EÚ spúšťa najväčšiu digitálnu revolúciu od vzniku internetu. Do telefónu si uložíte občianku, vodičák aj ďalšie dokumenty

Začína sa zmena, ktorá sa dotkne takmer každého obyvateľa Európskej únie. Do konca roku 2026 majú členské štáty ponúknuť európsku digitálnu peňaženku, do ktorej si ľudia uložia svoju digitálnu identitu, vodičský preukaz, potvrdenie o vzdelaní alebo ďalšie úradné dokumenty. Nejde pritom len o ďalšiu aplikáciu v telefóne. Vzniká nový technologický štandard, ktorý má prepojiť úrady, banky, univerzity a súkromné ​​služby naprieč celou Európou.

Na sociálnych sieťach sa okolo projektu šíri množstvo prehnaných tvrdení. Európska digitálna peňaženka ale nie je návratom covidových certifikátov ani povinným QR kódom, bez ktorého nebude možné fungovať. Realita je menej dramatická, technologicky je však možno ešte zaujímavejšia.

Nejde o jednu európsku databázu všetkých občanov

Európska digitálna peňaženka, označovaná ako EU Digital Identity Wallet alebo skrátene EUDI Wallet, má fungovať podobne ako Apple Wallet alebo Google Wallet. Rozdiel je v tom, že nebude uchovávať len platobné karty, letenky alebo vstupenky, ale aj úradne overené digitálne dokumenty.

Neznamená to, že Európska únia vytvorí jednu centrálnu databázu, v ktorej budú uložené všetky informácie o občanoch. Jednotlivé doklady budú naďalej vydávať príslušné štáty, úrady, školy, banky alebo iné dôveryhodné inštitúcie. Peňaženka v telefóne bude slúžiť ako zabezpečené miesto, z ktorého používateľ konkrétne digitálne potvrdenie predloží.

Každý dokument bude kryptograficky podpísaný svojim vydavateľom. Banka, úrad alebo iná služba si tak bude môcť overiť, že dokument skutočne vydala oprávnená inštitúcia a že nebol následne upravený.

Konec fotografovanie občianskeho preukazu

Jednou z najväčších praktických zmien bude spôsob, akým sa ľudia preukazujú na internete. Dnes je bežné, že banka, poisťovňa, operátor alebo iná služba požaduje fotografiu občianskeho preukazu. Kópia dokladu potom môže zostať uložená na serveroch spoločnosti, často spoločne s menom, adresou, dátumom narodenia, fotografií a číslom dokumentu.

Európska digitálna identita má tento postup nahradiť prenosom digitálne podpísaných údajov. Užívateľ v aplikácii uvidí, aké informácie služba požaduje, a následne ich odovzdanie potvrdí.

Protistrana pritom nemusí dostať fotografiu celého dokladu. Dostane iba overené dáta potrebné pre konkrétnu situáciu. Zároveň si bude môcť automaticky overiť, že informácie pochádzajú z dôveryhodného zdroja.

Najdôležitejšie technológie umožnia skryť väčšinu údajov

Z technologického hľadiska je jednou z najzaujímavejších funkcií takzvané selektívne zdieľanie údajov. To znamená, že používateľ nemusí odovzdávať celý dokument, ak služba potrebuje overiť iba jednu konkrétnu skutočnosť.

Typickým príkladom je overenie veku. Pri nákupe alkoholu, vstupe na web určený dospelým alebo využití niektorých služieb nie je nutné poznať celé meno, adresu ani presný dátum narodenia. Stačí potvrdiť, že je človek starší ako 18 rokov. Digitálna peňaženka tak môže odovzdať iba kryptograficky overenú odpoveď: Užívateľ spĺňa požadovanú vekovú hranicu. Služba pritom nemusí zistiť, kto presne používateľ je, kde býva ani kedy sa narodil. Tento princíp má znížiť množstvo osobných údajov, ktoré ľudia odovzdávajú súkromným firmám.

Overovanie veku má byť oddelené od celej identity

Európska únia súčasne pripravuje spoločný systém pre digitálne overovanie veku. Ten má byť technicky kompatibilný s budúcou európskou peňaženkou, ale jeho cieľom nie je odhaľovať celú identitu používateľa.

