Η ψηφιακή μετάβαση της Ευρώπης βασίζεται ολοένα και περισσότερο στην ασφαλή ανταλλαγή δεδομένων μεταξύ πολιτών, δημόσιων φορέων, επιχειρήσεων και ερευνητικών οργανισμών.
Ομάδα ανάπτυξης του έργου CONSENTIS
Από την υγεία και τη δημόσια διοίκηση έως τις νέες υπηρεσίες που αναπτύσσονται γύρω από τα ευρωπαϊκά Data Spaces (ασφαλή οικοσυστήματα διαμοιρασμού δεδομένων με κοινούς κανόνες), τα προσωπικά δεδομένα αποτελούν πολύτιμο πόρο. Ταυτόχρονα, όμως, η χρήση τους δημιουργεί κρίσιμα ερωτήματα: ποιος έχει πρόσβαση σε αυτά, για ποιο σκοπό, με ποια συγκατάθεση και υπό ποιες εγγυήσεις προστασίας;
Σε αυτό το περιβάλλον, η ασφάλεια δεν μπορεί να περιορίζεται μόνο στην προστασία δικτύων, συστημάτων και εφαρμογών. Η ψηφιακή ταυτότητα, η διαχείριση συγκατάθεσης και η δυνατότητα ελέγχου της πρόσβασης στα δεδομένα αποτελούν πλέον βασικά στοιχεία εμπιστοσύνης. Ο πολίτης πρέπει να γνωρίζει και να ελέγχει πότε τα δεδομένα του ζητούνται, από ποιον, για ποια χρήση και με ποια δυνατότητα ανάκλησης ή περιορισμού.
Το ευρωπαϊκό ερευνητικό έργο CONSENTIS – Identity and Consent Management for EU Digital and Data Strategies έρχεται να αντιμετωπίσει ακριβώς αυτή την πρόκληση. Στόχος του έργου είναι η ανάπτυξη ενός πλαισίου για ασφαλή, διαφανή και φιλική προς τον χρήστη διαχείριση ψηφιακής ταυτότητας και συγκατάθεσης, σε συμφωνία με τις ευρωπαϊκές ψηφιακές και θεσμικές προτεραιότητες, όπως ο GDPR, το eIDAS και τα ευρωπαϊκά Data Spaces.
Ο χρήστης στο επίκεντρο της ψηφιακής ταυτότητας
Στον πυρήνα του CONSENTIS βρίσκεται η προσέγγιση Self-Sovereign Identity (SSI), δηλαδή ένα μοντέλο όπου ο χρήστης διατηρεί μεγαλύτερο έλεγχο της ψηφιακής του ταυτότητας και των διαπιστευτηρίων του, αντί να εξαρτάται αποκλειστικά από κεντρικούς παρόχους ταυτότητας. Μέσω digital wallets, Decentralized Identifiers (DIDs) και Verifiable Credentials (VCs), ο χρήστης μπορεί να ταυτοποιείται και να παρουσιάζει μόνο τα απαραίτητα στοιχεία για κάθε συναλλαγή, χωρίς να αποκαλύπτει ολόκληρη την ψηφιακή του ταυτότητα ή περιττά προσωπικά δεδομένα.
Από το checkbox σε μια δυναμική και ελέγξιμη συγκατάθεση
Ωστόσο, η ταυτότητα από μόνη της δεν αρκεί. Εξίσου κρίσιμη είναι η διάσταση του consent management. Σήμερα, η συγκατάθεση συχνά αντιμετωπίζεται ως μια απλή φόρμα ή ένα checkbox. Στην πράξη, όμως, για να είναι ουσιαστική και συμμορφωμένη με τον GDPR, πρέπει να είναι ενημερωμένη, συγκεκριμένη, ξεκάθαρη, ανακλήσιμη και τεχνικά ελέγξιμη. Το CONSENTIS επιχειρεί να μετατρέψει τη συγκατάθεση από στατικό κείμενο σε λειτουργικό μηχανισμό: ένα μέσο με το οποίο ο χρήστης μπορεί να εγκρίνει, να απορρίπτει, να παρακολουθεί ή να ανακαλεί τη χρήση των δεδομένων του.
