Zakaj menimo, da je predlog Zakona o slovenski obveščevalno-varnostni agenciji nevaren

Vlada je nedavno potrdila predlog zakona o spremembah in dopolnitvah Zakona o Slovenski obveščevalno-varnostni agenciji. Predlagane spremembe širijo družbo nadzora in grobo posegajo v ustavno zagotovoljene pravice do zasebnosti, dostojanstva, varnosti, varovanja osebnih podatkov, svobode izražanja, zbiranja in združevanja.

Zakon vpeljuje dve novi pooblastili, ki predstavljata grob poseg v zasebnost – uporabo tehničnega sredstva za nadzor signala mobilne telefonije (t. i. IMSI lovilec) in vohunske programske opreme za pridobivanje podatkov (t. i. spyware). Poleg tega predlog zakona razširja možnosti zbiranja podatkov, saj dovoljuje obdelavo biometričnih podatkov in razširja dovoljenje za zbiranje podatkov na podatke, ki so zgolj v povezavi s tujino.

Z obravnavo izjemno kočljivih in nevarnih sprememb po nujnem postopku pod pretvezo zaostrene varnostne situacije pa zakonodajalec omejuje tudi demokratični proces in javno debato.

Na Danes je nov dan odločno nasprotujemo sprejemu zakonodaje, ki legalizira vohunsko programsko opremo in omogoča grobe posege v zasebnost. Prakse iz tujine nam prav tako kažejo, da zlorabe tovrstnih vohunskih in nadzornih sredstev niso redke. Ker je tovrstna oprema v popolnem nasprotju z demokratičnimi načeli in človekovimi pravicami, verjamemo, da mora biti njena uporaba prepovedana.

Pod krinko zaostrene varnostne situacije (“V času povečanih varnostnih tveganj, razširjenega mednarodnega kriminala, hibridnih in kibernetskih groženj ter hitrega tehnološkega razvoja je prilagoditev pooblastil in zagotovitev ustreznih pravnih podlag za izvajanje nalog agencije sodobnemu varnostnemu okolju nujna za učinkovito ukrepanje in zaščito nacionalne varnosti Republike Slovenije.”) se predlog zakona o spremembah in dopolnitvah Zakona o Slovenski obveščevalno-varnostni agenciji obravnava po nujnem postopku. To preprečuje demokratično debato in poglobljen premislek o spremembah, ki imajo obsežen vpliv na pravice do zasebnosti, dostojanstva, varnosti, varovanja osebnih podatkov, svobode izražanja, zbiranja in združevanja. Zakonodajalec se obenem naslanja tudi na regulacije in prakse v drugih državah EU, zato naj bi bile po njegovem spremembe sorazmerne, nujne in utemeljene.

Zakon bo državni zbor obravnaval po nujnem postopku, možnosti razprave in sodelovanja strokovnjakov ter javnosti v sklopu zakonodajnega postopka pa bosta tako bistveno omejeni.

Z vidika človekovih pravic, pravne države in demokratičnih standardov na Danes je nov dan opozarjamo na tri večje sporne spremembe: 1) vpeljava lovilcev signala, 2) vpeljava vohunske programske opreme za dostop do podatkov, 3) nova pooblastila glede pridobivanja in obdelave osebnih podatkov, ki vključujejo biometrične podatke in podatke v povezavi s tujino.

IMSI LOVILCI

Zakon vpeljuje rabo tehničnih sredstev za nadzor signala mobilne telefonije oziroma IMSI lovilcev – naprav za prestrezanje mobilnih povezav in pritajen nadzor mobilnih aparatov. IMSI lovilci se, zamaskirani v mobilne bazne postaje, predstavljajo kot legitimni sprejemniki in oddajniki telefonskega signala ter prisilijo mobilne naprave v svoji bližini, da se povežejo z njimi. Njihov cilj je pridobivanje identifikacijskih podatkov, kot sta številki IMSI (International Mobile Subscriber Identity) in IMEI (International Mobile Equipment Identity) ter posledično izslediti uporabnika.

IMSI lovilci imajo različne sposobnosti: nekatere je mogoče uporabiti za prestrezanje sporočil, klicev in internetnega prometa, kar omogoča branje in poslušanje osebne komunikacije, drugi omogočajo preusmerjanje ali urejanje komunikacije ter celo popolno blokiranje mobilnih storitev. Predlagatelj zakona sicer uvodoma pojasnjuje, da se bo v okviru tega pooblastila uporabljalo zgolj sredstvo, ki omogoča identifikacijo mobilnih komunikacijskih signalov, ne pa tudi vpogled v vsebino komunikacij ali metapodatke. A v samem zakonodajnem predlogu te določbe kasneje ni zaslediti.

