Evropská digitální identita: Budování důvěry, nebo narušení soukromí?
Analyzovali jsme nový technický rámec pro evropskou peněženku digitální identity a odhalili závažné nedostatky, které ohrožují soukromí uživatelů.
Překlad původního článku od Epicenter Works
Analyzovali jsme nový technický rámec pro evropskou peněženku digitální identity a odhalili závažné nedostatky, které ohrožují soukromí uživatelů a jsou v rozporu se záměrem nařízení.
Od června 2021 pozorně sledujeme reformu nařízení eIDAS a poskytujeme zákonodárcům četné podklady. V únoru 2024 přijal Parlament EU nařízení eIDAS, které vytváří rámec pro "evropskou digitální peněženku s identitou". Tato digitální peněženka umožní občanům právně závazným způsobem se identifikovat online i offline, podepisovat dokumenty, přihlašovat se na webové stránky a sdílet osobní údaje o sobě s ostatními. Evropská komise nedávno zveřejnila architektonický referenční rámec (ARF) 1.4 pro technickou realizaci peněženky.
Úspěch digitální peněženky EU závisí na tom, zda si dokáže získat důvěru občanů a vytvořit odolnou infrastrukturu v naší současné ekonomice založené na datech. Po naší analýze se však domníváme, že tento cíl nebyl splněn. V ARF vidíme závažné nedostatky, které jsou buď v rozporu s nařízením, nebo ignorují jeho důležité prvky. Pokud by tyto problémy nebyly řešeny, mohly by významně narušit práva uživatelů a jejich soukromí. Naléhavě proto vyzýváme Evropskou komisi, aby tyto zásadní problémy vyřešila:
Údajná pseudonymita
Jedním ze základních aspektů soukromí uživatelů je možnost používat pseudonymy. Nařízení eIDAS dává uživatelům právo používat pseudonymy místo své skutečné identity v situacích, kdy nejsou ze zákona povinni zveřejnit svou skutečnou identitu. ARF však zavádí pojem "poskytovatel pseudonymů", který není v nařízení zmíněn. Tento poskytovatel by mohl potenciálně propojit pseudonymy se skutečnou identitou uživatele. Navrhovaná implementace dokonce umožňuje orgánům činným v trestním řízení zpětně znovu ztotožnit pseudonymy s jejich právní identitou. To nejenže podkopává účel pseudonymity, ale vytváří riziko masového sledování. Zásadní je, že tato zadní vrátka pro sledování se v nařízení eIDAS nenacházejí a dokument, který je podrobně popisuje, se k nám musel dostat v podobě úniku informací.
Žádosti o informace od spoléhající se strany
Podle nařízení eIDAS se spoléhající se strany musí zaregistrovat a specifikovat typy informací, které hodlají od uživatelů požadovat. To má zabránit nadměrným žádostem o údaje a chránit soukromí uživatelů. ARF však tento požadavek dostatečně neprosazuje. Umožňuje spoléhajícím se stranám požadovat informace, které nejsou uvedeny v jejich registraci. Toto nedopatření činí uživatele zranitelnými vůči neoprávněným žádostem o údaje a narušuje důvěru v systém digitální identity. Například při použití peněženky v supermarketu nebo ve veřejné dopravě bychom mohli být požádáni o citlivé zdravotní údaje.
Žádné zrušené transakce v historii
ARF nezahrnuje zrušené transakce do historie transakcí uživatele. Podle čl. 5a odst. 4 písm. d) bodu i) nařízení by historie transakcí měla zahrnovat "všechny vyměněné údaje", což by logicky zahrnovalo i zrušené transakce. Jejich vynecháním je uživatelům odepřen úplný záznam o jejich interakcích, což je pro transparentnost a odpovědnost zásadní. Žádosti o informace, které uživatel odmítne, mohou být těmi nejcitlivějšími.
Žádné standardizované žádosti o vymazání nebo stížnosti
Nařízení předepisuje povinnou funkci v digitální peněžence EU, která umožňuje uživatelům požádat spoléhající se strany o vymazání svých údajů. ARF tuto funkci dostatečně nespecifikuje a ponechává její implementaci na vnitrostátních orgánech, aniž by zajistil standardizovaný přeshraniční proces. Tento nedostatek standardizace by mohl vést k nejednotné ochraně práv uživatelů v různých zemích EU a ztížit uživatelům účinný výkon jejich práv.
Žádná opatření pro nepozorovatelnost a nepropojitelnost
Nepozorovatelnost je klíčovou zásadou ochrany soukromí, která zajišťuje, aby poskytovatelé peněženek nesledovali ani nemonitorovali aktivity uživatelů nad rámec toho, co je pro danou službu nezbytné. ARF se o tomto požadavku nezmiňuje, což potenciálně umožňuje poskytovatelům shromažďovat a zneužívat údaje o tom, jak uživatelé s peněženkou pracují. Toto opomenutí představuje významné riziko pro soukromí a je v rozporu se záměrem nařízení chránit údaje uživatelů.
Stejný problém se týká i nepropojitelnosti. Nařízení vyžaduje, aby peněženka podporovala technologie, které brání zpětnému propojení transakcí s uživatelem. Současný ARF tento standard nesplňuje, protože se spoléhá na technologie, které neposkytují dostatečné záruky nepropojitelnosti. Toto selhání narušuje soukromí uživatelů a není v souladu s požadavky nařízení.
Rizika sledování, která přináší ARF
Znepokojivé je, že ARF zřejmě zavádí prvky dohledu z vlastní iniciativy. Jedním z takových příkladů je koncept poskytovatele pseudonymů, který může propojit pseudonymy se skutečnými identitami. Tento doplněk není v nařízení předepsán a představuje zbytečné a nebezpečné rozšíření možností sledování. Představuje významné ohrožení soukromí uživatelů a je v rozporu s cíli nařízení eIDAS, jimiž je vytvoření důvěryhodného prostředí.
Co je třeba změnit?
Abychom uvedli ARF do souladu s nařízením eIDAS a zajistili solidní ochranu soukromí uživatelů, doporučujeme ve společnosti Epicenter.works následující změny:
Odstranit koncept poskytovatele pseudonymů a zajistit, aby pseudonymy byly generovány a ukládány lokálně bez možnosti zpětného propojení se skutečnými identitami.
Prosazovat přísné požadavky na registraci spoléhající se strany, aby se zabránilo neoprávněným žádostem o informace.
Zahrnout zrušené transakce do historie transakcí, aby byl k dispozici úplný záznam interakcí s uživateli.
Zavést standardizovaný přeshraniční proces pro žádosti o výmaz a stížnosti na ochranu údajů, aby byla zajištěna důsledná ochrana práv uživatelů.
Začlenit opatření pro nepozorovatelnost, aby poskytovatelé peněženek nemohli sledovat aktivity uživatelů.
Přijmout nejmodernější technologie pro zachování soukromí, aby byla zajištěna nepropojitelnost a důkaz nulové znalosti.
Odstranit veškeré prvky dohledu zavedené ARF, které nejsou předepsány nařízením.
Závěr
Ačkoli má eIDAS ARF 1.4 za cíl poskytnout rámec pro evropskou peněženku s digitální identitou, musí být revidován, aby byl v souladu s nařízením a dodržoval nejvyšší standardy ochrany údajů. Stávající návrh zavádí zbytečné prvky dohledu a ohrožuje soukromí uživatelů. Pouze implementací našich zásadních doporučení může peněženka získat důvěru občanů a vytvořit v Evropě bezpečný systém digitální identity respektující soukromí.