Όταν η συγκατάθεση γίνεται μέρος της τεχνολογικής υποδομής
Το έργο αναπτύσσει τεχνολογίες που επιτρέπουν στον χρήστη να λαμβάνει ειδοποιήσεις για αιτήματα πρόσβασης στα δεδομένα του, να βλέπει ποιος ζητά τι και για ποιον σκοπό, και να λαμβάνει αποφάσεις μέσα από φιλικές διεπαφές. Παράλληλα, η συγκατάθεση μπορεί να αποτυπώνεται σε machine-readable μορφή, ώστε να συνδέεται με συγκεκριμένο σκοπό επεξεργασίας, κατηγορίες δεδομένων, χρονική διάρκεια, κατάσταση ισχύος και δυνατότητα ανάκλησης. Με αυτόν τον τρόπο, η συμμόρφωση δεν παραμένει μόνο νομική απαίτηση, αλλά υποστηρίζεται τεχνικά από το ίδιο το σύστημα.
Ιδιαίτερη σημασία έχει και η δυνατότητα διαλειτουργικότητας με υφιστάμενες υποδομές. Οι οργανισμοί χρησιμοποιούν ήδη διαφορετικά συστήματα, αναγνωριστικά, βάσεις δεδομένων και διαδικασίες. Το CONSENTIS δεν επιδιώκει να τα αντικαταστήσει, αλλά να λειτουργήσει ως ένα πλαίσιο που μπορεί να συνδέεται με αυτά, μειώνοντας την ανάγκη για ριζικές αλλαγές. Σε αυτό το πλαίσιο, τεχνολογίες όπως Blockchains, smart contracts και Privacy Enhancing Technologies (PETs) ενσωματώνονται στο έργο και συμβάλλουν στην ασφαλέστερη ανταλλαγή δεδομένων.
Υγεία και ασφάλιση: Η συγκατάθεση ως κρίσιμος μηχανισμός εμπιστοσύνης
Ένα χαρακτηριστικό παράδειγμα εφαρμογής αφορά σενάρια στον χώρο της υγείας και της ασφάλισης. Όταν ένας οργανισμός χρειάζεται πρόσβαση σε συγκεκριμένες πληροφορίες, το κρίσιμο δεν είναι μόνο να ταυτοποιηθεί ο χρήστης, αλλά και να διασφαλιστεί ότι το αίτημα είναι σαφές, ότι ο χρήστης ενημερώνεται, ότι η συγκατάθεση συνδέεται με συγκεκριμένο σκοπό και ότι η πρόσβαση καταγράφεται με τρόπο ελέγξιμο. Έτσι, η ψηφιακή ταυτότητα και η συγκατάθεση γίνονται μέρος της συνολικής αρχιτεκτονικής ασφάλειας.
Μια ευρωπαϊκή ερευνητική προσπάθεια με ελληνική συμμετοχή
Το CONSENTIS υλοποιείται από κοινοπραξία 13 οργανισμών από 10 ευρωπαϊκές χώρες, με τεχνογνωσία σε κυβερνοασφάλεια, ψηφιακή ταυτότητα, blockchain, προστασία δεδομένων, νομική συμμόρφωση και ψηφιακή εμπιστοσύνη. Η συμμετοχή του Πανεπιστημίου Πατρών, μέσω του Τμήματος Ηλεκτρολόγων Μηχανικών και Τεχνολογίας Υπολογιστών, αναδεικνύει τον ρόλο της ελληνικής ερευνητικής κοινότητας σε ευρωπαϊκές πρωτοβουλίες αιχμής, σε έναν τομέα που συνδέεται άμεσα με το μέλλον των ψηφιακών υπηρεσιών.
Καθώς η Ευρώπη κινείται προς πιο διασυνδεδεμένες ψηφιακές υποδομές, η εμπιστοσύνη δεν μπορεί να θεωρείται δεδομένη. Πρέπει να σχεδιάζεται, να τεκμηριώνεται και να ενσωματώνεται στις ίδιες τις τεχνολογίες. Το CONSENTIS συμβάλλει προς αυτή την κατεύθυνση, προτείνοντας ένα πλαίσιο όπου η ταυτότητα, η συγκατάθεση και η προστασία δεδομένων λειτουργούν μαζί, με στόχο ασφαλέστερες, πιο διαφανείς και πιο αξιόπιστες ψηφιακές υπηρεσίες για τους πολίτες και τους οργανισμούς.
