איכוני סלולאר בשירות הקורונה: המחיר לפרטיות גבוה – אבל מה בכלל התועלת?

אמל״ק: מעבר לחשש לפגיעה בפרטיות, השימוש באיכונים סלולאריים ע״י השב״כ לסיוע למשרד הבריאות נשמע כאילו מייחסים לו ביצועים הרבה יותר טובים ממה שסביר שיש לו. מהפרסומים האנקדוטליים של השב״כ נשמע שזו שיטה שמצליחה לאתר רק משהו כמו 17% מהחולים (בהשוואה ל33% בחקירות האפידמולוגיות ה״ידניות״), ומציפה גם בערך 90% רעש.

רקע

בשולי שיח הקורונה/פוליטיקה מתרחשת סערה-זוטא סביב השימוש של השב״כ באיכונים סלולאריים לסיוע למשרד הבריאות. עיקר המסגור שיצא לי לראות נוגע בצורך ״למצוא איזון בין השמירה על הציבור לשמירה על זכויות הפרט״ (למשל כאן וכאן). המסגור הזה מניח באופן מובלע שהאיכונים הסלולאריים הם כלי מאוד מוצלח למשימה שהוטלה על השב״כ, ושהשאלה היחידה היא האם הפגיעה העקרונית בפרטיות שווה את התועלת הזו (שאלה שבמנטליות המצור הנוכחי התשובה עליה היא משהו כמו ״פחחחחח ברור שכן, לא שוכחים לרגע את החיים עצמם״).

אני רוצה לנסות להציע מסגור אחר לסוגיה, ולטעון שבעצם איכונים סלולאריים הם על פניו דרך מאוד לא מדויקת לענות על השאלה שהשב״כ כביכול מנסה לענות עליה.

חלק א׳: מה בעצם השאלה שהשב״כ מנסה לענות עליה?

בגדול, כדי למזער את הסכנה לפריצת מגפה (פוסט בעברית עם הסבר מעולה על מודל SEIR של ד״ר רמי פוגץ׳ ודותן גוברמן), מטרת העל היא למנוע מאנשים מדבקים (I) להיות במגע עם אנשים פגיעים (S) כלומר אנשים שעדיין לא פיתחו נוגדנים לנגיף (בהנחה המקובלת: מי שטרם נדבקו בנגיף).

בגלל שאנחנו לא יודעים לבודד ממש רק מדבקים (I), אז נוסיף להם גם את כל החשופים (E) – אנשים שנדבקו בנגיף אך עדיין לא מדביקים אחרים (״תקופת הדגירה״).

תיאורטית, אם היינו יכולים לבדוק היום את כל האוכלוסיה בישראל, למצוא את כל המדבקים (I) והחשופים (E), לבודד אותם למשך כל תקופת הדגירה (~שבועיים), לסגור הרמטית את הגבולות ולנקות את כל המשטחים במדינה – היינו יכולים למנוע בודאות התפרצות של המגיפה ולהפסיק עם מדיניות הריחוק החברתי כבר עכשיו.

לצערנו אין מספיק בדיקות בעולם בשביל תרחיש כזה, מה שאומר שאנחנו נאלצים לפעול בתנאי אי-ודאות בנוגע לשאלה מיהם אותם מדבקים (I) וחשופים (E).

אפשרות תיאורטית אחת כדי להתמודד עם אי הודאות הזו תהיה להניח שכ-ו-ל-ם הם מדבקים (I) או חשופים (E), ולבודד את כל האוכלוסיה. במובנים מסוימים נראה שזה מה שמנסים לעשות, רק שכמובן שמדובר במשהו לא אפשרי: אנשים עדיין מדביקים בתוך הבית, בבתי אבות, וכו׳. אנחנו לא באמת יכולים לבודד את כולם באופן הרמטי לשבועיים.

