Czy Indie mogą rzeczywiście zakazać nazw użytkowników w szyfrowanych komunikatorach?

Na długo przed tym, jak użytkownik wyśle prywatną wiadomość, architekt oprogramowania siedzący przy biurku tysiące kilometrów dalej decyduje, czy ta wiadomość wymaga do istnienia numeru telefonu. Ten wybór techniczny stał się obecnie polem bitwy prawnej w Indiach. Ministerstwo Elektroniki i Technologii Informacyjnej wydało niedawno formalne wezwania do Telegrama i Signala. Rząd chce, aby platformy te uzasadniły funkcje, które pozwalają ludziom komunikować się za pomocą nazw użytkowników zamiast ujawniania ich numerów telefonów. Ruch ten następuje po trzydniowym ultimatum postawionym firmie WhatsApp, które zmusiło ją do wstrzymania wdrażania własnej funkcji nazw użytkowników.

Indie zmieniają swoją strategię nadzoru cyfrowego. W przeszłości rząd blokował całe aplikacje lub nakazywał usunięcie konkretnych kont. Teraz państwo poddaje weryfikacji poszczególne funkcje produktów w wielu serwisach. Głównym punktem zainteresowania jest anonimowość. Rząd postrzega możliwość ukrycia numeru telefonu jako furtkę do oszustw. Obrońcy prywatności widzą w tym ostatnią linię obrony dla dziennikarzy i dysydentów.

Przejście od blokowania aplikacji do weryfikacji funkcji

Przez lata relacje między indyjskim rządem a globalnymi firmami technologicznymi opierały się na przewidywalnym schemacie. Platforma hostowała treści, które rząd uznawał za niewłaściwe, a Ministerstwo nakazywało ich usunięcie. Jeśli platforma odmówiła, dochodziło do prawnego pata. Widzieliśmy to, gdy rząd starł się z serwisem X w sprawie treści związanych z protestami rolników. Niedawne wezwania dla Telegrama i Signala reprezentują bardziej szczegółowe podejście do regulacji.

Rząd nie patrzy już tylko na to, co ludzie mówią. Patrzy na to, jak zbudowane jest oprogramowanie. Celując w funkcję nazw użytkowników, Ministerstwo IT rzuca wyzwanie koncepcji pseudonimowości. Telegram pozwala na używanie nazw użytkowników od dawna, umożliwiając dołączanie do dużych grup publicznych bez ujawniania danych kontaktowych obcym osobom. Signal wprowadził podobną funkcję, aby zwiększyć bezpieczeństwo użytkowników, pozwalając na udostępnianie identyfikatora przy jednoczesnym ukryciu głównego identyfikatora — numeru telefonu — przed opinią publiczną.

Zapytanie Ministerstwa wymaga od tych firm szczegółowego opisania zabezpieczeń przed podszywaniem się pod inne osoby. Jest to techniczne przesłuchanie w kwestii prywatności w fazie projektowania (privacy by design). Jeśli platforma jest zbudowana tak, aby minimalizować gromadzone dane, ma mniej informacji do przekazania, gdy państwo żąda weryfikacji tożsamości. Źródło rządowe wskazało na oszustwa związane z „cyfrowymi aresztowaniami” oraz phishing jako główne powody tych działań. W tych oszustwach przestępcy wykorzystują postrzeganą anonimowość komunikatorów, aby podszywać się pod funkcjonariuszy organów ścigania lub urzędników skarbowych.

Dlaczego nazwy użytkowników mają znaczenie dla higieny cyfrowej

W mojej pracy dziennikarskiej higiena cyfrowa jest codziennym wymogiem, a nie wyborem. Uczę źródła korzystania z Signala, ponieważ minimalizuje on pozostawiany ślad danych. Gdy źródło kontaktuje się z reporterem, często robi to z narażeniem własnego bezpieczeństwa. Udostępnienie numeru telefonu jest jak przekazanie klucza do swojej fizycznej lokalizacji i tożsamości. Nazwa użytkownika działa jak bufor. Jest to warstwa pseudonimowa, która chroni osobę za ekranem.

