Po wykorzystaniu chipów RFID (ang. radio-frequency identification; identyfikacja radiowa), znajdujących się w coraz większej ilości towarów i urządzeń, do: zarządzania rozmaitymi zasobami; kontroli i zachowania „zimnego łańcucha dostaw”; walki z podrabianymi towarami; znakowania zwierząt; tworzenia elektronicznych identyfikatorów otwierających drzwi; biletów na środki transportu, czy kart płatniczych, przyszedł czas na „chipowanie” ludzi.
Wszczepianie chipów RFID, ułatwiające codzienne funkcjonowanie, już kilkukrotnie zostało wykorzystane – w różnych krajach, w różnych okolicznościach i w odpowiedzi na różne potrzeby. W 2004 i 2013 roku głośno było o hiszpańskich dyskotekach, w których bawiący się mogli płacić za pomocą podskórnych chipów. W 2015 roku szwedzka spółka Epicenter, przedstawiająca się na rynku jako sztokholmski „House of Innovation”, jako pierwsza wszczepiła swoim pracownikom chipy RFID. Od 2016 roku, kiedy to argentyński klub piłkarski Atletico Tigre wprowadził tzw. „Passion Ticket”, słowa zagorzałych kibiców tej drużyny – „I carry you inside me!”, zyskały nowy – dosłowny – wymiar. Klub umożliwił bowiem kibicom wszczepianie w ramię chipów, zastępujących bilety na sezon piłkarski, zdejmując z ich barków jakże „uciążliwą” czynność okazywania dokumentu tożsamości i biletów przed wejściem na mecz. Lojalność i oddanie kibiców świetnie zresztą wykorzystano w kampanii reklamowej nowego rozwiązania – „Carrying the club inside you won’t just be a metaphor anymore!”.
W lutym 2017 roku, zagraniczne media obiegła informacja o kolejnej akcji chipowania ludzi, tym razem przez belgijską spółkę Newfusion. Po tym jak pracownicy często gubili elektroniczne klucze (breloki), pracownikom-ochotnikom wszczepiono pod skórę, między kciukiem a palcem wskazującym, chipy RFID wielkości ziarnka ryżu. Jeden chip kosztował spółkę 100 euro. Rzecznik spółki podkreśla liczne zalety takiego rozwiązania: chip zawiera dane osobowe pracownika, umożliwia nie tylko otwieranie drzwi i uruchamianie komputera, ale również ma wbudowaną pamięć pozwalającą np. na zapisywanie kontaktów.
Nie ulega wątpliwości, że tego typu rozwiązania muszą budzić (i pewnie budzą) ogólne podekscytowanie wśród pasjonatów nowinek technologicznych… bo przecież ich wymyślanie i nadawanie im realnych kształtów nie jest przysłowiową sztuką dla sztuki. Wśród prawników natomiast, oprócz podziwu dla twórców technologicznych nowości i ich umiejętności z zakresu szeroko rozumianych nauk ścisłych, rozwiązania te budzą szereg pytań natury prawnej i etycznej.
Na horyzoncie wyłania się kilka istotnych zagrożeń.
Co z poszanowaniem prawa do życia prywatnego i ochroną danych osobowych?
Przewodniczący belgijskiej Ligi Praw Człowieka, Alexis Deswaef, widzi w tego typu rozwiązaniach bardzo duże niebezpieczeństwo, prowadzące do poddania pracowników totalnej kontroli. Pracodawca uzyska informacje chociażby o godzinie, o której pracownik rzeczywiście rozpoczął pracę, o przerwach w jego pracy i ich długości, itp. W rezultacie, w oparciu o te dane, pracodawca będzie mógł przeanalizować produktywność danego pracownika.
Różnorodne wykorzystywanie technologii RFID pociąga za sobą konieczność wzmożonej ochrony danych osobowych. Niewidoczność lub słaba widoczność urządzeń wykorzystujących technologię RFID w połączeniu z brakiem uprzedniej informacji osób, której określone dane dotyczą, stwarza poważne niebezpieczeństwo. Dowolna osoba, wyposażona w odpowiedni czytnik RFID, może bowiem odczytać zawartość zapisaną w niezaszyfrowanym chipie RFID. Mając z kolei na uwadze cele, do jakich wykorzystywane jest chipowanie ludzi, wszczepiane identyfikatory zwykle zawierają dane osobowe, które pozwolą na identyfikację na odległość tejże osoby. Jeśli na dodatek pomyślimy o całym wachlarzu urządzeń życia codziennego mogących wykorzystywać takie rozwiązania technologiczne (bilety na środki komunikacji, ubrania, telefony, samochody, zegarki, etc.), śledzenie człowieka o różnej porze dnia i nocy, we wszystkich wykonywanych przez niego czynnościach, może wywoływać całkowicie uzasadniony niepokój. Na chwilę obecną, stosowane systemy RFID nie pozwalają jeszcze na ciągłą kontrolę ludzi, lecz nieuchronnie zmierzają w tym kierunku. Aktualnie praktykowane rozwiązania zawierają bowiem w sobie pewne ograniczenia. Tytułem przykładu można wskazać na paryski system „passe Navigo” – system kart na środki transportu na obszarze Ile-de-France, przeznaczony tylko dla mieszkańców i osób pracujących na tym terenie. Korzystanie z takiej karty, pozwala nam poznać tylko trzy ostatnie stacje metra, na których użytkownik karty zatwierdził swoje przejście oraz dane, dzięki którym można określić moment, w którym to zdarzenie zaszło. Wykluczone jest natomiast uzyskanie wszystkich dokładnych informacji na temat całej przebytej trasy. Ponadto, francuska Państwowa Komisja Informatyki i Wolności (fr. Commission nationale de l’informatique et des libertés) ograniczyła czas przechowywania zebranych w ten sposób danych do maksymalnie 2 dni, a cel ich zbierania – do wykrywania oszustw.
