הסוגיה המשפטית של החתימה האלקטרונית

בישראל, כמו בשאר מדינות העולם המערבי, על מנת לספק וודאות ובטחון בעולם המסחר המודרני, ועל מנת לתת לחתימה האלקטרונית משקל ראוי, היה צורך בחקיקה. החוק בישראל פותח לאחר שניתנה הדעת לנושא זה כבר במדינות אחרות (בעיקר, ארצות הברית ואירופה), משרד המשפטים סקר ובחן חוקים אלו, כמו את הנושא הטכנולוגי עצמו, במטרה לנסח חוק ראוי.

"בעולם המשפט, מושג החתימה הינו מושג חשוב אשר זכה לפרשנויות שונות בעידן הטכנולוגי המתפתח, ניתן לבצע את החתימה בדרכים שונות מאשר בעבר ולכן מתעורר צורך לעגן את האפשרויות הטכנולוגיות בחקיקה... מטרתו העיקרית של החוק היא להגביר את הוודאות לגבי פעולות המתבצעות באופן אלקטרוני על ידי הבטחת זהותם של החותמים באמצעים אלקטרונים מסוימים, והכרה במעמדם הראייתי של חתימות אלו, חוסר הוודאות מתעורר במיוחד בהתקשרויות דרך רשת האינטרנט אשר הינה רשת תקשורת פתוחה, המתאפיינת בהעדר זיהוי הדדי והעדר קשר ישיר בין הצדדים המתקשרים בעסקה".
עניין החתימה האלקטרונית העלה בעיה של אמון, שהרי כאשר מתבצעת עסקה או כאשר חותמים על מסמך בדרך אלקטרונית אין וודאות לגבי מי שנמצא בצד השני, הבעיה שנוצרת היא, כיצד ניתן לדעת בוודאות כי מי שחותם הוא בוודאות מי שהציג עצמו כחותם?

חוק חתימה אלקטרונית-תשס"א- 2001 שלא כמו חוק המקרקעין נכנס לתוקפו בתאריך 04/10/2001 ובעצם בכללים שקבע מחזק את הוודאות לגבי פעולות משפטיות המתבצעות דרך האינטרנט. החוק נחקק במטרה לסייע בהתאמת עולם המשפט הקיים לעידן התקשורת המקוונת והאינטרנט, חקיקת החוק אמורה להגביר את הוודאות המשפטית בכל הנוגע לעניין החתימה האלקטרונית.

בחוק, המחוקק מציין מספר סוגים של חתימה אלקטרונית:

1. "חתימה אלקטרונית" (ראה הגדרה לעיל) אשר אינה נחשבת לקבילה מבחינת החוק כיוון שאין לגביה כל הגנה (עשיית שינויים במסמך וכד') או דרך זיהוי בוודאות של הצד השני.
2. "חתימה אלקטרונית מאובטחת" (ראה הגדרה לעיל) מדובר בחתימה העומדת בתנאים של החוק, חתימה ייחודית לחותם ולאחר ביצוע החתימה ניתן לזהות כל שינוי שנעשה במסר החתום. חתימה זו קבילה בכל הליך משפטי כראיה לכאורה לזהות החותם ולחתימתו. חתימה זו לא מספקת פתרון לבעיית האמון כאשר מקבל המסר החתום אינו מזהה את החתימה.
3. "חתימה אלקטרונית מאושרת" (ראה הגדרה לעיל) מדובר בחתימה אלקטרונית מאובטחת שנוסף לה גורם שלישי שהוא ה"גורם המאשר" (ראה הגדרה לעיל)  אשר זיהה את החותם והנפיק "תעודה אלקטרונית" שמעידה על זיהוי ומצורפת לחתימה.

בחוק ניתן מעמד מועדף לחתימה אלקטרונית מאושרת על פני חתימה אלקטרונית מאובטחת בכך שהמחוקק מציין כי כאשר נדרשת חתימה אלקטרונית של אדם על מסמך שהוא מסר אלקטרוני,  על פי חיקוק נדרש שהיא תהיה חתימה אלקטרונית מאושרת.
המחוקק מתייחס בחוק גם למעמדו של הפלט מבחינה משפטית ולא רק לעניין ביצוע החתימה על מסרים אלקטרונים, בחוק מצוין כי פלט של מסר אלקטרוני החתום בחתימה אלקטרונית מאובטחת לא ייחשב, בכל הליך משפטי, כהעתק של המסר האלקטרוני שעל בסיסו הופק, אלא כמקור. יש לכך חריגים, לגביהם פלט של מסר אלקטרוני לא ייחשב כמקור, סוגים אלו של מקרים מובאים בתוספת השנייה לחוק, כגון: פסקי דין, שטרות לפי פקודת השטרות וכד'

