[המאמר פורסם לראשונה בכתב העת שערי משפט ד (2006) 315.]
פרשת "הסוס הטרויאני" שנחשפה בסוף חודש מאי 2005 היכתה את הציבור בתדהמה: לפי החשד, חברות מובילות במשק נעזרו בשירותיהם של חוקרים פרטיים כדי להחדיר תוכנת ריגול, "סוס טרויאני", למחשביהן של חברות מתחרות.1 "סוס טרויאני" מאפשר "לשאוב" מידע רגיש ממחשבי הקורבן, ללא רשות, כמובן, ולא ידיעת הקורבן, ומכאן הכינוי של תוכנות ריגול מעין אלה. הפרשה עוררה עניין רב, ובעת כתיבת מאמר זה היא מתגלגלת בבתי המשפט. מובן שהמשפט הוא רק כלי אחד להתמודד עם תופעות מעין אלה, ולצידו אמורות לפעול מערכות חברתיות של חינוך, אתיקה ועוד. האם בידי המשפט כלים להתמודד עם ריגול תעשייתי המתבצע באמצעות מערכות מחשב? אני סבור שחוק המחשבים, התשנ"ה-1995 (להלן: החוק) מספק מענה הולם, אלא שככל חוק, גם הוא טעון פרשנות. מאמר זה מציע פרשנות תכליתית של החוק, שקושרת אותו לעקרונות יסוד של אבטחת מידע, המקובלים במדעי המחשב. פרשנות תכליתית זו באה על רקע תפישה רחבה יותר של יחס דיאלקטי בין משפט לטכנולוגיה. זהו ציר אחד של המאמר.
ציר שני של המאמר יבחן את היישום השיפוטי של החוק בעשור האחרון. האם הצליח החוק במשימתו? האם יכול המשפט להסדיר את הטכנולוגיה? הדיון שאציע כאן בוחן את פסקי הדין שהצטברו בעשור האחרון בקשר לחוק ומבקש לשאול מהי עמדת בתי המשפט בבואם להחיל חוק על טכנולוגיה:2 האם הם סבורים שהמשפט יכול לחול באשר הוא? האם הם סבורים שהטכנולוגיה חסינה מפני המשפט? בדיקה זו אינה פשוטה, שכן הפסיקה מצומצמת; אין עדיין פסיקה מנחה של בית המשפט העליון ורוב פסקי הדין הם גזרי דין שניתנו בעקבות הסדרי טיעון או החלטות בקשר למעצר חשודים. עם זאת, ניתן כבר כעת להצביע על שתי עמדות שונות מאוד, או על שני נרטיבים כמעט הפוכים, העולים מתוך הפסיקה. האחד מגולם בעניין אהוד טננבאום ("האנלייזר"), והשני בעניין אבי מזרחי.3 העמדה הראשונה, זו שבעניין טננבאום, מקצה לבית המשפט תפקיד מרכזי בהגנת הטכנולוגיה, אולם למצער, מבלי שמתנהל שיח מספק בין המשפט לטכנולוגיה. בעניין מזרחי נמצא שיח כזה, וגם התוצאה, בהתאמה, עדיפה בעיניי.
1. הצגת השאלה
מהו היחס שבין משפט לטכנולוגיה?4 שאלה זו הטרידה ומטרידה רבים. כל עוד התפתחה הטכנולוגיה בעצלתיים, ובימים בהם רק חלק מהארץ מלאה משפט, ההתנגשויות בין משפט לטכנולוגיה היו מעטות. הקצב המהיר של התפתחות הטכנולוגיה בסוף המאה הקודמת מחייב תשובה. האם ראוי שהמשפט יסדיר את הטכנולוגיה? האם המשפט יכול לכך? עד כה, המשפט היה הזירה החברתית הטבעית של הסדרת ההתנהגות האנושית. אולי כעת המשפט מיותר, שכן "הקוד הוא המשפט", כלומר, אולי הטכנולוגיה משפיעה על התנהגותנו יותר מאשר המשפט?5
במאמר זה אטען שיש להבין את היחס שבין משפט לטכנולוגיה כיחס דיאלקטי, ואציע לפרש את חוק המחשבים על רקע הבנה זו. בהתאם, אציע לפרש את החוק כך שיהיה קרוב יותר לעולם הטכנולוגי אותו הוא מבקש להסדיר ולפי עקרונות המשקפים הבנה רצויה של התפתחות הטכנולוגיה ומקומו של המשפט בהתפתחות כזו. אלה מתבססים על עקרונות אבטחת המידע המקובלים בקשר למערכות מידע: אטען שיש לאתר את הערך החברתי המוגן על ידי החוק בעקרונות האבטחה הטכנולוגיים.
אפתח בשרטוט מסגרת הדיון, שהיא היחס שבין משפט לטכנולוגיה. מסגרת זו הכרחית בעיניי כדי להבין את חוק המחשבים, לפרשו ולהפעילו בתבונה. אטען, כי בעת עיצוב מדיניות משפטית לטכנולוגיה, עלינו לאמץ נקודת מבט רחבה של דיני מידע: זו מסגרת שעֵרה ליחס המורכב בין משפט, טכנולוגיה וחברה. יש לפרש את כללי המשפט הקיימים או לעצב כללים חדשים, תוך גזירתם מערכים חברתיים ותוך דו-שיח עם מאפייניה הייחודיים הרלוונטיים של הטכנולוגיה שבה מדובר. תפישה כזאת מקנה עדיפות עקרונית לערכים חברתיים ואתיים על פני הטכנולוגיה, ואינה נופלת ברשתה כדבר מובן מאליו, אך גם אינה מתעלמת ממנה. התפישה הזאת מדגישה את הדינמיות של היחסים שבין משפט, ערכים וטכנולוגיה. זו הטענה, וכעת אסביר אותה.
2. דטרמיניזם טכנולוגי או אימפריאליזם משפטי?
מהו, אם כן, היחס שבין משפט לטכנולוגיה? תשובה קיצונית אחת היא עמדת הדטרמיניזם הטכנולוגי.6 לפיה, למשפט אין ברירה אלא לסגת מפני הטכנולוגיה. לפי עמדה זו, ניסיונות ההתערבות של המשפט עלולים להזיק להתפתחות הטכנולוגיה, הם בגדר איוולת, ובכל מקרה סופם להיכשל. כאן אתמקד בסביבה הדיגיטלית. המצדדים בעמדה הדטרמיניסטית מזכירים שהאינטרנט בנויה כרשת מבוזרת, כלומר, מבחינה טכנולוגית, שלטונית, ולמעשה מכל בחינה, אין לה מרכז. בהיעדר מרכז ששולט בכל קצות הרשת, אין למשפט מקום להניח את ידו. עוד מוזכר בהקשר הזה האופי הגלובלי של הרשת: למשל, גם אם מדינה פלונית תטיל צנזורה על אתר אינטרנט בשיטחה, יצוץ הטקסט המצונזר בנקודה אחרת בעולם.7 אבל הטענה אינה רק כי קשה לאכוף את המשפט ברשת. הטענה הדטרמיניסטית חזקה יותר, שכן היא מניחה שהטכנולוגיה נוצרת יש מאין, שהיא בלתי נמנעת, שהיא מתנהלת לפי "חוקים משלה", ואינה כפופה למשפט הקיים. נובע מכך כי למשפט אין בכלל מקום בהסדרת הטכנולוגיה.8
תשובה קיצונית הפוכה היא עמדה שאכנה אותה "עמדה משפטנית טהורה". לפי עמדה זו, הטכנולוגיה החדשה היא, לכל היותר, עילה לבחון מחדש הסדר משפטי קיים ולעדכנו, אולם ידו של המשפט היא שצריכה להיות על העליונה. עמדה כזו מניחה שהטכנולוגיה היא תוצר פעילות אנושית ככל פעולה אחרת, אין לה ייחוד מן הבחינה המשפטית וודאי שאין לקבל, לפי עמדה זו, שהטכנולוגיה מתנהלת לפי מערכת כללים עצמאית.9 בעיקר, המחזיקים בעמדה זו מקפידים על עקרונות יסוד של שיטת הממשל, כמו למשל ריבונות המדינה: העובדה שהרשת מאפשרת פעילות חוצת-גבולות אינה טעם, לשיטתם, לוותר על ריבונות המדינה.10
נדמה לי שהיחס בין המשפט לבין הטכנולוגיה מורכב יותר משתי אפשרויות הקיצון האלה, וכדי להבין את היחס המורכב הזה עלינו לפענח מעט יותר את "המשפט", ומעט יותר את "הטכנולוגיה". למשל, עלינו לשאול שאלות כמו כיצד נוצרת טכנולוגיה? אני סבור שיש, כעניין מצוי, רב-שיח בין המשפט לבין הטכנולוגיה, כלומר בין המחוקקים, בתי המשפט ושאר יוצרי-משפט מצד אחד, לבין יוצרי הטכנולוגיה מצד שני, הפועלים במסגרת תאגידית או במסגרת עצמאית/פרטית, ולבין משתמשי הטכנולוגיה, מצד שלישי. השיח שבין המשפט לטכנולוגיה מורכב: לעיתים שני הכוחות חוברים לסייע זה לזה בהשגת יעד חברתי מסוים.11 לעיתים הם רודפים זה אחר זה ומציעים חלופות המתנגשות זו בזו.12 בדרך זו הם משפיעים זה על זה, ויש ביניהם יחס דיאלקטי.
3. דיני מידע
כדי להכריע בתחרות שבין המשפט לטכנולוגיה, יש לתת את הדעת לגורם שלישי, והוא הערכים החברתיים והאתיים.13 הוספת הערכים לדיון הופכת את הציר "משפט-טכנולוגיה" למשולש: "ערכים-משפט-טכנולוגיה". אקרא לכך מודל המשולש של דיני המידע. הערכים עצמם אינם מקובעים. בחברה הדמוקרטית ישנם ערכים רבים המתגוששים ביניהם. ערכים חדשים דוחקים ישנים. לעיתים חברה מאמצת ומעדיפה ערך אחד על פני אחר, ולעיתים חוזרת ומעדיפה את האחר על פני האחד. מובן גם שהערכים שונים ממקום למקום: במדינה אחת מקדשים את חופש הביטוי גם במחיר פגיעה ברגשות, למשל כאשר נאמרים דברי שטנה נגד קבוצת מיעוט, ובמדינה אחרת מסרבים להגן על ביטוי-שנאה שכאלה.
משפט וערכים
קודקודי המשולש וצלעותיו מוכרים וזכו לדיון נרחב. הצלע שבין משפט לערכים היא שאלת יסוד של תורת המשפט: האם המשפט כולל רק כללים פוזיטיביים, או שהוא מקיף גם עקרונות וערכים? כיצד מגלמים הכללים הפוזיטיביים ערכים, וכיצד יש לפרשם כך שישיגו את תכליתם? בשיטת המשפט הישראלית העכשווית, הערכים הם שמכתיבים את פרשנות כללי המשפט.
טכנולוגיה וערכים
בצלע השנייה, זו שבין ערכים לטכנולוגיה, עוסקים בעיקר חוקרי המדיה, ופילוסופים והיסטוריונים של הטכנולוגיה: האם וכיצד מעצב המדיום את המסר? איך משפיעה הטכנולוגיה על פרקטיקות אישיות, חברתיות, פוליטיות? עמדה אחת רואה בטכנולוגיה ישות עצמאית וניטרלית, שאינה תלויה בדבר. לעמדה זו שני פנים: פן אחד הוא הטענה בדבר דטרמיניזם טכנולוגי, שהזכרתי קודם. הפן השני, הוא שהטכנולוגיה היא נטולת ערכים: אפשר לבחון את יעילותה, אבל היא מנותקת מנורמות מוסריות והתנהגותיות.14
בעיניי, עמדה זו, על שני פניה, שגויה. הטכנולוגיה אינה נוצרת יש מאין. היא נוצרת על ידי בני אדם, הפועלים במסגרות חברתיות, מסחריות ואקדמיות. גם אם הם פועלים באופן עצמאי הרי הם אזרחי מדינה כלשהי וכפופים לחוקיה. די בכך לדחות את הטענות כי "לטכנולוגיה חוקים משלה". אין לה חוקים עצמאיים. היא חלק מהפרקטיקה האנושית, ולכן נמצאת בתוך המסגרת החברתית, ובכלל זה, כפופה למשפט.
נוסף לכך, כל טכנולוגיה באשר היא מגלמת ערכים מסוימים, בדרכים מגוונות ומורכבות. בחיי היום יום, אנו רגילים להשתמש בטכנולוגיות רבות מבלי לתהות יותר מדי אחרי תכליתן, מהותן או משמעויותיהן. אנו פשוט משתמשים בהן. אבל פילוסופים והיסטוריונים של טכנולוגיה, כמו גם חוקרי תקשורת, טוענים מזה זמן כי למרות החזות הניטראלית-פונקציונאלית, בטכנולוגיה יש גם יש ערכים.15 סכין, למשל, יכולה לגלם אלימות, או דווקא ערך של הגנה עצמית, או של יעילות, אם נעשה בה שימוש לעיבוד מזון, למשל. Langdon Winner מביא דוגמה של גשרים שנבנו בדרך לאזורי נופש בניו יורק בגובה נמוך, באופן כזה שאוטובוסים אינם יכולים לעבור מתחתם. התוצאה היא הדרתם של משתמשי התחבורה הציבורית מאזורי הנופש, ובדרך כלל היו אלה תושבים שחורים.16 אמרו מעתה: הטכנולוגיה של הגשרים בניו יורק גילמה ערך של הדרה, אפליה וגזענות. בהקשר של הדיון פה: רשת האינטרנט גם היא מגלמת ערכים. בשיח הפופולרי שומעים לא אחת דוברים המציינים את "טבעה של האינטרנט", בדרך כלל כרשת המעלה על נס את חופש הביטוי והדמוקרטיה. באותה מידה, שומעים בעלי אינטרסים שונים המדברים על אותה רשת כשטח הפקר, למשל בהקשר של זכויות יוצרים. הרשת יכולה אם כן להיות רשת של חופש או רשת של אנרכיה. לפיכך, ראוי לשאול, האם לרשת בכלל יש מהות, או אולי משמעותה נקבעת לפי השימוש שאנו עושים בה? במילים אחרות, גם כאשר אנו מקבלים את הטענה שהטכנולוגיה מגלמת ערכים, יש לפצח כיצד בדיוק.
