חברת NSO חויבה בפיצויים בסך 168 מיליון דולר ל- WhatsApp: מהן ההשלכות על חברות ישראליות?

בתחילת חודש מאי פסק בית המשפט הפדרלי במחוז הצפוני של קליפורניה כי חברת NSO הישראלית תשלם 168 מיליון דולר ל -WhatsApp  שבבעלות מטא (הבעלים של פייסבוק, ווטסאפ, אינסטגרם ועוד). מדובר בפסק דין תקדימי שמעורר שאלות עקרוניות בנוגע לסמכות שיפוט אמריקאית כלפי חברות זרות, ביניהן חברות ישראליות הפועלות בארצות הברית, ולרגולציה על ייצוא טכנולוגיות ביטחוניות.

הרקע

NSO היא יצרנית של תוכנת פגסוס. התוכנה יכולה  לחדור למכשירים ניידים – בין היתר דרך הוואטסאפ, ולעקוב אחר פעילות המשתמש. לטענת החברה, לקוחותיה הם בעיקר גופי אכיפה ממשלתיים הפועלים נגד פשיעה חמורה. עם זאת, לפי טענות מצד פעילי זכויות אדם, התוכנה שימשה לא פעם משטרים דיקטטוריים אשר ביקשו לרגל אחר מתנגדי משטר. על רקע זה, בשנת 2021 נכללהNSO  ברשימת הישויות המוגבלות של משרד המסחר האמריקאי.

התביעה הוגשה לאחר שורה של פסיקות של בתי משפט בארצות הברית שדחו תביעות של תובעים שהטלפונים שלהם נפרצו, בטענה שבית המשפט בארצות הברית אינו הפורום המתאים לדון בתביעות אלו כיוון שלא מדובר באזרחים אמריקאים, והפריצות לא בוצעו על אדמת ארצות הברית.

המשמעות: מערכת המשפט האמריקאית משדרת מסר ברור –גם גופים הפועלים מחוץ לתחומי ארה״ב יישאו באחריות אם יפגעו באמצעים טכנולוגיים בחברות אמריקאיות.

הטענות

לפני כשש שנים הגישה חברת ווטסאפ תביעה נגד חברת NSO בגין 1400 פריצות לטלפונים סלולריים אשר לכאורה בוצעו באמצעות תוכנת פגסוס ותוך שימוש בשרתים של חברת ווטסאפ בקליפורניה. ווטסאפ טענה כי NSO הפרה את החקיקה הפדראלית ואת חוקי קליפורניה האוסרים השגת מידע מוגן ממחשבים תוך גישה לא מאושרת אליהם. כמו כן טענה ווטסאפ כי NSO הפרה את תנאי השימוש שלה.

NSO טענה שורה של טענות הגנה, בין היתר, כי לבית המשפט הפדראלי אין סמכות שיפוט היות ולא נעשה שימוש מכוון בשרתים המצויים בארצות הברית. כמו כן טענה כי על פי החקיקה הרלוונטית זכות התביעה תלויה בכך שהגישה הלא מאושרת נעשתה לאותו המחשב ממנו נלקח המידע. במקרה של NSO, הגישה הלא מאושרת הייתה לשרתים של ווטסאפ, אך המידע נלקח ממכשירים של משתמשי הקצה. כמו כן טענה NSO כי הלקוחות הם האחראים לפריצה, וכי בפועל לווטסאפ לא נגרם כל נזק.

פסק הדין החלקי בשאלת האחריות

עוד ב-20 בדצמבר פסק בית המשפט הפדרלי פסק דין חלקי ובו קיבל את עמדתה של ווטסאפ בעניין האחריות. הפסיקה כללה דיון קצר בלבד בסוגיות האחריות שהועלו על ידי התובעת. עיקר הפסיקה נובעת מכך שבית המשפט פסק ש-NSO לא עמדה בחובות הגילוי שלה. על-פי החלטת בית המשפט היה על הנתבעת לספק לתובעת את קוד המקור של תוכנת פגסוס. לטענת NSO – ההוראות של משרד הביטחון מנעו ממנה להעביר את קוד המקור מחוץ לישראל, ולמי שאינו אזרח ישראלי. במקום זאת הציעה NSO כי גישה לעורכי הדין הישראלים של ווטסאפ לקוד המקור, או כי ווטסאפ תבקש אישור ממשרד הביטחון לייצא את התוכנה לשם הדיון המשפטי. בית המשפט דחה את טענותיה והצעתה של NSO כבלתי מעשית, וקבע כי היא הפרה את צווי הגילוי שניתנו על ידי בית המשפט.

