Komisja Cyfryzacji, Innowacyjności i Nowoczesnych Technologii oraz Komisja do Spraw Dzieci i Młodzieży, obradujące pod przewodnictwem poseł Moniki Rosy (KO), przewodniczącej Komisji do Spraw Dzieci i Młodzieży, oraz posła Grzegorza Napieralskiego (KO),  zastępcy przewodniczącego Komisji Cyfryzacji, Innowacyjności i Nowoczesnych Technologii, zrealizowały następujący porządek obrad:

– informacja na temat weryfikacji wieku użytkowników w internecie i mediach społecznościowych – dostępne metody, doświadczenia międzynarodowe oraz kierunki regulacyjne w Polsce i Unii Europejskiej, w tym rozwój Europejskiego Portfela Tożsamości Cyfrowej.

W posiedzeniu udział wzięli: Dariusz Standerski sekretarz stanu w Ministerstwie Cyfryzacji wraz ze współpracownikami, Joanna Gwizdak główny specjalista w Departamencie Spraw Rodzinnych i Nieletnich Ministerstwa Sprawiedliwości, Damian Strzelecki starszy referent w Zespole Edukacji Cyfrowej i Bezpieczeństwa w Sieci Biura Rzecznika Praw Dziecka, Ewelina Żak dyrektor Departamentu Usług Cyfrowych Urzędu Komunikacji Elektronicznej, Patryk Juhre dyrektor Departamentu Multimediów oraz Barbara Stachowiak wicedyrektor Departamentu Strategii w Biurze Krajowej Rady Radiofonii i Telewizji wraz ze współpracownikami, Rafał Sionkowski dyrektor Departamentu Identyfikacji Elektronicznej Centralnego Ośrodka Informatyki, Patrycja Sass-Staniszewska prezes Izby Gospodarki Elektronicznej, Natalia Wójcicka specjalista ds. projektów społecznych w Pionie Ochrony Informacyjnej Cyberprzestrzeni Naukowej Akademickiej Sieci Komputerowej – Państwowego Instytutu Badawczego, Andrzej Sadowski prezydent Centrum im. Adama Smitha wraz ze współpracownikiem, Radosław Kietliński doradca zarządu Totalizatora Sportowego sp. z o.o. wraz ze współpracownikami, Dominik Dobek dyrektor programowy w Związku Cyfrowa Polska, Agnieszka Durst-Wilczyńska członek zarządu Polskiej Organizacji Reklamodawców, Jakub Turowski dyrektor ds. polityki publicznej w regionie Europy Środkowo-Wschodniej w Meta, przedstawiciel Krajowej Izby Gospodarczej, Katarzyna Nowicka dyrektor zarządzająca Stowarzyszenia Twoja Sprawa, Katarzyna Szymielewicz prezeska Fundacji Panoptykon wraz ze współpracownikami,  Katarzyna Katana radca prawny w Fundacji Dajemy Dzieciom Siłę, Katarzyna Toczko ekspert ds. nowych technologii w Fundacji Instytut Cyfrowego Obywatelstwa, Dominika Bucholc ekspertka do spraw nowych technologii Bucholc Consulting, Anna Krawczak stały doradca Komisji.

W posiedzeniu udział wzięli pracownicy Kancelarii Sejmu: Grażyna Kućmierowska, Magdalena Kowalska i Magdalena Krzymowska – z sekretariatów Komisji w Biurze Komisji Sejmowych.

Przewodnicząca poseł Monika Rosa (KO):
Dzień dobry. Szanowni państwo, otwieram wspólne posiedzenie Komisji Cyfryzacji, Innowacyjności i Nowoczesnych Technologii oraz Komisji do Spraw Dzieci i Młodzieży.

Witam wszystkich państwa posłów i witam oczywiście obecnych gości na czele z sekretarzem stanu w Ministerstwie Cyfryzacji panem Dariuszem Standerskim, który dzisiaj będzie prezentował informacje omawiane na obu Komisjach. Witam przedstawicieli Ministerstwa Edukacji Narodowej, Centralnego Ośrodka Informatyki, Naukowej Akademickiej Sieci Komputerowej, Ministerstwa Sprawiedliwości, Biura Rzecznika Praw Dziecka, Urzędu Komunikacji Elektronicznej, Biura Krajowej Rady Radiofonii i Telewizji oraz wszystkich państwa przedstawicieli ekspertów organizacji pozarządowych, związków, zrzeszeń, stowarzyszeń i zainteresowanych dzisiejszą treścią przedstawianą podczas posiedzenia.

Porządek dzienny dzisiejszego posiedzenia obejmuje rozpatrzenie informacji na temat weryfikacji wieku użytkowników w internecie i mediach społecznościowych – dostępne metody, doświadczenia międzynarodowe oraz kierunki regulacyjne w Polsce i Unii Europejskiej, w tym rozwój europejskiego portfela tożsamości cyfrowej.

Jak doskonale państwo wiecie, po wielu naszych posiedzeniach Komisji, wspólnych i oddzielnych, temat weryfikacji wieku i dostępności dzieci do różnego rodzaju treści, zaczynając od treści szkodliwych, takich jak treści pornograficzne, kończąc w ogóle na dostępności weryfikacji wieku w mediach społecznościowych, na komunikatorach czy innych narzędziach generatywnych sztucznej inteligencji, jest tematem ważnym. Jednym z najważniejszych aspektów poruszanych i budzących wątpliwości jest realna weryfikacja wieku dostępu do takich treści, bo co do tego, że wiek weryfikować trzeba, raczej wątpliwości nie mamy. Dlatego wychodząc naprzeciw różnym wątpliwościom, pytaniom, szczególnie do strony rządowej Ministerstwa Cyfryzacji, dzisiejsze posiedzenie Komisji, za które państwu bardzo dziękuję.

Niniejszym oddaję głos panu ministrowi Standerskiemu. Bardzo proszę.

Sekretarz stanu w Ministerstwie Cyfryzacji Dariusz Standerski:
Bardzo serdecznie dziękuję. Szanowna pani przewodnicząca, Wysokie Komisje, temat weryfikacji wieku w mediach społecznościowych i szerzej w internecie jest przedmiotem zainteresowania państw członkowskich Unii Europejskiej oraz innych państw na świecie. Już od kilku lat, od kilkunastu miesięcy są prowadzone prace koncepcyjne, prace pilotażowe, które prowadzą nas do rozwiązań, które będą mogły być stosowane już w sposób powszechny.

W tym zakresie, korzystając z doświadczeń innych państw, nie tylko w Unii Europejskiej, ale również na innych kontynentach, tworzone są podstawy dla takiej weryfikacji w prawie unijnym. Musimy zwrócić uwagę przede wszystkim na podstawy prawne weryfikacji wieku. Takie podstawy prawne już mamy w prawodawstwie unijnym. Art. 28 aktu o usługach cyfrowych nakazuje dostawcom platform internetowych dostępnych dla małoletnich wprowadzenie odpowiednich i proporcjonalnych środków, aby zapewnić wysoki poziom prywatności, bezpieczeństwa i ochrony małoletnich w ramach świadczonych przez siebie usług. Wiele państw członkowskich widzi w tej podstawie prawnej punkt wyjścia do regulacji. Wśród takich regulacji możemy wspomnieć między innymi rozwiązania francuskie, które mają wejść w życie. Jest plan, żeby weszły w życie 1 września tego roku w ramach francuskiej aplikacji do identyfikacji.

Kolejne tego typu rozwiązania w zakresie technicznym zostaną wprowadzone za pomocą tak zwanego rozporządzenia eIDAS 2.0, które rozpocznie stosowanie od 24 grudnia tego roku i do polskiego systemu prawnego zostaną wprowadzone rozwiązania służące realizacji tego rozporządzenia za pośrednictwem ustawy o usługach zaufania oraz zmianie niektórych innych ustaw.

Mamy w tej chwili na stole dwie kategorie rozwiązań. Pierwsze rozwiązanie to właśnie przedstawiony Wysokim Komisjom także podczas poprzedniej informacji europejski portfel tożsamości cyfrowej na podstawie rozporządzenia, które zostało uchwalone również przy poparciu polskiego rządu i wejdzie w życie pod koniec tego roku. To rozporządzenie umożliwi wprowadzenie rozwiązań technicznych służących weryfikacji wieku. To rozwiązanie za chwilę przedstawimy pod kątem technicznym oraz organizacyjnym.

Mamy też drugie rozwiązanie, czyli zestaw standardów zaprezentowany przez Komisję Europejską w poprzednim miesiącu, tak zwaną także w dyskusji publicznej aplikację do weryfikacji wieku.

Te rozwiązania zostały zaprezentowane przez przewodniczącą Komisji Europejskiej, a później również omawiane w gronie państw zainteresowanych tematem. Prezydent Macron zorganizował takie spotkanie. Polskę reprezentował pan Krzysztof Gawkowski, wicepremier, minister cyfryzacji. Podczas tego spotkania liderzy państw potwierdzili, że takie rozwiązania są potrzebne w całej Unii Europejskiej. Liderzy potwierdzili oczekiwanie dla jednolitych rozwiązań albo przynajmniej jednolitych standardów na poziomie Unii Europejskiej.

Propozycja Komisji Europejskiej jest właśnie krokiem w tym kierunku. To nie jest aplikacja, którą możemy dzisiaj pobrać ze sklepu i od razu stosować. To jest zestaw standardów, z których będą czerpać państwa członkowskie i będą dostosowywać również swoje możliwości. Bo to jest klucz, jeżeli chodzi o formy weryfikacji wieku w internecie. Należy dążyć do tego, żeby te formy były jednolite, co będzie z pozytywnym skutkiem zarówno dla państw członkowskich, dla użytkowników, jak i dla firm, dostawców platform cyfrowych. W tym kierunku idziemy.

Należy również pamiętać, że wszystkie formy weryfikacji wieku wprowadzone na podstawie przepisów powszechnie obowiązujących są dobrowolne. To powoduje, że tych form weryfikacji wieku musi być więcej niż jedna, ponieważ nie ma obowiązku posiadania tego czy innego konkretnego rozwiązania informatycznego. Dlatego wielość tych rozwiązań też jest konieczna. Natomiast niektóre rozwiązania są oceniane jako mniej efektywne, co wiemy też z rozmów z rządem Australii, który już od kilku miesięcy sprawdza rozwiązania wprowadzone w drugiej połowie poprzedniego roku.

W związku z tym mamy dwa rozwiązania domyślne na podstawie przepisów powszechnie obowiązujących w całej Unii Europejskiej. Rozwiązanie zaprezentowane przez Komisję Europejską odczytujemy jako rozwiązanie wspierające i dodatkowe, a inne pozostałe formy weryfikacji wieku obecnie znajdują się na poziomie rozwiązań krajowych. Nie ma w Unii Europejskiej dyskusji nad tym, żeby trzecia, czwarta, piąta forma weryfikacji wieku była stosowana powszechnie we wszystkich państwach Unii Europejskiej. W związku z tym chcielibyśmy w drugiej części zaprezentować dokładniej dwa rozwiązania, w tym przede wszystkim to rozwiązanie domyślne w ramach europejskiego portfela tożsamości cyfrowej. W związku z tym chciałbym prosić o udzielenie głosu panu Rafałowi Sionkowskiemu z Centralnego Ośrodka Informatyki.

Przewodniczący poseł Grzegorz Napieralski (KO):
Bardzo dziękuję za tę informację, panie ministrze.

Oczywiście przekazuję głos. Bardzo proszę.

Dyrektor Departamentu Identyfikacji Elektronicznej Centralnego Ośrodka Informatyki Rafał Sionkowski:
To ja dzisiaj państwu spróbuję opowiedzieć o tym, jak będzie się zmieniała aplikacja mObywatel, o tym, jak planujemy zaimplementować w niej mechanizmy do weryfikacji wieku, jak to w praktyce będzie działało. No i oczywiście to, co najważniejsze, jak będziemy chronić dane obywateli oraz ich prywatność w tym procesie.

Jeżeli popatrzymy na cały problem weryfikacji wieku, to my jako podmiot odpowiedzialny za to, żeby dostarczać rozwiązania, jesteśmy odpowiedzialni za rozwój aplikacji mObywatel. Staramy się patrzeć na cały proces dość holistycznie, nie tylko w kontekście weryfikacji wieku osób nieletnich, lecz także w sytuacjach, kiedy musimy potwierdzać wiek na przykład w punktach stacjonarnych, przy zakupie alkoholu i w wielu różnych innych sytuacjach. Zatem te rozwiązania chcemy przede wszystkim dopasować do tego, żeby działały w każdej możliwej sytuacji, czyli żebyśmy w różnych sytuacjach nie musieli korzystać z różnych rozwiązań do tego, aby potwierdzić swój wiek.

Tak jak pan minister już wcześniej powiedział, w obecnej sytuacji nie mamy na poziomie europejskim takiego rozwiązania, które byłoby interoperacyjne i działało rzeczywiście w całej Unii Europejskiej. To rozwiązanie uzyskamy z końcem roku, kiedy wszystkie kraje zaczną wprowadzać w swoich ekosystemach środków identyfikacji europejskie portfele tożsamości cyfrowej. Dzięki temu te rozwiązania będą mogły w końcu ze sobą współpracować i rozmawiać. To nam pozwoli na to, że z aplikacją mObywatel, która zostanie dostosowana do tych standardów, jadąc za granicę i będąc zmuszonym do przekazania informacji o wieku, będziemy mieli pewność, że ta informacja będzie mogła zostać przekazana.

