Technologią w epidemię. Co może pójść nie tak?

Ministerstwo Cyfryzacji zapowiada kolejną aplikację do walki z pandemią koronawirusa. Powstająca w błyskawicznym tempie aplikacja ProteGO ma pomóc w kontrolowaniu rozprzestrzeniania się choroby po tym, jak wrócimy do (w miarę) normalnego życia – szkół, pracy i spacerów po parkach. Narzędzie ma opierać się na sieci powiązań między urządzeniami, więc natychmiast pojawiły się pytania o prywatność, bezpieczeństwo, zgodność z prawem i skuteczność. Czy czeka nas zarządzanie społeczeństwem w tzw. modelu chińskim? Czy takie narzędzie może realnie pomóc w walce z pandemią? Co z ochroną prywatności? Czy dane będą bezpieczne? A co, jeśli kolejne narzędzie, wprowadzone jako dobrowolne, zmieni status na obowiązkowe, tak jak zrobiono z aplikacją „Kwarantanna domowa”? Na te pytania próbujemy odpowiedzieć w naszej analizie.

Aplikacja ProteGO ma wykorzystywać technologię Bluetooth do budowania swoistej sieci połączeń pomiędzy użytkownikami telefonów komórkowych. Aplikacja będzie w sposób automatyczny szacować ryzyko zarażenia dla każdego użytkownika na podstawie jego osobistej historii spotkanych urządzeń i zweryfikowanych medycznie przypadków zarażenia koronawirusem z tej sieci społecznej. I przypisywać mu status: zielony („droga wolna”) albo czerwony („kwarantanna!”). 

Polska nie jest ani pierwszym, ani z pewnością ostatnim krajem, który pracuje nad takim rozwiązaniem. Czy można je wdrożyć w sposób bezpieczny dla ludzi i ich prywatności, a zarazem skuteczny? Po czym poznamy, że było warto? I co może pójść nie tak?

1. Czy zmierzamy w kierunku tzw. modelu chińskiego? 

Zachęcając do korzystania z aplikacji w komunikacie opublikowanym na swojej stronie, Ministerstwo Cyfryzacji odwołuje się do poczucia odpowiedzialności społecznej i solidarności. „Aby ten system zadziałał, potrzeba kilku czynników. Po pierwsze – możliwie największej grupy użytkowników. Po drugie – społecznej solidarności i odpowiedzialności. Im więcej osób będzie z niej korzystało, tym więcej osób – w razie ewentualnego ryzyka – będzie świadoma zagrożenia, podejmie odpowiednie kroki, np. zastosuje kwarantannę” – mówi minister cyfryzacji Marek Zagórski. I dalej: „Chcielibyśmy, aby docelowo z aplikacji korzystali wszyscy użytkownicy smartfonów w Polsce. Zdajemy sobie sprawę, że aby tak się stało, potrzeba czasu i zaufania”. 

Minister przedstawia optymistyczny scenariusz, w którym społeczeństwo dobrowolnie angażuje się w walkę z chorobą. Ale jest też drugi, zły scenariusz, w którym aplikacja, wprowadzana jako dobrowolne narzędzie dla odpowiedzialnych obywateli, z czasem po prostu staje się obowiązkowa. Albo w wyniku presji społecznej (jeśli „zielony” status użytkownika aplikacji stanie się przepustką do normalnego, codziennego funkcjonowania), albo w wyniku pospiesznie przyjętych zmian w prawie (dokładnie tak się stało się w przypadku aplikacji „Kwarantanna domowa”). Z powodów, które wyjaśniliśmy w apelu dotyczącym aplikacji „Kwarantanna domowa”, nie wspieramy tego scenariusza: uważamy, że współpracę znaczącej części obywateli skuteczniej osiąga się przez budowanie zaufania do narzędzia i odwoływanie się do ich poczucia odpowiedzialności, a nie poprzez przymus. Mimo to musimy się liczyć z tym, że władza publiczna albo praktyka społeczna pójdą inną drogą.

Taki scenariusz podpowiada też doświadczenie innych krajów, które w walce z pandemią przy pomocy m.in. technologicznych narzędzi są już parę kroków dalej. Pierwszym poligonem doświadczalnym w tej walce były oczywiście Chiny. Chiński system bardzo przypomina założenia ProteGO (choć autorzy polskiej aplikacji za inspirację obrali Singapur). Oparty na sztucznej inteligencji system analizuje lokalizację użytkowników i przydziela im odpowiednią klasyfikację ze względu na ryzyko zachorowania. Główna różnica polega na tym, że w Chinach od tego, jaki kolor pokazuje się w aplikacji, zależy, czy obywatel wejdzie do sklepu i skorzysta z komunikacji miejskiej. Jego status jest też wysyłany innym użytkownikom, a istotne informacje trafiają również na serwery chińskiej policji.