ואז מה שנשאר זה לנסות להגיע לניחוש הכי טוב בנוגע למיהם אותם מדבקים (I) וחשופים (E) ולבודד רק אותם. וכאן השב״כ נכנס לתמונה. הממשלה הסמיכה את השב״כ (ואני מסתמך כאן על פרופ׳ קרין נהון) ״לקבל, לאסוף ולעבד מידע טכנולוגי בנוגע לתקופה של 14 ימים שלפני אבחונו של חולה, שמטרתה זיהוי נתוני מיקום ונתיבי תנועת החולה וזיהוי אנשים שבאו במגע קרוב עמו, וזאת לצורך איתור מי שהיה עלול להידבק ממנו״. כלומר – אחרי שאנחנו יודעים בודאות שמישהו הוא חולה (ולכן שייך לקבוצת המדבקים (I)) – אנחנו רוצים לזהות את כל מי שאולי נדבק ממנו והפך להיות חשוף (E) כדי שיכנס לבידוד, וגם כדי לבדוק הם הוא אכן נדבק. 

אגב, חשוב לשים לב שבשלב הזה לא נעשה שימוש בשב״כ כדי לוודא אכיפה של בידוד שאנשים מחויבים בו – זו סמכות שלפחות כרגע נמצאת בידי המשטרה (בין היתר עלה בדיון בנושא בפני ועדת החוץ והבטחון של הכנסת – הנה הפרוטוקול).

חלק ב׳: כמה איכוני סלולאר הם טובים כדי לזהות אנשים שבאו במגע קרוב עם חולה?

אוקי, אז אנחנו יודעים שמישהו הוא בודאות חולה ולכן מדבק (I). עכשיו נסתכל על כל האיכונים הסלולאריים שלו מהשבועיים האחרונים, ונבדוק מי עוד התאכן בסמיכות אליו – באותו המרחב ובאותו הזמן. עד כמה זו שיטה טובה כדי לזהות מגע שאולי הוביל להדבקה? צריך לחשוב כאן על שני סוגי ״פספוסים״ אפשריים: False Negatives (בדיקת האיכונים תפספס מפגשי הדבקה שקרו) ו-False Positives (בדיקת האיכונים תייצר ״רעש״, ותחשיד אנשים כמודבקים למרות שהם לא באמת נדבקו). 

תרחישים לדוגמא ל-False Negative – ״פספוס״ מפגשים שהתקיימו

קודם כל, אנחנו מניחים שיש לחולה טלפון נייד. בהנחה שאכן יש לו נייד, מטבע הדברים נוכל לזהות רק אנשים שהוא היה בקרבתם כשגם להם היה נייד (ולכן סביר פחות שנצליח לזהות, למשל, ילדים, הומלסים, וכו׳ף וכנראה שגם סוגי מפגשים מסוימים כמו בבית הכנסת בשבת). 

חוץ מזה, בטח עכשיו כשיש מודעות לנושא – אנשים יכולים לבחור לצאת מהבית בלי נייד כדי לא ״להתגלות״, מה שיגרום לפספוס במקרה שהם ידבקו, וגם במקרה שהם ידביקו.

בנוסף, חשוב לזכור שאיכונים סלולאריים הם משהו שמתבצע ונרשם ברמת המפעיל הסלולארי, לא ברמת המכשיר/המשתמש הבודד. כדי לנהל את המשאבים של רשתות הסלולאר – האיכון לא מתבצע בצורה שוטפת, אלא רק בהנתן טריגרים מסוימים (כמו הוצאת/קבלת שיחה) או באופן עתי, כשיכולות לעבור מספר שעות בין איכונים. הנה למשל מישהו שמדבר על ספקי סלולאר בארה״ב שמוודא את האיכונים אחת ל-8 שעות. זה אומר שגם בבדיקה בדיעבד המדגם שיש לנו בנוגע לאיכון הסלולארי של אדם הוא רק אחת ל… זה אומר שגם מפגש של שעתיים בין שני אנשים עשוי להתפספס על ידי הצלבה של איכונים שלהם – ולפי משרד הבריאות אנחנו מתעניינים גם במפגשים בני 15 דקות.

