PAGE
12
ועדת החוקה, חוק ומשפט
27/06/2012

הכנסת השמונה-עשרה
נוסח לא מתוקן

מושב רביעי
<פרוטוקול מס' 639>
מישיבת ועדת החוקה, חוק ומשפט
יום רביעי, ז' בתמוז התשע"ב (27 ביוני 2012), שעה 9:30

<הצעת חוק המחשבים (תיקון) (פעולות אסורות בתוכנה -הרחבת האיסור), התשע"ב-2012>

חברי הוועדה: >
דוד רותם – היו"ר
רוחמה אברהם-בלילא

אורי מקלב

דב חנין

>
מאיר חיון - רמ"ד אינטרנט ותקשורת נתונים, המשרד לביטחון פנים

אליעזר כהנא - ע' יועמ"ש, המשרד לביטחון פנים

איילת לוי - ע' יועמ"ש, המשרד לביטחון פנים

אביטל בגין - ייעוץ וחקיקה, משרד המשפטים

חיים ויסמונסקי - ממונה ידע מקצועי משפטי וטכנולוגי, פרקליטות

שי זנדני - מנכ"ל, האיגוד הישראלי לביקורת ואבטחת מידע, ISACA

רות פרמינגר - עו"ד, יועצת להייטק

אפרת חקאק

דורית ואג

הילה מליחי
<הצעת חוק המחשבים (תיקון) (פעולות אסורות בתוכנה -הרחבת האיסור), התשע"ב-2012>

בוקר טוב. אני פותח את ישיבת הוועדה. על סדר-היום הצעת חוק המחשבים (תיקון) (פעולות אסורות בתוכנה -הרחבת האיסור), התשע"ב-2012. חברת הכנסת רוחמה אברהם.

בוקר טוב, אדוני היושב-ראש - -

בוקר טוב מאוד - -

- - אני קודם כל רוצה לברך - - -

- - כשאני קם בבוקר, אני רואה אותך, ישר נהיה לי טוב.

אני צריכה לבוא לפה כל בוקר לוועדה. ראשית, אני רוצה להודות לך, אדוני היושב-ראש, למנהלת הוועדה, ליועצת המשפטית על עצם העובדה שהצעת החוק, אפשר לומר שהיא תובא היום לקריאה שנייה ושלישית. נקרא אותה ונעלה אותה למליאה. אני חושבת שזו הצעת חוק חשובה מאוד, במיוחד לאור כל התפתחות אתרי האינטרנט, התפתחות הטלפוניה, וכולי. ועצם העובדה שגם הגדרת מכשיר הפלאפון באיזשהו סעיף מוגדר גם כמחשב, אני חושבת שזה דבר חשוב שנועד להגן על האזרחים מפני האזנות סתר, חדירות לקווים, שיבושים, גרימת נזקים, וכולי. אני מברכת על שיתוף הפעולה. אני קראתי את הנוסח, ואני די מסכימה אתו. אני חושבת שאפשר להמשיך הלאה.

אפשר לקרוא ולהצביע, את אומרת.

אז תודה רבה, אדוני היושב-ראש.

גברתי היועצת המשפטית, נא לקרוא.

אני רק רוצה להעיר שאנחנו בעצם עושים שני סוגי תיקונים פה. בגדול, יש לנו כמה תיקונים שאנחנו מוסיפים כדי להצטרף לאמנת בודפשט, לסייבר - - - ובאותו זמן אנחנו גם רוצים לעשות תיקונים לחוק המחשבים, כך שעורך התוכנה, שהיא בעצם סוס טרויאני גם ייפול תחת ההגדרות הקיימות בחוק.

וצריך לעשות את זה מהר, כי אחרת הטורקים ישימו עלינו וטו.

לפני שנתחיל, אולי פשוט נסתכל על סעיף קטן (ג), שזה סעיף חדש שלא היה בנוסח הכחול. סעיף קטן (ג) – אנחנו הוספנו סעיף שיכול להיות שצריכים את הסעיף הזה כדי להצטרף לאמנת בודפשט. יכול להיות שזה כבר מכוסה בחוק הגנת הפרטיות בכל מקרה, אבל למען הסר ספק, אנחנו מוסיפים את סעיף קטן (ג). הוועדה צריכה להחליט מה העונש הראוי למטריה הזו.

כמו ב-(א) ו-(ב), שלוש שנים.

ב-(ג) זה יהיה שלוש שנים, ואז גם נשנה טיפה את הסדר של הסעיפים. להקריא את הנוסח?

