QEI naredil naslednji korak: pripravljen predlog raziskovalnega pilotnega projekta za Republiko Slovenijo
Inštitut 1. april je zaključil pripravo predloga raziskovalnega pilotnega projekta QEI – Quantized Encrypted Identity za Republiko Slovenijo. Dokument predstavlja naslednji korak pri razvoju pobude QEI
Pobuda QEI – Quantized Encrypted Identity izhaja iz vprašanja, ki postaja z razvojem digitalne identitete vse pomembnejše:
Ali je mogoče zanesljivo dokazati identiteto ali določeno lastnost posameznika, ne da bi bilo treba pri tem razkriti več osebnih podatkov, kot je dejansko potrebno?
Pripravljeni predlog raziskovalnega pilotnega projekta je namenjen prav preverjanju tega vprašanja.
Ne predstavlja uvedbe QEI v Sloveniji in ne pomeni, da je bil pilotni projekt že odobren. Gre za predlog raziskovalnega pilota, katerega namen je omogočiti strokovno presojo koncepta in ugotoviti, ali posamezni elementi QEI lahko zagotovijo merljivo dodatno vrednost na področju varnosti, zasebnosti in varstva osebnih podatkov.
Od koncepta do preverljivega raziskovalnega vprašanja
Pri razvoju novih sistemov digitalne identitete sama ideja ni dovolj.
Koncept mora biti mogoče preizkusiti, izmeriti, primerjati z obstoječimi rešitvami in neodvisno oceniti.
Zato je predlog pilotnega projekta QEI zasnovan kot omejeno raziskovalno okolje, v katerem bi bilo mogoče preverjati ključne hipoteze koncepta brez njegove neposredne uvedbe v produkcijske državne sisteme.
Predlagani pristop med drugim predvideva:
- uporabo sintetičnih oziroma testnih identitet,
- delo brez neposrednega poseganja v produkcijske državne evidence,
- preverjanje varnostnih in zasebnostnih lastnosti koncepta,
- analizo minimizacije osebnih podatkov,
- preverjanje konceptualne tehnične arhitekture,
- pravno in podatkovnovarstveno presojo,
- primerjavo z evropskim okvirom digitalne identitete,
- neodvisno strokovno presojo rezultatov.
Ključno načelo je preprosto:
pilot ne sme dokazovati, da QEI deluje – pilot mora ugotoviti, ali QEI deluje in pod kakšnimi pogoji.
QEI in evropska digitalna identiteta
Evropska unija trenutno vzpostavlja nov okvir digitalne identitete, katerega osrednji element predstavlja European Digital Identity Wallet oziroma EUDI Wallet.
QEI ni alternativa evropski digitalni denarnici in je z njo ne enačimo.
Raziskovalno vprašanje je drugačno.
Preveriti želimo, ali bi lahko določeni konceptualni elementi QEI predstavljali dodatno varnostno ali zasebnostno plast ter ali bi jih bilo mogoče v prihodnosti povezovati z evropskim ekosistemom digitalne identitete brez poseganja v njegovo interoperabilnost.
Posebna pozornost je zato namenjena področjem, kot so Privacy by Design, minimizacija podatkov, kriptografska zaščita, lokalna obdelava občutljivih podatkov, nadzor uporabnika in zmanjševanje nepotrebnega razkrivanja identifikacijskih podatkov.
Dokazati potrebno – ne razkriti vsega
Eden od referenčnih primerov, predvidenih za raziskovalno preverjanje, je dokazovanje starostnega praga.
Če mora digitalna storitev preveriti, ali je uporabnik starejši od 18 let, se pojavi pomembno vprašanje:
Ali mora storitev poznati njegovo ime, priimek, datum rojstva in druge osebne podatke – ali potrebuje samo zanesljiv odgovor, da zahtevani starostni pogoj izpolnjuje?
Takšni primeri predstavljajo jedro širšega vprašanja prihodnosti digitalne identitete.
Digitalni sistemi prihodnosti namreč ne bodo ocenjeni samo po tem, kako zanesljivo lahko identificirajo človeka, ampak tudi po tem, koliko podatkov morajo za to obdelati, komu jih morajo razkriti in kako učinkovito jih lahko zaščitijo.
Pilot mora omogočiti tudi negativen rezultat
Pomembna značilnost predlaganega raziskovalnega pristopa je, da rezultat ni določen vnaprej.
Raziskava lahko pokaže, da QEI zagotavlja pomembno dodatno varnostno ali zasebnostno vrednost.
Lahko pokaže, da so uporabni samo posamezni elementi koncepta.
Lahko pokaže, da je treba določene dele arhitekture spremeniti.
Prav tako lahko pokaže, da obstoječi oziroma nastajajoči evropski mehanizmi določeno funkcionalnost že zagotavljajo dovolj učinkovito in dodatna rešitev ni potrebna.
Vsak od teh rezultatov bi bil legitimen rezultat raziskovalnega pilota.
Prav možnost neodvisnega preverjanja in tudi zavrnitve posameznih hipotez je bistvena razlika med raziskovalnim projektom in promocijo že vnaprej določene rešitve.
V ospredju mora ostati človek
Digitalna identiteta postopoma postaja temeljna infrastruktura sodobne družbe.
Uporabljali jo bomo pri odnosih z državo, bankami, zdravstvom, izobraževalnimi ustanovami, podjetji in številnimi digitalnimi storitvami.
Zato vprašanje prihodnje digitalne identitete ni samo tehnično.
Gre tudi za vprašanje, kdo nadzoruje identiteto, kdo lahko zahteva podatke, koliko podatkov mora posameznik razkriti in kakšne možnosti ima za nadzor njihove uporabe.
Prav na tem izhodišču temelji tudi nadaljnje raziskovanje QEI.
“Dobra digitalna identiteta ni tista, ki o človeku razkrije največ. Dobra digitalna identiteta je tista, ki lahko zanesljivo dokaže potrebno in pri tem razkrije čim manj.”
— Istituto 1. april
Naslednji korak: strokovna presoja
Priprava predloga raziskovalnega pilotnega projekta predstavlja pomemben razvojni mejnik, vendar ne zaključka razvoja QEI.
Naslednja faza mora temeljiti na vključevanju ustreznih strokovnjakov in institucij s področij digitalne identitete, kibernetske varnosti, kriptografije, varstva osebnih podatkov, prava in evropske digitalne infrastrukture.
Cilj ni vnaprej potrditi QEI.
Cilj je ustvariti pogoje, v katerih ga bo mogoče preveriti.
Če bo raziskovalni pilot pokazal dodatno vrednost koncepta, bodo rezultati lahko predstavljali podlago za nadaljnje raziskovanje in razvoj.
Če je ne bo pokazal, bo tudi to pomemben rezultat.
Za Inštitut 1. april je zato pripravljeni predlog pilotnega projekta predvsem prehod od vprašanja:
»Kako bi QEI lahko deloval?«
k bistveno pomembnejšemu vprašanju:
»Ali lahko njegovo dodatno vrednost neodvisno izmerimo in dokažemo?«
To je naslednji korak razvoja pobude QEI.
