Minister cyfryzacji: nie zbieramy żadnych danych związanych z użytkowaniem aplikacji ProteGO Safe

Posłowie Jarosław Sachajko, Radosław Lubczyk, Paweł Szramka w interpelacji poselskiej zapytali ministra cyfryzacji w sprawie usługi powiadomienia o ryzyku ekspozycji na koronawirusa.

Posłowie byli zainteresowani jakie informacje na temat działania systemów powiadomień o ryzyku ekspozycji posiada ministerstwo.  Pytali również czy system Google wspiera działania aplikacji ProteGO Safe i jak wygląda bezpieczeństwo tych dwóch rodzajów oprogramowania.

Minister Zagórski podkreślił, że aplikacja realizuje zalecenia GIS oraz WHO w zakresie oceny ryzyka wystąpienia tzw. bliskiego kontaktu. Ministerstwo brało udział w projektowaniu rozwiązania ProteGO Safe, a więc posiada wiedzę o architekturze rozwiązania i algorytmach w niej użytych. Zarówno kod aplikacji ProteGO Safe, jak i dokumentacja rozwiązania są dostępne publicznie na Github (https://github.com/ProteGO-Safe). W przypadku rozwiązania Google/Apple, Ministerstwo dysponuje materiałami opisującymi API oraz sposób działania biblioteki udostępnianymi przez Google i Apple.

Minister Cyfryzacji poinformował, że system (w rozumieniu Exposure Notification) wspiera nasze rozwiązanie. Aplikacja ProteGO Safe wymaga do swojego działania w części związanej z wymianą kluczy (Exposure Notification) biblioteki Google/Apple. Zatem system Google/Apple jak najbardziej wspiera ProteGO Safe. Co więcej, aplikacja ProteGO Safe ze względu na fakt korzystania z biblioteki Google/Apple podlega o wiele bardziej rygorystycznym przeglądom podczas publikacji w sklepach Google i Apple. Samą aplikację ProteGO Safe ściągnęło prawie 300 tys. osób.

Odpowiadając na kwestie związane z bezpieczeństwem, Marek Zagórski podkreślił, że Ministerstwo Cyfryzacji nie zbiera żadnych danych związanych z użytkowaniem aplikacji ProteGO Safe oraz sposobem jej wykorzystania czy działania. Takie decyzje podjęto ze względu na potrzebę zachowania pełnej anonimowości użytkowników. Aplikacja ProteGO Safe nie wymaga od użytkownika podania żadnych danych osobowych. Wszelkie dane związane z samooceną stanu zdrowia oraz oceną ryzyka napotkania osoby zakażonej są przechowywane i przetwarzane lokalnie na urządzeniu użytkownika. Dane lokalnie są przechowywane w postaci zaszyfrowanej. Jedyne informacje przekazywane poza urządzenie to tymczasowe klucze wymieniane z napotkanymi urządzeniami przez bluetooth (Temporary Exposure Key) oraz Dignosis Key przesyłane dobrowolnie przez użytkownika, który otrzymał pozytywną diagnozę po teście na obecność koronawirusa. Klucz ten jest wymagany do powiadomienia innych urządzeń o ryzyku napotkania osoby zakażonej. Dignosis Key jest wysyłany z opóźnieniem 24h, aby dodatkowo uniemożliwić identyfikację takiego użytkownika. Sposób zabezpieczenia tych danych opisuje dokument opublikowany przez Google i Apple.

Ministerstwo Cyfryzacji, aby mieć pewność w zakresie bezpieczeństwa danych użytkowników oraz prawidłowości architektury rozwiązania, przeprowadziło audyt bezpieczeństwa wykonany przez trzech niezależnych audytorów. Dodatkowo kod jest przeglądany i weryfikowany przez społeczność programistów aktywnie działających na Github. Uwagi zgłaszane przez audytorów oraz społeczność są w aplikacji implementowane w pierwszej kolejności. Przykładem jest tu rezygnacja z aplikacji PWA (Progressive Web App) i przeniesienie jej lokalnie na urządzenia. Wynikało to z obaw społeczności odnośnie możliwości przesyłania przy pomocy tej technologii danych poza aplikację.

Co do polityki Google i Apple w zakresie ochrony danych osobowych, Ministerstwo pragnie zwrócić uwagę na dwa fakty. Mianowicie użytkownik instalując system lub jego aktualizację wyraża indywidulnie zgodę na polityki i regulaminy przetwarzania danych przez tych dostawców. Aplikacja ProteGO Safe nie wymaga zbierania żadnych dodatkowych informacji, a podczas instalacji aplikacji użytkownik musi się zapoznać z regulaminem użytkowania aplikacji oraz jest proszony o zgodę na włączenie bluetooth (uwaga: uprawnienie to w polskiej wersji językowej biblioteki Google/Apple nazywa się niefortunnie, wskazując na zgodę na włączenie lokalizacji, co nie zmienia faktu, iż uruchamiany jest bluetooth, a lokalizacja nie jest zbierana w wyniku udzielenia tej zgody). Drugą kwestią jest fakt, iż obostrzenia i zabezpieczenia w zakresie bezpieczeństwa dla Exposure Notification są rygorystyczne, co opisuje wskazana wcześniej dokumentacja Google i Apple.