Prav tako naj ne bi bilo dovoljeno ugotavljanje lokacije tretjih oseb. A podatki tretjih oseb se vseeno zbirajo “v obsegu, ki je iz tehničnih razlogov neizogibno potreben” za doseganje ciljev.

Prav tako se odpira vprašanje, katere specifične podatke bo agencija s tem zbirala in kako jih bo nato obdelovala. V predlogu zakona je namreč opredeljen le namen uporabe IMSI lovilca, ne pa tudi same vrste podatkov, kar je sporno z vidika zaščite osebnih podatkov.

Čeprav naj bi se glede na predlog zakona IMSI lovilci uporabljali zgolj v primerih, ko je podana velika verjetnost, da obstaja nevarnost za varnost države, pa njihova uporaba odpira mnoga pravna in etična vprašanja. Poleg problematičnosti ohlapne definicije “velike verjetnosti za varnost države”, ki je razlog za uporabo in ki jo naslavljamo kasneje, IMSI lovilci namreč ne razlikujejo med ciljnimi osebami (tarčami) in naključnimi osebami, kar pomeni, da se podatki zbirajo množično, brez soglasja in vednosti uporabnikov, brez zaščitnih ukrepov in brez nadzornih mehanizmov. S tem so kršene naše pravice do zasebnosti, svobode izražanja ter svobode zbiranja in združevanja, kot jih zagotavljata slovenska ustava in mednarodno pravo o človekovih pravicah.

IMSI lovilci obenem predstavljajo nesorazmeren poseg v zasebno življenje posameznikov. Tako Evropsko sodišče za človekove pravice kot Sodišče EU sta že razsodila, da hramba in dostop do podatkov v zvezi z zasebnim življenjem in komunikacijami, vključno s podatki o lokaciji pridobljenimi z uporabo telefona, predstavljata posebej resen poseg v temeljne pravice do zasebnosti in varstva podatkov. Spremljanje lokacije lahko namreč omogoči celovit vpogled v življenje posameznika, denimo zdravje, vero, intimno in družinsko življenje.

Navkljub nekaterim varovalkam v predlogu zakona, na katere se sklicuje zakonodajalec, prav tako velja izpostaviti, da Slovenija na zlorabe pri uporabi IMSI lovilcev ni imuna. Policija jih je že v preteklosti uporabljala za identifikacijo osumljencev v kazenskih postopkih brez ustreznih zakonskih varovalk, kar je sprožilo pomisleke o kršitvah pravice do zasebnosti in informacijske varnosti. Poslanci SDS in Levice so leta 2019 zato vložili zahtevo za oceno ustavnosti zakonskih določb, ki so urejale uporabo teh naprav, ustavno sodišče pa je posledično leta 2023 razveljavilo več členov zakona o kazenskem postopku, ki so urejali uporabo IMSI lovilcev, saj je presodilo, da predstavljajo nesorazmeren poseg v pravico do varstva osebnih podatkov.

VOHUNSKA PROGRAMSKA OPREMA

Zakon vpeljuje tudi dovoljenje za uporabo vohunske programske opreme (t. i. spyware) oziroma “uporabo tehničnega sredstva za neposredni dostop do podatkov telekomunikacijskega sredstva za namen beleženja komunikacijskega prometa na sredstvu”. Vohunska programska oprema je programska oprema, ki je na skrivaj ali prikrito nameščena v informacijski sistem za zbiranje informacij o posameznikih ali organizacijah brez njihove vednosti.

Ko vohunska programska oprema okuži ciljno napravo, ima obsežne zmožnosti za vdor in spremljanje osebnega življenja uporabnika naprave. To lahko vključuje spremljanje vse dejavnosti na napravi v realnem času, dostop do uporabniških podatkov, izvoz podatkov in njihovo razkritje, nadzor ali manipulacijo z napravo, denimo z aktiviranjem mikrofonov ali kamer, onemogočanjem varnostnih funkcij, spreminjanjem sistemskih nastavitev, spreminjanjem ali ponarejanjem informacij.

Vohunska programska oprema deluje predvsem z izkoriščanjem ranljivosti operacijskega sistema ali druge programske opreme. Te lahko vključujejo tudi namerno ustvarjene pomanjkljivosti v državnih sistemih, ki jih za svoje delo uporabljajo javni uslužbenci. Namesto da bi jih odpravili, se proizvajalci vohunske programske opreme in pogosto tudi države same odločijo, da jih bodo raje uporabile kot orožje. S tem proaktivno vzdržujejo resne varnostne šibke točke, ki jih lahko izkoristijo tudi tuji akterji ali hekerji, zaradi njih pa so uporabniki, vključno z javnimi uslužbenci, kronično ranljivi za napade.

