Pandemie covid-19 s sebou přinesla obrovské výzvy a rychlé rozšíření používání informačních technologií a elektronických nástrojů. Ruku v ruce s tím se však objevily nové otazníky – a jedním takovým velkým je ochrana osobních údajů. V některých odbornících vzbuzuje pochybnosti projekt Chytrá karanténa, který by proto podle šéfky Úřadu pro ochranu osobních údajů Ivany Janů měl mít legislativní oporu. Senátor Jan Žaloudík k tomu však dodává, že do „čipování lidí“ bychom už neměli zatahovat medicínu a covid-19 by neměl vést k tomu, abychom zásadně omezovali svou svobodu. Problém se ale zdaleka nekoncentruje jen na tuto oblast. Zvýšený počet kyberútoků v době pandemie podtrhl potřebu kvalitního zabezpečení citlivých zdravotnických dat, která jsou na černém trhu velmi žádaná. Problematice se věnovalo včerejší veřejné slyšení v Senátu na téma Pandemie v kontextu bezpečnosti osobních dat a informačních systémů.
Odborníci napříč republikou se dnes vesměs shodují v tom, že jsme epidemii covid-19 v Česku zvládli velmi dobře. S pominutím krizového stavu však máme prostor na analýzu a zhodnocení jednotlivých řešení, díky nimž se můžeme zaměřit na slabší místa. Jedním z nich přitom zřejmě je i ochrana osobních údajů. „Do dnešního dne nebyla respektována role Úřadu pro ochranu osobních údajů. Projekt Chytrá karanténa 2.0 s námi vůbec nebyl konzultován. Obdobně ministerstvo postupovalo při přípravě původního projektu Chytré karantény. Z té byly konzultovány pouze některé části, a to po mé osobní intervenci u ministra zdravotnictví,“ uvádí ředitelka Úřadu pro ochranu osobních údajů (ÚOOÚ) Ivana Janů.
Ta ministrovi poslala na konci března dopis, na který navázalo jednání a řada vytknutých problémů byla odstraněna. V dopise odeslaném v závěru dubna ovšem ředitelka ÚOOÚ poukázala ještě na přetrvávající problémy.
„U kořene je nepochopení, co obecné nařízení GDPR (tj. obecné nařízení o ochraně osobních údajů, pozn. red.) od zapojených úřadů očekává. Lze to demonstrovat na základní povinnosti provést posouzení vlivu na ochranu soukromí. Aktuální stav je takový, že konečné posouzení vlivu není dokončeno ani pro fázi 2.0, ani pro fázi 1.0,“ poukazuje Janů.
Podle ní v posouzení aplikace eRouška dostupném při spuštění projektu na začátku května stojí, že kybernetická rizika byla posuzována individuálně a byly provedení penetrační testy. „Jedná se o klasický příklad ryze formálního splnění povinnosti,“ konstatuje Ivana Janů s tím, že poctivě vypracované posouzení vlivu na práva a svobody by podle vývoje projektu nepochybně rizika identifikovalo. I když vláda při schválení Chytré karantény 2.0 přiznává jen zpracování anonymních údajů, ve skutečnosti to tak dle ÚOOÚ není, protože získané údaje lze přiřadit k telefonnímu číslu a uživatelskému účtu dané osoby.
„Posledním velkým nedorozuměním, které z dosavadního přístupu plyne, je představa, že získání souhlasu subjektu údajů je první a poslední podmínkou, kterou GDPR vyžaduje. Výkon státní moci musí probíhat vždy v zákonném rámci a souhlas subjektu údajů s využitím údajů o poloze a kontaktech se musí pohybovat v tomto rámci. Udělením souhlasu se chybějící právní základ nenahrazuje,“ podtrhuje Ivana Janů.
Rizika z trasovacích aplikací podle Janů plynou už z interoperability mezi členskými státy EU, možného zveřejnění či nezveřejnění zdrojových kódů, bezprostředního zneužití aplikace pro jiné účely (dohled nad držitelem telefonu, sledování souseda) a budoucí využitelnosti aplikace státem při jejím zavedení jako standardní infrastruktury. „Rizika jsou tím závažnější, čím déle a masivněji jsou trasovací aplikace používány. Zároveň jsou rizika zesilována dalšími návaznými opatřeními, i když ta již zpracování osobních údajů nezahrnují,“ dodává Ivana Janů, podle které je třeba riziko vyhodnocovat nejen vzhledem k možnosti aktuálního zneužití sesbíraných údajů, ale i k možnému budoucímu zneužití.
Jedině zákonodárce může dát omezení základních práv demokratickou legitimitu
Mnoho otázek vzbuzuje například aplikace Mapy.cz, kde si 1,3 milionu lidí zapnulo sdílení polohy kvůli covid-19. „Vidím tu několik problémů. Za prvé je to soukromá společnost, kterou nějakým způsobem začal zaštiťovat stát, ačkoliv nemá kontrolu nad tím, co se s daty děje. Za druhé je tam používána technologie GPS, kterou považuji pro tuto věc za velmi nevhodnou. A nakonec jsou tu dle mého velmi zvláštní a nedostatečná ustanovení, pokud jde o informování uživatelů. Když třeba chcete zjistit, jak dlouho budou data uchovávána, zjistíte, že do konce epidemie – ale kdy skončí epidemie, kdo to určí? Nevíme. Stejně tak je otázka odvolání souhlasu. Vy můžete souhlas kdykoliv zastavit, ale co se stane s historickými daty, která se nasbírala? To už se v podmínkách nedozvíte,“ shrnuje výkonný ředitel společnosti Iuridicum Remedium Jan Vobořil.
