בימים אלה נמצאת בהליכי חקיקה בכנסת הצעת חוק חתימה אלקטרונית, התש"ס - 2000. הצעת החוק התקבלה בקריאה ראשונה ב- 2 באוגוסט והועברה לגיבוש בוועדה משותפת לועדת המדע ולוועדת חוקה, חוק ומשפט בכנסת. ישיבה ראשונה של הוועדה המשותפת התכנסה ב- 17 בספטמבר. בראשותה עומד ח"כ מיכאל איתן (ליכוד) וביוזמתו ניתן לעקוב אחר הליכי החקיקה - ואף להשתתף בדיון - באמצעות אתר האינטרנט של הכנסת, המציג את בזמן אמת את פרוטוקול הדיונים בה.

הצעת חוק חתימה אלקטרונית התפרסמה ב- 31 ביולי ברשומות (הצעות חוק 2915, כ"ח בתמוז תש"ס). כאמור בדברי ההסבר לחוק המיועד, זוהי "הראשונה מבין הצעות החוק שבדעת הממשלה להגיש, כדי להתאים את החקיקה האזרחית הקיימת לעידן האינטרנט, וההתפתחויות הטכנולוגיות".

בבסיס הצעת החוק נמצאת חתימה אלקטרונית מאובטחת. זוהי חתימה אלקטרונית ("מידע אלקטרוני או סימן אלקטרוני שהוצמד או שנקשר למסר אלקטרוני"), המקיימת ארבעה תנאים - היא ייחודית לבעל החתימה; היא מאפשרת לזהותו; היא הופקה באמצעי חתימה הניתנים לשליטתו הבלעדית של בעל החתימה והיא מאפשרת לזהות שינוי שבוצע במסר האלקטרוני לאחר מועד החתימה. החתימה האלקטרונית הייחידה המוכרת כיום היא חתימה דיגיטלית (ראה מסגרת), המשתמשת תהליך הצפנה. הגדרת "אמצעי חתימה" היא פשוטה למדי, ואפשר שפשוטה מדי - "תוכנה, חפץ או מיעד ייחודיים הדרושים, לבד או יחד עם תוכנה, חפץ או מידע אחרים, להפקת חתימה אלקטרונית מאובטחת". מידע כזה הוא, באופן מובהק, מפתח הצפנה פרטי. אלא שהחוק המוצע מתעלם ממפתחות ההצפנה. הוא מבקש להיות ניטרלי מבחינה טכנולוגית, ומעיד על כך במלים מפורשות בדברי ההסבר: "החוק המוצע אינו מוגבל לטכנולוגיה מסוימת, כי אם קובע מסגרת כללית, אשר לתוכה ניתן יהיה לשלב גם טכנולוגיות חדשות בעתיד. דבר זה מאפשר גמישות מרבית, ואינו מחייב היצמדות לטכנולוגיה או לשיטה מסוימת בלבד".

לגישה זו, שהיא נכונה מבחינה עקרונית, שתי תוצאות לא רצויות - האחת, אין טכנולוגיה מקובלת אחרת לחתימה אלקטרונית זולת זו הכורכת שימוש בשני מפתחות הצפנה. אם האלגוריתם, המשמש בתהליך החתימה האלקטרונית, אינו חזק דיו, תהיה החתימה ניתנת לפצוח וזיוף בקלות. החוק מתעלם מעניין זה ובהגדירו "אמצעי חתימה" אינו מתייחס לרמת האבטחה שעל האמצעי לקיים. בפני הוועדה המשותפת הדנה בכנסת בנוסח החוק עלתה הצעה לתקן את נוסח סעיף 5(א)(1) להצעה, כך שתיווסף על החתום חובה להשתמש באמצעי חתימה המקנה דרגה סבירה של בטחון לכך שצד שלישי לא יוכל יהיה לשחזר את החתימה.

תוצאה שניה שאינה רצויה נעוצה בעובדה, שהשימוש באמצעי הצפנה בישראל עדין טעון רשיון מאת המנהל הכללי של משרד הבטחון, מכוח צו הפיקוח על מצרכים ושירותים (עיסוק באמצעי הצפנה), תשל"ד - 1974. החוק מתעלם מההצפנה, וממילא מתעלם מן הצורך לתקן את הצו כך שיתיר שימוש בכל אמצעי הצפנה לצרכי זיהוי אישי. בימים אלה פרסם משרד הבטחון מדיניות חדשה האמורה לפתור קושי זה. היא מאשרת את השימוש באמצעי הצפנה לצרכי חתימה. עם זאת, המדיניות לכאורה מנוגדת ללשון הצו, ואין זה ברור מדוע בחרה המדינה ביד אחת לתקן תקנות וביד שניה להודיע כי לא תאכוף הבטים מסוימים שלהן. מוטב היה להורות בחוק חתימה אלקטרונית במלים מפורשות כי על אף האמור בהוראות כל דין, ייבוא אמצעי חתימה או השימוש בו לצורך הפקת חתימה אלקטרונית מאובטחת אינם טעונים רשיון או היתר.

