מאגרי מידע ביומטריים שמנהלות רשויות המדינה, ובראשם מאגר תמונות רשיונות הנהיגה שמנהל משרד התחבורה, אינם מוסדרים בחקיקה מתאימה ואינם עומדים בעקרונות המדיניות הלאומית ליישומים ביומטריים, כך קובע דו"ח מבקר המדינה שפורסם אתמול (4.5.2020).

על פי הדו"ח, משרד התחבורה הפך את מאגר תמונות רשיונות הנהיגה, המונה 4.5 מיליון תמונות פנים, למאגר ביומטרי מבלי להסדיר זאת בחקיקה, והוא מעביר מידע מהמאגר לגורמים שונים ובראשם המשטרה ומשרד ראש הממשלה, ללא פיקוח ושקיפות כנדרש. 

המאגר הוקם בשנת 1983 ומאז 2006 התמונות בו מצולמות באיכות ביומטרית, אך השימוש בתמונות באיכות ביומטרית מעולם לא הוסדר בחקיקה למרות שהמשנה ליועץ המשפטי התריע על כך כבר בשנת 2005. הדו"ח קובע כי בקיומו של המאגר "טמון סיכון לזכות החוקתית של אזרחי המדינה לפרטיות. אי אסדרה כאמור של מאגר תמונות באיכות ביומטרית שהיקפו עצום (כ- 4.5 מיליון תמונות) ובמשך תקופה כה ארוכה (14 שנים), ראויה לבחינה". עוד מציין המבקר כי "הקושי באי אסדרה כאמור מתחדד בעיקר בהשוואה לאסדרה הנרחבת שנעשתה בנוגע למאגר הביומטרי הלאומי."  

מהדו"ח מתברר שהמשרד מעביר באופן שגרתי מידע מהמאגר לגורמים שונים ובראשם משטרת ישראל ומשרד ראש הממשלה המקבלים שיקוף מלא של המאגר. גורמים נוספים המקבלים מידע מהמאגר הם רשות המסים, המשטרה הצבאית, המשרד לבטחון פנים והמשרד לשוויון חברתי. לטענת משרד התחבורה, העברת המידע נעשית בהתאם להוראות חוק הגנת הפרטיות. לפי הדו"ח העברת המידע נעשית בכפוף לאישור הועדה המשרדית ומילוי הטפסים הנדרשים, אך עם זאת נתגלו הליקויים הבאים: משרד התחבורה אינו מפרסם באתר שלו את רשימת הגופים אליהם הוא מעביר את המידע, חלק מהגופים לא דיווחו לרשם מאגרי המידע כפי שנדרש בחוק, בעוד שהחוק קובע הגבלות על העברת מידע מהמאגר הביומטרי הלאומי, על העברת המידע ממשרד התחבורה לא חלות הגבלות דומות. 

מאגרים נוספים שנבחנו ע"י המבקר הם מאגר התמונות של משתמשי כרטיס רב-קו, הכולל פרטים של כ-7.7 מיליון איש, מתוכם למעלה ממיליון קטינים (אך רוב התמונות בו אינן באיכות ביומטרית), מאגר העובדים הזרים של רשות האוכלוסין וההגירה הכולל 550,000 טביעות אצבעות ותמונות פנים, מאגר זיהוי דורשי עבודה של לשכת התעסוקה הכולל 250,000 טביעות אצבעות, ומערכת זיהוי קולי לשיחות טלפון של שירות בתי הסוהר הכוללת 5,500 דגימות קול. כל המאגרים שנבחנו אינם מוסדרים בחקיקה. המבקר מציין כי חלק מהגופים שנבדקו החלו בפעולות לבחינת האסדרה הנדרשת של המאגרים אך פעולות אלה, למרות שחלקן נמשכות כבר שנים, לא הבשילו לכדי חוק.

המבקר מקדיש חלק ניכר מהדו"ח לבחינת פעילות היחידה להזדהות וליישומים ביומטריים במערך הסייבר הלאומי שתפקידה לפקח על הפעלת המאגר הביומטרי הלאומי, על הנפקת תעודות זהות ודרכונים חכמים, ועל מאגרים ביומטריים אחרים של גופי ממשל. הדו"ח קובע כי פעילותה של היחידה במגזר הציבורי, שהוא עיקר אחריותה, "מוגבלת ונשענת בעיקרה על רצונם של הגופים לשתף עימה פעולה;... היחידה שבה ופנתה לגופים שונים אך שיתוף הפעולה מצידם היה מוגבל והיא נתקלה בקשיים במימוש המדיניות והקווים המנחים. היו מקרים שבהם חרף העובדה שהיחידה הצביעה על פעולות הנעשות שלא על פי המדיניות והקוים המנחים ובאופן הטומן בחובו סיכונים, לא הוביל הדבר לשינוי באופן תפקודם של הגופים."

הדו"ח מתייחס גם למאגרים ביומטריים במגזר הפרטי. על פי נתוני הרשות להגנת הפרטיות, בישראל רשומים כיום 75 מאגרים פרטיים שמכילים מידע ביומטרי אך ברור כי מספר זה אינו משקף את מספר המאגרים הקיימים בפועל שכן רק אחוז נמוך ממאגרי המידע בישראל נרשם כחוק במרשם מאגרי המידע.

המבקר קובע כי "במציאות שבה קיימים במדינת ישראל מאות אלפי מאגרי מידע, ונוכח השימוש ההולך וגובר ביישומים ביומטריים ושמירתם במאגרים, לרבות במגזר הפרטי, מטבע הדברים אין לרשות להגנת הפרטיות יכולת של ממש לפקח על הפעלתם של כלל המאגרים הקיימים במדינת ישראל. כדי להתמודד עם האתגרים הטכנולוגיים ועם הסיכונים הטמונים בשימוש ביישומים ביומטריים, ראוי שהרשות להגנת הפרטיות תמפה את היקפו ואופיו של השימוש במאגרים ביומטריים במגזר הפרטי, ותבצע הערכת סיכונים כוללת שתסייע בגיבוש מדיניות שתביא לידי צמצום הסיכונים הגורמים לפגיעה בפרטיות הגלומים בשמירת מידע ביומטרי, בעיבודו ובניהולו."