החיסיון המקצועי בעידן הדיגיטלי

בעיה שכמעט איש אינו רואה

עורך דין מקבל לטלפון שלו מסמך רגיש מלקוח. רופא דן עם עמית באבחנה רגישה, בעוד פסיכולוג מתאם טיפול של מטופל עם פסיכיאטר. ויועץ מס שולח באותו ערוץ נתונים של הצהרה הממתינה לבדיקה. כולם עושים זאת באמצעות מסרים מיידיים. וכמעט אף אחד מהם לא עוצר לחשוב היכן באמת מסתיימות ההודעות הללו.

התשובה, ברוב המקרים, היא זהה: בשרת שאיש המקצוע אינו שולט בו, במדינה שאת החקיקה שלה הוא לא בהכרח מכיר, המנוהל על ידי חברה שהמודל העסקי שלה הוא, במונחים כלכליים ישירים, צבירת נתונים. ייתכן שההודעה מוצפנת במעבר. אך ברגע שהיא מגיעה לשרת, היא עותק המאוחסן בתשתית של צד שלישי, בכפוף להחלטות התפעוליות, המשפטיות והמסחריות של אותו צד שלישי. לא של איש המקצוע.

מה אומרת החקיקה

תקנת הגנת הנתונים הכללית האירופית (GDPR) היא חד-משמעית בסעיף 32 שלה: כל מי שמעבד נתונים אישיים חייב ליישם אמצעים טכניים וארגוניים "מתאימים" כדי להבטיח רמת אבטחה התואמת את הסיכון. התאמת האמצעים אינה נמדדת לפי "מה שהאפליקציה טוענת שהיא עושה", אלא לפי הסיכון האמיתי. אם נתוני לקוח מגיעים לשרת שסמכות השיפוט שלו אינה מבטיחה רמת הגנה המקבילה לזו של האזור הכלכלי האירופי, בעל השליטה בנתונים – כלומר איש המקצוע – לוקח סיכון שכנראה אינו מודע לו לחלוטין.

וזה לא רק ה-GDPR. החיסיון המקצועי, המוסדר באופן ספציפי עבור עורכי דין, רופאים, פסיכולוגים, רואי חשבון, עיתונאים ואחרים, דורש שהתקשורת עם הלקוח תהיה סודית. לא "סודית ככל האפשר". סודית ללא סייג. אם הערוץ הטכני שבו משתמשים אינו יכול להבטיח זאת, איש המקצוע לוקח סיכון שכללי האתיקה של המקצוע שלו אינם מתירים לו לקחת.

הפרדוקס הוא שהסיכון הוא בלתי נראה. אף אחד לא מבצע ביקורת על ההודעות במשרד. אף אחד לא מבקש את הסכם עיבוד הנתונים מספק הצ'אט. הסיכון מתגלה רק כשכבר מאוחר מדי: הדלפה, פרצת אבטחה שפורסמה, צו בית משפט שבוצע ביבשת אחרת ללא הודעה למשתמש.

מה איש מקצוע צריך מבחינה טכנית

מה שאדם בעל חובת חיסיון צריך הוא למעשה פשוט באופן מפתיע מנקודת המבט של הדרישות:

• ערוץ שבו ההודעות עוברות ישירות מהמכשיר של השולח למכשיר של המקבל, מבלי לעבור דרך שרת ביניים השומר עותקים.
• תשתית שסמכות השיפוט והמדיניות שלה תואמות את ה-GDPR מעצם תכנונה, ולא באמצעות הצהרה.
• דרך להזדהות מול בן השיח מבלי צורך למסור לצד שלישי אנשי קשר מקצועיים (שמות לקוחות, מספרי טלפון, ספר כתובות).
• מערכת ניתנת לאימות – שאינה מבוססת על המילה של הספק – לאישור שההודעה הגיעה לאדם הנכון.

זו אינה רשימה תובענית. זה למעשה מה שנחשב למובן מאליו בתקשורת המקצועית הקדם-דיגיטלית. מכתב רשום עמד בכל הקריטריונים הללו. שיחת טלפון ממרכזיית המשרד לזו של הלקוח גם כן. הדבר המוזר אינו שהערבויות הללו נדרשות היום: הדבר המוזר הוא שהן אבדו במעבר לערוץ הדיגיטלי, מבלי שאיש שם לב.

ההבדל בין להצפין לבין לא לשמור

יש מטפורה מועילה. להצפין הודעה ולשמור אותה בשרת שווה ערך להנחת מסמך בכספת והשארת הכספת בביתו של זר. הכספת טובה. את המסמך עקרונית לא ניתן לקרוא. אבל המסמך עדיין נמצא בבית של מישהו אחר. ואותו מישהו יכול לקבל צו בית משפט, לסבול מהתקפת סייבר, לשנות את תנאי השירות שלו, להירכש על ידי חברה אחרת עם אתיקה אחרת, או להיעלם מחר.

החלופה המבנית, שאינה תהליכית או מבוססת על אמון, היא שהמסמך לעולם אינו עוזב את המשרד. שהוא נוסע ישירות משולחנו של איש המקצוע לשולחנו של הלקוח, מבלי לעבור דרך מתווך כלשהו. זה בדיוק מה שעושה תקשורת נקודה לנקודה (P2P) בין מכשירים מבחינה טכנית: היא מסלקת את המתווך. המתווך אינו רע כשלעצמו: במקרה של חיסיון מקצועי, הוא פשוט מיותר. וכל מה שמיותר, בכל מערכת השואפת להיות מאובטחת, יש לסלק כעיקרון.

שאלת האחריות

בסופו של דבר, השאלה שכל איש מקצוע עם חובת חיסיון צריך להיות מסוגל לענות עליה ב"כן" נחרץ היא הבאה:

אם מחר תודלף שיחה עם אחד הלקוחות שלי ובית משפט או לשכה מקצועית ישאלו אותי איך אני מנהל את הסודיות, האם אוכל להוכיח טכנית שהערוץ שבו השתמשתי אינו שומר עותקים בתשתית של צדדים שלישיים? האם אוכל להוכיח שהנתונים לעולם לא עזבו את המכשירים של שני האנשים המעורבים בשיחה? האם אוכל, מבלי להסתמך על המילה של חברה מיבשת אחרת, להוכיח שהסודיות הייתה מובטחת על ידי הארכיטקטורה ולא על ידי הבטחה?

אם התשובה היא לא, אין זו בעיה של הכלי הספציפי: אלא שהואצלה לו אחריות שהוא לא תוכנן עבורה. זה כמו להכניס תיקים חסויים למעטפה שקופה ולסמוך על כך שהדוור לא יסתכל.

הכלי שבו בוחר איש מקצוע כדי לתקשר עם הלקוחות שלו אומר הרבה על האופן שבו הוא מעריך את האמון שלהם. ישנם כלים שתוכננו כך שהאמון הזה לא יהיה תלוי בהבטחות, אלא בארכיטקטורה. וישנם כלים שלא. הכרת ההבדל היא חלק מהעבודה.