Ez is Rogán Antal: bőven vannak aggályok a digitális állampolgárság projekt körül

Aki az elmúlt hónapokban használta az Ügyfélkapu oldalt, az a szokásos belépési lehetőség mellett két újjal is szembesült: az úgynevezett Ügyfélkapu+ és a DÁP mobilalkalmazás felkínálásával. S egyelőre úgy néz ki, hogy jövő január 16-tól pedig meg is szűnik az eddigi sima, felhasználónevet és jelszót kérő ügyfélkapus belépési lehetőség, és csak a két új opció marad.

Appot kaptok

Ezek közül az Ügyfélkapu+ nevű azonosítási lehetőség tulajdonképpen a kétfaktoros azonosításra való átállást jelenti, vagyis egy pluszkódra is szükség lesz a sima felhasználónév és jelszó megadásán felül. Ez alapvetően egy biztonsági megoldás, amelyet számos cég amúgy is alkalmaz azért, hogy így védje a rendszereit és az ott tárolt adatokat a rosszindulatú hozzáférésektől. Jelen állás szerint az Ügyfélkapu+-ban a kódgeneráláshoz egy mobilapplikáció kell majd, például a Google vagy a Microsoft hitelesítő alkalmazása (ilyenkor a hitelesítőben megjelenő, folyton változó számsorral lehet megerősíteni a belépést), de elvileg akár e-mail­ben is kérhető a hitelesítő kód – igaz, erre egyelőre nincs lehetőség. Az e-mailes kódküldés fejlesztésére ugyanis csak december 4-én, tehát nem sokkal több, mint egy hónappal a tervezett átállás előtt írta ki a közbeszerzést egy hirdetmény nélküli tárgyalásos eljárásban a fejlesztéseket intéző állami Idomsoft Zrt. arra hivatkozva, hogy felmérték az Ügyfélkapu+ elterjedtségét és a jövőbeni potenciális felhasználói kört, majd arra jutottak, hogy inkább bevezetik az e-mailes hitelesítés lehetőségét is.

Az online ügyintézéshez a másik belépési opció a DÁP mobilalkalmazás lesz, ez tulajdonképpen egy, a magyar kormány megbízásából fejlesztett applikáció, amelyet fellengzősen „digitális állampolgárságnak” neveznek. Használatához az app letöltése mellett regisztrálni kell vagy a 2021-től kezdődően kiállított eSzemélyivel, vagy személyesen egy kormányablakban. A kormány az appon keresztül az állampolgároknak a könnyebb, okostelefonos ügyintézést ígéri, de míg eddig az egész digitális állampolgárság csak valami jövőbeli dolog volt, a hagyományos Ügyfélkapu kivezetésével most már

egészen konkrétan efelé terelik az embereket.

Könyvelők, vállalkozók körében, olyanoknál, akik meglehetősen rendszeresen intéznek ügyeket online, már most felmerült dilemmaként, hogy januártól az Ügyfélkapu+-ra vagy a DÁP-ra érdemes-e váltani. Egyesek szerint a DÁP-ról keveset tudni, ezért érdemes kivárni, az ügyintézéshez egyelőre elég az Ügyfélkapu+ is; mások viszont azzal érvelnek, hogy az Ügyfélkapu+ csak ideiglenes megoldás lesz 2026-ig, amikor végül úgyis mindenkinek kötelező lesz váltani a DÁP-ra, tehát érdemes már most lefutni ezt a kört.

A DÁP mobilalkalmazás jelen állapotában meglehetősen kezdetleges, és nem sok mindenre használható: az ügyfélkapus belépés mellett egyelőre kormányablakos időpontfoglalásra, erkölcsi bizonyítvány igénylésére és a személyazonosság igazolására lehet használni, de a tervek szerint jövőre a dokumentumok kézi aláírását is ki fogja váltani, „digitális irattárcával” helyettesítheti a sima okmányokat. Sőt piaci szereplőknél (például bankoknál, közműszolgáltatóknál) is be lehet vele jelentkezni, idővel pedig akár fizetni is lehet ezzel, illetve minden közigazgatási ügy intézhető lesz az appon keresztül.