הצורה שבה הטכנולוגיה מגלמת ערכים מורכבת מאוד, ותלויה בשאלות סבוכות של פרשנות, ובעיקר שאלות בדבר הדרך בה נוצרת משמעות: האם משמעות הטכנולוגיה, כלומר הדרך שבה היא מגלמת ערכים, תלויה בכוונת יוצרי הטכנולוגיה? האם היא טבועה בטכנולוגיה בלי קשר לכוונת יוצריה? או אולי משמעות הטכנולוגיה תלויה במשתמשים בה? ואולי המשמעות תלויה בקונטקסט החברתי, תרבותי, כלכלי ופוליטי? שאלות אלה של פרשנות מוכרות לפרשני אמנות וספרות, כמו גם לפרשני המשפט, המתחבטים בשאלה אם המשמעות של יצירה או חוק צריכה להיקבע לפי כוונת היוצר/המחוקק, לפי הטקסט בלבד או לפי הבנת הפרשן. נראה לי שהתשובה (בספרות, אמנות, משפט וטכנולוגיה) אינה באף אחד מהגורמים האלה לבדם, אלא דווקא בקשר שביניהם. הטכנולוגיה נטענת במשמעות במרחב שבין מפתחיה של הטכנולוגיה, לבין הטכנולוגיה עצמה, ובין טכנולוגיה מסוימת לטכנולוגיות אחרות, ולבין משתמשיה, והכול בהקשר החברתי הנתון. זהו מרחב של דיאלוג על-זמני, אינטראקטיבי, ודינמי.
לפי הדיווח הרווח, הארכיטקטורה הבסיסית של רשת האינטרנט נוצרה מתוך כוונה של צבא ארצות הברית להתגונן מפני מתקפה גרעינית: גם אם יימחו אזורים נרחבים מעל לפני האדמה, יישמר המידע ברשת, במקומות אחרים. הביזור המכוון הזה אפשר, שלא במכוון, את החופש הגדול שיש ברשת האינטרנט למשתמשיה. במלים אחרות, הטכנולוגיה פותחה כך שתשיג ערך של הגנה וביטחון, אבל בפועל היא מגלמת ערך אחר, של חופש. לטכנולוגיה עצמה יש מאפיינים שמדגישים ערכים מסוימים על פני אחרים. היעדר מרכז שליטה ברשת, ומתכונתה כרשת של "קצה לקצה" (end to end) מקנה מיידית כוח ל"קצוות". במדינה הפיסית, יכול השלטון להזרים טנקים לכיכר העיר, ולבלום מחאה נגד השלטון. בהיעדר כיכר מרכזית אחת, אי אפשר לשלוט ברשת בדרך הישנה הזו. אבל, העיקר, אינו מה התכוונו המפתחים, או מה יש בטכנולוגיה, אלא העיקר הוא מה עושים המשתמשים. משמעותה של רשת האינטרנט נוצרת על ידי השימוש בפועל, כאשר השימוש מוכתב ונתחם על ידי הטכנולוגיה עצמה, דבר שבעיתו הושפע מהמפתחים. הגולשים יכולים להשתמש באינטרנט "שימושים של חופש", כמו למשל להגביר את אפשרויות הביטוי, ההשתתפות בשיח הציבורי, או "שימושים של אנרכיה", כמו למשל להפר זכויות יוצרים, או לפגוע בפרטיות.
ועוד דוגמה: איש המחשבים לוּ מונטולי פיתח טכנולוגיה שתזכור את כל הסיסמאות הרבות שנדרש למסור באתרים השונים, וכך יילד את "העוגייה" - אמצעי המקל מאוד על הגלישה, אבל גם אמצעי למעקב ופגיעה בפרטיות. הטכנולוגיה של "העוגייה" מגלמת תפישה רזה מאוד של פרטיות. משמעותה הערכית, החברתית והאתית, של "העוגייה" נקבעת, אם כן, ביחס שבין כוונת המפתח, במאפייני הטכנולוגיה עצמה, ובשימושים שנעשים בה. בדרך מורכבת זו נוצרת המשמעות של הטכנולוגיה. המשמעות עשויה לפיכך להשתנות, לפי השימושים בה. טכנולוגיה יכולה לשמש תחילה כאמצעי למטרה חיובית ולהפוך במרוצת הזמן לסימן שלילי.
4. עיצוב מדיניות טכנולוגית
אם המשפט מגלם ערכים, ואם גם הטכנולוגיה מגלמת ערכים, אפשר היה להסיק שעיצוב המדיניות לסביבה הטכנולוגית מוגבל רק לדיון בערכים עצמם, ובמונחי המשולש של דיני המידע שהוצג לעיל, רק לקודקוד של הערכים. האם בעת עיצוב מדיניות אפשר להתעלם מהטכנולוגיה שבה מדובר? אני סבור שהתשובה שלילית. לטכנולוגיה יש תפקיד מכשירני בעיצוב מדיניות. היא מהווה עילה טובה לבחון מחדש את ערכינו: היא מאתגרת אותנו ויוצרת מצבים חדשים שעלינו להתמודד עימם. מה תוכנם של הערכים ומה משמעותם? אולי יש מקום לשנות את סדרי העדיפות שלנו בקשר לערכים? לטכנולוגיה יש גם תפקיד מעשי. היא מהווה את המנוע של הפעילות האנושית אותה אנו מבקשים להסדיר. זו נקודה בסיסית: המשפט מסדיר התנהגות אנושית, ולא טכנולוגיה לכשעצמה. גם אם נדמה לנו שיש הסדרה של הטכנולוגיה, הרי המטרה היא - או ראוי שתהיה - להשפיע על ההתנהגות של המשתמשים בה.
מהדיון עד כה עולה הנחיה כללית לעיצוב מדיניות בסביבה הדיגיטלית, ולפיה כללי המשפט הקיים הם תחילתו של דיון, שצריך להפנות אותנו לערכים שמהם נגזרים כללי המשפט, ולהזכיר לנו שגם הערכים ניצים ביניהם ואינם מוחלטים. בין אלה יש למנות גם ערכים במובן המוסרי וגם במובן החברתי, ובכלל זה ערכים של שוק חופשי, במידה שבה אנו מחזיקים בהם. זו תפישה שמזכירה לנו שהטכנולוגיה אינה חסינה מפני הסדרה, אבל בד בבד, אין להתעלם ממנה. בעיצוב כללים משפטיים חדשים או בעת פרשנות כללים קיימים, יש להיות ערים לטכנולוגיה, ללמוד את מאפייניה הרלוונטיים, ולחלץ את הערכים המגולמים בה. הטעם לכך הוא שהטכנולוגיה מאתגרת את הערכים. היא יוצרת מצבים חדשים, אשר אין לנו תשובה מן-המוכן לגביהם. היא חושפת את קוצר ידם של ערכים מסוימים ואת עוצמתם של ערכים אחרים. בנוסף, רב-השיח שבין הערכים, המשפט והטכנולוגיה נדרש כדי שהכלל המשפטי הנגזר מהערכים יהיה אפקטיבי: אין טעם או היגיון בכלל משפטי שאינו ישים לרשת, או שניתן לסכלו בקלות, באמצעות טכנולוגיה מתאימה.
הלקח שנלמד מהדיון במודל המשולש של דיני המידע הוא שכדי לעצב משפט חדש, או לענייננו ברשימה זו, כדי לפרש את חוק המחשבים, המשפט צריך לנהל דו-שיח עם הטכנולוגיה. יוצרי המשפט חייבים ללמוד את הטכנולוגיה אותה הם מבקשים להסדיר, אבל לא רק. אין די בלימוד הטכנולוגיה המונחת על השולחן, אלא צריך להבין תהליכים מורכבים יותר: כיצד נוצרת טכנולוגיה, כצד היא מתקדמת, כיצד היא מושפעת או עלולה להיות מושפעת מכלל משפטי חדש? על המשפט להתערב רק כאשר הערכים המנחים אותו מגובשים וחזקים, רק כאשר הדבר אפשרי, ורק כאשר תוצאות ההתערבות אינן מזיקות יותר משהן מועילות. גם תהליך זה הוא דינאמי, ולמעשה, אינסופי. בנוסף, השיח הנדרש שבין המשפט לטכנולוגיה צריך להימשך כל העת: הטכנולוגיה משתנה, משמעותה משתנה, ולכן תוכן השיח משתנה, ובהתאם, נדרש שינוי בתוצאות השיח. ולענייננו, כדי לפרש את חוק המחשבים בצורה האופטימאלית, עלינו לערוך בירור ערכי: מהו הערך המוגן על-ידי החוק? זו פרשנות תכליתית, כמקובל במשפט הישראלי. אלא שיש ללמוד את הטכנולוגיה. לראות מה מאפייניה. לחשוב אילו מהם אנו מעוניינים להעצים ואילו אנו מעוניינים לצמצם. לאחר שנסיק מסקנות ערכיות מבירור כזה ונלמד את הטכנולוגיה בה מדובר, אין לחשוש מהטלת הערכים על הטכנולוגיה, במגבלת תכונותיה.
הדיון שלהלן בחוק המחשבים נועד להמחיש כיצד מיושמת המסגרת הכללית של דיני מידע: כיצד הכלל המשפטי נגזרת מתוך האינטראקציה המורכבת שבין המשפט לבין הטכנולוגיה, שמנהלים ביניהם שיח נמשך שיש בו היזון הדדי.
חוק המחשבים כולל מספר עבירות פליליות שמקצתן מוגדר גם כעוולות אזרחיות. החוק אוסר פעולות מסוימות הנתפסות כשליליות ומזיקות, הקשורות למחשב.17 כדי למקד את הדיון, אצביע על מספר אבחנות מוכרות.18 אבחנה ראשונה היא בין עבירות באמצעות מחשב לעבירות כנגד מחשב, שהן פעולות שמטרתן היא הפגיעה במחשב עצמו או במערכות המחשב.19 כך למשל, עבריינים הקושרים ביניהם קשר לבצע עבירה באמצעות חילופי דואר אלקטרוני משתמשים אמנם במחשב, אולם השימוש במחשב הוא אגבי ומקרי: באותה מידה היו יכולים להשתמש בטלפון, שיחה פנים אל פנים וכדומה. העיקר כאן הוא קשירת הקשר. החוק קובע עבירה נפרדת, שעונשה חמור יותר, למי שמבצע חדירה לחומר מחשב כדי לעבור עבירה אחרת (סעיף 5). בכמה מקרים ציינו בתי המשפט את השימוש במחשב או ברשת האינטרנט כנסיבה מחמירה, למשל בהקשר של תרמית בניירות ערך שבוצעה באמצעות פרסום הודעות כוזבות באתר אינטרנט.20
אבחנה שנייה, היא שגם כאשר המחשב הוא היעד לפעולה האסורה, יש להבחין בין פעולות שנועדו לגרום נזק למחשב עצמו, לבין פעולות שנועדו לגרום נזק מחוץ למחשב עצמו. למשל, טרוריסט המחבל במערכת מחשב של תשתיות לאומיות קריטיות כמו מחשבי חברת החשמל, חברות הטלפון, מערכת בקרת רמזורים או בקרה אווירית. שיבוש פעולת המחשב במקרה כזה נועד לפגוע בתשתיות הקריטיות. השימוש במחשב אינו כאמצעי תקשורת לעבור עבירה אחרת כמו בדוגמת הקשר הפלילי, אלא מטרתו היא לגרום לנזק ממשי בעולם המוחשי. במקרים כאלה, המקום המשפטי המתאים לבחון את הפעולה החשודה הוא דיני העונשין הכלליים, האוסרים רצח, חבלה וכיוצא בזה, וברור כי מבחינת חומרת המעשים, העבירה שלפי סעיף 5 לחוק, של עבירה באמצעות מחשב מתגמדת נוכח העבירה האחרת. כמו כן, אם נגרם נזק למחשב עצמו - הרי ניתן להעמיד לדין גם בגין עבירה לפי חוק המחשבים, אולם שוב, ברור כי היא טפלה לעבירה העיקרית.
בהקשר זה, מטריד הזיהוי התכוף שיוצרים מחוקקים בעולם בין עבירות מחשב לעבירות טרור.21 הנזקים שגורמים הטרוריסט ועבריין המחשב שונים בדרך כלל וגם כוונתם והמניע שלהם שונה. הקושי הוא שלמפעיל המערכת הנפרצת אין בדרך כלל יכולת להבחין ביניהם.22 החשש בטשטוש הגבול שבין הטרוריסט לעבריין המחשב הוא ההחמרה הניכרת שאינה במקומה ביחס לפעולות עבריין המחשב. לפחות חלק מאלה המהלכים על גבולו של חוק המחשבים אינם עבריינים, אלא חוקרי מחשבים, המבקשים ללמוד, לדעת, להבין. הדימוי הרומנטי של עברייני המחשב נכון לא אחת, ופעמים רבות מדובר בנערים סקרנים, אשר בהתבגרם הופכים להיות מובילים במחקר מחשבים או מומחים לאבטחת מידע. המחיר החברתי שאנו משלמים בהאחדת היחס לטרוריסט ולעבריין המחשב הוא הרתעת-יתר של חוקרי מחשב (נערים סקרנים או מיזמי אינטרנט) מפני ניסיון, לימוד ומחקר של מערכות מחשבים, הצפנה ומערכות אבטחה. אמנם, אפשר להבדיל בין הטרוריסט לחוקרי המחשבים באמצעות ענישה, אולם מאחר שבדרך כלל רק החוקר ייתפס, ומאחר שהכוח המרתיע של האיסור משפיע עליו יותר מאשר על הטרוריסט, יש חשש להרתעת יתר כאמור. בנוסף, וכפי שאסביר בהמשך, פעולתו של החוקר הסקרן חיובית ורצויה מבחינת חברתית, שכן זהו אמצעי לימוד מרכזי ואמצעי בקרה ביטחונית יעיל מבחינה חברתית. המחיר של כלל מחמיר במיוחד הוא גם שאננות של מפעילי אתרים, העלולים לסמוך על החוק לבדו.23
המוקד במאמר זה הוא, אם כן, בעבירות שיעדן הסופי הוא המחשב: נבחן את פעולתו של עבריין המחשבים המבקש להזיק למערכת המחשב עצמה. העבירות המרכזיות שבחוק המחשבים הן שיבוש או הפרעה למחשב (סעיף 2), העברת מידע כוזב או אחסונו (סעיף 3), חדירה לחומר מחשב (סעיף 4) ועריכת נגיף מחשב (וירוס) או הפצתו (סעיף 6). מבין אלה, ראויה לעיון מיוחד העבירה של חדירה לחומר מחשב. אמנם, כדי להרשיע בעבירה זו אין צורך להוכיח נזק, כלומר נזק אינו יסוד מיסודות העבירה, אולם חשוב לזהות את הערך המוגן על ידי העבירה, וזה אינו פשוט כלל וכלל לזיהוי: לא במקרה התעוררה מחלוקת בין פסקי הדין שיידונו בהמשך בקשר לעבירה זו דווקא, ולא במקרה יש הנחות רקע מנוגדות של השופטים בקשר לעבירה.