Situaci by tak dle ÚOOÚ měla posoudit externí kontrola, v první řadě by ale mělo dojít k nastavení jasných a pečlivě uvážených parametrů parlamentem. „Jedině zákonodárce může dát omezení základních práv demokratickou legitimitu. Jedině zákon představuje stabilní prvek právního řádu. Nejsou jím naopak libovolně měnitelná mimořádná opatření ministerstva zdravotnictví. Jsem přesvědčena, že zapojení zákonodárného sboru mělo být výraznější,“ podtrhává Ivana Janů s tím, že by principy Chytré karantény, oprávnění orgánů veřejného zdraví a povinnosti subjektů poskytujících lokalizační údaje měly být výslovně v zákoně uvedeny. Všechny komponenty Chytré karantény 2.0 včetně lokalizačních údajů k mobilním telefonům, dat o použití platebních karet, eRoušky či aplikace Mapy.cz musí mít zákonný základ.
„Jsme svědky situace, kdy technologické řešení předběhlo právní úpravu. Co platilo za nouzového stavu, nemůže přežívat po jeho skončení. Jde o právní jistotu nás všech,“ dodává Janů.
Obezřetnost vůči moderním technologiím vyslovuje i senátor Jan Žaloudík. „Jestli se má lidstvo nechat očipovat, poloočipovat nebo rozdělit na očipované a neočipované, tak už do toho nevtahujme medicínu. Nemá smysl, abychom si na základě jedné virózy, ať už jakkoliv dynamické a pak ustupující, měnili životy napříč. Tato covidová doba by nám neměla zavdávat příčinu, abychom si zásadním způsobem omezili svobodu,“ apeluje Jan Žaloudík.
Elektronizaci nezastavíme, je však třeba zákon
Problematika ochrany osobních údajů je ale širší. „Nelze to zúžit jen na GDPR a to, co poskytneme nebo neposkytneme do nějaké aplikace. Ochrana osobních údajů probíhá v kyberprostoru neustále. I bez jakékoliv aplikace a nalévání dat jsou osobní údaje neustále ohrožovány. Když vezmu například mediálně známé útoky, jako Benešov či FN Brno, tak nejde jen o to, že byla zašifrována data, vznikly ekonomické škody a nemocnice byla nějakou dobu mimo provoz. Šlo i o to, že útočníci se předtím, než útok spustí, nějak do sítí dostanou a většinou tam delší dobu působí – musí si systém načíst a útok připravit. V průběhu toho nikdo neví, jaká data utekla, a tady se opravdu bavíme o nejcitlivějších datech – zdravotní údaje lidí jsou na černém trhu lépe zpeněžitelné než třeba údaje o kreditních kartách, protože je to v budoucnu dobře zobchodovatelné a navíc je tam potenciál pro vydírání. Ochrana osobních údajů tak je v samém centru kybernetické bezpečnosti,“ vysvětluje ředitel Národního úřadu pro kybernetickou a informační bezpečnost Karel Řehka.
V době pandemie přitom útoků na povinné systémy a nejdůležitější infrastrukturu přibylo ve srovnání s předchozím obdobím zhruba o třetinu. V polovině případů pak došlo k zašifrování dat. I když se ale podle Řehky některé problémy roky podceňovaly, nemělo by nyní být ambicí najít za týden řešení. „Je třeba kyberbezpečnost ve zdravotnickém sektoru relativně rychle posunout dál, ale ne zbrkle. Seriózní diskuze probíhají a je potřeba to promyslet. Je to i manažerská otázka, otázka financování, otázka technická i personální. A nelze z toho vyřadit ministerstvo zdravotnictví, které by mělo mít vedoucí roli,“ dodává Řehka.
I když ale využití nových technologií přináší mnohá úskalí a nové úkoly, je třeba postavit se jim čelem a řešit je. „Elektronizaci nezastavíme. Údajně 70 procent mladých lidí sdílí své nahaté fotky bez jakéhokoliv uzardění a je to normální. Je to nová doba, já jsem se takhle ještě nefotil. Máme tu nové technologie, které mění svět, stejně jako dříve pára. A technologii lze použít i jako zbraň – viděl jsem, co to udělalo ve FN Brno, a byla to hrůza. Technologie ale za nic nemůže a apriori proti ní nelze bojovat, jinak skončíme na smetišti dějin jako dělníci, co mlátili do strojů v roce 1848. Je ale důležité dát to do rukou orgánům, které mají právo s daty pracovat. A tady není potřeba nic vymýšlet – máme tu policii, armádu, NÚKIB… Existuje tu infrastruktura, která umožňuje v tak vážném ohrožení společnosti s daty pracovat. Potřebujeme ale zoufale zákon o elektronizaci,“ uzavírá ředitel ÚZIS Ladislav Dušek.
Michaela Koubová
