Trasování po česku, díl druhý: Jak nezákonně sledovat občany za nouzového stavu

Poslanec ODS Pavel Žáček připravil již druhý díl analýzy tzv. trasování neboli digitálního sledování osob, které má ukázat, jaké kontakty s jinými lidmi měl člověk nakažený koronavirem. Poslanec Žáček je místopředsedou sněmovního Výboru pro bezpečnost a člen Stálé komise pro kontrolu použití odposlechu a záznamu telekomunikačního provozu a použití sledování osob.

Na základě svého prvního článku Trasování po česku (ZDE), v němž popisuji, jak byla za nezájmu většiny médií i veřejnosti prazvláštní formou prostřednictvím ministerstva zdravotnictví suspendována základní práva občanů chráněná Ústavou České republiky, jsem následně oslovil některé klíčové aktéry.

Nejprve jsem se ve věci tzv. trasování obrátil na pověřenkyni pro ochranu osobních údajů ministerstva zdravotnictví ing. Terezu Pavlíčkovou, které jsem se zeptal, zda a jakým způsobem se podílí na kontrolní činnosti při realizaci Mimořádného opatření ministerstva zdravotnictví, č. j. MZDR 12398/2020-1/MIN/KAN, vydaného dne 19. 3. 2020. Zejména mě zajímaly tyto otázky:

a) Podrobnosti o ochraně osobních údajů v procesu tzv. trasování, a to nikoliv jen v resortu ministerstva zdravotnictví, ale také u krajských hygienických stanic (mimořádné opatření) a „dodavatelů“ ministerstva zdravotnictví (viz usnesení vlády ČR č. 250 z 18. 3. 2020). Chtěl jsem přitom vědět, kdo všechno patří mezi uvedené „dodavatele“.

b) Kdo konkrétně (funkce) ve smyslu mimořádného opatření je ministerstvem autorizován vyžadovat osobní údaje nakažených od mobilních operátorů a bank?

c) Jak je konkrétně vyžadován souhlas nakažených osob (ústně, písemně)?

d) Zda je vyžadován souhlas i od osob, u nichž je pouze podezření z nakažení.

e) Zda jsou s osobními daty nakažených seznamovány třetí subjekty („dodavatelé“) nad rámec mimořádného nařízení.

f) Jak je kontrolováno naplňování šestihodinové lhůty uchovávání získaných údajů?

h) Dokdy bude mimořádné nařízení v platnosti, resp. kdy bude zrušena jeho platnost a účinnost?

V neposlední řadě jsem se chtěl ujistit o tom, zda se na kontrolní činnosti v této oblasti podílí ještě nějaký další subjekt.

Druhou oslovenou byla předsedkyně Úřadu pro ochranu osobních údajů JUDr. Ivana Janů, které jsem se dotázal, zda a jakým způsobem se její instituce podílí na kontrolní činnosti realizace mimořádného opatření ministerstva zdravotnictví. Především jsem se zajímal o stanovisko k nakládání s osobními údaji občanů v procesu tzv. trasování, jejich poskytování ministerstvem zdravotnictví třetí straně, tedy tzv. „dodavatelům“ (viz usnesení vlády ČR č. 250 z 18. 3. 2020). Jak je zajištěno, že ministerstvo zdravotnictví či krajské hygienické stanice nesoustřeďují také osobní údaje nenakažených osob?

Navíc se ještě budu ptát na zákonnost vydání výše zmíněného mimořádného opatření ministerstva zdravotnictví a kontrolní činnost úřadu vůči mobilním operátorům a bankovnímu sektoru za této výjimečné situace.

Podle informace České televize se na auditování získávání údajů od mobilních operátorů a bank má podílet společnost PricewaterhouseCoopers, a tak jsem jejímu vedení položil dotazy, na základě jakého oprávnění realizují auditní (kontrolní) činnost, v jakém rozsahu a komu předávají výsledky svých zjištění, případně jaká opatření navrhují při zjištění porušování výše uvedeného mimořádného opatření.

Zároveň jsem se obrátil na vedení mobilních operátorů (generálního ředitele José Perdoma Lorenza, resp. výkonného ředitele Juraje Bóna z T-Mobile Czech Republic, generálního ředitele Vodafonu Česká republika Petra Dvořáka a generálního ředitele O2 Jindřicha Fremutha) s těmito otázkami:

1) Na základě jaké právní normy, odkdy a komu poskytuje Vaše společnost provozně lokalizační údaje nad rámec § 97 zákona č. 127/2005 Sb., o elektronických komunikacích a o změně některých souvisejících zákonů, ve znění pozdějších předpisů?

2) Jak je za současného stavu prokazováno oprávnění k předávání těchto údajů žadateli (jaké konkrétní údaje písemná žádost obsahuje včetně informace o zdravotní stavu) a kdo je odpovědnou osobou podepisující příslušnou písemnou žádost?

3) Kolika žádostem jste již vyhověli (kolika osob se tyto žádosti týkaly)?

4) Jaký je režim uchovávání těchto údajů?

5) Dokdy bude tento režim poskytování údajů provozován?

6) Jaký jste nastavili kontrolní mechanismus pro nakládání s těmito údaji?

Jsem přesvědčen, že všichni oslovení zareagují obratem, při vědomí závažnosti problematiky tzv. trasování a ochrany práv našich občanů, a nevyužijí standardní měsíční lhůty k odpovědi.

* * *

Zároveň jsem zjistil, že jedině společnost T-Mobile Czech Republic na své webové stránce zveřejnila informaci o mimořádném zpracovávání osobních údajů osob, ve které uvádí, že na základě mimořádného opatření ministerstva zdravotnictví poskytuje ministerstvu anebo pověřené krajské hygienické stanici telefonní čísla subjektů údajů „prokazatelně nakažených koronavirem SARS-CoV-2“ a po jejich výslovném souhlasu jednorázově zpřístupňuje provozně lokalizační údaje související s telefonním číslem za uplynulé tři týdny pracovišti krajské hygienické stanice, „a to výlučně za účelem dalšího telefonického šetření epidemiologických souvislostí“.

Po předání těchto údajů se dalším správcem osobních údajů stává ministerstvo zdravotnictví, jehož krajské hygienické stanice mohou získané lokalizační údaje uchovávat pouze po dobu nezbytně nutnou, která nesmí přesáhnout 6 hodin, a poté je musí vymazat. „K výše popsanému zpracování bude docházet pouze po dobu platnosti mimořádného opatření Ministerstva zdravotnictví České republiky. Po skončení platnosti mimořádného opatření budou veškeré výsledky tohoto zpracování ze strany společnosti T-Mobile Czech Republic a. s. odstraněny s výjimkou evidence logů o předaných údajích. Evidence o předaných údajích bude zpracována po dobu nezbytně nutnou pro ochranu zájmů subjektu údajů a rovněž společnosti T-Mobile Czech Republic a. s.“

* * *

Dnes je již zřejmé, že se dříve či později justiční orgány budou zabývat zákonností vydání předmětného mimořádného opatření ministerstva zdravotnictví, které zcela nahradilo stávající právní úpravu nakládání a poskytování osobních údajů občanů orgánům státu ze strany mobilních operátorů a poskytovatelů bankovních služeb. Mohu přislíbit, že také příslušné orgány Poslanecké sněmovny se po skončení nouzového stavu budou podrobně zabývat tímto závažným zásahem do ústavně chráněných práv našich občanů včetně otázky, zda nebylo možné celou situaci řešit jinak, při dodržení stávajících právních norem.