עוד הערה לסדר: איני מציע כאן ניתוח מלא של העבירה הפלילית. איני דן כאן במחשבה הפלילית הנדרשת להרשעה, או בשאלה של מרכיבי העבירות הנדרשים.24 המטרה כללית יותר: לזהות ברמת חידוד גבוהה יותר מזו הקיימת בהיסטוריה החקיקתית או בפסיקה את הערך החברתי המוגן על ידי העבירות שבחוק המחשבים. הטענה המרכזית היא שראוי לזהות את הערך החברתי המוגן בחוק המחשבים עם עקרונות האבטחה המקובלים בעולם המחשבים ומערכות המידע. עמדה כזו תוכל לדייק יותר בשרטוט הקו שבין פעולות רצויות ועידודן לבין הפעולות שאינן רצויות ויש להרתיע מפני ביצוען או להעניש בגינן. עמדה כזו תואמת גם את המודל של דיני מידע שהצגתי לעיל, בדבר עיצוב כללים משפטיים תוך דיאלוג של המשפט עם הטכנולוגיה.
נראה כי נסחי החוק פעלו מתוך מודעות לטכנולוגיה ולדו-שיח עימה.25 ההיסטוריה החקיקתית, במבט של עשור לאחור, נראית אנכרוניסטית ואפילו משעשעת, אולם יש להעריך את קפיצת המדרגה שנעשתה בשעתה. נסחי החוק נדרשו להבהיר שהחוק מיועד להגן על הפעילות במחשב, ולא על המחשב הפיזי. לפיכך, תפיסות קנייניות והגנות משפטיות מפני גזל, למשל, שהיו בדין הקיים לא היו רלוונטיות. כיום אבחנה זו, בין הגנה על המחשב להגנה על השימוש בו, נראית מובנת מאליה: זה ההבדל שבין אטומים לסיביות (ביטים).26 החוק מגן רק על הסיביות.27
כיצד יש להבין את החוק לפי המודל של דיני המידע? או במילים אחרות, מהי תפיסת החוק, כפי שהיא מגולמת בהוראותיו וכפי שפורשה על ידי בתי המשפט, באשר ליחס שבין משפט לטכנולוגיה? מקריאת החוק ומשמו ברור כי המחוקק היה מודע לכך שהוא מנסה להתערב ולהסדיר את השימוש בטכנולוגיה. החוק ודאי אינו מגלם עמדה של דטרמיניזם טכנולוגי. דברי ההסבר לחוק מונים מספר טעמים בקשר לצורך בחקיקת החוק, והראשון שבהם הוא "המקום המרכזי שהמחשב תופס בכל שטחי הפעילות של החברה המודרנית מחייב חקיקה כדי להגן כראוי על האינטרסים המגוונים המקודמים על-ידי המחשב".28 כלומר, המחשבים, וברמת הפשטה גבוהה יותר, הטכנולוגיה, נתפסים כאמצעי חיובי להשגת מטרות אחרות, רצויות לכשעצמן. התפקיד של הטכנולוגיה מוצג כאן כמכשירני. המחשב אינו יעד לכשעצמו. החוק, בתורו, כך עולה הן מההיסטוריה החקיקתית והן מלשונו, נועד לסייע לטכנולוגיה. אין מדובר כאן בחוק הנאבק בטכנולוגיה הנתפסת בעיני המדינה כשלילית,29 מסוכנת,30 או מזיקה לאינטרס ציבורי חשוב אחר.31 להיפך. החוק נועד לתמוך ולחזק. מיד בהמשך, מזכירים דברי ההסבר את עבריינות המחשבים, תוך הערה כי קשה להתאים את הדין הקיים לעבירות החדשות,32 ובהמשך דברי ההסבר, מודגש הצורך להגן מפני שימוש לרעה במחשב.33 מכל האמור עולה כי תכלית החוק נוסחה באופן רחב יחסית, כהגנה על השימוש במחשבים. בחלוף עשור משפטי, ושנות דור טכנולוגיות, אפשר לנסח את תכלית החוק בדרך ממוקדת יותר: החוק נועד להגן על עקרונות אבטחת המידע.
את העבירות הקבועות בחוק המחשבים יש לפרש בתוך מסגרת כללית של דיני מידע, כלומר מתוך הבנה של היחס הדיאלקטי שבין משפט לטכנולוגיה. את הכלל המשפטי יש לעצב תוך לימוד הטכנולוגיה, יתרונותיה וחסרונותיה, ותוך חילוץ הערכים עליהם אנו מבקשים להגן, ובחינה חוזרת אם ואיך ניתן לממשם. לפיכך, יש לפרש את העבירות שבחוק המחשבים על רקע עקרונות אבטחת מידע. הנורמה החברתית המוגנת שאותה מבקש החוק לקדם, כלומר תכלית החוק, חופפת את עקרונות אבטחת המידע.34
"אבטחת מידע" היא מושג-סל בתחום מערכות המידע, שנעשה בו שימוש בהקשרים שונים שאינם תמיד אחידים,35 והוא גם משתנה לאורך השנים, ככל שהטכנולוגיה משתכללת והעבריינים מתעדכנים גם הם. אולם מתוך הספרות המקצועית ניתן לחלץ גרעין מרכזי:36
המטרה הכללית של אבטחת המידע ומערכות המידע היא לוודא שהמחשב או מערכת המחשבים יבצעו את הפעולות והמשימות שאותן יועדו לבצע, ללא התערבות או הפרעה חיצונית, וכל זה בסודיות, ככל שהיא נדרשת.
אבטחת מידע אינה עוסקת בכשלים ("באגים") במערכת עצמה, אלא בסיכול שיבושים מכוונים. הסיכונים האלה יכולים לבוא "מבחוץ", כלומר מגורמים שהמערכת לא נועדה לשימושם, או "מבפנים", כלומר מגורמים המורשים להשתמש במערכת ברשות ובסמכות, אולם לא בדרך בה הם עושים זאת בפועל. זהו אם כן עקרון-העל של אבטחת מידע: לוודא שהמערכת ממלאת את ייעודה ללא הפרעה. השיבושים מפניהם מבקשים עקרונות אבטחת המידע להתגונן הם הפרעה לתפקוד התקין של המערכת ונטילה של מידע הנמצא במערכת. מניעת הפרעה לפעילות משמעה למנוע התערבות זרה, כמו למשל של וירוסים או סוסים טרויאניים, למנוע סילוף של המידע שבמערכת, ושאר אמצעים היכולים לשבש את פעילותה. מניעת נטילת מידע הנמצא במערכת באה להגן על אינטרסים המוגנים בדינים אחרים, כמו דיני זכויות היוצרים המגנים על קוד התוכנה, דיני הגנת הפרטיות המגנים בדרך כלל על תוכן המידע, חובות חיסיון על מחזיקי מידע, והגנה על סודות מסחריים כאשר מדובר על מערכות מחשב של גורמים עסקיים, או סודות מדינה כאשר מדובר במערכות מחשב ממשלתיות. תכליתו של עיקרון-העל של אבטחת המידע ברורה. מערכות מחשב חשופות לסיכונים רבים. תפקידם של המחשבים בחיינו מתחזק כל העת ואנו הופכים להיות תלויים בהם. משום כך חיוני שנבטיח שהמערכות יפעלו כפי שיועדו לפעול, בעוד אנו עמלים לפתח מערכות מתוחכמות יותר שיצעידו אותנו ואת האנושות עוד צעד אחד קדימה.
עיקרון-העל של אבטחת מידע נפרט לכמה עקרונות או כללים פרטניים. מובן שהפירוט הטכני הוא תלוי-מחשב ותלוי-מערכת. שלושת עקרונות אבטחת המידע המרכזיים הם שלמות המידע ומהימנותו (integrity), זמינות המערכת (availability) וסודיות המידע (confidentiality). עקרונות כלליים אלה נפרטים לכללי משנה, ובעיקר אימות זהות המשתמש (authentication), בקרת גישה חיצונית (access control) ובקרת שימוש פנימית (authorization). אדון בהם בקצרה, ואראה כיצד העבירות שבחוק המחשבים מתאימות לעקרונות אלה, וכיצד עקרונות אבטחת המידע הם תכליתו של החוק.37
1. אימות זהות
כלל אבטחת מידע ראשון שנועד להבטיח את שלמות המידע, אמינותו וסודיותו הוא הכלל בדבר אימות זהות: לפיו, יש לוודא שהגורם המבקש להשתמש במערכת אינו גורם עוין ושהוא מורשה להשתמש במערכת.38 בשיח של אבטחת מידע מקובל לדבר על שלושה אמצעי אימות, שניתן לצרפם כדי להגביר את רמת האבטחה:39 א. דבר מה שהאדם יודע (דוגמת סיסמא) ב. דבר מה שיש לאדם (דוגמת כרטיס אשראי, מחולל סיסמאות) ג. דבר מה של האדם (דוגמת טביעת עין, טביעת אצבע או טביעת כף יד הנקוטה בנמלי תעופה). הזיהוי יכול להיות גם של המחשב באמצעותו מבקשים להתקשר עם המערכת או המערכת האוטומטית המבקשת "לפנות" למחשב המוגן. דוגמה מוכרת היא השימוש בכרטיס אשראי למשיכת כסף מכספומט, המחייב שימוש בסיסמה ושימוש בחפץ פיזי.40 גם הפרוטוקולים הטכנולוגיים של תקשורת בין מחשבים יכולים לוודא את זהות המתקשרים ולהצפין את שיחתם (פרוטוקול SSL).41
חוק המחשבים אינו מגן במישרין על עקרון אימות הזהות,42 אולם, בחוק קיימת העבירה של "חדירה שלא כדין לחומר מחשב" (סעיף 4). מי שאינו מורשה וזהותו אינה מאומתת, ובכל זאת מצליח להיכנס למערכת מפר את העיקרון הזה, והמסגרת המשפטית לבחון זאת היא קורת הגג של העבירה שנזכרה ותידון בהמשך. עם זאת, אני סבור שיש להביא את עיקרון אימות הזהות בחשבון, במקרים המתאימים, גם בהיעדר הגנה משפטית ישירה על העיקרון. כך למשל, ראוי היה להביא זאת בחשבון במקרה שבו עובד לשעבר של חברה שסיפקה שירותי מרכזיה ללקוחות השתמש באמצעי הגישה שנותרו בידו כדי לחדור למרכזיה ולשבש את פעולתה.43 לבד מפגיעה בעקרונות אבטחת מידע נוספים (עקיפת בקרת גישה, ופגיעה בשלמות המערכת - ואכן, הנאשם במקרה זו הורשע בעבירות של שיבוש והפרעה למחשב וחדירה שלא כדין לחומר מחשב) - הייתה שם פגיעה בעיקרון אימות הזהות: הנאשם השתמש באמצעי זיהוי שנותר בידו לאחר סיום עבודתו כדי להשתמש במערכת. אין בחוק איסור ישיר על פעולה זו, אולם אני סבור שזהו שיקול ראוי בהערכת חומרתה של העבירה ובגזירת הדין.
במקרה אחר, הורשע נאשם, לפי הודאתו, בעריכת וירוס מחשב שנשלח לעובדי חברה מסוימת. הווירוס פעל כך שחשף בפני שולח הווירוס את שמות המשתמשים וסיסמאותיהם.44 ההרשעה הייתה, כמובן, בעבירה של עריכת נגיף מחשב (סעיף 6), אולם פרשנות ראויה של החוק ויישומו צריכים לגרור הבנה של חומרת המעשה. בנוסף, להפצת הווירוס, החומרה היא פעולתו של הווירוס - הפגיעה בעקרון אימות הזהות. זהו ערך המוגן בחוק המחשבים, ולכן ראוי להביאו בחשבון בעת גזירת הדין.
2. בקרת גישה וחדירה שלא כדין לחומר מחשב
מערכות מחשב משמשות בו-זמנית משתמשים רבים. מטעמים שונים מבקשים מפעילי המערכת להגביל את אפשרות הגישה והפעולה של המשתמשים השונים לאזורים מוגדרים במערכת ולפעולות מוגדרות מראש. בקרת הגישה נועדה לפעול הן כלפי פנים והן כלפי חוץ.
בקרת הגישה הפנימית מבוססת על מערכת של הרשאות (authorization) וקובעת היכן יכולה המשתמשת לגלוש ומה הפעולות המותרות לה. המקרה הפרדיגמאטי הוא של עובד, שמורשה לבצע פעולות מסוימות במערכת, אך חורג מההרשאה. בקרה פנימית מיועדת להשיג מידור בתוך הארגון, כדי שעובדים לא ייחשפו למידע סודי, למידע רגיש, לסודות מסחריים של המעסיק שיש חשש שידליפו אותו או למידע של צדדים שלישיים המוחזק במערכת ומוגן בדיני הגנת הפרטיות. כלומר, כלל אבטחה העוסק בבקרת גישה פנימית נועד להגן על שלמות המערכת וסודיות המידע. חשיבותם של כללי מידור בארגון באה לידי ביטוי בפסיקה אחרונה של בג"ץ: היעדרם של כללי מידור בקשר לבקרת הגישה היה טעם מרכזי לקבלת עתירה כנגד משרד הפנים, ולהוצאת צו מוחלט שבו הורה בית המשפט להפסיק את העברת המידע לידי גופים ציבוריים דוגמת רשות השידור, שבהם לא היו כללי מידור מספיקים.45 לפיכך, מטרתה של בקרת הגישה הפנימית היא הגנה על אינטרסים של מפעילי המערכות (המדינה, המעסיק) והגנה על אינטרסים של צדדים שלישיים (פרטיות).46
בקרת הגישה החיצונית (access control) מכוונת למנוע ממי שאינם מורשים להשתמש במערכת מלהשתמש בה בכלל, או מלבצע בה פעולות מסוימות. המערכת שמורה לבעליה, המבקש לשלוט בה, במידע הנמצא בה, בין מטעמים מסחריים של שמירה על סודות מסחר, בין מחמת חובה שהדין מטיל, למשל על אבטחת "מאגר מידע" כהגדרתו בחוק הגנת הפרטיות, או מטעם לגיטימי אחר.