תוקף חתימה

בהצעת החוק שהתפרסמה חסרה הוראה יסודית, שתאמר כי תוקף חתימה אלקטרונית מאובטחת כתוקף חתימה רגילה לכל דבר ועניין. ככלות הכל, זוהי התכלית שנועד החוק להשיג. נוסחו של סעיף כזה יכול שיהיה פשוט למדי - "בכפוף להוראות חוק זה, מסמך שהוא מסר אלקטרוני שנחתם בחתימה אלקטרונית מאובטחת יהיה תקף כאילו נחתם בחתימה רגילה". במקום זאת כוללת ההצעה שלושה סעיפים אופרטיביים, שתוצאתם המצטברת אינה אחידה - לעתים מוקנה למסמך שנחתם בחתימה אלקטרונית מאובטחת מעמד עדיף על זה שנחתם בחתימה רגילה, ולעתים מגבילים את השימוש בחתימה זו:

סעיף 2 מורה, כי אם נדרשה לפי חיקוק חתימתו של אדם על מסמך, תקוים הדרישה לגבי מסמך שהוא מסר אלקטרוני רק באמצעות חתימה אלקטרונית מאובטחת ומאומתת. חתימה מאומתת זו היא חתימה המלווה בתעודה אלקטרונית, המאשרת כי חתימה אלקטרונית מאובטחת היא חתימתו של אדם מסוים (לאמור, כי פלוני, בעל חתימה, הוא אכן מי שהוא טוען שהינו). החוק שותק ביחס למסמכים שאינם טעונים חתימה לפי חיקוק, אולם מכלל ההן נשמע הלאו - על אלה ניתן לחתום גם באמצעות חתימה אלקטרונית מאובטחת שאינה מלווה בתעודה והחוק אינו שולל גם את האפשרות שייחתמו באמצעות מה שדברי ההסבר מכנים "חתימה אלקטרונית פשוטה" (ואשר, למען האמת, כלל אינה חתימה: לדוגמה, ציון פרטי הכותב בשולי מסמך). נפקותה של חתימה פשוטה זו תוסיף להקבע לפי הדינים הקיימים עתה.

סעיף 2(ב) להצעת החוק מורה כי שר המשפטים יכול לקבוע באישור ועדת החוקה, חוק ומשפט של הכנסת, כי במקרים מסוימים לא ניתן יהיה להסתפק בחתימה אלקטרונית מאובטחת ומאומתת. במקרים אלה תידרש איפוא חתימה כפשוטה, על גבי מסמך מודפס. מהם אותם מקרים? דברי ההסבר נוקבים בצוואות, יפויי כוח ומסמכים סחירים. אפשר לחלוקה על הגיונה של רשימה זו. חתימות אלקטרוניות נמצאות כיום, על-פי רוב, על גבי מחשבים אישיים. בעתיד הקרוב היא תיטלטל על גבי כרטיסים חכמים, טלפונים סלולריים וכיו"ב. ברור איפוא שאם על-פי חוק שניים נדרשים לחתום על מסמך זה בנוכחות רעהו (כגון, בתצהירים או בצוואות) - וכל אחד נושא את חתימתו על גבי מחשב אישי המרוחק מזה של חברו - לא ניתן, באופן מעשי, לקיים את דרישות הדין על-ידי חתימה אלקטרונית מאובטחת ומאומתת. אין בה כדי להעיד שהחותם והמאשר היו בצוותא בעת החתימה. שתי חתימות נפרדות רומזות דווקא שהם היו רחוקים זה מזה. אבל מדוע לפסול, מניה וביה, חתימה באמצעות חתימה אלקטרונית מאובטחת ומאומתת על-גבי מסמכים סחירים, לדוגמה? כפי שנראה מיד - בנוסחו הנוכחי של החוק זוהי פסילה במקומה וסיבתה נעוצה בסעיף 4 להצעה.

פלט? מקור!