תרחישים לדוגמא ל-False Positive – ״זיהוי״ מפגשים שלא התקיימו באמת

אבל נניח שאנחנו מקבלים את ההטיות האלו – מה נוכל להגיד על מפגשים בין אנשים שהיה עליהם טלפון נייד בזמן המפגש? באופן גס, הדיוק של איכון סלולאר משתנה ותלוי בצפיפות התאים, ובסוג הטכנולוגיה (דור 2 / דור 3 / דור 4). יכול לנוע ממאות מטרים ואפילו קילומטרים, עד מטרים בודדים.  באזורים כפריים ומעוטי אנטנות, הדיוק צפוי להיות נמוך יותר, ובאזורים עירוניים צפופי אנטנות גבוה יותר.

כמה הבדל יש בין אזורים גאוגרפיים שונים בהקשר הזה? אנקדוטלית, מתוך מפת האנטנות הסלולאריות הפעילות באתר המפות הממשלתי: באזור רוטשילד בתל אביב יש כ-90 אנטנות סלולאריות, ובשטח גאוגרפי דומה בראשל״צ – 8 אנטנות סלולאריות, בכפר קאסם – 3. חשוב לציין בהקשר הזה, שכתלות בגורמים כמו טופוגרפיה (ואדיות, וכו׳) – הנייד לא בהכרח יאוכן באנטנה הקרובה אליו ביותר

כלומר, זיהוי ״מפגש״ מאיכונים סלולאריים יכול להגיד, למשל, שהייה בבתים מרוחקים לגמרי בכפר קאסם, בשתי קומות נפרדות של כל-בו שלום, או בשני חדרים שונים לגמרי באותה הקומה.

 

אנטנות סלולאריות באזור רוטשילד בתל אביב

אנטנות סלולאריות באזור רוטשילד, תל אביב

אנטנות סלולאריות באזור דומה בראשון לציוןאנטנות סלולאריות באזור דומה בראשל״צ

אנטנות סלולאריות באזור דומה בכפר קאסםאנטנות סלולאריות באזור דומה בכפר קאסם

כמה טובה השיטה של השב״כ בפועל?

מטבע הדברים אנשי השב״כ מודעים להיבטים האלו, ויש להם גישה טובה יותר לפרטים עצמם כדי לעשות חקר ביצועים לשיטת הפעולה הזו. בהודעה לתקשורת הארגון פרסם שהוא הצליח לאתר 500 חולים (True Positives). באופן מצער, לא פורסם מה מספר האנשים שאותרו אך בדיעבד התגלו כלא חולים (False Positives) או מספר האנשים שהתגלו כחולים אך לא אותרו ע״י השב״כ (False Negatives).

מה שכן, ההודעה של השב״כ פורסמה ב-26 במרץ, והתייחסה ״לשבועיים האחרונים״. בשבועיים שבין ה-13 ל-26 במרץ (ע״פ נתוני הבדיקות שמפרסם משרד הבריאות) התגלו בישראל 2877 חולים חדשים. כלומר השיטה של השב״כ פספסה 2377 חולים. מן הסתם לא כולם הגיעו מהדבקות מחולה מאומת, אבל מצד שני כנראה שגם יש חולים רבים (במצב קל, אסימפטומטי) שהם עדיין לא בגדר חולים מאומתים. מדד ה-Recall (כמה מתוך החולים הצלחנו לתפוס), אם להשתמש באופן נאיבי בנתונים שיש בידינו, הוא 500/2877 = 17%.

