Dobré, špatné a ošklivé stránky konečného výsledku velké reformy digitální identity EU

Ochránci digitálních práv zveřejnili dobré, špatné a ošklivé stránky konečného výsledku velké reformy digitální identity EU.

Nov 09, 2023

Po více než dvou letech jednání byla tento týden ve středu 8. listopadu 2023 uzavřena velká reforma digitální identity Evropské unie. Takzvané nařízení eIDAS vytvoří plně harmonizovaný rámec pro právně závaznou identifikaci osob, prokazování atributů o nich a přihlašování k webovým stránkám či aplikacím. Do roku 2026 bude muset všech 27 členských států EU nabídnout svým občanům a obyvatelům tzv. evropskou peněženku s digitální identitou (zkráceně "peněženka"). Velkou změnou je, že tento systém nebude určen pouze pro elektronickou veřejnou správu, ale i soukromý sektor bude moci požádat své zákazníky nebo návštěvníky o informace o sobě. Webové stránky veřejné elektronické správy a velkých technologických společností, jako jsou Google, Facebook nebo Amazon, budou muset peněženku nabízet jako způsob přihlašování ke svým službám.

Od prvního dne jsme byli velmi znepokojeni a hlasitě se vyjadřovali k tomuto návrhu zákona a jeho potenciálu podkopat anonymitu na internetu, scénářům zneužití vůči zranitelným skupinám společnosti a rizikům sledování a špehování. Vydali jsme pět stanovisek, svědčili ve dvou výborech Evropského parlamentu, připravovali pozměňovací návrhy, byli v neustálém kontaktu s legislativci z Parlamentu, Rady a Komise, přednášeli o zákonu na veřejnosti, odpovídali na nekonečné množství žádostí v médiích a zaslali tři otevřené dopisy, z nichž poslední podepsalo více než 400 akademiků a 30 nevládních organizací. K čemu to bylo dobré? Podívejme se na konečné znění.

To dobré

Ochrana před diskriminací

Základním pilířem ochrany svobody volby a začlenění všech skupin do společnosti je ochrana před diskriminací. Ta jde nad rámec dobrovolnosti peněženky, která byla zakotvena již v původním návrhu. Všechny čtyři výbory Evropského parlamentu velkou většinou přijaly, že přístup k veřejným a soukromým službám, přístup na trh práce a svoboda podnikání nesmí být nijak omezeny nebo znevýhodněny pro fyzické nebo právnické osoby, které peněženku nevyužívají. Závěrečné znění zajišťuje, že po každém, kdo se rozhodne peněženku v konkrétní situaci nepoužívat, nelze požadovat, aby platil vyšší cenu nebo byl vyloučen z přístupu k jakékoli službě či zboží. Toto ustanovení bylo jedním z našich hlavních požadavků, aby byly chráněny například osoby bez chytrého telefonu a jejich zapojení do společnosti (starší lidé, děti atd.), stejně jako všichni, jejichž oficiální záznamy neodpovídají jejich skutečné identitě (např. transsexuálové).

Regulace případů použití

Velkou změnou reformy eIDAS je, že peněženku může využívat i soukromý sektor, který může zákazníky, uživatele nebo návštěvníky požádat o jejich osobní údaje. Tyto informace mohou být vydány státem, jako je skutečné jméno, datum narození, stupeň vzdělání, osvědčení o očkování, jízdenky na veřejnou dopravu nebo průkaz potápěče, ale mohou pocházet i ze soukromého sektoru, jako například v programech pro věrnostní poplatky zákazníků nebo v úvěrovém scoringu. V této souvislosti musíme předpokládat nejhorší typy sledovacího kapitalismu a pokusy firem získat důvěryhodné informace o člověku, jejichž předání může být pro něho opravdu škodlivé. Protože jsme si toto riziko uvědomovali realisticky, požadovali jsme, aby informace, které mohou společnosti od lidí požadovat, byly omezeny.