Ryzyko związane ze stosowaniem aplikacji szacujących ryzyko zachorowania można streścić słowami Billa Gatesa, który powiedział, że aby otworzyć granice między krajami, będziemy musieli wprowadzić swego rodzaju cyfrowy certyfikat potwierdzający nabycie odporności na koronawirusa. W istocie to jeszcze wyższy standard niż konieczność udowodnienia, że na swojej drodze w ciągu ostatnich dwóch tygodni nie spotkaliśmy nikogo chorego. Dopóki nie zbudujemy masowej odporności i nie pojawią się skuteczne testy ją potwierdzające, władzom zostaje weryfikowanie, czy podróżujący nie jest chory ani zagrożony chorobą.

2. Czy aplikacja jest nam potrzebna, czyli nasze pytania do epidemiologów

Oczekujemy jednoznacznej i pogłębionej odpowiedzi na pytanie, czy aplikacja taka jak ProteGO może realnie pomóc w walce z pandemią. To pytanie, na które powinni odpowiedzieć epidemiolodzy i współpracujący z nimi eksperci ze świata technologii, i to w oparciu o dane, które może zweryfikować opinia publiczna. Jeśli ten sens jest kwestionowany, bo np. skuteczność narzędzia opiera się na fałszywych założeniach (że wirus przenosi się przede wszystkim w kontakcie osobistym, a nie przez powierzchnie, których ludzie dotykają; że Polacy przeważnie noszą ze sobą telefon, a dodatkowo ten telefon pozwala na ciągłe działanie w tle aplikacji z funkcją Bluetooth etc.), eksperyment należy zakończyć. Od przekonujących odpowiedzi na te pytania zależy, czy – zgodnie z oczekiwania Ministerstwa Cyfryzacji – Polacy będą skłonni wykorzystywać aplikację.

3. Standardy ochrony danych, bezpieczeństwa i przejrzystości

Ze względu na zagrożenia, o których piszemy wyżej, uważamy, że aplikacje śledzące społeczne interakcje w czasie epidemii powinny spełniać najwyższe standardy ochrony prywatności i zabezpieczenia danych. Jednym ze źródeł tych standardów w Unii Europejskiej jest RODO, które wprowadza zasady minimalizacji danych, ograniczenia czasu ich przechowywania i ograniczenia celem. Jednak tym razem sama zgodność z RODO nie wystarczy. Aby zbudować społeczne zaufanie dla takich narzędzi „wysokiego ryzyka”, potrzebna też pełna przejrzystość, otwarty kod aplikacji i publiczna kontrola nad narzędziem. 

Antycypując zapotrzebowanie na narzędzia technologiczne do walki z epidemią, we wspólnym wystąpieniu ponad 70 ekspertów z różnych branż przypomnieliśmy zasady budowania narzędzi zgodnych z RODO i godnych społecznego zaufania. Z podobną inicjatywą wyszedł niemiecki kolektyw Chaos Computer Club, który od 30 lat konsekwentnie pokazuje, jak odpowiedzialnie i etycznie wykorzystywać cyfrowe technologie. Tym razem CCC sformułowało checklistę 10 kryteriów, które powinny spełniać aplikacje śledzące interakcje społeczne w ramach walki z epidemią. Na tej liście jest m.in. wymóg ochrony anonimowości użytkowników i konsekwentnego rozdzielenia danych o historii społecznych interakcji (w tym możliwości zarażenia się) od danych identyfikujących użytkowników (takich jak ich numery telefonów). 

W odpowiedzi na wyraźne zapotrzebowanie na „technologię w walce z pandemią” w marcu wystartowała paneuropejska inicjatywa pod nazwą „Pan-European Privacy-Preserving Proximity Tracing”, w którą zaangażowanych jest kilkanaście renomowanych instytutów badawczych i firm z doświadczeniem w projektowaniu rozwiązań technologicznych. Członkowie grupy, której skład jest otwarty i cały czas się powiększa, to ponad 130 naukowców i praktyków z 8 europejskich krajów, specjalizujących się nie tylko w tematyce bezpieczeństwa (w tym szyfrowania) i ochrony danych osobowych, ale też epidemiologii, psychologii, tworzenia aplikacji i skalowania systemów. Celem tej inicjatywy jest z jednej strony wspólne rozwijanie i promowanie najwyższych standardów projektowania aplikacji do walki z pandemią, a z drugiej – rozwijanie i skalowanie projektów, które te standardy implementują.