בדו״ח שהודלף בנושא ״הבטחת הבלימה ובטחת שלב היציאה״ שהוכן ע״י צוות המומחים להתמודדות עם הקורונה במינוי המל״ל (זה שבועדה שלו לא היו נשים או אפידמולוגים) מדובר בעמוד 11 על recall של 30%. למרבה הצער הדו״ח לא כולל פירוט על המתודולוגיה של החישוב הנ״ל.

חלק מדו״ח המל״ל שהודלף

חלק מדו״ח המל״ל

בעדות בנושא בפני ועדת החוץ והבטחון של הכנסת (פרוטוקול) פרופ׳ סדצקי טענה שבחכמה שבדיעבד, עד ה-23 במרץ החקירות האפידמולוגיות ה״ידניות״ הצליחו להגיע רק ל33% מהאנשים שהיו במגע עם חולים. למשל, בגלל שאנשים לא יודעים להגיד מי נסע איתם באוטובוס ולכן חקירה אפידמולוגית ״ידנית״ לא יכולה לעלות על זה.

לא ברור 33% מתוך מה, בגלל שעצם הבעיה היא שאין לנו דרך לייצר מאגר אמין של ״כל מי שבאמת היה במגע עם חולים בשבועיים האחרונים״ (אני חושד שפרופ׳ סדצקי מניחה בתיאור הנ״ל שנתוני השב״כ עצמם הם ״האמת״ שצריך להשוות מולה).

מטבע הדברים לא נכון להשוות recall של חולים ל-recall של כל מי שעמד במגע עם חולה. ועדיין, מעניין לראות שהשיטה הידנית הגיעה ל-recall כמעט גדול פי 2 משיטת האיכונים של השב״כ. השיטה הידנית, חשוב להדגיש, הרבה פחות סקיילבילית, ולכן דורשת עוד ועוד משאבים ככל שמספר החולים עולה (מה שלא נכון בנוגע לשיטה הממוכנת).

באשר ל-False Positives קשה יותר להעריך. בהנחה שלכל אחד מהחולים בשבועיים האלו זוהו בממוצע 2 אנשים שהיה להם איכון סלולארי משותף איתם (ובהתעלם מאנשים שאולי נדבקו מיותר מחולה אחד), הרי שהשב״כ ״זיהה״ סדר גודל של 2377*2 = 4754 ״פוטנציאליים״ במהלך השבועיים האלו. מדד ה-Precision אם ככה (כמה מתוך מי שתפסנו באמת חולה) הוא כ-10% – והרבה ממי שהוצף כחשוד בהדבקות הוא בעצם לא חולה.

האם גם אנשי משרד הבריאות מודעים למגבלות של האיכונים הסלולאריים?

אנשי משרד הבריאות חד משמעית מודעים לחלק מהבעיות במידע, וזה משמח מאוד. מהעדות של מנכ״ל משרד הבריאות בפני ועדת החוץ והביטחון (אותו הפרוטוקול) עולה שהמשרד בחן מספר כלים – אזרחיים, ושל המשטרה – ושהטכנולוגיה של השב״כ הייתה הטובה ביותר במיצוי איכונים סלולאריים וצמצום לשטח קטן ככל האפשר.

גם עולה מהדברים שמשרד הבריאות עובר איכשהו על הצלבות כדי להרים דגל על הצלבות שנראות ״לא הגיוניות״ (אך לא ברור באיזו שיטה ועל פי אילו קריטריונים). אגב, מעניין לציין בהקשר הזה שבשל הצורך להגן על פרטיות של החולים המאומתים – החשודים כנדבקים לא מקבלים מידע על מי החולה או איפה הם היו כשהם ״נדבקו״ (הנה סמס לדוגמא). זה אומר שכחשוד אין לך יכולת לבדוק אם ההצלבה ש״החשידה״ אותך הגיונית או לא (למשל: אם אתה יודע שלא היית במכולת באותו יום, ואתה פשוט גר קרוב אליה).