אדון בשני פניה של בקרת הגישה לפי סדרם. במהלך הדיון אבחן את העבירה של "חדירה שלא כדין" שבחוק המחשבים, אטען שיש לפרשה בצמצום, ושאין מקום להרחיבה למישור האזרחי.
א. בקרת גישה פנימית
האם ראוי להגן על עיקרון אבטחת המידע של בקרת הגישה הפנימית באמצעות הגדרתה של עבירה פלילית בחוק? ההקשר, כזכור, הוא של עובד החורג מתחום ההרשאה. אני סבור שאין מקום לקבוע חריגה כזו כעבירה פלילית. האינטרסים והזכויות המוגנים על ידי עיקרון זה נהנים כבר עתה מהגנה משפטית רחבה: המידע על אזרחים המוחזק אצל המעסיק מוגן במסגרת דיני הגנת הפרטיות.47 האינטרסים של המעסיק בשמירת סודותיו העסקיים ומניעת ריגול תעשייתי מוגנים במסגרת דיני העוולות המסחריות ודיני סודות מסחר.48 אינטרסים של המדינה מוגנים בחובות אמון של עובדיה. למעסיקים (בין אם המדינה ובין אם מעסיק פרטי) יכולת לקבוע כללי התנהגות המגובים בתקנון משמעת או בסנקציות אחרות, עד כדי פיטורין. אם נעשה שימוש לרעה במידע - הרי הפעולה תהיה בדרך כלל גם עבירה פלילית וגם עבירת משמעת.49
במילים אחרות: האינטרסים השונים המוגנים כאן, בין אם הם של הציבור, של המעסיק או של צד שלישי כלשהו, נהנים ממבנה הגנה רב-שכבתי: הסדרה ציבורית ישירה (בדרך של חקיקה פלילית) המגנה על הסוד, המידע וכדומה.50 בנוסף, הסדרה עצמית הנהנית מגיבוי ציבורי, בדמות חוזי עבודה ותקנוני משמעת, שייאכפו במידת הצורך ובמקרים המתאימים לפי דיני החוזים ודיני העבודה. ובנוסף, הסדרה עצמית-טכנולוגית שיכול המעסיק או מפעיל המערכת לנקוט, כלומר אותם אמצעים שנדונו לעיל של אימות הזהות ואמצעים טכנולוגים להגבלת גישה.51
הצעת חוק המחשבים כללה בשעתה איסור על "שימוש במחשב תוך חריגה מהרשאה", אולם האיסור הושמט מהנוסח הסופי.52 כיצד אפשר להסביר את ההשמטה הזו? הסבר אפשרי אחד הוא שאין צורך באיסור כזה, משום שהוא כלול ממילא בעבירה של חדירה שלא כדין לחומר מחשב, למשל, במקרה שבו אדם המורשה להשתמש במחשב חדר לקובץ אליו לא היה מורשה לחדור (מה שמוגדר כאן כחריגה מהרשאה ובקרת גישה פנימית).53 סעיף 4 לחוק קובע כי:
"החודר שלא כדין לחומר מחשב הנמצא במחשב, דינו - מאסר שלוש שנים; לעניין זה, "חדירה לחומר מחשב" - חדירה באמצעות התקשרות או התחברות עם מחשב, או על ידי הפעלתו, אך למעט חדירה לחומר מחשב שהיא האזנה לפי חוק האזנת סתר, תשל"ט-1979".54
גם בכמה פסקי דין הביעו בתי משפט את עמדתם כי חריגה מהרשאה היא עבירה פלילית או הניחו זאת כמובן מאליו, כאשר המסגרת לכך נמצאה בעבירה של חדירה שלא כדין לחומר מחשב. כך למשל, בעניין אחד הורשע עובד לשעבר של חברה, לפי הודאתו, בעבירה זו.55 בית המשפט גזר עליו שנת מאסר על תנאי וקנס, מבלי שנדונה כלל השאלה אם התמלאו יסודות העבירה (כאמור, הנאשם הודה באישום). האם היה מקום להרשיע בעבירות אלה? האם יש לראות בחריגה מהרשאה משום "חדירה שלא כדין לחומר מחשב"? אני סבור שצדקה הכנסת כאשר סירבה לחוקק את האיסור, וכי יש לפרש את סעיף 4 הנ"ל בצמצום, כך שלא יוחל על חריגה מהרשאה.
נימוק אחד לפרשנות המצמצמת של סעיף 4 נגזר מהמסגרת של דיני מידע שהוצגה לעיל. המשפט מציע מספר מעגלי הגנה כדי להבטיח את בקרת הגישה הפנימית: הסדרה ציבורית ישירה, הסדרה עצמית בגיבוי ציבורי, והסדרה עצמית, בין אם משמעתית ובין אם טכנולוגית. די באמצעים אלה. לטעמי, לא רצוי שפעילות מסוימת תיאסר בו-זמנית בכמה דינים נפרדים. בכל אחד מהדינים הנזכרים יש מערכת איזונים פנימית המביאה בחשבון שיקולי-נגד.56 דיני זכויות יוצרים, למשל, מאזנים בין היוצרת לבין הציבור. פעולות מסוימות בדיני זכויות יוצרים, למשל, מותרות, בהיותן "טיפול הוגן".57 דיני העבודה מאזנים בין האינטרסים והזכויות של המעסיק לאלו של העובדים. כאשר המהות העיקרית של הפעולה הבעייתית מוסדרת בחוק אחר, ובכל זאת אנו פונים לעבירה של "חדירה שלא כדין לחומר מחשב", הרי אנו מתעלמים מכל אותם שיקולי נגד המצויים בדינים העוסקים בפעילות האסורה ממש. אנו עשויים למצוא עצמנו אוסרים בחוק המחשבים את שהתרנו בחוק זכות יוצרים. בנוסף, כפל האיסורים עלול לגרור סתירות בין החוקים: שמה שמותר בחוק אחד (שימוש הוגן) ייאסר בחוק אחר (חוק המחשבים). התוצאה תהיה אי-בהירות, ומאחר שאנו נמצאים בהקשר הפלילי, יש בכך פגיעה בעקרון החוקיות. אולם זהו רק נימוק אחד לפרשנות מצמצמת של העבירה.
נימוק שני, הוא שאת האיסורים על שימוש במחשב יש להטיל במשורה. ריבוי איסורים פליליים יוצר אווירה עוינת בקשר לשימוש במחשב. הוא משדר מסר לאנשי הטכנולוגיה כי מדובר במכשיר שהשימוש בו מסוכן, ולעיתים הוא על סף הפלילי. מסר כזה בעייתי במיוחד בהקשר של יחסי העבודה. יש בו הרתעת-יתר שאינה רצויה. עובד כפוף לשורת חובות בדין הכללי ובדין המשמעתי, ומחויב להישמע להוראות הממונים עליו. הכבדה נוספת מצד החוק הפלילי מתערבת שלא לצורך ביחסי העבודה ומציידת את המעסיק בכלי רב עוצמה שמחירו גבוה מתועלתו. דיני העבודה מושתתים על העיקרון של צמצום פערי הכוח שבין העובד למעסיק, ואם נפנה למסלול של חוק המחשבים, נימצא עוקפים את אותם איזונים מורכבים שבדיני העבודה.
מכאן עולה מסקנה פרשנית: במקרה שבו זוהתה חריגה מהרשאה (בקרת גישה פנימית), וככל שגרמה לנזקים, הרי זהו עניין שיש לבחון ולהכריע בו לפי הדין הכללי הקיים (פגיעה בפרטיות, הפרת זכויות יוצרים, הפרת סוד מסחרי, דיני חוזים ודיני העבודה, או לפי דין משמעתי, והיא ניתנת למניעה גם באמצעים טכנולוגיים פשוטים וזולים למדי. די בשילוב של הדין הכללי על רבדיו השונים, בדין המשמעתי ובאמצעי ההסדרה העצמית. אין לפרש את עבירת החדירה שלא כדין שבחוק המחשבים כאוסרת חריגה מהרשאה. כך נינתן משקל פרשני ראוי להיסטוריה החקיקתית של חוק המחשבים, כמו גם לתכליתו.
ב. סודיות ובקרת גישה חיצונית
מהי, אם כן, הפרשנות הראויה של העבירה של חדירה שלא כדין לחומר מחשב? לטעמי, העבירה מגלמת את עקרון אבטחת המידע של סודיות (confidentiality), שנועד להגן על המידע הנמצא במערכת המחשב מפני עיניים זרות. עקרון זה נפרט לכלל האבטחה של בקרת גישה חיצונית. יחד עם זאת, גם כאן, פרשנות העבירה של חדירה שלא כדין צריכה להיות זהירה, ממספר טעמים: (1) עמימות הגדרתה של העבירה (2) הבנת דרך התפתחותה של הטכנולוגיה (3) שימוש זהיר במטאפורות קנייניות (4) הבנת עולם המחשבים הנוכחי כרשת מחשבים ולא כמחשבים נפרדים.
(1) הטעם הראשון לפרשנות המצמצמת קשור להגדרת העבירה. עבירה זו כוללת מרכיב פעולה (אקטוס ראוס) עמום להפליא: מהי "חדירה"? מה בדיוק נחדר כאן? ומהי חדירה כדין או "חדירה שלא כדין"? סעיף 4 לחוק שצוטט לעיל, מגדיר חדירה לחומר מחשב כ"חדירה באמצעות התקשרות או התחברות עם מחשב, או על ידי הפעלתו, אך למעט חדירה לחומר מחשב שהיא האזנה לפי חוק האזנת סתר". זו הגדרה טאוטולוגית, שאינה מועילה במיוחד. כדי להבין מה כלול בה, ניתן להראות מה אינו כלול בה.
פרופסור Orin Kerr מנתח את הביטוי "unauthorized access", המקביל לביטוי הנקוט בחוק הישראלי.58 זהו ביטוי מרכזי המופיע ברבים מחוקי המחשבים בארצות הברית ובמדינות אחרות. קֵר מצביע על היעדר אחידות בפרשנות הביטוי, ומציע להבחין בין גולש שניגש למחשב תוך הפרת תנאי החוזה (המשתמע או המפורש) שבינו לבין מפעיל האתר, לבין גישה לחומר מחשב הכרוכה בעקיפת מנגנונים טכנולוגיים. לשיטתו, העבירה הפלילית אוסרת רק את המצב השני (או ליתר דיוק, כך ראוי שיהיה). פרשנות כזו, כך הוא מסביר, מאזנת בין שני ערכים מנוגדים: חירות השימוש ברשת מול פרטיות הגולשים שמידע אודותיהם מוחזק אצל האתרים בהם הם גולשים. אם יפורש הביטוי "גישה שלא כדין" כך שיקיף גם הפרת חוזה, טוען קֵר, משמעות הדבר היא שיופקד כוח רב מדי בידי בעלי אתרים על חשבון הגולשים.59
אני מצטרף לעמדתו של קֵר. אתרים רבים נוהגים לפרסם הודעה, שתוקפה החוזי אינו ברור תמיד,60 כי בגלישתו, מסכים הגולש לתנאים שמפורטים אי שם באתר (ובדרך כלל מנוסחים בשפה משפטית עמומה ומעורפלת להפליא). פעמים רבות תנאים אלה מתיימרים לצמצם את זכויותיו של הגולש, למשל בקביעת סמכות שיפוט וברירת דין במקומות שאינם נגישים לגולש, או בתניות גורפות של פטור מאחריות. תניות שימוש אחרות אוסרות לעיתים הנדסה חוזרת של האתר, הגם שזו מותרת לפי דיני סודות המסחר ופורשה בפסיקה האמריקנית כ"שימוש הוגן" במסגרת דיני זכויות יוצרים.61 האם גולשת שהפרה תנאי מהתנאים (אפילו אם מעמדם הוא של חוזה תקף), למשל בקשר למטרת השימוש באתר, הנדסה חוזרת וכיוצא באלה פעולות, אשמה בעבירה של "חדירה שלא כדין"? אני סבור שהתשובה שלילית. נזק שייגרם כתוצאה מהפרת חוזה כזה, בהנחה שהחוזה תקף והופר, צריך להיבחן במשקפי דיני החוזים, ואם נגרם נזק - גם במשקפי הדין הרלוונטי (למשל הפרת זכות יוצרים, אם פעולת המשתמש מגיעה לכדי כך). כל אחד מאפיקים האפשריים שמציע הדין הכללי מושתת על איזון מורכב בין אינטרסים. עקיפתם, ופנייה לחוק המחשבים מבטלת את השיקולים היריבים ואת האיזון שנערך שם. לפיכך, פרשנות ראויה של עבירת החדירה שלא כדין לחומר מחשב אינה מקיפה מצב של הפרת חוזה גלישה.
התוצאה היא כי העבירה של חדירה שלא כדין לחומר מחשב תחול רק על מי ש"פורץ" "מנעול" טכנולוגי שהגן על הגישה החיצונית לאתר (וכפי שאסביר מיד, יש להיזהר במטאפורות אלה, השאולות מהעולם הפיסי). כך למשל, כניסה לאתר דרך "פורט" (ולא "סריקת פורטים" לבדה)62 שלא נועד לכך, היא לכאורה חדירה שלא כדין לחומר מחשב. הפרת תנאי שימוש האוסרים גלישה באתר פלוני אינם מקימים אשמה בעבירה זו.
