V prvním dílu tohoto krátkého seriálu o službě BankID SIGN jsme se zabývali principem jejího fungování a způsobem, jakým uživatel pomocí této služby podepisuje elektronické dokumenty. Ve druhém dílu jsme se podívali na to, jak je to s ověřováním zaručeného elektronického podpisu a s autorizovanou konverzí podepsaného dokumentu. Dnes, v závěrečném třetím dílu, si rozebereme, jakým způsobem je v rámci služby BankID SIGN zachycena a popsána identita podepsané osoby. A dovolím si připojit i osobní názor na využitelnost takto vytvářených elektronických podpisů a řešení případných sporů.
Když jméno a příjmení nestačí
Údaje o identitě podepsané osoby jsou obsaženy primárně v předmětu certifikátu, na kterém je založen zaručený elektronický podpis, generovaný službou BankID SIGN. Příklad vidíte na následujícím obrázku. To, co pak o podepsané osobě zobrazují obvykle používané nástroje pro práci s elektronickými podpisy, vychází z obsahu položky CN (Common Name).
Zde je uvedeno jméno, pod jakým příslušnou fyzickou osobu zná ta banka, jejíž (bankovní) identita byla při vytváření podpisu využita. V daném případě jde o Českou spořitelnu, která je také uvedena v položce O (Organization). Na rozdíl od obvyklého významu položky Organization u zaměstnaneckých certifikátů (že jde o zaměstnance příslušné organizace) zde jde jen o klienta. Nebo přesněji: o toho, komu patří identita, vedená příslušnou bankou.
Povšimněme si i toho, že na rozdíl od státem vedené elektronické identity (v ROBu), která nepracuje s tituly, je bankovní identity mohou zahrnovat. Všechny, nebo jen některé, případně žádné – podle toho, jak vás „zná“ příslušná banka.
V předmětu certifikátu dále najdeme položku C (Country), jejíž hodnota by měla být státem z trvalé adresy toho, komu byl certifikát vystaven.
Na jiném místě v certifikátu (nikoli v jeho předmětu, ale v jeho rozšířeních) najdeme ještě jeden důležitý údaj o osobě, které byl certifikát vystaven: datum jejího narození. Musíme jej ale umět najít. Jde totiž o méně obvyklou položku, se kterou běžně používané programy neumí pracovat – a tak je nutné ji „interpretovat ručně“.
Jde o položku s identifikátorem OID 1.3.6.1.5.5.7.9.1, který je podle příslušného číselníku přiřazen právě údaji o datu narození (id-pda-dateOfBirth). Také hodnotu této položky (ve formátu: rok-měsíc-den) si uživatel musí sám přeložit z podoby desetiznakového bajtového řetězce do lidsky čitelné podoby.
Jsou ale takovéto údaje o identitě (atributy v rozsahu: tituly, jméno, příjmení, datum narození, stát a banka) schopné spolehlivě rozlišit různé fyzické osoby? To ne, protože klientů se stejnými hodnotami těchto atributů může být i u jedné banky více.
Pseudonym
Nicméně v certifikátu je ještě jedna důležitá identifikační položka, označená jako pseudonym. Mohla by ona být jedinečným identifikátorem schopným rozlišit, zda jde o stejnou osobu, nebo o různé osoby? Následující obrázek by to mohl naznačovat.
Důležité ale je, že konkrétní hodnota pseudonymu je závislá i na bance. Jinými slovy: stejná osoba bude mít různou hodnotu tohoto pseudonymu, pokud využila svou bankovní identitu od různých bank. Příklad vidíte na následujícím obrázku, který názorně ukazuje i určité odlišnosti mezi bankovními identitami různých bank: například to, že Komerční banka ve jménech píše vše jen velkými písmeny, zatímco Česká spořitelna nikoli.
A ještě jedna důležitá věc: neplatí, že by stejná osoba, coby klient jedné a téže banky, měla vždy stejný pseudonym (resp. jeho hodnotu).
Konkrétní hodnota pseudonymu se liší podle druhé smluvní strany, resp. uživatele služby BankID SIGN. Jinými slovy: když budete pomocí služby BankID SIGN podepisovat jeden smluvní dokument s druhou smluvní stranou A a jiný dokument s druhou smluvní stranou B, budou v příslušných certifikátech uvedeny různé hodnoty pseudonymu – i když podepsanou osobou budete stále vy, resp. stejná fyzická osoba a budete se přihlašovat svou bankovní identitou od stejné banky. Tak jako na předchozím obrázku.
