: “אסוף עכשיו, פענח מאוחר יותר”.

זו לא חדירה חזיתית, אלא גניבה שקטה. סוכנויות מודיעין מיירטות ומאחסנות היום כמויות עצומות של נתונים מוצפנים, פשוט כי עלות האחסון הפכה לאפסית.

הם ממתינים לרגע שבו קפיצות טכנולוגיות יהפכו את מפתחות ההצפנה הנוכחיים למיושנים. סוד מדינה שמוגן ב-2026 עלול להפוך לספר פתוח בעוד חמש עשרה שנים.

אחריות רטרואקטיבית וסיכון טמפורלי

מודל ה-HNDL מציג מושג חדש: נזק משפטי מושהה. עם האיסוף המאסיבי של נתונים לפענוח עתידי, סודיות הופכת למשתנה תלוי זמן.

מודל ה-HNDL מגדיר שסודיות נכשלת בהכרח כאשר תוחלת החיים הנדרשת של הסוד עולה על אופק הפענוח של היריב.

אם מדינה אינה מבטיחה ריבונות מוחלטת של תשתית החומרה שלה, היא למעשה מוותרת על הסודיות לטווח ארוך של אזרחיה.

היירוט של היום הוא הפריצה של מחר. הפיכת התלות בענן לחוב של ביטחון לאומי היא הימור שאי אפשר להחזיר.

האנטיתזה של Arpokrat: חוסר אפשרות משפטית באמצעות קוד

בתגובה לפגיעות זו, התעשייה יוצרת אקולוגיות ריבונות דיגיטלית רדיקליות. מודל Arpokrat פועל ברשת מבוזרת, המוגנת על ידי חוק הגנת הנתונים השוויצרי המחמיר (FADP).

ההיגיון המרכזי הוא פרטיות על ידי תכנון. על ידי הסרת הצורך במספר טלפון, המשתמש הופך למפתח קריפטוגרפי פשוט.

מבחינה חוקית, אם הארכיטקטורה מבוססת על אפס ידיעה (Zero-Knowledge), החברה ניצבת בפני חוסר אפשרות טכנית לציית לצווים זרים.

זהו אמצעי הגנה מתמטי ומשפטי בלתי ניתן לעצירה: מה שאין ברשותך אי אפשר לחשוף.

מעבר להצפנה: פיחות ערך נתוני המטרה

התשובה האמיתית ב-אפליקציית Arpokrat אינה להמר על מתמטיקה נצחית, אלא להפחית את ערך הנתונים עצמם.

ללא מטא-דאטה מרכזי לקשר הודעה לאדם פיזי, התוכן המוצפן מאבד את ערכו האסטרטגי כי לא ניתן לייחס אותו.

עם זאת, התוכנה לבדה אינה יכולה לעשות דבר אם החומרה בוגדת בה.

ביטחון במאה ה-21 דורש את עצמאות המכונה. פריסת מערכת הפעלה ריבונית ללא גוגל הפכה לדרישת הישרדות מוחלטת לכל מי שמטפל בסודות מדינה.