Wykorzystywanie przez jedną osobę albo wobec jednej osoby kilku urządzeń RFID oraz kumulacja uzyskanych dzięki nim rozmaitych informacji z różnych godzin, dni i czynności złożą się jednak w pewną całość pozwalającą nam prześledzić aktywność danej osoby. Od absolutnej kontroli naszych działań dzieli nas już niewiele… Z drugiej jednak strony, nowinki high-tech nie doprowadzą w przyszłości do sprzedawania przez nas samych, poniekąd za bezcen, prawa do poszanowania prywatności w zamian za uzyskanie większej wygody?
Mając na uwadze zagrożenia dla prywatności i ochrony danych osobowych, Komisja Wspólnot Europejskich wystosowała do Państw członkowskich zalecenie z dnia 12 maja 2009 r. w sprawie wdrażania zasad ochrony prywatności i ochrony danych w zastosowaniach wspieranych identyfikacją radiową (notyfikowana jako dokument nr C(2009) 3200) (2009/387/WE). Zgodnie z ww. Zaleceniem, Państwa członkowskie powinny dopilnować, aby operatorzy niezależnie od swoich innych zobowiązań określonych w dyrektywie 95/46/WE z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych, m.in.:
- a) przeprowadzali ocenę skutków wdrożenia zastosowań dla ochrony danych osobowych i prywatności, włącznie z ustaleniem, czy zastosowanie może być wykorzystane do monitorowania osoby fizycznej (monitorowanie zdefiniowane zostało jako jakakolwiek działalność prowadzona w celu wykrywania, obserwowania, kopiowania lub zapisywania położenia, ruchu, działań lub stanu osoby fizycznej) ; poziom szczegółowości oceny powinien być odpowiedni dla czynników ryzyka dla prywatności, jakie mogłyby się wiązać z zastosowaniem;
- b) podjęli odpowiednie środki techniczne i organizacyjne w celu zapewnienia ochrony danych osobowych i prywatności;
- c) wyznaczyli osobę lub grupę osób odpowiedzialnych za przegląd ocen i utrzymania właściwego charakteru środków technicznych i organizacyjnych w celu zapewnienia ochrony danych osobowych i prywatności;
- d) udostępnili ocenę właściwemu organowi co najmniej sześć tygodni przed wdrożeniem zastosowania.
- e) wdrożyli powyższe przepisy zgodnie z ramami oceny skutków w zakresie ochrony danych i prywatności określonymi w pkt 4, gdy tylko będą one dostępne.
Co z prawem do integralności fizycznej?
Rozpowszechnienie wszczepiania chipów RFID na dużą skalę dotyka również kwestii poszanowania integralności cielesnej człowieka i ryzyka dyskryminacji. Na chwilę obecną, znane z mediów przypadki wszczepiania chipów RFID dotyczą osób, które dobrowolnie zdecydowały się na taki krok. Czy rozwój podskórnych chipów RFID i wykorzystywanie tej techniki na szeroką skalę nie doprowadzi w pewnym momencie do obowiązku poddania się takiemu zabiegowi? Być może to, co jeszcze kilka lat temu było zwykłą plotką o obowiązkowym chipowaniu ludzi w ramach powszechnego ubezpieczenia zdrowotnego w USA, zwanego potocznie Obamacare, zostanie kiedyś i gdzieś wprowadzone. Czy osoby odmawiające zgody na wszczepienie elektronicznych identyfikatorów nie będą w pewnym momencie, w pewnej sferze, dyskryminowane?
Pomimo wielu możliwości i ułatwień w życiu codziennym, które oferują nam i mogą zaoferować rozwiązania RFID, należy mieć świadomość wielu niebezpieczeństw. Profesor Ari Juels z Cornell University w Nowym Jorku porównuje „świat rozwiązań RFID” do początków Internetu, kiedy to środki bezpieczeństwa w Internecie były znikome, by nie powiedzieć nieistniejące. Poważnym zagrożeniem jest chociażby ewentualna kradzież. W przeciwieństwie do zauważalnej kradzieży konkretnego przedmiotu, przejęcie, zmiana czy śledzenie wszczepionego RFID, a tym samym naszej tożsamości, jest już o wiele trudniejsze do wykrycia. Mikro-chipy RFID zawierać mogą szereg informacji, w tym tzw. danych osobowych wrażliwych (chociażby o stanie zdrowia). Ich odczytanie przez niepowołane do tego osoby byłoby wysoce niepożądane. Na tego typu przypadki należy się odpowiednio przygotować – zapewnić bezpieczeństwo zarówno technologiczne, jak i prawne.
Powyższe ryzyka nie zmniejszają jednak (mojej) fascynacji tymi rozwiązaniami i możliwościami, jakie dają…