»V že tako neugodni situaciji lahko povzročimo še več dodatnih težav«

Mnenje Inštituta za kriminologijo o interventnih ukrepih za pripravo na drugi val koronavirusa, ki vključujejo tudi mobilne aplikacije za sledenje okuženim 

Raziskovalci Inštituta za kriminologijo pri Pravni fakulteti v Ljubljani so v mnenju o aplikacijah za sledenje aprila letos (»Masovni nadzor je nekaj, kar je evropski pravni kulturi in pravnemu redu tuje«) že izrazili svojo zaskrbljenost nad uvajanjem tehnoloških rešitev z namenom zajezitve epidemije novega koronavirua. Zdaj so o tem objavili obsežnejše mnenje, v katerem sicer že uvodoma poudarjajo, da razumejo, da je obvladovanje epidemije pomemben vidik naše nove realnosti in da je iskanje tehnološko podkrepljenih rešitev lahko njegov pomemben del. Vendar dodajajo, da je treba rešitve, ki jih kot družba sprejemamo s takšnim namenom, uvajati kolikor je le mogoče pretehtano, ob upoštevanju opozoril in znanja ustreznih institucij ter spoštovanju pridobljenih pravic in vrednot. "Če ne bomo ravnali tako, utegnemo v že tako neugodni situaciji povzročiti več dodatnih težav kot razrešiti obstoječih," so zapisali.

Vključevanje temeljnih sogovornikov

"Glede na pomembnost materije ter invazivnost ukrepov, ki jih predlagani zakon uvaja, bi bilo od predlagatelja pričakovati, da v postopek sprejemanja od samega začetka vključuje vsaj državne organe, na področje delovanja katerih zakonodajni predlog posega. V prvi vrsti sta to Informacijski pooblaščenec in Varuh človekovih pravic. Predlagani ukrepi nedvomno pomenijo poseg v ustavno varovano pravico do varstva osebnih podatkov, ki sodi v neposredno pristojnost prvega. Glede na pričakovane učinke izbrane tehnološke rešitve na celo vrsto drugih pravic in s tem pomembno sooblikovanje bodočega življenja v naši družbi pa je Varuh pomemben drug sogovornik. Vendar je Informacijski pooblaščenec dobil možnost seznanitve s predlogom šele na dan njegove javne objave, 30. 6. 2020, ko je bil zakonodajni predlog že posredovan v Državni zbor," so poudarili v mnenju pri Inštitutu za kriminologijo, pod katerega so se podpisali raziskovalci Pika Šarf, dr. Aleš Završnik in dr. Mojca Mihelj Plesničar.

Izpostavili so tudi dejstvo, da je bila iz postopka v celoti izključena tudi javnost, kar je glede na naravo nujnega zakonodajnega postopka, po katerem se zakon sprejema, moč pričakovati tudi v teku zakonodajnega postopka. V konkretnem primeru se to vprašanje postavlja tako glede popolne izključitve javnosti v pripravi predloga zakona kot tudi glede predloga prepovedi razpisa zakonodajnega referenduma, so zapisali. 

Vprašanje (ne)zaupanja

"Izkušnje drugih držav, v katerih se mobilne aplikacije za sledenje stikom bodisi že uporabljajo ali pa so v postopku njihove uvedbe, kažejo na izrazit pomen transparentnosti v postopku njihovega uvajanja. Vsaj seznanjenost javnosti, če ne že dovoljevanje aktivne participacije tako v postopku sprejemanja pravne podlage kot tudi v teku razvoja mobilne aplikacije (ki bi bila v najboljšem primeru odprtokodna), povečuje zaupanje v predvideno tehnološko rešitev. Zgolj ob dovoljšnem zaupanju celotne družbe bo aplikacijo uporabljalo zadostno število uporabnikov, da bo njeno delovanje učinkovito in zanesljivo. Nejasnosti in nedoločni pojmi že v času pripravljanja takšnih aplikacij lahko zato dosežejo ravno nasprotni učinek od želenega: namesto hitre in učinkovite rešitve bo sprejeta ureditev velikemu delu prebivalstva sumljiva in je posledično ne bodo uporabljali. Ob dejstvu, da si številni – pogosto najranljivejši – posamezniki aplikacije niti ne bi mogli naložiti, saj deluje le na pametnih telefonih, je vzpostavljanje zaupanja do aplikacije ključnega pomena za širjenje kroga uporabnikov. Njena premajhna razširjenost namreč pomeni, da bo tudi nezanesljiva in v veliki meri neuporabna, saj so tovrstne rešitve lahko uspešne zgolj ob zadostni stopnji razširjenosti med prebivalstvom," so zapisali. 

