Zadržki Informacijskega pooblaščenca o novi osebni izkaznici
+ -
Ker je Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) v zadnjih dneh dobil veliko vprašanj glede nove osebne izkaznice, podajamo nekaj več pojasnil, s katerimi želimo poudariti pomen naših opozoril glede varstva osebnih podatkov.
Predlagatelj zakona je tik pred zdajci v predlog sprememb zakona o osebni izkaznici v člen, ki govori o naboru podatkov na izkaznici, dodal še davčno številko. Ta popravljen predlog ni bil poslan Informacijskemu pooblaščencu, niti tega na sestanku s pooblaščenko nista omenila minister Dragutin Mate in direktor Direktorata za upravne notranje zadeve Bojan Trnovšek, ki sta se oglasila pri Informacijskem pooblaščencu konec meseca januarja in ustno pojasnila vidik MNZ-ja za ta projekt. Pooblaščenec tudi ugotavlja, da zadnja inačica potrjenega predloga zakona o osebni izkaznici ni dostopna niti na spletni strani vlade, niti Državnega zbora, niti na predlagateljevi domači strani (MNZ), kar onemogoča strokovno razpravo o predlaganih spremembah.
Pooblaščenec zato pripomb na ta dodatek, ki smo ga opazili med nepotrjenimi predlogi na spletni strani Vlade RS, ni uspel podati.
Zadržke torej lahko podamo le kot strokovnjaki s področja varstva osebnih podatkov, katerih se sicer ni povabilo k pripravi predloga zakona, temveč se nas je le naknadno seznanilo z že oblikovanimi idejami
Predlagatelj zatrjuje, da bomo novo multifunkcionalno kartico lahko uporabniki dobili že konec tega leta, kolikor je nam znano, pa Zavod za zdravstveno zavarovanje (ZZZS), projekta do takrat še ne bo imel pripravljenega.
Predlagatelj zakona je (še enkrat poudarjamo tik pred zdajci, preden je šel zakon v Državni zbor) v obrazložitvi zapisal, da se tudi davčna številka kot uradni identifikator pogosto uporablja tako pri elektronskih storitvah državne uprave (npr. sistem eDavki).
Na ta del obrazložitve je potrebno podati pojasnilo. Kolikor je Pooblaščencu znano, se davčna številka ne pojavlja pogosto pri elektronskih storitvah e uprave. Uporablja se jo le pri eni sami storitvi, ki je pravilno omenjena (sistem eDavki).
Po novem bodo na tej kompleksni izkaznici vsi trije enoznačni identifikatorji (EMŠO, davčna številka in KZZ številka zdravstvenega zavarovanja), kar je edinstven primer v Evropi. Iz predloga zakona se ne da razbrati, kateri do teh podatkov bodo vidni na sami kartici.
Opozoriti moramo tudi na dejstvo, da obrazec, na podlagi katerega se bo izdala osebna izkaznica, opredeljuje Pravilnik o izvrševanju zakona o osebni izkaznici, ki je podzakonski akt. Z vidika ustavno zahtevanega varstva osebnih podatkov je to razlog za skrb, saj novi predlog spremembe zakona ne predvideva nabora podatkov, ki bodo s prostim očesom vidni na sami osebni izkaznici. To pomeni, da je določitev nabora enoznačnih identifikatorjev, ki bodo objavljeni na sami osebni izkaznici, dejansko prepuščena podzakonskemu aktu, kar je z vidika Ustave RS sporno.
Slovenija bo uvedla osebno izkaznico s čipom, kjer bosta dve digitalni potrdili. Eno za storitve e-uprave in eno za uveljavljanje pravic iz zdravstvenega zavarovanja. Pri zdravstvenem zavarovanju imamo trenutno na kartici nekvalificirano digitalno potrdilo, ki omogoča t.i. off-line dostop do podatkov o tem, ali je posameznik zavarovan ali ne, podatkov o izdanih receptih, o izdanih medicinsko tehničnih pripomočkih in podatek o izbranem zdravniku. Dostop do teh podatkov ni zaščiten z geslom. V prihodnje ZZZS razvija t.i. on-line dostop, ko bo s to kartico možno dostopati do vseh zdravstvenih podatkov, na kartici sami pa zgoraj omenjenih podatkov ne bo več. Kdaj se bo ta kartica lahko začela uporabljati za zdravstvene storitve, pa predlagatelj zakona še ni pojasnil. Predlagatelj zakona v obrazložitvi dejansko ne pojasni, kakšno digitalno potrdilo za zdravstvene storitve bomo državljani konec leta sploh lahko imeli na kartici.