סעיף 4(א) מורה כי פלט של מסמך שנחתם בחתימה אלקטרונית מאובטחת (כאן, אין צורך לאמת את החתימה בתעודה אלקטרונית), דינו כמקור ולא כהעתק. דברי ההסבר מעידים שהסעיף נועד להתגבר על כלל הראיה הטובה ביותר, המחייב להגיש מקורו של מסמך לבית המשפט. תכליתו להשוות מעמדו של מסמך שנחתם בחתימה אלקטרונית מאובטחת למעמדה של רשומה מוסדית, כמשמעה בפקודת הראיות. זהו אחד משני הסעיפים המקנים למסמך שנחתם באמצעות חתימה אלקטרונית מאובטחת מעמד עדיף על זה של מסמך שנחתם בחתימה רגילה. משרד המשפטים ביקש לייתר את הצורך בהגשת הקובץ האלקטרוני לערכאות, אך בכך יצר מכשלה חדשה - אם פלט שווה למקור, מה יהיה דינם של מסמכים סחירים, כדוגמת תעודות מניה למוכ"ז או שיקים? הדפסה בלבד של כל אחד מהם יוצרת חיוב נפרד ומקנה זכות עצמאית, שהרי הפלט (ההדפס) הוא-הוא המקור! בהבינה זאת הוסיפה הצעת החוק והורתה בסעיף 4(ב), כי שר המשפטים רשאי לקבוע בתוספת השניה סוגים של מסרים אלקטרוניים שלגביהם לא תחול ההוראה כי דין פלט שלהם כדין מקור. דברי ההסבר המתייחסים למסמכים אלה בסעיף 2, יפים איפוא דווקא לסעיף 4 להצעה.

סעיף 3 לחוק קובע כי מסר אלקטרוני שנחתם בחתימה אלקטרונית מאובטחת (שוב, אין צורך שהחתימה תאומת בתעודה) יהיה קביל כראיה לכאורה לכך שהחתימה שייכת לבעל החתימה ושבעל החתימה אישר את תוכן המסר. דברי ההסבר מלמדים כי הסעיף מיועד ליצור חריג לכלל האוסר עדות מפי השמועה בשל הזיקה הברורה שבין בעל החתימה לבין המסמך החתום. כמדומה שיש פער בין המטרה המוצהרת לבין נוסח הסעיף: הוא אינו מורה כיצד תוגש הראיה, ולפיכך - אם ייקרא כפשוטו - אינו פוטר מהצורך להגישה באמצעות מי שיכול לאמתה.

סעיפים 5 ו- 6 קובעים את חובותיו של בעל חתימה: בין השאר הם מורים לו לנקוט את כל האמצעים הסבירים לשמירה על אמצעי החתימה הדרושים להפקת חתימתו למניעת שימוש לרעה בהם. אכן, לצד חוזק קריפטוגרפי בלתי-מספק, גם מכאן עלולה להפתח הרעה: אם בעל חתימה אל שמרה היטב - כדון, שלא אבטח את הגישה אליה באמצעים מספיקים - והיא נגזלה ממנו, תעמוד כנגדו חזקת סעיף 3 לחוק. כל מסמך שייחתם בחתימתו הנגזלת ישמש ראיה לכאורה לכך שנחתם על ידו. ההוכחה כי השליטה בחתימה אבדה או כי נעשה בה שימוש לרעה קשה בהרבה מהמצאת חוות דעת גרפולוגית המעידה על זיוף חתימה שבכתב יד. מוטב איפוא שבעלי חתימה אלקטרונית יקחו את חובתם לפי סעיפים אלה במלוא הרצינות הראויה. אלא שבצד חובה נכונה זו משיתים הסעיפים דרישה חמורה על בעל חתימה: משאבדה השליטה בחתימתו עליו להודיע על כך לכל מי שידוע לו כי הסתמך על חתימתו. כאשר מדובר בחתימתו של יחיד שאינו מרבה לנצלה, ניחא - אך כאשר מדובר, לדוגמה, בתאגיד ענק, קשה לדמיין כיצד יוכל להודיע לכל מי שהסתמך על החתימה כי אבדה לו השליטה בה. בפני נציגי משרד המשפטים הועלתה הצעה ליצור רשימת פקיעה (revocation list), שתנוהל על ידי רשם הגורמים המאשרים. מי שחתימתו נגזלה ידווח לה על כך, ומי שמתבסס על חתימה אלקטרונית יוכל בקלות לבדוק את תוקפה באותה רשימה. ההצעה לא אומצה.

אוקטובר 2000. הכותב הוא נציג לשכת עורכי הדין לועדת הכנסת הדנה בהצעת חוק חתימה אלקטרונית.