Temat wdrożenia tożsamości cyfrowej i użycia jej do weryfikacji wieku w sieci po raz kolejny wywołał niepotrzebne kontrowersje i zasięgi na X na bazie wywiadu z wicepremierem dla Newsweek Polska. Punktem zapalnym stała się wypowiedź ministra cyfryzacji, który opowiedział się za realną weryfikacją tożsamości w mediach społecznościowych przy użyciu państwowego narzędzia celem ochrony dzieci. Wskazał przy tym na nieskuteczność rozwiązań biometrycznych wdrożonych w Australii przy okazji wprowadzenia weryfikacji wieku w sieci celem ochrony małoletnich.

Poniżej kontrowersyjny cytat:

— Po wielu konsultacjach uważam, że ten wiek nie powinien wynosić 16, ale 15 lat. Nie powinniśmy iść drogą australijską, tylko trochę go obniżyć. Platforma musi mieć weryfikację wieku, której nikt nie będzie omijał. W Australii największym problemem było to, że na początku wyparowały miliony kont z Facebooka i innych portali, po czym wracały, bo dzieciaki zaczęły to omijać. Jednym z elementów omijania była biometria. Dlatego jestem przeciwnikiem stosowania biometrii do potwierdzania tożsamości. Weryfikacja powinna być na poziomie aplikacji rządowej. Pracujemy nad tym, żeby dawały ją mObywatel czy europejski portfel tożsamości, wprowadzany od końca tego roku. To będzie też sprawdzian dla społeczeństwa. Gdy przyjdzie do weryfikacji, wiele osób powie: dlaczego ja mam się jej poddawać? Dlatego że chronimy najmłodszych. Będzie się weryfikował każdy, nie tylko najmłodsi, żeby niektórzy tych ograniczeń po prostu nie omijali – mówi Krzysztof Gawkowski.

Sprawa dla niektórych może być kontrowersyjna bo nikt porządnie nie wytłumaczył na czym polega ta zmian. Nie wyjaśniono dostatecznie jasno, co właściwie ma być weryfikowane, jakie dane będą przekazywane i czego platforma internetowa nie będzie mogła się o nas dowiedzieć i czy państwo będzie mieć wiedzę o naszym logowaniu. Brakuje na ten moment po prostu kampanii edukacyjnej. Dodatkowo część polityków lubi podsycać wątek inwigilacji i polaryzować społeczeństwo. Czemu? Bo jak pokazują badania fundacji Digital Poland prywatność jest dla na bardzo ważna. Zresztą nie tylko dla nas, ale również dla Niemców i innych wielu narodów w UE i chociażby dlatego w Europie wprowadzono RODO.

Wracając, zacznijmy od najważniejszego. Nie musicie obawiać się wycieku danych, utraty prywatności ani ograniczenia legalnej aktywności w internecie w wyniku uruchomienia Europejskiego Portfela Tożsamości Cyfrowej.

Z EUDI powinniśmy skorzystać od Wigilii 2026

Przy okazji pragnę obalić mit magicznej Brukseli. Żadna Bruksela nam nic nie narzuca. Na EUDI zgodziły się wszystkie rządy państw członkowskich (poprzez Radę EU), przegłosował to Parlament Europejski (nasi europosłowie), przyjęła to też Komisja Europejska. Bo tak działa proces legislacyjny w UE.

Wybiórcze ujawnianie informacji o sobie, pełna kontrola danych oraz dobrowolność

Chcę mocno podkreślić, że korzystanie z portfela będzie dobrowolne w większości przypadków. Państwo ma obowiązek go dostarczyć, ale obywatel nie ma obowiązku z niego skorzystać, oczywiście z pewnymi wyjątkami.

Będziecie też z czasem mogli potwierdzić, że macie ukończone 16 lub 18 lat. Podmiot, który Was weryfikuje, nie dowie się, czy macie 21, 45 czy 85 lat. Nie dowie się, czy jesteście kobietą, czy mężczyzną. Nie pozna Waszego imienia ani nazwiska. Otrzyma jedną informację, że osoba która się właśnie legitymuje ma ukończone 18 czy 15 lat. Tyle. Koniec. Nic więcej.

