Nový zákon o niektorých mimoriadnych opatreniach v súvislosti so šírením choroby Covid-19 umožní Úradu verejného zdravotníctva SR (ÚVZ) zbierať a spracovávať údaje o obyvateľoch z mobilných telefónov, a to aj bez ich súhlasu.
„Toto opatrenie predstavuje nevídaný zásah do súkromia ľudí zo strany štátu, reaguje však na nevídanú situáciu. Aby spracúvanie údajov splnilo svoj účel a zároveň nemohlo byť zo strany štátnych orgánov neskôr zneužité, mali by pre spracúvanie osobných údajov v tejto súvislosti platiť prísne pravidlá,“ upozorňuje Dušan Nitschneider z advokátskej kancelárie Nitschneider & Partners.
Štát bude mať od telekomunikačných zariadení takzvaný hromadný prístup iba k anonymizovaným údajom, pomocou ktorých vie sledovať mobilitu obyvateľstva. K neanonymizovaným údajom štát hromadný prístup nepovoľuje, bude sa využívať iba v prípade špeciálnej potreby.
Zákon sám spresňuje, že úrad verejného zdravotníctva bude môcť spracúvať len základné identifikačné údaje ako meno, priezvisko, adresa a telefónne číslo používateľa a ďalej údaje o tom, kde sa užívateľ nachádza, tzv. lokalizačné údaje. Prevádzkové dáta zostávajú kryté.
„Účelom spracúvania osobných údajov má byť (i) predchádzanie, prevencia a modelovanie vývoja ohrozenia života a zdravia, (ii) identifikácia príjemcov správ, ktorým je potrebné oznámiť osobitné opatrenia Úradu verejného zdravotníctva v záujme ochrany života a zdravia, a (iii) identifikácia používateľov v záujme ochrany života a zdravia. Podľa práve schváleného znenia zákona bude navyše možné získané osobné údaje spracúvať len do konca roka. Následne by mali byť všetky takto získané osobné údaje vymazané, samozrejme za predpokladu, že dovtedy sa nám s pandémiou podarí vysporiadať,“ vysvetľuje Nitschneider.
Napriek tomu, že štát chce mať prístup k údajom každého používateľa mobilného telefónu, neznamená to, že ÚVZ bude musieť nevyhnutne spracúvať osobné údaje všetkých obyvateľov Slovenska.
Zjednodušene to znamená, že kompetentní získajú údaje o tom, kto sa kde nachádzal (lokalizačné dáta), ale nie dáta odhaľujúce, s kým používateľ komunikoval, ako dlho a cez aké zariadenie sa aký typ komunikácie uskutočnil (prevádzkové dáta). Návrh na zbieranie prevádzkových údajov z prvotného nárvhu zákona vypadol.
S lokalizačnými údajmi môže vláda pracovať hromadne, ale iba v anonymnej forme, bez identifikačných údajov konkrétnych osôb. Týka sa to všetkých zákazníkov telekomunikačných operátorov.
Pravidlá stanovené samotným zákonom a GDPR
Dušan Nitschneider ďalej uvádza špecifiká: „Predpisy o ochrane osobných údajov kladú dôraz na minimalizáciu spracúvania údajov, a preto ak je možné konkrétny účel (v tomto prípade sledovanie pohybu ľudí na štatistické účely potrebné na predchádzanie, prevenciu a modelovanie vývoja ohrozenia života a zdravia) dosiahnuť bez spracúvania osobných údajov, je prevádzkovateľ povinný zdržať sa spracúvania osobných údajov. V tejto súvislosti je však vhodné doplniť, že Európsky výbor na ochranu údajov (EDPB) vo svojom Vyhlásení o spracúvaní osobných údajov v súvislosti s prepuknutím ochorenia COVID-19 uviedol, že ak nie je možné spracúvať iba anonymné údaje, členské štáty môžu zaviesť legislatívne opatrenia na ochranu verejnej bezpečnosti.“
V prípade sledovania konkrétnych ľudí na účely zistenia, či dodržujú predpísanú karanténu, alebo zasielania SMS správ osobám nakazeným vírusom, naopak, budú spracúvané osobné (identifikačné a lokalizačné) údaje týchto osôb. A práve na takéto spracúvanie sa budú vzťahovať pravidlá stanovené jednak samotným zákonom o mimoriadnych opatreniach v súvislosti so šírením vírusu Covid-19 (uvedené vyššie) a zároveň všeobecné princípy a pravidlá na ochranu osobných údajov. Podľa tých by mal podľa Nitschneidera Úrad verejného zdravotníctva zabezpečiť, aby spracúvanie osobných údajov prebiehalo transparentne a len na konkrétny nevyhnutný účel a v nevyhnutnom vecnom a časovom rozsahu.
Pre získanie prevádzkových dát bude potrebné písomne požiadať mobilných operátorov. Žiadosť musí obsahovať aj odôvodnenie, prečo a za akým účelom ÚVZ údaje o danej osobe vyžaduje a na čo ich použije.
Nitschneider ďalej uvádza: „Európsky výbor na ochranu údajov vo svojom vyhlásení konštatoval, že európske pravidlá ochrany údajov nebránia opatreniam prijatým v boji proti pandémii Covid-19 preto, že je v záujme ľudstva obmedziť šírenie chorôb, a to aj prostredníctvom využitia dostupných technológií, avšak zároveň upozornil, že akékoľvek opatrenie prijaté členskými štátmi v tejto súvislosti musí rešpektovať všeobecné právne zásady a nesmie byť nezvratné. Ak bude štát dodržiavať pravidlá ochrany súkromia a osobných údajov, ľudia sa nebudú musieť báť, že ich osobné údaje budú zneužité na iné účely ako práve na ochranu verejného zdravia v súvislosti so šírením vírusu Covid-19.“
Neznámy systém vyhodnocovania
Podľa odborníka z digitálnej agentúry Basta digital Daniela Duriša nie je úplne zrejmé, akým spôsobom budú lokalizačné dáta vyhodnocované. „Pravdepodobne pôjde o filter nad množinou údajov o telefónnych číslach, ktoré sa vyskytli mimo Slovenska. Zjednodušene sa dá fungovanie opísať ako tabuľka so stĺpcami, kde si vyberieme iba také, ktoré majú v stĺpci zahraničie (napr. za posledných 14 dní) hodnotu 1. Pri týchto telefónnych číslach potom zisťujeme, či je ich poloha nemenná v rozsahu niekoľko 10 metrov (domáca karanténa) alebo sa takéto telefónne číslo presúva (za prácou, do obchodu a pod.) a poloha sa mení v rozsahu kilometrov. To je moja predstava práce s týmito dátami, keďže neexistujú bližšie informácie o ich formáte,“ vysvetľuje Duriš.
Keďže dáta budú anonymizované, namiesto telefónneho čísla budú mať podľa odborníka priradený nejaký identifikátor, na základe ktorého potom úrady vedia dožiadať informáciu o držiteľovi daného telefónneho čísla (meno, priezvisko, názov firmy, samotné telefónne číslo). „Za dôležité z hľadiska súkromia považujem, aby každé takéto dožiadanie detailov bolo automaticky oznámené danému vlastníkovi telefónneho čísla,“ dopĺňa Daniel Duriš z Basta digital.