Poudarjamo, da smo na pogovoru z ministrom Matejem prišli tudi do določenih rešitev, ki so bolj "prijazne" varstvu osebnih podatkov. Pomembno je prav to, da je v zakonu jasno zapisano, da mora posameznik podati osebno privolitev za čip na kartici in za kombinacijo z zdravstveno kartico, da torej takšna kompleksna osebna izkaznica ni nujna, kar je z vidika zasebnosti boljša rešitev. A osnovni pomislek o združitvi kartic je ostal nerešen. V tem razgovoru, ki je bil zelo korekten, smo dosegli tudi to, da v register osebnih izkaznic ne bo vpisana številka zdravstvenega zavarovanja - KZZ (ki bi lahko zamikala upravljavca, da v prihodnosti poveže evidence), temveč zgolj podatek o tem, ali je oseba zdravstveno zavarovana ali ne. Podatke o KZZ številki bo izdelovalcu osebne izkaznice poslal torej ZZZS, ki je upravljavec zbirke, kjer se ta enoznačni identifikator nahaja, in ne upravna enota, kot je bilo na začetku zamišljeno. Kako pa bo to posredovanje izvedeno pri davčni številki, ki je prav tako ni v registru osebnih izkaznic (in je tudi ne sme biti), zaenkrat ne vemo. Opozarjamo, da hitenje ni smiselno, predvsem pa ni dopustno z vidika pravne varnosti državljanov. Predvsem zato, ker glede na naravo projekta rešitve nujno prinašajo tudi vzpostavitev neke vrste povezave med evidencami upravnih enot in ZZZS. Povezljivost evidenc pa je z vidika varovanja osebnih podatkov vedno problematična. Prav zaradi odsotnosti obveznosti obveščanja posameznika o obdelavi njegovih osebnih podatkov, obdelovanje dobi neobvladljive razsežnosti in s tem nepredvidljive možnosti zlorabe osebnih podatkov, predvsem pa nekontrolirano možnost obdelave osebnih podatkov povsem v nasprotju z namenom, zaradi katerega so bili primarno zbrani.
Kolikor je nam znano, so v Evropi zgolj 3 države, ki so si "upale" združiti na eni kartici več osebnih podatkov, ki so uporabni za (zelo) različne namene, in sicer Portugalska, Belgija in Estonija. Avstrija se je recimo zaradi varnostnih tveganj že odpovedala združevanju oz. vzpostavljanju večnamenskih kartic, ki bi vključevale tudi zdravstveno kartico, govorimo pa o vodilni državi v EU po razvoju e storitev. Ta država ima tudi izjemno varno politiko uporabe njihovega EMŠO (ZMR-Zahl). Težka dostopnost do enoznačnih identifikatorjev je bila izbrana predvsem zaradi skrbi na področju varstva osebnih podatkov posameznika kot enega ključnih elementov pri razvoju e uprave. Uporabo enoznačnega identifikatorja so za različne evidence »razbili« na več delnih enoznačnih identifikatorjev, ki se jih medsebojno ne da povezati. EMŠO se v okviru avstrijskega organa za varstvo osebnih podatkov kriptira v t.i. Source PIN, ki je shranjen samo na osebni izkaznici posameznika in nikjer drugje. Omenjeni identifikator se pri komuniciranju s posameznimi sektorji javne uprave nadalje kriptira v sektorske identifikatorje, ki medsebojno niso povezljivi. Povedano drugače, davčna uprava ne pozna sektorskega PIN-a za zdravstvene ustanove in obratno (več lahko preberete v priloženem članku direktorice avstrijskega organa za varstvo osebnih podatkov).
Pri nas pa uporaba EMŠO že uhaja iz nadzora, ker se jo nekontrolirano uporablja za vse povezave, še več, v mnogih registrih se pojavlja že več enoznačnih identifikatorjev hkrati. Vse to na dolgi rok omogoča popolno povezljivost evidenc in odpira nove možnosti za zlorabe in kraje identitete, saj ima dostop do teh registrov vse več ljudi.
Javnost nas večkrat sprašuje po konkretnih primerih, ko bi do zlorabe lahko prišlo. Konkretnega primera seveda ne moremo podati, ker ne vemo, kakšne bodo morebitne informacijske pomanjkljivosti te kartice, zlikovci pa vedno, če je le interes, iščejo in najdejo e-rešitve, ki omogočajo zlorabe. Na področju varstva osebnih podatkov velja splošno pravilo – več kot je podatkov na enem mestu, več zlorab je možnih. Zagotovo pa lahko rečemo, da bo posameznik, če bo kartico izgubil, izgubil tri pomembne podatke hkrati, vse podatke na osebni izkaznici (EMŠO in davčno številko - ta bo sicer kriptirana na čipu), KZZ številko in dva e-ključa, enega za vstop v sistem zdravstvenih podatkov in ključ za opravila v celotni e-upravi. Na tem mestu moramo opozoriti na to, da se kartico s čipom lahko praviloma uporabi v kateremkoli čitalcu, ki omogoča dostop do storitev e-uprave, če e-storitve izvajamo preko čitalca in ne preko digitalnega potrdila na trdem disku računalnika. Čitalec ni zaklenjen na določeno kartico in torej ne loči med kartico lastnika in kartico nekoga drugega. Če izgubimo kartico in PIN (niso redki primeri, ko posameznik poleg kartice hrani tudi PIN kodo), zgubimo veliko več, kot danes, ko na osebni izkaznici tako občutljivih podatkov ni. Ogrožen je lahko dostop do naših davčnih podatkov, do zdravstvenih podatkov (ko bo možen on-line dostop do lastnih podatkov) in vseh ostalih storitev e-uprave (še posebej, če varnostne rešitve ne bodo dobro pretehtane).