Sposób działania platformy stanowi zasadniczą różnicę wobec modeli, w których platforma zbiera skan dowodu albo skan twarzy i przechowuje go u siebie. Nie będzie też centralnego przechowywania danych bo to nie jest model chiński, rosyjski (tzw. aplikacja MAX o której pisałem na blogu) i nie jest to model amerykański, w którym korporacje mielą nasze dane, zarabiają na nich i często je dalej sprzedają. Nasz europejski model powstał na bazie lekcji płynących z innych państw. Został też opracowany uwzględniając potrzeby Europejczyków w zakresie zapewnienia prywatności użytkownikowi.

Decentralizacja i model p2p, zamiast obecnej centralizacji

EUDI ma szereg zalet. EUDI nie będzie działać jak centralny państwowy rejestr, przez którą przechodzi i jest rejestrowane każde działanie użytkownika. Selektywne udostępnianie danych lub wybranych atrybutów ma odbywać się bezpośrednio pomiędzy portfelem użytkownika a podmiotem, który prosi o ich potwierdzenie. Można to opisać jako zdecentralizowany model komunikacji zbliżony do relacji peer-to-peer (niczym torrenty czy DeFI w krypto), a nie system, w którym centralny serwer państwowy pośredniczy w każdym okazaniu informacji. A przypomnę, że dziś tak jest. Nasz narodowy skarb – mObywatel – działa centralnie. Akurat byłem pierwszym kierownikiem projektu mDokumenty pracując dla Ministerstwa Cyfryzacji i doskonale wiem jak to działa. Zresztą czy nie pamiętacie awarii z dnia 15 października 2023 roku gdy użytkownicy od przedpołudnia zgłaszali błędy logowania i komunikaty o braku możliwości pobrania danych w czasie wyborów do parlamentu i senatu, a sam COI publicznie instruował, by przy dużym obciążeniu przejść na tryb offline? Problemy powtórzyły się przy wyborach prezydenckich w 2025 roku. Przejście na EUDI rozwiąże ten problem.

Zresztą, nie musicie mi wierzyć bo zostało to zapisane w rozporządzeniu:

• dostawca portfela nie może zbierać informacji o tym, jak korzystacie z portfela, poza tym, co jest niezbędne do świadczenia samej usługi (art. 5a ust. 14),
• portfel nie przekazuje wystawcom poświadczeń informacji o tym, gdzie ich używacie (art. 5a ust. 5), a  rozwiązanie techniczne portfela nie może pozwalać żadnej stronie na śledzenie, łączenie ani korelowanie Waszych transakcji i zachowań – chyba że sami wyraźnie na to zezwolicie (art. 5a ust. 16).

W praktyce oznacza to, że państwo nie wie, komu okazaliście tożsamość ani jaki parametr potwierdziliście. Nie wie, że weszliście na konkretną stronę czy użyliście aplikacje. Nie wie, że kupiliście alkohol w konkretnym sklepie czy skorzystaliście z oglądania treści pornograficznych. Takiej informacji po prostu nigdzie nie ma poza dwoma miejscami: w Waszym telefonie i u podmiotu, któremu sami zdecydowaliście się coś pokazać.

EUDI to dobry standard potwierdzania pełnoletniości 

Od lat popieram wdrożenie weryfikacji wieku w sieci celem ochrony dzieci ale też wyeliminowania botów i operacji wpływu w polskiej infosferze. I dlatego muszę postawić sprawę jasno, bo o tym mówi się za mało. Obowiązek potwierdzenia, że ma się 15 czy 16 lat, wcale nie musi dotyczyć wyłącznie dzieci. Jeśli politycy zmienią prawo  – a w tym kierunku idą kolejne państwa, w tym Polska – to sprawdzany będzie każdy kto chce korzystać z social media. Bo skoro platforma ma nie wpuścić nastolatka, to musi w jakiś sposób odróżnić go od dorosłego. A żeby to zrobić, musi zapytać wszystkich. I właśnie dlatego powinniśmy skupić się na tym jak to zrobić w sposób maksymalnie zachowujący prywatność obywateli ale i łatwy dla każdego. Dwa przykłady z ostatnich miesięcy pokazują to lepiej niż jakikolwiek wywód.