Alapvetően nem hangzik rosszul, hogy az ember a mobilján néhány kattintással letudhatja a különböző ügyintézési macerákat, de ahogy azon is érdemes elgondolkozni, hogy a nagy tech cégeknek mely adatainkat adjuk meg, amikor egy app letöltésénél automati­kusan bepipáljuk a beleegyező adatkezelési nyilatkozatokat, úgy a kormány applikációjánál ez hatványozottabban igaz. Főleg akkor, ha a másik oldalon a titkosszolgálatokat is felügyelő Rogán Antal üldögél.

A DÁP ugyanis a Rogán Antal vezette Miniszterelnöki Kabinetiroda projektje. Szeptember 1-jétől a bűnügyi nyilvántartáson kívül szinte minden, az állam által gyűjtött adatnak a kezelése is hozzá került, az egész digitális állampolgárság szolgáltatója pedig az alá tartozó Idomsoft Zrt. Ez utóbbiról érdemes megjegyezni, hogy 2010-ben vált ki a három egykori belügyes által 2000-ben alapított Idom 2000 Konzulens Zrt.-ből, majd 2013-ban vásárolta fel az állam gyanús körülmények között, Vertán György közbeiktatásával – ő az az üzletember, aki Magyar Péter szerint Kubatov Gábor „intézőembere”, és az ő egyik lakásában lakik Magyar volt partnere, a beszélgetéseiket titokban rögzítő Vogel Evelin, továbbá egyik cége a volt igazságügyi miniszter Varga Juditot (Magyar volt feleségét) is foglalkoztatja. Vertán a sajtóhírek szerint nagyjából 380 millió forintért szerezte meg a céget akkor, amikor már lehetett tudni, hogy az állam is bejelentkezik érte, majd mintegy 1,3 milliárd forintért passzolta azt tovább az államnak. A cég azóta 100 százalékos állami tulajdonban van,

jelenleg a Miniszterelnöki Kabinetiroda alá tartozó Digitális Magyarország Ügynökség Zrt. gyakorolja felette a tulajdonosi jogokat.

Általános bizalmatlanság

A DÁP bevezetése ellen többen is felszólaltak, a leghangosabban a könyvelők: a Magyar Könyvelők Országos Egyesülete (MKOE) a januári átállás elhalasztását követeli, arra hivatkozva, hogy az állampolgárok nincsenek erre felkészülve, még az autentikátor (hitelesítő) kifejezést sem értik, a hitelesítő alkalmazásokhoz is szükséges QR-kódos regisztrációt pedig bonyolultnak, megérthetetlennek tartják. Vannak, akik a túlzott centralizációt vagy az embe­rekre kényszerített digitalizációt sérelmezik az ügyben, és olyanok is akadnak, akik attól is tartanak, hogy a DÁP mobilalkalmazás telepítésével egyenesen egy kémszoftvert tesznek majd fel a telefonjukra, de legalábbis még több lehetősége lesz az államnak kémkedni utánuk. Ha ez utóbbiról nincs is feltétlenül szó, az egyelőre nem egyértelmű, hogy hova fog kifutni mindez; a program adatkezelési gyakorlata pedig ettől függetlenül is sok kérdést vet fel.

„Nem lenne egy ördögtől való dolog, ha ismerni lehetne a forráskódját a programnak, az biztosan segítené az átláthatóságot, és erősítené a bizalmat is” – veti fel Remport Ádám, a TASZ magánszféraprogramjának szakértője. „Az valamennyire természetes, hogy az új technológiák bevezetésénél az emberek bizalmatlanabbak, ez valószínűleg máshol is így lenne, de az állam nagyon sok mindent tehetne azért, hogy proaktívan meggyőzze az embereket arról, hogy ettől nem kell tartani. Egy ilyen volumenű változást rég el kellett volna már kezdeni előkészíteni, be kellett volna vonni a nyilvánosságot, a szakmai szférát, a civil szférát az egyeztetésekbe a törvényalkotáskor.”