Rozwiązanie zaproponowane przez Komisję Europejską, tak jak pan minister powiedział, jest pewnego rodzaju zbiorem standardów. W naszym przypadku, biorąc pod uwagę bardzo duży poziom adopcji aplikacji mObywatel, dość naturalnym kierunkiem było to, że ten mechanizm weryfikacji wieku chcemy zaimplementować już w budowanym portfelu, w budowanej dużej aktualizacji do aplikacji mObywatel, która będzie już zgodna z rozporządzeniem eIDAS 2.0. Pod koniec roku, zgodnie z planami, zgodnie z procesem legislacyjnym, który w tej chwili trwa, planujemy takie rozwiązanie udostępnić wszystkim obywatelom.

Zanim opowiem trochę o samym mechanizmie weryfikacji wieku, to chcę pokrótce tylko powiedzieć, czym jest portfel w ogóle i czym to się różni w kontekście tego, co w tej chwili mamy, jeśli chodzi o mObywatela. Można wyróżnić kilka zasadniczych, grubych składowych tego rozwiązania. Przede wszystkim w portfelu, czyli w odpowiedniku aplikacji mObywatel, będziemy mieli zestaw danych, tak zwany PID, Personal Identifiable Data, czyli podstawowy zestaw danych, które będziemy mogli przekazywać w celu identyfikacji, czy to w różnego rodzaju procesach, czy wtedy, kiedy będziemy musieli potwierdzić naszą tożsamość.

Oprócz tego podstawowego zestawu danych będziemy mieli zestawy atrybutów, czyli to, co w tej chwili mamy w postaci dokumentów w aplikacji. Część z państwa ma na przykład legitymację poselską albo różnego rodzaju inne legitymacje. One będą funkcjonowały jako elektroniczne poświadczenia. Ale podstawową różnicą jest też to, że będziemy w stanie selektywnie ujawniać poszczególne dane z danego poświadczenia. Czyli jeżeli na przykład przebywamy w jakimś punkcie, w którym potrzebujemy potwierdzić tylko swoją tożsamość albo potwierdzić jakieś poszczególne dane, że jesteśmy członkiem jakiegoś klubu piłkarskiego, a niekoniecznie chcemy albo niekoniecznie musimy nawet przekazywać zdjęcie, to te mechanizmy by default w aplikacji mObywatel po jej dostosowaniu będą na to pozwalały, a strony ufające, korzystające z różnego rodzaju weryfikatorów, będą w stanie to potwierdzić.

Sam eIDAS dość mocno zadbał o prywatność i ochronę danych użytkowników, bo oprócz tego, że to my decydujemy, które dane przekazujemy, w jakim momencie, do strony ufającej, to mamy pełną informację w swoim telefonie, gdzie te dane zostały przekazane. Będą też odpowiednie mechanizmy pozwalające zgłaszać nadużycia. Jeżeli na przykład będziemy widzieli, że jakiś podmiot żąda od nas nadmiarowych danych, to będą też funkcje, które pozwolą w łatwy sposób takie nasze wątpliwości zgłosić do odpowiedniego organu. To, co wprowadza eIDAS, to jest właśnie taka prywatność by design.

Możemy tu powiedzieć o takich czterech głównych filarach. Po pierwsze, to, co już powiedziałem, czyli selektywne ujawnianie danych, czyli to my jako użytkownicy decydujemy, które dane chcemy ujawnić. Gdy przekazujemy te dane anonimowo, czyli właśnie w kontekście wieku, jeżeli przekazujemy tylko sam pseudonim, gdzie nie ma tych danych, to te mechanizmy powinny działać tak, żeby tych danych ze sobą nie można było zlinkować. Czyli jeżeli w kilku miejscach przekazujemy anonimowo dane, to tych przekazań między sobą nie da się ze sobą połączyć.

Oczywiście ważna jest wszelka minimalizacja danych. Dzięki takiemu nowemu bytowi jak rejestr stron ufających, będziemy dążyć do tego, żeby dane, które są przekazywane do podmiotów, ilość tych danych potrzebnych do realizacji jakiejś sprawy, usługi, była minimalizowana. Na końcu oczywiście świadoma zgoda użytkownika w momencie przekazywania tych danych.

Część tych mechanizmów, czyli zgoda, już w tej chwili działa w aplikacji, bo jak państwo korzystacie z e-usług i logujecie się w aplikacji mObywatel do różnego rodzaju usług, czy nawet korzystacie z jakichś usług prywatnych, komercyjnych, to zawsze na końcu po zeskanowaniu QR kodu  naciskamy zgodę i to jest przekazywane. Zatem część mechanizmów, część przyzwyczajeń użytkowników już w tej chwili w obecnym rozwiązaniu działa.

To, czego nam brakowało, do czego dążyliśmy przez ostatnie miesiące i lata w kontekście dyskusji w przekazywaniu danych, poświadczeń, to było to, że rozwiązania, które gdzieś lokalnie powstawały, nie rozmawiały ze sobą. Było bardzo trudno na przykład przekazać jakiekolwiek poświadczenie czy dane osobowe z naszego mObywatela krajowego na przykład w sytuacji, gdy jesteśmy na wakacjach we Francji, we Włoszech, żeby tam z tego skorzystać. To było utrudnione, ponieważ tego typu rozwiązania nie funkcjonowały na poziomie interoperacyjności.

Teraz, w kontekście weryfikacji wieku i w kontekście w ogóle poświadczeń, zadbaliśmy o to, pracując nad tym projektem, nad tymi standardami technicznymi w zasadzie przez ostatnie cztery lata, bo tyle trzeba szacować. Wtedy rozpoczynały się pierwsze rozmowy na temat eIDAS 2.0 i powstawały pierwsze grupy robocze. Wszystkie standardy, wszystkie mechanizmy, które zostały przez ten okres przygotowane, zostały też przetestowane w różnego rodzaju pilotażach. W tej chwili jako Polska też uczestniczymy w takim dużym pilotażu Aptitude, w którym zresztą jesteśmy jednym z liderów grupy roboczej, która zajmuje się akurat mobilnym certyfikatem pojazdu. To te wszystkie use case’y związane z udostępnieniem poświadczeń, z weryfikacją wieku. One zostały przetestowane i wypracowane na wspólnej płaszczyźnie, czego do tej pory nie było.

Teraz, wchodząc już bardziej w szczegóły, w kontekście właśnie weryfikacji wieku i potrzeby przekazywania tej informacji w sposób całkowicie anonimowy, prywatny, bez jakiegokolwiek pośrednictwa organu wydającego portfel, czyli w naszym przypadku administracji, to eIDAS i akty, a w zasadzie może nie akty implementacyjne, ale standardy technologiczne, mówią o dwóch głównych metodach, które można zastosować do tego typu rozwiązania.

Pierwsza to jest tzw. batch credentials. Chodzi tutaj w dużym skrócie o to, że poświadczenia wieku wydawane są seryjnie do aplikacji i potem w sytuacji, kiedy użytkownik potrzebuje zweryfikować wiek, przekazuje takie poświadczenie. Ono jest jednorazowe, jest podpisane. Każde poświadczenie jest podpisane innym kluczem, dzięki temu nie da się w żaden sposób tych poświadczeń ze sobą powiązać. To znaczy, w sytuacji, kiedy mielibyśmy kilka stron ufających, w których weryfikowaliśmy ten wiek, to nawet łącząc te wszystkie poświadczenia ze sobą, nie jesteśmy w stanie ich ze sobą powiązać, bo inny materiał kryptograficzny został użyty do tego, żeby przekazać to poświadczenie.

Druga metoda to jest tzw. zero-knowledge proof – dowód wiedzy zerowej, który też na poziomie kryptograficznym udowadnia stronie ufającej pewną tezę, czyli w tym przypadku na przykład, że ktoś jest powyżej 18. roku życia bez ujawniania pozostałych danych i bez ujawniania materiału kryptograficznego, który by wskazywał na to, kim ta osoba jest. Czyli mamy tu znowu stuprocentową pewność, że strona ufająca ani żadna inna osoba nie jest w stanie dociec, kto był użytkownikiem, kto był osobą, która ten wiek potwierdzała.

Co ważne, ta komunikacja pomiędzy użytkownikiem, aplikacją i tym podmiotem, tą stroną ufającą, odbywa się bez pośrednictwa państwa, bez pośrednictwa COI. Można powiedzieć, że my w zasadzie nie widzimy tego ruchu, kiedy użytkownik przekazuje informację do strony ufającej. My oczywiście wydajemy to poświadczenie jako właściciel rejestru dowodów osobistych i wiemy, komu te poświadczenia wydaliśmy, natomiast potem, gdzie użytkownik tych poświadczeń używa, z jaką częstotliwością, to tych informacji nie mamy.

Jak państwo pewnie słyszeliście, Komisja Europejska wypuściła na kilka tygodni, w zasadzie już… Przepraszam, w ogóle się zatrzymałem. Myślałem, że przełączam slajdy i wszyscy widzą. Dziękuję, panie ministrze. To faux pas. Mówiłem, że pierwszy raz. Wiedziałem, że coś zepsuję. Nikt nawet nie zauważył. A pan minister wiedział, że są jeszcze inne slajdy. Ale oczywiście udostępnimy ten materiał, więc będzie sobie można przejrzeć.

Komisja Europejska udostępniła dedykowaną aplikację do weryfikacji wieku. To też, tak jak pan minister mówił, częściowo zostało odebrane trochę tak, że jest to dedykowana aplikacja, którą można pobrać ze sklepu i gdzieś tam wykorzystywać do weryfikacji wieku. Oczywiście nie. To jest aplikacja, która została wydana w trybie trochę white label. To jest zbiór repozytoriów udostępnionych na GitHubie, nad którym pracowało kilka krajów. Teraz każdy kraj może sobie tę aplikację, a w zasadzie kod z tego repozytorium pobrać, zbudować, zintegrować ze swoimi systemami, dostosować do swoich potrzeb i z niej korzystać. Ale co ważne, wszystkie te standardy, wszystkie biblioteki, które zostały przygotowane w ramach prac nad tą aplikacją, też zostały włączone do architektury referencyjnej europejskich portfeli tożsamości cyfrowych, czyli to wszystko to jest w zasadzie ta sama technologia, tylko tu zadaniem było też to, żeby krajom, które na przykład nie wdrożą portfela w grudniu, trochę się opóźnią, trochę ułatwić sytuację, gdyby szybciej chciały udostępnić narzędzie związane z weryfikacją wieku.

Natomiast wiemy z rozmów roboczych, że większość krajów, które pracowały nad tą aplikacją, nie planuje udostępniać tej aplikacji jako osobnego bytu, tylko wszyscy planują ten mechanizm weryfikacji wieku zaimplementować w swoich europejskich portfelach, które planują uruchomić z końcem roku. Tak jak mówię, jak rozmawiamy, to taki jest wydźwięk.

Z naszego punktu widzenia, oczywiście pan minister też to już powiedział, chcemy to zrobić bardzo podobnie, czyli uruchamiając europejski portfel tożsamości cyfrowej 24 grudnia.  Nie my sobie wymyśliliśmy tę datę, żeby w Wigilię Bożego Narodzenia to robić. Niestety to wynika z harmonogramu i wyliczenia dni od publikacji pierwszych aktów wykonawczych. Tak się zdarzyło po tej wyliczance, że to jest 24 grudnia i wtedy wejdzie obowiązek. My budujemy to rozwiązanie, integrując je z obecnym mObywatelem, czyli liczymy na to, że po przejściu całego procesu certyfikacji tej aplikacji weryfikacja wieku będzie możliwa pod koniec roku.

I teraz, jak taki proces weryfikacji wieku mógłby wyglądać? On jest bardzo zbliżony do tego, w jaki sposób już w tej chwili wykorzystujemy aplikację mObywatel. Czyli co przede wszystkim warto powiedzieć, to że do aktywacji europejskiego portfela będzie wymagany dowód osobisty. Po aktywacji w zasadzie od razu będziemy mogli korzystać z tych poświadczeń, jeżeli będziemy mieli już strony ufające, które zarejestrują się w rejestrze, który też równolegle budujemy, czyli na przykład usługodawcy, oferujący różnego rodzaju produkty w internecie, chcący weryfikować wiek, bo wiemy też, że wiele podmiotów nawet bez nakazu w tej chwili wie, że deklaratywna weryfikacja wieku mocno im przeszkadza w biznesie, więc sporo podmiotów chce to robić i będzie po prostu wystawiało QR kod. Po zeskanowaniu QR kodu dostaniemy informację, że wiek został przekazany.