"החלפת סעיף 6 – 1.
בחוק המחשבים, התשנ"ה–1995‏ , במקום סעיף 6 יבוא:
"פעולות אסורות בתוכנה 6. (א)
העורך תוכנה באופן שהוא מסגלה לבצע פעולה מהפעולות המפורטות להלן, במטרה לבצען שלא כדין, דינו – מאסר שלוש שנים". אני אקרא גם את הפעולות, רק שתבינו שמדובר בהרחבה של הסעיף הקיים, שכן הסעיף הקיים מדבר רק על גרימת נזק או שיבוש למחשב או לחומרי המחשב. ועכשיו אנחנו מרחיבים את הפעולות שהתוכנה יכולה לבצע, והמטרה של המבצע.
"(1)
שיבוש פעולתו התקינה של מחשב או הפרעה לשימוש בו;
(2)
מחיקת חומר מחשב, גרימה לשינוי בו, שיבושו בכל דרך אחרת או הפרעה לשימוש בו;
(3)
פעולות שתוצאתן מידע כוזב או פלט כוזב, כהגדרתם בסעיף 3(ב);
(4)
חדירה לחומר מחשב, כהגדרתה בסעיף 4, הנמצא במחשב".

רק שתבינו, פסקאות (4)-(1) הן בעצם המקבילות לסעיפים 4-2 בחוק המחשבים. אז עורך התוכנה, כדי לבצע אחת מהפעולות האסורות בסעיפים 4-2 ייכנסו לסעיף הזה. ועכשיו אנחנו נוסיף גם עבירות לפי חוק האזנת סתר והגנת הפרטיות. משרד המשפטים העיר לי, בצדק, שלא צריך להיות "פעולה שתוצאתה", אלא – בפסקה (5) – האזנת סתר. אז אני אקריא את זה כמו שהנוסח היה במקור.
"(5)
האזנת סתר, כהגדרתה בחוק האזנת סתר, התשל"ט–1979‏;
(6)
פגיעה בפרטיות כמשמעותה בסעיף 2 לחוק הגנת הפרטיות, התשמ"א–1981‏".

יש מישהו שמתנגד לסעיף הזה?

העבירה היא רק שעושים את זה בארץ? אם אני עושה את זה בארץ - - - בחוץ לארץ, אז זה גם נחשב בארץ?

אתה מצטרף לאמנה.

איזה הגדרה זאת?

בשביל זה יש אמנות בינלאומיות.

אבל החוק נכנס לתוך האמנה. זאת אומרת, החוק נצמד לאמנה – האדם עושה עבירה פה בארץ, כשהמשמעות של העבירה היא בחוץ לארץ. השאלה אם להתייחס - - -

לא חשוב. אם אדם עושה עבירה פה בארץ - - -

השאלה היא האם זה פה או איפה שהתוצאה - - -

לא, איפה שאתה עושה את המעשה.

- - - האם זה - - -

המעשה שאתה עושה הוא העבירה.

על אף שהמשמעות של העבירה - - -

כן.

זה בסדר גמור, בוא נאמר ככה - -

אבל זה לא קשור לאמנה.

- - זה לא קשור לזה. חוק פלילי מדבר על מקום המעשה.

למעשה, באינטרנט המעשה מתבצע בכמה מקומות בו זמנית. התפיסה תהיה שזה גם בארץ וגם בחו"ל. ואז ישראל יכולה לתפוס שם Jurisdiction. יש לה סמכות שיפוט, וגם למדינה האחרת בתיאוריה יש סמכות שיפוט. יש ריבוי סמכויות.

מה לגבי תחולתו של החוק?

מה הפירוש מה לגבי תחולתו?

זה מידית? זאת אומרת, אנחנו - - -

עם פרסומו ברשומות.

עם פרסומו ברשומות?

בוודאי.

- - -

לא, אתה יודע, יש - - -

רוחמה, אפשר להפיץ בינתיים את התוכנות. עוד שבוע זה כבר יהיה עבירה פלילית.

אני רק אציין שני דברים שאמרנו בדיון הקודם שנדבר עליהם: אחד, השאלה האם צריך לכתוב כמו שכתוב באמנת בודפשט שהתוכנה היא מה שנקרא primarily Design, לעשות אחת מאלה. הוועדה שקלה את העניין הזה וחשבה אז שיכול להיות שלא צריך לצמצם את הסעיף ככה. אבל אמרנו שנעלה את זה שוב לדיון לקריאה שנייה-שלישית. הוועדה נוטה לאשר את הטקסט כמו שזה?

כן.