בשל כך הטיל בית המשפט על NSO “סנקציות ראייתיות”:- ובהן קביעה כי טענות  ווטסאפ שניתן היה להוכיח באמצעות קוד המקור של פגסוס התקבלו כנכונות. בהתאם לכך,  קבע בית המשפט כי יש לו סמכות שיפוט היות ולטענת ווטסאפ התוכנה השתמשה בשרתים בקליפורניה. כמו כן קיבל בית המשפט את טענת ווטסאפ כי NSO עשתה שימוש במידע שהוצא משרתים שלה לצורך פריצה למכשירים נוספים.

ממילא, קבע בית המשפט כי אין צורך במשפט בפני מושבעים על מנת לקבוע את אחריותה של NSO, וכי השאלה היחידה בה יש צורך בהחלטה על ידי מושבעים היא היקף הנזק.

פסק הדין

בפסק הדין קבעו המושבעים כי הנזק שנגרם לווטסאפ כתוצאה מהפריצה היא בשיעור של פחות מחצי מיליון דולר. עם זאת, המושבעים הטילו על NSO פיצויים עונשים בשיעור של יותר מ 167 מיליון דולר. כפי הנראה, הטלת הפיצויים העונשיים נבעה בעיקר מהעדויות שנשמעו בבית המשפט על כך שתוכנת פגסוס היוותה כלי מרכזי בהפרה של זכויות אדם על ידי משטרים שונים ברחבי העולם.

חברת NSO צפויה לערער על פסק הדין לבית המשפט הפדראלי לערעורים.

השלכות פסק הדין

הפיצויים שהוטלו על NSO לשלם, אם לא יבוטלו בערעור, משמעותיים ביותר. הנזק שנגרם לווטסאפ היה זניח יחסית. יותר מ -99% מהפיצויים הם פיצויים עונשיים. במילים אחרות, בית המשפט בארצות הברית פסק כי יש לו סמכות שיפוט בתביעה כנגד חברה ישראלית, רק בשל נזק עקיף וזניח יחסית שנגרם בארצות הברית. אך משעה שנקבע שיש סמכות לבית המשפט בארצות הברית, מעשיה של NSO נבחנו בהקשר הכולל, ולא רק בהקשר הנזק הספציפי שנגרם.

תעשיית הסייבר ההתקפי הישראלי הייתה אחד מהתחומים הדינאמיים ביותר בקרב מגזר ההייטק הישראל בעשור הקודם. אלא שבכמה מקרים נחשף כי חברות אלו פעלו תוך פגיעה בפרטיות, הפרת חוק במדינות שונות, וסיוע לממשלות בדיכוי התנגדות – תופעות שגררו בין היתר  סנקציות על אותן חברות.

פסק דין זה ממחיש את החשיפה הגוברת של חברות סייבר ישראליות לתביעות אזרחיות בארה”ב, אשר עשויות להוביל לפסיקות בסכומי עתק. גם כאשר הלקוח הוא מדינה לגיטימית, עצם השימוש שנעשה במוצר למטרות השנויות במחלוקת עלול לחשוף את החברה לתביעה – ולהוביל ל”אפקט מצנן” בפעילותה הבינלאומית .נקודה נוספת שיש לתת לה תשומת הלב היא שאלת הפעילות של החברות המפוקחות על-ידי משרד הביטחון – אגף הפיקוח על היצוא הבטחוני במשרד הביטחון מפקח על ייצוא של מוצרים ביטחוניים למדינות זרות, וכל ייצוא כזה דורש רישיון. ככל שמדובר במוצרי תוכנה, מעלה פסק הדין בעניין NSO שאלות בדבר היכולת של משרד הביטחון לשלוט בייצוא של תוכנות, ובדבר יכולתן של חברות ישראליות להגן על עצמן מפני תביעות בהעדר אישור כזה.

פעילות הכרוכה בייצוא של מוצרים שיש להם שימושים ביטחוניים למדינות אחרות כרוכה, אם כן, בשאלת משפטיות משמעותיות, ויש להיעזר בייעוץ משפטי לפני פעילות בינלאומית בתחום זה.  

***

פרופ’ עמיחי כהן הוא יועץ מיוחד למשפט הבינלאומי במשרד.

מחלקת משפט בינלאומי במשרד מתמחה במתן ייעוץ ללקוחות בנושאים הקשורים לסחר בינלאומי, ביטחון לאומי, משפט חוקתי ישראלי, משפט פלילי בינלאומי ויישום הדין הבינלאומי במערכת המשפט הישראלית.