Możemy przejść od razu do drugiego kroku. Mamy tu przygotowane przykładowe ekrany. Czyli na przykład mamy na telefonie jakąś aplikację. Niech to będzie aplikacja związana z mediami społecznościowymi, która wymaga od nas potwierdzenia wieku. Zakładamy, że ta aplikacja już zarejestrowała się w jednym z krajów członkowskich, bo wystarczy rejestracja w jednym z krajów, żeby móc akceptować wszystkie portfele z całej Unii Europejskiej. Wtedy pewnie pojawi się jakiś przycisk, który nas przekieruje do nowej wersji mObywatela. Tam dostaniemy informację, komu przekazujemy dane i jakie to są dane. I tak jak państwo widzicie tu na ekranie, to jest informacja, że przekazujemy wiek, że jesteśmy powyżej 18 lat. Po naciśnięciu przycisku „udostępnij” ta informacja trafia do usługodawcy i w zasadzie to wszystko.

Tutaj, tak jak mówiłem, cała aplikacja, cały w ogóle proces przekazywania poświadczeń będzie przedmiotem certyfikacji, którą musi przejść każdy europejski wallet na zgodność ze wszystkimi normami, na zgodność ze wszystkimi standardami. To jest między innymi certyfikacja Common Criteria, czyli taka najbardziej skomplikowana, jeśli chodzi o produkty IT. Dzięki temu też będziemy mieli pewność, że te wszystkie procesy działają tak, jak powinny działać, i wprost referują do istniejących standardów.

Co też ważne, tak jak mówiłem, pracujemy nad różnymi wariantami, nie tylko nad wariantem, gdy siedzimy przed komputerem i chcemy zeskanować QR kod, żeby właśnie korzystać z mediów społecznościowych, ale też w sytuacji, kiedy idziemy do sklepu, chcemy zakupić sobie alkohol i sprzedawca też jest zobowiązany do tego, żeby zweryfikować wiek. Więc takie scenariusze interakcji na przykład z terminalem płatniczym, też oczywiście będą możliwe, i gdy adopcja tego rozwiązania będzie w Polsce postępować, to pewnie będzie coraz więcej takich miejsc, w których będziemy mogli zapłacić telefonem i od razu telefonem zweryfikować swój wiek.

To wszystko, co mieliśmy przygotowane, jeśli chodzi o prezentację. Odpowiemy pewnie na pytania. Dziękuję.

Przewodnicząca poseł Monika Rosa (KO):
Dziękujemy, panie ministrze.

Szanowni państwo, zatem otwieramy dyskusję i zapraszam państwa do zabrania głosu.  Pan poseł Cieszyński, pan poseł Bliźniuk.

Poseł Janusz Cieszyński (PiS):
Bardzo dziękuję. Panie ministrze, mam takie pytanie, bo w trakcie prezentacji padła też informacja o legitymacjach poselskich. Chciałbym zapytać, czy państwo wiecie, nie mówię, że ktoś to sprawdzał, absolutnie nie chcę tego sugerować, ale gdyby chciał sprawdzić, to czy w Centralnym Ośrodku Informatyki da się sprawdzić, którzy posłowie mają legitymację poselską i kiedy ona jest otwierana. A pytam o to dlatego, że chciałem zapytać, czy przy tym rozwiązaniu, które przed chwilą usłyszeliśmy, nie będzie w ten sposób, że w Centralnym Ośrodku Informatyki będzie też informacja o tym, kiedy ktoś wystąpił o wydanie poświadczenia wieku, że będzie się to dało powiązać. Oczywiście rozumiem, że później nie będzie wiadomo, gdzie to poświadczenie będzie użyte, ale pytam, czy dobrze rozumiem, że na podstawie logów z aplikacji będzie można ustalić właśnie, kto kiedy zdecydował się z tego rozwiązania skorzystać.

Przewodnicząca poseł Monika Rosa (KO):
Zbierzemy trzy pytania i oddam głos, dobrze?

Poseł Bliźniuk, potem pani posłanka.

Poseł Paweł Bliźniuk (KO):
Dziękuję. Pierwsza uwaga techniczna. Taka prośba na przyszłość, żeby prezentację wysłać przed posiedzeniem. Wtedy nawet jeżeli slajdy nie będą przesuwane, to posłowie będą mieli możliwość zapoznania się z materiałem przed spotkaniem.

Teraz do rzeczy. Bardzo ważna kwestia. To jest pytanie zasadnicze i myślę, że odpowiedź na to pytanie ma fundamentalne znaczenie również z punktu widzenia prac, które trwają równolegle nad regulacjami w zakresie ograniczenia czy zakazu dostępu do mediów społecznościowych dzieci do 15. bądź 16. roku życia – tutaj też temat do decyzji przed nami – czy też kwestii skutecznej weryfikacji wieku przy okazji dostępu do treści pornograficznych. Kiedy to rozwiązanie, o którym dzisiaj rozmawiamy, wejdzie w życie? Kiedy ta technologia będzie możliwa do wykorzystania? Bo wszystko wskazuje na to, że również przy tych projektach, o których mówiłem, będziemy chcieli z tego rozwiązania skorzystać, gdyż ono jest najbardziej logiczne i najbardziej bezpieczne z punktu widzenia ochrony danych osobowych i obywateli, jeżeli chodzi o obrót i funkcjonowanie w świecie cyfrowym.

Do kiedy planujecie prace nad tym rozwiązaniem? Kiedy ono będzie wdrożone i kiedy będzie można tak projektować przepisy, żeby były skorelowane z rozwiązaniami technologicznymi i wejściem w życie, po prostu obowiązywaniem tych przepisów? Bo to jest kluczowe zagadnienie. Moim zdaniem to jest właściwie pytanie zasadnicze z punktu widzenia całej debaty, która wokół tych tematów się toczy, i odpowiedź na to pytanie, myślę, że da nam wiedzę, kiedy tak naprawdę te przepisy, o których od wielu, wielu miesięcy toczymy debatę, będą mogły skutecznie wejść w życie.

Przewodnicząca poseł Monika Rosa (KO):
Posłanka Tomczak, bardzo proszę.

Poseł Wioleta Tomczak (Polska2050):
Dziękuję bardzo. Ja mam pytanie do pana ministra, bo tak wprost to chyba nie wybrzmiało z tych prezentacji. Czy gdzieś na świecie, włącznie z Europą, istnieje już jakieś takie oprogramowanie, taka aplikacja, z której Polki i Polacy mogą korzystać, i to jest kwestia wdrożenia tego do nas, do polskiego mObywatela, czy też to się wszystko dzieje po prostu równolegle? Czy też my będziemy właśnie jednymi z pierwszych? Jak to usystematyzować? Dziękuję.

Przewodnicząca poseł Monika Rosa (KO):
Proszę pana ministra o odpowiedź na te trzy pytania i później idziemy dalej do pytań.

Sekretarz stanu w MC Dariusz Standerski:
Bardzo serdecznie dziękuję za wszystkie pytania. Odnosząc się do kwestii nawiązania do legitymacji poselskich, oczywiście w dyspozycji ministra jest tylko informacja dotycząca statystyk, tak jak to było od początku. Spieszę poinformować, że mamy 245 wydanych legitymacji poselskich, w związku z czym mamy większość, natomiast nie wiemy, kto ma te legitymacje poselskie. Pan poseł trzęsie głową. Może on miał dostęp do takich informacji. Ministrowie teraz nie mają dostępu do takich informacji, to mogę zagwarantować.

Natomiast spieszę z wyjaśnieniem, że technologia w zakresie europejskiego portfela tożsamości cyfrowej jest różna w zakresie przekazywania poświadczeń, co za chwilę uzupełni pan dyrektor. Jeżeli chodzi o kwestię terminów i harmonogramu prac, ustawa wdrażająca przepisy europejskiego portfela tożsamości cyfrowej została przyjęta przez Komitet do spraw Cyfryzacji i rekomendowana właściwym komitetom. Teraz oczekujemy na opinię w zakresie zgodności z prawem unijnym. Zgodnie z harmonogramem prac i rządowych, i parlamentarnych planujemy w zakresie rozwiązań technicznych wejście na debatę, wejście na pierwsze czytanie w Sejmie prawdopodobnie zaraz przed albo zaraz po przerwie letniej w obradach Sejmu, tak żeby bez stresu oczekiwać na koniec grudnia tego roku w zakresie rozwiązań technicznych.

Jeżeli chodzi o pytanie dotyczące istniejących dzisiaj możliwości i form weryfikacji wieku, to oczywiście dzisiaj mamy wiele różnych form weryfikacji wieku, od tej najgorszej, czyli deklaratywnego potwierdzania „tak, mam”, „nie, nie mam więcej czy mniej niż 18 lat”, po formy, które wiążą się z wysyłaniem zdjęcia swojego dowodu tożsamości lub inne formy tego rodzaju, także formy biometryczne. Natomiast uważamy, że nie są to rozwiązania optymalne zarówno w kontekście użytkownika, jak i w kontekście przetwarzania danych przez dostawcę. W kilku państwach członkowskich Unii Europejskiej przeprowadzony był pilotaż takiego rozwiązania, gdzie testowano inne formy przekazywania właśnie takich poświadczeń i doświadczenia z tego pilotażu również zostały wykorzystane w pracach nad europejskim portfelem tożsamości cyfrowej. Często podawany przykład Australii to jest ponad 20 różnych form weryfikacji, w tym tak nieefektywne jak właśnie poświadczenie biometryczne, które jest na dość niskim, zdaniem rządu australijskiego, poziomie efektywności. Natomiast nie wprowadzono jeszcze w żadnym państwie takiego rozwiązania kompleksowego, które gwarantowałoby kwestie i powszechności, i interoperacyjności z innymi systemami, w związku z czym to rozwiązanie europejskie będzie pierwsze.

Chciałbym też poprosić pana dyrektora Sionkowskiego o dookreślenie kwestii przekazywania poświadczeń oraz odkładania w logach. Dziękuję.

Przewodnicząca poseł Monika Rosa (KO):
Czy ktoś z państwa posłów chce zabrać głos w dyskusji? Posłanka Gajewska, poseł Bliźniuk.

Poseł Kinga Gajewska (KO) – spoza składu Komisji:
Pani przewodnicząca, panie ministrze, ciągnąc temat, który zapoczątkował pan minister Cieszyński, chciałam dopytać, czy państwo są w stanie nam zagwarantować, że przy połączeniu europejskiego portfela tożsamości cyfrowej z weryfikacją wieku na social mediach, który to temat jest dla nas, szczególnie dla tej Komisji, niezwykle istotny, bo planujemy zrobić takie rozwiązania… czy mamy pewność i możemy zagwarantować obywatelom, że jeżeli udostępnią swoje dane poprzez paszport europejski, to ich dane nie będą, nie wiem, oglądane, rozpoznane przez ministerstwo, nie będą rozpoznane przez służby państwa. Czy obywatel, który, chcąc wejść na konkretne social media, będzie przekazywał swoje dane, bo imię i nazwisko musi jakoś przekazać poprzez ten paszport, będzie mógł mieć pewność, że to wejście nie jest rejestrowane?

Druga kwestia. Rozumiem, że na tym etapie nie zajmujemy się połączeniem tych dwóch rzeczy, czyli weryfikacją wieku na social mediach, ale czy może z tego wynikać, że w przyszłości osoba, która będzie się rejestrowała na social media, będzie mogła dokonać tak naprawdę tylko jednorazowego potwierdzenia, czyli będzie mogła mieć tylko jedno konto. Będzie wtedy zweryfikowana z imienia i nazwiska i jeżeli popełni jakieś wykroczenie, to będzie mogła być konkretnie zidentyfikowana? Czyli pośrednio, czy jednak w tym momencie nie będzie zachwiana anonimowość w social mediach? Dziękuję.

Przewodnicząca poseł Monika Rosa (KO):
Pan poseł Bliźniuk.

Poseł Paweł Bliźniuk (KO):
Dziękuję pani przewodniczącej. Ja mam do pana ministra jeszcze takie doprecyzowujące pytanie, bo pan odpowiedział, że regulacje dotyczące standardów i implementujące przepisy unijne do polskiego systemu prawnego będą przedłożone do Sejmu przed przerwą wakacyjną bądź po, ale chciałem jeszcze dopytać o rozwiązania techniczne, które już będą wdrażane na bazie tych przepisów. Czy możemy się spodziewać, że ten mechanizm, o którym tu dzisiaj rozmawiamy, który został zaprezentowany jako element aplikacji mObywatel, będzie działał, będzie już w pełni wdrożony do końca tego roku, tak żebyśmy od początku przyszłego roku mogli z niego korzystać? Jest to ważne pytanie z punktu widzenia tego, o czym pani przewodnicząca Gajewska powiedziała, czyli prac nad innymi rozwiązaniami prawnymi, w których chcielibyśmy z tego mechanizmu skorzystać. One się toczą równolegle, toczy się debata, rozmowa z ekspertami pracy nad tymi regulacjami. Natomiast wydaje się, jestem o tym przekonany, że kwestia wejścia w życie i wdrożenia tych rozwiązań, o których dzisiaj rozmawiamy, jest kluczowa dla skutecznego wejścia w życie i stosowania przepisów chroniących najmłodszych w internecie.

Przewodnicząca poseł Monika Rosa (KO):
Panie ministrze.