זה דבר אחד. דבר שני, בזמנו גם חשבנו שאולי צריך בפסקאות (5) ו-(6) למנות את הפעולות שהן בעצם האזנות סתר או הגנת הפרטיות. יש חשש שהדבר הזה יסרבל, יסבך, וגם לא יכסה את כל - - -

לא נגיע – הטורקים ישימו עלינו וטו אם נתחיל למשוך את זה יותר מידי זמן. תפסיקו עם זה.

וגם לעניין זה, האמת שיכול להיות שמתישהו צריך לעשות רפורמה קצת יותר רצינית בחוק המחשבים, כך שתהיה התאמה בין חוק המחשבים לחוק האזנת סתר וחוק הגנת הפרטיות. זה קצת מסובך להפנות לחוק האזנת סתר ולחוק הגנת הפרטיות בלי להגדיר בחוק המחשבים עצמו מהן הפעולות האסורות. אבל אפשר לעשות את זה בשלב הזה. מתישהו, כשתהיה רפורמה לחוק המחשבים, תחשבו על זה.

טוב.

להקריא גם את סעיף קטן (ב)?

כן, בטח. גם את (ג) כבר.

"(ב)
המפיץ או מציע לציבור, המעביר לאחר, המחדיר למחשב של אחר או המתקין במחשב של אחר תוכנה או התקן אשר סוגלו לבצע פעולה מהפעולות המנויות בסעיף קטן (א), כדי שתבוצע פעולה כאמור שלא כדין, דינו – מאסר חמש שנים". ופה אנחנו מרחיבים לא רק את הפעולות שהתוכנה יכולה לעשות, אלא אנחנו גם מרחיבים טיפה את הפעולות של המבצע. בסעיף הקיים כתוב שאסור להעביר לאחר או להחדיר למחשב של אחר. עכשיו אנחנו כותבים גם מפיץ, מציע לציבור, או המתקין במחשב של אחר. אנחנו כמובן גם מרחיבים את הפעולות של התוכנה, כמו שעשינו בסעיף קטן (א).
"(ג)
המפיץ או מציע לציבור, המעביר לאחר, המחדיר למחשב של אחר או המתקין במחשב של אחר סיסמא, קוד גישה, או מידע דומה" – שזה בעצם הביטוי שמופיע גם באמנת בודפשט – "כדי שתבוצע פעולה מהפעולות המנויות בסעיף קטן (א) שלא כדין, דינו – מאסר חמש שנים". והוועדה החליטה שלוש שנים.

שלוש שנים. כן, מישהו רוצה להעיר משהו?

כן, בבקשה. אני שי זנדני, ואני יושב-ראש הוועדה המקצועית של איגוד ISACA – האיגוד הישראלי לביקורת ואבטחת מידע. בארץ יש לנו קצת יותר מכמה מאות חברים, בעולם – למעלה מ-100,000 חברים. ממש בקצרה, שתי הערות לגבי שני הסעיפים שציינת עכשיו. לא הייתי שותף לדיונים הקודמים, אני מתנצל על זה אם אני שואל שאלות שכבר נדונו.
אחת, האם דינם של יועצים, שלמשל, עושים מבחני חדירה בכל מיני ארגונים נכלל בהוראות שלא כדין או לא. שתיים, נושא של הפצה. כמו שכרגע מנוסח החוק – או לפחות הסעיף הקטן – הוא לא מדבר על זה שאתה מפיץ בלי ידיעה. זאת אומרת, אם אתה נגוע בתוכנה כזאת, ותוך כדי הפעולות הסטנדרטיות שלך אתה מפיץ אותה – כי זה חלק מהאופי של התוכנות האלה – אתה נכלל תחת הסעיף הזה. אז השאלה היא אם נכון להוסיף במודע, או שלא בידיעה.

ויסמונסקי, תענה. למה אנחנו מביאים אותך הנה?

חיים ויסמונסקי, פרקליטות המדינה, אחראי על נושא משפט וטכנולוגיה. השאלה השנייה שלך, התשובה היא מהדין העונשי הכללי. זאת אומרת, זאת עבירת התנהגות – או עבירת מטרה בנסיבות מסוימות – היא מצריכה מודעות לכל רכיבי המעשה. לכן, אם אין מודעות, אין אחריות פלילית. זה כלל גדול שחולש על כל העבירות הפליליות, ולכן - - -

כן, אבל תוך כדי, אדם שנתפס, שהוא מפיץ תוכנה כזאת, הוא תמיד יכול להשתמש ולומר לא ידעתי שיש לי כזה דבר.

