Digitalizace a soukromí
Potřeba omezit osobní kontakty nás v minulém roce dovedla k nutnosti se na dálku (tedy digitálně) vzdělávat i pracovat. Nutnost zmapovat a podchytit, jak se pandemie šíří, pak vedla ke vzniku obrovského množství dat. Sílil zároveň tlak na státní správu, aby co nejvíce dat souvisejících s pandemií zveřejňovala a umožnila tak zapojení širší odborné, ale i laické veřejnosti.
Jako zkušená digitálně-právní organizace připomínáme, proč je důležité, aby tlak na otevírání dat šel ruku v ruce s tlakem na důsledné dodržování hodnoty soukromí. Níže nabízíme několik příkladů z loňského „pandemického roku“, které ilustrují, jaká rizika může práce s velkými objemy dat znamenat pro naše soukromí. Po roce pandemie již totiž víme, že to, před čím řada lidí varovala, v mnoha případech nastalo. Došlo tak na slova jak Edwarda Snowdena, který prohlásil, že pandemie jednou skončí, ale citlivé soubory dat budou nadále k dispozici, tak na slova spisovatele Harariho, který varoval před tím, aby doba pandemie nebyla zároveň dobou, kdy začalo masové sledování.
Koho můžou zajímat data o našem pohybu a zdravotním stavu
Níže upozorňujeme na to, že informace o našem pohybu a zdravotním stavu mohou být zajímavé jak pro stát (zpravodajské a trestněprávní účely), tak pro komerční trh (pojišťovny) či zaměstnavatele. Je důležité, aby ochrana osobních údajů nebyla vnímána jako překážka pro otevírání dat, ale jako hodnota, která při tlaku na otevírání dat nesmí být opomenuta. Je třeba mít na paměti, že digitální záznamy o nás všech jsou zkopírovatelné, replikovatelné a hlavně zneužitelné.
Co jsme dělali během pandemie
Od počátku epidemie jsme vstupovali do veřejné debaty s důrazem na ochranu soukromí zejména při návrzích na využívání dat od mobilních operátorů či dat o bankovních transakcích. Ty nejinvazivnější návrhy se podařilo zastavit a nástroje trasování jsou v ČR dnes využívány na základě souhlasu a mají spíše marginální význam.
Věnovali jsme se trasovacím nástrojům, ať už šlo o konstrukci vzpomínkových map, které byly sestavovány na základě dat o operátorů a dat o karetních platbách, o aplikaci eRouška, která využívá dle našeho názoru nejsmysluplnější technologii pro trasování- bluetooth, i využívání dat z aplikace Mapy.cz.
Vzhledem k použitému způsobu trasování považujeme aplikaci eRouška za jedinou potenciálně přínosnou a z pohledu ochrany soukromí i nejméně invazivní. Proto jsme provedli a zveřejnili i její audit pokud jde o využívání a bezpečnost osobních údajů, a to u obou jejích verzí. V době před zprovozněním druhé verze eRoušky jsme zveřejnili otevřený dopis Ministerstvu zdravotnictví, ve kterém jsme upozornili na zpracování údajů na serverech mimo Evropu, ke kterému při provozování eRoušky dochází a může to být v rozporou s právem poté co byl zrušen tzv. Štít soukromí. Upozornili jsme také na rizika, která by znamenalo nucené využívání aplikace eRouška například pro návštěvy kulturních či sportovních akcí, což bylo rovněž plánováno.
Zúčastnili jsme se veřejného slyšení v Senátu, jehož výsledkem byla výzva vládě k lepších ochraně dat z “chytré karantény” s konkrétními body.
V souvislosti s distanční výukou jsme upozornili na to, proč je nevhodné využívání nástrojů jako Google Classroom a Microsoft Teams a snažili se představovat k soukromí více bezpečnější systémy.
Opakovaně jsme se vyjadřovali k rizikům některých on-line formulářů, které byly používány pro registraci na testy či očkování.
Varovali jsme před návrhem, dle kterého by hygienické stanice mohly využívat data od mobilních operátorů.
Hygienické stanice předávaly data policii
Podle zjištění Deníku N proudila data o lidech v karanténě, tedy konkrétně jméno, příjmení, datum narození, adresa trvalého bydliště a aktuální místo pobytu, spolu s podstatnou informací o nařízené karanténě, od hygienických stanic rovnou policii. Argumentovalo se přitom tím, že policie data potřebuje, aby věděla, zda má například pří zásahu v domácnostech dodržovat zvýšená hygienická opatření. Spolehlivé vysvětlení se však dosud neobjevilo. Všechna vysvětlení pokulhávají a případem se aktuálně zabývá Úřad pro ochranu osobních údajů.