Sekretarz stanu w MC Dariusz Standerski:
Bardzo dziękuję. Zaczynając od kwestii dokładnego wyjaśnienia, co przekazujemy, a czego nie przekazujemy w tym modelu. Nie przekazujemy w tym modelu imienia i nazwiska. Nie tworzymy żadnego konta, gdzie mamy podać swoje imię, nazwisko czy jakiekolwiek inne dane. Jak państwo spojrzą na ekran, mamy tam przejście z aplikacji, gdzie chcemy zweryfikować wiek i na środkowym ekranie telefonu jest informacja „udostępnij dane”. W ten sposób potwierdzisz swoje dane, swoją tożsamość. A tam poniżej mamy tylko jedną kategorię danych, którą przekazujemy, i tą kategorią danych jest wiek powyżej 18 lat. W związku z tym ta aplikacja, w której przekazujemy te informacje, wie o nas tylko tyle, że mamy wiek powyżej 18 lat. Jeżeli jesteśmy w tej aplikacji zarejestrowani jako Kubuś Puchatek, Pinokio, 1235, to aplikacja wie, że ten użytkownik Kubuś Puchatek ma powyżej 18 lat, ale nie wie, czy w rzeczywistości on ma na imię Rafał czy Maria, czy jakkolwiek inaczej, jaka jest jego czy jej data urodzenia i wszystkie inne informacje.

Tym właśnie charakteryzuje się rozwiązanie europejskiego portfela tożsamości cyfrowej i różni się od naszych dzisiejszych rozwiązań, bo dzisiaj jak potwierdzamy tożsamość naszym mObywatelem i klikamy „potwierdź tożsamość”, to pojawia się cała lista – imię, nazwisko, PESEL, data urodzenia, adres zamieszkania – i klikamy „wyślij”, a tutaj zaznaczamy, jakie informacje chcemy wysłać. W tym przypadku jest to informacja „wiek powyżej 18 lat”, ale równie dobrze może to być inna informacja, na przykład „wiek powyżej 16 lat” albo „wiek poniżej 70 lat”, jeżeli jakaś aplikacja będzie tego wymagała od użytkowników. Albo jeżeli jakaś aplikacja będzie dedykowana dla użytkowników o imieniu Dariusz, to mogę wysłać potwierdzenie, że mam na imię Dariusz, bez podawania, że mam na nazwisko Standerski. To jest cecha charakterystyczna tego narzędzia, że to my decydujemy o tym, jakie dane jakie dane przekazujemy.

Rozszerzając odpowiedź na pytanie przewodniczącego Bliźniuka, kluczowe jest wejście w życie ustawy wdrażającej te przepisy. Obok ustawy prowadzone są prace produkcyjne, cały harmonogram jest dostosowany do wejścia w życie europejskich przepisów 24 grudnia 2026. Harmonogram jest niezagrożony. Nie wskazano żadnych ryzyk w tym w tym zakresie.

Jeżeli mógłbym ponownie prosić o umożliwienie zabrania głosu panu dyrektorowi Sionkowskiemu w zakresie zero-knowledge proof i masowego przekazywania credentials.

Dyrektor departamentu COI Rafał Sionkowski:
Jeśli chodzi o samo wydanie poświadczenia, to zgodnie z tym, o co pytał poseł Cieszyński, w momencie, jak wydajemy poświadczenie, korzystamy z takiego standardu OpenID for Verifiable Credential Issuance i w ramach tego weryfikujemy, komu to poświadczenie wydajemy. W sensie, że jeżeli wydajemy obywatelowi poświadczenie, że on, nie wiem, ma powyżej 18. albo 16. roku życia, to musimy wiedzieć, komu wydajemy to poświadczenie. Zatem oczywiście wiemy, że takie poświadczenie danej osobie wydaliśmy. To jest pierwszy krok, ale to się mieści w standardzie.

Natomiast potem, jak obywatel używa tego poświadczenia w różnego rodzaju miejscach, w punktach stacjonarnych, w internecie i tak dalej, to, tak jak mówiłem w prezentacji, to jest tylko relacja między jego telefonem a tą stroną, która tę informację odbiera. My kompletnie nie widzimy tego ruchu. Nie jesteśmy w stanie nawet w logach coś odłożyć, bo ten ruch kompletnie przez nas nie przechodzi. Cała interakcja jest między telefonem użytkownika, jego zgodą, a stroną ufającą i systemem, w którym zaimplementował to poświadczenie.

To jest inaczej w stosunku do tego, co w tej chwili mamy, ale to dlatego cała Europa wdraża te standardy, żebyśmy mogli zapewnić właśnie ten brak linkowalności. Oprócz tego, że to jest anonimowe, to nie ma tej linkowalności między tymi poświadczeniami. Jeżeli, nie wiem, ktoś włamałby się do tych systemów, tych stron ufających, tych sklepów, i chciał powiązać ze sobą te poświadczenia, żeby zobaczyć na przykład, jak często jakiś użytkownik, nawet anonimowy, gdzieś tam się loguje i w jakich różnych miejscach, to dlatego, że one są podpisane zupełnie innym materiałem kryptograficznym, nie będzie w stanie tego zrobić.

Przewodnicząca poseł Monika Rosa (KO):
Czy organizacje chciałyby zabrać głos?

Pani Katarzyna Szymielewicz, bardzo proszę. Panoptykon.

Prezeska Fundacji Panoptykon Katarzyna Szymielewicz:
Dzień dobry. Dziękuję bardzo za zaproszenie i za udostępnienie nam miejsca dla tej ważnej dyskusji. Panoptykon jest organizacją, która zajmuje się prawem, a nie tworzeniem technologii, stąd w tej dyskusji posiłkujemy się opiniami, głosami, które do nas docierają poprzez nasze kanały internetowe. Zachęcamy, świadomi tego, że to jest ważny temat, który budzi emocje – dzisiaj tego nie widać na tej sali, ale zapewniam państwa, że ruch w internecie w tym temacie jest dość gorący i będzie tylko cieplej – zachęcamy wręcz osoby, które ten temat niepokoi, żeby zgłaszały nam różne wątpliwości.

Przytoczę kilka, które pojawiają się najczęściej. Tak jak powiedziałam, to nie są nasze opinie, bo my się tutaj dystansujemy jako prawnicy. Od razu przepraszam pana dyrektora Sionkowskiego, jeżeli to, co powiem, nie będzie odpowiednio techniczne, ale chciałabym, żeby to wybrzmiało na tej sali. Po pierwsze, czy projektowane rozwiązanie będzie neutralne technologicznie? To znaczy, czy będzie umożliwiało weryfikowanie się osobom, które nie korzystają ze smartfonów albo korzystają ze smartfonów bez oprogramowania najczęściej spotykanego? Mam tu na myśli iOS i Android.

Po drugie, jak COI przygotowuje się na prawdopodobny, zdaniem naszych komentatorów, scenariusz podszywania się pod to narzędzie do weryfikacji wieku przez różnych oszustów? Mówiąc potocznie, skąd użytkownik będzie mieć pewność, że skanuje bezpieczny QR kod, a nie jakiś scam.

Po trzecie, czy polskie narzędzie będzie oparte o ten sam zestaw standardów, które Komisja opublikowała na GitHubie? Jeśli tak, to jak COI odnosi się do krytyki tych standardów, które mocno wybrzmiały na GitHubie? Czy ona była przesadzona, czy jest się czym martwić?

Po czwarte, kto będzie audytował kod polskiej aplikacji pod kątem bezpieczeństwa danych i ewentualnych podatności na ataki? Po piąte, jaka część kodu będzie otwarta? I po szóste, w jaki sposób COI planuje włączyć w pracę nad aplikacją społeczeństwo obywatelskie i ekspertów niezależnych, którzy te wątpliwości zgłaszają? Czy będzie jakaś możliwość spotkania się z państwem i dyskusji na poziomie konkretnych, technicznych wątpliwości czy zarzutów? Dziękuję.

Przewodnicząca poseł Monika Rosa (KO):
Bardzo dziękuję.

Czy ktoś jeszcze z państwa zaproszonych gości chciałby zabrać głos, zapytać o coś?  Pani posłanka Gajewska.

Poseł Kinga Gajewska (KO) – spoza składu Komisji:
Tak. Przepraszam, że tak się dopytuję, akurat w kontekście zakazu mediów społecznościowych, ale chciałam dopytać o ewentualne rozwiązanie. Jeżeli ktoś z użytkowników nie chciałby weryfikować wieku i chciałby obejść rozwiązanie europejskiego portfela tożsamości cyfrowej, i na przykład skorzystałby z VPN, to czy to byłoby możliwe w Polsce, czy też nie jest to taki bardzo prosty sposób do obejścia? Rozumiem, że to nie jest kwestia dzisiejszego tematu, dzisiejszego rozwiązania, ale ten element jest kluczowy w pracy, którą my planujemy. Miałam jeszcze sto pytań, ale to chyba jeszcze później dopytam.

Przewodnicząca poseł Monika Rosa (KO):
Pan przewodniczący Stefaniuk, bardzo proszę.

Poseł Dariusz Stefaniuk (PiS):
Bardzo dziękuję. Panie ministrze, chciałem zadać pytanie, co z ludźmi, którzy nie mają mObywatela. W jaki sposób mogą się uwiarygodnić? Jak to macie przemyślane? Bo nie wszyscy Polacy niestety mają tę aplikację. Dziękuję.

Przewodnicząca poseł Monika Rosa (KO):
A ja dopytam też o osoby poniżej 18. roku życia, które również najczęściej nie mają mObywatela. W jaki sposób przewidujecie zachęcić te osoby do siebie? Czy to będzie kwestia raczej, że jest ustawa i trzeba to wykonać, i jedyną drogą jest instalacja mObywatela, czy jakoś inaczej?

Sekretarz stanu w MC Dariusz Standerski:
Dziękuję bardzo. Odpowiadając na pytania pani prezeski Szymielewicz, wspólnie z dyrektorem postaramy się odpowiedzieć. Natomiast jeżeli chodzi o kwestie otwarcia na społeczeństwo obywatelskie i wspólne prace w takim zakresie, w jakim one są oczywiście możliwe, to nie chcemy zaprzęgać wolontariuszy do pracy nad kodem. Mamy Centralny Ośrodek Informatyki i wspaniały zespół Centralnego Ośrodka Informatyki. Natomiast jesteśmy otwarci nie tylko w deklaracjach, ale również w konkretnych działaniach na szeroką współpracę ze wszystkimi, ponieważ już odbyliśmy pierwsze całkowicie otwarte spotkanie na temat prywatności w europejskim portfelu tożsamości cyfrowej. Każdy mógł w tym spotkaniu uczestniczyć. Bardzo też serdecznie dziękuję wszystkim, którzy w tym spotkaniu uczestniczyli. W formule na miejscu i online mieliśmy prawie 200 osób. Każdy mógł zabrać głos w tym zakresie.

Powtórzymy takie spotkanie w zakresie technicznym, w zakresie warsztatów technicznych. Bo pierwsze spotkanie dotyczyło głównych założeń, tego, jak wyglądają logi, jakie są gwarancje prywatności, jak to wygląda. Drugie spotkanie w tym zakresie będzie już dotyczyło kwestii technicznych. Zachęcam do obserwowania stron Ministerstwa Cyfryzacji. Będziemy też innymi kanałami informować o takich spotkaniach, bo planujemy kontynuować tego rodzaju spotkania.

Dla mnie osobiście to jest też duża wartość i nieoczywiste pytania i uwagi, które są dla nas tym ważniejsze, że wiemy, że takie rozwiązanie będzie musiało sprostać wielu różnym scenariuszom. A im więcej perspektyw w tym zakresie, tym więcej scenariuszy.

Jeżeli chodzi o kwestie osób poniżej 18. roku życia, to europejski portfel tożsamości cyfrowej jest dostępny dla osób powyżej 13. roku życia, zatem jest taka możliwość techniczna.

Pan przewodniczący Stefaniuk dopytywał o osoby, które nie posiadają aplikacji mObywatel. Były też pytania o osoby, które są jeszcze w pewien sposób wykluczone cyfrowo. Tak jak na wstępie przekazywaliśmy, rozwiązania, które są stosowane czy to pilotażowo, czy w planach, czy już na miejscu w innych państwach Unii Europejskiej i całego świata, nigdy nie są rozwiązaniami jednokierunkowymi. To znaczy, tak długo, jak nie ma obowiązku posiadania jednej konkretnej aplikacji – a w żadnym państwie na świecie, w gronie państw demokratycznych, nie ma takiego obowiązku – tak długo nie może zostać wprowadzona tylko jedna forma weryfikacji wieku. I to jest przykład australijski, która jest w dużo gorszej sytuacji niż Polska pod względem technicznym, bo Australia nie ma europejskiego portfela tożsamości cyfrowej ani nie ma aplikacji mObywatel, więc tam tych form równoważnych jest dużo.