Remport szerint nem meglepő, hogy nem sikerült az emberek bizalmát elnyerni a programmal, és nem is feltétlenül azért, mintha a vonatkozó jogszabályokból nagyon súlyos dolgok derülnének ki, hanem mert az állam tulajdonképpen azt kéri tőlük, hogy bízzanak meg benne – miközben bőven szolgáltatott okot a bizalmatlanságra. Az egyik legsúlyosabb példa a mind ez idáig következmények nélkül maradt Pegasus-ügy volt; de eszünkbe juthat az is, hogy a Covid-járvány idején a vakcinaregisztrációhoz megadott e-mail-címeket máig kampánycélokra használják. Joggal merül fel a kérdés, hogy ha az állam egy e-mail-címet sem tud visszaélésektől mentesen kezelni, akkor hogyan várhat el bizalmat akkor, amikor az állampolgárok jószerivel teljes életét kívánja bármiféle nyilvános konzultációt mellőzve digitalizálni. A szakértő szerint az is problémás, hogy nem tudni pontosan, a Péterfalvi Attila vezette Nemzeti Adatvédelmi és Információszabadság Hivatal (NAIH) érdemben véleményezte-e a vonatkozó törvényjavaslatot.

A Szabad Európa ugyanis még a nyáron rákérdezett erre a hivatalnál, amely először azt válaszolta, hogy „a hatóság nem készített állásfoglalást – nem volt alkalma állásfoglalást készíteni – a törvény tervezetéről annak elfogadása előtt”; majd amikor a lap a Kabinetirodát is megkereste, a NAIH új választ küldött, mondván, „az előterjesztő az Országgyűléshez történő benyújtás előtt a tervezetet írásban megküldte a hatóságnak. A törvénytervezetről írásbeli vélemény nem készült, tekintettel arra, hogy az előterjesztővel többkörös szóbeli egyeztetés történt, melynek végén nem maradt fenn nyitott kérdés, a benyújtott tervezettel szemben a NAIH nem emelt kifogást”. Írásbeli véleményt, ezt a néhány mondatot leszámítva, az elvileg a személyes adatok védelmével foglalkozó NAIH nem készített a DÁP-ról.

Eltávolodás a sólyomi elvektől

Bár sok a kérdés az új rendszerrel kapcsolatban, annyit biztosan lehet tudni, hogy ezzel a kormány szakít az eddigi adatkezelési elvekkel. 1991-ben az akkor a későbbi köztársasági elnök, Sólyom László vezette Alkotmánybíróság (AB) egy határozatában ugyanis megtiltotta az államnak, hogy az állampolgárok adatairól egy nagy országos adatbázist hozhasson létre. Az AB-döntés értelmében a hatalommegosztás elvét az információs hatalomra is ki kellett terjeszteni, ennek az alkotmányos köve­telménynek pedig csak az úgynevezett osztott információs rendszerek felelnek meg. Ez azt jelentette, hogy a személyi számot (illetve később a személyazonosító jelet, amely most csak a lakcímkártyákon szerepel) kizárólag az állam és az állampolgár közötti közjogi viszonyokban lehetett használni (választási névjegyzék, népesség-nyilvántartás), és ettől el kellett választani a másik két nagy rendszert, a társadalombiztosításban és az egészségügyben kezelt taj-számot, valamint az adóigazgatásban használt adóazonosító jelet és adószámot.

Bár az 1991-es AB-döntés megalapozta a rendszerváltás utáni adatkezelési állami politikát, ez a rendszer már 2010 óta jelentősen felpuhult (erről lásd a Magyar Narancs korábbi cikkét: Nem filóznak, profiloznak, Magyar Narancs, 2021. április 22.),

Rogán Antal pedig most a DÁP-pal kapcsolatos nyilatkozataiban kifejezetten ki is mondta, hogy „át kell lépni a sólyomi idők joggyakorlatán az adatkezelés terén”.

„Annyiban biztos, hogy változást jelent a DÁP a korábbi gyakorlathoz képest, hogy létrehozzák a digitális állampolgár-azonosítót, ami lényegében egy egységes személyazonosító jel lesz” – magyarázza Remport Ádám. „Ez kifejezetten az, amit a Sólyom László-féle AB az egyik legkorábbi határozatával alkotmányellenesnek minősített, mert lehetővé teszi, hogy a különböző kormányzati alrendszerekben tárolt adatokat össze lehessen kapcsolni valakiről, és akár egy személyiségprofilt hozzanak létre a tudtán kívül, és erre alapozva olyan döntéseket hozzanak meg róla, amelyekre nincs ráhatása. Az osztott adatbázisok elvét sérti ez a megközelítés, megkönnyíti az állami kontrollt az egyén felett, és hogy az állam kevésbé átlátható módon járjon el az állam-egyén viszonyban, pedig pont az ellenkezőjére kellene törekedni: hogy az egyén átláthatatlan, az állam pedig átlátható legyen.”