Můžete si to ostatně sami vyzkoušet na podpisu veřejného dema a narozeninové aplikace (viz první článek). Či na podpisu smlouvy o účasti na testovacím provozu služby Bankovní Datatrezor (od České spořitelny). Váš pseudonym bude na příslušných certifikátech různý.
Tím se vracíme zpět k důležité otázce: je tento pseudonym jedinečným identifikátorem? Tedy takovým, podle kterého můžeme spolehlivě rozlišit, zda jde o stejnou osobu, nebo o různé osoby? Z výše uvedeného celkem jasně plyne, že nikoli – když jedna a táž osoba má různé hodnoty pseudonymu podle toho, o jakou banku a jakou druhou stranu jde.
Co by ale popisovaný pseudonym měl zaručovat, je alespoň to, že nám dvě různé osoby nesplynou v jednu. Tedy že dvě různé osoby nebudou mít stejnou hodnotu identifikátoru – a tudíž nedojde k tomu, že by se jedna z nich mohla vydávat (či jen být považována) za druhou.
Podle informací od poskytovatele služby BankID SIGN se prý již pracuje na tom, aby persistentní pseudonym platil pro kombinaci fyzická osoba + smluvní strana.
Jak je to s jednoznačností?
A ještě jedna důležitá otázka, týkající se vlastně celé služby BankID SIGN: poskytuje jednoznačnou identifikaci podepsané osoby?
Na vysvětlenou: jedinečnost, kterou jsme zkoumali u pseudonymu, se týká možnosti rozlišení osob. Zde, díky údajům v předmětu (a položce CN), jde o možnost rozlišit mezi osobami stejného jména, příjmení a případných titulů. Zjednodušeně: zda jde o stejného Jana Nováka (například), nebo o různé osoby stejného jména. Jedinečnost je tedy něco, co má „relativní“ charakter (jde nám o vzájemný vztah, resp. relaci mezi více osobami a jejich identitami).
Naproti tomu jednoznačnost má „absolutní“ charakter v tom smyslu, že se netýká rozlišení mezi více možnostmi, ale jen jedné identity – a jde v ní o to, zda postačuje k jednoznačnému určení konkrétní osoby. Zjednodušeně: o kterého konkrétního Jana Nováka jde?
Odpověď na to, zda BankID SIGN poskytuje jednoznačnou identifikaci podepsané osoby, by mohla znít tak, že potenciálně ano, ale aktuálně nikoli.
„Potenciálně ano“ v tom smyslu, že když dojde na lámání chleba, soud by měl mít možnost zeptat se společnosti Bankovní identita a.s. a příslušné banky, které konkrétní fyzické osobě odpovídá příslušná hodnota pseudonymu. A měl by dostat konkrétní odpověď.
„Aktuálně ne“ pak v tom smyslu, že ze samotného elektronického dokumentu (a jeho podpisu a pečeti) není možné jednoznačně identifikovat konkrétní osobu. Jméno a příjmení, s případnými tituly, na to nestačí (osob stejného jména může být více) a samotná hodnota pseudonymu také ne. Sice se také můžete zeptat, které konkrétní osobě byla konkrétní hodnota pseudonymu přidělena, ale pokud zrovna nejste soudem či orgánem činným v trestním řízení, odpověď nejspíše nedostanete.
Pro srovnání: vlastnoruční podpis na listinných dokumentech také neumožňuje jednoznačnou identifikaci. Z nečitelného klikyháku nemusíte být schopni přečíst vůbec nic – že vůbec jde o nějakého Jana Nováka (například), natož pak kterého konkrétního Jana Nováka. A jedinečnost vlastnoručního podpisu je spíše jen přáním – dokážete se několikrát podepsat úplně stejně? Nemění se váš rukopis s věkem, spěchem, stresem a dalšími faktory?
To úředně ověřený vlastnoruční podpis je na tom jinak. U něj na podobě vašeho „klikyháku“ nezáleží (a ani nemusí být váš, můžete uznat za vlastní již existující podpis). Důležitá je ověřovací doložka, ve které již jsou údaje postačující k jedinečné i jednoznačné identifikaci konkrétní osoby. A takováto doložka (vlastně dobrozdání ověřující osoby) již musí být podepsána kvalifikovaným elektronickým podpisem ověřující osoby.
