Prywatność albo zdrowie

Założenie jest proste. Chodzi o coś, co w medycznej terminologii nazywa się „ustalaniem kontaktów zakaźnych”, czyli wszystkich interakcji, podczas których mogło dojść do zarażenia wirusem od osoby chorej. To stare epidemiologiczne narzędzie, szczególnie cenne i szczególnie trudne do zastosowania w przypadku trwającej właśnie pandemii, bo wirus SARS-CoV-2 prawdopodobnie najefektywniej przeskakuje z człowieka na człowieka jeszcze przed pojawieniem się symptomów. Według chińskich badań 44 proc. przypadków COVID-19 jest skutkiem zakażenia przez nosiciela bezobjawowego. 

Tradycyjne ustalanie kontaktów to mozolne spisywanie; potem trzeba powiadomić wszystkich, z którymi miał styczność świeżo zdiagnozowany zakażony. Ale kto z nas pamięta wszystkie osoby, z którymi zetknął się na parę minut w ciągu ostatnich dwóch tygodni? Kto jest w stanie przypomnieć sobie wszystkich współpasażerów – nawet opustoszałego – autobusu?

Aplikacja ma mieć tę przewagę nad „ręcznym” podejściem, że, po pierwsze, pozwoli powiadomić wszystkich niemal natychmiast, a po drugie: może uprzedzić nawet tych, z którymi kontaktu chory nie będzie pamiętał albo których nie zna. Ale pomysł budzi też obawy – z konieczności aplikacja musi monitorować wszystkie interakcje społeczne potencjalnie ogromnej części społeczeństwa. W niewłaściwych rękach taka wiedza może być niebezpieczna.

Po pierwszych eksperymentach z wykorzystywaniem GPS ostatecznie większość twórców aplikacji na świecie doszła do wniosku, że najefektywniejszym i – potencjalnie – najlepiej zabezpieczającym prywatność rozwiązaniem jest wykorzystanie technologii jak na standardy branży IT starożytnej, bo XX-wiecznej – Bluetooth. Dziś najczęściej wykorzystywanej do podłączania bezprzewodowych słuchawek. 

Każdy telefon z zainstalowaną aplikacją i włączonym nadajnikiem Bluetooth stale nadaje swój identyfikator i nasłuchuje identyfikatorów wysyłanych przez inne telefony. Jeśli dwa telefony znajdą się blisko siebie (np. w odległości 1,5 m) i pozostaną blisko przez założony czas (np. 3-4 minuty), oba zapamiętają identyfikator tego drugiego. Identyfikatory są losowo generowane i zmieniane co 15-20 minut – tak by nie dało się łatwo śledzić jednego, konkretnego człowieka, nasłuchując sygnał generowany przez jego telefon.

CZYTAJ WIĘCEJ: AKTUALIZOWANY SERWIS SPECJALNY O KORONAWIRUSIE I COVID-19 >>>

W razie gdyby jedna z osób została potem zdiagnozowana, będzie mogła (najczęściej dobrowolnie) zgłosić ten fakt do systemu. Wszystkie telefony, które w ciągu poprzednich dni zarejestrowały kontakt z identyfikatorem oznaczonym jako zainfekowany, otrzymają ostrzeżenia o potencjalnym zagrożeniu. Niepodające ani tego, kto mógł być źródłem zakażenia, ani kiedy mogło do niego dojść. Informujące jedynie, że adresaci powinni czym prędzej zgłosić się do lekarza.

Kwestia zaufania

Podobne systemy dzielą się na scentralizowane i zdecentralizowane. Te pierwsze wykorzystują serwer, który codziennie wysyła telefonom pakiet wygenerowanych przez siebie identyfikatorów oraz zbiera i rozsyła informacje o zakażeniach. Operator serwera może zdezanonimizować użytkownika, bo dysponuje pełną wiedzą na temat tego, jakimi identyfikatorami „przedstawiał się” jego aparat. Jeśli posiada do tego jego numer telefonu – o anonimowości można zapomnieć. W przypadku aplikacji zdecentralizowanej takie informacje są przechowywane wyłącznie w telefonach, dezanonimizacja przez osoby trzecie jest utrudniona, a decyzja o zgłoszeniu faktu zakażenia do systemu jest decyzją użytkownika.

– Wybór jednej z tych filozofii budowy aplikacji to nie jest dylemat techniczny, tylko jak najbardziej polityczny – tłumaczy „Tygodnikowi” szefowa Fundacji Panoptykon Katarzyna Szymielewicz. – To kwestia tego, gdzie w systemie jesteśmy gotowi ulokować nasze zaufanie. Czy ufamy konkretnej organizacji, jak sanepid czy Ministerstwo Zdrowia, że nie wykorzysta danych do innych celów niż walka z epidemią? Czy wolimy zachować kontrolę nad swoimi danymi i przetwarzać je wyłącznie na naszych urządzeniach?

