Článek
Do konce letošního roku má Česko nabídnout občanům evropskou peněženku digitální identity. Nevyplývá to z vládního programu ani z koaliční dohody, ale z evropského nařízení přijatého v roce 2024. Termín je konec roku 2026.
Připravuje to Digitální a informační agentura a půjde o rozšíření aplikace eDoklady, kterou si letos v květnu stáhl milióntý uživatel. Sama existence toho termínu prošla veřejnou debatou skoro bez povšimnutí, což je u infrastruktury tohohle typu chyba.
Řeknu rovnou, jak jsem u toho nařízení hlasoval: proti. Ne kvůli digitální identitě jako takové, ta dává smysl. Kvůli jedné otázce, která zůstala do konce nedořešená a která je obsahem celého tohohle textu. Nařízení prošlo i tak a termín platí, takže se z principiální námitky stala praktická. Pokud se ta věc nedořeší při zavádění, rozhodne se sama a nikdo o tom nebude hlasovat.
Není to aplikace, je to vrstva
Digitální identita se nejčastěji vysvětluje na příkladu občanky v mobilu. To je pravda, ale je to ta nejmenší část.
Peněženka má být způsob, jakým se člověk prokazuje komukoli, kdo to potřebuje: úřadu, bance, půjčovně auta, lékaři, obchodu prodávajícímu alkohol. A má fungovat i přes hranice, takže Čech se má stejnou peněženkou přihlásit u německé banky nebo španělského úřadu. Po konci roku 2027 ji navíc bude muset přijímat řada regulovaných firem, zejména v bankovnictví, telekomunikacích, dopravě a zdravotnictví.
To znamená, že vzniká vrstva, přes kterou půjde velká část ověřování identity v zemi. Tomu se ve světě říká veřejná digitální infrastruktura a platí pro ni něco podobného jako pro vodovod nebo silnici. Když se povede, nikdo si jí nevšimne. Když se pokazí, nemá to náhradu a nedá se z ní odejít.
O infrastruktuře se proto rozhoduje jinak než o aplikaci. U aplikace stačí, že funguje. U infrastruktury je potřeba vědět, kdo ji ovládá, co se stane při jejím výpadku a co se z jejího provozu dá vyčíst o lidech, kteří ji používají.
Otázka, kterou je potřeba položit teď
Existuje technický rozdíl, na kterém tady stojí všechno, a přeložit se dá do jedné otázky: zůstane po každém použití peněženky někde záznam, ze kterého se dá poskládat, kde jste byli a co jste dělali?
Technicky to jde postavit oběma způsoby. Lze navrhnout systém, který o použití nikomu nereferuje a kde ověřující strana zjistí jen to, co potřebuje - třeba že je vám nad osmnáct, aniž by se dozvěděla datum narození nebo vaše jméno. A lze postavit i systém, kde každé ověření nechá stopu, kterou někdo drží.
Rozdíl mezi tím není v tom, jak to vypadá na displeji. Je v návrhu, a když se návrh jednou nasadí do celostátní infrastruktury, nemění se snadno.
Evropské organizace zabývající se digitálními právy na tohle upozorňovaly celou dobu, co se nařízení vyjednávalo, a nemyslím si, že to byla planá poplašná zpráva. Rakouská epicenter.works, která vyjednávání sledovala od začátku, rozebrala technický rámec Evropské komise a napsala, že v té podobě by se z peněženky stal nástroj hromadného sledování. Její výhrada je přitom konkrétní a technická: rámec podle ní nezajišťuje, aby jednotlivá ověření nešla spojit dohromady, a průběžné kontroly platnosti peněženky umožňují sledovat, kdy a kde se používá. Ke stejnému závěru došla i skupina kryptografů. Nemusíme s tou nejsilnější formulací souhlasit, abychom uznali, že se ta otázka odpovídá při návrhu, ne po nasazení.
Mám k tomu blízko z jiné práce. Když jsme v minulém volebním období v Evropském parlamentu psali první verzi aktu o umělé inteligenci, vracela se pořád stejná otázka, a je to přesně tahle: jestli se ochrana soukromí řeší jako nastavení, které si uživatel může někde vypnout, nebo jako vlastnost návrhu. To první není ochrana, to je přenesení odpovědnosti na člověka, který o tom nastavení většinou ani neví. Ochrana je, když ta data vůbec nevzniknou.
Co bych chtěl vědět, než to naběhne
Tři věci, na které má občan právo se zeptat a které se dají zveřejnit, aniž by to komukoli uškodilo.
Vzniká při ověření záznam, a kdo ho drží. Ne obecné ujištění, že „systém splňuje GDPR“, ale odpověď na konkrétní otázku: existuje místo, kde je vidět, že jste peněženku použili u konkrétní firmy v konkrétní čas?
Kdo ověřuje ty, kdo se ptají. Peněženka je jen jedna strana. Druhá je registr subjektů, které si smějí říct o vaše údaje, a pravidlo, že se smějí ptát jen na to, co k dané službě potřebují. U eDokladů je dnes registrovaných bezmála padesát tisíc ověřovatelů, z toho zhruba osm tisíc orgánů veřejné moci. Bez jasných pravidel, kdo se smí na co ptát, je i dobře navržená peněženka jen pohodlnější cesta k vydávání dat.
Co se stane, když to nepoužijete. Papírová a osobní cesta k úřadu musí zůstat funkční, ne formálně existovat a prakticky se nedat využít. To není nostalgie, je to pojistka: ve chvíli, kdy jediná cesta ke státu vede přes jeden systém, stává se z výpadku toho systému vyřazení člověka z občanského života.
To poslední není hypotéza. Při loňských sněmovních volbách, kdy se eDokladem šlo poprvé prokázat ve volební místnosti, se část dokladů nestihla aktualizovat a lidé s tím měli problém přímo u komise. Agentura na to reagovala posílením kapacit, ale plný zátěžový test na ostrém provozu podle ní legislativa neumožňuje. To je přesně ta situace, na kterou má být papírová cesta pojistkou.
Kde se ta debata obvykle zasekne
Nejhorší, co se téhle věci může stát, je, že se debata rozdělí na dva tábory, které se oba míjejí s podstatou. Jeden bude tvrdit, že jde o orwellovský projekt bruselských úředníků, což jsem už slyšel a je to nesmysl, který nikoho neochrání. Druhý bude opakovat, že jde o pohodlí a modernizaci, což je pravda, ale odpověď na otázku o návrhu to není.
Evropská digitální identita je dobrá myšlenka a je to jedna z mála oblastí, kde Evropa staví vlastní infrastrukturu místo toho, aby si přihlašování k službám pronajímala od amerických platforem. Hlasoval jsem proti verzi, která tu otázku o záznamech nechala otevřenou, a prohrál jsem to hlasování. Nařízení dnes platí a ta otázka je pořád otevřená, jen se přesunula o patro níž, do zavádění. Tam se rozhodnout ještě dá.
Odpovědi na ty tři otázky by měly být venku dřív, než systém naběhne.
