Ko otrok ne odgovori: kako bi QEI lahko tišino spremenil v signal za pomoč

Otrok odide v šolo, na izlet, tabor, trening ali potovanje. Ob prihodu z enim pritiskom potrdi: »V redu sem.« Kaj pa, če potrditve ni? Kaj če ne more poklicati? Kaj če mu nekdo odvzame telefon ali zaščitno napravo? V okviru pobude QEI – Quantized Encrypted Identity pri Inštitutu 1. april razvijamo koncept, pri katerem bi lahko prav odsotnost pričakovanega signala postala razlog za varnostno preverjanje – brez potrebe po stalnem spremljanju otroka.

Ko en pritisk pomeni: »V redu sem«

Pri zaščiti otrok tehnologija pogosto poskuša odgovoriti na vprašanje, kako otroka spremljati.

Pri QEI želimo vprašanje obrniti:

Kako otroku omogočiti, da lahko preprosto potrdi, da je varen – in kako pravočasno zaznati, ko te potrditve ni?

Predstavljajmo si otroka, ki gre na šolski izlet.

Pred odhodom se na njegovi zaščiteni napravi oziroma QEI Child Key aktivira začasni varnostni način:

QEI SAFE TRIP

Določi se pričakovano časovno okno prihoda. Ko otrok varno prispe, mu ni treba pošiljati lokacije, fotografij ali drugih osebnih podatkov.

Pritisne samo:

I’M SAFE – V REDU SEM

Sistem prejme potrditev in varnostni dogodek se zaključi.

Če je vse v redu, sistem ne potrebuje ničesar več.

dokazati potrebno lastnost z najmanjšim možnim razkritjem osebnih podatkov.

“Če je vse v redu, zadostuje en pritisk. Če odgovora ni, se začne preverjanje.”
— Inštitut 1. april

Kaj pa, če otrok ne pritisne gumba?

Manjkajoča potrditev sama po sebi še ne pomeni nevarnosti.

Otrok je lahko pozabil.

Naprava ima lahko prazno baterijo.

Avtobus lahko zamuja.

Lahko ni mobilnega signala.

Zato QEI ne bi smel avtomatično sprožiti intervencije samo zato, ker je otrok zamudil eno potrditev.

Namesto tega bi se začel stopnjevan varnostni postopek.

1. SAFE CHECK
Sistem zazna, da pričakovana potrditev ni bila prejeta.

2. PONOVNI POZIV
Otrok prejme diskreten poziv za potrditev.

3. LOST CONTACT
Če odgovora še vedno ni, sistem poskuša preveriti stanje zaščitne naprave.

4. SAFETY LOCATION MODE
Če so izpolnjeni vnaprej določeni varnostni pogoji, se lahko aktivira lociranje naprave.

5. PRESENCE CHECK
Najdba naprave še ne pomeni najdbe otroka. Potrebno je preveriti, ali je otrok dejansko skupaj z napravo.

6. ZAŠČITNI ODZIV
Če otrokove varnosti ni mogoče potrditi, se primer skladno z vnaprej določenim protokolom preda pooblaščeni osebi oziroma pristojni službi.

Ko tišina postane signal

Najpomembnejši del koncepta je lahko prav tisto, česar otrok ne naredi.

Otrok v nevarnosti morda ne more telefonirati.

Morda ne more napisati sporočila.

Morda ga nekdo opazuje.

Morda mu je nekdo odvzel telefon.

Morda ne more niti varno pritisniti SOS-gumba.

Zato raziskujemo tudi koncept:

QEI SILENT ALERT

Če je bil predhodno aktiviran zaščitni način in otrok v dogovorjenem časovnem obdobju ne opravi pričakovanega Safe Checka, lahko odsotnost potrditve sproži varnostni postopek.

To pomeni, da bi imel otrok dve poti do pomoči:

aktivno: otrok pritisne SOS oziroma Panic Trigger;

pasivno: pričakovane varnostne potrditve ni.

V določenih okoliščinah bi lahko prav tišina pomenila:

»Preverite, ali sem varen.«

QEI Child SOS – neposredni gumb za pomoč

QEI Child Key bi lahko imel tudi namenski zaščitni gumb:

QEI CHILD SOS

Če otrok zazna nevarnost, bi lahko z daljšim ali posebej določenim pritiskom sprožil kriptografsko potrjen signal.

Poenostavljeno:

QEI CHILD KEY → SOS → VERIFIED DISTRESS SIGNAL → AUTHORIZED RESPONSE

Otroku v nevarnosti ne bi bilo treba iskati telefonske številke ali razlagati položaja v trenutku, ko tega morda ne more storiti.

Signal bi pomenil:

»Preverjena zaščitena naprava je sprožila zahtevo za pomoč.«

Ne bi pa avtomatično pomenil, da je bilo kaznivo dejanje že ugotovljeno. O dejanskem stanju morajo presojati ljudje in pristojne institucije.

Kaj če otroku napravo odvzamejo?

To je eden najpomembnejših scenarijev.