מצב מעניין אחר הוא זה שבו למשתמש אחד ניתנה רשות לגלוש באתר, למשל באמצעות סיסמת זיהוי, ונאסר עליו להעביר את ההרשאה (והסיסמה) לאחר, ובכל זאת העביר. מצב זה מתעורר למשל בקשר לאתרים "סגורים", המאפשרים גישה מבוקרת לאתר ולתכניו בכפוף להתחייבות לשימוש שאינו מסחרי בלבד, או בכפוף לתשלום. ברור כי למפעילי האתר עילת תביעה טובה נגד המורשה הראשון שהעביר את ההרשאה לאחר ללא רשות, שהרי המורשה הפר את התחייבותו החוזית. האם יש למפעילי האתר עילת תביעה לפי חוק המחשבים כנגד מקבל הסיסמה השני, הנעבר, אם זה גלש באתר תוך שימוש בסיסמה שקיבל מחברו? האם מדובר בחדירה שלא כדין לחומר מחשב? נראה לי כי המבחן לתשובה הוא צורת החדירה. אם באתר יש חוזה, שבלי לקבלו קיבול משפטי אין אפשרות לגלוש (למשל מסך המחייב אישור קריאה, בטרם מתאפשר המשך הגלישה), הרי עשויה לקום עילה חוזית, וכאמור לפי עמדתו של קֵר, אליה אני מצטרף, אין מקום להפלילה גם בחוק המחשבים.63 אם מדובר באתר שבלעדי הסיסמה אי אפשר לגלוש בו, או שננקט אמצעי טכנולוגי אחר המגביל גישה, הרי יש לראות בכך אתר "סגור", ומי שעוקף את האמצעי הטכנולוגי "חודר" אליו שלא כדין.64
ניתן להקשות: גם חוזה וגם טכנולוגיה המגנה על הגישה לאתר הם אמצעים של הסדרה עצמית, כלומר אמצעים שנוקט בעל האתר בעצמו. מדוע, אם כן, להתייחס באופן שונה לחוזה ולטכנולוגיה? הנה שתי תשובות: הראשונה, היא שמנעול טכנולוגי נהיר יותר לגולש מאשר חוזה. "החוזה" אינו תמיד נגיש, הוא "קבור" פעמים רבות במקום סמוי באתר, תוכנו מנוסח בשפה משפטית, מעורפלת ולא ברורה. "מנעול טכנולוגי", לעומת זאת, מציב תמרור ברור לגולשת: אם אינך יודעת את סיסמת הכניסה לאתר, לא תוכלי להיכנס אליו בדרך המלך. האיתות מובן יותר לגולש מאשר תנאי השימוש המעורפלים. תשובה שנייה, נסמכת על בדיקה כלכלית של עלויות ההגנה של בעל האתר. הוספת "חוזה" אינה עולה למפעיל האתר כמעט דבר, במיוחד אם החוזה מועתק מאתר אחר. מפעיל אתר המבקש להסתפק בהגנה חוזית מאותת בכך כי הגנת האתר אינה בראש מעיניו. לעומת זאת, שימוש באמצעי טכנולוגי מאותת את ההיפך: שמפעיל האתר מבקש להגביל את השימוש באתר, מסיבה זו או אחרת.65
גם כאשר מדובר בעקיפת מנגנונים טכנולוגיים מתעוררים קשיים. למשל, עם התרחבות השימוש בחיבור אלחוטי לרשת האינטרנט, עולות שאלות בדבר התחברות גולשים למשדרים (hotspot) של משתמשים אחרים. הטכנולוגיה הנוכחית מאפשרת לבעל המשדר לבחור אם ברצונו לאפשר גישה פתוחה או לסגור את השימוש לבעלי סיסמא בלבד. ברירת המחדל הטכנולוגית היא שהרשת פתוחה. כאשר גולש מצליח לעקוף סיסמה ולהשתמש ברשת סגורה, הרי ניתן לראות בכך חדירה שלא כדין לחומר מחשב (אם כי נדרשת פרשנות גמישה וכלל לא מובנת כלל של המונח "חומר מחשב" כדי שיקיף גם את החיבור האלחוטי לאינטרנט). כאשר נעשה שימוש ברשת שהושארה פתוחה, בין בכוונה תחילה ובין מחמת אי שינוי ברירת המחדל הטכנולוגית, אין לראות בכך חדירה שלא כדין לחומר מחשב. להיפך. במקרה כזה מגלמת הרשת ערך של פתיחות ושיתוף.66
(2) הטעם השני לפרשנות המצמצמת של סעיף 4, הוא חשש מהרתעת-יתר. בסביבה הטכנולוגית הדינמית יש ערב-רב של שחקנים שקשה להבחין ביניהם: החוקרים הממוסדים והחובבים מחד גיסא, ועברייני המחשב מאידך גיסא. המשפט הפלילי מנסה להבחין בין הראשונים לאחרונים. כאשר הכלל המשפטי מופעל בבתי המשפט, יש לקוות שהשופטים יידעו להבחין בין "הטובים" ל"רעים". אולם, הכלל המשפטי פועל גם מחוץ לבתי המשפט: בעצם קיומו הוא משדר מסר לציבור הרלוונטי. בכלל רחב מדי יש הרתעת-יתר, שמחירה בצידה. המחיר הוא פגיעה במחקר, בחופש לנסות, "לשחק" עם המחשב, ללמוד את דרך פעולתו, ולהכיר את יתרונותיה ואת חסרונותיה של מערכת המחשב. ה"משחק" במערכת המחשב הוא הדרך שבה נרכש ידע טכנולוגי. כך נוצר ידע חדש. כך, במידה רבה, מתוך ניסוי וטעייה, מתפתחת טכנולוגיה חדשה.
הדבר דומה בעיניי למגבלות על מחקר רפואי: דמו מנהלי מעבדת מחקר אוניברסיטאית האוכפים אכיפה קפדנית את חוקי הסמים במעבדות. ודאי שאסור לייצר סמים, ויש לכך איסורים מפורשים בדין הפלילי.67 כיצד תנהג סטודנטית החוקרת במעבדה, ומנסה תרכובות שונות כדי ללמוד את התנהגות החומרים, ואגב הניסוי מייצרת סם אסור? לכלל משפטי פלילי רחב יהיה אפקט מצנן על המחקר, והחוקרת עלולה להימנע ממנו מלכתחילה. השוני בהקשר של המחשבים הוא שהמעבדה שקולה כאן לכלל המחשבים בעולם. כל גולש ברשת שקול לחוקרת במעבדה. אם תפורש עבירת החדירה שלא כדין לחומר מחשב בפרשנות מרחיבה, הרי הניסוי התמים במחשבים עלול להסתיים בעבירה פלילית (כפי שאירע לאבי מזרחי, שבעניינו אדון בהמשך). מובן, שאת האבחנה בין החוקרת לבין עבריין הסמים, או בהקשרנו, בין הנערה המבקשת ללמוד כיצד פועלת מערכת מחשבים לבין עברייני המחשבים, ניתנת להשיג באמצעות הקפדה על המרכיב הנוסף הנדרש להרשעה: המחשבה הפלילית. אלא, כפי שעולה מהתנהגות רשויות האכיפה בעניין אבי מזרחי, האבחנה הזו לא תמיד מספיקה.68
רעיון זה, בדבר חשיבות הניסוי והטעייה בפיתוח טכנולוגי, אינו זר למשפט. דיני סודות מסחר, למשל, מתירים במפורש את הפעולה של הנדסה חוזרת, ולא בכדי.69 ההיתר בא מתוך מחשבה תחילה, ומתוך כוונה ברורה לעודד מחקר בדרך של "לימוד על ידי פירוק" של הטכנולוגיה, ומתוך הבנה כי רעיונות ועובדות צריכים להישאר בנחלת הכלל. על ידי פירוק מוצר ניתן ללמוד כיצד הוא פועל ומה העיקרון הטכנולוגי שביסודו. הרעיון עצמו, הנמצא ביסוד המוצר, אינו מוגן, ולכן יש לאפשר למעוניינים לחקור ולחשוף אותו. במילים אחרות, הטכנולוגיה מתפתחת בין היתר, בדרך של תהייה, ניסוי וטעייה, ובדרך של שימוש ברעיונות קיימים ויישומם למצבים חדשים. הטכנולוגיה מתקדמת כפרויקט כלל-אנושי מורכב, שבו כל משתתף מניח את תרומתו על גבי ידע קיים, אבן על אבן, נדבך על נדבך. זו גם עמדת-יסוד של דיני זכויות יוצרים.70 את התובנה הפשוטה והחשובה עד מאוד בדבר דרך התפתחותה של הטכנולוגיה, ראוי לקלוט גם לתוך פרשנות חוק המחשבים. עמדה כזו מושגת מתוך הבנת היחס הדיאלקטי שבין משפט לטכנולוגיה. מכאן נדרשת פרשנות זהירה של סעיף 4.
(3) שני הטעמים הבאים לפרשנות מצמצמת, שימוש זהיר במטאפורות והבנת עולם המחשבים כרשת, כרוכים זה בזה. מסעיף 4 לחוק עולה כי מטרתו היא למנוע פריצות חיצוניות למחשבים ומערכות מידע, בין אם אלה נועדו להשיג יעדים אחרים (טרור או פשיעה בעולם הפיזי), ובין אם נועדו לפגוע בשלמות המידע וזמינות המערכת (שני עקרונות אבטחת מידע שיידונו בהמשך). הכניסה הלא-מורשית למערכת נתפסת כפריצה - בדומה לפריצה בעולם הפיסי. זהו גם המקום שבו המטאפורה של העולם הפיסי מושלכת במלוא עוצמתה לעולם הווירטואלי, ופעמים רבות ללא תשומת לב למשמעות השימוש במטאפורה.71 כך למשל, דו"ח של מדינות חבר העמים הבריטי הדגיש את מרכזיות האיסור והעיר: "The offence is important in several respects. It is analogous to an offence of 'break and enter' as it involves accessing private 'premises' without excuse or justification".72 לפי גישה זו, האיסור על חדירה שלא כדין נתפס כמגן על הקניין הפרטי.
האומנם מערכת המידע הממוחשבת שקולה למקרקעין או מיטלטלין? האם ראוי לראות במחשב המחובר לרשת מחשבים - לאינטרנט - משום קניין פרטי? ברור שהאטומים - המחשב הפיסי - הם קניין פרטי של בעליו. אולם האם ראוי לראות גם את הסיביות כקניין פרטי?73 ההיסטוריה החקיקתית של חוק המחשבים מעלה שהגישה הקניינית נדחתה, ולטעמי, בצדק נדחתה. העבירה של חדירה שלא כדין הוגדרה בצמצום ונקבעו בה מגבלות: האחת היא הביטוי העמום "שלא כדין",74 הקורא כמובן לפרשנות, והשנייה היא דרישת המחשבה הפלילית. (גם אי הגדרתה של החדירה שלא כדין כעוולה במשפט האזרחי אינה מקרית). פרופסור מיגל דויטש, שהיה פעיל בניסוח טיוטות החוק, מעיד שהעבירה נועדה למנוע עבירות באמצעות מחשב, ולא עבירות כנגד מחשב.75 במובן זה, תכליתה של העבירה היא מכשירנית, וחריגה בנוף המשפט הפלילי: העבירה קובעת עבירת הכנה כעבירה פלילית.76 הטעם שדויטש מביא להצדקת הצעד החריג של הפללת פעולת הכנה והגדרתה כעבירה בפני עצמה, הוא הקושי להוכיח את העבירות המבוצעות באמצעות מחשב, כמו מרמה.77 מטעם זה, גם לא נקבעה עוולה מקבילה. מובן שלעדותו של דויטש אין מעמד מחייב בפרשנות חוק, אולם, אני סבור שהפרשנות הראויה של החוק (ותכלית החוק) תואמת את הכוונה ההיסטורית שהוא מעיד עליה. אין זה ראוי לפרש את העבירה בדרך הקיצונית המרחיבה כך שתקיף כל חדירה למחשב.
גם הרחבתו של האיסור לתוך השדה האזרחי אינה ראויה בעיניי.78 כלומר: יש לדחות את העמדה הקניינית הרואה בכל כניסה לחומר מחשב משום השגת גבול במיטלטלין. הפרשנות המוצעת כאן נסמכת על זהירות בשימוש במטאפורות, על עיון זהיר בטכנולוגיה שבה מדובר, מתוך העמדה הכוללת בדבר היחס הראוי שבין משפט לטכנולוגיה. טעמים אלה שפורטו מצטרפים לזהירות הנדרשת בעת פרשנות עבירה של הכנה, שגם היא לכשעצמה חריגה ובעייתית בנוף המשפטי.
(4) כאמור, המחשב הפיסי הוא מושא לבעלות קניינית. אלא שהסיביות שבמחשב נמצאות "שם" רק במידה מוגבלת. הן "שם" והן בכל מקום ברשת. מחשב המחובר לאינטרנט הוא חלק מרשת. ערכה של רשת האינטרנט הוא בדיוק במאפיין זה: בחיבור שבין המחשבים. בכך שערכו של כל אחד מהם לבדו קטן מאוד, והשלם - הרשת - גדול מסכום חלקיו. על מפעיל מחשב המחובר לרשת להבין כי המחשב אינו עומד בדד: הוא חלק ממערכת, חלק מרשת. על מפעיל המחשב לדעת כי פעולת הגלישה הטבעית ברשת מחייבת דו-שיח בין המחשבים, ועל כן "ביקורים" הדדיים של המחשבים זה אצל זה. אי הכרת הטכנולוגיה לכשעצמה אינה מצדיקה את השלכתן של המטאפורות הפיסיות על הסביבה הווירטואלית. עמדה קניינית המבקשת לקבוע כל כניסה לחומר מחשב כעבירה, משעתקת את התפישה האינטואיטיבית הפיסית שלנו לתוך סביבה שאינה פיסית. עמדה זו מתייחסת לאינטרנט כאל עוד מושא להסדרה משפטית רגילה, ומחילה עליו כללים משפטיים קיימים כמות שהם, מבלי לבחון את הטכנולוגיה בה מדובר, מבלי לעיין בערכים המגולמים בה, מבלי לבדוק את היתכנות ההסדרה. עמדה קניינית זו מחמיצה את הייחוד של הרשת: שאין היא צירוף מקרי של יחידות בודדות ונפרדות, אלא יחידה שלמה אחת מרובת מרכיבים.
אחד ממאפייני הטכנולוגיה הוא החיבור בין המחשבים. החיבור מאפשר זרימה של מידע מכל מי שמחובר לכל מי שמחובר. הרשת מאפשרת הזדמנויות ביטוי והשתתפות בשיח, אינטראקטיביות (הידוּדיות), שיתוף במידע, ועוד. במילים אחרות, הרשת מגלמת ערכים חיוביים. העמדה הקניינית מחמיצה אותם. עמדה קניינית כאמור תהפוך פעולות יומיומיות ברשת לבלתי חוקיות. כעניין טכנולוגי, הרשת בנויה על "דיאלוג" נמשך בין מחשבים. כאשר גולשת מבקשת לצפות באתר אינטרנט, לכתוב הודעה בפורום או צ'אט וכדומה, יש אוסף של "שיחות" בין מחשב הקצה של הגולשת לבין אתרי היעד. התקשורת עוברת דרך אינספור מחשבים אחרים. כך בנויה הרשת המבוזרת. העמדה הקניינית המשעתקת תפישה פיסית לרשת עיוורת לטכנולוגיה. כפי שטענתי קודם, עיצוב כללי המשפט בסביבה הטכנולוגית צריך לבוא מתוך דיאלוג עם הטכנולוגיה. לפיכך אין מקום לעמדה קניינית המבקשת להרחיב עד בלי די את האיסור של חדירה לחומר מחשב.