Ovšem ani u kvalifikovaných certifikátů nemusí jejich samotný obsah stačit k jedinečné a jednoznačné identifikaci držitele (obvykle v nich bývá jen jméno, příjmení a případné tituly, a v ČR volitelně ještě IK MPSV). Nově se to řeší jejich provázáním s konkrétní identitou v registru obyvatel, nebo tzv. legalizací elektronického podpisu (podrobněji) – čímž lze právní účinky výsledného elektronického podpisu „povýšit“ až na úroveň úředně ověřeného podpisu. Ale to je na samostatné povídání.
O jaký druh služby jde?
Pojďme nyní k tomu, o jaký druh služby v případě BankID SIGN vlastně jde. V rámci obvyklé klasifikace služeb vytvářejících důvěru jde o službu vzdáleného podepisování, resp. podpisování na dálku, anglicky remote signing. Zjednodušeně o takovou variantu elektronického podepisování, při které podepisující osoba nemá svůj soukromý klíč u sebe, ale jeho použití má stále pod svou výhradní kontrolou. To znamená, že klíč může mít u sebe někdo jiný – kdo ho ale používá výhradně podle dispozic podepisující osoby (resp. držitele soukromého klíče). Zde jde o poskytovatele služby BankID SIGN, kterou je společnost Bankovní identita, a.s. (nikoli jednotlivé banky).
Služba vzdáleného podepisování obecně funguje tak, že když podepisující osoba potřebuje podepsat nějaký konkrétní dokument, musí tento dokument předat poskytovateli služby a požádat jej, aby dokument „jeho jménem“ (reálně: jeho soukromým klíčem) elektronicky podepsal. Aby poskytovatel služby takovouto žádost vyslyšel, musí mít dostatečnou jistotu ohledně toho, kdo žádost vznáší a že ji vznáší skutečně příslušná osoba, a ne někdo jiný, kdo se za ni jen vydává.
V případě služby BankID SIGN je určitá odlišnost v tom, že je určena k podepisování dvoustranných smluvních dokumentů, které nepředkládá podepisující klient (uživatel služby), ale druhá smluvní strana. To ale na principu celé služby BankID SIGN, coby služby vzdáleného podepisování, nic nemění.
Klíčovým aspektem a potenciálním „úzkým hrdlem“ všech služeb vzdáleného podepisování je obecně to, jakým způsobem jsou vznášeny žádosti podepisujících osob. Jak spolehlivá je identifikace a autentizace žadatele? Jak moc si poskytovatel služby může být jistý, od koho požadavek přichází? A jak moc si uživatel služby může být jistý, že požadavek na podepsání „jeho jménem“ nemůže vznést nikdo jiný?
Zde, vzhledem k určení služby, nejde ani tak o žádosti, jako o souhlasy s podepsáním. A jak již víme, u služby BankID SIGN jsou tyto souhlasy založeny na využití bankovní identity klientů jednotlivých bank, zapojených do poskytování služby. Takže odpovědi na otázky z předchozího odstavce vychází z toho, jak moc se můžeme spoléhat na samotnou bankovní identitu.
Nejde o kvalifikovanou službu vytvářející důvěru
Samozřejmě je zde ještě jeden nesmírně důležitý aspekt, kterým je fungování samotné služby BankID SIGN a jejího poskytovatele. K tomu si řekněme, že nařízení eIDAS, které vzdálené elektronické podepisování poprvé umožnilo, přišlo i s určitými požadavky na poskytovatele takovýchto služeb. Ocitujme si v této souvislosti relevantní recitál č. 52 nařízení:
Vytváření elektronického podpisu na dálku, jehož prostředí spravuje poskytovatel služeb vytvářejících důvěru jménem podepisující osoby, přináší mnohé ekonomické výhody, a bude tedy pravděpodobně stále častější. Aby však bylo zajištěno, že tyto elektronické podpisy budou z právního hlediska uznávány stejně jako elektronické podpisy, které jsou vytvářeny v prostředí spravovaném výlučně uživatelem, měli by poskytovatelé nabízející služby elektronického podpisu na dálku uplatňovat zvláštní postupy pro zajištění bezpečnosti v oblasti řízení a správy a používat důvěryhodné systémy a produkty zahrnující zabezpečené kanály pro elektronickou komunikaci, a zajistit tak spolehlivost prostředí, v němž jsou elektronické podpisy vytvářeny, a zaručit, že je toto prostředí používáno pod výlučnou kontrolou podepisující osoby. V případě kvalifikovaného elektronického podpisu vytvořeného pomocí prostředku pro vytváření elektronických podpisů na dálku by se měly použít požadavky stanovené v tomto nařízení, které jsou použitelné na kvalifikované poskytovatele služeb vytvářejících důvěru.