Szyfrowanie end-to-end to zapieczętowana koperta. Gwarantuje, że tylko nadawca i odbiorca mogą przeczytać treść. Jednak rząd nie jest zainteresowany tylko listem wewnątrz koperty. Chce, aby adresem zwrotnym był zweryfikowany, powiązany z rządem numer telefonu. Maskując ten numer nazwą użytkownika, platforma sprawia, że adres zwrotny jest znacznie trudniejszy do wyśledzenia.

Dla Signala funkcja nazw użytkowników to mechanizm chroniący prywatność. Nie przechowuje on nazwy użytkownika w sposób łączący ją z numerem telefonu użytkownika na swoich serwerach w formie otwartego tekstu. Dla Ministerstwa IT jest to nieprzejrzysty system, który uniemożliwia identyfikację „pierwszego nadawcy” wiadomości, co jest wymogiem wynikającym z przepisów Information Technology (Intermediary Guidelines and Digital Media Ethics Code) Rules, 2021.

Trzydniowe ultimatum dla WhatsAppa

WhatsApp znajduje się w trudnej sytuacji. W przeciwieństwie do Signala czy Telegrama, WhatsApp jest znaczącym pośrednikiem mediów społecznościowych z setkami milionów użytkowników w Indiach. Gdy WhatsApp ogłosił, że pozwoli użytkownikom wybierać nazwy użytkowników, Ministerstwo zareagowało natychmiastową dyrektywą. Firma miała trzy dni na uzasadnienie tej funkcji pod rygorem działań regulacyjnych.

Logika rządu opiera się na wzroście liczby oszustw związanych z „cyfrowymi aresztowaniami”. Są to wyrafinowane ataki, w których ofiarom mówi się, że są objęte dochodzeniem w sprawie prania brudnych pieniędzy lub handlu narkotykami. Napastnicy używają komunikatorów do utrzymywania ciągłego połączenia wideo, skutecznie umieszczając ofiarę w „cyfrowym areszcie”, dopóki nie przeleje ona pieniędzy. Ministerstwo twierdzi, że nazwy użytkowników ułatwiają tym napastnikom działanie bez możliwości wykrycia.

Tworzy to konflikt między bezpieczeństwem a prywatnością. Jeśli platforma wymaga, aby każdy użytkownik był identyfikowalny za pomocą numeru telefonu, pomaga to organom ścigania śledzić przestępców. Jednak tworzy to również systemową podatność dla wszystkich innych. Wycieki danych w firmach telekomunikacyjnych lub złośliwi aktorzy z dostępem do baz danych numerów telefonów mogą wykorzystać te informacje do nękania osób. W tym kontekście regulacyjnym rząd priorytetyzuje zdolność państwa do nadzoru nad zdolnością jednostki do zachowania prywatności.

Podstawa prawna dla szeroko zakrojonych działań

Internet Freedom Foundation (IFF) wezwała do wycofania tych wezwań. Grupa twierdzi, że rząd nie ma jasnej podstawy prawnej do weryfikacji poszczególnych funkcji oprogramowania w ten sposób. Przepisy IT Rules z 2021 roku wymagają już od platform identyfikacji nadawców wiadomości na polecenie sądu lub właściwego organu. Jednak te zasady są obecnie przedmiotem zaskarżeń w różnych indyjskich sądach.

IFF stwierdza, że wezwanie dla Signala uderza bezpośrednio w chronioną wolność słowa. Dziennikarze, aktywiści i sygnaliści polegają na możliwości komunikowania się bez bycia zidentyfikowanym przez państwo. Jeśli rząd zmusi te platformy do usunięcia funkcji nazw użytkowników, skutecznie nakazuje, aby każda cyfrowa rozmowa była powiązana z fizycznym identyfikatorem poprzez kartę SIM. W Indiach karty SIM są powiązane z Aadhaar, krajowym systemem identyfikacji biometrycznej.

Tworzy to łańcuch tożsamości, który jest trudny do przerwania. Jeśli usunie się pseudonimowość, usunie się zdolność osób narażonych do wypowiadania się bez natychmiastowego strachu przed odwetem. Krajobraz regulacyjny staje się mozaiką wymogów, które coraz bardziej utrudniają działanie aplikacjom skupionym na prywatności.