פרופ׳ חגי לוין, יושב-ראש איגוד הרופאים לבריאות הציבור של ההסתדרות הרפואית העלה נקודות מעניינות רבות ברוח זו לקראת סוף הדיון, כך שללא ספק יש קולות כאלו בממסד הרפואי.

מהצד השני – לא עלו שאלות כמו אילו הטיות יש בכלי, מה הביצועים הצפויים מהשימוש בו לזיהוי שרשראות הדבקה בקרב המגזר הערבי, החרדי, בפריפריה, ביו״ש, בקרב ילדים, בבתי אבות, וכו׳.

חלק ג׳: אז מה אפשר לעשות יותר טוב?

קודם כל, וזה כנראה theme של התמודדות עם הקורונה – אנחנו צריכים להכיר בזה שאנחנו פועלים ומקבלים החלטות בסביבה שיש בה המון אי ודאות.

בראש ובראשונה זה אומר שכולנו צריכים לעקוב אחרי המלצות הריחוק החברתי – להימנע משהייה בקרבת אנשים, לשטוף ידיים, ללבוש מסיכה, וכו׳.

דבר שני – לא להתלהב מטכנולוגיה רק כי היא קיימת. אם הביצועים של חקירות אפידמולוגיות ״ידניות״ באמת יותר טובים, אז אולי צריך למצוא דרך לתקצב יותר כח אדם לבצע אותן? אולי ע״י גיוס כ״א מצה״ל? אולי לשפר את אופן ניהול המידע והידע בנוגע לחקירות אפידמולוגיות כדי להפוך אותן לסקיילביליות יותר?

אולי אפשר להשתמש במידע פחות מדויק, שיעורר פחות רגישות בנוגע לשיתוף שלו – ואז להסביר לאנשים כשפונים אליהם למה הם חשודים כנדבקים ככה שהם יוכלו להפעיל את שיקול דעתם? בסופו של דבר צריך לזכור שהמשימה היא לא רק ״למצוא״ אנשים שאולי נדבקו, אלא גם לתקשר עבורם כמה הם בסיכון.

בנוסף צריך לשקול את האפשרות שאכיפה טובה יותר של הסגר הכללי מייתרת את הצורך בscaling up של היכולת לזהות שרשראות הדבקה. עקרונית, אם כולם ישארו בבית / יודאו שהם לא מתקרבים 2 מטר לאף בן אדם – לא תהיינה שרשראות הדבקה לזהות.

ברמה הטכנולוגית בכל זאת – אפשר להשתמש בטכנולוגיית GPS שמאפשרת מיקום מדויק יותר. משרד הבריאות אפילו פיתח אפליקציה מגניבה בשם ״המגן״ שמבצעת את הצלבת הנתונים על המכשיר שלך (ולא מצריכה מעורבות של השב״כ). האפליקציה הזו, בניגוד לאיכונים סלולריים, היא opt-in. נכון לכתיבת שורות אלו יש לה למעלה ממליון הורדות בחנות של גוגל (נתון מעודד!). יכול להיות שהמדינה צריכה להשקיע יותר בעידוד אנשים להוריד את האפליקציה הזו, אם החשש הוא משיעור השתתפות נמוך מדי. 

יש גם יוזמות (כולל DP^3T שהיא בקוד פתוח, ושת״פ בין גוגל לאפל) לשימוש בבלוטות׳ כדי לעקוב אחרי אנשים שהיינו בקרבתם, בלי קשר למיקום שלנו. בדומה לאיכוני ה-GPS, גם כאן הבדיקה נעשית ברמת המכשיר, ולא באופן מרוכז על ידי המדינה. יש לזה יתרונות לא מבוטלים, והחסרון המרכזי הוא שזה דורש לגרום לאנשים לעשות בחירה אקטיבית לקחת חלק במאמץ (בניגוד לאיכוני הסלולאר ש״קורים מעצמם״).

