Naplní se orwellovská vize v 21. století?

Pojmeme-li člověka, potažmo lidské tělo, jako množinu počítačově zpracovatelných informací (biometrických znaků), lze tyto informace uchovávat v databázi, ukládat na paměťová média a přenášet z místa na místo. Jestliže tedy matematické obrazy charakteristik lidských morfologických znaků a biochemických parametrů budou uchovávány v databázích, mohou z nich být následně extrahovány a porovnávány navzájem i s jinými soubory relevantních dat. To ovšem vytváří rizika zneužití těchto datových souborů. Prostřednictvím biometrických znaků může být jedinec (jako izolované individuum) permanentně sledován, aniž si je toho vědom.

Proč? Protože – (z pohledu „sledovatele“) – řada morfologických a lokačních znaků nevyžaduje přímou aktivitu ani lokální výskyt sledované entity (což může být – v případě výzkumu ohrožených druhů – třeba tygr či orangutan).

Některé identifikační metody mohou probíhat bez vědomí identifikované osoby jen stěží, například sejmout otisk prstu vyžaduje určitou (byť i nedobrovolnou) „spolupráci“ identifikovaného. Existují však zařízení, která mohou člověka identifikovat, aniž se na tom sám podílí, ba aniž má o tom ponětí. Některým zařízením stačí, jestliže sledovaná osoba projde identifikačním prostorem (detektorem, o němž ani neví), a lze získat biometrické informace.

Moderní zařízení identifikují jedince tím, že dokážou přečíst a vyhodnotit četné specifické identifikační biometrické parametry sledované osoby, zejména pak individuálně naprosto specifické obrazce oční duhovky a sítnice, jedinečnost tvaru ušních boltců i další charakteristické identifikační parametry: chůzi, pach těla, dynamiku krevního toku, charakteristické morfokinetické rysy podpisování, akustické spektrální charakteristiky hlasu, morfémové identifikanty tváře a další znaky.

Přestože biometrická analýza není úplně nejnovější metodou ověření totožnosti, do popředí „veřejného“ zájmu se dostala v důsledku opatření, která zavedly na letištích a hraničních přechodech Spojené státy po teroristických útocích z 11. září 2001.

Ověřte pouze totožnost, soukromí „nechte být“

Použití biometrických údajů pro verifikaci je – z hlediska ochrany soukromí – rozhodně přijatelnější než jejich použití pro identifikaci. Verifikace „jenom“ ověřuje, zda ten, kdo o sobě prohlašuje, že někým je, jím je opravdu, tedy zda je oprávněným vlastníkem pasu. I v těchto případech ale existuje riziko zneužití. Biometrické informace lze vyhodnocovat také off-line, srovnáváním určitých přirozených biometrických znaků – toho, který jedinec nabízí, s tím, který je uložen v paměťovém nosiči (často na čipové kartě).

Pro verifikaci není zapotřebí vytvářet velké databáze. Je ovšem třeba užít technologie, které umožní, aby identifikační obrazy – ikonické šablony – byly umístěny na takovém paměťovém nosiči, který má u sebe jedinec, tedy aby nebyly archivovány ve vzdálených databázích. Ikonickou šablonu je nutné nosit na vhodném přenosovém médiu – papírovém dokladu či identifikační kartě. Doklad se porovnává při ověřování identity a při zjišťování, zda nebyl odcizen (pak by samozřejmě obrazy nesouhlasily).

Příkladem využití verifikace v praxi by měl být evropský cestovní doklad. Evropská komise rozhodla, že do r. 2007 budou mít občané zemí Evropské unie evropský cestovní pas, který bude kromě digitální fotografie obsahovat i další biometrický údaj – zřejmě otisky dvou prstů. Otisky a digitální fotografie by měly sloužit především k ověření, kdo pas předkládá a zda je oprávněným držitelem dokladu. Jakým způsobem bude otisk prstu zapsán na čip, kdo bude dodavatelem potřebných technologií k výrobě evropského cestovního pasu a jaké standardy budou použity, to se teprve řeší. Prvořadým úkolem je však vytvoření mezinárodního standardu snímacích a vyhodnocovacích technologií.

V nejbližší době lze očekávat velký rozmach biometrického průmyslu. Pravděpodobně budeme svědky rozmanitých důmyslných obchodních strategií uplatňovaných ve snaze získat vysoce lukrativní kontrakty v rámci Evropské unie.