Současné znění zajišťuje, aby se všechny spoléhající se strany zaregistrovaly v zemi, kde jsou usazeny, identifikovaly se kontaktními údaji, poskytly informace o případu použití, pro který chtějí peněženku použít, a konkrétní informace, které chtějí od uživatele požadovat. Peněženka pak omezuje informace, které může spoléhající se strana požadovat, na ty, které jsou uvedeny v její registraci. Pokud se například obchod s alkoholem registruje kvůli ověření věku, nemůže žádat o žádné další informace, které by mohly být v Peněžence, například o informace o zdravotním stavu. Kromě toho musí být seznam registrovaných společností, jejich případů použití a informací, které hodlají požadovat, veřejně dostupný online. Kdykoli je uživatel prostřednictvím Peněženky požádán o předání informací o sobě, nejprve se mu zobrazí identita společnosti, která o informace žádá. Uživatel pak může odmítnout sdílení jednotlivých nebo všech požadovaných informací. Pokud se spoléhající strana chová špatně, může uživatel odvolat souhlas s tím, že má k dispozici jeho údaje, a může si stěžovat u národního regulačního orgánu. To následně může vést k vyřazení společnosti ze systému (viz níže privacy cockpit a forum-shopping).

Jedinečný identifikátor

Původní návrh zahrnoval pořadové číslo pro všechny lidi tím, že nařizoval jedinečný a trvalý identifikátor pro každého. Takové číslo by umožnilo korelovat vše, co uživatel dělá ve všech oblastech společnosti (zdravotnictví, doprava, finance, obchod atd.). Sledování a profilování online i offline by bylo snazší než kdykoli předtím. Práci na tomto souboru jsme zahájili s primárním cílem zabránit tomuto sériovému číslu a zvítězili jsme. Konečné znění již nezmiňuje jedinečný a trvalý identifikátor a dokonce obsahuje další záruky ochrany osobních údajů, které by měly zabránit sledování.

Právo na pseudonymitu

Mnoho lidí potřebuje anonymitu na internetu, aby mohli uplatňovat svá lidská práva, zejména svobodu projevu. Peněženka vytváří technickou infrastrukturu, která by mohla umožnit snadnou a levnou identifikaci každého člověka online i offline v masovém měřítku. V mnoha online interakcích je to přesně to, co by společnosti rády měly: vládou ověřené informace o naší identitě, zejména v reklamě založené na sledování. Konečné znění nařízení eIDAS tomu čelí právem na pseudonymitu. Umožňuje uživatelům používat pseudonym vygenerovaný peněženkou, který se ukládá pouze lokálně. Toto právo však může být omezeno vnitrostátními právními předpisy a právními předpisy EU.

Selektivní zveřejňování, nulová znalost a nepropojitelnost

Když společnost požádá o informace v Peněžence, uživatel může souhlasit s tím, že předá vše, nic nebo "selektivně zveřejní" pouze část toho, o co byl požádán. Peněženka by také měla obsahovat možnost prokázat, že určitý atribut o sobě je pravdivý, aniž by byly odhaleny skutečné základní informace. Tomu se říká "nulová znalost". Příkladem může být prokázání, že je osobě více než 18 let, aniž by bylo odhaleno její datum narození. Bohužel, "zero-knowledge" je požadován pouze od členských států v recitálu, takže nemusí být dostupný ve všech zemích.

Kdykoli společnost nepožaduje identifikaci uživatele, ale pouze určitý atribut o něm, musí to být provedeno tak, aby více důkazů atributů bylo vzájemně "nepropojitelných". "Nespojitelnost" znamená, že několik interakcí se stejnou nebo různými společnostmi nelze spojit dohromady, čímž se zabrání sledování a profilování uživatele. V praxi to znamená, že pokud osoba prokazuje svůj věk peněženkou každou sobotu večer v klubu, digitální záznamy zabrání majiteli klubu poznat, že jde o stejnou osobu, která přichází každý týden. I když obecně je ověřování věku často špatný nápad, tyto techniky zachovávající soukromí alespoň omezují riziko.

Kokpit pro ochranu soukromí

Peněženka bude mít k dispozici úplnou transakční historii všech žádostí o informace, které kdy uživatel obdržel, informace o společnostech, které informace požadovaly, a případně i informace, které s nimi uživatel sdílel. Peněženka navíc bude muset nabízet možnost požádat o vymazání jakýchkoli osobních údajů ze záznamů společnosti a také podat na ně stížnost u vnitrostátního úřadu pro ochranu osobních údajů.