אז אנחנו נהיה במשחק הרגיל של תיק פלילי - -

לא, רוחמה, הוא לא יכול. השאלה היא - -

- - כלומר, הוא יטען טענת הגנה, אנחנו ננסה להוכיח אחרת.

- - - אם אני שולח אימייל שקיבלתי, או שהמחשב שלי - - -

מה שאתה אומר, רק אם זה אימייל מכוון - -

לא, לא.

- - אבל אם אתה שולח אותו כחלק מחבילה, אז זה לא ידעתי.

לא. המחשב שלי נגוע כי מישהו הצליח להשתיל לי וירוס. ואני שולח את זה בדרך הרגילה. אז אף אחד לא יכול לבוא אלי בטענה, כי אני באמת לא ידעתי. אבל אם יש לי תוכנה מיוחדת, ואותה אני שולח, פה אני בבעיה. זה המודעות.

רגע, אז - - -

אם הוא יטען טענה כזאת כדי לנסות לחמוק מאחריות, אז אנחנו נהיה "במשחק" הרגיל של חקירה פלילית, שחשוד מנסה, נניח, לצאת מזה – נגיד שהוא באמת ביצע את זה - - -

אז על-ידי בדיקות מסוימות ניתן לגלות את זה.

אפשר לנסות להוכיח את זה - - -

מי צריך להוכיח, המדינה צריכה להוכיח?

תמיד המדינה. למשל, אם אני אראה תכתובת שלו, שהוא מתכתב עם האקר אחר ואומר לו תראה מה אני עושה, אז מאותו רגע, כמובן שהטענה הזאת נסתרת. אז אנחנו נהיה בשאלה רגילה. כלומר, לא שינינו. בהיבט הזה, לא הפכנו את היוצרות.

לא כל דין פלילי, צריך להוכיח. תמיד טוענים שאני לא עשיתי, לא ידעתי. צריך להוכיח.

עכשיו, השאלה הראשונה, אתה מתכוון אם מישהו עושה בדיקות חדירה. כלומר, נגיד, בנק "הפועלים" – סתם דוגמא – מעסיק אדם שמנסה לחדור מבחוץ כדי לראות כמה בנק "הפועלים" הוא לא חדיר.

האדם עצמו יוצר תוכנה כזאת על מנת לעשות את המטרה שלשמה הוא נשכר.

אז לכאורה, אם זה המצב, אז לא מדובר בפעולה שלא כדין, כי זה במודעות של - - -

זה הסכמה.

זה שנשלח לו.

ומה עם האקר, שרוצה פשוט לבדוק את האתרים של הממשלה?

האקר שרוצה לבדוק אתרים של הממשלה, או אתרים מסחריים, אז בעגה של עולם המשפט והאינטרנט, קוראים להם "האקרים לבנים", "האקרים טובים"; לעומת האקרים רעים שעושים את זה כדי להרוויח כספים, לגנוב מידע אישי וכולי. הכינוי שלהם כהאקרים טובים הוא לא כינוי בהכרח שהמדינה מחזיקה בו, או הבנק שאליו יפרצו. כלומר, זה שהם קוראים לעצמם האקרים טובים, זה עדיין לא הופך אותם לכאלה. היה ומישהו יבצע חדירה כזאת, ויגיד אחר כך רק רציתי לשפר את איכות האתר ולהתריע בפניו, אז זו תהיה שאלה של אינטרס ציבורי בהעמדה לדין, אינטרס של המתלונן להתלונן עליו וכולי. לכן אני לא חושב שצריך לענות על השאלה הזאת במסגרת תיקון החקיקה, כי זו שאלה שקיימת גם היום. גם היום יש - - -

יש עליה פסק דין של אבי מזרחי.

יש פסק דין של אבי מזרחי, שהוא הריץ בדיקות היתכנות לחדירה לאתר המוסד למודיעין ותפקידים מיוחדים. שם דנו קצת בשאלה הזאת, אבל בסופו של דבר זיכו אותו, לא בדיוק מהסיבה שהוא "האקר טוב", אלא שהוא עוד לא התחיל לחדור, אלא הוא רק עשה איזו בדיקה ראשונית. זה היה מעשה הכנה שלא הגיע לכדי ניסיון.

למעשה, התשובה שלו זה כן. האקר שבודק משרדים או חברות, לראות אם הן עמידות בפני כזה דבר - - -

האם לא צריך להוציא פה איזשהו יוצא מן הכלל לגבי גופים שונים במדינת ישראל? אם הם קיימים בכלל - - -

ההוראות לגבי - - -

לא, אלה שלא – אני לא יודע אם הם קיימים בכלל במדינת ישראל.