Vynucené využívání digitálních nástrojů
Pandemie zvýšila tlak na využívání digitálních nástrojů, které však řada lidí využívat nemůže (finanční důvody) či využívat prostě nechce (třeba z odůvodněných obav o své soukromí).
Trasovací aplikace: chytrý telefon
Zatímco česká eRouška stála od začátku na dobrovolnosti a byla využívána jako doplňkový nástroj, jak dostat pandemii pod kontrolu, jinde ve světě bylo využívání podobných aplikací (a s nimi nutnost vlastnit potřebné digitální nástroje) povinné. Na Tchaj-wanu bylo pomocí mobilních telefonů kontrolováno dodržování karantény; sledovaný člověk musel mít telefon u sebe, což bylo kontrolováno namátkovými telefonáty. Polská varianta vyžadovala pořizování selfies. Povinnost používat chytrý telefon je však nejlepším předpokladem pro vytváření digitálního vyloučení a digitální propasti.
Platby kartou
V Česku se díky pandemii rozšířilo porušování platné legislativy tím, že docházelo k odmítání hotovostních plateb. Přiblížili jsme se tak zase o pár kroků již z velké části bezhotovostním ekonomikám, jako je ta švédská, kde již množství obchodníků platbu v hotovosti prostě nepřijímá. Po každé digitální transakci či bezhotovostní platbě však zůstává věčná digitální stopa. Nikdy si tak nemůžeme být jistí, kdo všechno k této stopě má či bude mít přístup. Každý den tak dochází k erozi soukromí a je jen otázkou času, kdy se někdo rozhodne tato naše osobní data využít – či spíše zneužít. Bude to pojišťovna, zaměstnavatel či exekutor? Nebo se k nim bez kvalitní opory v zákoně dostane soukromý detektiv, hacker či stalker? Pandemie bohužel do jisté míry otevírá dveře ke společnosti, ve které platby hotovostí nebudou možné.
Nástroje pro distanční výuku
Řada dětí (a tedy i rodičů) musela pro distanční výuku využít nástroje od Google či Microsoftu – a to přes to, že podobné nástroje sbírají řadu citlivých údajů (což například potvrdil nedávný verdikt nizozemského soudu). U povinné školní docházky pak nabývá tento problém až ústavně-právní roviny: stát prostřednictvím povinné školní docházky (resp. povinnosti účastnit se distanční výuky dle novely školského zákona) nutí v případě používání software těchto společností žáky, studenty i další osoby k poskytnutí osobních údajů do jurisdikce, kde jsou ohroženy zneužitím, jak závazně potvrdil rozsudek Evropského soudního dvora z léta 2020 Schrems II.
Singapur zpřístupnil data z covidové aplikace policii
Singapurská vláda připustila, že k datům z programu pro trasování pandemie má přístup místní policie. To je přitom v rozporu s dřívější zárukou ochrany osobních údajů uživatelů, kdy státní úředníci výslovně vyloučili, že data budou použita k jiným účelům než pro sledování šíření viru. Téměř 80 % obyvatel Singapuru je přihlášeno do programu TraceTogether, který se využívá k monitorování pohybu obyvatel a možnosti nákazy dalších lidí.
Izrael musel ukončit digitální sledování občanů kvůli covidu
Izraelská všeobecná bezpečnostní služba Šin bet musela na začátku března ukončit digitální sledování občanů, které využívala kvůli trasování lidí, kteří přišli do kontaktu s koronavirem. Rozhodl o tom izraelský nejvyšší soud. V rozhodnutí uvedl, že Šin bet ve většině případů neoprávněně porušovala práva občanů na soukromí. Předsedkyně nejvyššího soudu Esther Hajútová napsala, že rozhodnutí soudu reflektuje dřívější obavy z toho, že trasování – z krátkodobého hlediska původně oprávněné – bude permanentní.
Na Slovensku unikla úřadům mapa s údaji o nakažených nemocí COVID-19
Mapa s údaji o všech dosud potvrzených slovenských pacientech infikovaných nemocí COVID-19 se objevila na sociálních sítích. Podle tamních médií pochází data z Národného centra zdravotníckych informácií (NCZI), které informace sbírá. Neznámý autor je vložil do podkladů Google Maps.
Z mapy se dalo vyčíst pohlaví, věk, datum potvrzení pozitivního testu, obec a v případě Bratislavy i ulice, kde pacient bydlí. Podle deníku SME byla data nějakou dobu volně dostupná na internetu ve strojově čitelné podobě. Pro běžného uživatele viditelná nebyla, ale s patřičnými znalostmi se dala přes API z webu stáhnout.