בחוק נקבע כי ישנם מספר מקרים בהם לא ניתן יהיה לחתום גם באמצעות חתימה אלקטרונית מאושרת אלא בדרך של חתימה ידנית וזאת כאשר מדובר במקרים רגישים שיש להיזהר לוודא כי יש את כל האמצעים לשמר את המסמכים האלקטרונים הללו לפני שמאשרים להם להיות כאלו, כגון: צוואות, הסכמים בנושא המעמד האישי, עסקאות מקרקעין שמלוות במסמכים שאינם אלקטרוניים וכד', קביעה זו בתוספת הראשונה אינה קבועה ויתכן שתשתנה עם השנים כאשר החתימה האלקטרונית המאושרת תצבור תאוצה. כמו כן, יש להדגיש כי ניתן להשתמש בחתימה אלקטרונית רק על מסמכים אלקטרונים ועל כן, במקום שלא ניתן לוותר על מסמכי נייר לא ניתן לאפשר חתימה אלקטרונית.
החוק מלבד קביעת הגדרות מהי כל חתימה, איזה מסוגי החתימות יחשבו לקבילות (חתימה הנדרשת על פי חיקוק), על איזה מסמכים ניתן לחתום בחתימה אלקטרונית ועל איזה לא וכד', קובע אחריות של כל אחד מהגורמים השונים:

החוק מדבר קודם כל על חובות בעל החתימה - מדובר בחתימה אישית של אדם ועל כן נדרשת שמירה על החתימה ומניעת שימוש בחתימה ללא הרשאה בכל האמצעים הדרושים. במידה והתברר לבעל החתימה כי נפגעה שליטתו באמצעי החתימה עליו להודיע זאת לכל מי שסביר להניח שיסתמך על חתימתו בעקבות קשרים שגרתיים או לכל מי שקרוב לודאי יסתמך על חתימתו האלקטרונית . במידה ומדובר בחתימה אלקטרונית מאושרת על בעל החתימה לדווח לגורם המאשר שהנפיק את התעודה האלקטרונית על הפגיעה ולמסור לו את כל המידע הדרוש לגורם המאשר על פי חוק על מנת לבצע את תפקידו.
במידה וקיים בעל אמצעי החתימה האלקטרונית בין מאושרתובין אם לאאת חובותיו על פי הרשום מעלה, לא יהיה אחראי לנזק שנגרם עקב שימוש באמצעי החתימה שלו ללא הרשאתו.

החוק מדבר על האחריות ודרך פעולה של רשם הגורמים המאשרים, הרשם ימונה על ידי שר המשפטים, הרשם יהיה אדם הכשיר להיות שופט בית משפט שלום. הרשם ינהל מרשם שיהיה פתוח לציבור, של הגורמים המאשרים והגורמים המאשרים הזרים.

כל הבקשות לרישום גורם מאשר במרשם יוגשו לרשם, הבקשות יכללו את כל מה שרשום בחוק כגון: פרטים אישיים, מסמכים רלוונטיים במידה ומדובר בתאגיד וכד'.

גורם מאשר ירשם במרשם במידה ועמד בתנאים המצוינים בחוק, לדוגמא: אזרחות ישראלית או תושבות ישראלית, בידי הגורם המאשר מערכות חומרה ותוכנה מהימנות המקנות רמה סבירה של זמינות ואמינות, אסור כי המנהל או הדירקטור המכהן או בעל השליטה בתאגיד כל אלו המועמדים להיות גורם מאשר הורשעו בעבירה (לרבות מי שהוגש נגדו כתב אישום וטרם ניתן פסק דין בעינינו וכד'.

במידה ורואה הרשם כי הגורם המאשר אינו מקיים אחר הוראות החוק, ידרוש הרשם מהגורם המאשר לתקן את העניין, במידה ולא תוקן (תוך מקסימום 60 יום), ימחק הרשם את הגורם המאשר מהמרשם ויפרסם זאת במקומות הרלוונטיים במידה ונוכח הרשם כי מערכת התוכנה או החומרה אינם מקיימים עוד את המצוין בחוק, רשאי להורות לגורם המאשר להתאים לתנאים האמורים בחוק תוך זמן שיקבע מראש, במידה והגורם המאשר אינו מתקן ימחק הרשם להתלות את תוקף רישומו המרשם או למחוק אותו מהמרשם.