W przypadku rozwiązań europejskich mamy rozwiązanie podstawowe, które chroni prywatność, jest precyzyjne oraz może być powszechnie stosowane, i to jest europejski portfel. Mamy drugą, nie chcę powiedzieć drugorzędną, ale jako rozwiązanie dodatkowe aplikację w formie proponowanej przez Komisję Europejską tylko do weryfikacji wieku. We właściwości państw członkowskich pozostają dodatkowe formy weryfikacji wieku z jasną informacją dla użytkowników. Ja tak też interpretuję komunikaty Komisji Europejskiej: drogi użytkowniku, droga użytkowniczko, prezentujemy ci europejski portfel tożsamości cyfrowej, możesz z niego korzystać w weryfikacji wieku, w podróżach po całej Unii Europejskiej, w zakupach przez internet, jak również na 15 lub raczej 150 różnych innych sposobów. Ale jeżeli nie chcesz korzystać z europejskiego portfela tożsamości cyfrowej, bo nie masz takiego obowiązku, to dajemy ci również możliwość – szczególnie w tych państwach, które nie wprowadzają europejskiego portfela tożsamości cyfrowej – rozwiązanie, czyli aplikację służącą tylko do weryfikacji wieku. Ale tam już nie mamy takiej gwarancji, że to będzie rozwiązanie, które w pełni zagwarantuje twoją prywatność oraz brak pośrednika, oraz interoperacyjność.

Jeżeli nie chcesz ściągać jakiejkolwiek aplikacji, to są inne formy, które nie chronią twojej prywatności w taki sposób jak europejski portfel tożsamości cyfrowej. Bo to do ustawodawcy – niestety wykraczając poza moje kompetencje i właściwości – będzie należała decyzja, czy na przykład stosować formy biometryczne. To znaczy, czy dopuścić rozwiązanie, w którym, jeżeli ktoś nie chce europejskiego portfela tożsamości cyfrowej, to mówiąc potocznie, robi sobie selfie, wysyła i w taki sposób potwierdza wiek? Czy to jest rozwiązanie skuteczne? Nie. Czy to jest rozwiązanie, które zawsze chroni naszą prywatność? Trudno powiedzieć. Zależy od platformy, której to selfie robimy. Czy zawsze identyfikuje osobę? Zapytajcie rząd Australii, zwłaszcza dzieci w szkole z niższych klas, które idą z telefonami do swoich kolegów i koleżanek w klasach wyższych, żeby zrobić sobie z nimi selfie. Nie tylko po to, żeby później wrzucić w media społecznościowe, ale żeby wykorzystać w innym celu.

Są wspominane również formy dotyczące skanowania, robienia zdjęć swoim dowodom tożsamości. Czy to jest rozwiązanie, z którym czujemy się optymalnie? Ja osobiście nigdy nie czuję się optymalnie, jak wysyłam komukolwiek zdjęcie swojego dowodu osobistego.

W związku z tym z punktu widzenia precyzji, skuteczności i prywatności, europejski portfel tożsamości cyfrowej jest najlepszy. Natomiast do decyzji ustawodawców i państw członkowskich pozostają inne formy weryfikacji wieku wobec osób, które nie korzystają z takich rozwiązań, oraz innych, które z innych powodów nie mogą z tego korzystać.

Natomiast jeżeli chodzi o część pytań technicznych, to chciałbym prosić pana dyrektora Sionkowskiego o uzupełnienie, jeżeli można.

Przewodnicząca poseł Monika Rosa (KO):
Proszę bardzo, panie dyrektorze.

Dyrektor departamentu COI Rafał Sionkowski:
Dziękuję. To jeszcze odnosząc się do kwestii audytu, to tak jak mówiłem w czasie prezentacji, my w tej chwili równolegle, a w zasadzie nie my, tylko NASK oraz Instytut Łączności opracowują krajowy program certyfikacji. Każdy kraj członkowski, wdrażając europejski portfel tożsamości cyfrowej, musi taki krajowy program certyfikacji dla tego rozwiązania zbudować. I ten krajowy program certyfikacji będzie zawierał szereg wytycznych, referencji do norm, standardów, które będą weryfikowane w procesie nawet nie audytu, tylko właśnie certyfikacji tego rozwiązania na okoliczność zgodności z tymi wszystkimi normami i standardami, które mamy w ramach eIDAS.

Ten program, krajowy program certyfikacji, będzie publiczny, w sensie takim, że zostanie powieszony na BIP, więc będzie można go sobie przejrzeć, zobaczyć, z jakimi normami jednostka certyfikująca, weryfikująca zgodność będzie sprawdzać europejski portfel. Zatem ponieważ te standardy zostały w odpowiedni sposób zaimplementowane, to to zadanie właśnie to realizuje.

Jeśli chodzi o wykorzystywanie VPN-ów, to trochę nie jest to zadanie portfela. Jeżeli mamy jakiś podmiot, aplikację, cokolwiek, i ta aplikacja będzie triggerowała weryfikację wieku od kraju, w którym się znajduje, i jeżeli będzie dopuszczała wykorzystywanie różnego rodzaju proxy i VPN-ów, to oczywiście da się to ominąć, natomiast to nie jest zadanie portfela. Istnieją też sytuacje w przyrodzie, kiedy takie podmioty są zobligowane, zresztą robią to też same różne platformy, że blokują korzystanie za pośrednictwem właśnie proxy, VPN-ów i różnego rodzaju obejść.  Ale to nie jest przedmiot tej ustawy ani tego rozwiązania. To jest do uregulowania na innym poziomie.

Jeszcze oszustwa. Jeśli chodzi o oszustwa, to sam portfel też będzie środkiem identyfikacji elektronicznej na poziomie wysokim. Polska w tej chwili jako kraj Unii Europejskiej ma jeden taki środek notyfikowany w Komisji Europejskiej. Jest to dowód osobisty z warstwą elektroniczną. No i teraz, żeby aktywować nową wersję mObywatela, ten dowód elektroniczny będzie wymagany. Będzie trzeba go zbliżyć do telefonu, żeby wykonać aktywację i otrzymać te wszystkie podstawowe dane oraz te wszystkie poświadczenia.

Jeśli chodzi o poziom bezpieczeństwa i ufności środkowi, bo mówi się o tym high level of assurance, to jest to najwyższy poziom, jaki mamy w kontekście środków identyfikacji elektronicznej w Unii Europejskiej. Nie wszystkie kraje w tej chwili Unii Europejskiej mają notyfikowane środki na poziomie wysokim, więc możemy z całą pewnością powiedzieć, że jeżeli chodzi o identyfikację, to jest to najwyższe z możliwych rozwiązań, jakie możemy mieć w tej chwili.

Sekretarz stanu w MC Dariusz Standerski:
To jeszcze pozwolę sobie uzupełnić w zakresie potencjalnych oszustw z drugiej strony, czyli firm, jak zeskanujemy nie ten kod QR, co trzeba, i co się stanie. Już dzisiaj w ramach obecnie obowiązujących rozwiązań nie jest tak, że każdy może zweryfikować na swojej platformie tożsamość z aplikacją mObywatel. Tam jest kwestia najpierw procedury formalnej, później certyfikacji cyberbezpieczeństwa. To jest przykład, o który teraz dostajemy dużo pytań w zakresie jednej spółki o niejasnych powiązaniach z firmą, o której jest głośno w kontekście ustawy omawianej między innymi na tym posiedzeniu Sejmu. Ta spółka złożyła do nas wniosek właśnie o potwierdzanie tożsamości z mObywatelem i nie przeszła certyfikacji. Nie przeszła certyfikacji, to znaczy, że niezależnie od tego, jakie kody QR by na swojej stronie pokazywała, po zeskanowaniu w aplikacji mObywatel nie ma odniesienia, nie ma przekazania danych.

Ponownie wracając do jednego ze slajdów, widzimy tu, jak mamy udostępnienie danych, poniżej informacji o tym, że udostępniamy dane, jest informacja o tym, komu udostępniamy dane. Bo nie jest tak, że taka platforma będzie mogła od razu sobie generować potwierdzanie. Musi się wpisać do wykazu. Do rejestru – dziękuję, panie dyrektorze – do rejestru stron ufających, czyli rejestru, do którego mObywatel będzie wiedział, że może przekazać informacje o weryfikacji wieku. To znaczy, że ta strona spełnia podstawowe standardy bezpieczeństwa i, mówiąc potocznie, niełamania prawa. Zatem z dwóch stron będzie zabezpieczenie. Nie każdy będzie mógł weryfikować od razu. Będzie musiał spełnić podstawowe standardy, nie być na przykład stroną online do nielegalnego hazardu czy nie być nielegalną giełdą w różnych form płatności. Dziękuję.

Przewodnicząca poseł Monika Rosa (KO):
Poseł Stefaniuk i posłanka Gajewska, bardzo proszę.

Poseł Dariusz Stefaniuk (PiS):
Chciałbym dopytać, a właściwie skomentować, bo jeżeli mObywatel nie jest tym jedynym narzędziem, a pan minister mówi, że być może ustawodawca wymyśli inne narzędzia, to wy powinniście jako ministerstwo – oczekuję tego w konsultacji – zaproponować inne narzędzie dla ludzi, którzy tej aplikacji nie będą mieli. Ponieważ jeżeli mówimy o tym, że ktoś może sobie zrobić zdjęcie różnego rodzaju, to przecież może być nieletni i nie będzie to jego zdjęcie. On sobie wygeneruje to zdjęcie, znajdzie sobie to zdjęcie z internetu i to będzie zdjęcie innej osoby, a w ten sposób się zaloguje. To w ogóle po co my to robimy? To znaczy to jest kompletnie bez sensu, bo zawracamy sobie głowę, a de facto chodzi nam chyba o to, żeby ci nieletni, jeżeli mamy ograniczyć dostęp do mediów społecznościowych dla nich, nie mogli się logować bez zgody czy dorosłego, czy też nie spełniając pewnych kryteriów, które będą zapisane w ustawie.

Drugie pytanie: Jaki w takim razie ciężar będzie spadał na te profile społecznościowe, czy to będzie X, Meta, YouTube itd.? Bo jeżeli każdy może oszukać system, to teraz, czy to medium, ta firma nie powie: ale przepraszam, my nie jesteśmy w stanie zweryfikować tego, co wy od nas chcecie, że dalej są konta nieletnich.

I ostatnie pytanie: Czy wszyscy, którzy mamy już konta na profilach społecznościowych, w momencie, gdy ustawa wejdzie w życie, będziemy musieli sobie potwierdzić, że te konta są i należą do osób dorosłych, a z automatu, nie wiem, dzieci nie potwierdzą i te konta będą wykasowywane? Dziękuję.

Przewodnicząca poseł Monika Rosa (KO):
Posłanka Gajewska, bardzo proszę.

Poseł Kinga Gajewska (KO) – spoza składu Komisji:
Jak rozumiem, to akurat ta ustawa dotyczy wyłącznie mechanizmu, a to, jak my jej użyjemy, to później będziemy tworzyli nowe prawo i będziemy na przykład dawali możliwość używania tego portfela tożsamości do na przykład konkretnych stron internetowych. I stąd znowu pytanie, ale nawet trochę dalej wychodzące niż social media: Czy ta aplikacja będzie widziała link, że ja wchodzę na stronę, żeby kupić wino? Czy państwo będzie widziało jakikolwiek link, że na przykład ktoś chce wejść na stronę pornograficzną, że będzie chciał kupić wino? Sam link. Nie co chce, bo to już byłoby w ogóle szaleństwo, kto by zbierał takie dane… w sensie to są bardzo ciężkie dane.

Trochę też odwołując się do tego, co powiedział poseł Cieszyński, bo mówił o używaniu legitymacji poselskiej, ale tam chyba nawet nie mamy kodu QR, więc nie ma gdzie tego użyć. Ale na przykład jak używam Karty dużej rodziny, która ma zidentyfikowany kod QR w mObywatelu. Czy wy, czy państwo bądź serwerownia, ktokolwiek, gdzie są zbierane te dane, widzi to, że przychodzę do Orlenu albo do muzeum i pokazuję swoje dane?

I teraz, wracając do pierwszej wypowiedzi pana dyrektora i swojej pierwszej części, ten link niby nie jest widziany, ale musimy mieć wówczas zaufanie do tej strony internetowej, z którą staramy się połączyć, że ona nie przekaże tych danych dalej. Choć rozumiem, że ta strona ma wyłącznie mój wiek, nie ma żadnej innej danej. Zatem nawet nie muszę mieć do niej zaufania, bo ona i tak nic nie wie. Czyli generalnie nie ma żadnej możliwości przy tym rozwiązaniu europejskiego portfela tożsamości, żeby państwo położyło swoje macki i wiedziało cokolwiek o obywatelu, bo to jest wyłącznie kwestia wieku. Pytanie z tezą.

Sekretarz stanu w MC Dariusz Standerski:
Nie ma żadnego dostępu, nie ma żadnej wiedzy dotyczącej celu wykorzystania danego poświadczenia, czego musimy mieć świadomość także w zakresie ewentualnego złego wykorzystania. To znaczy, jeżeli poświadczymy swój wiek, kupimy wino i dostaniemy sok jabłkowy zamiast wina, to będzie problem później przy dochodzeniu, że to rzeczywiście byliśmy my itd., bo nie ma żadnych logów, że ja 15 kwietnia kupiłem sobie wino, a dostałem wodę. Musimy mieć pełną tego świadomość, że jakikolwiek ślad jest gubiony w momencie przekazania poświadczenia. To znaczy wysyłamy poświadczenie, że ktoś potrzebuje potwierdzenia wieku i na tym się ślad urywa. Nie ma żadnej możliwości, żeby to przekazać.