Przypadek Francji – brak standardu wywrócił ustawę

Opisywałem Wam jak w lipcu tego roku parlament przyjął zakaz korzystania z mediów społecznościowych przez osoby poniżej 15. roku życia. Jednak 14 sierpnia Rada Konstytucyjna uchyliła kluczowy przepis. Zarzut był bardzo konkretny: ustawodawca nałożył obowiązek, ale nie sprecyzował, jakim mechanizmem wiek ma być weryfikowany, ani nie zawęził zakresu jego stosowania. Zostawił to platformom. A skoro zakaz dotyczy nastolatków, to w praktyce swój wiek udowodnić musiałby każdy, również osoba dorosła, wobec której państwo nie miało żadnego celu ochronnego. Prezydent Macron polecił rządowi napisanie ustawy od nowa, z celem wprowadzenia poprawionej wersji przed wiosną 2027 roku. I ta poprawiona wersja najprawdopodobniej przejdzie, ale dopiero wtedy, gdy odpowie na pytanie „czym”.

Przypadek Australii – brak standardu ułatwił obchodzenie regulacji przez dzieci

Australijczycy zrobili rzecz, której nikt wcześniej nie zrobił: przetestowali to naprawdę. Rządowy Age Assurance Technology Trial, wart 6,5 mln dolarów, ocenił 48 dostawców i ponad 60 różnych technologii – od skanu dokumentu tożsamości, przez estymację wieku na podstawie selfie, po analizę zachowania użytkownika. Metoda szacowania wieku na bazie twarzy myliła się średnio o około półtora roku – a przy progu 16 lat półtora roku błędu to przepaść między dzieckiem a dorosłym. Skuteczność okazała się najniższa właśnie dla nastolatków i młodych dorosłych, czyli dokładnie dla tej grupy, o którą w całej operacji chodzi. Co gorsza, dokładność spadała dla dziewcząt, dla ludności rdzennej i dla osób z uboższych grup społecznych czyli technologia dyskryminowała. A na koniec rzecz najpoważniejsza: raport ustalił, że część badanych dostawców już przechowywała pełne dane biometryczne lub kopie dokumentów wszystkich użytkowników, bez potrzeby, na zapas. Tak zatem w praktyce wygląda system, w którym każda platforma sama wybiera sobie pośrednika: dziesiątki prywatnych firm stają się dziesiątkami nowych punktów wycieku Waszych danych.

Zestawmy zatem razem te dwie lekcje. Francja pokazała, że brak zdefiniowanego mechanizmu weryfikacji blokuje wejście w życie ustawy i narusza konstytucję Francji. Przypadek Australii z kolei pokazał, że brak jednego standardu tworzy paletę rozwiązań o bardzo różnej jakości, z których część jest niedokładna, część dyskryminująca, a część po prostu gromadzi Wasze twarze i dowody na własnych serwerach. Te dwie lekcje nie powinny być wykorzystywane przeciwko wdrożeniu ochronie dzieci, a raczej powinny być wykorzystane po to aby skutecznie i dobrze zaprojektować te rozwiązania w Europie.

Dlatego piszę o tym, choć zarazem bronię tego rozwiązania bo to jest jeden z najmocniejszych argumentów za wdrożeniem EUDI, a nie przeciwko niemu. Francuska Rada Konstytucyjna nie powiedziała bowiem że nie wolno sprawdzać wieku. Wskazała jedynie, że rząd nie dał gwarancji prawnych chroniących prywatność. Portfel tożsamości cyfrowej z selektywnym ujawnianiem atrybutów jest dokładnie taką gwarancją i to gwarancją zapisaną w rozporządzeniu, a nie w regulaminie prywatnej firmy.