Osebna izkaznica je mnogo bolj pogosto uporabljen dokument kot zdravstvena kartica. Vsakič, ko bomo uporabili osebno izkaznico, dopustimo možnost, da pride do zlorab podatkov, vidnih na zdravstveni kartici, ki bo pridružena osebni izkaznici, da bo vsak, ki ima pravico videti podatke na osebni izkaznici, videl še podatek o KZZ številki, da ne govorimo o množici upravljavcev, ki danes osebno izkaznico fotokopirajo, ker jim je tako lažje, kot prepisati osebne podatke, ki jih potrebujejo in do katerih so upravičeni.
Fotokopiranje bo sicer na predlog Pooblaščenca omejeno, a vseeno bo to pravico imelo kar veliko upravljavcev in možnost dostopa do podatkov, ki bodo na kartici vidni, bo imelo na tisoče ljudi, ki bodo rokovali s temi fotokopijami.
Sprašujemo se tudi, zakaj bosta EMŠO in davčna številka kriptirani na čipu, KZZ številka pa vidna na sami kartici? Argument predlagatelja zakona je bil, da je številka potrebna za vstop v zdravstvene zbirke. Če bo čip pokvarjen, naj bi bilo možno v sistem vstopiti tudi s številko. Ta argument lahko takoj zavrnemo s tem, da bi bilo možno v sistem dostopati že samo z imenom in priimkom, rojstnim datumom in naslovom. To so vsi podatki, ki jih vsak posameznik o sebi ve in se tudi nahajajo pri vsakem izvajalcu zdravstvenih storitev. Po podatkih Statističnega urada v Sloveniji ni dveh oseb s temi tremi enakimi osebnimi podatki. Ugotovili so sicer, da v Sloveniji obstaja 11 parov oseb, torej 11- krat po dve osebi, z istim priimkom, imenom, datumom rojstva in naseljem prebivališča, vendar z različno ulico oz. hišno številko. Torej na istem naslovu nista v nobenem od najdenih primerov prebivali dve osebi s povsem enakimi osebnimi podatki.
Naša naloga je, da opozorimo na pasti, ki jih takšno združevanje osebnih podatkov prinaša. Posameznik se bo sicer sam odločil, če takšno kartico želi imeti, zakonodajalec pa mora v zakonodajnem postopku presoditi z vidika načela sorazmernosti, če je vidik prijaznosti državne uprave res tako močan, da lahko dopustimo povečanje možnosti zlorab s kartico VEM (vse na enem mestu), če jo lahko malce zlobno tako poimenujemo. Glavna skrb Pooblaščenca je hitenje in premalo domišljene rešitve ter odsotnost resne analize učinkov na zasebnost. Na dolgi rok takšni projekti lahko posameznikom resnično prinašajo ugodnosti, a le takrat, ko bodo izvajalci podrobno poskrbeli tudi za ustrezno raven varstva osebnih podatkov.
Kako pogosto Slovenci izgubljamo kartice, pa govorijo sledeči podatki. Lansko leto je bilo v Sloveniji ukradenih in izgubljenih 13.390 osebnih izkaznic (v desetih letih okrog 80.000), osebno izkaznico ima 1.659.810 ljudi (na dan 31.1.2008), zdravstvenih kartic je bilo v letu 2001 ukradenih 5200, v letu 2007 6767, izgubljenih v letu 2001 17.879 in v letu 2007 25.968 (številka torej strmo narašča). Zdravstveno kartico ima 2 milijona ljudi (vsi državljani in vsi tujci, ki so zavarovani v RS). Vsi ti podatki nam povedo, da smo ljudje nepazljivi in da premalo pazimo na kartice. Na novo kartico bomo morali bistveno bolj paziti.
Ob tem Pooblaščenec mora še enkrat opozoriti, da predlagatelj zakona ni pripravil nobene analize ocen tveganja na zasebnost, kot niti še nikoli poprej pri kakšnem drugem zakonu, ki je posegel v temeljno človekovo pravico do varstva osebnih podatkov. Projektov se predlagatelji zakonov lotevajo na hitro, nepremišljeno, v zadnjih časih vse prevečkrat z izgovorom, da gre za odpravo administrativnih ovir. Sledi se torej doseganju hitrih ciljev, na dolgoročne posledice pa se ne pomisli.
Nataša Pirc Musar
Informacijska pooblaščenka
Povezava na članek.