במדינות אויב. במדינת אויב זה לא חל.

- - -

אבל במדינות אויב, נגיד.

שלפי פרסומים זרים יתכן - - -

הכול לפי פרסומים זרים, בוודאי.

שלא כדין, פותר הכול. חשבנו על זה.

ההוראות שחלות עליהם מוסדרות כבר בתוך חוק האזנת סתר, בתוך החוק להגנת הפרטיות. אם הם מבצעים לפי ההוראות שם, הם לא ייכנסו להגדרה.

הם מוחרגים בזמן מסוים.

הם מוחרגים לפי פרסומים זרים.

לפי פרסומים זרים הם עושים את זה.

אני מניח שהם לא היו נמצאים בוועדת בודפשט, כל מדינות האויב. אני מניח שהוועדה, כשהיתה אמנת בודפשט, לא היתה – מדינות אויב לא היו שם, הן לא השתתפו. הם לא קשורים לזה. ואז אולי - - -

האיראנים נמצאים בכל מקום.

אל תניח, הן הראשונות להצטרף.

לא, דווקא הן לא.

לכן אני אומר למהר, כדי שהטורקים לא יצטרפו.

אני רק יכול לומר שהמהלך של ההצטרפות לאמנת בודפשט הוא מהלך בין משרדי, וכל המשרדים – לרבות משרד הביטחון ומשרד ראש הממשלה – נמצאים שם.

אתה קצת אולי מרכך את זה, אבל המסקנה של הדברים, של התשובה שלך לשאלה היא ש"האקר טוב", מה שאתם קוראים לו, כיום הוא פלילי. צריך אחרי זה להוכיח שלא היתה כוונה, אבל במושכל ראשון, האקר טוב הוא פלילי.

הוא טוב בעיני עצמו.

הוא היה גם היום, לפי עבירה של חדירה לחומר מחשב - - -

אבל עכשיו זה הרבה יותר מתעצם עם החוק הזה. הוא יכול היום לעמוד בחמש שנות מאסר אם לא נרצה להגיד שאין עניין לציבור, שהכוונות שלו היו טובות. אבל אם מחר תהיה מדיניות אחרת בגלל שזה יתפשט יותר, אנחנו מיד – "האקר טוב" היום – אני לא יודע אם זה נקרא באמת האקר טוב, זה שהוא רוצה, מי שמך לבדוק את זה? מה התפקיד שלך לבדוק? אני רוצה להגיד לך, מה שנקרא, סיפור אישי, ניסיון אישי, חינם. צלצל אלי בחור חרדי שלא למד מחשבים, לא למד ליב"ה, והוא גילה פריצה מאוד גדולה במשרד החינוך. ואני פניתי בשמו, ובאמת הודו לי במשרד החינוך שהוא גילה – בתוך המחשבים, בתוך התשובות.

הוא לא למד ליב"ה, הוא לא למד מחשבים - -

לא למד מחשבים - - -

הוא היה ב"שחר" או שהוא היה בנחל החרדי?

לא, שום דבר. הוא לא הודיע בפני ועדת קש"ב.

לא חשוב, אנחנו - - -

אחרי זה כבר, הוא כבר לא יכול היה לעשות שום דבר. הוא לא יכול היה ללמוד. ממילא, הוא כבר לא יכול אחרי זה לדעת איך פורצים. לא תיתן לו את האפשרות ללמוד, מאיפה הראש שלו יתפתח? איך הוא יידע לעשות את זה?

אז קודם כל תעביר אותו אלינו שנוכל להתפתח אתו.

אני תמיד מזמין. אנחנו מזמינים את כולם.

עוד הערות רבותי? מי בעד?

הצבעה

בעד אישור הצעת החוק – פה אחד
נגד – אין
נמנעים – אין
אושר.

פה אחד. תודה רבה.

אני רוצה להודות לה. גם ליושב-ראש, אבל - - -

במיוחד ליושב-ראש ולצוות המקצועי.

אנחנו מודים לחברת הכנסת רוחמה אברהם על החוק שהגשת ועל זה שקידמת אותו כל כך יפה. תודה.

אפרת, אם תצליחי להניח היום, או לכל המאוחר ביום שני - -

כן, אם תניחי היום, ביום שלישי אני מעלה המון חוקים.

- - אז ביום שלישי אני יכולה להכניס את זה.

<הישיבה ננעלה בשעה 09:55.>