Ochrona danych i prywatności w Web3

Dzisiejszy felieton ma charakter jedynie zaczepny, więc będę posługiwał się w nim pewnymi uproszczeniami, za co na wstępie przepraszam. Temat wydaje się jednak coraz istotniejszy, choć pośpiech w przypadku tematyki ochrony człowieka i jego prawa nie jest najlepszy. Niemniej jednak dyskusja nad przyszłością internetu i nomen omen społeczeństwa wydaje się teraz szczególnie istotna, niezależnie od tego jakie akty prawne są obecnie przyjmowane (np. DSA) i projektowane (AIA). Jest to pochodną zasadniczo dwóch zjawisk, tj. próby stworzenia (równoległego?) zdecentralizowanego uniwersum oraz działań jakie podejmują BigTechy w kontekście „zawłaszczenia” tożsamości użytkowników, która odbywa się chociażby poprzez coraz intensywniejsze wykorzystywanie algorytmów i modeli #sztucznainteligencja oraz biometrii behawioralnej.

Te dwa, współistniejące ze sobą, trendy wymagają bliższego przyjrzenia się temu jak obecne i w przyszłości może wyglądać właścicielstwo danych (osobowych) oraz ich monetyzacja, która nawet w świecie zdecentralizowanym będzie postępowała. W końcu nic nie jest za darmo, a dane stanowią niewątpliwie potencjalnie nieograniczone źródło zysku, zarówno bezpośrednio (np. poprzez ich sprzedaż), jak i pośrednio (personalizacja i systemy rekomendacyjnej). Każda z tych koncepcji ma swoje wady i zalety, a także koszty wdrożenia, które w niepewnym świecie mogą stanowić istotną barierę. Przejdźmy więc do konkretów.

Dzisiejszy internet (Web 2.0), który zyskał na popularności między innymi dzięki upowszechnieniu sieci szerokopasmowej oraz (a może przede wszystkim) dostępowi mobilnemu za pośrednictwem smartfonów, jest silnie scentralizowany, choć podmiotów, które stanowią te punkty centralne jest sporo, a każdy z nich ma swoją politykę postępowania z użytkownikami i ich danymi. Największymi graczami są niewątpliwie platformy, w szczególności świadczące usługi społeczeństwa informacyjnego, ale także platformy typu eCommerce, które pozwalają na pozyskiwanie danych sprzedażowych i personalizację sprzedaży. Takie platformy, zazwyczaj prowadzone przez duże firmy technologiczne, stają się jedynymi posiadaczami danych na nasz temat, co do których jakości, ale i samej zawartości nie mamy często pojęcia, bowiem mało kto czyta dzisiaj zgody i regulaminy, których ilość i rozbudowanie są po prostu przytłaczające.

Dane te mogą być wykorzystywane przykładowo do przedstawiania rekomendacji, ale też „podrzucania” określonych treści bez naszej zgody, tworząc niekiedy swoistą bańkę informacyjną. Mogą one być – choć w Unii Europejskiej niedługo będzie to wyglądało nieco inaczej – być przedmiotem obrotu, ale są też, przynajmniej w teorii, chronione zarówno przepisami o ochronie danych czy szerzej prawami podstawowymi, a także przez same podmioty, które występują najczęściej w roli administratorów, ale także procesorów, co wiąże się z koniecznością spełnienia szeregu obowiązków. Rozwiązanie takie na pierwszy rzut oka wydaje się komfortowe. Mamy jeden podmiot, który zarządza naszymi danymi, podsuwa nam „dobre” treści i dba o nasze bezpieczeństwo. I w pewnym uproszczeniu tak rzeczywiście jest, ale z tym zastrzeżeniem, że granice tego wyznaczają standardy, które panują w danej organizacji, a już niekoniecznie treść zgód, które udzieliliśmy w przeszłości. Brak dostępności (oby nie permanentnej) usługi czy produktu cyfrowego takie podmiotu to brak dostępu do danych. A incydent bezpieczeństwa, to (duże) prawdopodobieństwo utraty danych, a w skrajnych przypadkach także naszej cyfrowej tożsamości. Bezpieczeństwo jest więc ograniczone. Dla jasności – nie uważam, że jest to skrajnie zły model. Ot, po prostu ma swoje wady, a jedną z nich jest „uzależnienie się” od danego dostawcy.

Model zdecentralizowany, na którym opierać się ma wspomniane przeze mnie Metaverse (nie do końca utożsamianego z „byłym” Facebookiem, a dzisiaj Metą), czyli świata równoległego, wirtualnego i opartego na pewnej demokratyzacji dostępu i współdzielenia zasobów, opiera się na nieco innym założeniu. Miałby to być świat wirtualny – obudowany lub wbudowany w koncepcję internetu (Web) 3.0 – w którym to człowiek decyduje o tym jak ten świat wygląda. Metaverse zakłada całkowity brak (choć to nieco utopijne) centralnych organów, instytucji czy organizacji, które miałyby bezwzględne prawo decydować o „czymś”. Stąd też dość często o Metaverse mówi się w kontekście technologii rozproszonego rejestru (DLT) i łańcucha bloków (#blockchain), konsensusu i oddaniu w ręce ludu.