מעניין לראות שלעת עתה נראה שהכיוון העיקרי שבו משקיעות מדינות אחרות בעולם הוא זה – אפליקציות שמבצעות את ההצלבות (המדויקות יותר) ברמת המכשיר, ודורשות opt-in מצד האזרחים. בהנתן שיתוף פעולה מצד האוכלוסיה – מדובר לא רק בפתרון ששומר טוב יותר על הפרטיות, אלא גם בפתרון שצפויים לו ביצועים טובים יותר (ובהחלט לא מושלמים) בזיהוי שרשראות הדבקה.

בשורה התחתונה

לצד הביקורת על הפגיעה בפרטיות שבשימוש באיכוני סלולאר לזיהוי שרשראות הדבקה – חשוב לזכור שכנראה גם מדובר בכלי שלא מאוד משרת את המטרה שאליה הוא נועד ממילא. זה לא שהוא חסר ערך לחלוטין, כנראה שיש בו תועלת כלשהי. אבל ההתייחסות לסוגיה כצורך למצוא איזון בין ״הזכות לפרטיות״ לבין פתרון טכנולוגי ״שובר שוויון״ שמשנה את היכולת לזהות שרשראות הדבקה ככה״נ חוטא לביצועים האמיתיים ומעריך הערכת יתר את תרומת הכלי הזה למאמץ הלאומי.

בפודקאסט של מכון טיורינג, המכון הלאומי הבריטי לדאטה סיינס, העלו לאחרונה פרק על הקורונה. בין היתר נטען בו שבסינגפור נעשה שימוש במעקב אחרי הוצאות כסף מכספומטים כחלק מהנסיון לעקוב אחרי שרשאות הדבקה. מה הקשר בין כספומטים לבין מציאת שרשראות הדבקה? מחפשים אנשים ששהו יחד באותו הכספומט? אולי. ואולי זה גם רצון לעשות שימוש במידע ״כי הוא כבר שם״, גם אם הוא לא ממש מתאים למשימה הזו.

בשיקולי העלות-תועלת של הוספת הכלי של איכונים סלולאריים לארסנל הכלים הקיים בידי משרד הבריאות, חשוב להבין מה הערך המוסף האמיתי שלו על פני כלים אחרים בזיהוי שרשראות הדבקה – הן ברמת הטכנולוגיה והן ברמת המדיניות.

שלמי תודה

תודה לכל מי שייעץ בנושא בימים האחרונים ועזר לטייב את הטקסט!

שאוט אאוט מיוחד לקלרטה טרגר, צחי דוידי, עומר קורן, ואיתמר מושקין

פוסט זה פורסם בקטגוריה Uncategorized. אפשר להגיע ישירות לפוסט זה עם קישור ישיר.

2 תגובות על איכוני סלולאר בשירות הקורונה: המחיר לפרטיות גבוה – אבל מה בכלל התועלת?

  1. רוני ה. הגיב:

    כדאי לעדכן שממחקרים ראשוניים עולה שהאנשים מדביקים בעיקר סביב זמן הופעת הסימפטומים ושכחמישים אחוז מההדבקות נעשות *לפני* הופעת הסימפטומים הראשונים.

  2. פינגבאק: » 🕵️ השב”כ בכלל יכול על הקורונה? 🐱‍💻 סייברסייבר ע02פ26

להשאיר תגובה

הזינו את פרטיכם בטופס, או לחצו על אחד מהאייקונים כדי להשתמש בחשבון קיים:

הלוגו של WordPress.com

אתה מגיב באמצעות חשבון WordPress.com שלך. לצאת מהמערכת /  לשנות )

תמונת גוגל

אתה מגיב באמצעות חשבון Google שלך. לצאת מהמערכת /  לשנות )

תמונת Twitter

אתה מגיב באמצעות חשבון Twitter שלך. לצאת מהמערכת /  לשנות )

תמונת Facebook

אתה מגיב באמצעות חשבון Facebook שלך. לצאת מהמערכת /  לשנות )

מתחבר ל-%s