Bár az ügyfélkapus belépésnél most dönthetünk arról, hogy akarjuk-e a DÁP-alkalmazást letölteni vagy sem, az nem egyértelmű, hogy ettől függetlenül bekerülünk-e ebbe a multi­adatbázisba. A DÁP kedvéért ugyanis tavaly decemberben az Alaptörvényt is módosították, az idén júliustól hatályos szöveg pedig úgy fogalmaz, hogy „az ügyek digitális intézése elsőbbséget élvez, amelyhez az állam törvényben meghatározottak szerint mindenki számára egy egyedi digitális azonosítót biztosít. Az állam – a Kormány rendeletében meghatározott módon és körben – kezeli azokat az adatokat, amelyek az ügyek digitális intézéséhez szükségesek”.

Ez már azért is problémás, mert az Alaptörvény szerint az alapjogokat amúgy törvényben lehet csak korlátozni (és nem kormányrendeletben), ami az információs önrendelkezéshez való jogra is igaz, de az külön ellentmondásos, hogy az Alaptörvénybe bekerült azonosítót – amelyet az állam mindenkinek biztosít –, a szándékainktól függetlenül létrehozzák-e rólunk, vagy csak akkor jön létre, ha aktiváljuk a profilunkat. „Ha pedig automatikusan létrejön, akkor azzal végeznek-e valamilyen műveleteket, vagy kapcsolódik-e bármi az inaktív számhoz. Ez nem világos számomra a törvényből” – mondja Remport Ádám.

Rogán Antal, nem éppen a legmegnyugtatóbb módon, azzal rázza le magáról a DÁP miatt felmerült aggályokat, hogy az államnál úgyis megvan minden adatunk. Ez egyrészt igaz, másrészt ettől még nem mindegy, hogy mi történik velük. „A digitális állampolgár-azonosító inkább technikailag könnyíti meg azt, hogy létre lehessen hozni egy személyiségprofilt – véli Remport –, s az egységes személyi szám tilalma más fékek és ellensúlyok nélkül önmagában nyilván nem garancia a visszaélések ellen, de legalább technikailag megnehezíti az összerendelést. A kérdés az, hogy mennyire teszik könnyűvé az állam számára, hogy akár jogellenesen is, de létrehozhassa ezeket a kapcsolatokat a különböző adatbázisok között, s hogy mennyire könnyen tudnak úgy adatokat kezelni, hogy az már nem nyomon követhető és nem is jogszerű.”

Persze, mondhatnánk, hogy a Google vagy a Meta (Facebook) úgyis sokkal több és intimebb adatot tud rólunk, és sokkal komolyabb személyiségprofilokat alakíthat ki a felhasználóiról, mint amilyenek egy állami nyilvántartásból összerakhatók. „Ezek a vállalatok nem gyakorolnak közhatalmat, nem alkotnak olyan szabályokat, amelyeket kötelesek vagyunk betartani a mindennapjainkban, és amelyeket az állam hatalmi erővel is kikényszeríthet – veti ellen Remport Ádám –, nem működtetnek hatóságokat sem, amelyek döntéseket hoznak az életünkről, akár az általuk összekapcsolt adatok alapján. Bármennyire is valós problémákat vetnek fel a nagy tech cégek tevékenységei, a közhatalom-gyakorlás egy olyan faktor, ami teljesen megváltoztatja az állami be­avatkozás jelentőségét és súlyát ahhoz képest, ahogyan egy magánvállalat be tud avatkozni az életünkbe. Ráadásul, ha az ügyintézés tel­jesen átkerül az elektronikus térbe, akkor ez nyilván hátrányba fogja hozni azokat, akik valamilyen okból nem férnek hozzá ezekhez a technológiákhoz, vagy nem tudják használni ezeket. Ez pedig felerősítheti a már meglévő egyenlőtlenségeket is.” (Magyar Narancs)