Ve Spojených státech se to již děje, společnosti Viisage (www.viisage.com) a TDT získaly nedávno kontrakt na výrobu a instalaci systému pro americké biometrické pasy ve výši 65 milionů dolarů. Určitě i zmíněný americký program přispěl k tomu, že výrobci biometrických technologií podporují rozšiřování a všestranné uplatňování biometrických aplikací. Situace se odráží i na mezinárodních vědeckých konferencích. Například loni v Melbourne na konferenci The body as data právě soukromé firmy diskutovaly a demonstrovaly fair play při ochraně citlivých informací, ač ještě nepředstavily konkrétní produkty.

Kde se možnost ohrožení soukromí skrývá?

Identifikace je metoda vyhledávající biometrický znak, který vyděluje identifikovanou osobu z množiny ikonických šablon mnoha jiných lidí. Při použití biometrických údajů pro identifikaci je nutno vytvářet databáze digitalizovaných šablon, k nimž se logicky přiřazují další informace. Mohou se k nim vztahovat i jiné, zdánlivě redundantní údaje o identifikované osobě.

Takové databáze představují v ochraně soukromí největší úskalí. Existují totiž snahy vytvářet velké centrální databáze, z nichž je vybírána množina osobních informací na základě biometrických údajů. Jakmile jednou taková databáze vznikne, začnou se vytvářet rozmanité algoritmy zpracování těchto znaků. Zároveň se databáze postupně rozšiřují jak o čistě biometrické, tak o další, mnohdy velmi intimní informace. Vznikají pak rozsáhlé operativní evidence osobních údajů, v nichž lze detailní popis jedince vyhledat pomocí biometrických informací, které ovšem lze získat i bez vědomí jedince. Ten je pak v podstatě kdykoliv identifikovatelný v různých situacích soukromého života, neboť jeho identifikační šablony a biometrické obrazy zůstávají uloženy v databázích de facto natrvalo. Identifikace tedy spočívá v tom, že jedinec poskytne – ať už vědomě či nevědomě – konkrétní identifikační biometrické prvky, jejichž porovnáním s údaji v biometrické databázi lze v reálném čase zjistit, kým opravdu je. Takové databáze však mohou být průběžně doplňovány dalšími informacemi o pohybu, aktivitách, zájmech či společenských a pracovních kontaktech identifikované osoby. Správa a ochrana takové databáze není lacinou záležitostí a ne každá státní pokladna si takový luxus může dovolit… Nelze si ale neuvědomovat, že je nepřeberné množství možných „vyhodnocování“ jedinců či skupin obyvatel, a to podle nepřeberného množství zadaných kritérií… Další vědecké objevy mohou samozřejmě přinášet další a další možnosti „vytěžování“ databází.

Identifikace v praktickém životě

V rámci boje proti terorizmu přijaly Spojené státy americké zákony a nařízení vyžadující, aby letecké společnosti předávaly americkým úřadům osobní údaje cestujících i členů posádek, kteří do země přilétají nebo z ní odlétají. Americké úřady ukládají aeroliniím povinnost poskytovat Úřadu cel a ochrany hranic Spojených států elektronický přístup k údajům v záznamech pasažérů pro lety do USA, z USA i s tranzitem přes USA. Téměř rok tak získává americká státní administrativa přímo od leteckých společností řadu informací včetně těch nejcitlivějších, jakými je například zdravotní stav či náboženské vyznání. Údaje jsou pak porovnávány prostřednictvím vyhledávacího systému CAPPS II s evidencí Federálního úřadu pro vyšetřování (FBI), jež obsahuje mimo jiné údaje o závadových osobách. K evidenci FBI má přístup nepříliš dobře veřejně deklarovaný soubor institucí. Navíc mají být tyto databáze propojovány s dalšími databázemi, které obsahují osobní informace o jednotlivcích. Letecké společnosti, které těmto požadavkům nevyhovějí, mohou dostat vysokou pokutu, nebo dokonce ztratit přistávací práva. Nadto mohou utrpět újmu na prestiži, protože po příletu do Spojených států vystavují své klienty případným nepříjemnostem.

