ZUS przed NSA – o dostęp do informacji publicznej

Sergiusza Pawłowicza, który wniósł do NSA skargę na ZUS za odmowę udostępnienia protokołu komunikacyjnego, z jakiego korzysta program Płatnik, należy podziwiać za determinację jakiej nie miał chyba nawet Don Kichot usiłujący walczyć z wiatrakami. Specyfikacja KSI Mail, z którego korzysta Płatnik, została bowiem już samodzielnie odkryta przez twórców Ruchu Wolnego Oprogramowania (z którym związany jest sam Sergiusz). Nie chodzi więc już o prokomowskie protokoły, lecz – jak pisze w skardze – „o sposób, w jaki jest wykonywana ustawa o dostępie do informacji publicznej”.

Rozprawa odbędzie się 5 grudnia 2003 r. przed Naczelnym Sądem Administracyjnym w Warszawie o godzinie 10.30 w sali A, ul. Jasna Nr 6 (sprawa Sergiusz Pawłowicz przeciw Prezesowi Zakładu Ubezpieczeń Społecznych o odmowę udostępnienia informacji publicznej).

Przypomnijmy, że ZUS po ponownym rozpatrzeniu sprawy, jako podstawę odmowy udzieleniu informacji skarżącemu podał m. inn. to, że ujawnienie specyfikacji protokołu KSI Mail, którym posługuje się Płatnik, może spowodować zagrożenie bezpieczeństwa systemu informatycznego. Tymczasem skarżący wykazuje absurdalność takich argumentów. Przyrównuje przy tym przy tym protokoły komunikacyjne do protokołów dyplomatycznych czyli pewnego zbioru zasad, który umożliwia nawiązania i utrzymywanie stosunkó dyplomatycznych pomiędzy państwami. Zdaniem skarżącego analogicznie jest w przypadku komputerów – tylko znajomość i przestrzeganie zasad jakie składają się na protokół komunikacyjny pozwala na przekazywanie przez płatników danych ubezpieczeniowych w formie elektronicznej, za pośrednictwem sieci komputerowej, czyli w tym wypadku sieci Internet.

Skarżący podnosi, że tak naprawdę chodzi o udostępnienie specyfikacji klucza publicznego, do szyfrowania informacji (co zapewnia jej autentyczność i integralność) przesyłanej ZUSowi, co przy współcześnie stosowanych asymetrycznych technologiach kryptograficznych, w żaden sposób nie zagraża bezpieczeństwu przesyłanych przez innych informacji. W szczególności znajomość omawianego protokołu (który notabene został parę miesięcy temu odkryty), wcale nie pozwala na deszyfrowanie informacji jakie przesyłają płatnicy – niezależnie czy stosują oryginalny protokół KSI Mail czy inną jego implementację (byleby opartą na tym samym algorytmie klucza publicznego). Zatem, jak argumentuje skarżących, informację zaszyfrowaną powszechnie dostępnym kluczem publicznym danej osoby tylko ona, dysponująca swoim kluczem prywatnym, jest w stanie odczytać.

W skardze została wykazana niekonsekwencja ZUS, który z jednej strony odmawiając udzielenie informacji powołał się na względy bezpieczeństwa, z dygiem strony w jednym z oświadczeń, sam potwierdził omawiane wcześniej argumenty skarżącego.

Odpowiadając na liczne pytania kierowane do Zakładu, chcemy zapewnić płatników i ubezpieczonych, że opisane zdarzenie NIE NARUSZA BEZPIECZEŃSTWA DANYCH przekazywanych do ZUS drogą elektroniczną.Zasady nowoczesnego szyfrowania nie wymuszają ochrony algorytmów kodowania, a tylko ten element, jak można sądzić, rozpoznali programiści.

(oświadczenie Rzecznika ZUS z dnia 25.08.03 r.)

Zdaniem skarżącego również argument, że podanie żadanych informacji, naruszyłoby tajemnicę służbową ZUS czy „ustawową wyłączność programu udostępnianego przez Zakład płatnikom składek” jest niesłuszny. Z jednej strony bowiem, jak już wspominano, skarżący nie domaga się ujawnienia informacji przesyłanych przez płatnikó składek (a tylko tą informację można by ewentualnie uznać za tajemnicę służbową). Z drugiej strony technologie i rozwiązania wykorzystane w KSI MAIL tj. algorytmy 3DES i RSA oraz biblioteka kryptograficzna SSL nie są własnością firmy Prokom Software S.A. Stąd upada argument o zobowiązaniu umownych wynikających z kontraktu Prokom-ZUS.

Sergiusz Pawłowicz rozpoczął swą „walkę z ZUS” o ujawnienie protokołu transmisji Płatnika już prawie 2 lata temu. Spór ma szersze tło – między innymi ze względu na zarzuty wobec ZUS i Prokomu (twórcy Płatnika) związane ze swoistym „promowaniem” drogiego, komercyjnego systemu operacyjnego (Microsoft Windows), którego wymaga Płatnik. Nie przewidziano bowiem wersji programu, która działałaby ma innych systemach operacyjnych (np. Linux, Mac OS czy choćby używany jeszcze czasem ze względu na niskie koszty DOS). Dlatego też programiści związani z Ruchem Wolnego Programowania stworzyli program Janosik, który ma być „otwartą” alternatywą dla Płatnika. Aby jednak Janosik, mógł być stosowany zamiennie z oficjalnie zalecaną przez ZUS aplikacją Prokomu, niezbędne było poznanie protokołu komunikacji KSI Mail, jaki stosuje Płatnik do komunikacji z ZUS.