Internetová služba môže získať potvrdenie, že človek prekročil stanovenú vekovú hranicu bez toho, aby dostala jeho celé osobné údaje. V praxi by tak nemalo byť potrebné posielať prevádzkovateľovi webu fotografiu občianskeho preukazu ani vytvárať kópiu dokladu.

Práve tu sa budú rozhodovať najdôležitejšie technické detaily. Systém musí byť navrhnutý tak, aby jednotlivé weby nedokázali užívateľa podľa predloženého potvrdenia sledovať naprieč internetom alebo spájať jeho aktivitu na rôznych službách.

Čo si bude možné do digitálnej peňaženky uložiť

Európska peňaženka nemá byť len digitálnou občiankou. Postupne má podporovať rôzne typy elektronicky overených dokumentov a potvrdení.

• digitálne identifikačné údaje,
• vodičský preukaz,
• potvrdenie o veku,
• diplomy a potvrdenia o vzdelaní,
• profesijné kvalifikácie a certifikáty,
• elektronické podpisy,
• úradné potvrdenie a ďalšie digitálne dokumenty.

Konkrétna ponuka sa bude líšiť podľa štátu a podľa toho, ktoré inštitúcie začnú svoje dokumenty v digitálnej podobe vydávať.

Digitálny dokument musí fungovať aj za hranicami

Hlavným dôvodom vzniku spoločného európskeho štandardu je cezhraničná použiteľnosť. Digitálny dokument vydaný v jednom členskom štáte má byť technicky overiteľný aj v inej krajine Európskej únie.

Český alebo slovenský občan by tak mohol prostredníctvom telefónu preukázať svoju zahraničnú totožnosť.ance, univerzite, úrade alebo inej službe. Systém musí poznať, ktorá inštitúcia dokument vydala, či je dôveryhodná a či predložené údaje neboli zmenené.

Práve preto EÚ nevytvára len jednu konkrétnu aplikáciu. Vytvára spoločnú architektúru, bezpečnostné pravidlá, formáty dokumentov a zoznam dôveryhodných vydavateľov, ktorým majú rozumieť všetky kompatibilné peňaženky.

Ako bude prebiehať overenie identity

Užívateľ napríklad otvorí web banky, ktorá potrebuje overiť jeho identitu. Na obrazovke sa zobrazí QR kód alebo iný spôsob prepojenia s digitálnou peňaženkou v telefóne. Aplikácia následne ukáže, aké údaje banka požaduje. Môže ísť napríklad o meno, dátum narodenia a adresu. Užívateľ odovzdanie potvrdí pomocou PIN kódu, odtlačku prsta alebo rozpoznanie tváre.

Peňaženka vytvorí digitálne podpísanú odpoveď a odošle iba schválené údaje. Banka potom overí podpisy a platnosť predložených dokumentov. QR kód v tomto prípade nie je samotnou identitou ani povolením na bežný život. Slúži iba ako technický prostriedok na bezpečné prepojenie telefónu s konkrétnou službou.

Biometria môže chrániť aplikáciu, nemusí sa ale odosielať do EÚ

Telefón môže na odomknutie peňaženky používať Face ID, odtlačok prsta alebo inú formu biometrického zabezpečenia. To však neznamená, že tvár alebo odtlačky prstov budú automaticky ukladané do centrálnej európskej databázy.

V bežnom scenári biometria iba lokálne overí, že aplikáciu používa oprávnený majiteľ zariadenia. Funguje podobne ako pri odomykaní telefónu alebo potvrdzovaní mobilnej platby. Je tiež nutné odlišovať biometrické odomykanie telefónu od biometrických údajov obsiahnutých v niektorých oficiálnych dokladoch. Ide o dve technicky aj právne odlišné veci.

Používanie peňaženky má byť dobrovoľné

Členské štáty majú povinnosť digitálnu peňaženku ponúknuť občanom. To ale neznamená, že si ju musí každý povinne nainštalovať. Vybrané úrady a niektoré súkromné ​​subjekty budú musieť európsku digitálnu identitu podporovať ako jeden zo spôsobov overovania. Povinnosť prijímať tento štandard je teda predovšetkým na strane poskytovateľov služieb.