Zaščitni sistem ne sme biti zasnovan tako, da ga lahko potencialni povzročitelj nevarnosti izključi preprosto tako, da otroku vzame telefon ali ključek.

Če je Safe Trip oziroma drug zaščitni način že aktiviran, odvzem naprave ne bi izbrisal pričakovanega naslednjega Safe Checka.

Če otrok potrditve ne opravi, se lahko sproži Lost Contact postopek.

Sistem bi tako lahko zaznal:

pričakovani Safe Check ni bil opravljen → naprava se ne odziva → potrebno je dodatno preverjanje.

To je bistvena razlika med navadnim SOS-gumbom in širšim QEI Child Protection konceptom.

GPS – vendar ne kot stalni nadzor otroka

Pri otroku, s katerim je izgubljen stik, postane lokacija lahko življenjsko pomemben podatek.

Zato bi moral QEI Child Protection raziskati tudi možnost GPS oziroma drugega ustreznega lociranja zaščitne naprave.

Toda meja mora biti jasna.

Cilj ne sme biti ustvarjanje 24-urnega zemljevida otrokovega življenja.

V običajnem stanju:

SAFE STATUS: OK
GPS SAFETY ACCESS: OFF

Ob upravičenem varnostnem dogodku:

CHECK-IN MISSED
CONTACT LOST
SAFETY PROTOCOL ACTIVATED
LOCATION ACCESS: AUTHORIZED

Tako bi bila lokacija uporabljena zaradi konkretnega zaščitnega razloga in po vnaprej določenih pravilih, ne kot privzeto sredstvo stalnega nadzora.

Pri tehnični zasnovi bi bilo treba natančno določiti, kdaj se lociranje lahko aktivira, kdo ga lahko vidi, koliko časa so podatki dostopni in kdaj se izbrišejo.

Našli smo napravo. Toda ali smo našli otroka?

To je ključna varnostna razlika.

Lokacija QEI Child Key ni nujno lokacija otroka.

Otrok je lahko napravo izgubil.

Lahko jo je pustil na avtobusu.

Lahko mu jo je nekdo odvzel.

Nekdo jo je lahko odvrgel.

Naprava lahko ostane na enem mestu, otrok pa je drugje.

Zato QEI ne bi smel nikoli zaključiti:

DEVICE FOUND = CHILD FOUND

Potrebna bi bila naslednja stopnja:

QEI PRESENCE CHECK

Sistem oziroma pristojna oseba bi morala potrditi:

DEVICE LOCATION VERIFIED

in posebej:

CHILD PRESENCE VERIFIED / NOT VERIFIED

Način takšnega preverjanja bi moral biti predmet strokovne in tehnične presoje. Lahko bi šlo za lokalno preverjanje uporabnika, drug zaščiten element, zaupanja vredno institucionalno točko ali neposredno fizično preverjanje.

Če je naprava najdena, otroka pa ni:

CHILD PRESENCE NOT VERIFIED → HIGHER SAFETY RESPONSE

To bi bil bistveno pomembnejši podatek od same GPS-koordinate.

Kaj če otrok nima več svoje naprave?

Odvzem ene naprave ne bi smel pomeniti odvzema otrokove možnosti za pomoč.

Zato bi moral širši koncept omogočati tudi alternativne zaupanja vredne točke.

Otrok bi lahko pomoč sprožil prek ustrezno zaščitenega sistema v šoli, zdravstveni ustanovi, centru za socialno delo, policiji ali drugi pooblaščeni točki.

Osnovno načelo bi bilo:

Napravo je mogoče odvzeti. Pravice otroka do pomoči ne bi smelo biti mogoče odvzeti.

Od izleta do resnejših okoliščin

Takšen sistem ne bi bil namenjen samo ekstremnim primerom.

Pri običajnem šolskem izletu bi bil lahko zelo preprost:

ODHOD → SAFE TRIP → PRIHOD → »V REDU SEM« → KONEC

Če otrok ne potrdi prihoda:

NO CHECK-IN → REMINDER → CONTACT CHECK

Šele če stik dalj časa ni vzpostavljen oziroma obstajajo dodatni dejavniki tveganja, bi se stopnjeval zaščitni postopek.

V resnejših okoliščinah – na primer pri posebej ogroženem otroku – bi lahko strokovno določen protokol zahteval pogostejše preverjanje.

Sistem bi se tako prilagajal stopnji tveganja, ne pa enako intenzivno spremljal vseh otrok.

QEI Child Safeguard – preverjati tudi sistem, ne samo otroka

Obstaja še druga polovica problema.

Kaj če otrok pošlje SOS in ga nihče pravočasno ne obravnava?

Kaj če je bilo zahtevano preverjanje, pa ga nihče ni izvedel?

QEI bi lahko omogočil kriptografsko zaščiteno sled zaščitnih dogodkov:

SIGNAL RECEIVED → RESPONSIBILITY ASSIGNED → SAFETY CHECK REQUIRED → ACTION RECORDED

Ne zato, da bi ustvarjali podroben centralni dosje otrokovega življenja.

