Частни и непублични центрове могат да завладеят неунищожими данни за електронната самоличност на населението
Даването на пръстови отпечатъци на болниците предизвика сериозни възражения заради опасността тези възможно най-лични идентификационни данни да не бъдат опазени. Проблемът не е малък, макар че пръстовите отпечатъци отдавна фигурират в задграничните ни паспорти заради европейски регламент. Междувременно още по-широк набор от данни за личността може да стане чуждо достояние. Широки възможности за това отворя новият Закон за електронната идентификация. На първо място трябва да се отбележи, че и в закона, и в правилника за прилагането му липсва каквото и да е ясно определение на понятието „електронна идентичност”, така никой не е наясно какви данни ще се събират за него в съответните центрове и регистри. А щом нещо не е строго дефинирано и е оставена вратичка, наборът от данни може да е твърде голям.
С приетия през май т.г. закон се създава възможност за разпознаване на самоличността в интернет, прави се нещо като електронен ЕГН или електронна лична карта с много повече данни в нея. Това е първата стъпка към въвеждане на електронното гласуване и използването на всички административни онлайн услуги в рамките на т.нар. „електронно правителство”. Право на електронен идентификатор ще имат всички български граждани и чужденци, навършили 14-годишна възраст, които притежават единен граждански номер (личен номер на чужденец). Удостоверенията за електронна идентичност ще се издават от министъра на вътрешните работи след писмено заявление и ще важат пет години. Всички притежатели ще бъдат вписвани в специален регистър към МВР, като няма да има пречка един човек да поиска издаване на повече от едно удостоверение за електронна идентичност. Внимателно вглеждане в текстовете на закона и на одобрения наскоро правилник за прилагането му обаче подсказват сериозни проблеми и възможности за злоупотреби.
Законът дефинира два вида структури, които ще оперират с електронната идентичност на хората – центрове за електронна идентификация и администратори на електронна идентичност. На пръв поглед цялата дейност ще се контролира от МВР, а в Държавната агенция „Електронно управление” ще се намира държавният Център за електронна идентификация. Законът обаче лукаво оставя широко отворена врата, като казва, че „функциите на център за електронна идентификация могат да се осъществяват и от други лица, вписани в регистъра”. Тоест центърът може да не е само един, а да са няколко. И няма никакво ограничение те да бъдат само държавни или само български. На практика това означава, че избрани и регистрирани в МВР частни фирми ще администрират електронната самоличност на хората и ще извършват проверки коя самоличност на кое лице отговаря.
Въпросните центровете за идентификация ще са ключови структури, тъй като там ще се пазят всички данни за електронната самоличност на хората, ще се правят проверките й, включително трансграничните, ще се пази историята на достъпа. Като знаем колко е голям гладът за лични данни от редица големи компании, можем да предположим, че се очаква сериозен инвестиционен интерес… Частни фирми при това ще са не само центровете, но и администраторите на електронна идентичност, които ще издават удостоверения за виртуалното ни Аз. И още един любопитен момент – спирането на удостоверение за електронна идентичност представлява временно преустановяване на силата му по отношение на титуляря, но не означава унищожаване на самата електронна идентичност. Този цифров сбор от данни, който представлява едно лице, веднъж създаден и попаднал в тези регистри, вече не се унищожава и остава там вечно. Така частните центрове могат да владеят неунищожимите данни за електронната самоличност на населението.
В интерес на истината електронни бази данни за населението има и в момента в МВР, в ГРАО, в ДАНС, и в други служби. Но те са с държавно гарантирана защита, а с новия закон стават собственост на частни фирми и законът дава право на тези компании да ги употребяват – директно се посочва, че центровете и администраторите могат да извършват тази дейност възмездно, както и да ги ползват за бизнес целите си. И какво от това, че е разписан механизъм за контрол от МВР и обезщетение от 100 000 лв. за злоупотреба с данните? Наличието на Комисия за защита на личните данни да не би да е кой знае каква бариера пред това те да се развяват къде ли не безконтролно? Сега наред са електронните данни, а вероятно и биометричните ни. Симптоматично е, че в закона няма изрична процедура и ограничения, свързани с националната сигурност, което очевидно означава, че възлагането на разработката и поддръжката на базите с данни ще става по обикновен търговски ред, като няма дори и изискване това да става с обществена поръчка. Така е отворена още една вратичка – центрове да бъдат избирани и вписвани от МВР по реда на прякото договаряне (защо не и на четири очи?).