Zásadnou otázkou bude, či v praxi zostanú dostupné aj iné spôsoby overenia. Digitálna peňaženka môže byť formálne dobrovoľná, ale ak by sa stala jedinou pohodlnou možnosťou, mohol by vzniknúť nepriamy tlak na jej používanie. To zatiaľ nie je technický fakt, ale legitímna obava, ktorú bude nutné sledovať pri zavádzaní systému.

Najväčším rizikom je prepojenie príliš mnohých služieb

Samotná technológia môže súkromie zlepšiť. Namiesto celej kópie občianskeho preukazu sa odovzdá len minimum potrebných údajov. Zároveň ale vzniká nástroj, ktorý môže byť použitý pri komunikácii s úradmi, bankami, školami aj internetovými službami.

Ak by bol systém navrhnutý zle, mohlo by vzniknúť riziko sledovania jedného používateľa naprieč rôznymi službami. Dôležité preto bude, aby každé overenie používalo oddelené identifikátory a aby jednotlivé spoločnosti nedokázali jednoducho zistiť, kde všade človek svoju peňaženku použil. Ďalším rizikom je takzvané nadmerné vyžadovanie údajov. Služba môže požadovať viac informácií, než pre svoju prevádzku skutočne potrebuje. Užívateľ preto musí vždy jasne vidieť, čo odovzdáva, komu to odovzdáva a prečo sú konkrétne údaje požadované.

Čo sa stane pri strate telefónu

Digitálna identita v mobile bude musieť mať mechanizmus na zneplatnenie a obnovenie. Ak používateľ zariadenie stratí, musí byť možné peňaženku zablokovať a následne preniesť alebo znovu aktivovať na novom telefóne.

Strata telefónu by nemala automaticky znamenať stratu samotnej identity. Dokumenty stále vydávajú príslušné inštitúcie a kompromitovanú peňaženku musí byť možné odvolať podobne ako stratenú platobnú kartu alebo certifikát.

Zásadné bude tiež zabezpečenie záloh. Príliš jednoduchá cloudová záloha by mohla oslabiť ochranu celého systému. Naopak príliš zložité obnovenie by mohlo používateľa po strate zariadenia od ich dokumentov na dlhú dobu odrezať.

Nejde o návrat covidových certifikátov

Covidové certifikáty a európska digitálna peňaženka môžu na prvý pohľad vyzerať podobne, pretože oba systémy pracujú s digitálne podpísanými údajmi a niekedy používajú QR kódy. Technicky však nejde o rovnaký projekt.

Covidový certifikát potvrdzoval obmedzený zdravotný údaj na konkrétny účel. Európska digitálna peňaženka je všeobecná infraštruktúra určená pre rôzne typy identity, dokumentov a elektronických potvrdení.

Na niektorých častiach projektov môžu pracovať rovnaké technologické spoločnosti a oba systémy môžu využívať podobné princípy kryptografie či interoperability. To ale samo o sebe neznamená, že ide o rovnakú databázu alebo pokračovanie covidového systému pod iným názvom.

Európu čaká obrovská technologická zmena

Európska digitálna identita nebude revolúciou preto, že ľudia dostanú ďalšiu aplikáciu. Zásadný je vznik spoločného štandardu, podľa ktorého budú môcť úrady, banky, univerzity a súkromné ​​spoločnosti vydávať a overovať digitálne dokumenty naprieč celou Európskou úniou.

V ideálnom prípade prestane byť potrebné fotografovať občianske preukazy, posielať ich kópie e-mailom a pri každom overení odhaľovať viac údajov, než je nevyhnutné. Užívateľ bude môcť odovzdať iba konkrétnu informáciu a protistrana si jej pravosť overí pomocou kryptografie.

Či sa z európskej digitálnej peňaženky stane bezpečný a užitočný nástroj, alebo ďalší zdroj obáv o súkromí, nerozhodne samotný QR kód. Rozhodne spôsob implementácie, zabezpečenie aplikácií, pravidlá pre súkromné ​​spoločnosti a to, či budú ľudia skutočne rozhodovať o každom odovzdanom údaji. Isté je jedno, počas niekoľkých nasledujúcich rokov sa zásadne zmení spôsob, akým ľudia v Európe preukazujú svoju totožnosť na internete aj v bežnom živote.