W świecie tym – który dla niektórych miałby zastąpić nasz realny – mamy mieć swojego cyfrowego bliżniaka – self-sovereign identity, które może, ale nie musi przyjmować formę awatara, bo po prostu może to być nic innego jako kod, który zawiera stosowne informacje (dane) na nasz temat i który w połączeniu z modelem potwierdzania poprawności i prawidłowości tych danych w oparciu o pozostałe części systemu (węzły), ma dawać nam prawo i możliwości do bezsprzecznej identyfikacji (i być może weryfikacji). W modelu tym, w odróżnieniu od tradycyjnego, nie mamy jakiegoś organu centralnego (np. agendy rządowej czy dostawcy usługi zaufania – choć należy pamiętać o tzw. oracles, które mają nieco zbliżoną formę), ale to w drodze zbudowania swoistego zaufania użytkowników dokonujemy potwierdzenia określonych faktów. Ważne jest to, że większość, a najlepiej wszystkie, transakcje, rozumiane nie tyle jako transakcje finansowe, ale transfery danych, realizowane są w modelu Peer-2-Peer, a więc między użytkownikami. Z pominięciem „znienawidzonych” instytucji i organizacji centralnych.

W świecie Web 3.0 mamy być też wyłącznymi właścicielami i dysponentami naszych danych, a więc bez naszej wyraźnej zgody, nasze dane nie powinny trafić w niewłaściwe miejsce i w celu wykorzystania do niewłaściwych celów. To szczytny cel i jego realizacja pozwoliłaby – przynajmniej teoretycznie – na odzyskanie naszej tożsamości cyfrowej, którą tracimy każdego dnia na rzecz wspomnianych już platform. Koncepcja ta – poza tym, że jest szalenie trudna do zrealizowania na poziomie nie tyle globalnym, co nawet lokalnym (przynajmniej na razie) – jest też obarczona pewnym ryzykiem.

We wspomnianym przeze mnie modelu tradycyjnym zasadniczo obowiązują pewne zasady, których niewykonanie podlega odpowiedzialności. Są organy, które mogą reagować, jeżeli doszło do ich naruszenia, nakładając kary czy występując w imieniu użytkowników. Naszych praw możemy dochodzić w – przynajmniej teoretycznie – niezawisłych sądach, a egzekucja obowiązków jest, mimo wszystko, dość łatwa. Innymi słowy – nasze dane co do zasady są chronione przepisami prawa oraz gwarancjami państwa. W modelu zdecentralizowanym nie byłoby to już tak łatwe.

Dlaczego? Po pierwsze ze względu na konstrukcję Metaverse i internetu 3.0, który miałby być pozbawiony tej kontroli, a ewentualne naruszenia byłyby karane przez system (sieć) i jej użytkowników, co zazwyczaj wiązałoby się pewnie z wykluczeniem ze społeczności lub pozbawieniem jakichś aktywów (Metaverse ma mieć też swoją tokenomię opartą o waluty zdecentralizowane). Prawdopodobnie nie byłoby tutaj drakońskich kar za naruszenie prywatności czy brak ochrony danych osobowych, bo nie byłoby komu oceniać czy do takiego naruszenia doszło, a także do nakładania tych kar. W przypadku np. niezgodnego (z naszą zgodą) udostępnienia danych pozostawalibyśmy bez stosownej ochrony i nawet jeżeli uważamy, że dzisiaj jest ona iluzoryczna, to jednak jest.

Możemy oczywiście wyobrazić sobie, że powstałyby stosowne zasady dla protokołu (na wzór przepisów prawa), zapewne przy użyciu smart kontraktów, ale ich wyegzekwowanie będzie niewątpliwie stanowiło wyzwanie. Jasne, zazwyczaj protokoły są tak konstruowane, aby pozbywać się tzw. malicious actors, czyli po prostu ludzi o złych intencjach, ale jak pokazuje wiele wydarzeń z przeszłości działa to na zasadzie – jak nie tu, to gdzie indziej. Brak jakiejś formy kontroli i nadzoru – choć kuszący – ma swoje konsekwencje.

Poza tym pozostaje także pytanie o to jak wpłynie to na modele biznesowe i czy taka decentralizacja pobudzałaby innowację, która jest przecież istotna. To pytanie na razie pozostaje bez odpowiedzi i pewnie trochę tak jeszcze zostanie, bo budowanie prawdziwego Metaverse to jeszcze odległa przyszłość. A jeżeli interesuje Was moje osobiste zdanie na temat Metaversum, to Web 3.0 owszem – choć nie w pełni zdecentralizowane, a VR już niekoniecznie.