הפרשנות המוצעת, הדוחה את העמדה הקניינית ומעדיפה את העמדה הנובעת מתוך הדיאלקטיקה של המשפט והטכנולוגיה והבנת המחשב כחלק מרשת של מחשבים "המשוחחים" זה עם זה, משיגה איזון ראוי בין תכלית החוק של שמירה על עקרונות אבטחת המידע לבין המחיר הכרוך בהרתעת-יתר.
* * *
כל הטעמים שנמנו, ובהם עמימות העבירה, הבנת הרשת כרשת, הזהירות בשימוש במטאפורות ודחיית העמדה הקניינית אינם מאיינים את העבירה של חדירה שלא כדין. הם רק מכתיבים שיש לפרשה בצמצום. פרט לתיחום שהוצע לעיל, הרי האמצעים לפרשנות המצמצמת הם הקפדה על הרכיב של "שלא כדין" ועל המחשבה הפלילית הנדרשת, כמו גם אי הרשעה במקרה של זוטי דברים.79 בנוסף, אני סבור שיש מקום להבחין בין חדירה לחומר מחשב שלא גרמה נזק לכזו שהזיקה. אם נגרם נזק, הרי שחומרת המעשה רבה יותר, שכן יש פגיעה גם בעיקרון שלמות המידע ובזמינות המערכת. אבל חדירה לכשעצמה אינה מזיקה. היא עלולה אולי להטריד את מפעילי האתרים והמחשבים. במקרים רבים, לחדירה הלא-מזיקה דווקא יש שכר בצידה, ודווקא למפעילי האתרים: זו דרך לאתר פגמים באבטחת המידע שלהם. מובן שהם יכולים לחפש פגמי אבטחה בעצמם, אולם יכולתם לעשות כך מוגבלת. "פורצי המחשבים" תמי הלב הם בבחינת עיניים נוספות הבוחנות את המערכת. אריק ריימונד ניסח רעיון זה בפשטות: "given enough eyes, all bugs are shallow".80 עדיף שמפעילי האתרים יגלו את הפגמים באמצעות חובבי מחשבים המצביעים על כשלי האבטחה, מאשר באמצעות גורמים עוינים שלא יסתפקו ב"חדירה" למחשב, אלא יפגעו בשלמות המידע, בזמינות המערכת ואולי אף יעשו בו שימוש פלילי או חבלני.81
בהקשר זה ולהשלמת התמונה, יש להעיר, שלפי הדין הישראלי מוטלת חובה על בעלי מאגרי מידע, כפי שאלה מוגדרים בחוק הגנת הפרטיות (וכן על מחזיקים ומנהלים של מאגרי מידע), לנקוט אמצעי אבטחה.82 המטרה היא להגן על פרטיות מושאי המידע (data subjects). התקנות הנלוות מפרטות מעט יותר, אך עדיין מותירות עמימות רבה בקשר לרמת האבטחה הנדרשת.83 במילים אחרות, בעלי מאגרי מידע אינם יכולים להסתפק באמצעי אבטחה מינימאליים, ואינם יכולים לבוא בטרוניה למי שחושף את דלות האמצעים שנקטו או חדלו מלנקוט. בכך דווקא משרתת פעולת אלה החודרים לחומר מחשב את האינטרס הציבורי, כל עוד אין הם משבשים את המחשב אליו הם חודרים. למצער, נראה שלא כך פורש החוק עד כה.84
3. שלמות המידע
עקרון אבטחת מידע זה מכוון להבטיח את אמינותו של המידע המאוחסן במערכת המחשב, או של המידע העובר בין המחשבים ברשת. מובן שבלעדי שמירה על המידע, המערכת כולה אינה אמינה, ושימושיה לא יועילו ואף יזיקו. לפיכך, עיקרון שלמות המידע נועד להבטיח כי המידע לא שונה על ידי מי שאינו מורשה לכך. העיקרון מתייחס למניעת סילוף חיצוני של המידע, למשל על ידי הזנת נתונים שגויים, בין בכוונת עבריין ובין בטעות. העיקרון מאפשר גם וידוא פעולות צדדים למשא ומתן או עסקה, וכך להקשות על התכחשותם לעסקה.85 עיקרון זה נפרט לכללים בדבר אימות זהות המשתמש ובקרת הגישה (החיצונית), כמו גם לאמצעים טכניים כמו חתימה דיגיטאלית המקודדת את המידע. כאשר המידע מגיע למחשב אחר ברשת, ניתן להשוות את המידע לחתימה האלקטרונית וכך לדעת אם חלו שינויים. גם הצפנת המידע היא אמצעי להבטיח את שלמות המידע.
חוק המחשבים, כמו גם חוקים מקבילים בעולם,86 מגן במישרין על עיקרון שלמות המידע ובעת פרשנות החוק ויישומו יש לזהות את הערך החברתי המוגן הזה. סעיף 2 אוסר את שיבוש פעולתו התקינה של המחשב או הפרעה לשימוש בו, כמו גם מחיקת חומר מחשב או שינוי בו.87 סעיף 3 אוסר העברה או אחסון של מידע כוזב, וסעיף 6 אוסר עריכת נגיף מחשב. וירוס כזה יכול לשבש את המערכת, כמו גם את זמינותה.88 ראוי לציין כאן גם את חוק האזנת סתר, המספק הגנה משלימה - לסודיות המידע המועבר.89 כל אלה הם אמצעים משפטיים שתכליתם להגן על עקרון השלמות של המידע.
4. זמינות המערכת
עקרון אבטחת המידע של זמינות המערכת מכוון לסכל הפרעה חיצונית לשימוש האופטימאלי במשאבי המערכת הקיימים, ובכך לאפשר לבעלי המערכות ליהנות ממערכותיהם. מערכת מחשב צריכה להיות זמינה למשתמשיה המורשים. אחד האתגרים הטכנולוגיים הוא לבנות מערכת אשר למרות משאביה המוגבלים של הטכנולוגיה תוכל להיות זמינה לכל המשתמשים ולמלא את ייעודה. המגבלה המרכזית היא טכנולוגית, אולם מערכות מחשב חשופות לגורמים עוינים המבקשים לפגוע בזמינות. במובן זה, כפי שמציינים ניסנבאום, פרידמן ופלטן, עקרון הזמינות הוא ביטוי לרעיון של שליטת האדם במערכת שלו - כלומר רעיון קנייני וביטוי לאוטונומיה של בעלי המערכת.90 כידוע, מערכות מחשב נתונות למתקפות רבות של גורמים עוינים: וירוסים, סוסים טרויאניים, מתקפות סירוב-שירות (denial of service) ושאר מרעין בישין.91 גם כאן, התשובה לבעיה היא במידה רבה טכנולוגית - תוכנות בקרה וסינון שאמורות לחסום גורמים עוינים, ובדיקות חוזרות באמצעות תוכנות אנטי-וירוס למיניהן. גם כאן חוזר המבנה שראינו - המשפט מציע רובד הגנה נוסף על רובד ההגנה העצמי-טכנולוגי.
חוק המחשבים מתגייס לסייע לעיקרון זמינות המערכת, בכך שהוא אוסר עריכת נגיף מחשב או את הפצתו (סעיף 6).92 בתי המשפט, כך נראה, מבינים את העיקרון הזה, גם אם באופן אינטואיטיבי. כך למשל, נקט בית משפט השלום בתל-אביב לשון חריפה במיוחד כנגד נאשם שהודה (והורשע) כי כתב וירוס מחשב שנועד למחוק קבצים במחשב הנגוע, והחדירו למחשבים בבסיס צבאי בו שירתה חברתו.93 בגזר הדין הכביר השופט מילים כלליות על כך ש"עבירות המחשב הן עבירות של העת האחרונה, העידן המודרני", ולענייננו, "ככל שמדינה מתקדמת בשימושים בטכניקות המחשב, כך גם הסיכונים לשיבוש מערכות בעת הפגיעה בהן". אפשר להבין דברים אלה כזיהוי הערך המוגן על ידי העבירה: הפצת הווירוס פגעה בזמינות המערכת (וממילא בשלמות המידע).
כיצד מיישמים בתי המשפט את חוק המחשבים? מהי עמדתם בקשר ליחס שבין משפט לטכנולוגיה? בעשור האחרון, עיקר הניסיון השיפוטי היה בקשר לגזירת הדין, ופחות מכך בקשר להכרעתו. ברוב המקרים שבאו לפני השופטים הודו הנאשמים בביצוע העבירות, כך שהשאלה שהתעוררה הייתה האם ניתן להסתפק בעונש ללא הרשעה (כאשר המגמה הכללית היא שיש להרשיע), ובשאלת העונש עצמו. משום אופיים של גזרי דין בכלל, המעמתים את הנסיבות האישיות של הנאשמים עם האינטרס הציבורי, נחשפת שם עמדת השופטים באשר למהות החוק. בחלוף עשור לחוק, מצטיירת התמונה הכללית הבאה: עמדת בתי המשפט נוטה להיות כוללנית, ולעיתים אף שבלונית, וקשה למצוא בה את אותו דיאלוג נחוץ כל כך שבין המשפט לבין הטכנולוגיה. נדמה לי שראוי לשופטים לדייק יותר: מהו בדיוק הנזק שנגרם כתוצאה מפעילות הנאשם שלפניהם. את הנזק יש לנסח לא רק במונחי נזק כספי, אם זה ניתן לכימות, אלא במונחים של הפגיעה בעקרונות אבטחת המידע, שהרי זו התכלית של חוק המחשבים. לימוד פסקי הדין מעלה שיש בהם שני נרטיבים מרכזיים. בכל אחד מהם יש מספר שחקנים - הנאשם, הטכנולוגיה, הציבור ובית המשפט, ויש ליהוק ברור בקשר לתפקידו של כל אחד. הנרטיבים מגולמים בשני פסקי דין מרכזיים - זה שדן את אהוד טננבאום, המכונה "האנלייזר", וזה שזיכה את אבי מזרחי, שבסך הכול רצה להצטרף לשורות המוסד.
1. האנלייזר הנועז
לפי כתב האישום שבו הודה טננבאום, הוא קשר קשר עם אחרים לחדור שלא כדין למחשבים בארץ ובחו"ל, וכך עשה, תוך שימוש בשמות משתמשים ובסיסמאות של גולשים, ללא ידיעתם. בכמה מקרים חדר למחשבי NASA, משרד ההגנה האמריקני, שינה קבצים במחשבים אלה, השתיל סוס טרויאני ותוכנות מעקב (sniffer). הוא גם חדר למחשבי אתר נשיא המדינה, אתר הכנסת ואתר של מדרשת שדה בוקר. בחלק מהמקרים שינה את דפי הבית באתרים ובעקבות זאת הושבתו האתרים למספר ימים. לדבריו, בחלק מהמקרים תיקן חורי אבטחה, כמו באתר הכנסת.
בכל שלוש הערכאות שדנו בעניינו של טננבאום ניכר שהן נפעמו, מי יותר ומי פחות, מהחדשנות שבעבירות. אלה בוצעו בשנים 1997-1998, כתב האישום הוגש כשנתיים לאחר מכן, גזר הדין ניתן בשנת 2001, והערעור בשנת 2002. גזרי הדין ראויים לעיון מפורט.
תחילה לגזר הדין של בית משפט השלום.94 בית המשפט העיר כי "דיני המחשבים עושים צעדים כמעט ראשונים בכל הנוגע לאכיפת החוק ותוצאותיו". פסק הדין מדבר על "מהפכה חדשה", "עידן חדש", ועל כך ש"חדשנותו של חוק המחשבים רודפת אותו". במילים אחרות, נוכח קיומו של החוק, ברור כי בית המשפט סבור שהטכנולוגיה והשימוש בה כפופים וניתנים להסדרה משפטית, גם אם יש בכך קושי מעשי, נוכח קצב השינויים. בהמשך גזר הדין נכתב עוד כי "התיאורים שמסר הנאשם לגבי האופן בו בוצעו החדירות והכלים הווירטואליים בהם השתמש לקוחים מעולם אחר". הנאשם מתואר במאפיינים שחוזרים ועולים פעמים רבות בגזרי דין אחרים שלפי חוק המחשבים. הנאשם האופייני, וטננבאום הוא אב-טיפוס של הנאשם הזה, הוא גבר, צעיר, בעל ידע במחשבים, מתוחכם מאוד, כלומר מאפיינים של "בן טובים". כך למשל נכתב שם על טננבאום, שהיה כבן 18 בעת ביצוע המעשים שיחוסו לו: "למיטב ידיעתי הנאשם הוא פורץ המחשבים הנועז ביותר שנודע עד כה. הוא לא הסתפק באתרי המחשב בגבולותיה של המדינה וחצה יבשות. הוא חדר ל'קודש הקודשים' של מדינה ידידותית" [הכוונה למחשבי הפנטגון - מ.ב.]. בהמשך, השופטת מציינת את עיסוקו של טננבאום בעת המשפט - מנהל פיתוח בחברת סטארט-אפ המתמחה באבטחת מידע - ומעירה על האירוניה בקשר ל"מי שהפיל חיתתו" וכעת עבר לצד השני של המתרס. כמובן, כל אלה מתמצים בכינוי שדבק לטננבאום - בעקבות אחד הכינויים בהם השתמש - האנלייזר, שם הנשמע כלקוח היישר מתסריט הוליוודי מצוי.95 בית המשפט מעיר עוד כי הנאשם הפך לסלבריטי. לצד תכונות חיוביות אלה, מתואר הנאשם הטיפוסי כצעיר מבולבל, כזה שסובל מקושי לתפקד בסביבה האנושית ומוצא מפלט בסביבת המחשב. שם נותן הנאשם הטיפוסי דרור ליצריו האפלים. על טננבאום נכתב, בהתבסס על אבחון פסיכולוגי שנערך ועל אבחון דידקטי שנערך כשהיה בכיתה ט', כי "הקשר שלו עם החברה היה מוגבל... בעיות אלה העצימו עם הגיל, וככל הנראה הם אלה שהביאו לקשר שלו עם עולם המחשב, כאשר הוא מבין שהוא יכול לתקשר עם אנשים ללא הגבלה". ובהמשך: "מהאמור בחווה"ד [שהוגשה לבית המשפט - מ.ב] ניתן להגדיר את התעסקותו עם המחשב כתחליף לתקשורת הולמת. האובססיה עם המחשב נוצרה כתוצאה מליקויים בקומוניקציה ובמעורבות הבין אישית". מול דימוי זה של עבריין המחשבים כבן סורר ברור מה תפקידו של בית המשפט: למלא את מקום ההורה המחנך שאינו חוסך את שיבטו.96
מול האנלייזר הנועז, מוצגים הנפגעים, מפעילי האתרים והמחשבים שנחדרו, כחסרי אונים, שלקו ב"מבוכה ובהלה", חשו "כאילו פרצו אליך הביתה". חלקם נאלץ לסגור את האתרים למספר ימים ולזמן כוח אדם מיומן לתקן את הבעיה. בית המשפט אינו מזכיר כלל אם טרחו לנקוט אמצעי אבטחה, כיצד מנוהלים האתרים, על ידי מי וכדומה. נראה כי מתחת לפני השטח רוחשת כאן תפישה קניינית - כאילו האתר והמחשבים המחוברים לרשת הם יחידה קניינית נפרדת. הסברתי קודם מדוע עמדה כזו אינה משקפת את ההיסטוריה החקיקתית של חוק המחשבים, ומדוע היא אינה ראויה גם כעניין נורמטיבי. כך או כך, הקצנת התיאור של שני הצדדים - הנאשם והנפגעים היא מרכיב חשוב בסיפור השיפוטי.
