Povedlo se vymazat data o e-mailech a telefonních číslech shromážděná v souvislosti s organizací očkování a testování proti COVID-19. Smazání můžete snadno dosáhnout i vy.
Národní zdravotnický informační systém je obrovský moloch, který centrálně zpracovává citlivé údaje o našem zdraví.
Národní zdravotnický informační systém představuje soubor různých zdravotnických registrů, které obsahují data o našem zdraví, ale i řadu dalších osobních údajů, zpravidla velmi citlivého charakteru. Některé registry fungují desítky let, jiné jsou poměrně nové. Tomu odpovídá i poměrně nesourodá podoba jejich fungování i právní úpravy, která je reguluje.
Fungování NZIS se již dvakrát věnoval i ústavní soud, který rozhodoval o návrhu zákonodárců na zrušení částí zákonů upravujících NZIS zejména pro přílišný zásah do našeho soukromí. Ústavní soud návrhům nevyhověl, ale nikdy se nepustil do podrobnějšího a velmi pracného proniknutí do struktury NZIS a jeho jednotlivých registrů. Udělali jsem to tedy za něj a pokusili jsme se podrobně zmapovat NZIS a jeho komponenty. Využili jsme k tomu vedle dostupných dat i řadu informací získaných na základě oprávnění dle GDPR a zákona o svobodném přístupu k informacím.
Vedle popisu jednotlivých registrů a uvedení údajů, které jsou v nich shromažďovány, se pak zaměřili na identifikaci problémů celého systému i načrtnutí možností litigací (tedy soudních či správních řízení), které by tyto problémy mohly do budoucna pomoci vyřešit.
První část analýzy, tedy zmapování NZIS a identifikaci jeho problémů, které zatím nebyly předmětem posuzování ústavním soudem, se rozhodli dát k dispozici všem. Ostatně jsme to my všichni, jejichž data jsou v registrech uložena.
Zejména se jedná o data, která začala být zpracovávána v době pandemie covid-19 jako jsou kontaktní údaje telefon nebo e-mail, případně číslo identifikačního průkazu, které jsou propojitelné s dalšími údaji v registru.
Zde byla zjištěna řada nedostatků a to zejména v právní regulaci registrů, které jsou součástí NZIS, ale jsou vedeny podle transplantačního zákona. U těchto registrů reálný stav neodpovídá právní regulaci, kdy existují registry, které zákon nepředpokládá, a naopak zákonem předpokládané registry neexistují.
Druhou skupinou je pak Informační systém infekčních nemocí, registr, který se rozvíjel v době pandemie Covid-19 a obsahuje velmi citlivé údaje propojené s osobou rodným číslem. Pro uchovávání některých údajů (e-mail, telefon, číslo identifikačního průkazu) zcela chybí právní základ, uchovávání jiných je pak řešeno pouze podzákonným právním předpisem, což odporuje tomu, že by měly být meze základních práv vymezeny v zákoně.
Byly vyhodnoceny napříč registry údaje, které vzhledem k účelům považujeme za nadbytečné. Jedná se například o údaje o jménu či trvalém pobytu napříč registry, v dílčích registrech pak například o údaje o dosaženém vzdělání, o osobách, které způsobily úraz, o tom, jestli je pacient bezdomovcem, či o datu narození u uživatelů návykových látek.
Ve většině registrů jsou v současnosti využívána rodná čísla, která jsou jednoznačným identifikátorem napříč různými státními i soukromými registry. Proklamovaným důvodem je zejména nutnost propojení jednotlivých záznamů v NZIS. Tomu ale mnohem lépe odpovídá zavedení jednotného identifikátoru výhradně pro použití v rámci NZIS (tzv. NZIS-AIFO), který je v současnosti již ve třech registrech využíván. Argumentem proti užívání rodných čísel, ale i jiných pseudonymů, byť jejich užití ústavní soud označil za nezbytné, je pak zpracování dat cizinců nebo vybraných pracovníků bezpečnostních složek, kteří nefigurují v registrech pod jedinečnými identifikátory vůbec.
Údaje jsou uchovávány příliš dlouhou dobu a to i u osob zemřelých mnoho let po jejich smrti, kdy již je logicky datový tok do registrů uzavřen a není tak důvod data uchovávat v podobě, která umožňuje jejich propojení na identifikovatelnou osobu.
Provedení DPIA není podle české legislativy nutné v případě zpracování, které vyplývá z právního předpisu. V takovém případě by nicméně měly být zhodnoceny dopady na soukromí obdobně jako je tomu v DPIA v rámci připravované legislativy, ať už ve zprávě RIA nebo v důvodové zprávě. V daném případě toto dostatečné zhodnocení chybí. To může vést k porušení GDPR, ale i k nutnosti, aby jednotliví správci vkládající data do registru sami zpracovávali DPIA, což v současnosti nečiní.
Z analýzy tedy mimo jiné vyplynulo, že v registrech jsou zpracovávána data, která se v nich ocitla bez dostatečného právního základu v souvislosti s pandemií COVID-19. Ačkoli pandemická situace je již několik let zase v normálu, tak k likvidaci dat Ústav zdravotnických informací a statistiky ani Ministerstvo zdravotnictví, do jejichž kompetence zdravotnické registry spadají, přistoupit nechtěly.
Proto se IURE rozhodli zodpovědné úřady tak trochu „nakopnout“ a po neúspěšné žádosti o likvidaci údajů o e-mailu a telefonním čísle konkrétního stěžovatele podali žalobu k soudu.
Ministerstvo se bránilo urputně tvrzením, že data zpracovává v souladu se zákonem. Nakonec ale samo došlo k závěru, že data o e-mailech a telefonních číslech shromážděná v souvislosti s organizací očkování a testování proti COVID-19 tři roky po odeznění pandemie již opravdu nepotřebuje.
Na pokyn hlavní hygieničky České republiky tak došlo ke smazání dat žalobce.
V reakci na tento krok, kterým bylo žalobě fakticky vyhověno, pak soud zastavil řízení a přiznal žalobci náhradu nákladů řízení.
V dané věci nyní IURE činí další kroky, které přispějí k systematickému řešení celého problému. Nicméně do té doby si i vy můžete zkusit zažádat o výpis dat, která jsou o vás v NZIS vedena – a nebo rovnou o smazání dat, která v nich nemají co dělat. Začít můžete u e-mailových adres a telefonních čísel shromážděných za pandemie:
Můžete využít web DigitálníPráva.cz, na jehož obsahu IURE spolupracovalo s Institutem Pí a Ústavem státu a práva AV ČR. Najdete zde návody, jak uplatnit práva subjektů údajů podle GDPR včetně práva na přístup k údajům a práva na jejich výmaz (práva být zapomenut). Správcem NZIS i osobních údajů v něm vedených je Ústav zdravotnických informací a statistiky ČR. Na něj je tedy třeba žádosti směřovat.
Při uplatnění práva na přístup k osobním údajům podle čl. 15 GDPR žádáte informace o veškerých zpracovávaných osobních údajích, které jsou o vás vedeny v Národním zdravotnickém informačním systému. Žádost je vhodné podat buď poštou – doporučujeme ověřený podpis pod žádostí – nebo datovou schránkou. V obou případech by ÚZIS neměl zdržovat věc tím, že by dále prověřoval vaši totožnost.
Pokud by vám snad nebylo vyhověno, neváhejte se IURE ozvat.
Udělej mi radost a pozvi mě na kávu. Opravdu mě potěší, když si ji jednou nebudu muset koupit sama.
COOLna 
Napsat komentář