"أمنيستي" تحذر من تطبيقات اقتفاء المخالطين للمصابين بفيروس "كورونا" التي لا تحترم الخصوصية الشخصية والنرويج توقف العمل بتطبيقها

حذرت منطمة العفو الدولية من أن تطبقات اقتفاء المخالطين للمصابين بفيروس كوفيد-19 التي استحدثتها البحرين والكويت والنرويج تُعدّ من أكثر التطبيقات اقتحاماً للخصوصية الشخصية في العالم؛ "إذ تنطوي على أخطار تهدد خصوصية وأمن مئات الآلاف من الأشخاص"، حسب المنظمة.
ونشرت العفو الدولية نتائج تحقيق استصقائي أجرته على تطبيقات اقتفاء المخالطين في أوروبا والشرق الأوسط وشمال إفريقيا، وشمل ذلك تحليلاً فنياً مفصلاً لأحد عشر تطبيقاً من هذا النوع في الجزائر، والبحرين، وفرنسا، وأيسلندا، وإسرائيل، والكويت، ولبنان، والنرويج، وقطر، وتونس، ودولة الإمارات العربية المتحدة، فكان بعضها يتراوح بين السيء والخطير بالنسبة لحقوق الإنسان.
وأوضحت المنظمة أنه قد تبين أن تطبيق "مجتمع واعي" في البحرين، وتطبيق "شلونك" في الكويت، وتطبيق "سميتاستوب" "Smittestopp" في النرويج هي من بين أخطر أدوات المراقبة الجماعية التي قامت منظمة العفو الدولية بتقييمها حتى الآن، وأبعثها على القلق؛ إذ تقوم التطبيقات الثلاثة بالاقتفاء الآني أو شبه الآني لمواقع المستخدمين من خلال التحميل المتكرر لإحداثيات النظام العالمي لتحديد المواقع إلى خادم مركزي.
وأعلنت الحكومة النرويجية، يوم الإثنين، أنها ستوقف مؤقتا استخدام تطبيق اقتفاء المخالطين الخاص بها، وجاء هذا القرار قبل ساعات فقط من نشر منظمة العفو الدولية لتحليلها وبعد أن شاركت المنظمة النتائج التي توصلت إليها مع السلطات النرويجية ووكالة حماية البيانات في البلاد في 2 يونيو. كما اجتمعت منظمة العفو الدولية برئيس تطوير تطبيق "سميتاستوب" في 10 يونيو.
وقال كلادويو غوارنيري، رئيس مختبر الأمن التابع لمنظمة العفو الدولية "إن البحرين والكويت والنرويج استخفّت تماماً بخصوصية الناس باستخدامها أدوات للمراقبة تستبيح هذه الخصوصية إلى أبعد الحدود، وتتجاوز بمراحل ما يمكن تبريره من جهود التصدي لوباء فيروس كوفيد-19".
وأضاف غوارنيري قائلاً، "إن التطبيق النرويجي كان منتهكاً للخصوصية إلى حد بعيد وكان قرار إعادة تصميم التطبيق هو الصحيح؛ نحث الحكومتين البحرينية والكويتية على التوقف فورًا عن استخدام مثل هذه التطبيقات المنتهكة للخصوصية بشكلها الحالي. فما تفعله الحكومتين فعلياً هو بثّ مواقع المستخدمين إلى قاعدة بيانات حكومية بشكل آني – ومن غير المحتمل أن يكون ذلك ضروريًا ومتناسبًا في سياق استجابة الصحة العامة. فيمكن أن تلعب التكنولوجيا دورًا مفيدًا في تطبيقات اقتفاء المخالطين لاحتواء فيروس كوفيد-19، ولكن يجب ألا تكون الخصوصية ضحية أخرى بينما تسارع الحكومات إلى استحداث التطبيقات".
وحسب العفو الدولية، فإن تطبيقات اقتفاء المخالطين في البحرين والكويت والنرويج تنتهج نهجاً مركزياً ينتهك خصوصية الفرد، ويشكل خطراً كبيراً عليها؛ فمثل هذه الأنظمة تلتقط البيانات الخاصة بمواقع الأفراد من خلال النظام العالمي لتحديد المواقع، ثم تنقلها إلى قاعدة بيانات مركزية، وبذلك ترصد تحركات المستخدمين رصداً آنياً. فتطبيق "إحتراز" القطري مثلاً قادر، بمحض اختيار القائمين عليه، على تفعيل الاقتفاء الآني لمواقع المستخدمين جميعاً أو لأفراد بعينهم (حتى وقت كتابة هذه السطور، لا تزال هذه الإمكانية غير مشغّلة).
وأضافت أنه من اليسير على السلطات في جميع هذه الدول ربط هذه البيانات الشخصية الحساسة بفرد ما، لأن سلطات قطر والبحرين والكويت تفرض على المستخدمين التسجيل في التطبيق برقم الهوية الشخصية الوطنية، في حين تستوجب سلطات النرويج من المستخدمين التسجيل برقم هاتف صالح.
وأوضحت المنظمة، "ثمة أمثلة أخرى من التطبيقات التي قام مختبر الأمن التابع لمنظمة العفو الدولية بتقييمها تنتهج نموذجاً مركزياً، مثل تطبيق "إحمي" التونسي، ولكنها، بدلاً من تسجيل إحداثيات النظام العالمي لتحديد المواقع، تستخدم خاصية استشعار القرب بواسطة البلوتوث في الاقتفاء الآني للمخالطة بين المستخدمين. أما تطبيق "إحتراز" القطري فهو يسجّل ويحمِّل بيانات المخالطة بين الأفراد عن طريق خاصية البلوتوث في هواتفهم، بالإضافة إلى إحداثيات موقع المخالطة لدى النظام العالمي لتحديد المواقع".
وحسب "أمنيستي" فقد اكتُشفت ثغرة أمنية كبرى في تطبيق "إحتراز" القطري من شأنها أن تكشف عن بيانات شخصية حساسة لأكثر من مليون شخص. وكان هذا الأمر مثار قلق بالغ، خاصة وأن استخدام هذا التطبيق أصبح إجبارياً في 22 ماي. وقامت السلطات القطرية بتصحيح هذا الخطأ بعد أن نبهتها منظمة العفو الدولية إلى اكتشافه في نهاية ماي. وكان من شأن هذه الثغرة الأمنية في التطبيق أن تضع في متناول المخترقين والمهاجمين على الإنترنت معلومات شخصية حساسة للغاية للمستخدمين، بما في ذلك أسماؤهم، وهويتهم الشخصية الوطنية، وحالتهم الصحية، ومواقع العزل المحددة لهم.
أما تطبيقات اقتفاء المخالطين في بلدان مثل فرنسا وأيسلندا والإمارات العربية المتحدة، تضيف المنظمة، فهي تستخدم نموذجاً مركزياً، ولكن المعلومات المتعلقة بالمخالطة بين الأجهزة لا يتم تحميلها إلا إذا قرر المستخدمون طوعاً الإبلاغ عن أنفسهم عند إصابتهم بالأعراض أو بناء على طلب السلطات الصحية. ومثل هذا التحميل الطوعي والتوافقي للبيانات يحد على الأقل من خطر المراقبة الجماعية باعتبار أن تلك البيانات لا يتم تحميلها بصورة تلقائية. أما النموذج المركزي لتطبيق اقتفاء المخالطين في فرنسا فهو مقرون بغياب الشفافية بشأن كيفية تخزين البيانات الأمر الذي يثير تساؤلات عما إذا كان بالإمكان الكشف عن هوية أصحاب هذه البيانات من المستخدمين.