Тези съмнения и опасения имат пряка връзка с друг „болен” въпрос – предстоящото въвеждане на електронно гласуване. Няма нито една пречка системата за този вот да се изгради и поддържа от същата частна фирма, която е получила съответните системи за електронното управление и за електронната идентификация, превръщайки се по този начин в по-голям монополист на лични данни и от държавните органи. Изборната администрация ще поддържа само регистър на заявилите електронно гласуване избиратели и електронен сайт за гласуване чрез интернет терминали. Всичко останало остава извън нейните възможности за контрол. Независимо че фирмите ще подлежат на регистрация от МВР, винаги има опасност от пазарлък: за да ти дам лиценз за дейността, ти ми предоставяш базата си при гласуване на избори примерно. Звучи по оруеловски, но няма никакви гаранции, които да го изключват. Едно от правилата на електронното гласуване, предвидено да се въведе от 2018 г., е възможността да се гласува многократно в продължение на четири дни преди изборите, като за валиден ще се приема само последният по време подаден вот. Сега си представете, че тази система генерира в последните минути масивен електронен вот, който обръща изборите. А избирателят си мисли, че си е гласувал от вкъщи за избраната партия. Според поправките в Изборния кодекс, с които се въвежда дистанционното електронно гласуване (по интернет), избирателят има право да провери вота си в рамките на отворения за гласуване период от четири дни, но, забележете, „след приключване на гласуването информацията за направения избор става недостъпна”. Да не говорим, че самата възможност за гласуване няколко пъти в продължение на четири дни поставя традиционния и електронния вот в неравностойно положение: гласуването с хартиена бюлетина не може да се изменя и поправя.
Опасността от злоупотреба е огромна и е свързана преди всичко с две големи групи български граждани – традиционно нeгласуващите, както и българите, които отдавна живеят в чужбина и са се откъснали от обществения живот в страната. Защото тези хора или поне преобладаващата част от тях едва ли ще тръгнат да проверяват дали от тяхно име не е подаден електронен вот. Дори да приемем, че подобни злоупотреби ще са единични случаи, а не масова практика, рискът от подмяна на вота е налице – особено на местни избори, когато и няколко гласа могат да имат решаващо значение за резултата. Да не говорим за опасенията, че електронното гласуване предоставя в ръцете на търговци с гласове и местни феодали много по-лесен и удобен инструмент за упражняване на контролиран вот. Подобни съмнения винаги ще са налице, когато самото гласуване се извършва далеч от очите на изборните комисии.
Сега да добавим и друг проблемен момент: ДАНС получи законно право да открива фондации, граждански сдружения и фирми, в които ще работят агенти под прикритие. Те ще ползват фалшиви лични документи, като държавните и общинските органи ще им съдействат с актове за раждане, дипломи и свидетелства за брак. Това не означава ли на практика, че ДАНС ще има възможност да генерира и неограничено количество фалшиви електронни самоличности и с тях да обръща вота в една или друга посока?
Гласуване по интернет в пълния му вид има само във Франция и Естония. И понеже напоследък за всяко нещо у нас се дава за пример Германия, то нека се има предвид, че Конституционният съд в Берлин през 2009 г. обяви електронното гласуване за противоконституционно. Най-важните аргументи в мотивите дават отговор и на посочените опасности в българския Изборен кодекс:
- Конституционният принцип за откритост на изборите задължава съществените етапи от изборния процес и определянето на резултатите да могат да бъдат наблюдавани и проверявани от граждани без специализирани познания.
- При традиционните избори с използване на хартиени бюлетини при спазване на установените изисквания злоупотребите са редки и възможни единствено със значителни усилия, при значителен риск от разкриване, което има съществен превантивен ефект.
- Програмните грешки в софтуера за гласуване или умишлената изборна измама чрез манипулиране на софтуера трудно могат да бъдат установени. Широкообхватният ефект на възможните грешки в машините за гласуване или на умишлената изборна измама налагат необходимостта от изключителни мерки за гарантирането на открития характер на изборите.
- Гласоподавателите трябва да имат възможност лично да се уверят дали техните гласове са получени и преброени без промени, както и да могат да бъдат повторно преброени на по-късен етап, като това не трябва да изисква каквито и да били специализирани познания, защото възможността за проверка на съществените стъпки в процеса на гласуване създава оправдано доверие в законността на изборите.
- Ограниченията на възможността гражданите да проверят как е отчетен гласът им не могат да бъдат компенсирани от официална институция. Дори всеобхватни и разнообразни технически и организационни мерки за сигурност не са достатъчни, за да компенсират липсата на възможност съществените стъпки в процеса по гласуване да бъдат проверени.
Добре известно е, че в света няма толкова сигурна електронна система, която да е 100% защитена от хакери.
Засега изглежда, че нито действителните автори на закона – млади съветници на вътрешния министър Румяна Бъчварова и програмисти без опит и сериозна представа от държавното управление, нито депутатите, които го гласуваха в този му вид, осъзнават каква врата към злоупотреби с базата данни на населението са отворили, предоставяйки огромни възможности в ръцете на политически партии и на неконтролируеми частни субекти. Апетитен е и бюджетът на новата Държавна агенция за електронно управление, която ще заработи официално от ноември т.г., но пък вече си има назначен председател – небезизвестният Росен Желязков. На практика правителството създаде нов мастодонт за 500 служители с политически кабинет, структура на министерство и с очакван бюджет от 300 млн. лв. до 2020 г. За сравнение бюджетът на МВР за 2016 г. е 1,27 млрд. лв. за система, в която работят... 45 260 души.
Законът за електронната идентификация беше приет на второ четене през май 2016 г., като преди това за повече от два месеца бе спрян от председателя на вътрешната комисия Цветан Цветанов. За известно време изглеждаше, че и в ГЕРБ се страхуват да отворят кутията на Пандора. А после може би се замислиха, че който е на власт в момента, когато се определят частните фирми – администратори на системите, той има шанс да остане във властта за дълго.