To špatné

Nepozorovatelnost

Největší ostudou této reformy je skutečnost, že neexistují naprosto žádné záruky, které by vládám, které Peněženku poskytují, zabránily sledovat vše, co s ní její uživatelé dělají. Vzhledem k tomu, že tento nástroj lze používat ve všech oblastech života (zdravotnictví, doprava, finance, online atd.), je množství informací, které může vláda o životě lidí získat, na panoptikální úrovni. Uživatelé peněženky by v tomto jediném souboru údajů o tom, jak peněženku používají, mohli najít odraz celého svého života. Tomu bylo možné se zcela vyhnout pomocí technických norem, které zajišťují nepozorovatelnost. Evropský parlament přijal skvělý text, který by přesně toto zajistil. Bohužel konečný text obsahuje velmi široká ustanovení, která vládám umožňují vědět o všem, co uživatel dělá, i bez jeho souhlasu. Je jen otázkou času, kdy budou orgány činné v trestním řízení požadovat přístup k těmto informacím.

To ošklivé

QWACs

Myšlenku, aby byl vlastník názvu domény viditelný ve webovém prohlížeči, zavrhly všechny prohlížeče na světě v roce 2009. V roce 2021 považovala Komise za dobrý nápad donutit celý svět, aby tuto myšlenku "rozšířeného ověřování" z poloviny roku 2000 znovu zavedl pod novým názvem "kvalifikované certifikáty pro ověřování webových stránek (QWAC)". To sice nikdo nebude používat, ale skutečná škoda způsobená tímto systémem spočívá v tom, že každý webový prohlížeč na světě bude nucen důvěřovat kořenovým certifikátům všech evropských poskytovatelů důvěryhodných služeb bez ohledu na to, zda jsou skutečně důvěryhodné, či nikoli.

V reakci na odhalení Edwarda Snowdena o masovém sledování ze strany vlády se podíl šifrovaného webového provozu zvýšil z méně než poloviny na 95 %. Bezpečnost tohoto šifrování závisí na seznamech důvěryhodných certifikátů prohlížečů a vlády po celém světě se opakovaně pokoušely tento systém napadnout. Původním návrhem by EU narušila kompletní důvěryhodnou architekturu celosvětového webu, a i kdyby se zjistilo, že certifikát slouží ke sledování, v zákoně by nebylo nic, co by prohlížeči umožnilo jej vyřadit.

Závěrečný zvrat v tomto příběhu spočívá v tom, že jen několik dní před konečnou dohodou se vyjednavači dohodli na změně textu, která prohlížečům zajišťuje svobodu chránit ověřování domén a šifrování webového provozu způsobem a technologií, kterou považují za nejvhodnější. V praxi to znamená, že prohlížeče budou mít možnost bránit se QWAC, které podkopávají šifrování, tím, že je oddělí od TLS. Můžeme tedy očekávat, že přinejmenším prohlížeče jako Mozilla budou bojovat proti podkopávání důvěryhodné architektury webu. U ostatních, jako je Microsoft, máme menší naději.

Datové tržiště

Některé země v EU si z nevymáhání zákonů EU vůči velkým korporacím udělaly obchodní model. Pokud jde o novou evropskou digitální identitu, irský Facebook nebo společnosti provozující online hazardní hry na Maltě budou podléhat výhradně regulaci svých vnitrostátních orgánů veřejné moci. Zatímco jiné zákony EU, jako je GDPR nebo DSA, se snažily s tímto problémem počítat a pokoušely se o jeho řešení, tento zákon eIDAS se jej ani nesnaží řešit. Když bude irský Facebook najednou po člověku požadovat skutečné jméno, finanční nebo zdravotní údaje, ačkoli to nemá povoleno, nebude se žádná stížnost proti němu pečlivě řešit, protože irský úřad pro ochranu osobních údajů paradoxně považuje za svůj úkol chránit Facebook, a ne naše údaje. Regulační úřady ostatních zemí EU tedy v takových případech nemají možnost vyřadit společnost z ekosystému Wallet, pokud se nachází v některém z těchto bezpečných rájů. Jedinou ochranou proti tomu je: nepoužívat Peněženku ke sdílení údajů, pokud společnost, která údaje požaduje, pochází z některé z těchto zemí.

