הבנת סוגי הבקשות EPOC ו-EPOC-PR היא חיונית עבור מפעילי שירותים הכפופים לתקנת האיחוד האירופי בנושא ראיות דיגיטליות. תקנת האיחוד האירופי בנושא ראיות דיגיטליות (תקנה 2023/1543) מהווה אחת ההתפתחויות המשמעותיות ביותר בתחום איסוף הראיות הדיגיטליות חוצה הגבולות בתוך האיחוד האירופי. בבסיסה, התקנה מציגה שני מכשירים משפטיים חדשים — תעודת צו הגשה אירופי (EPOC) ותעודת צו שימור אירופי (EPOC-PR) — המאפשרים לרשויות שיפוטיות במדינה חברה אחת באיחוד האירופי לבקש ראיות דיגיטליות ישירות מספקי שירותים הממוקמים במדינה חברה אחרת. עבור מפעילי תקשורת וספקי שירותים אחרים, הבנת ההבדל בין שני המכשירים הללו היא חיונית לבניית תהליכי תגובה העומדים בדרישות הרגולציה.
מאמר זה מציג ניתוח מפורט של EPOC ו-EPOC-PR, ומסביר מה תפקידו של כל מסמך, מי רשאי להנפיק אותם, מה הם דורשים מספקי השירותים, כיצד הם נבדלים זה מזה, וכיצד הם קשורים למסמכים הקיימים יירוט חוקי התחייבויות.
הבנת בקשות EPOC ו-EPOC-PR
ה-EPOC הוא צו המחייב ספק שירות להציג ראיות אלקטרוניות ספציפיות בפני הרשות המנפיקה. זהו המסמך המשמעותי יותר מבין השניים, שכן הוא מחייב גילוי בפועל של הנתונים. ניתן להוציא צווי EPOC עבור נתוני מנויים, נתוני גישה, נתוני עסקאות ונתוני תוכן, עם דרישות אישור שונות בהתאם לקטגוריית הנתונים המבוקשת.
באשר לנתוני מנויים ונתוני גישה — הכוללים פרטי רישום בסיסיים, כתובות IP ויומני חיבור — צו EPOC יכול להינתן על ידי שופט, בית משפט, שופט חוקר או תובע. באשר לנתוני עסקאות ולנתוני תוכן — הכוללים מטא-נתוני תקשורת ותוכן התקשורת עצמו — צו EPOC חייב להיות מונפק או מאושר על ידי שופט או בית משפט, דבר המשקף את ההשפעה הגדולה יותר של קטגוריות נתונים אלה על הפרטיות.
כאשר ספק שירות מקבל צו EPOC, עליו למסור את הנתונים המבוקשים תוך עשרה ימים, או תוך שמונה שעות במקרים דחופים. על הספק להפנות כל התנגדות — כגון שאלות לגבי תוקפו של הצו, היקף הבקשה או ניגודי אינטרסים פוטנציאליים עם החוק במדינתו של הספק — באמצעות תהליך מוגדר שבו מעורבת הרשות האוכפת במדינת החבר של הספק. עם זאת, הספק אינו יכול פשוט לסרב לציית; התקנה קובעת חזקת ציות, עם עילות מוגבלות לסירוב.
תקנת ה-EPOC מהווה שינוי משמעותי מהנהלים המסורתיים של סיוע משפטי הדדי (MLA), המחייבים העברת בקשות דרך רשויות מרכזיות ועיבודן עלול לארוך חודשים ואף שנים. בכך שהיא מאפשרת לרשויות השיפוט להפנות צווים ישירות לספקי השירות, תקנת הראיות האלקטרוניות מקצרת באופן דרמטי את הזמן הנדרש להשגת ראיות דיגיטליות חוצות גבולות. מבחינת ספקי השירות, משמעות הדבר היא שעליהם להיות ערוכים לקבל, לאמת ולהגיב ל-EPOCs בתוך לוחות זמנים קצרים.
תעודת צו השימור האירופי (EPOC-PR)
ה-EPOC-PR הוא צו פחות פולשני המחייב את ספק השירות לשמור ראיות אלקטרוניות ספציפיות עד להגשת בקשה להמצאתן בהמשך. בניגוד ל-EPOC, ה-EPOC-PR אינו מחייב את הספק לחשוף נתונים כלשהם — הוא רק מחייב את הספק להבטיח שהנתונים שצוינו לא יימחקו, לא ישונו ולא יהפכו לבלתי נגישים בדרך אחרת. ה-EPOC-PR משמש כאמצעי זמני המונע אובדן ראיות בזמן שהרשות המנפיקה מכינה צו מסירה או הליך משפטי אחר להשגת הנתונים.
צו EPOC-PR יכול להיות מונפק על ידי מגוון רחב יותר של רשויות מאשר צו EPOC, לרבות תובעים, כמו גם שופטים ובתי משפט. סמכות ההנפקה הרחבה יותר משקפת את ההשפעה המצומצמת יותר של שימור הנתונים על הפרטיות (הנתונים נשמרים אך אינם נחשפים) בהשוואה למסירת הנתונים (הנתונים נחשפים בפועל לרשות המבקשת).