החוק נותן לרשם סמכות לפקח על פעולות הגורם המאשר ואף לבצע מעין אכיפה במידה ונראה כי ניתן באמצעות אכיפה זו למנוע מעבר על הוראות החוק או הבטחה של ביצוע הוראות החוק, דוגמא לפעולות אלו: בקשה למסירת מידע ומסמכים לגבי הגורם המאשר, להיכנס לאחר הזדהות למקום בו פועל הגורם המאשר ולערוך בדיקה, חדירה לחומר מחשב והפקת פלט, תנאי לכך שזה יעשה על ידי בעל תפקיד מיומן שיתמנה על ידי הרשם בהתאם לתנאים בחוק, תפיסת כל חפץ אם שוכנע כי הדבר דרוש לשם הבטחת ביצוע החוק או כדי למנוע הפרה של החוק - בחוק יש הוראות מיוחדות הנוגעות לתפיסת חפצים.

החוק מציין את הפעולות שעל הרשם לבצע במידה ונהג על פי סעיף 17 לחוק, לדוגמא: רישום חפצים ומסירת העתק לגורם המאשר, החזרת החפצים לגורם המאשר תתבצע מהר ככל האפשר לא יאוחר מ-15 יום מרגע התפיסה.
החוק מציין כי הרשם רשאי להכיר בגורם מאשר הפועל מחוץ למדינת ישראל ובלבד שעומד בכל התנאים הנדרשים בחוק, דין התעודה שהונפקה על ידי גורם מאשר זר כדין תעודה שהופקה על ידי גורם מאשר רגיל.

פירוט נרחב לגבי פעולת רישום גורם מאשר וניהולו מופיע בתקנות חתימה אלקטרונית (רישום גורם מאשר וניהולו), התשס"א-2001.

החוק מדבר גם על האחריות ודרך הפעולה של הגורם המאשר, גורם מאשר יהיה רשאי להנפיק לאדם המבקש תעודה אלקטרונית המאשרת כי אמצעי אימות חתימה מסוים הוא שלו וזאת רק לאחר שנקט בכל האמצעים הסבירים לזהות את המבקש ואת אמינות הפרטים שמסר.

על הגורם המאשר לנהל מאגר של תעודות אלקטרוניות שהופקו ושבוטלו וכמובן כמו שראינו לעיל על הגורם המאשר להשתמש במערכות חומרה ותוכנה מהימנות.

התעודה האלקטרונית צריכה לכלול פרטים מסוימים המצוינים בחוק, כגון: שם בעל התעודה, מספר תעודת זהות, ציון אופן הזיהוי של בעל התעודה, תוקף התעודה, חתימתו האלקטרונית המאובטחת של הגורם המאשר, מידע בדבר הגבלים שונים שיש לבעל התעודה וכד'.

גורם מאשר יכול לבטל תעודה אלקטרונית במקרים שונים המופיעים בחוק באמצעות עורכי דין , לדוגמא: בקשה של בעל התעודה, פטירת בעל התעודה או פירוק חברה (הפעולה ההפוכה של הקמת חברה), כאשר הגורם המאשר מגלה חוסר מהימנות בפרטים שמסר בעל התעודה, במקרה שהגורם המאשר מוצא פגם בחתימתו שלו או במערכות החומרה והתוכנה שלו וכד'. בכל מקרה של ביטול תעודה אלקטרונית על הגורם המאשר להודיע על ביטול לבעל התעודה וכן לרשום את הביטול במאגר .
בחוק מצוין כי הגורם המאשר לא יהא אחראי לנזק שנגרם על ידי הסתמכות על תעודה אלקטרונית במידה ונקט בכל האמצעים הסבירים לקיום חובותיו על פי החוק.
החוק מסיים בסמכויות שר המשפטים והמדינה (קביעת תנאים מיוחדים נוספים, קביעת תקנות וכד').
חוק חתימה אלקטרונית, התשס"א-2001, חוקק במטרה להגן על המשתמשים בחתימה אלקטרונית, החוק קובע אילו חתימות תהינה קבילות ואילו לא, באילו מערכות יש להשתמש להנפקת תעודות אלקטרוניות, החוק קובע מהם חובותיו, סמכויותיו ואחריותו של כל גורם  במטרה ליצור שלבי פיקוח ובכך למנוע אפשרות לשימוש לרעה בחתימות אלקטרוניות.

כאשר הוחלט במדינה על הצורך בחתימה אלקטרונית במטרה לספק וודאות בעולם המסחר, הוחלט כי יש צורך בחקיקה על מנת לתת את המשקל הראוי לנושא. לפני ההכנה של הצעת החוק ואישורו בכנסת, נסקרו דברי חקיקה במדינות השונות, כגון: ארה"ב, מדינות אירופה (האיחוד האירופי), סינגפור, הונג-קונג וכד'.