Druga aplikacja, w której się potwierdzamy, widzi tylko to, co jej przekażemy. Jeżeli zdecydujemy się jej przekazać, czyli odznaczyć imię, nazwisko, adres, numer karty kredytowej, to zobaczy nasze imię, nazwisko, adres, numer karty kredytowej. Jeżeli zdecydujemy się odznaczyć piątą cyfrę naszego numeru PESEL, to będzie znała tylko piątą cyfrę naszego numeru PESEL. Tylko to, co przekażemy, będzie znane tej drugiej stronie, co też będzie dla nas wszystkich lekcją odpowiedzialności za nasze dane, bo to już nie będzie tak automatycznie, jak jest dzisiaj, tylko trzeba będzie podjąć odpowiedzialną decyzję, czy te dane podać, zakreślić, czy jednak nie, czy nie czuję się z tym dobrze, czy podać tylko tę jedną informację. Prawdopodobnie w największej liczbie przypadków będzie to tylko jedna informacja, czyli wiek, więc tego problemu nie będzie.

Odpowiadając na pytanie pana przewodniczącego Stefaniuka, uprzejmie informuję, że projektodawca odpowie w tym zakresie na wszystkie pana pytania, jak będzie złożona odpowiednia ustawa. Dzisiaj mamy punkt, który dotyczy informacji na temat weryfikacji wieku użytkowników w internecie i mediach społecznościowych, dostępne metody, doświadczenia międzynarodowe oraz kierunki regulacyjne w Polsce i Unii Europejskiej, w związku z czym nie rozpatrujemy dzisiaj żadnego projektu ustawy. Mam więc ten komfort przekazywać państwu we właściwości Ministerstwa Cyfryzacji informacje, wątpliwości oraz miejsca, w których mogę państwu dzisiaj powiedzieć, że nie mam pełnej informacji i pełnej odpowiedzi w tym zakresie, który nie został uregulowany i gdzie nie ma jeszcze propozycji regulacyjnej.

Zagadnienie, które pan podnosi, czyli to, w którym miejscu wiek powinien być weryfikowany, też jest bardzo ważnym elementem tej dyskusji, bo to też zależy od decyzji legislacyjnej i od konkretnych przepisów prawa, bo można weryfikować w różnych miejscach. Można ich zidentyfikować przynajmniej kilka, można zidentyfikować formułę przy pierwszym uruchomieniu telefonu, można zidentyfikować formułę przy pobieraniu aplikacji, można zidentyfikować formułę podczas logowania czy rejestrowania konta w aplikacji, czy wreszcie można zidentyfikować okresową formę weryfikacji wieku, czyli co sześć miesięcy, korzystając z aplikacji. Musi wygenerować, że potwierdzamy, czy mamy więcej, czy mniej. To jest wszystko w dyskusji legislacyjnej. Jeszcze w żadnym państwie nie ma jednoznacznych odpowiedzi. Dziękuję.

Przewodnicząca poseł Monika Rosa (KO):
Bardzo proszę, później pani.

Dyrektor ds. polityki publicznej w regionie Europy Środkowo-Wschodniej w Meta, przedstawiciel Krajowej Izby Gospodarczej Jakub Turowski:
Pani przewodnicząca, panie przewodniczący, Wysokie Komisje, panie ministrze, szanowni państwo, moje nazwisko Jakub Turowski. Jestem tu z ramienia KIG, na co dzień odpowiadam za politykę publiczną Mety i właśnie chciałem dać może perspektywę podmiotu, który na co dzień tworzy różnego rodzaju apki czy tak zwane social media.

Chyba jest zgoda na tej sali co do tego, że każda młoda osoba zasługuje na bezpieczne i dostosowane do jej wieku doświadczenie online. Ale widzimy z tej rozmowy, że pozostaje zupełnie otwarte pytanie, jak skutecznie weryfikować wiek. I teraz tak: na dzisiaj z punktu widzenia Mety to nie jest tak, że traktujemy weryfikację wieku jako jednorazowe działanie przy rejestracji. Ten cały system zarówno na Instagramie, jak i na Facebooku jest złożony, jest wielowarstwowy. Rzeczywiście przy rejestracji użytkownik podaje datę urodzenia i to jest samodeklaracja, z tym że potem następuje bieżące monitorowanie i różnego rodzaju modele predykcyjne oparte na sztucznej inteligencji nieustannie oceniają, czy zachowanie użytkownika jest spójne, zgodne z deklarowanym wiekiem. Gdy pojawia się rozbieżność między deklarowanym wiekiem a tym, jak widzimy, że użytkownik się zachowuje, to wtedy prosimy o różne formy potwierdzenia wieku. Ale też przyznajemy się bez bicia, te wszystkie metody są absolutnie niedoskonałe. Zdajemy sobie sprawę z tego, że rozwiązania, które są potrzebne, są rozwiązaniami systemowymi i opartymi na regulacjach.

I teraz pytanie – troszkę już pan minister o tym mówił – to znaczy moim zdaniem są dwa pytania, które należy sobie zadać. Pierwsze pytanie to jest, na jakim poziomie będzie weryfikowany wiek. Obecnie nastolatki korzystają z dziesiątek aplikacji, a każda z nich buduje własne mechanizmy sprawdzania wieku, o ile w ogóle. Nastolatek, którego jedna platforma zidentyfikuje jako osobę niepełnoletnią, może po prostu spróbować na kolejnej. Rodzice stają przed mozaiką różnych systemów, różnych standardów, różnych poziomów ochrony w zależności od aplikacji, z której dziecko korzysta.

Dlatego proponujemy rozwiązanie oparte na weryfikacji w miejscu, w którym zbiegają się wszystkie aplikacje, a mianowicie na poziomie systemu operacyjnego czy sklepu z aplikacjami. Każdy dzieciak ma pomiędzy 30 a 40 apek w swoim telefonie. Ja wiem, że moje dzieci pewnie mają Facebooka, mają Instagrama, pewnie mają TikToka. Nie mam pojęcia o wszystkich aplikacjach, które one mają. I teraz pytanie, jak zrobić, żeby wszystkie aplikacje, z których korzystają nasze dzieciaki, były weryfikowane. Stąd podejście oparte właśnie na sprawdzaniu na poziomie platformy naszym zdaniem byłoby najbardziej skuteczne.

W żadnym stopniu to nie znaczy, że aplikacje mają zaprzestać robić to, co robią, czy mają zaprzestać polepszać swoje systemy, ale trzeba stworzyć system, który spowoduje, że wszystkie aplikacje będą traktowane w ten sam sposób. Tak że to jest pytanie à propos tego, gdzie weryfikować.

No i drugie pytanie –jak rzeczywiście weryfikować. Moim zdaniem żadna pojedyncza metoda weryfikacji wieku nie obejmie stu procent populacji. Młodsi nastolatkowie mogą nie posiadać dokumentów tożsamości, adaptacja portfeli, o których rozmawialiśmy, rośnie, ale pewnie nigdy nie będzie powszechna, szacowanie wieku na podstawie analizy twarzy też nie jest w pełni skuteczne itd. Dlatego rekomendujemy, aby regulacje przewidywały listę dopuszczalnych metod i nie limitowały się tylko do jednej metody.

Zresztą z tego, co kojarzę, to w rozporządzeniu o eIDAS jasno jest napisane, że eIDAS nie może być jedyną metodą do weryfikacji do wieku. I tutaj tych metod rzeczywiście jest wiele. Po pierwsze, jednak jest poświadczenie rodzicielskie. Rodzic może potwierdzać wiek swojego dziecka za pośrednictwem własnego zweryfikowanego konta na urządzeniu. Po drugie, jest eID, który rzeczywiście oferuje rozwiązanie o wysokim poziomie pewności, jest transgraniczne i chroniące prywatność. Nie może być jednak jedynym rozwiązaniem, bo nigdy nie będzie tak, że wszyscy będą mieli eID czy wszyscy będą mieli mObywatela, nawet jeżeli on jest, czy będzie dostępny od 13. roku życia. Oczywiście istnieje też możliwość weryfikacji na poziomie dokumentu tożsamości. Tutaj wiążą się zagwozdki związane z prywatnością.

Pan poseł zadał pytanie à propos tego, czy wszyscy musimy się weryfikować w momencie, w którym wejdzie w życie ta ustawa. Moim zdaniem, jeżeli ktoś korzysta z Facebooka 20 lat, to jest zgoda co do tego, że ta osoba ma powyżej 18 lat. To już duża część populacji odpada. Tak że te dwa poziomy, mam wrażenie, w tej debacie są za mało zróżnicowane, a naprawdę tak powinniśmy do tego podchodzić. Dziękuję.

Przewodnicząca poseł Monika Rosa (KO):
Bardzo dziękuję.

Pozwolę sobie odpowiedzieć. Dzisiaj nie omawiamy założeń do ustawy, ale naturalne jest, że ta dyskusja w tym kierunku będzie się kierować. Natomiast nigdy nie będzie doskonałego prawa i nigdy nie będzie doskonałej weryfikacji wieku, co nie znaczy, że mamy tego prawa nie stworzyć i nie próbować przynajmniej na jakimś procencie ograniczyć dostępność do mediów społecznościowych osób poniżej konkretnej granicy wiekowej. Gdyby obecne metody stosowane przez firmy działały, nie rozmawialibyśmy dzisiaj o tym, jak skutecznie ten wiek weryfikować. A doskonale wiemy, że 1,4 mln tysięcy dzieci w Polsce korzysta z mediów społecznościowych, komunikatorów i wiek inicjacji do mediów społecznościowych jest coraz niższy, a media społecznościowe wcale nie gwarantują nam bezpieczeństwa korzystania i nie są bezpiecznym światem. Wręcz przeciwnie, są światem, który stanowi wysokie zagrożenie dla ich zdrowia, życia, rozwoju i przeżycia, czyli wszystkich tych gwarancji, które są zapisane w konstytucji, ale także w aktach międzynarodowych, które przyjęliśmy w Polsce.

Dlatego tę weryfikację wieku po prostu wprowadzimy. Gdzie weryfikować? Oczywiście trwa dyskusja, czy na poziomie aplikacji, czy na poziomie logowania się. Jest także dyskusja pomiędzy nie tylko nami politykami, ale także pomiędzy biznesem o tym, gdzie tę odpowiedzialność przerzucić – czy na sklep aplikacji, czy właśnie na platformy cyfrowe. Dzisiaj oczywiście tej odpowiedzi sobie nie udzielimy. Zbliżamy się jednak ku temu, aby weryfikować wiek przy logowaniu na platformach cyfrowych, a nie przy ściąganiu aplikacji. Być może nie są to metody rozbieżne, ale właśnie komplementarne ze sobą.

Jak weryfikować? Oczywiście nie jest możliwe stworzenie tylko jednej metody weryfikacji wieku. Zakładając tworzenie tego projektu, pozwolę sobie jeszcze oddać głos panu ministrowi nie w kontekście weryfikacji wieku dostępności do mediów społecznościowych, ale do stron pornograficznych – jak państwo planujecie to rozwiązać w zakresie ustawowym. Kwestia, jak weryfikować. Oczywiście nie będzie jednej metody. Nie będzie to tylko metoda europejskiego portfela tożsamości cyfrowej. Będzie to szerszy katalog. Dobrze. Pozwoliłam sobie odpowiedzieć na kwestie dotyczące Komisji.

Teraz jeszcze pytanie z pani strony.

Młodsza specjalistka ds. rzecznictwa w Fundacji Panoptykon Zuzanna Rżysko:
Dziękuję. Zuzanna Rżysko, Fundacja Panoptykon.

Mam takie trzy pytania, ponieważ wraca dzisiaj temat projektu ustawy. Chcielibyśmy zrozumieć, żeby to może wyklarować, czy niezależnie od tego projektu poselskiego, który był dzisiaj też wspominany, rząd również pracuje bądź planuje pracować nad podniesieniem wieku dojrzałości internetowej do 15 lat. Chcielibyśmy wiedzieć, kto te założenia projektu ustawy opracowuje.

Moje drugie pytanie jest w kontekście dostępu do platform, które my jednak w Fundacji Panoptykon nazywamy platformami antyspołecznościowymi. Czy według Ministerstwa Cyfryzacji to same firmy powinny decydować o tym, w jaki sposób weryfikują wiek swoich użytkowników i z jakich metod korzystają? Czy rząd bądź rozwiązania europejskie planują stworzenie jakiejś zamkniętej listy metod zgodnych z tym europejskim portfelem tożsamości i EUID?

I trzecie pytanie: Czy rząd planuje szeroko zakrojoną kampanię edukacyjną, która przygotuje opinię publiczną na wprowadzanie tych rozwiązań? Dziękuję.

Przewodnicząca poseł Monika Rosa (KO):
Częściowo będę mogła na to odpowiedzieć, ale po panu ministrze. Bardzo proszę.

Sekretarz stanu w MC Dariusz Standerski:
Bardzo serdecznie dziękuję, pani przewodnicząca. I na poziomie krajowym, i na poziomie europejskim prowadzone są analizy, konsultacje oraz wstępne prace nad różnymi propozycjami. W przypadku Komisji Europejskiej w tej chwili finalizuje pracę panel ekspercki w zakresie rekomendacji na poziomie unijnym. Oczywiście w rządzie, w parlamencie są prowadzone dyskusje w tym zakresie.

