Et konsortium av guvernører ledet av Utah gir ti delstater frist til januar 2027 med å vedta personvernførst-regler for digital ID. Ifølge rapporten er målet å handle før ISO 18013-5-standarden for mobil ID sprer seg videre uten tilsyn. Eksperter sitert i dekningen sier at standarden beholder statlige sporingsmuligheter. For innbyggerne koker debatten ned til ett spørsmål: sporing av digitale ID-legitimasjoner og personvern, og hvorvidt de som utsteder din mobile ID kan se hvor og når du bruker den.

En merknad om kildebruk: kildeartikkelen er kort, og teksten tilgjengelig for oss er avkortet. Den nevner et konsortium, en gruppe på ti delstater, en frist i januar 2027 og ISO 18013-5-standarden. Den nevner også noen ved navn Bramwell, men den tilgjengelige teksten fullfører ikke den referansen. Dette innlegget holder seg til disse punktene og forklarer teknologien i generelle vendinger. Det hevder ikke detaljer om konsortiumets rammeverk som kilden ikke bekrefter.

Hva fristen i januar 2027 betyr for innbyggerne

Ifølge rapporten har ti delstater frist til januar 2027 med å vedta personvernførst-regler for digital ID. Logikken bak en frist er at tekniske standarder har en tendens til å feste seg når de først er bredt utplassert. Hvis mobile ID-er rulles ut i flere delstater under en standard som tillater sporing, og det ikke finnes tilsynsregler, blir disse designvalgene vanskelige å reversere.

For innbyggerne er den praktiske effekten at de neste månedene er perioden der reglene mest sannsynlig formes. Delstatsforsamlinger, motorvognmyndigheter og guvernørkontorer kan fortsatt bestemme hvilke data et digitalt ID-system kan logge, hvor lenge det kan oppbevare dataene, og hvem som kan få tilgang til dem. Når et system først er i drift, betyr endring av disse innstillingene vanligvis å bygge om deler av det.

Hvordan sporing av legitimasjon fungerer i mobile ID-er etter ISO 18013-5

ISO 18013-5 er en internasjonal standard for mobile førerkort. Den definerer hvordan en telefon kan presentere identitetsdata til en verifiserer, for eksempel en politibetjent, en butikk eller en flyplasskontroll. Kilden sier at eksperter mener standarden beholder statlige sporingsmuligheter. Artikkelteksten vi har, forklarer ikke mekanismen, så her er den generelle bekymringen i klare ordelag.

Sporingsrisiko i ethvert digitalt legitimasjonssystem kommer vanligvis fra noen få steder:

  • Verifiseringslogger. Hvis verifisererens app eller en bakgrunnstjeneste registrerer hver gang en legitimasjon sjekkes, kan disse registreringene bygge opp en historikk over hvor du viste ID-en din.
  • Kontakt med utstederen. Hvis en sjekk krever at systemet kontakter den statlige utstederen, kan utstederen få vite når og hvor legitimasjonen ble brukt.
  • Oppbevaring. Selv beskjedne logger blir sensitive når de oppbevares lenge eller kombineres med andre databaser.

Hvorvidt en bestemt delstats utrulling gjør noe av dette, avhenger av hvordan den er konfigurert, og det er nettopp derfor tilsynsregler betyr noe. En standard kan tillate personvernbeskyttende bruk og likevel tillate sporing. Reglene rundt den avgjør hvilken av delene innbyggerne får.

Virkelige utrullinger viser hvorfor dette betyr noe. Vår dekning av Indonesias IKD digitale ID som passerer 20,5 millioner brukere ser på personvernrisikoer som oppstår når en nasjonal digital identitet skaleres raskt.

Personvernførst-alternativer: selektiv utlevering og nullkunnskapsbevis

Personvernførst-design for digital ID bygger vanligvis på to ideer.

Selektiv utlevering lar deg dele bare den egenskapen en verifiserer trenger. En bar trenger å vite at du er over 21, ikke adressen din eller full fødselsdato. En godt utformet legitimasjon kan avsløre bare det ene faktumet.

Nullkunnskapsbevis går et skritt lenger. De lar deg bevise at en påstand er sann, for eksempel «jeg er over 18», uten å avsløre de underliggende dataene i det hele tatt, og uten å gi verifisereren noe som kan kobles tilbake til deg på tvers av besøk.

Disse teknikkene reduserer hva verifiserere lærer, men de stopper ikke automatisk sporing. Logging hos verifisereren, kontakt med utstederen og lange oppbevaringsperioder kan undergrave dem. Personvernførst-regler må derfor dekke både kryptografien og datapraksisene rundt.

Den samme spenningen vises i alderskontroller på nett. En rundbordssamtale av SFLC.in om personvernrisikoer ved aldersverifisering viser hvordan verifiseringssystemer kan samle inn mer enn de trenger.

Rettigheter å se etter i delstatens regler for digital ID

Kilden lister ikke konsortiumets spesifikke krav, så behandl dette som en sjekkliste for leseren snarere enn en beskrivelse av rammeverket. Når delstaten din debatterer eller lanserer mobil ID, se etter:

  1. Forbud mot sporingsbruk. Regler som forbyr utstederen å logge hvor og når du presenterer legitimasjonen din.
  2. Dataminimering. Verifiserere bør bare be om egenskapene de trenger, og systemet bør støtte selektiv utlevering.
  3. Korte, definerte oppbevaringsgrenser. Eventuelle logger som finnes, bør slettes etter en fastsatt tidsplan.
  4. Uavhengig tilsyn. En revisjonsprosess eller regulator som kan kontrollere om systemet oppfører seg som lovet.
  5. Frivillig bruk. Et fysisk ID-alternativ som forblir fullt gyldig, slik at ingen tvinges over til den digitale versjonen.
  6. Begrensninger på sekundærbruk. Restriksjoner på deling av data med andre etater eller kommersielle parter.

Hva dette betyr for deg

Hvis du bor i en av de ti delstatene, er de neste månedene perioden der offentlige innspill teller mest. Hvis du bor andre steder, gjelder de samme spørsmålene etter hvert som mobile ID-er utvides. Du trenger ikke å unngå digital ID helt. Målet er å vite hvordan delstatens versjon håndterer logging og oppbevaring før du stoler på den.

I mellomtiden kan du beholde en fysisk ID for situasjoner der du heller vil unngå å generere en digital registrering, og du kan spørre motorvognmyndigheten din om hva den lagrer når en mobil ID verifiseres.

Hovedpunkter

  • Sjekk delstatens program. Se på motorvognmyndighetens publiserte personvernpolicy for mobil ID, og undersøk om den adresserer logging og oppbevaring.
  • Spør om sporing direkte. Kontakt delstatsrepresentanten din eller myndigheten og spør om presentasjon av legitimasjonen din kan registreres eller spores tilbake til deg.
  • Støtt personvernførst-regler. Gi innspill til foreslåtte regler eller lovgivning som begrenser sporing og krever selektiv utlevering.
  • Hold mulighetene åpne. Behold en fysisk ID der det er mulig.
  • Lær av andre utrullinger. Artiklene om Indonesias IKD og SFLC.in sine alderskontroller lenket ovenfor viser hvordan digitale ID- og verifiseringssystemer kan skape personvernrisikoer når sikkerhetstiltakene henger etter utrullingen.

Sporing av digitale ID-legitimasjoner og personvern vil bli avgjort i reglene som skrives nå, så det er verdt å finne ut hva delstaten din planlegger.