Stránka, na níž lidé žádají o příspěvek na dítě, posílá informace do USA, někdy včetně adres
Webový formulář ministerstva práce, skrze který mohou lidé žádat o pětitisícový příspěvek na dítě, odesílá informace o žadatelích zahraniční firmě mimo Evropskou unii, a to bez souhlasu.
EDIT: O den později, tedy 19. 8., ministerstvo formulář upravilo. Detaily najdete v článku zde.
Na začátku týdne spustilo ministerstvo práce a sociálních věcí pod vedením lidoveckého předsedy Mariana Jurečky formulář, prostřednictvím kterého mohou lidé žádat o jednorázový pětitisícový příspěvek na dítě.
Formulář pro dávky na bydlení posílal informace Googlu. Ministerstvo problém opravilo jen zčásti
Číst článek
Ve chvíli, kdy se žadatel do formuláře přihlásí, informaci o jeho návštěvě dostane i služba Sentry IO, která slouží programátorům k monitoringu toho, jak web funguje a zda na něm nedochází k chybám.
Firma sídlí v USA, kde má i své servery v datacentru společnosti Google. Mimo Evropskou unii tak dostávají informace, ze které IP adresy (identifikační číslo počítače v internetu – pozn. red.) a kdy byla žádost o příspěvek podaná.
„Myslím, že to už k dohledání osoby, minimálně v některých případech, vést může,“ vysvětluje advokát Jan Vobořil z organizace Iuridicum remedium, proč jde podle něj o osobní údaje. Odkazuje přitom na rozhodnutí Soudního dvora EU ve věci Breyer proti Německu.
Soukromí online
Omezit webové sledování může používání webového prohlížeče, který chrání soukromí, ideálně spolu s blokátorem reklamních systémů.
Trvalé bydliště
V případě, že pak na stránce dojde k nějaké chybě, nástroj Sentry automaticky odešle další balík informací, jehož součástí je i adresa trvalého bydliště. Na tu se totiž formulář hned při přihlášení „doptává“ dalšího serveru a nástroj ji tak zachytí. Podruhé si uloží, pokud ji žadatel ve formuláři jakkoli změní.
Na chybu server iROZHLAS.cz upozornil datový analytik Ondřej Kokeš, který ji ještě v neděli před oficiálním spuštěním webu oznámil ministerstvu. K její opravě ale až do vydání článku nedošlo.
Kvůli podobné chybě v minulosti unikla rodná čísla seniorů z rezervačního formuláře na očkování proti covidu.
Adresa žadatele je pak rovněž osobní údaj, který by se podle rozhodnutí Soudního dvora EU bez souhlasu neměl dostat na servery ve Spojených státech. Důvodem je, že tam se mu dostane menší ochrany než v Evropské unii, kde platí nařízení GDPR.
‚Čekáme na nový web.‘ Tuzemská ministerstva zaskočil zákon o cookies, pokutu ale nedostanou
Číst článek
Server iROZHLAS se proto snažil zjistit, proč ministerstvo informace americké firmě předává a zda jde o chybu, či úmysl. Tiskové oddělení resortu ale ani po několika dnech a urgencích neodpovědělo.
EDIT 17:20: Resort zareagoval po vydání článku. „Adresa je součástí URL, které však neobsahuje žádné další informace o uživateli. Tato obecná data odeslaná do Sentry IO neumožňují ztotožnit konkrétní osobu na konkrétní adrese,“ napsala tisková mluvčí Eva Davidová s tím, že „URL neobsahuje žádný osobní údaj, a tudíž na něj nelze aplikovat požadavky GDPR“.
V případě, že dojde k odeslání adresy trvalého bydliště, získané během přihlášení, nejde podle ministerstva rovněž o osobní údaj. Důvodem má podle mluvčí být, že seznam adres je v Česku veřejný.
Že odesílaný záznam neobsahuje žádné další informace o uživateli, ale není přesné: kromě IP adresy připojení k internetu zároveň říká, že daný uživatel na té určité adrese využil formulář s žádostí o dávku. To je podle Vobořila zásadní. O tom, co je osobní údaj, totiž často rozhoduje kontext, ve kterém se informace nachází.
Pověřenec pro ochranu osobních údajů ministerstva se dle vlastních slov situací zabývá, zatím ale bez konkrétního závěru.
Není to poprvé, kdy ministerstvo práce v rámci svých formulářů předávalo informace o žadatelích do zahraničí, server iROZHLAS.cz před měsícem informoval, že v případě dávky na bydlení některé informace skončily v systémech společnosti Google. Potíže se nevyhýbají ani jiným ministerstvům.
Server iROZHLAS.cz se proto prostřednictvím zákona o svobodném přístupu k informacím snažil zjistit, jak konkrétně ministerstvo využívá zahraniční reklamní systémy, úřad ale v zákonné lhůtě neodpověděl.