Natomiast oczywiście również z formalnego punktu widzenia inicjatywa rządowa stanie się konkretna z chwilą wpisu do wykazu prac legislacyjnych Sejmu. Inicjatywa poselska, sejmowa może stać się formalna w momencie nadania numeru druku i w tym momencie również będą znane wszystkie założenia ewentualnych inicjatyw legislacyjnych. Również do decyzji ustawodawcy należeć będzie otwarcie bądź zamknięcie katalogu możliwych form weryfikacji wieku.

Natomiast uważam, że jedno rozwiązanie jest już dzisiaj. Dzisiaj możemy stwierdzić na podstawie analizy przepisów, że mamy otwarty katalog form weryfikacji wieku, bo dzisiaj mamy art. 28 DSA, ochrona małoletnich. Nikt nie zamyka takiego katalogu, więc platformy mogą wskazywać, że chronią małoletnich, pytając użytkownika, czy ma więcej niż 18 lat. Użytkownik klika „tak”, to znaczy, że ma.

W związku z tym jedyny możliwy kierunek w Unii Europejskiej oraz w państwach członkowskich jest albo dotyczący zamkniętego katalogu konkretnych form, albo zastosowanie katalogu form dopuszczonych oraz standardów, jakie powinny spełniać inne formy. To z punktu widzenia teoretycznego i logicznego są dwie możliwe formy rozwiązania tego zagadnienia. Obecnie nie widzę trzeciej. Trzecia jest dzisiaj i nikt nie jest z niej zadowolony. W związku z czym tak, to z pewnością zostanie rozwiązane.

Przewodnicząca poseł Monika Rosa (KO):
Bardzo dziękuję.

Tak, bo trudno jest mówić o założeniach ustawach, których nie ma, w sensie konkretnych zapisów. Zatem z pewnością my i tak ze wszystkimi tę dyskusję przeprowadzimy. Wiem, że i tak musimy zrozumieć i kwestie technologiczne, i kwestie społeczne, i kwestie weryfikacji wieku, i kampanii społecznych. To się po prostu musi wydarzyć. Sama ustawa, jeśli oczywiście wejdzie w życie, dotycząca weryfikacji wieku, będzie miała też wymiar edukacyjny dla rodziców i musi być, co jasne, obudowana kampanią społeczną, informacyjną, konsultacjami publicznymi, zaangażowaniem osób, których w ogóle ma dotyczyć ten projekt ustawy, ale także wszystkich podmiotów, które będą tą ustawą dotknięte. Zatem oczywiście tak, to się jak najbardziej musi wydarzyć.

Przekazuję jeszcze głos pani Katarzynie Szymielewicz. Czy ktoś jeszcze się zgłaszał, jeśli mogę zobaczyć? Później pani. Bardzo proszę.

Prezeska Fundacji Panoptykon Katarzyna Szymielewicz:
Dziękuję bardzo za ponowne udzielenie głosu. Ad vocem do tego, o czym mówił minister Standerski. Art. 28 rzeczywiście nie zamyka katalogu, ale pamiętajmy, że są do niego wytyczne wydane przez Komisję Europejską. Pojawia się w nich ważny punkt, który mówi o tym, że mamy inny katalog, wyższe standardy. Weryfikacja, a nie estymacja wieku, którą dziś stosują platformy, jest przewidziana w sytuacji, kiedy prawo krajowe przewiduje ograniczenie wiekowe w dostępie do usług. Ja to rozumiem tak, że kiedy, bo chyba kiedy, a nie jeśli, pojawi się taka ustawa w Polsce lub pojawi się takie rozwiązanie na poziomie Unii Europejskiej – bo to jest prawo unijne lub krajowe – platformy będą musiały weryfikować wiek, a nie tylko estymować. Dla mnie to już jest sygnał, że jakoś ograniczamy ten katalog do form, które weryfikują, a nie estymują. Ja oczywiście bardzo bym chciała, żebyśmy przynajmniej mieli wymóg respektowania standardu, który jest sensowny, szczelny, a nie wolną amerykankę. Ale zwracam uwagę, że art. 28 za chwilę być może będzie stawiał poprzeczkę wyżej, jeżeli w Polsce lub w Unii Europejskiej przyjmiemy prawo, które ogranicza dostęp do platform ze względu na wiek. To ad vocem.

Jeszcze chciałam dopytać o trzy rzeczy, na które pan dyrektor Sionkowski nie odpowiedział, bo może się dzisiaj uda przynajmniej to zasygnalizować. Tak jak podkreślałam, to nie są nasze wątpliwości. Staramy się reprezentować głos szerszej społeczności. Pytałam o to, czy to rozwiązanie, które COI projektuje, będzie neutralne technologicznie. Rozumiem, że najpewniej będą inne, ale czy to, które państwo tworzycie, uwzględnia to, że obywatele mają różne urządzenia i różne systemy operacyjne. To na pewno byłby ukłon w stronę społeczeństwa bardzo dobrze odbierany.

Druga rzecz, o którą pytałam, to możliwe oszustwa. Też rozumiem, że państwa QR kod będzie na to odporny, co do tego nie mam wątpliwości, ale jak rozwiążemy problem, który mają banki, gdzie ktoś się podszywa, po prostu tworzy stronę, która wygląda podobnie. Czy takie ryzyko wydaje się państwu realne, że ludzie będą nagminnie widzieli QR kody, oczywiście nie wasze, ale jakieś inne? Czy wtedy kampania edukacyjna jest odpowiedzią, czy mamy jeszcze może jakieś sprytniejsze metody przeciwdziałania takim scamom?

Wreszcie pytałam o to, jak COI się odnosi do krytyki standardów, które Komisja Europejska opublikowała na GitHubie. Czy to była poważna krytyka, czy nie? Bo to pytanie też wraca… i o otwartość kodu. Dziękuję.

Przewodnicząca poseł Monika Rosa (KO):
Bardzo proszę panią. Czy ktoś z państwa chciałby jeszcze zabrać głos w pytaniach, to zbierzemy? Tak, zbierzemy wszystkie i udzielimy państwu głosu już na koniec, dobrze? Dobrze. Więc pani, następnie panie, posłanka Gajewska, pani na koniec i pan minister z panem dyrektorem, bardzo proszę.

Specjalista ds. projektów społecznych w Pionie Ochrony Informacyjnej Cyberprzestrzeni Naukowej Akademickiej Sieci Komputerowej – Państwowego Instytutu Badawczego  Natalia Wójcicka:
Dzień dobry, Natalia Wójcicka, NASK.

Ja mam takie pytanie dotyczące właśnie tego katalogu otwartego i tego, żeby były jakieś inne weryfikacje niż za pomocą mObywatela, i trochę nie rozumiem, dlaczego. Czy jest jakaś wątpliwość? To znaczy, rozumiem, ale czy jest jakaś nieszczelność weryfikacji wieku przez mObywatela? Bo wiemy, że nieszczelność jest w mówieniu, w deklaracji, ile ma się lat, czy w analizie zachowania, czy wysyłaniu selfie, ale to wydaje mi się dość szczelne.

Rozumiem, że nie wszyscy mają mObywatela i może to jest jakiś mój skrót myślowy, ale mam takie skojarzenie, że jak chcę kupić alkohol, to muszę mieć dowód. Czy to nie jest trochę coś podobnego? Czyli, jeżeli chcę korzystać z social mediów, to muszę pokazać europejski portfel tożsamości cyfrowej w mObywatelu. Zatem czy jest jakaś nieszczelność i trzeba dodawać jeszcze dodatkowe rzeczy, czy to jest po prostu kwestia wyboru dla obywateli, żeby nie było przymusu, że trzeba mieć mObywatela? Dziękuję.

Przewodnicząca poseł Monika Rosa (KO):
Nie wiem, jaka była kolejność. Panie, bardzo proszę.

Prezes Izby Gospodarki Elektronicznej Patrycja Sass-Staniszewska:
Patrycja Sass-Staniszewska, Izba Gospodarki Elektronicznej.

Bardzo dziękuję przede wszystkim za dzisiejsze posiedzenie, bo wiele istotnych tematów jest poruszanych. Ja bym chciała jeszcze jedną rzecz dodać odnośnie do samych nielegalnych treści, które pojawiają się w internecie, i w kwestii ochrony małoletnich, ponieważ musimy także pamiętać o nieuczciwej reklamie. Co mam na myśli? Przede wszystkim oczekujemy przygotowania skutecznej weryfikacji młodych, którzy będą korzystali z social mediów, ale musimy także pomyśleć o weryfikacji reklamodawców, blokowaniu nielegalnych treści, lepszych algorytmach wykrywania nadużyć oraz realnej współpracy z instytucjami publicznymi. To jest, że tak powiem, must be jednej i drugiej strony. Żeby zabezpieczyć dzieci, musimy też zadbać o drugą stronę. To nie powinna być dobra wola biznesów, tylko standard.

Także większa transparentność stosowanych polityk, regularne raportowanie w skali nadużyć, wzmacnianie mechanizmów prewencyjnych i ścisłej współpracy z polskimi unijnymi instytucjami. Co chciałabym powiedzieć odnośnie do weryfikacji wieku? Też jestem, tak jak powiedziała pani z NASK, absolutnie za tym, że nie powinno być jednej formy weryfikacji. Jestem na komisji w kwestii sprzedaży alkoholu przez internet i tutaj też postulujemy, że nie może być jednej weryfikacji. Najlepsza jest weryfikacja poprzez podwójną autentykację. Jest wiele form, które na to pozwalają i one są już skuteczne, działają, funkcjonują w internecie.

Uważam, że europejski portfel jest świetnym rozwiązaniem, tak jak pan minister powiedział, bezpiecznym dla obywatela, jeżeli chodzi o dane osobowe. Natomiast są również inne formy technologiczne, które są dostępne na rynku i są także skuteczne.

Odniosę się też do tego, co powiedział pan reprezentujący Metę na dzisiejszym spotkaniu. Absolutnie nie zgadzam się z weryfikacją na social media poprzez algorytmy, bo nie byłoby problemu, który mamy aktualnie, czyli że dzieciaki – nawet już nie mówimy o nastolatkach, tylko dzieci, nie wiem, druga, trzecia klasa szkoły podstawowej – po prostu funkcjonują sobie na przestrzeni social media, jak chcą. Dlatego koniecznie musimy wymyślić sposoby ich ochrony poprzez skuteczną weryfikację wieku.

Ale, tak jak powiedziałam wcześniej, konieczne też jest zajęcie się drugą stroną, czyli biznesem, który faktycznie funkcjonuje nielegalnie, prezentuje reklamy nielegalne na social mediach, ponieważ musimy zadbać o jedną i drugą stronę, żeby naprawdę doprowadzić temat i zadbać o bezpieczeństwo dzieci. Dziękuję.

Przewodnicząca poseł Monika Rosa (KO):
Dziękuję.

Bardzo proszę.

Ekspertka do spraw nowych technologii Bucholc Consulting Dominika Bucholc:
Dominika Bucholc, Kids Alert.

Dzień dobry. Bardzo dziękujemy za to posiedzenie, bo chyba wszyscy widzimy, jak ono jest ważne. Mam jeszcze jedno pytanie na etapie już, załóżmy, wdrożenia tego rozwiązania. W grudniu budzimy się w rzeczywistości, w której mamy już wszyscy w mObywatelu takie narzędzie. Moje pytanie odnośnie do czarnego rynku platform, które w tym momencie nie są mediami społecznościowymi, nie są oficjalnie uznane za strony pornograficzne, brzmi: Czy my jako Polska posiadając pewną suwerenność, jesteśmy w stanie nałożyć właśnie to poświadczenie na niektóre platformy? Myślę tutaj na przykład o platformie Omegle, z którą aktualnie jako Kids Alert mamy problem. W ostatnim tygodniu wysłaliśmy razem z rodzicami 800 zgłoszeń do dyżurnetu, ponieważ jest tam ogromna ilość onanizujących się mężczyzn i dzieci mogą wejść bez potwierdzenia wieku, klikając „od razu zaczynam rozmowę”, i zacząć właśnie taką rozmowę przez kamerkę. Takie platformy nie są klasyfikowane w tym momencie ani jako social media, ani jako strony bezpośrednio z pornografią. Czy jesteśmy w stanie jako kraj nałożyć weryfikację wieku poprzez aplikację mObywatel na takie strony? Dziękuję.

Przewodnicząca poseł Monika Rosa (KO):
Dobrze, dopytamy jeszcze.

Prezes Izby Gospodarki Elektronicznej Patrycja Sass-Staniszewska:
Ja jeszcze jedno pytanie, jeśli mogę. Jak będą weryfikowane strony chcące się dopisać do rejestru pod kątem ich legalności? To jest moje pytanie.

Przewodnicząca poseł Monika Rosa (KO):
Pani posłanka i na końcu pani.

Poseł Kinga Gajewska (KO) – spoza składu Komisji:
Bardzo dziękuję za ten poprzedni głos, bo on jest dokładnie kluczem, o co chciałam zapytać. Oczywiście nam najłatwiej jest atakować największe portale społecznościowe, bo po prostu wszyscy je znamy, ale też istnieje cała masa portali, o których w ogóle, jako dorośli, nie mamy pojęcia. Czy jesteśmy w stanie jako państwo, stworzyć zamknięty katalog stron internetowych? Przecież one mogą się tworzyć jak grzyby po deszczu. Nawet minister nie byłby w stanie cały czas pisać nowych rozporządzeń, bo to by była walka z wiatrakami, tak jak właśnie z dopalaczami. Cały czas byłby zmieniany, nie wiem, skład, link, nazwa tej strony.