Jesteś przeciwko inwigilacji, centralizacji i popierasz prywatność w sieci? Popieraj EUDI

I stąd wniosek, który dla wielu sceptyków będzie zaskakujący. Bo jeśli boicie się inwigilacji przez państwo,nie chcecie centralnego Obywatela, chcecie korzystać z suwerennych rozwiązań to powinniście być największymi zwolennikami przejścia na EUDI. Bo to jest odejście od modelu centralnego logowania na rzecz peer-to-peer. To po prostu mniej inwigilacji, a nie więcej. Obrona obecnego mObywatela w imię prywatności jest obroną modelu bardziej scentralizowanego przed modelem mniej scentralizowanym. Przy okazji zwiększymy jego odporność na masowe przypadki okazywania tożsamości (np. wybory powszechne). System rozproszony nie ma jednego punktu, którego awaria kładzie wszystko a to jest dziś kwestia bezpieczeństwa państwa, nie wygody.

Portfel to też szereg dodatkowych korzyści

Osobiście uważam, że powinniśmy pójść krok dalej i wprowadzić anonimowe potwierdzanie pełnoletności na kasach samoobsługowych. To skróciłoby kolejki przy zakupie alkoholu i innych produktów 18+ w każdym markecie i osiedlowej franczyzie bez pokazywania dowodu, bez ujawniania czegokolwiek poza jednym „tak”.

Popierasz suwerenność technologiczną i jesteś przeciwny dyktatowi pozaeuropejskich firm? EUDI jest dla Ciebie

Czy chcecie, żeby profile o Was trzymały globalne korporacje – chińskie, amerykańskie, południowo koreańskie albo jakiekolwiek inne? Czy chcecie, żeby Europa była w tej sprawie podatna na naciski geopolityczne np. Prezydenta Trumpa i żeby infrastrukturę logowania dało się nam z zewnątrz w każdej chwili wyłączyć? Własny, europejski portfel oznacza, że w tym obszarze przestajemy być zależni od cudzych decyzji.

Dochodzi do tego kwestia infosfery. Dziś Chiny mają TikToka, Stany Zjednoczone całą resztę, a Rosja i inni prowadzą w sieci anonimowe operacje wpływu, destabilizując państwa. A przypomnę, że już co drugi Polak uznaje takie ingerencje w infosferę jako narzędzia wpływu zagrażające działaniu naszego państwa czy w ogóle demokracji.

Zatem jeśli chcemy też realnie ograniczyć ruch botów i sprawić, żeby to, co jest niedostępne albo nielegalne w świecie offline, było równie trudno dostępne online to potrzebujemy narzędzia, które pozwoli nam potwierdzić, że po drugiej stronie jest człowiek, nie ujawniając przy tym, który konkretnie.

I najważniejsze – tego chcą Polacy

Niezależnie od tego, czy pytamy o bezpieczeństwo, o ochronę dzieci, o ograniczenie botów, czy o odzyskanie kontroli nad własną infosferą to wynik zawsze jest ten sam. Aż  trzy czwarte Polaków popiera te zmiany. Wynika to z wielu badań opinii społecznej prowadzonych przez Fundację Digital Poland.

Na początku października fundacja opublikuje też najbardziej kompleksowe badanie opinii społecznej na temat cyfrowego państwa i tożsamości cyfrowej: co Polacy sądzą o europejskim portfelu, co chcą dzięki niemu osiągnąć i czy chcą korzystać z rozwiązań Google, Apple czy Samsung Pay. Będę o tym opowiadał szerzej już tej jesieni. Tymczasem rzućcie okiem co szykuje nam Ministerstwo Cyfryzacji. I nie dajcie się zmanipulować fałszywym informacjom o Waszej inwigilacji. Będzie tylko lepiej.