כאשר ספק שירות מקבל בקשת EPOC-PR, עליו לנקוט בצעדים מיידיים לשמירת הנתונים שצוינו. חובת השימור נמשכת 60 ימים, וניתן להאריכה ב-30 ימים אם הרשות המנפיקה מאשרת כי הוגשה בקשת גילוי. אם לא התקבלה בקשת גילוי במהלך תקופת השימור, רשאי הספק לשחרר את הנתונים שנשמרו בהתאם למדיניות השימור הרגילה שלו.
ה-EPOC-PR מועיל במיוחד במצבים שבהם קיים סיכון למחיקת ראיות — למשל, כאשר חשוד מודע לקיומה של חקירה ועשוי לנסות להשמיד ראיות, או כאשר הנתונים צפויים להימחק באופן אוטומטי בהתאם למדיניות שמירת הנתונים של ספק השירות. על ידי הבטחת שימור הנתונים במהירות, ה-EPOC-PR מונע אובדן ראיות, תוך מתן זמן לתהליך האישור הקפדני יותר הנדרש לצורך הוצאת צו גילוי.
ההבדלים העיקריים בין EPOC ל-EPOC-PR
ההבדלים בין EPOC ל-EPOC-PR הם מהותיים ומקיפים מספר מימדים. ההבחנה הבסיסית ביותר היא המטרה: EPOC מחייב הפקה (גילוי) של נתונים, בעוד ש-EPOC-PR מחייב רק שימור (אחסון) של נתונים. ההשפעה של EPOC על הפרטיות גבוהה משמעותית מזו של EPOC-PR, דבר הבא לידי ביטוי בדרישות האישור השונות ובאמצעי ההגנה הפרוצדורליים.
דרישות הרשות המנפיקה שונות בין שני המסמכים. על EPOCs הנוגעים לנתוני עסקאות ותוכן להיות מונפקים או מאושרים על ידי שופט או בית משפט, בעוד ש-EPOC-PRs יכולים להיות מונפקים על ידי תובעים ללא אישור שיפוטי. הבדל זה משקף את עקרון המידתיות — ככל שהאמצעי פולשני יותר, כך נדרשת רמת פיקוח שיפוטי גבוהה יותר.
גם לוחות הזמנים לתגובה שונים. צווי EPOC מחייבים ביצוע תוך עשרה ימים (או שמונה שעות במקרי חירום), בעוד שצווי EPOC-PR מחייבים שימור מיידי, כאשר החובה נמשכת 60 ימים (ניתנת להארכה ל-90 ימים). ה-EPOC-PR נועד לשמש כאמצעי מהיר וזמני, בעוד שה-EPOC הוא צו סופי המחייב ציות מלא.
עילות הסירוב שונות בין שני המסמכים. במקרה של צווי EPOC, לספקי השירות יש עילות מוגבלות אך מוגדרות להגשת התנגדויות, לרבות שאלות בנוגע לחסינות או לזכויות יתר שעשויות לחול על הנתונים המבוקשים, ההשפעה הפוטנציאלית על זכויות יסוד, וניגודי אינטרסים עם החוק במדינת החבר של הספק. במקרה של EPOC-PR, עילות ההתנגדות מוגבלות יותר, דבר המשקף את האופי הפחות פולשני של שימור הנתונים בהשוואה למסירתם.
השלכות על מפעילי טלקומוניקציה
מפעילי תקשורת נמנים עם הגופים בעלי הסיכוי הגבוה ביותר לקבל הן בקשות EPOC והן בקשות EPOC-PR, לאור היקף נתוני המנויים, נתוני התעבורה ונתוני התוכן שברשותם. על המפעילים לבנות תהליכים ומערכות לטיפול בשני סוגי הצווים, לרבות היכולת לקבל ולאמת צווים נכנסים, לזהות את הנתונים הרלוונטיים במערכותיהם, לשמור נתונים בתגובה לצווי EPOC-PR, להפיק נתונים בתגובה לצווי EPOC, לעקוב אחר הסטטוס ולוחות הזמנים של כל צו, ולנהל תיעוד ורישומי ביקורת עבור עמידה בדרישות הרגולטוריות.
זמן התגובה של עשרה ימים עבור EPOCs (ושמונה שעות במקרי חירום) מהווה דרישה תובענית במיוחד. על המפעילים להפעיל תהליכים שיאפשרו זיהוי וחילוץ מהירים של הנתונים המבוקשים, בדיקה על ידי אנשי מקצוע מוסמכים מתחום המשפטים ותאימות, וכן העברה מאובטחת לרשות המבקשת. תהליכים ידניים המסתמכים על פעולות של יחידים עשויים שלא להספיק כדי לעמוד בלוחות הזמנים הללו באופן עקבי, ועל המפעילים לשקול השקעה במערכות אוטומטיות או חצי-אוטומטיות לטיפול בבקשות לראיות אלקטרוניות.