Teraz, co zrobić ze stronami, które stanowią po części na przykład portal społecznościowy, na którym prezentujesz, powiedzmy, swoje życie, ale też po części są komunikatorem? Przecież uczniowie korzystają z Messengera czy z WhatsAppa. Najłatwiej jest mi wypowiadać, przepraszam uprzejmie, reprezentację konkretnej firmy, ale najbardziej znam te komunikatory. Jak to w takim razie rozróżnić? Czy jesteśmy w stanie podzielić technicznie taki jeden portal społecznościowy na portal i na komunikator? Co zrobić na przykład z komunikatorem, portalem społecznościowym, którym jest YouTube, na którym jest mnóstwo edukacyjnych treści, ale też mnóstwo niebezpiecznych treści?

Wiem, że to nie są pytania na dzisiaj do państwa, ale korzystając z ogromnego doświadczenia i wiedzy, po prostu aż grzechem byłoby nie zadać tych pytań.

Przewodnicząca poseł Monika Rosa (KO):
Dziękuję.

Bardzo proszę, ostatnie pytanie.

Ekspert ds. nowych technologii w Fundacji Instytut Cyfrowego Obywatelstwa Katarzyna Toczko:
Katarzyna Toczko, Instytut Cyfrowego Obywatelstwa.

Bardzo się cieszę, że mogę brać udział w dzisiejszej dyskusji. Moje pytanie jest dwojakiej natury. Z jednej strony cieszę się, słysząc gwarancję, że te produkty są budowane w modelu privacy by design, ale chciałabym też powtórzyć pytanie Katarzyny Szymielewicz o model rozwijania tej aplikacji i o otwartość kodu źródłowego, tak żeby community polskich programistów mogło zweryfikować, jak bardzo jest to model zbliżony do privacy by design, jak prywatność danych obywateli jest tak naprawdę utrzymywana. Bo wiemy z tych pierwszych eksperymentów brukselskich, że pierwsza wersja aplikacji white label okazała się jednak fiaskiem, co zresztą zostało udowodnione właśnie dzięki społeczności open source.

Drugie moje pytanie dotyczy właśnie tej warstwy delikatnej, czyli komunikacyjnej. To znaczy, czy rzeczywiście Ministerstwo Cyfryzacji zastanawia się nad tym, jak przekonać polskie dzieci do tego, żeby zaczęły korzystać z tej aplikacji? Jak przekonać rodziców, nauczycieli i wszystkie strony, które w grudniu 2026 r. będą musiały zacząć korzystać z tej aplikacji, tak żeby przeróżne firmy prywatne czy reprezentujące VLOP-y, czy jakiekolwiek inne produkty technologiczne nie przejęły tej narracji i nie zaczęły nam objaśniać, jak to od tej pory należy się weryfikować? Dziękuję bardzo.

Przewodnicząca poseł Monika Rosa (KO):
Dobrze. Ja tylko w jednym wyręczę ministerstwo, przepraszam. Otóż, od grudnia ma być gotowe narzędzie. To nie znaczy, że od razu wejdzie w życie ustawa dotycząca poszczególnej weryfikacji wieku na poszczególnych stronach czy portalach internetowych. Bardzo proszę, panie ministrze.

Sekretarz stanu w MC Dariusz Standerski:
Dziękuję za wsparcie, pani przewodnicząca. Odnosząc się do pytań bardziej politycznych i systemowych w zakresie krytyki rozwiązania przedstawionego przez Komisję Europejską, nazywajmy to rozwiązaniem, bo to nie jest aplikacja. To rozwiązanie nie przeszło certyfikacji, bo nie miało co przejść certyfikacji. Powtórzę, to nie jest tak, że Komisja Europejska w kwietniu opublikowała w sklepach z aplikacjami aplikację, którą można było pobrać i wtedy te historie, że hakerzy potrzebowali dwóch minut, żeby przez tę aplikację przejść i że w ogóle śmieszne itd. Nie, to tak nie wyglądało. To była udostępniona biblioteka rozwiązań, która nie może być przełożona jeden do jednego na aplikację, bo nie taki był zamysł. Później państwa członkowskie otrzymały też rekomendacje z Komisji Europejskiej, żeby te wspólne standardy wykorzystywać.

Dlaczego to jest tak ważne? Ja osobiście pogratulowałem pani przewodniczącej von der Leyen na spotkaniu rady, bo to jest wyznaczenie jednolitych standardów, z których mogą korzystać różne państwa członkowskie. To znaczy, teraz różne państwa członkowskie, jeżeli nie chcą korzystać z portfela albo jeszcze nie są gotowe, bo, szanowni państwo – drobna dygresja – wiele państw członkowskich Unii Europejskiej jeszcze nie jest gotowych z portfelem nawet na poziomie projektowania. Niektórzy dopiero piszą warunki. Ale wracając, jeżeli ktoś nie może korzystać z portfela, to niech to dodatkowe rozwiązanie, które zaproponowała Komisja Europejska, będzie takie samo dla wszystkich państw Unii Europejskiej. Czyli: macie tu standardy, macie to zrobić według takiego i takiego standardu, macie pośredniczyć w przekazywaniu weryfikacji wieku. O to chodziło Komisji Europejskiej, a nie o to, żeby jutro 50 mln obywateli już miało tę czy inną aplikację.

Jeżeli chodzi o kwestię, o którą pytała pani posłanka Gajewska, to z punktu widzenia technicznego nie ma różnicy, czy weryfikujemy wiek dla aplikacji, czy dla strony internetowej. To jest ten sam mechanizm. Dzisiaj, jak przekazujemy nasze dane z mObywatela, tak samo robimy to na aplikacji, tak samo robimy ze stronami internetowymi.

Jak śledzić i weryfikować strony, które nie przestrzegają? To też jest kwestia decyzji ustawodawcy i ustawodawca takie decyzje już podejmował w innych obszarach. W 2022 r. albo na początku 2023 r., nie pamiętam dokładnie, ustawodawca na przykład podjął taką decyzję, żeby stworzyć rejestr domen służących do oferowania gier hazardowych niezgodnie z ustawą. I taki rejestr działa. Każdy może wejść na stronę hazard.mf.gov.pl i zobaczyć listę stron internetowych, które oferują nielegalny hazard i które są blokowane. Z tych stron mamy już na liczniku 55 121. W związku z tym jest to rozwiązanie, które działa. Jak patrzę, tylko dzisiaj takich stron zablokowano już około 20. To rozwiązanie się sprawdziło przy okazji gier hazardowych niezgodnych z ustawą. Tak samo takie rozwiązanie może się sprawdzić przy tych stronach internetowych, które oferują treści wymagające weryfikacji wieku niezgodnie z ustawą.

Do decyzji ustawodawcy jest kwestia stworzenia takiego rejestru. Do decyzji ustawodawcy jest również określenie, jaki standard aplikacji, jaka forma aplikacji i strony internetowej wymaga weryfikacji wieku. Oczywiście to jest bezsensowne i nie piszę się na coś takiego, żeby minister cyfryzacji publikował w rozporządzeniu wykaz aplikacji i stron internetowych, które muszą weryfikować wiek. Czegoś takiego nie zrobimy. Ale ustawodawca może określić, co wpisuje się w formę aplikacji lub strony, która wymaga weryfikacji wieku. Może zdecydować, czy to ma być wielostronny interfejs służący do wymiany zdjęć, filmów i innych treści pomiędzy użytkownikami, czy to jest strona, która umożliwia udostępnianie wideo w czasie rzeczywistym dla nieokreślonej grupy użytkowników, czy to ma być komunikator. To jest wszystko w granicach decyzji ustawodawcy.

Dzieląc się osobistą obserwacją, uważam, że wokół tego będzie najtrudniejsza dyskusja, żeby określić ten zakres weryfikacji wieku, bo jak było tu kilka razy wspominane, są aplikacje i strony, co do których nie mamy wątpliwości, są również aplikacje i strony, co do których nie mamy jednoznacznego stanowiska. Tak samo w społeczeństwie nie ma jednoznacznego stanowiska, czy należy weryfikować wiek, czy nie. W pozostałym zakresie chciałbym przekazać głos panu dyrektorowi.

Dyrektor departamentu COI Rafał Sionkowski:
Dobrze. To ja zacznę może od odniesienia się do pytań Fundacji Panoptykon. Jeśli chodzi o neutralność technologiczną, to my ją realizujemy na warstwie interfejsów wspólnych standardów, które są standardami otwartymi. Nawet dwa tygodnie temu mieliśmy dość burzliwą dyskusję z Komisją Europejską w kontekście nowych interfejsów, które zostały dodane do aktów implementacyjnych i razem z innymi krajami, między innymi z Niemcami i z Włochami, zadbaliśmy o to, aby zostały tam wpisane interfejsy powszechnie uznane za otwarte, a nie te wspierane przez konkretne platformy. Natomiast na ten moment nie planujemy udostępniać tej aplikacji poza głównymi sklepami z aplikacjami, które mamy. Nie planujemy jej udostępnić stand-alone, żeby można ją było zainstalować gdziekolwiek. Ze względów bezpieczeństwa tego się po prostu nie robi, bo wtedy narażamy się na dodatkową ekspozycję.

Jeśli chodzi o oszustwa i wyświetlanie jakichś QR kodów przez instytucje, które właśnie będą próbowały się podszyć pod stronę ufającą i pobrać od nas jakieś dane, to tak jak pan minister mówił, jak ja już mówiłem w swojej prezentacji, każda taka strona ufająca będzie musiała się zarejestrować w rejestrze stron ufających. Każdy kraj członkowski Unii Europejskiej będzie musiał taki rejestr stron ufających zbudować. My go budujemy w tej chwili w Centralnym Ośrodku Informatyki. Taka strona ufająca po rejestracji będzie zakupywała certyfikaty. Będą to dwa certyfikaty: certyfikat rejestracji oraz certyfikat dostępu. To będą certyfikaty kwalifikowane i posiadając wpis do rejestru, taki certyfikat będzie wydawany przez kwalifikowanego dostawcę. Następnie, kiedy portfel będzie się łączył z taką stroną internetową i sczytywał QR kod, to żeby przekazać jakiekolwiek dane, żeby nastąpiła jakakolwiek interakcja pomiędzy portfelem, aplikacją a stroną ufającą, to ta strona ufająca musi się wylegitymować tym prawilnym certyfikatem. W tym certyfikacie określone będą także źródła przetwarzania danych i cel przetwarzania danych, które przekazujemy.

Jest to więc taki mechanizm interoperacyjny. Jeśli na przykład skończymy, nie wiem, kurs flamenco w Hiszpanii i będziemy tam przekazywać jakieś dane, żeby otrzymać dyplom ukończenia kursu, to tak samo nasz polski mObywatel dostanie jako taką legitymację tej szkoły flamenco certyfikat, który sprawdzi, czy on jest walidowalny, czy nie został unieważniony, czy wszystkie dane w tym certyfikacie są prawidłowe. Dzięki temu w zasadzie taka sytuacja, że ktoś podszywa się pod stronę ufającą, generuje sobie jakiś QR kod i przekazuje dane, z technicznego punktu widzenia jest po prostu niemożliwa.

Jeśli chodzi o otwartość kodu, to po pierwsze otwartość tego kodu gwarantuje eIDAS. W naszej ustawie, której proces legislacyjny się toczy, także umieściliśmy taki zapis, że ten kod zostanie opublikowany po opinii odpowiednich CSIRT-ów. Zatem w tym obszarze oczywiście będziemy otwarci.

Tak jak pan minister wspominał, w drugiej połowie czerwca planujemy zorganizować spotkanie w COI dotyczące właśnie prywatności i bezpieczeństwa bardziej technologicznie, na którym opowiemy też, jak to wszystko będzie działało.

Jeśli chodzi o legalność biznesów, stron internetowych, aplikacji, które będą uzyskiwały ten wpis do rejestru, to każda taka strona w momencie wnioskowania o wpis do rejestru będzie musiała wykazać szereg danych, takich jak numer NIP, REGON. Wniosek musi zostać podpisany pieczęcią kwalifikowaną, wydaną przez kwalifikowanego dostawcę. Certyfikat na tej pieczęci oraz to, czy osoba, która się nią posłużyła, ma do tego prawa, będzie automatycznie weryfikowane. Zatem pod tym kątem znowu podszycie się pod nieistniejącą firmę czy podmiot na fake’owe dane, nazwijmy to, nie będzie możliwe.

Patrzę na listę. To chyba wszystkie pytania, które padły. Dziękuję.

Przewodnicząca poseł Monika Rosa (KO):
Dobrze. Szanowni państwo, to jest właściwie taka pierwsza, otwierająca z serii Komisji dotyczących kwestii weryfikacji wieku, dostępności i innych rozwiązań technicznych, które przed nami. Już państwa serdecznie zapraszam i pana ministra również.

Dziękuję za tę Komisję. Zamykam posiedzenie.