Jak użytkownicy mogą chronić swoją tożsamość

Podczas gdy bitwa prawna trwa, użytkownicy muszą podjąć kroki w celu zarządzania swoimi cyfrowymi śladami. Napięcie między rządem a tymi platformami oznacza, że funkcje, na których polegasz dzisiaj, mogą jutro ulec zmianie lub zniknąć.

Jeśli używasz tych aplikacji do wrażliwej komunikacji, sprawdź teraz swoje ustawienia. W Signal możesz wejść w Ustawienia > Prywatność > Numer telefonu i ustawić „Kto może zobaczyć mój numer” na „Nikt”. Możesz także ustawić „Kto może mnie znaleźć po numerze” na „Nikt”. Zmusza to ludzi do używania Twojej nazwy użytkownika, aby Cię znaleźć.

W Telegramie nazwa użytkownika jest domyślnie publiczna, jeśli ją ustawisz. Powinieneś przejrzeć swoje ustawienia prywatności, aby upewnić się, że Twój numer telefonu nie jest widoczny dla wszystkich. Pamiętaj jednak, że architektura Telegrama różni się od Signala. Telegram przechowuje więcej metadanych na swoich serwerach, co czyni go bardziej podatnym na prawne żądania udostępnienia danych.

Przyszłość prywatności w Indiach

Skupienie Ministerstwa IT na nazwach użytkowników nie jest odosobnionym zdarzeniem. Jest to część szerszego trendu w kierunku całkowitej identyfikowalności. Rząd chce wyeliminować ciemne zakamarki internetu, w których nie widzi, kto z kim rozmawia. Choć deklarowanym celem jest zapobieganie oszustwom, metoda polega na demontażu ochrony prywatności wszystkich obywateli.

Ustawa o ochronie cyfrowych danych osobowych (DPDP Act) z 2023 roku również zaczyna wchodzić w życie. Choć ustawa skupia się na tym, jak firmy obchodzą się z danymi, zawiera przepisy pozwalające rządowi na zwolnienie własnych agencji z wielu wymogów dotyczących prywatności. Tworzy to lustro weneckie, w którym państwo widzi obywatela, ale obywatel nie widzi państwa.

Ostatecznie walka o nazwy użytkowników to walka o prawo do bycia pseudonimowym. Jeśli rządowi uda się zmusić Telegram, Signal i WhatsApp do powiązania każdej interakcji z numerem telefonu, zapieczętowana koperta szyfrowania pozostanie, ale prywatność nadawcy zniknie. Koperta jest nadal zamknięta, ale nazwiska nadawcy i odbiorcy są napisane niezmywalnym atramentem na zewnątrz.

Poświęć czas na sprawdzenie uprawnień aplikacji i ustawień prywatności. Jeśli dostępna jest funkcja chroniąca Twoją tożsamość, skorzystaj z niej. Jeśli platforma zostanie zmuszona do usunięcia tej funkcji, oceń, czy nadal spełnia ona Twoje potrzeby w zakresie bezpieczeństwa. Osobista reputacja i bezpieczeństwo zależą od tych małych technicznych wyborów. Ministerstwo Elektroniki i Technologii Informacyjnej wydało wezwania w czwartek. Platformy nie przedstawiły jeszcze publicznej odpowiedzi.

Źródła

• Information Technology (Intermediary Guidelines and Digital Media Ethics Code) Rules, 2021.
• Digital Personal Data Protection Act, 2023 (Indie).
• Sąd Najwyższy Indii: Justice K.S. Puttaswamy (Retd.) vs Union Of India (wyrok w sprawie prawa do prywatności).
• Oficjalne oświadczenia Internet Freedom Foundation (IFF) dotyczące wezwań dla komunikatorów.

Oświadczenie: Niniejszy artykuł ma charakter wyłącznie informacyjny i dziennikarski. Nie stanowi on formalnej porady prawnej. Prawa i regulacje dotyczące prywatności mogą ulec zmianie i różnić się w zależności od jurysdykcji.