הקשר ליירוט חוקי
חשוב להבחין בין צווי ראיות אלקטרוניות (e-Evidence) לבין יירוט חוקי. יירוט חוקי כרוך בלכידה ובמסירה של תקשורת בזמן אמת, תוך כדי התרחשותה. לעומת זאת, צווי ראיות אלקטרוניות מתייחסים לנתונים מאוחסנים — נתונים שכבר נוצרו ונשמרים בידי ספק השירות. רשות אכיפת חוק (EPOC) רשאית לבקש נתוני תעבורה היסטוריים, רשומות מנויים או תוכן מאוחסן, אך היא אינה מוסמכת לבצע יירוט בזמן אמת.
עם זאת, שתי המסגרות משלימות זו את זו. רשויות אכיפת החוק עשויות להשתמש בצווי ראיות אלקטרוניות כדי להשיג נתונים היסטוריים על דפוסי התקשורת של היעד, ולאחר מכן להשתמש ביירוט חוקי כדי לעקוב אחר התקשורת השוטפת של היעד. על המפעילים להיות מסוגלים לתמוך בשתי המסגרות, באמצעות מערכות ותהליכים מתאימים לכל אחת מהן. ה- שמירת נתונים גם מדיניות המפעיל רלוונטית, שכן זמינות הנתונים ההיסטוריים תלויה במשך הזמן שהמפעיל שומר את קטגוריות הנתונים השונות.
היערכות לעמידה בדרישות בתחום הראיות האלקטרוניות
על המפעילים להתחיל להיערך לקראת עמידה בדרישות בתחום הראיות האלקטרוניות על ידי קביעת נציג משפטי באיחוד האירופי (אם טרם הוקמו במדינה חברה באיחוד) כדי לקבל ולטפל בצווי ראיות אלקטרוניות. עליהן לבחון את מדיניות שמירת הנתונים שלהן כדי להבטיח שקטגוריות הנתונים הנכללות בראיות האלקטרוניות יהיו זמינות למשך תקופות השמירה הנדרשות. כמו כן, עליהן לפתח נהלים פנימיים לקבלת, אימות ותגובה הן ל-EPOC והן ל-EPOC-PR, להכשיר את הצוות הרלוונטי בדבר הדרישות ולוחות הזמנים, וליישם מערכות טכניות שתומכות בזיהוי, שימור וחילוץ מהירים של הנתונים המבוקשים.
סיכום
ה-EPOC וה-EPOC-PR הם שני עמודי התווך של מסגרת הראיות האלקטרוניות של האיחוד האירופי, כאשר כל אחד מהם משרת מטרה נפרדת בתהליך איסוף הראיות חוצה הגבולות. ה-EPOC מחייב את מסירת הנתונים המפורטים, בעוד שה-EPOC-PR מחייב את שימורם. יחד, הם מספקים לרשויות אכיפת החוק מנגנון מהיר וישיר יותר להשגת ראיות דיגיטליות מעבר לגבולות האיחוד האירופי, ומחליפים את תהליך ה-MLA האיטי והמסורבל. עבור מפעילי תקשורת, עמידה בשני המסמכים הללו מחייבת השקעה בתהליכים, במערכות ובכוח אדם מיומן — אך היתרונות של הכנה מוקדמת כוללים עמידה חלקה יותר בדרישות, הפחתת הסיכון הרגולטורי, ויחסים בונים עם רשויות אכיפת החוק, התלויות בשיתוף הפעולה של המפעילים.
תקנת הראיות האלקטרוניות קובעת גם דרישות להקמת מערכת IT מבוזרת, שתקל על העברת צווי ראיות אלקטרוניות בין מדינות החברות לספקי השירות. על המפעילים לעקוב אחר פיתוחה ופריסתה של מערכת זו ולהתכונן לשילוב עמה עם כניסתה לפעולה. מערכת ה-IT נועדה לספק ערוץ מאובטח וסטנדרטי להחלפת צווים ותגובות, ובכך להחליף את שיטות התקשורת האד-הוק ששימשו עד כה. מעורבות מוקדמת בתהליך היישום תסייע למפעילים להימנע מאתגרי תאימות של הרגע האחרון עם כניסת המערכת לפעולה, ותבטיח שתהליכיהם הפנימיים יהיו מותאמים לדרישות הטכניות של התשתית החדשה.
עם כניסתה לתוקף של תקנת האיחוד האירופי בנושא ראיות אלקטרוניות, יגדל באופן משמעותי היקף בקשות ה-EPOC EPOC-PR. על המפעילים להבטיח שתהליכיהם יוכלו לטפל בבקשות ה-EPOC EPOC-PR בתוך לוחות הזמנים הנדרשים.
מאמרים קשורים
לקריאה נוספת בנושאים קשורים, עיין במאמרים הבאים:
- ההבדלים בין ראיות דיגיטליות לבין יירוט חוקי — והנקודות שבהן הם חופפים
- תקנת ה-E-Evidence של האיחוד האירופי: מה על ספקי השירותים לדעת לפני אוגוסט 2026
- חובות שמירה על מידע בתחום התקשורת: מה על המפעילים לשמור ולכמה זמן
משאבים חיצוניים
המשאבים החיצוניים הבאים מספקים מידע רקע נוסף ומסמכים רשמיים:
