נציבת ה-SEC היוצאת נגד חובות זיהוי הלקוח: "ערמות נתונים" שמסכנות את מי שהן אמורות להגן עליו

נציבת ה-SEC היוצאת: חובות זיהוי הלקוח הפכו למערכת מעקב שמסכנת את הציבור

באחד הנאומים האחרונים שלה בתפקיד נציבה ברשות ניירות ערך האמריקנית (SEC) יצאה הסטר פירס נגד אחד היסודות המוסכמים ביותר של הרגולציה הפיננסית: החובה שכל גוף פיננסי יאסוף, יתעד וישמור מידע מזהה מפורט על כל לקוח ולקוח. לפי Decrypt, פירס כינתה את המערך הזה "פנאופטיקון" וטענה שאותן "ערמות נתונים" שהרגולטורים דורשים מסכנות דווקא את האנשים שהן אמורות להגן עליהם. לדברי אותו דיווח, היא הצביעה על דליפות של נתוני זיהוי לקוחות שחשפו מחזיקי מטבעות דיגיטליים לניסיונות התחזות ואף לתקיפות פיזיות.

פירס מזוהה בשיח הציבורי כקול הידידותי לתעשיית הקריפטו בקרב נציבי הרשות, ומכאן שגם הנאום הזה אינו הפתעה מבחינת הכיוון — החידוש הוא בכך שהיא מפנה את הביקורת לא לדיני ניירות ערך אלא למשטר איסור הלבנת ההון עצמו.

פנאופטיקון: מהיכן הגיע הדימוי

המונח שבחרה פירס אינו מקרי. הפנאופטיקון היה תכנון כלא שהציע הפילוסוף ג'רמי בנת'ם: מבנה מעגלי שבו משקיף אחד יכול לראות כל אסיר, בשעה שהאסירים אינם יודעים אם מסתכלים עליהם ברגע נתון. הידיעה שאפשר לצפות בך בכל עת — ולא הצפייה בפועל — היא מה שמשמעת את ההתנהגות. בשיח על פרטיות הפך השם הזה לקיצור דרך לתיאור מערכת שבה המידע על הפרט זמין למי שמנהל אותה כברירת מחדל.

היישום הפיננסי שלו נבנה בהדרגה. חובות "הכר את הלקוח" (KYC) ואיסור הלבנת הון התגבשו בחקיקה האמריקנית והורחבו לאורך השנים, ומהן נגזרה הפרקטיקה המקובלת היום בכל זירת מסחר מפוקחת: צילום תעודה מזהה, אימות כתובת, לעתים סלפי, ושמירה ממושכת של כל אלה במאגרי הספק. הנחת היסוד הייתה שהמידע הזה נועד לרשויות ולא לאיש מלבדן.

הכשל שבריכוז הנתונים

הטענה של פירס, כפי שהיא מוצגת ב-Decrypt, נוגעת בנקודה שקל להחמיץ: הבעיה אינה רק מה הרגולטור עושה עם המידע, אלא עצם קיומו במקום אחד. מאגר שמכיל שם, כתובת, מספר זהות וגם אינדיקציה לכך שאדם מסוים מחזיק נכסים דיגיטליים הוא נכס תקיפה בפני עצמו — בדיוק מפני שהוא מרכז את שלושת הפרטים האלה יחד.

מכאן גם המנגנון של הפגיעה. רשימה שדולפת אינה משמשת להתחזות עיוורת אלא להתחזות מדויקת: הפונה יודע באיזה שירות הנמען אכן רשום, באיזו שפה הוא מתנהל ומהי כתובתו, ולכן הודעה שנשלחת בשם אותו שירות נראית אמינה. הקצה החמור יותר הוא המעבר מן המקלדת אל העולם הפיזי — אותן תקיפות פיזיות שהדיווח מזכיר מתבססות על אותה חוליה: מישהו יודע מי מחזיק ומה כתובתו.

הוכחות אפס-ידיעה כמסלול חלופי

לפי הדיווח, פירס אינה מסתפקת בביקורת אלא מצביעה על כיוון טכנולוגי: הוכחות אפס-ידיעה (zero-knowledge proofs). זו משפחה של שיטות הצפנה שמאפשרות להוכיח שטענה נכונה בלי לחשוף את הנתון שמאחוריה. אדם יכול להוכיח שהוא מעל גיל מסוים, שהוא תושב מדינה מסוימת או שאינו מופיע ברשימת סנקציות — בלי להעביר לצד השני את המסמך עצמו, ובלי שייוצר מאגר חדש שניתן לדלוף.

הטכנולוגיה הזאת אינה תאורטית; היא מיושמת כבר ברשתות בלוקצ'יין לצורכי פרטיות וקיצור חישובים. מה שאין לה הוא מסגרת משפטית שתכיר בה כתחליף מספק לתיעוד הקלאסי, ואף לא תשתית מזהים ממשלתית שתיתן לה על מה להישען. רגולטור שמבקש לבדוק בדיעבד מי ביצע עסקה מסוימת מקבל מן השיטה הזאת תשובה חלקית בלבד, וזה החסם המרכזי בפניה.

נאום, לא כלל חדש

שום דבר במצב המשפטי לא השתנה. פירס היא אחת מבין נציבי הרשות, נאום אינו הליך חקיקה, ובעניין איסור הלבנת הון הסמכות בכלל אינה מרוכזת ב-SEC אלא נפרשת על גופים אחרים ועל החקיקה הפדרלית. חובות הזיהוי שזירות המסחר והבנקים מחילים על לקוחותיהם עומדות במלואן, וכל מי שנרשם לשירות מפוקח יידרש להעביר את אותם מסמכים בדיוק כמו קודם.

המקור שלפנינו גם אינו מציין הצעת נוסח, לוח זמנים או מנגנון שבו הרעיון היה עשוי להיכנס לתוקף — וזו הנקודה הפתוחה המשמעותית. פירס מצויה לקראת סיום כהונתה, ולכן השאלה המעשית היא אם הקו הזה יאומץ על ידי מי שיישאר ברשות, או יישאר בגדר נאום פרידה עיוני. עד שיקרה אחד מן השניים, ההנחה שעל פיה מוטב לנהוג נותרה זהה: כל מסמך מזהה שנמסר לשירות פיננסי הוא מסמך שעלול לצאת משליטתכם, ולא בגלל התנהלות רעה של הספק דווקא.

מקורות: Decrypt

המידע בכתבה נועד להרחבת הדעת בלבד ואינו מהווה ייעוץ השקעות או תחליף לייעוץ מקצועי.