Pekin, od kilku lat coraz śmielej korzystający z nowoczesnych technologii do kontrolowania życia społeczeństwa, szybko sięgnął po nie w celu powstrzymania epidemii. Władze nie ograniczyły się do monitorowania jej rozprzestrzeniania za pośrednictwem aplikacji. W niektórych regionach wykorzystały smartfony do wyłączania ludzi zarażonych z życia społecznego: wejście do sklepu, metra, biurowca wymagało zeskanowania kodu QR generowanego przez aplikację. Podobne aplikacje, zwykle wyposażone jedynie w moduł „alarmowy”, a nie restrykcyjny – zostały wprowadzone w ponad 30 krajach świata, od Singapuru po Kolumbię. Z różnymi rezultatami.

Prawdopodobnie wkrótce powstanie jednak standard aplikacji śledzących pandemię. 10 kwietnia Google i Apple ogłosiły, że pracują nad wspólną architekturą takich programów, która ma zostać opublikowana w połowie maja. Wspólne ramy, tzw. API, dadzą budowanym na ich bazie aplikacjom dostęp do zwykle niedostępnych funkcji systemów operacyjnych, pozwalających np. na korzystanie z radia Bluetooth w sposób maksymalnie energooszczędny. Bez tego aplikacja, która stale „rozmawia” ze wszystkimi telefonami w okolicy, szybko wyczerpałaby baterię telefonu. Są jednak zastrzeżenia: aplikacje muszą być bezpieczne, nadzorowane przez organ publiczny, dobrowolne i koniecznie zdecentralizowane. Połączone siły obu koncernów dają im taką siłę przebicia, że wiele krajów, w tym Niemcy, musiało zrezygnować z przygotowywanego równocześnie przez europejskie konsorcjum systemu dopuszczającego centralizację.

Kto nadzoruje nadzorców

Nad projektem polskiej aplikacji ProteGO zaczęła pracować społeczność programistów, początkowo głównie powiązanych z firmą Polidea. Został on publicznie zaprezentowany 3 kwietnia, a według twórców prace toczyły się wtedy od ok. 10 dni. Wzorowali się na singapurskiej aplikacji TraceTogether, opartej na modelu scentralizowanym, i od początku – co spotkało się z uznaniem branży – dzielili się pełnym kodem źródłowym na znanym programistycznym portalu GitHub. Wiadomo, że polskie władze rozmawiają z Google na temat zastosowania ich technologii, ale najnowsze publikowane wersje ProteGO w dalszym ciągu wydają się opierać na przynajmniej częściowo scentralizowanych rozwiązaniach singapurskich. 

Trudno ustalić, które konkretnie instytucje publiczne będą nadzorowały aplikację i zarządzały danymi. Ministerstwo Cyfryzacji nie odpowiedziało przed oddaniem tego tekstu do druku na nasze pytania o postęp prac i o to, kto będzie za działanie aplikacji odpowiadał. Rząd zapowiada, że dane będą przechowywane wyłącznie w telefonach, ale to nie wyklucza zastosowania modelu scentralizowanego, bo w nim także to telefon przechowuje dane o własnych kontaktach aż do momentu zgłoszenia zakażenia do systemu, kiedy dane są przekazywane do centrali.

– To bardzo dynamiczny, jeśli nie chaotyczny, proces, w którym trudno
ustalić ośrodek decyzyjny – komentuje Szymielewicz, której organizacja także bezskutecznie starała się uzyskać informacje o tym, jakie instytucje publiczne odpowiadają za aplikację. – Widzę, że nad polskim rozwiązaniem w zapale pracuje wielu ludzi, którzy starają się coś na szybko zrobić. Nie jest jasne, kto podejmuje kluczowe decyzje: deweloperzy czy politycy. Nie ma czasu na analizę ryzyka, której wymaga RODO. To niepokojące, bo przecież rozmawiamy o aplikacji, która w najlepszym dla państwa scenariuszu będzie przetwarzać dane milionów ludzi.

Zwłaszcza że do sukcesu aplikacji niezbędne jest zaufanie: ma być w końcu instalowana dobrowolnie. Analizy naukowców z Oksfordu sugerują, że aby podobne przedsięwzięcia odegrały istotny wpływ na ograniczanie epidemii, musi się w nie zaangażować ok. 60 proc. populacji. W Singapurze, przyzwyczajonym do technologicznych nowinek i nieprzywiązanym aż tak jak Europa do ochrony prywatności, w półtora miesiąca po premierze aplikacji zainstalowało ją zaledwie 20 proc. obywateli. Choć, jak podkreślają zwolennicy, choćby ograniczony system alarmowy jest lepszy niż żaden. 

Google zapewnia, że jego system zostanie wyłączony, gdy ryzyko ustąpi. Ale nawet przy założeniu, że ramy opracowane przez Google i Apple gwarantują skuteczność i anonimowość, ich stosowanie niepokoi część obserwatorów z innego powodu: technologiczne rozwiązania społeczno-medycznego problemu pandemii, choć (albo raczej: dlatego, że) wygodne i dla użytkowników, i dla rządów, mogą otworzyć drzwi do problematycznej przyszłości, w której giganci technologiczni stają się domyślnymi pośrednikami między obywatelem a sferą publiczną. Nie tylko w służbie zdrowia. 

WOJCIECH BRZEZIŃSKI jest stałym współpracownikiem „TP”. Współautor, wraz z Agatą Kaźmierską, książki „Strefy cyberwojny” (Oficyna 4em, 2018).