Předávání dat americkým úřadům vzbuzuje obavy v mezinárodním měřítku, má rozsáhlé dopady politické a institucionální. Evropská komise proto usilovně vyjednává o redukci požadovaných údajů v registru jmen pasažérů. Evropský komisař pověřený vyjednáváním již docílil řady ústupků, kupříkladu místo původně zamýšlených padesáti let budou informace o cestujících uchovávány jenom tři a půl roku, a poté skartovány. Původních 39 požadovaných dat bylo omezeno na „pouhých“ 34. USA se také rozhodly akceptovat vhodný technický mechanizmus předávání dat. Místo systému „pull“, jehož prostřednictvím by americké úřady měly přímý přístup do databáze leteckých společností a rezervačních systémů, budou používat systém „push“; v němž vybírají a předávají určité údaje letecké společnosti samy a jsou povinny informovat o tomto kroku pasažéry.

Nicméně 4. května odmítl Evropský parlament zařadit na pořad své schůze hlasování o dohodě mezi EU a USA o předávání osobních údajů cestujících leteckých společností na linkách do Spojených států. Nevyhověl žádosti Rady ministrů EU, aby se zmíněnou dohodou, kterou většina poslanců považuje za nespolehlivou a diskriminační, nálehavě začal zabývat, a už v dubnu požádal Evropský soudní dvůr o právní posouzení, zda není dohoda v rozporu s evropskou úpravou ochrany osobních údajů.

V rámci programu US-VISIT, jehož cílem je získávat biometrické charakteristiky osob a doplňovat jimi databáze, totiž zavedly americké úřady opatření týkající se pasažérů zemí, jež nemají s USA bezvízový styk. Od 5. ledna 2004 je každý cestující do USA povinen poskytnout imigračním úředníkům už na letišti otisk prstu a digitální fotografie. Tato data se automaticky ukládají (spolu s dalšími údaji) do zmíněné databáze, kde jsou dále porovnávána. Tento proces hodlají USA rozšířit z letišť i na své námořní přístavy a pozemní hraniční přechody.

Jakkoli se komisařům EU podařilo zkrátit dobu platnosti opatření v rámci osobních dat pasažérů o čtyřicet šest a půl roku, pro deponování biometrických dat USA doposud trvají na časovém horizontu sto let (sic!). Již z toho je zřejmé, že použití biometrických charakteristik pro identifikaci jednotlivce by mělo být pod velmi přísným dohledem, který každému jedinci zaručí nejvyšší stupeň ochrany údajů. Proto Úřad pro ochranu osobních údajů v ČR a podobné instituce v okolních zemích dávají přednost užití biometrických informací výhradně pro verifikaci.

Česká republika v mezinárodním kontextu ochrany soukromí

Úřad pro ochranu osobních údajů se velmi zasazuje o to, aby se nové metody zpracování biometrických charakteristik využívaly převážně pro účely verifikace. Podle Karla Neuwirta, předsedy úřadu, je třeba identifikační systémy „vážit na miskách velmi citlivých vah“ tak, aby jejich nasazení podléhalo vždy kontrole příslušných zákonných opatření. V České republice (na rozdíl od jiných evropských zemí) žádné rozsáhlé databáze biometrických údajů nemáme – a zatím se o jejich zřízení ani relevantně nediskutuje. V souvislosti s biometrickými cestovními doklady se to ale brzy může změnit.

V Radě Evropy a v Evropské komisi již pracují expertní skupiny, které mají užití biometrických charakteristik upravit. Dokument Rady Evropy se bude jmenovat „Základní principy ochrany osobních údajů“, dokument Evropské komise „Ochrana osobních údajů a biometrické informace“. V obou expertních výborech má Česká republika zastoupení a na tvorbě či úpravě dokumentů se podílí. Zpracovatelem části dokumentu Rady Evropy je již zmíněný Karel Neuwirt. Pozoruhodný dokument, který se nazývá „Informační bezpečnost a soukromí v souvislosti s technologiemi identifikace pomocí biometrie a technologiemi identifikace jednotlivce na základě analýzy rekombinace DNA“, vydala také Organizace pro ekonomickou spolupráci a rozvoj.

Žádný ze zmíněných dokumentů nenabyl doposud právní moci, je nutno vyčkat, až normativně závazný dokument vydá Evropský parlament či Rada Evropy. Přesto jsou však zmíněné dokumenty významnými legislativně-metodickými nástroji, které umožňují, aby se biometrické metody začaly používat souběžně s právními předpisy chránícími soukromí. Smyslem aktivit výše zmíněných orgánů je poskytnout legislativní nástroje těm, kdož jsou v jednotlivých státech kompetentní k vykonávání dozoru. Úkolem dozoru pak bude sledovat, zda zpracovatelé osobních údajů (včetně biometrických) vždy jednají v souladu s platnými zákony a zda jsou respektována práva jednotlivců zaručená ústavou.