Bezpečnost a certifikace

Peněženka bude vydána členským státem EU. Tentýž členský stát bude muset jmenovat certifikační orgány, které budou kontrolovat, zda je jeho národní peněženka skutečně bezpečná a v souladu se zákonem. V prvních letech navíc nebude existovat žádný bezpečnostní standard platný pro celou EU, ale pouze národní bezpečnostní certifikační systémy. Tato schémata budou mezi členskými státy projednávána, ale v praxi budeme svědky značně rozdílných úrovní zabezpečení v jednotlivých členských státech, což potenciálně ohrozí mnoho uživatelů. Vnitřní rozhraní peněženky nemusí bezpečnostní certifikaci získat vůbec. Původně měla být peněženka certifikována také v případě, že dodržuje standardy ochrany osobních údajů a GDPR. Protože však členské státy proti tomu úspěšně lobbovaly, je nyní na nich, aby rozhodly, zda jejich národní Peněženka bude certifikována z hlediska souladu s ochranou osobních údajů, či nikoli.

Otevřený zdroj

Programový kód aplikace Peněženka musí být licencován jako open source a musí být k dispozici k veřejné kontrole. Bohužel proti této povinnosti členské státy tvrdě bojovaly a na poslední chvíli ji rozmělnily tak, aby nezahrnovala software vnitřního rozhraní. V současné podobě tak nařízení dává členským státům možnost ponechat zdrojový kód backendu uzavřený z "řádně odůvodněných důvodů, zejména pro účely veřejné bezpečnosti". To nejenže brání veřejné kontrole. Připravuje také veřejnost o obrovský kus softwaru placeného z veřejných peněz, který by - s otevřenou nebo svobodnou licencí - mohl být přínosem pro vývoj nespočtu dalších IT aplikací.

Technické plány

Šest měsíců po přijetí zákona bude muset Komise oznámit technické specifikace toho, jak má peněženka fungovat. Proto se poslední dva roky scházela skupina zástupců členských států v naprostém utajení a za velkého vlivu průmyslových skupin, aby tuto technickou normu připravila. Dokument, který vypracovali, se nazývá "referenční rámec architektury" (ARF) a naposledy byl vydán v lednu 2023 jako verze 1.0. Poslední interní verze 1.2 je z června 2023 a obě nemohly být vzdálenější demokraticky odsouhlasenému právnímu textu: Téměř všechny záruky v právních předpisech, které jsme zde vysvětlili, v ARF chybí. Bez velkého úsilí buď časový harmonogram neobstojí, nebo se peněženka setká s nedůvěrou, protože je v rozporu se zákonem.

Závěr

Na závěr je důležité říci, že bychom si přáli, aby se celé reformě věnovalo více pozornosti. Byli jsme jedinou organizací občanské společnosti, která se eIDAS věnovala, a také naši kolegové z mnohem většího světa ochrany spotřebitele museli tento spis brzy depriorizovat. Na této složité, technické problematice jsme pracovali více než dva roky bez jakéhokoli vyhrazeného financování nebo projektů. Jako hlídací pes se řídíme riziky, kterým můžeme zabránit pro obyvatelstvo, a ne odměnou, kterou bychom mohli získat, nebo povoleními, která nám dávají ostatní. Můžeme to dělat jen díky tomu, že máme více než tisíc podporujících členů, kteří tento boj za svobodu financují svými pravidelnými dary. Zvažte prosím, zda se k nim připojit!

AKTUALIZACE: Ve středu 8. listopadu 2023 se vyjednavači sešli na posledním politickém trialogu a dohodli se na textu, který je základem tohoto blogpostu. Uskuteční se ještě poslední technické jednání, na kterém se vyčistí jazyk, ale zásadní změny v rámci trialogu se neplánují. Hlasování členských států v Radě EU je naplánováno na prosinec 2023 a hlasování Parlamentu ve výboru ITRE na 28. listopadu a na plenárním zasedání v únoru 2024. Změny nakonec závisí na politické většině. V této analýze jsme vycházeli z konečného znění politického trialogu, které se podle našeho očekávání stane zákonem.