Trzy ustawy, jeden cel: twoje prywatne wiadomości
Cicha, ale znacząca zmiana dokonuje się w trzech największych blokach regulacyjnych na świecie. Proponowane przez Unię Europejską rozporządzenie Chat Control, brytyjska ustawa o bezpieczeństwie online (Online Safety Act) i amerykańska propozycja ustawy KIDS Act – każde z tych rozwiązań na swój sposób wpisuje w prawo nadzór nad wiadomościami. Deklarowanym celem zawsze jest ochrona dzieci w sieci. Zdaniem rzeczników prywatności i badaczy bezpieczeństwa praktycznym skutkiem jest erozja szyfrowania end-to-end – technologii, która sprawia, że prywatne wiadomości pozostają prywatne między nadawcą a odbiorcą, i nikt inny, nawet platforma, nie może ich odczytać.
Te trzy inicjatywy nie powstały w wyniku jednego skoordynowanego planu, ale razem układają się w pewien wzór: prawodawcy w różnych jurysdykcjach dochodzą do podobnych wniosków dotyczących skanowania, monitorowania lub uzyskiwania w inny sposób wglądu w zaszyfrowaną komunikację, nawet gdy kompromisy techniczne i dotyczące swobód obywatelskich są uderzająco podobne.
Propozycja UE – Chat Control
Chat Control to nieformalna nazwa unijnych planów, by zobowiązać komunikatory do skanowania prywatnych wiadomości, w tym tych szyfrowanych, pod kątem nielegalnych treści jeszcze przed ich wysłaniem. Zwolennicy przedstawiają to jako narzędzie do walki z rozpowszechnianiem w sieci materiałów przedstawiających seksualne wykorzystywanie dzieci. Krytycy, w tym eksperci od szyfrowania i organizacje broniące praw cyfrowych, argumentują, że każdy mechanizm zdolny do skanowania zaszyfrowanych wiadomości przed ich wysłaniem w praktyce łamie samo szyfrowanie. Jeśli raz powstanie taka „tylna furtka” do skanowania – brzmi dalszy argument – może zostać wykorzystana przez złych aktorów, rozszerzona na inne rodzaje treści lub nadużyta przez rządy w celach wykraczających poza pierwotne założenia.
Debata wielokrotnie wyhamowywała i wracała na forum instytucji unijnych, co pokazuje, jak sporny jest ten podstawowy dylemat: ochrona dzieci kontra ochrona prywatności wszystkich użytkowników zaszyfrowanych komunikatorów, a więc setek milionów zwykłych ludzi, którzy nie mają nic wspólnego z żadnym przestępstwem.
Brytyjska ustawa o bezpieczeństwie online i amerykańska ustawa KIDS Act
Brytyjska ustawa o bezpieczeństwie online (Online Safety Act), która już obowiązuje, daje regulatorom szerokie uprawnienia do zmuszania platform do wykrywania i usuwania szkodliwych treści, a zawarte w niej przepisy wzbudziły podobne obawy dotyczące szyfrowania jak w przypadku Chat Control. Jednym z punktów zapalnych jest weryfikacja wieku i pytanie, czy ustawa popchnie ludzi ku omijaniu ograniczeń – na przykład za pomocą VPN-ów – by uzyskać dostęp do treści z ograniczeniami wiekowymi. Warto zauważyć, że brytyjscy urzędnicy już odrzucili pomysł ograniczania VPN-ów na mocy ustawy o bezpieczeństwie online, decydując się nie uderzać bezpośrednio w korzystanie z VPN-ów, nawet gdy wprowadzane są wymogi weryfikacji wieku. To rozstrzygnięcie ma znaczenie, bo pokazuje, że regulatorzy wyznaczają przynajmniej jedną granicę, nawet gdy szersze przepisy ustawy dotyczące skanowania i monitorowania pozostają w mocy.
Po drugiej stronie Atlantyku proponowana w Stanach Zjednoczonych ustawa KIDS Act podąża za podobną logiką: przedstawia obowiązki platform w zakresie monitorowania i moderowania treści jako środki służące bezpieczeństwu dzieci. Podobnie jak jej europejskie odpowiedniki, spotkała się z krytyką ze strony obrońców prywatności, którzy ostrzegają, że nakazy związane z bezpieczeństwem mogą w praktyce wymagać takiego wglądu w prywatną komunikację, który podważa szyfrowanie dla każdego użytkownika, a nie tylko dla tych, których ustawa ma chronić.
Co to oznacza dla ciebie
Jeśli korzystasz z szyfrowanych komunikatorów – czy to ze względu na prywatność osobistą, tajemnicę zawodową, czy po prostu dlatego, że cenisz sobie, że nikt postronny nie czyta twoich rozmów – te przepisy mają znaczenie bez względu na to, gdzie mieszkasz. Regulacje przyjęte w jednym kraju często wpływają na politykę gdzie indziej, a platformy działające globalnie mogą dostosowywać swoje praktyki szyfrowania wszędzie tak, by spełnić wymogi najbardziej restrykcyjnej jurysdykcji.
Główne napięcie we wszystkich trzech ustawach jest takie samo: czy system może skanować lub monitorować komunikację pod kątem szkodliwych treści bez naruszania gwarancji prywatności, które nadają szyfrowaniu sens? Badacze bezpieczeństwa konsekwentnie twierdzą, że nie. Mechanizm skanujący wbudowany w szyfrowany system jest luką – niezależnie od tego, czy wykorzysta ją agencja rządowa, haker czy autorytarny reżim, który później uzyska dostęp do tego samego narzędzia.
Konkretne wnioski
Bądź na bieżąco z tym, jak te przepisy ewoluują – ani Chat Control, ani wdrażanie ustawy o bezpieczeństwie online, ani KIDS Act nie są statyczne. Poszczególne zapisy są zmieniane, opóźniane lub reinterpretowane pod wpływem presji społecznej i branżowej. Zwracaj uwagę, które komunikatory publicznie zobowiązują się do utrzymania prawdziwego szyfrowania end-to-end, a które sygnalizują, że mogą podporządkować się nakazom skanowania. Jeśli zależy ci na prywatności wiadomości, rozważ korzystanie z narzędzi o silnej reputacji w zakresie przeciwstawiania się naciskom rządowym na osłabienie szyfrowania i aktualizuj oprogramowanie, by korzystać z poprawek bezpieczeństwa na bieżąco. Wreszcie – angażuj się w proces stanowienia prawa tam, gdzie możesz. Okresy konsultacji publicznych, zapytania parlamentarne i kampanie społeczne już wpłynęły na takie rozstrzygnięcia, jak brytyjska decyzja o nieograniczaniu VPN-ów, i mogą wpłynąć na to, co czeka Chat Control i KIDS Act. Walka o szyfrowane komunikatory nie jest rozstrzygnięta, a jej wynik dotknie każdego, komu bliska jest prywatna rozmowa.