Zde je důležité, že služba Bank ID SIGN negeneruje uživatelům služby kvalifikované certifikáty (ale jen certifikáty „komerční“) a vzhledem k tomu nevytváří kvalifikované elektronické podpisy svých uživatelů (ani naši národní specialitu, kterou jsou „zaručené elektronické podpisy, založené na kvalifikovaném certifikátu“), nýbrž pouze zaručené elektronické podpisy.
Služba BankID SIGN tudíž není „kvalifikovanou službou vytvářející důvěru“, ale jen „službou vytvářející důvěru“ (bez přívlastku „kvalifikovaná“). Její poskytovatel (společnost Bankovní identita, a.s.) díky tomu nemusí být (a není) „kvalifikovaným poskytovatelem služeb vytvářejících důvěru“, ale jen „poskytovatelem služeb vytvářejících důvěru“ (bez kvalifikovaného statutu). Tudíž se na oba (poskytovatele i jeho službu) nevztahují poměrně přísné požadavky, kladené na kvalifikované poskytovatele a služby a vycházející přímo z nařízení a jeho prováděcích předpisů.
Nicméně stále by jak poskytovatel služby, tak i samotná služba měli splňovat to, co očekává (byť neupřesňuje ani nevymáhá) nařízení eIDAS skrze citovaný recitál, s cílem zaručit to nejzákladnější a nejdůležitější: „že je toto prostředí používáno pod výlučnou kontrolou podepisující osoby“.
K čemu stačí zaručený elektronický podpis?
Pro posouzení toho, kde a k čemu se dá elektronické podepisování pomocí služby BankID SIGN využít, je rozhodující, že výsledný dokument je opatřený elektronickým podpisem jednající fyzické osoby (uživatele služby BankID SIGN), který je založen na certifikátu, který není kvalifikovaný. Jde tedy pouze o zaručený elektronický podpis. A pro přesnost, vzhledem k tomu, jak jsou v právu definovány jednotlivé druhy elektronických podpisů (jako hierarchické, „do sebe vnořené“ kategorie), je vhodné upřesnit, že jde o takový zaručený elektronický podpis, který ale není ani kvalifikovaným elektronickým podpisem, ani zaručeným elektronickým podpisem, založeným na kvalifikovaném certifikátu. Protože i kvalifikovaný elektronický podpis je (podle práva) současně zaručeným elektronickým podpisem.
Podle platné právní úpravy (konkrétně § 6 zákona č. 297/2016 Sb.) takovýto „pouze zaručený elektronický podpis“ nestačí pro veřejnoprávní úkony (právní úkony fyzických osob vůči veřejné správě). Ty již vyžadují kvalifikovaný certifikát, a tedy buď kvalifikovaný elektronický podpis, nebo alespoň zaručený elektronický podpis, založený na kvalifikovaném certifikátu.
Nicméně v našem právním řádu máme také specifické ustanovení (konkrétně § 7 zákona č. 297/2016 Sb.), které v rámci soukromoprávních vztahů (tj. pro soukromoprávní právní jednání, nikoli pro právní úkony „vůči veřejné správě“) připouští i použití takových elektronický podpisů, jaké produkuje služba BankID SIGN. Tedy oněch „pouze zaručených elektronických podpisů“.
A to, k čemu je služba BankID SIGN určena, tedy k uzavírání dvoustranných smluv mezi klienty a nejrůznějšími poskytovateli služby, by zřejmě mělo spadat pod ony soukromoprávní vztahy, na které se vztahuje zmiňovaný §7.
Proč je na dokumentu ještě kvalifikovaná pečeť poskytovatele služby?