עוד שני מרכיבים יש בסיפור השיפוטי: הנזק שנגרם ומקומו של בית המשפט. תחילה הנזק. יש נזקים ישירים שנגרמו לאתרים שהושבתו, ו"ברור שיש לראות בחומרה עבירות אלה שתכליתן פגיעה במערכות מחשבים. החדירות למחשבים נעשו לתופעה וככל שגוברת התלות במחשב, בעיקר במדינות מתקדמות, כך מתעצמים נזקיה בעת הפגיעה במאגרי המחשב שלה." בית המשפט נסמך גם על עמדת התביעה, שהדגישה את הנזק התדמיתי לישראל בגלל החדירה למחשבים בממשל האמריקני, והקשיים באכיפת עבירות מחשבים. נזק נוסף, תמוה משהו, שנזכר בגזר הדין, הוא כי עבירות המחשב יחייבו השקעה כספית רצינית במערכות מיגון ופיתוח תוכנה. חוששני, בכל הכבוד, שאזכור נזק אחרון זה מעיד על חוסר הבנה של מהותן של עבירות המחשב ותפקידיו של המשפט ביחס לטכנולוגיה, כמו גם היחס הכללי שבין איסור פלילי לנקיטת אמצעי הגנה פרטיים, כלומר היחס שבין הסדרה ציבורית להסדרה עצמית.97 עברייני המחשב רבים ופזורים ברחבי העולם. ברובם הם אינם כפופים לחוקי המדינה. לפיכך, ממילא יש צורך להגן על מערכות המחשב, ואי אפשר לסמוך על טוב ליבם של אזרחיה הנאמנים של המדינה. כך שהשקעה במערכות אבטחה חיונית ממילא - ובעיקר כדי להבטיח את הגשמתם של עקרונות אבטחת המידע שנדונו לעיל. ההגנה הטכנולוגית היא סעד עצמי, אמצעי של הסדרה עצמית. המשפט אינו מתיימר להיות תחליף לרובד זה, אלא תוספת אליו. מפעיל מערכת מחשב הנסמך רק על האיסורים שבחוק שימנעו פריצות למחשביו, ללא נקיטת כל אמצעי זהירות נוסף, פועל לטעמי ברשלנות. אם יש אצלו מידע על אזרחים, הרי הדבר עולה כדי הפרה של חובת האבטחה הקבועה בחוק הגנת הפרטיות בקשר להגנת מאגרי מידע, כפי שהם מוגדרים שם.98
וכאן, לאחר שעמדנו על "הרעים" שבסיפור, על הנזק שהם גורמים לתמימים, וכל זה בליווי אווירה דרמטית של הטכנולוגיה החדשה, מגיעה כניסתו של בית המשפט לבמה, זהו תפקיד ה Deus ex Machina, "האל מן המכונה" שבא להתיר את סבך העלילה ולהשיב את הסדר על כנו. את זאת משיג בית המשפט בענישה, אולם לפני כן נדרש עוד מהלך אחד, שחוזר ועולה בגזרי דין רבים: בית המשפט משווה את עבירות המחשב לעבירות פריצה וגניבה. כך בית המשפט: "אני תוהה האם אותו נאשם, ששם לעצמו מטרה להיכנס לפנטגון, היה רוכש לשם כך כרטיס טיסה, שם פעמיו לשדה התעופה, מגיע לארה"ב ומנסה להיכנס. האם גם אז היה פורץ מנעולים, מפיל את המאבטח ושועט לעבר היעד?"99 וכך מלהק בית המשפט את עצמו בדרמה שהוא גם מחברהּ. בית המשפט מתגייס למען הציבור, כדי לסכל את הנזקים או להשיב את המצב לקדמותו, ובעיקר, כדי להיות מגן הטכנולוגיה החדשנית. לבית המשפט תפקיד לחנך את הבן הגאון הטוב שסטה לסמטאות אפלות, ולהרגיע את אלה הנבוכים מפני החדשנות הטכנולוגית. המשפט יכול לטכנולוגיה, שהרי אין הוא נאבק בה אלא דווקא מסייע בעדה בכך שהוא מרחיק ממנה את המזיקים. ובא למחשב גואל.
במקרהו של טננבאום, שילוב התפקידים - בית המשפט כמגן הטכנולוגיה, הקידמה והציבור, כמחנך הנער הסורר ומגן החלשים - מביא לעונש. בית משפט השלום גזר שישה חודשי עבודות שירות. בית המשפט המחוזי שדן בערעור המדינה הקצין עוד יותר את הנרטיב, כבמאי הוליוודי המזהה חומרים לסרט מצליח. בערעור בבית המשפט המחוזי נחלקו הדעות באשר לעונש, אולם יש אחידות בנרטיב שנוקטים השופטים, והוא מעצים את הנרטיב שבפי בית משפט השלום. טננבאום מוצג כמי ש"פעל בדרך חסרת מעצורים", וכמי ש"שום דבר אינו קדוש בעיניו ואינו מעבר לתחום עבורו". השופטת דבורה ברלינר ערה להילה של הנאשם - וקשה להשתחרר מהרושם שההילה נוצרה במידה לא מועטה בזכות ההתנהלות התקשורתית של המשטרה והתביעה בעניין, וכמובן התקשורת ששמחה להצהיב את הסיפור. השופטת מתארת את הדימוי הציבורי של הנאשם ל"סופרמן או אולי רובין הוד מודרני", ובנשימה אחת מזכירה את הגאונות שלו, אם כי הביטוי מופיע במירכאות - רמז לבאות. גם כאן יש שרטוט סטריאוטיפי של הנאשם כמייצג את עברייני המחשב: "דומה שהכישורים השכליים, ה'גאונות' שמוצאת ביטויה ביכולת לחדור לכל אותם מחשבים מאפילה על כל שיקול אחר, ומסנוורת את הציבור הרחב ובמיוחד, כפי שאמרתי, את השכבה הטיפוסית של העבריינים הפוטנציאליים, דהיינו צעירים אינטליגנטיים ומוכשרים שדמיונם הולך שבי אחרי ההרפתקה".
ועוד. השופטת מאמצת את התווית שהציעה התביעה "ונדליזם אלקטרוני". ביטוי זה ראוי לעיון. הוא משקף קו חשוב במבנה הנרטיב השיפוטי: עבירת המחשב כמוה כעבירות של אחרון הפושעים הבזויים. בית המשפט מבקש לנתץ את הילת הגאונות הנכרכת סביב עברייני המחשב, ודרכו לעשות זאת היא להציגם כעבריינים פשוטים, אלימים, לא-מתוחכמים. הביטוי עצמו חדש, אינו טריוויאלי, והוא על כן בגדר "ציטטה טלוויזיונית שיפוטית" (judicial sound bite), כלומר אמירה הנקלטת היטב בתקשורת הלהוטה לכותרות מסקרנות.100 לא במקרה זכה הביטוי להבלטה בדיווחים אודות גזר הדין.101 בהמשך פסק הדין מופיע רעיון זה במפורש: טננבאום "אינו שונה ממי שעומד בראש כנופיה הפורצת לבתיהם של אנשים".
ומה באשר לנזק? השופטת מקבלת את הנזקים שפירט בית משפט השלום, ומציגה באופן כוללני משהו את עקרון אבטחת המידע היסודי: "בעולם שבו כל הידע שנצבר, בכל תחום שהוא, כל האינפורמציה, בין האינפורמציה הקשורה לנאס"א ולמערכות חלל, ובין אינפורמציה הקשורה לחשבון הבנק או לפרטיו של כל אדם שהוא, מצויה במחשבים, הצורך הראשון במעלה הוא להגן על מאגרי המידע העצומים המצויים במחשבים". מסקנתה הייתה חדה: שנת מאסר בפועל. אולם זו הייתה העמדה המקלה. השופט זכריה כספי הוסיף תיאורים משל עצמו, כאשר הקו המרכזי דומה: צורך להרתיע את דור העתיד של המחשבים ולעקר את ההערצה לטננבאום. הצעתו הייתה לגזור שנה וחצי מאסר. שופט הערעור השלישי, השופט המר, הציע להחמיר עוד יותר: שנתיים וחצי מאסר. בית המשפט העליון דחה את בקשתו של טננבאום לרשות ערעור.102
2. על האקרים, קראקרים ובתי המשפט
האם אהוד טננבאום גיבור? נראה (והדברים מבוססים על קריאת פסקי הדין לבדם) שטננבאום ניסה, למעשה, לכוון לדימוי אחר, זה המבחין בין ה"האקר" ל"קראקר". להאקרים דימוי עצמי שונה מזה שבו הם נתפשים ומוצגים על ידי בתי המשפט והחברה בכלל. ההאקרים רואים עצמם כחלק מאליטה חברתית בלתי מאורגנת הנמצאת פעמים רבות מחוץ לטווח החוק, אולם הם פועלים לפי חוקים בלתי כתובים משל עצמם בקשר למותר ולאסור.103 מטרתם היסודית היא לצבור מידע ולהופכו לידע.104 האתיקה ההאקרית כוללת אמונה מוחלטת כמעט בזרימה חופשית של מידע ללא מגבלות, בחוסר אמון מוחלט בשלטון המרכזי, ובעיקר, ההאקרים רואים עצמם חופשיים להפר חוקים שבעיניהם הם טיפשיים. ההאקר אינו פועל למטרת רווח, ועיקר סיפוקו הוא מטפיחת השכם הווירטואלית מחבריו. ההאקר המצוי אינו מתכוון להזיק, אלא ללמוד, לשחק, לבדוק וּלְאתגֵר. הוא שש אלֵי מערכות מחשב מתוחכמות, וככל שהאבטחה חזקה יותר - האתגר נמרץ יותר. ההאקר מבחין עצמו מהקראקר. האחרון הוא "האקר רע", שמנסה להזיק לשם הנזק. הקראקר מוציא שם רע להאקרים.105
מובן שמערכת המשפט ורשויות אכיפת החוק אינן מסוגלות להכיל ולקבל את הדימוי של ההאקר המצוי.106 לשלטון ולרשויות האכיפה חשוב להציב דימוי מתחרה לדימויו העצמי של ההאקר.107 אכן, נראה שבמידה רבה דימויו המצוי של ההאקר השתנה, ומהדימוי הפוחז הפך ההאקר לבריון אלקטרוני. השינוי בא על ידי סוכנים שונים, כמו רשויות האכיפה, בתי המשפט, והתקשורת.108 ההאקר והקראקר נמצאים באותה קבוצה, בעיני המשפט. ההבדל יבוא לידי ביטוי, אולי, רק בעונש. בעיני המשפט, איש אינו נמצא מחוץ לחוק, ודאי לא כאשר המעשים נעשים במודעות וביוהרה. במובן זה, הערות השופטים על כך שטננבאום הוא כאחרון הפושעים זבי החוטם הם דקירה עמוקה וכואבת להאקר המצוי. זו הצהרה שיפוטית שאין כאן הילה ואין אתיקה נפרדת, לא כבוד ולא הדר, אלא רק שוליים עלובים. ההערות האלה שבגזרי הדין, יש להניח, נופלות על אוזניים ערלות: הן תסווגנה על ידי ההאקר המצוי באותה קטיגוריה של חוקים שבעיני ההאקר מותר לו להפר: חוקים שאין להם תוחלת, והם בניגוד ל"חוקי הטכנולוגיה".
האם טננבאום אכן דומה לעבריין רחוב? האווירה התקשורתית שנוצרה סביב הפרשה לא הועילה לו. היא מיקדה אליה תשומת לב ציבורית, וחוששני שאין מנוס מלהסיק שבית המשפט מילא, ולא כמי שכפאו שד, תפקיד בדרמה התקשורתית. טננבאום ניסה להציג את מעשיו באור חיובי. הוא פרץ גם לאתרים פדופילים ואתרים אנטישמיים. הוא תיקן פרצות באתר הכנסת. כוונתו, במילים אחרות, לא הייתה להזיק, אלא אפילו להועיל. טננבאום ניסה ליצור קטגוריה חברתית-תרבותית משל עצמו: ההאקר הציוני.109 למעשה, בית המשפט השיב לו, אמנם בשפה משפטית ובדרך שתוארה, כי הוא אינו האקר, אלא סתם קראקר.