Ne glede na to, ali vohunsko programsko opremo razvijejo državni ali komercialni akterji, je ta že sama po sebi invazivna in predstavlja neposredno grožnjo temeljnim pravicam in svoboščinam. Ideja, da lahko obstaja raba vohunske programska opreme, ki spoštuje pravice, je popolnoma zmotna. Neomejen in tajni dostop do naprav, izraba ranljivosti, ogrožanje integritete naprav in vojaški izvor tehnologije so v nasprotju z načeli preglednosti, odgovornosti in ne izpolnjujejo standardov nobene ocene vpliva na temeljne pravice. V skladu s sodno prakso Evropskega sodišča za človekove pravice mora biti vsak ciljno usmerjen nadzor zaradi njegovega vpliva na pravice predmet jasnih pravnih okvirov, neodvisnega nadzora in strogih preizkusov nujnosti in sorazmernosti. Vendar pa vohunska programska oprema že po svoji zasnovi ne more izpolnjevati teh zahtev.

Posamezniki, ki so tarča vohunjenja, so izpostavljeni vrsti kršitev človekovih pravic, vključno s pravicami do zasebnega življenja, varstva podatkov, dostojanstva, varnosti, svobode izražanja, svobodnega tiska, zbiranja in združevanja. Poleg tega škode, ki jo povzroča vohunska programska oprema, ni mogoče omejiti in pogosto ne prizadene le domnevne tarče, temveč tudi vse, ki z njo komunicirajo – tako fizično kot digitalno. S tem so kršene pravice vsem posameznikom, katerih osebni podatki so prisotni na ogroženi napravi, in tistim, ki so v bližini te naprave. To vključuje otroke, družinske člane, sodelavce, odvetnike in novinarske vire, ki postanejo kolateralna škoda tovrstnega nadzora.

Predlagatelj brani uporabo vohunske programske opreme s sklicevanjem na nacionalno varnost. Kljub trditvam, da vohunska programska oprema služi interesom nacionalne varnosti, ne obstajajo nobeni verodostojni dokazi ali javno dostopni podatki, ki bi to podpirali. Tudi sicer se nacionalna varnost pogosto uporablja kot opravičilo za nadzor, vendar je njena definicija pogosto namerno nejasna. Zaradi te dvoumnosti se izraz razlaga prožno, kar vladam omogoča, da njegov pomen prilagodijo spreminjajočim se političnim ciljem. Ta okvir daje vladam široko diskrecijsko pravico za dostop do zasebne komunikacije posameznikov pod pretvezo preprečevanja terorizma in obravnavanja mednarodnih groženj.

A v praksi se vohunska programska oprema uporablja predvsem kot orodje državne represije, usmerjene proti aktivistom, predstavnikom opozicije, novinarjem, zagovornikom človekovih pravic in drugih kritikov oblasti – tudi s strani “demokratičnih” vlad, denimo v Italiji in Grčiji.

Italijanska vlada je odobrila uporabo vohunske programske opreme Graphite za nadzor humanitarnih delavcev, ki so pomagali migrantom v Sredozemlju. Ta nadzor je bil uradno utemeljen kot del protiteroristične operacije, pri čemer so bili targetirani posamezniki označeni kot "potencialne grožnje nacionalni varnosti". Podobno je argument nacionalne varnosti služil kot opravičilo v enem najvidnejših evropskih škandalov zadnjih let, Predatorgate, ki je vključeval tudi prikrit nadzor nad opozicijskimi politiki in preiskovalnimi novinarji s strani grške vlade. V Srbiji so državni organi že več kot 10 let povezani z razvpitimi podjetji za vohunsko programsko opremo, kot sta Hacking Team in NSO Group, pri čemer je uporaba tovrstne programske opreme proti aktivistom, novinarjem in članom civilne družbe postala že utečena praksa. Decembra 2023 sta dva predstavnika civilne družbe prejela obvestila o kibernetskih napadih s strani vohunske opreme Pegasus, prav tako pa so bili s podobnim napadom targetirani tudi preiskovalni novinarji mreže BIRN Srbija. Decembra 2024 je poročilo Amnesty International še dodatno razkrilo široko uporabo nove vrste vohunske programske opreme s strani srbske policije in tajne službe proti aktivistom in novinarjem. S strani savdske vlade je bil Pegasus denimo uporabljen za sledenje in je pripomogel k umoru novinarja Džamala Hašogija.

