צו הפיקוח על מצרכים ושירותים (עיסוק באמצעי הצפנה), התשל"ה-1974 [להלן: צו הצופן] מסדיר את העיסוק באמצעי הצפנה תוך איזון בין צורכי הפרט והתעשיה לבין ההכרח בקיום פיקוח מתאים על תפוצת אמצעי הצפנה, על-מנת שאלו לא יגיעו לידי מדינות המוכרזות כתומכות בטרור, ארגוני טרור וגורמים פליליים וינוצלו למטרות פסולות. על-פי הצו, לא יעסוק אדם באמצעי הצפנה מבלי שיקבל לשם כך רישיון מאת המנהל הכללי של משרד הביטחון.
מהי הצפנה? אכרזת הפיקוח על מצרכים ושירותים (עיסוק באמצעי הצפנה), תשל"ה-1974 [להלן: האכרזה] מגדירה הצפנה כמניעת הבנה של מידע, באופן מוחלט או חלקי, הנעשית על-ידי שינוי של המידע או של דרך העברתו, תוך שימוש בנוסחאות מתמטיות או מתכוני (אלגוריתמי) חישוב (Algorithm), בין באמצעות מפתח ובין בלעדיו, ובדרך שניתן לשחזר בעזרתה את המידע המקורי או חלק ממנו וכן תיאום מפתחות הצפנה.
מהו אמצעי הצפנה? האכרזה מגדירה אמצעי הצפנה ככל אחד מהבאים:
א. "כלי הצפנה" - תוכנה או התקן, לרבות סדרה, חלק, או דגם שלהם, הגורמים, או המיועדים לגרום להצפנה או לפענוח, לרבות אם ההצפנה או הפענוח נעשים באמצעות התקן או תוכנה אחרים.
ב. "מפתח הצפנה" - מידע המשמש בשיטת הצפנה, לצורך הצפנה או פענוח, והעשוי להשתנות.
ג. "רשומה המתייחסת להצפנה" - תיאור בכל דרך, לרבות רישום, שרטוט, תצלום, הקלטה על גבי אמצעי מגנטי או רישום בזיכרון של מערכת מחשב או של התקן אלקטרוני אחר של כלי הצפנה, של שיטת הצפנה, של מפתח הצפנה, של חלק מהם, או של תכונותיהם או של יכולת הביצוע שלהם, בין אם הם קיימים ובין אם לאו.
ד. "שיטת הצפנה" - דרך, תוכנית, נוסחה או מתכון, לביצוע של הצפנה או פענוח.
מהו עיסוק באמצעי הצפנה הטעון רישיון? האכרזה מגדירה "עיסוק באמצעי הצפנה" באופן רחב ביותר הכולל: פיתוח, ייצור, שינוי, הסבה, גזירה, שיפור ביצועים, הוספת תכונות או גריעתן מאמצעי הצפנה אחד לאחר שילוב, רכישה, שימוש, החזקה, העברה ממקום למקום או מיד ליד, ייבוא, הפצה, מכירה או ניהול מו"מ ליצוא בכתב או בע"פ, בכל אמצעי תקשורת וללא קשר לתוצאותיו, או יצוא של אמצעי הצפנה, ייצוא ידע ו/או הדרכה ו/או אימון המתייחס לעיסוק באמצעי הצפנה, לרבות לתאגיד ישראלי שהשליטה בו בידי מי שאינו תושב ישראל.
כלומר, בניגוד למשטרי פיקוח אחרים הנוגעים לטובין דו-שימושיים העוסקים בפיקוח על יצוא ושיווק, הרי שכאשר מדובר בטובין הכוללים רכיבי הצפנה, ואפילו הם מיועדים לתעשיה אזרחית, משטר הפיקוח חל גם על פיתוח, ייצור ואף על החזקה והעברה של המוצר ולא רק על ייבוא, ייצוא, מכירה ושיווק.
מצד שני, מדיניות הפיקוח המוצהרת של משרד הביטחון, מבדילה בין שימוש עצמי באמצעי הצפנה לבין שימוש אחר. "שימוש עצמי" אזרחי לצורכו של אדם מסוים (או חברה, ארגון, עמותה וכדומה), ללא העברת אמצעי ההצפנה לאחר, לא דרוש רשיון עיסוק בהצפנה. כל שימוש אחר כגון פיתוח, הפצה, מכירה וייצוא, מחייב הגשת בקשה לקבלת רישיון עיסוק בהצפנה.