נדמה לי שיש לבחון את מעשיו של טננבאום לאור תכליתן של העבירות הקבועות בחוק המחשבים, כפי שהצעתי לעיל, כלומר לאור עקרונות טכנולוגיים של אבטחת מידע. במקומות בהם השתמש בשמות של גולשים תמימים ובסיסמאותיהם, פגע בעקרון אימות הזהות. במקרים בהם שיבש את פעולת האתרים בליווי רכיב המחשבה הפלילית הנדרשת - הרי פגע בעקרון שלמות המידע, ובחלק מהמקרים פגע בעיקרון זמינות המערכת. בגין כל אלה היה ראוי לעונש. אולם נראה כי מרכיב משמעותי בחומרה שייחסו השופטים למעשיו נבע מ"פריצתו" לאתרי הפנטגון ונאס"א. ברור כי הוא לא היה מורשה להיכנס למחשבי גופים אלה, ובכך שנכנס, פגע בעיקרון בקרת הגישה החיצונית. אלא שבלי שיבוש המערכות או פגיעה בזמינותן, כל שעשה היה לחדור לחומר מחשב. כאמור, הצעתי שאת עבירה זו - כאשר היא ניצבת לבדה, כלומר ללא פגיעה בשלמות מידע או בזמינות המערכת - יש לפרש בצמצום. אכן, לפי הדין הקיים היה מקום להרשיעו בעבירה לפי סעיף 4 לחוק. אולם לא היה מקום לייחס לכך את החומרה הרבה שיוחסה לו על ידי בתי המשפט. טננבאום רכש ידע רב, יש להניח, בניסיונות הפריצה שלו. ניסוי וטעייה היא דרך לימוד מרכזית בענף זה. מתוך ידע כזה נוצרת טכנולוגיה חדשה. בדרך זו הסב את תשומת לב בעלי האתרים לדלות האמצעים שנקטו כדי לאבטח את המידע. בדרך זו אפילו שירת את האינטרס הציבורי - של הגנת הפרטיות. חברות אבטחה מתמחות באיתור פרצות אבטחה באתרים של אחרים, גם כאשר לא נתבקשו לעשות כן.110 פעולתן נתפסת כבקרה חשובה. הדבר דומה לעיתונאי החושף שחיתות ברשות שלטונית. מדוע, אם כן, להתייחס בדרך שונה למי שפעולתו דומה, ואפילו מניע כספי אין לו? ככל שהעונש שהוטל עליו היה גם בגין מעשים אלה, של "חדירה נטו" ללא נזקים נלווים, נדמה לי שבתי המשפט החמירו יתר על המידה.
3. "באין תחבולות יפול עם ותשועה ברוב יועץ"111
אבי מזרחי התעניין באפשרות להצטרף למוסד. הוא גלש לאתר הבית של המוסד, אשר בשעתו כלל רק שאלון למועמדים ותו לא. מזרחי, כך מדווח בפסק הדין שדן בעניינו, תהה על סדרי האבטחה של האתר, חשדנות אשר נדמה לי שהיא במקומה ממי שמבקש להצטרף לארגון ביון חשאי. מזרחי לא התעצל, ומצא באינטרנט תוכנה הבודקת את אבטחתם של אתרים, פעולה המכונה port scanning, כלומר בדיקה האם יש "פתחים" דרכם ניתן "להיכנס" לתוכנה. הוא הפעיל את התוכנה, וקיבל פלט בקשר לאבטחה של אתר המוסד. מזרחי לא הבין את הפלט, תהה על כך בפורומים אחדים, לא נענה, ובכך תמה הבדיקה מבחינתו. לא כך סברו במוסד, שלא אהבו, בלשון המעטה, את הבדיקה של מזרחי. הוא הועמד לדין באשמת ניסיון חדירה לחומר מחשב. כאמור, בית המשפט זיכה אותו.112 העמדתו לדין של מזרחי תמוהה בעיניי, ונדמה שאת הסיפור כולו צריך להבין ברוח טענתה של ההגנה, כפי שהיא מובאת בהכרעת הדין המפורטת מאוד של השופט אבי טננבאום: "רצה מאן דהוא להפגין שרירים ולהראות כי עם ישראל חי וכל המתעסק עם המוסד מרה תהיה אחריתו, ונפל הפור על הנאשם דווקא...". התביעה השיבה כי החליטה לתבוע דווקא משום שהנאשם ישראלי, קל היה לאתרו, ומשום שמדובר באתר ביטחוני.113
הנרטיב המקופל בהכרעת הדין שונה מאוד, עד כדי היפוך, מגזר הדין והערעור בעניין טננבאום. ההשוואה אינה בין הנסיבות - אלה ודאי היו שונות. בעניין טננבאום דובר בגזר דין, לאחר הסדר טיעון. כאן מדובר בהכרעת דין. בעניין טננבאום דובר גם במעשים אקטיביים שבוצעו, כמו שינוי אתרים. בעניין מזרחי מדובר רק בבדיקה. עם זאת, נדמה לי שאפשר להשוות את הנרטיב הכללי. הנאשם אינו מתואר כצעיר מבולבל שסר מדרך הרע, אלא כאזרח תמים שהתעניין בהצטרפות למוסד - פעולה שהיא ציונית לעילא ולעילא, במרכז החברה ולא בשוליה. מזרחי מוצג, בניגוד להאקר המצוי, כמי שאינו מבין דבר במחשבים ובאבטחת מידע.114 בדיקת האבטחה של האתר, מבהיר השופט, אינה בהכרח חלק מפריצה למחשב. לעיתים, הבדיקה היא שלב מקדים, הכנה, לפריצה, אולם הבדיקה לכשעצמה אינה בגדר חדירה או ניסיון לחדירה כזו. כלומר, בסיפור השיפוטי שמתווה בית המשפט בעניין מזרחי אין "רעים". גם נזק אין, להיפך. בבדיקת אבטחתם של אתרים, כותב השופט, יש תועלת חברתית. הטעם הוא שהדבר יהיה תמריץ לאחראים על אבטחת המחשבים לפעול לתיקון חורי האבטחה.115 עמדה זו נסמכת על הבנת האינטרנט כרשת מחשבים: אין זה מקום שבו כל מחשב בדד ישכון, אלא המחשבים מחוברים זה לזה. לפיכך, עוצמתה - או חולשתה - של הרשת תלויה בקשר שבין המחשבים: "שרת שאינו מאובטח כיאות מהווה סיכון לשרתים אחרים מאובטחים", ומכאן מסיק השופט "כל המשתמשים באינטרנט תלויים זה בזה וערבים זה לזה".116 במילים אחרות, במקום התפישה הקניינית הרוחשת מתחת לפני השטח בעניין טננבאום או אצל אלה המצדדים בהכרה בעוולה של השגת גבול במיטלטלין או עוולה של חדירה שלא כדין לחומר מחשב, יש בהכרעת הדין תפישה של רשת, שמרכיביה קשורים ותלויים זה בזה.117
גם האווירה דרמטית שמלווה את פסקי הדין בעניין טננבאום אינה כאן. במקומה ישנה ראייה מפוכחת, וניסיון שיפוטי כן ומוצלח להתמודד עם הטכנולוגיה. פסק הדין ער, באופן יוצא דופן, להשפעת המטאפורות על החשיבה השיפוטית. בפסק הדין מנהל השופט את הדיאלוג הנחוץ כל כך שבין המשפט לטכנולוגיה. אין כאן החלה חד-צדדית של כלל משפטי קיים על הטכנולוגיה, אלא פרשנות הנסמכת על לימוד זהיר של מערכות המחשב, של הטכנולוגיה שביסודן, ושל המשמעות הערכית של הטכנולוגיה. מסקנתו של השופט נסמכת, לפחות באופן אינטואיטיבי, על זיהוי הערך המוגן על ידי העבירות שבחוק המחשבים עם עקרונות אבטחת המידע. פעולתו של מזרחי נתפסה ומוצגת בעיני בית המשפט ככזו שבאה דווקא להגן על עקרונות האבטחה: לא לפרוץ הוא בא, אלא לבחון ולבדוק. הבדיקה - כאשר אין היא מלווה בניסיון פריצה - אינה פסולה, להיפך. ההערה השיפוטית שבעניין טננבאום, כאילו האקרים גורמים להוצאות מיותרות על אבטחת מידע, מתנפצת כאן לרסיסים.118 ההאקר (להבדיל מהקראקר), ובמקרה מזרחי - "הטרום-האקר הזוטר" - אינו מזיק, אינו גורם להוצאות, אלא להיפך. הוא מסייע באבטחה.
נראה שהנרטיב השונה משקף גם תפישה שונה של אבטחת מידע. בעוד שבעניין טננבאום תפיסת האבטחה של בית המשפט היא של בטחון בדרך עמימות (security by obscurity) הרי תפיסת הביטחון של בית המשפט בעניין מזרחי היא של ביטחון בדרך של שקיפות (security by openness). לפי תפיסת האבטחה בדרך של עמימות, האבטחה מושגת על ידי הסתרת כשלי אבטחה, כדי להקשות על התוקפים הפוטנציאליים למצוא אותם.119 עמדה זו משלימה עם קיומם של פגמים שונים, למשל דרכים בהן ניתן לחדור למערכת המחשב, לשבשה, להפעילה כדי לפגוע במחשבים אחרים וכדומה, אולם מניחה שהתוקפים לא יצליחו לאתר את הפגמים. לפיכך, אין לבעלי מערכת כזו עניין לפרסם את דבר קיומם של פגמים וכשלי אבטחה. תפיסת האבטחה הנגדית, של ביטחון בדרך של שקיפות, כופרת בעמדה הקודמת. לפי מצדדי השקיפות, הרי העמדה של אבטחה על ידי עמימות צפויה להיכשל. כשלי האבטחה סופם להיחשף, ואז הנזק שייגרם רב וגדול מאוד, מה גם שהשגת העמימות עצמה כרוכה בהשקעת משאבים לא מועטה. מנגד, מצדדי השקיפות סבורים שחשיפת הפגמים, ובעיקר בדרך של חשיפת קוד התוכנה, תאפשר בקרה של רבים, גם מחוץ לארגון בו מדובר. ככל שעיניים רבות יותר יביטו, יבחנו, ויבדקו את המערכת, ייחשפו הפגמים והכשלים יתוקנו מהר יותר.
בין שתי העמדות ניטש ויכוח עז, והוא משקף במידה רבה עמדות יריבות בהקשר אחר - היקף ההגנה הקניינית הראויה לתוכנות מחשב. עמדת העמימות מתיישבת עם תפישה קניינית, לפיה תוכנות מוגנות בדיני זכויות יוצרים, בדרך שמאפשרת לבעליה שליטה מלאה. עמדה כזו משמעה "קוד סגור", כלומר תוכנה שניתן להשתמש בה, אולם לא לראות את קוד המקור שלה. מנגד, העמדה של שקיפות נסמכת על "קוד פתוח". לפיה, ראוי שתוכנות מחשב יהיו נגישות לכל, ושכל המעוניינת תוכל לראות, ללמוד ולהשתמש ברעיונות המגולמים בתוכנה. לשקיפות הקוד נלווית, יד ביד, תפיסת אבטחה של שקיפות.
המסקנה של הכרעת הדין בעניין מזרחי נבונה. היא אפשרית רק בתוך מסגרת חשיבה שערה למורכבות של היחס שבין משפט לטכנולוגיה, בשילוב הערכים שמנחים את שני הקודקודים האלה. מסקנת השופט בדבר זיכויו של מזרחי אך מתבקשת.120
במאמר זה טענתי שאת חוק המחשבים יש לפרש על רקע עקרונות אבטחת המידע המקובלים אצל מפעילי מערכות מידע, כלומר לפי עקרונות טכנולוגיים. הטענה הזו נסמכת על עמדה כוללת יותר, של דיני מידע, בדבר הקשר המורכב שבין משפט לטכנולוגיה. הקשר הזה אינו חד-צדדי, אלא הוא קשר דיאלקטי. המשפט והטכנולוגיה אינם זרים זה לזה, אינם עוינים זה לזה, אלא יכולים וצריכים לשתף פעולה, והכול לפי ערכיה של החברה שבה אנו פועלים. הדיאלוג הזה צריך להתנהל תוך תשומת לב לטכנולוגיה, לאפשרויות ולקשיים הגלומים בה, תוך ערנות לקשיי אכיפה אפשריים ולתגובה הטכנולוגית האפשרית.
מתוך העמדה העקרונית הכללית הזו, בחנתי את העבירות שבחוק המחשבים, והראיתי כיצד הן מגנות על עקרונות אבטחת מידע שונים. הדיון העלה גם כמה מסקנות פרשניות, בעיקר בקשר לפרשנות מצמצמת של העבירה של "חדירה שלא כדין לחומר מחשב", ולדחיית הטענה בדבר הרחבת האיסור גם לתחום האזרחי.
בעשור החולף נתקלו בתי המשפט בחוק המחשבים בכמה מקרים. הנסיון מעלה שני נרטיבים מרכזיים שנוצרו בפסיקה: זה המיוצג בעניין טננבאום ("האנלייזר"), ובו מלהק בית המשפט את עצמו כגיבור שנועד להציל את החברה ואת הטכנולוגיה ולהגן עליה מפני נערים שסרחו, ושאותם יש להחזיר לדרך המוטב. הנרטיב השני מיוצג בעניין מזרחי, ובו מלהק עצמו בית המשפט בתפקיד מורכב יותר, שבלוני פחות, של תומך במערך האבטחה של רשת מערכות המידע. הנרטיב הראשון, המיוצג בעניין טננבאום, מתלהב יתר על המידה, ומחטיא את הדו שיח הראוי שבין המשפט לטכנולוגיה. הנרטיב השני, שבעניין מזרחי, טוב בהרבה. הוא מפוכח, זהיר, ומעמיק בהבנת הקשר הזה. הוא גם מגלם תפישה עדכנית וטובה יותר של אבטחת מידע. הדרך הראויה ליצור את משפט המכונה אינה ליהוק של בית המשפט כ"אל מן המכונה", אלא כבן-שיח של המכונה.
ד"ר מיכאל בירנהק הוא מנהל (במשותף) של המרכז למשפט וטכנולוגיה
ומרצה בכיר בפקולטה למשפטים באוניברסיטת חיפה.
. הוא מרצה וחוקר בתחומי משפט האינטרנט, קניין רוחני,
פרטיות וחופש הביטוי. תודה לניבה אלקין-קורן, רחל ארידור, אורן גזל-איל טל ז'רסקי, נמרוד קוזלובסקי, חיים רביה, וברכה שפירא שהעירו הערות מועילות, וכן לעוזרי המחקר תומר אפלדורף ומיכאל גבע. האחריות, כרגיל, שלי בלבד.
זכויות היוצרים שמורות למחבר, ומאמר זה מתפרסם תחת רישיון של Creative Commons, המתיר כל שימוש שאינו מסחרי, לרבות העתקה, הפצה ופרסום, ובכלל זה הכנת יצירות נגזרות, כל עוד יישמר ייחוס המאמר לכותבו ולמקום פרסומו וכל עוד השימוש ביצירות הנגזרות יהיה בתנאים זהים.
הרישיון המלא נמצא ב: http://creativecommons.org/licenses/by-nc-sa/1.0/il.