Zaručený elektronický podpis fyzické osoby (uživatele služby BankID SIGN) ale není jediným autentizačním prvkem „za“ první smluvní stranu, umisťovaným na dokument ještě před autentizačními prvky druhé smluvní strany. Poskytovatel služby BankID SIGN k dokumentu připojuje také svou kvalifikovanou elektronickou pečeť (kterou program Adobe Acrobat Reader v české lokalizaci nesprávně a dosti nešťastně označuje jako kvalifikované elektronické razítko).
Význam pečeti je podle nařízení eIDAS takový, že (kromě zajištění integrity) vypovídá také o původu dat, která jsou pečetí opatřena. Podle článku 35 nařízení pro kvalifikovanou elektronickou pečeť platí „domněnka integrity dat a správnosti původu těch dat, s nimiž je kvalifikovaná elektronická pečeť spojena“.
Podle mého názoru tak není úplně v pořádku, když poskytovatel služby BankID SIGN (společnost Bankovní identita, a.s.) připojuje svou pečeť k dvoustrannému smluvnímu dokumentu, přičemž není ani jednou z těchto dvou stran. Protože tím vlastně deklaruje, že podepisovaný dokument „pochází od něj“, resp. že je původcem dokumentu. Poskytovatel služby BankID SIGN na to má pochopitelně jiný názor – že připojení jeho kvalifikované elektronické pečeti je v pořádku a zvyšuje důvěryhodnost dokumentu a jeho podpisu uživatelem.
Kdo má důkazní břemeno?
Zajímavou otázkou je určitě i to, kdo ponese v případě nějakého sporu důkazní břemeno: když někdo (v roli klienta, resp. uživatele služby BankID SIGN) bude rozporovat, že konkrétní dokument podepsal, bude muset on prokazovat, že se tak nestalo? Nebo bude muset naopak poskytovatel služby prokazovat, že se tak stalo?
Obecně, v rámci soukromoprávních vztahů, resp. pro soukromoprávní listiny, má podle § 565 občanského zákoníku důkazní břemeno ten, kdo soukromou listinou argumentuje:
Je na každém, kdo se dovolává soukromé listiny, aby dokázal její pravost a správnost.
Toto by znamenalo, že důkazní břemeno by bylo na straně poskytovatele služby BankID SIGN. Současně ale uvedený paragraf obsahuje i určitý disclaimer, podle kterého se důkazní břemeno obrací, a to v případě, „je-li soukromá listina použita proti osobě, která listinu zjevně podepsala“. Ovšem posouzení toho, zda podepsání skrze službu BankID SIGN je, či není „zjevné“, není jednoduché a může vyžadovat až posouzení znalci a rozhodnutí soudu.
V diskusi s poskytovatelem služby BankID SIGN jsem podle očekávání zaznamenal jednoznačný názor, že důkazní břemeno bude na straně klienta, který by musel prokazovat, že nic nepodepsal. Argumentem k tomu má být § 562 občanského zákoníku, který má služba BankID splňovat a který přináší určitou domněnku spolehlivosti:
Má se za to, že záznamy údajů o právních jednáních v elektronickém systému jsou spolehlivé, provádějí-li se systematicky a posloupně a jsou-li chráněny proti změnám.
Můj osobní názor na toto ustanovení se ale liší od názoru většiny právníků. Interpretuji jej totiž tak, že požadavek na ochranu proti změnám brání jakékoli změně (či dokonce ztrátě) uchovávaných záznamů a požadavek na posloupnost zase brání změně jejich pořadí. No a požadavek na „systematické provádění“ záznamů (o čemkoli, zde o právních jednáních v elektronickém systému, jakým je i technické řešení služby BankID) se podle mého názoru týká jen četnosti provádění záznamů: zjednodušeně, že se má zaznamenat vše, co se odehraje (a nic se nemá vynechat).
V podmínkách § 562 ale nevidím žádný požadavek na to, jak (a podle jakých pravidel) se má odehrát to, co je následně zaznamenáno. Tedy na samotné fungování onoho „elektronického systému“.
Představme si to na příkladu nějakého loterijního systému, ve kterém jsou losována (tažena, generována) výherní čísla. Pokud takovýto systém splňuje § 562, mělo by to znamenat, že jsou řádně zaznamenávána všechna vylosovaná čísla, žádná nejsou vynechána, záznamy jsou uchovávány ve správném pořadí a chráněny proti změně. To by pak mělo být rozhodující pro případné spory o to, co bylo vylosováno – a důkazní břemeno by skutečně měl ten, kdo tvrdí něco jiného, než co je uvedeno v záznamech.