Dobrym pomysłem byłoby podpięcie prac nad wydaniem aplikacji ProteGO pod inicjatywę PEPP-PT i tym samym uspokojenie obywateli, że również w przypadku polskiego narzędzia będą zagwarantowane wysokie, europejskie standardy bezpieczeństwa, prywatności i przejrzystości. Wspólne europejskie narzędzie (a co najmniej wspólny europejski standard) może się okazać bardzo potrzebne w czasie, w którym będziemy wracać do normalności i ponownie otworzymy granice. Ze względu na dynamikę epidemii rozsądniej jest założyć, że z tym wyzwaniem ostatecznie będziemy musieli sobie poradzić solidarnie, jako Unia Europejska, a nie jako zamknięte państwa narodowe.

4. A co, gdyby aplikacja miała być obowiązkowa?

Liczymy na to, że tak się w ogóle nie stanie. Ale gdyby w przyszłości ProteGO miało stać się obowiązkowe, legalność narzędzia będzie zależała od tego, czy przejdzie ono konstytucyjny test niezbędności. Oznacza to, że rząd powinien ocenić, czy jest ono niezbędne w demokratycznym państwie prawa, a wyniki tej oceny poddać pod publiczną dyskusję. 

Na test niezbędności składa się ocena:

• czy proponowane rozwiązanie (w tym przypadku aplikacja do śledzenia kontaktów społecznych) jest skuteczne (tj. czy rzeczywiście pomoże we wczesnym wykrywaniu i izolowaniu przynajmniej większości zakażonych osób);
• czy tego samego efektu nie da się osiągnąć w mniej uciążliwy dla obywateli sposób (np. zbierając jeszcze mniej danych albo w ogóle nie korzystając z narzędzi technologicznych).

Przeprowadzając konstytucyjny test niezbędności, rząd musiałby odpowiedzieć na pytania, które zadaliśmy w drugim punkcie. Przy czym stawką byłoby wówczas nie tyle uzyskanie (bądź nie) społecznego zaufania, ile po prostu zgodność z ustawą zasadniczą.

Co więcej, jak na łamach DGP argumentuje dr Paweł Litwiński, na (ewentualnym!) etapie tworzenia przepisów prawa władza będzie też musiała przeprowadzić ocenę skutków dla ochrony danych osobowych. Wymaga tego art. 35 RODO, ponieważ w przypadku narzędzia takiego jak ProteGO mamy do czynienia z „profilowaniem obywateli i to w oparciu o szczególną kategorię danych osobowych, jaką są dane dotyczące zdrowia”.

5. Ocena ProteGO: work in progress

Czy aplikacja ProteGO spełnia europejskie standardy projektowania bezpiecznej, przejrzystej i chroniącej prywatność technologii? W Fundacji Panoptykon nie mamy kompetencji, by samodzielnie zajrzeć w kod aplikacji i ustalić wszystkie istotne parametry. Dlatego polegamy na oficjalnych komunikatach i ustaleniach niezależnych programistów. Liczymy, że w toku tej dyskusji odpowiedzi na kluczowe pytania będą się krystalizować, a w momencie wydania aplikacji przez Ministerstwo Cyfryzacji będą już zupełnie jasne. 

W poniższej tabeli to, co wiemy na temat ProteGO, odnosimy wprost do promowanych przez nas 7 filarów zaufania i dodatkowych wymogów, które sformułował niemiecki Chaos Computer Club. Zastrzegamy jednak, że ta ocena może – i zapewne będzie – ewoluować w miarę postępów w pracach nad aplikacją. 

Opracowanie: Katarzyna Szymielewicz, Wojciech Klicki

Współpraca: Maria Wróblewska, Anna Obem

Ilustracja: Pixabay

Dzięki wsparciu osób prywatnych możemy szybko reagować na pojawiające się propozycje zagrażające wolności. Wpłać darowiznę na konto Fundacji Panoptykon i przekaż 1,5% podatku (KRS: 0000327613).