כמו-כן, הרוכש מוצר או אמצעי ההצפנה בישראל מבעל רישיון מכוח צו הצופן למכירה והפצה של אמצעי הצפנה מסחריים או מי ש"הוריד" מרשת האינטרנט מוצר או אמצעי הצפנה לשימוש עצמי, לאבטחת מידע או לחתימה אלקטרונית, אף הוא אינו נדרש לרישיון.
סוגי רשיונות עיסוק ו"אמצעים חופשיים" בצו הצופן נקבעו שלושה סוגי רשיונות של עיסוק באמצעי הצפנה:
- "רישיון מוגבל" - רישיון המטיל מגבלות על העיסוק באמצעי הצפנה. המגבלות יכולות להינתן לעניין סוגי העיסוק המותרים, ואופי המכירות המותרות (הגבלת מכירה למדינות ולמגזרים מסוימים בלבד).
- "רישיון מיוחד" - רישיון לעיסוק ספציפי, בדרך כלל למקרים של מכירה ללקוחות החורגים מההגבלות שניתנו למבקש ברישיון מוגבל.
- "רישיון כללי" - רישיון עבור אמצעי הצפנה מסוים המאפשר עיסוק חופשי באמצעי ההצפנה (למעט פעולות שינוי ושילוב היוצרים למעשה אמצעי הצפנה חדש). מכירת אמצעי הצפנה זה היא חופשית וללא דיווח. תוקפו של רישיון כללי הוא ללא הגבלת זמן.
המבקש רישיון לעיסוק באמצעי הצפנה נדרש להגיש בקשה למשרד הביטחון אשר יקבע איזה מן הרשיונות יוענק למוצר, על-פי נתוני כל מקרה לגופו. חשוב לציין, כי הרישיון מתייחס למוצר ולא לרכיבי ההצפנה הכלולים בו. שילובם של רכיבי ההצפנה במוצר אחר אסור ללא קבלת רישיון חדש.
חשוב לדעת, כי רישיון ליצוא מוצר הכולל רכיבי הצפנה אינו כולל רישיון לייצא ידע וטכנולוגיה של אמצעי הצפנה. אם מדובר בייצוא ידע וטכנולוגיה של אמצעי הצפנה, יש לציין זאת במפורש. למען הסר ספק נציין, כי הסדרת העיסוק באמצעי הצפנה באה להוסיף על כל דרישה אחרת הקבועה בדין, לרבות
קבלת כל היתר או רישיון מכוח חקיקה אחרת.
מהן הסנקציות בגין הפרת הצו? חוק הפיקוח על מצרכים ושירותים תשי"ח-1958, שמכוחו הותקן צו הצופן קובע, בין היתר, כי מי שפעל בעניין הטעון רישיון או היתר ללא רישיון או היתר בני תוקף או הפר תנאי של רישיון או היתר שניתן לו דינו - מאסר שלוש שנים או קנס כספי; ואם נעברה העבירה בנסיבות מחמירות, דינו - מאסר חמש שנים או קנס כספי.
כמו-כן קובע חוק הפיקוח אחריות גם על מנהל פעיל, שותף - למעט שותף מוגבל - או עובד מינהלי בכיר האחראי לאותו תחום, אם לא הוכח שהעבירה נעברה שלא בידיעתו ושנקט כל האמצעים הסבירים להבטחת שמירתו של חוק זה, וכן על מעביד או מרשה אם העבירה נעברה בידי עובד או מורשה במהלך עיסוקו, ואם לא הוכח שהעבירה נעברה שלא בידיעתו ושנקט כל האמצעים הסבירים להבטחת שמירתו של חוק הפיקוח.
אם מדובר בשיווק, ייצוא או העברה של מוצר בעל רכיב הצפנה שחל עליו חוק הפיקוח על ייצוא ביטחוני, התשס"ז-2009, יחולו גם הסנקציות הקבועות בחוק זה, הקובע שלוש שנות מאסר או קנס עד 6 מיליון שקל למבצע פעולת שיווק ו/או ייצוא ביטחוני ללא רישיון או שלא בהתאם לתנאיו. בנסיבות מחמירות, כגון: שיווק או ייצוא של מוצר שסווג בסיווג ביטחוני, או שיווק או ייצוא לאויב, העונש הוא מאסר של עד תשע שנים או קנס עד 40 מיליון שקל.
הרשות מוסמכת גם להטיל קנסות אזרחיים ועיצומים כספיים כחלופה לענישה פלילית בגובה של עד מיליון שקל, בהתחשב בין היתר בעברו הנקי של המפר, ובהתנהלותו בתיקון הליקוי שגרם להפרה ובדיווח יזום על ההפרה.