Jinou záležitostí je ale samotný průběh losování: probíhá skutečně náhodně? Není možné nějak dopředu predikovat, která čísla budou vylosována, nebo alespoň která mají větší šanci být vylosována? Odpovědi na takovéto (velmi důležité) otázky podle mého názoru nelze dovozovat ze způsobu zaznamenávání výsledků losování.
Jinými slovy: v případném sporu o to, zda losování je, či není „cinknuté“, nebude rozhodující způsob zaznamenávání vylosovaných čísel (splnění § 562), ale samotný způsob jejich losování. Jak probíhá – podle jakých pravidel, algoritmů atd. A to bude vyžadovat jiné posouzení (a prokazování) než posouzení a prokazování toho, jak jsou zaznamenávány výsledky losování.
Nyní zpět k elektronickému podepisování „na dálku“: připomeňme si, co nařízení eIDAS očekává i od (ne-kvalifikované) varianty takovéto služby, jakou je i služba BankID SIGN:
… měli by poskytovatelé nabízející služby elektronického podpisu na dálku uplatňovat zvláštní postupy pro zajištění bezpečnosti v oblasti řízení a správy a používat důvěryhodné systémy a produkty zahrnující zabezpečené kanály pro elektronickou komunikaci, a zajistit tak spolehlivost prostředí, v němž jsou elektronické podpisy vytvářeny, a zaručit, že je toto prostředí používáno pod výlučnou kontrolou podepisující osoby…
Opravdu toto všechno, co se v praxi řeší podle mnoha technických norem a standardů, dokáže (v právu) obsáhnout § 562 svými požadavky na systematičnost provádění záznamů a jejich následné posloupné uchovávání a ochranu proti změně? Dokáže (mj.) zajistit potřebnou míru bezpečnosti a zaručit využití pod výlučnou kontrolou podepisující osoby?
Tím rozhodně nechci naznačovat, že služba BankID SIGN funguje nějak nekorektně a „jinak, než by měla“. Chci tím vyjádřit jen svůj názor, že v případě sporu by jí nemělo stačit jen prokázání toho, že si své záznamy vede systematicky, posloupně a chrání je proti změnám (že její řešení splňuje § 562 občanského zákoníku).
O vyjádření k § 562 jsem požádal i poskytovatele služby BankID SIGN. Zde je komentář, který připravil pan Jan Tomíšek ze společnosti Rowan Legal:
Podle právníků je potřeba při výkladu tohoto ustanovení zohlednit, že se vztahuje pouze k právním jednáním, ne k libovolným skutečnostem. Na rozdíl od objektivních skutečností (jako je výsledek losování v loterii) je právní jednání vždy subjektivním projevem určité osoby. Taková osoba pak může u soudu tento subjektivní projev potvrdit či popřít (a to i lživě). Pokud jej popře, může tak učinit z titulu toho, že daný projev vůbec neučinila, nebo jej neučinila v této podobě (že byl pozměněn), nebo že jeho obsah neodpovídá skutečnosti (například že potvrdila převzetí 4000 Kč, ale špatně si spočítala bankovky a ve skutečnosti převzala jen 3000 Kč). Při dokazování právního jednání se v právu proto rozlišuje jeho pravost (tedy zda jej skutečně učinil ten, o němž je to tvrzeno, a že obsah nebyl pozměněn) a správnost (zda obsah odpovídá skutečnosti – někdy se též používá pojem pravdivost). Pravost a správnost písemnosti zachycující právní jednání musí (až na výjimky) dokázat ten, kdo se jí dovolává. Pokud by tak § 562 odst. 2 nezakládal vyvratitelnou domněnku ani ve vztahu ke správnosti, ani pravosti právního jednání, pak by se jednalo v podstatě o bezobsažné ustanovení, což by nejspíše neodpovídalo úmyslu zákonodárce – jinými slovy, pokud by smyslem tohoto ustanovení nebylo založit alespoň domněnku pravosti právního jednání, pak by v zákoně nejspíše vůbec nebylo.
ČLÁNKY DO MAILU