Jak Piráti s Evropskou komisí tiše podkopali soukromí v celé EU

Během posledních tří let připravila a dovedla ke schválení Evropská komise bez zvláštní pozornosti médií reformu legislativy eIDAS nastolující jednotné digitální identity. Že jde o extrémně široké a vlivné nařízení ohrožující soukromí všech občanů EU, varují odborníci na digitální práva už od prvního návrhu. Peněženkou digitální identity bychom se měli prokazovat místo dokladů, což už se reálně v Česku děje.

Aplikace e-Doklady je výsledkem této legislativy v praxi a pravděpodobně se částečně drží i zatím ještě nedokončeného technologického rámce, jež ve všech svých dokončených fázích vývoje porušuje i to málo, co se podařilo ochráncům práv v legislativě zachránit.

A že toho nebylo mnoho. Většinu bezpečnostních pojistek proti plošnému sledování občanů skrze sběr dat z těchto „digitálních dokladovek“ totiž na poslední chvíli odstranil z návrhu nařízení Ivan Bartoš během českého evropského předsednictví. Stalo se tak poté, co se opakovaně odmítl sejít se zástupci občanské společnosti, ale zato se sešel se zástupci Big Tech, jako je Google a další.

„Ačkoli pochází z Pirátské strany, v tomto případě mnohem více naslouchal Big Techu a opravdu vůbec nenaslouchal zástupcům občanské společnosti,“ sdělil mi Thomas Lohninger, CEO rakouské organizace Epicenter Works, která se účastnila trialogů s Evropskou komisí, Radou a Parlamentem.

Lohninger je také viceprezidentem EDRi – další velké organizace pro ochranu digitálních práv. „Parlament se opravdu vytáhl s ochrannými opatřeními, která přidal, a i v Radě to dlouho vypadalo opravdu dobře. To bylo během francouzského předsednictví na začátku roku 2022. Ale pak to převzala česká vláda s českým předsednictvím a ministr Ivan Bartoš byl zodpovědný za nařízení eIDAS. A já pořád nechápu, co ho k tomu vedlo, ale odstranil všechna bezpečnostní opatření,“ sdělil mi Lohninger během natáčení dokumentární série Digitální (R)evoluce.

Ministr Ivan Bartoš se k dotazům na toto téma, které jsem mu zaslala jménem amerického investigativního deníku Public, který vede člen týmu Twitter Files Michael Shellenberger, dodnes nevyjádřil.

Jeden nástroj vládne všem

“Jeden nástroj vládne všem,” řekl ve své prezentaci Thomas Lohninger. Evropská digitální identifikační peněženka, jejímž zárodkem jsou například právě české e-Doklady, má být “aplikací pro všechno”, která umožní online i offline identifikaci občanů a obyvatel a zároveň umožní ověřit atributy, jako je věk, řidičský průkaz nebo stav očkování.

V jedné aplikaci by tak v budoucnu mělo být uloženo vše od elektronických dokladů, včetně cestovních pasů, kartiček pojištěnce, Lítaček a covid pasů, až po daňová přiznání a přístup k bankovním účtům. Občané EU by mohli tuto peněženku používat při návštěvě lékaře, při cestě autem, letadlem i veřejnou dopravou, při přihlašování na Facebook nebo X, při přihlašování na vládní webové stránky za účelem placení daní či jiných záležitostí, při nakupování online, ubytovávání se v hotelu nebo při placení za nákupy osobně v obchodě formou převodu z účtu či případně formou CBDC eur.

“Návrh byl předložen v červnu 2021, takže pokud si vzpomínáte, bylo to ještě poměrně blízko pandemii Covid-19 a lockdownům, kdy se vše muselo přesunout do digitální podoby. A komisaři Breton a Vestagerová se, myslím, chtěli na té vlně covidu trochu svézt a chtěli navrhnout něco, co se snáze spolkne, když lidé budou ochotněji dělat věci online,” řekl mi Lohninger v rozhovoru na konci loňského roku.

Utajená zadní vrátka

Koncem února letošního roku pak, po téměř třech letech jednání, byla finální podoba nařízení eIDAS Evropským parlamentem přijata. Podle tohoto nařízení musí Komise do šesti měsíců do jeho přijetí oznámit technické specifikace fungování peněženky. Poslední dva roky se tedy v naprostém utajení a za velkého vlivu Big Tech schází skupina zástupců členských států, aby tuto technickou normu připravila.

Dokument, který skupina vypracovala, se nazývá “Referenční rámec architektury” (ARF) a poprvé byl vydán v lednu 2023 jako verze 1.0. Druhá interní verze 1.2 je datována červnem 2023 a “obě se nemohou více lišit od demokraticky dohodnutého právního textu”, uvedl server Epicenter Works.

Poslední verze ARF, kterou Komise nedávno zveřejnila, vzbudila ještě silnější odpor. “V ARF vidíme závažné nedostatky, které jsou buď v rozporu s nařízením, nebo ignorují jeho důležité prvky. Tyto problémy, pokud nebudou řešeny, mohou významně narušit práva uživatelů a jejich soukromí. Naléhavě proto vyzýváme Evropskou komisi, aby tyto kritické obavy vyřešila,” okomentovala stav technologického návrhu budoucí verze e-Dokladů organizace Epicenter Works.

Ochránci soukromí se pozastavili především nad tím, že po zalogování se na sociální sítě pomocí „dokladovky“ by nebylo možné přispívat pseudonymně, protože pseudonymitu má spravovat třetí strana, a ta může tyto údaje bez souhlasu autorů poskytnout orgánům činným v trestním řízení.

Tuto funkcionalitu označili za „zadní vrátka pro sledování“ a upozornili, že tato „vrátka“ nebyla nikdy součástí schválené legislativy a dokument, který je podrobně popisuje, se musel k veřejnosti dostat prostřednictvím úniku informací.

Členské státy EU jsou povinny nabídnout adekvátní aplikaci občanům do srpna 2026 a Komise stanovila cíl, aby ji do roku 2030 používalo 80 % občanů EU. V českém prostředí se jedná o e-Doklady, Francie zavedla obdobnou aplikaci již v roce 2022 a v Rakousku se předchůdce budoucí „dokladovky“ nazvaný ID Austria, rozdává již několik let s každým novým pasem nebo občanským průkazem, pokud se občan výslovně nerozhodne pro jeho odmítnutí.

Nepoužití se netrestá

Dle schválené legislativy eIDAS používání „dokladovek“ není povinné a občané, kteří jejich použití odmítnou, nesmí být žádným způsobem diskriminováni. Každý má tedy možnost svobodné volby používání či nepoužívání e-Dokladů či jiných obdobných aplikací. Nepoužíváním chráníme své soukromí a vyjadřujeme také svůj názor na tuto větev digitální evoluce, která směřuje ke stále většímu sběru a centralizaci dat a ke kontrole státních institucí nad nimi.