Z legalizacijo uporabe vohunske programske opreme se Slovenija, namesto h krepitvi pravnih zaščit in demokratičnih standardov, usmerja k normalizaciji tovrstnih spornih praks s preširokimi pooblastili, ki jih upravičuje v imenu nacionalne varnosti. S tem legitimiza orodja, ki po svoji naravi kršijo temeljna načela nujnosti in sorazmernosti v skladu z mednarodnim pravom človekovih pravic in normalizira kršitev pravic na najvišji ravni in pod krinko zakona. Hkrati obstaja velika verjetnost, da predlagana ureditev ne bi prestala ustavne presoje. Leta 2023 je sodišče že razveljavilo zakon, ki je policiji omogočal uporabo IMSI lovilcev. Sprejem zakona, za katerega je skoraj gotovo, da bo na sodišču padel, bi na koncu zares koristil le storilcem kaznivih dejanj.

Raven nadzora, ki jo omogoča vohunska programska oprema, je v osnovi nezdružljiva s pravico do zasebnosti, domnevo nedolžnosti in integriteto demokratične družbe – tudi, ko je predmet sodnega nadzora. Nobeni zaščitni ukrepi ne morejo zagotoviti združljivost uporabe vohunske programske opreme s temeljnimi pravicami in nobeno postopkovno varovalo ne more upravičiti vseobsegajočega nadzora, ki ga ta oprema omogoča.

Nobena vlada ne more verodostojno trditi, da spoštuje demokratične vrednote, medtem ko dovoljuje izjemno invazivne tehnologije za nadzor lastnega prebivalstva.

UČINEK USTRAHOVANJA

Že sam obstoj zmogljivosti vohunske programske opreme v rokah države, tudi če ta ni aktivno uporabljena, lahko deluje kot močno orodje ustrahovanja. Nepregledna in skrivna narava uporabe spodbuja kulturo strahu, v kateri posamezniki, sploh tisti na izpostavljenih pozicijah, čutijo, da so lahko nenehno pod nadzorom. Kot kažejo omenjeni primeri zgoraj, to dojemanje prav tako ni brez osnove. Psihološka obremenitev morebitnega nadzora, skupaj z zelo resničnimi posledicami povračilnih ukrepov – kot so aretacija, obrekovanje ali izguba zaposlitve – predstavlja nevidno, a vseprisotno obliko represije. Ne spodkopava le pravice do zasebnosti, temveč tudi širše družbene in politične pogoje, ki so ključni za kakršno koli demokratično udeležbo.

RAZŠIRJENO ZBIRANJE IN OBDELAVA PODATKOV

Zakonski predlog vpeljuje dve spremembi, ki bosta razširili nabor podatkov za zbiranje in obdelavo: uporabo biometričnih podatkov ter razširitev z obstoječega zakonskega pogoja obdelave podatkov iz tujine na obdelavo podatkov iz tujine ali v povezavi z njo.

Zakonodajalec pravi, da bodo biometrični podatki omogočili uporabo naprednih tehnologij za obdelavo podatkov, s čimer se bo zagotovila hitrejša in hkrati natančnejša obdelava. Tovrstni biometrični sistemi, vključno s prepoznavo obrazov, glasu, skeniranjem šarenice in celo analizo hoje, so vedno bolj razširjeni in vse bolj natančni. A kljub temu njihova uporaba predstavlja resno grožnjo temeljnim pravicam, predvsem pravici do zasebnost (zaradi njihove invazivne in pritajene narave uporabe) in pravici do nediskriminacije (zaradi pristranskosti in vgrajenih predsodkov). Biometrični sistemi so nagnjeni k napakam, predstavljajo tveganje za človekove pravice in v nekaterih primerih nimajo niti znanstvene podlage za delovanje, denimo sistemi za analizo čustev. Human Rights Watch je že nekaj let nazaj opozila, da se tehnologije biometričnega nadzora vse pogosteje uporabljajo za nadzor protestov, omejevanje politične opozicije in poglabljanje obstoječih neenakosti ter da bi morale biti zato prepovedane.

Zaskrbljujoče je predvsem, da se na podlagi zaščite nacionalne varnosti tovrstni biometrični sistemi pogosto uporabljajo za masovni nadzor (denimo protestov, shodov in drugih političnih aktivnosti).

DEFINICIJA NACIONALNE VARNOSTI

Glede na to, da je pojem nacionalne varnosti izjemno širok in nejasno definiran, obstaja nevarnost, da bi se ta izjema zlorabila. Na primer, proteste ali druge oblike javnega zbiranja bi lahko nadzirali pod pretvezo "nacionalne varnosti".

Zakonodajalec uporabo IMSI lovilcev in vohunske programske opreme pogojuje z veliko verjetnostjo obstoja nevarnosti za državo, ki jo veže na opise določenih dejanj, denimo aktivnosti zoper suverenost, neodvisnost, državno celovitost in strateške interese države. Zaskrbljujoče je, da so v to obrazložitev lahko vključene tudi aktivnosti, ki niso kaznive, niti niso nezakonite, denimo protesti.