Prostovoljnost uporabe

Obenem pa opozarjajo, da je v predlogu zakona predvideno širjenje kroga uporabnikov z uvedbo obvezne namestitve aplikacije za posameznike, obolele za boleznijo COVID-19, ter posameznike, ki jim je bila odrejena karantena, v evropskem pravnem prostoru nedopustna. "Prostovoljna uporaba aplikacije je v skladu s priporočili Evropske komisije, Evropskega parlamenta, Evropskega odbora za varstvo podatkov in Informacijskega pooblaščenca predpogoj za skladnost z veljavnimi pravili s področja varstva osebnih podatkov. Z izjemo Poljske to temeljno načelo upoštevajo vse evropske države, ki so se odločile za uvedbo aplikacij za sledenje z namenom zajezitve koronavirusne bolezni," so dodali. 

Premalo natančno o zbiranju osebnih podatkov

Glede predlagane vsebine zakona ponovno opozarjajo, da je presoja izpolnjevanja pogojev nujnosti in sorazmernosti posega v pravici do zasebnosti in varstva osebnih podatkov mogoča le ob poznavanju tehničnih specifikacij aplikacije kot tudi z njo povezanih konkretnih podatkov o načinu in obsegu obdelave osebnih podatkov.

V predlogu tako pogrešajo odgovor na vprašanje, ali bo aplikacija shranjevala podatke na samih napravah, torej decentralizirano, ali pa je bila izbrana zasebnosti mnogo manj prijazna centralizirana hramba podatkov.

Kriminologi raziskovalci opozarjajo, da je treba poleg namena zbiranja osebnih podatkov, natančneje določiti tudi sledeče:

• upravljavca osebnih podatkov,
• obseg njihovega zbiranja,
• organe, ki do podatkov lahko dostopajo,
• roke hrambe
• ter izrecno prepovedati vsakršno obdelavo podatkov za namene, ki niso predvideni v 27. členu Zakona.

"Zakon, ki posega v temeljne pravice posameznikov, mora opredeliti časovna obdobja, v katerih bo opravljen ponovni premislek stroke in politike o tem, ali je ukrep še potreben za zasledovanje ciljev javnega zdravja. Vključitev takšne zakonske določbe bo zadostila temu vidiku načela sorazmernosti, ki terja, da je poseganje oblasti v pravni položaj državljanov nujno potrebno, primerno in najmanj intenzivno za doseganje ustavno dopustnih ciljev," dodajajo. 

Še bolj pa jih skrbi zavajajoča vsebina, ki določata, da je zagotovljena anonimnost uporabnikov aplikacije s tem, da je posameznim uporabnikom dodeljena naključna koda za enkratno uporabo: "Kljub temu, da se uporabnik ne identificira z uporabo osebnega imena, je namreč ta podatek zgolj nadomeščen s kodo, ki bi – podobno kot podatek o IP-naslovu posameznika – sicer otežila identifikacijo posameznika, ne bi pa je preprečila in s tem dosegla anonimizacije."

V sporočilu za javnost raziskovalci sklenejo, da vzpostavitvi mobilne aplikacije v osnovi ne nasprotujejo. "V razmerah, v katerih smo se znašli, dopuščamo in v primernem obsegu in obliki celo pozdravljamo možnost za kreativne tehnične rešitve, ki bi omogočile ohranitev pravic posameznikov, kot jih pojmujemo v evropskem pravnem prostoru. A če naj bodo takšne, morajo temeljiti na prostovoljni odločitvi vsakega posameznika ter decentraliziranem shranjevanju osebnih podatkov ob hkratni uvedbi ustreznih varovalk, ki bodo zagotovile visok standard varstva osebnih podatkov," so zapisali.