בהשוואה לחוק החתימה האלקטרונית הקיים בישראל החלטתי לסקור את חוק החתימה האלקטרונית שקיים באיחוד האירופי:

האיחוד האירופי - EU - עיקר ההנחיות החוקתיות בנושא החתימה האלקטרונית מתבססות על הנחיה 1999/93/EC. מטרתה העיקרית של הנחיה זו לאפשר פעילות תקינה של מדינות האיחוד האירופי בתחום החתימה האלקטרונית על ידי יצירת הרמוניזציה ומסגרת חוקתית זהה.

מטרות החקיקה:

א.      קיום רשת אלקטרונית פתוחה

ב.      קיום סביבה אלקטרונית בטוחה

כל זאת על מנת להבטיח אמינות הנתונים וזיהוי וודאי של שולח הנתונים המקורי. על מנת להבטיח יישום המטרות הנ"ל המדינות החברות באיחוד האירופי צריכות להתחייב להחזיק ב"גורמים מאשרים" משותפים על מנת לאפשר מעבר בטוח והכרה בכל סוגי החתימות בין המדינות השונות.

חקיקת חוקים משותפים שיאפשרו הכרה בספקי השרות הקיימים בין כל המדינות, כלומר, תנאים זהים לבחירת "גורם מאשר" המוכרים בכל מדינות האיחוד האירופי. כמו כן, הנחיות האיחוד האירופי מנסות לבנות תהליך שיאפשר הקלה בנתינת אישורים ל"גורמים מאשרים" שאינם חלק מהאיחוד האירופי.

אחריותם של מדינות האיחוד:

א.      התאמת חוקים ותקנים קודמים להגדרות שמנחים חוקי האיחוד האירופי.

ב.      מדינות האיחוד מחויבות להבטיח מעבר חופשי של מוצרי החתימה האלקטרונית בגבולות האיחוד.

ג.        אסור למדינות האיחוד להגביל את פעולות הגורמים המאשרים ממדינות האיחוד האחרות.

ד.      הגדרות מפורטות ואחידות לגבי אחריותו ופעילותו של ה"גורם המדווח" (בעל אמצעי החתימה) ולגבי ה"גורם המאשר".

לעומת האיחוד האירופי בחוק של מדינת ישראל אין אזכור לגבי תעודות אלקטרוניות שניתנו בחו"ל ומה התוקף והמשמעות שלהם מבחינה משפטית.

באיחוד האירופי החתימה האלקטרונית מתבססת על הגדרה של שתי מפתחות - PKC (Public Key Cryptography) בטכנולוגיית PKI (Public Key Infrastructure).

באיחוד האירופי ישנו שימוש בשני מפתחות לחתימה אלקטרונית, מפתח חתימה - פרטי (Signature Key) ומפתח אישור - ציבור (Verification Key), המפתחות הציבוריים ניתנים רק על ידי גורמים מאשרים שהוכרו ואושרו חוקית בין הגורמים שמתקשרים זה עם זה ומסתמכים על אותה חתימה אלקטרונית. במדינת ישראל יש שימוש גם כן בשני סוגים של מפתחות, מפתח פרטי ומפתח ציבורי רק ששניהם ניתנים על ידי הגורם המאשר שהוכר על ידי המדינה ולא הוסכם רק בין הצדדים, (כאשר מדובר בחתימות בין גופים שהם מחוץ לאיחוד האירופי יש צורך בקבלת אישור מהאיחוד האירופי - EU).

קיימות עדיין בעיות חוקתיות שעולות מכיוון שאין דרישה אחידה לגמרי לגבי הגורמים המאשרים (CA), ועדיין יש צורך בשינויים והתאמות שונות בין המדינות השונות באיחוד האירופי.

באיחוד האירופי הוקם גוף הנקרא EESSI (European Electronic Signature Standardization Initiative) מדובר בגוף הפועל על פי הנחיות של ה-EU ונותן פתרונות טכנולוגיים, יוצר מדיניות ופרוטוקולים וכן, כל מה שקשור לחתימה האלקטרונית לכל האיחוד האירופי. במדינת ישראל מדובר בוועדה המייעצת לרשם, שאמורה לתת פתרונות טכנולוגיים חדשים ולעקוב אחרי ההתפתחות של כל נושא החתימה האלקטרונית בארץ ובעולם.

בחלק ממדינות האיחוד האירופי אין עדיין הסדר חוקתי מלא בנוגע לקבילותה של החתימה האלקטרונית בבית משפט. בחוק במדינת ישראל יש הוראה הקובעת כי חתימה אלקטרונית מאובטחת / מאושרת קבילה בבתי המשפט.