Temveč zato, da bi bilo mogoče preveriti, ali je institucija, ki je bila dolžna ukrepati, svojo nalogo dejansko opravila.

To vodi do drugega pomembnega načela:

dokazati potrebno lastnost z najmanjšim možnim razkritjem osebnih podatkov.

“Ne spremljaj otroka. Spremljaj, ali sistem izpolnjuje svojo dolžnost do otroka.”
— Inštitut 1. april

Predlagana arhitektura

Raziskovalni koncept bi lahko sestavljalo več medsebojno povezanih funkcij:

QEI CHILD KEY™
zaščitena naprava oziroma poverilnica

QEI SAFE TRIP™
začasni zaščitni način za pot, izlet ali drugo obdobje

QEI SAFE CHECK™
preprosta potrditev »V redu sem«

QEI CHILD SOS™
aktivni signal za pomoč

QEI SILENT ALERT™
varnostni postopek zaradi manjkajoče pričakovane potrditve

QEI LOST CONTACT MODE™
stopnjevano preverjanje ob izgubi stika

QEI SAFETY LOCATION™
pogojno lociranje naprave ob upravičenem varnostnem dogodku

QEI PRESENCE CHECK™
ločeno preverjanje, ali je otrok dejansko skupaj z najdeno napravo

QEI CHILD SAFEGUARD™
sledljivost izvedbe zaščitnih obveznosti pristojnih institucij

Skupaj bi lahko tvorili:

QEI CHILD PROTECTION ECOSYSTEM™

Zasebnost ne sme postati cena za varnost

Pri takšni tehnologiji obstaja resno tveganje: sistem, ustvarjen za zaščito otrok, bi lahko postal sistem za njihov nadzor.

Zato mora biti načelo Privacy by Design prisotno že v arhitekturi.

Vprašanja morajo biti postavljena pred izdelavo sistema:

Kdo lahko aktivira lociranje?

Ali lahko starš ali skrbnik izključi zaščito?

Kaj če je prav skrbnik potencialni povzročitelj nevarnosti?

Kako preprečiti zlorabo GPS-podatkov?

Koliko časa se podatki hranijo?

Kdo lahko poveže QEI-token z dejansko identiteto otroka?

Kako se preveri, da je otrok skupaj z napravo?

Kaj se zgodi ob lažnem alarmu?

Kaj se zgodi, če napravo uporablja druga oseba?

Kako otrok prekliče alarm, ne da bi ga v to lahko prisilila druga oseba?

To niso podrobnosti za poznejšo fazo.

To so temeljna vprašanja sistema.

QEI ne more zagotoviti, da do zlorabe ne bo prišlo

Tudi pri tako zasnovanem sistemu moramo biti jasni.

QEI ne more preprečiti vsakega nasilja, ugrabitve, zlorabe, izkoriščanja ali trgovine z ljudmi.

Prav tako ne more nadomestiti staršev, učiteljev, socialnih delavcev, policije, zdravnikov, psihologov, sodišč in drugih strokovnjakov.

Lahko pa raziskujemo, ali lahko zmanjša nekatere kritične vrzeli:

da otrok ne more poklicati;

da mu nekdo odvzame napravo;

da nihče ne opazi, da se ni javil;

da se ob izgubi stika ne ve, kje začeti iskati;

da se najde naprava in napačno sklepa, da je najden tudi otrok;

ali da otrok pošlje signal, vendar pozneje ni jasno, kdo bi moral ukrepati.

Tehnologija, ki reagira šele, ko jo potrebujemo

Morda najpomembnejše načelo tega koncepta je prav njegova zadržanost.

Ko je vse v redu, naj tehnologija ve čim manj.

Ko otrok potrdi:

»V redu sem.«

naj bo to dovolj.

Ko pa pričakovanega odgovora ni, se lahko začne stopnjevano preverjanje.

In ko obstaja utemeljen varnostni razlog, lahko sistem uporabi dodatne mehanizme, potrebne za iskanje in zaščito.

To je drugačen pogled na digitalno varnost otrok:

ne spremljati vsega zato, ker bi se nekoč lahko nekaj zgodilo – ampak biti pripravljen ukrepati takrat, ko se nekaj ne ujema.

dokazati potrebno lastnost z najmanjšim možnim razkritjem osebnih podatkov.

“Če je vse v redu, zadostuje en pritisk.
Če odgovora ni, preveri.
Če je stik izgubljen, poišči napravo.
Če najdeš napravo, preveri tudi otroka.

Ne spremljaj otrokovega življenja. Poskrbi, da v nevarnosti ne ostane brez poti do pomoči.”
— Inštitut 1. april

QEI Child Protection, QEI Child SOS, QEI Safe Check in povezani mehanizmi so na tej stopnji razvojni oziroma raziskovalni koncepti. Pred morebitnim pilotnim ali praktičnim izvajanjem bi bili potrebni tehnična validacija, analiza groženj, pravna presoja, presoja vplivov na zasebnost in varstvo osebnih podatkov ter sodelovanje strokovnjakov za zaščito otrok.