Výpis z rejstříku trestů dodá od prosince i banka

Poslaneckou sněmovnou nedávno prošla nenápadná novela zákona o informačních systémech veřejné správy. Svůj podpis před několika dny připojil i prezident republiky. Proč stojí za to se jí zabývat? Není to jen další z řady nesrozumitelných technických norem, které nám společně přinášejí dobrodiní e-governmentu?

Asi nejzajímavější změnou, kterou novela přináší, je rozšíření počtu kontaktních míst veřejné správy, neboli takzvaných Czech Pointů. K bezmála sedmi tisícům od prosince letošního roku přibudou další.

Kromě pošt, obecních úřadů nebo třeba pracovišť Hospodářské komory budou moci Czech Pointy provozovat za poplatek také banky a stavební spořitelny.

Terminály budou v kavárně

Z nepříliš obsáhlé diskuse, která provázela projednávání novely v Poslanecké sněmovně, vyplynulo, že oprávnění bank a stavebních spořitelen by mělo být pouze prvním krokem k tomu, aby se kontaktními místy Czech Point mohly stát i další soukromé subjekty.

Jde tedy o jakousi zkušební verzí předtím, než přijde další novela a najede se takříkajíc na plný provoz.

Časem se možná dočkáme toho, že Czech Point bude v naší oblíbené kavárně nebo samoobsluze. Tato představa jistě vypadá lákavě, čím hustší bude síť, tím větší bude přece komfort uživatelů. V čem je tedy problém?

Především v nedostatečném zabezpečení údajů, které lze prostřednictvím Czech Pointů získat, v kombinaci s privatizací státní moci. Ta už nebude přenášena pouze na státem kontrolované subjekty, jako je pošta a hospodářská komora, nebo specifická právnická povolání, jako jsou notáři.

Dostanou ji do rukou zcela soukromé subjekty, kterými banky nebo stavební spořitelny jsou.

Registrů přibývá

Bohužel s plánovaným rozšiřováním kontaktních místa nešla ruku v ruce analýza rizik pro bezpečnost osobních údajů ani analýza dokládající potřebnost a vhodnost těchto změn.

Prostřednictvím Czech Pointů totiž dnes nezískáváme pouze aktuální výpisy z veřejných rejstříků, ať už jde třeba o obchodní rejstřík nebo katastr nemovitostí, ale i z rejstříků neveřejných, jako je třeba bodový registr řidičů nebo rejstřík trestů.

Za pozornost stojí i skutečnost, že vedle přístupu do registrů budou moci úředníci bank a spořítelen provádět stejně jako jiná kontaktní místa také konverzi dokumentů.

Proč pak nerozšířit jejich pravomoce také na ověřování podpisů nebo listin? V čem je konverze odlišná?

Je důležité připomenout, že v budoucnu budou do systému Czech Point zapojeny i další informační kanály, včetně chystaných základních registrů.

Podle plánů ministersva vnitra mají být čtyři takzvané základní registry spuštěny v pilotním provozu v červenci roku 2012.

Jejich smyslem je sjednotit a zjednodušit práci úřadů a zajistit aktuálnost dat, s nimiž úředníci pracují.

Například neveřejný registr obyvatel sjednotí údaje z dosavadních evidencí obyvatel, občanských průkazů a cestovních dokladů a z informačního systému, který eviduje cizince na našem území.

Kromě zmíněného registru obyvatel vznikne také registr práv a povinností jednotlivých orgánů státní správy, registr osob (firem a úřadů) a registr územní identifikace (adres a nemovitostí). Budou vzájemně propojeny a na ně pak budou napojeny další registry orgánů státní správy, které z nich budou čerpat údaje.

Snadný přístup k údajům

Vraťme se ale k otázce přístupu do neveřejných rejstříků státní správy. Pokud zůstaneme například u výpisu z rejstříku trestů, tak celý proces vyžádání výpisu probíhá zhruba tak, že občan prokáže svoji totožnost občanským průkazem, vyplní papírovou žádost o výpis, příslušný úředník si přes systém Czech Point vyžádá konkrétní výpis a předá ho občanovi.

Papírovou žádost archivuje pro případ kontroly.

Pro vyžádání konkrétního výpisu tedy postačuje skutečnost, že se systémem pracuje oprávněný úředník obecního úřadu, pošty, v budoucnu banky nebo spořitelny a jednou třeba číšník kavárny či prodavačka samoobsluhy.

Systém nepožaduje žádný doklad, že skutečně existuje oprávněný člověk, který o výpis žádá, tedy fyzicky stojí v místnosti a převezme výpis.

Představme si tedy situaci, že jste oprávněným pracovníkem banky, pošty nebo obecního úřadu a chcete si zjistit trestní minulost svého souseda, který se právě přistěhoval, nebo nového kolegy z práce.

Není nic jednoduššího, než si sednout za počítač, tvářit se, že výpis chcete na základě pověření svého souseda a během krátké doby ho držíte v ruce. Jediným problémem bude chybějící papírová žádost, kterou máte archivovat pro případ kontroly.

Vyhneme se únikům dat?

Kritici jistě mohou namítnout, že riziko zneužití tu přece existuje již dnes, když se systémem Czech Point mohou pracovat tisíce špatně zaplacených zaměstnanců obecních úřadů nebo pošt.

V tom budou mít jistě pravdu. Zmíněný návrh zákona skutečně problém v tomto smyslu nevytváří, pouze prohlubuje. Lze argumentovat i tak, že přes problematické zabezpečení k žádným únikům dat nedošlo. Dozvěděli bychom se ale o takovém zneužití systému?

V nedávné době zacloumal českou veřejností případ varnsdorfského policisty, který si neoprávněně vyžádal výpisy provozních a lokalizačních údajů desítek osob včetně předsedy Ústavního soudu. Toto opakované a dlouhodobé zneužívání pravomocí jedním policistou nebylo odhaleno ani soudem, ani Inspekcí Policie ČR při první kontrole. Odhalila ho až druhá hloubková kontrola.

Kontrolu těch, kteří pracují se systémem Czech Point, by podle navrhované úpravy mělo provádět právě ministerstvo vnitra. Myslet si však, že hrozba podobné kontroly může působit preventivně, je-li v současné době vydáváno každý rok téměř milion výpisů jen z rejstříku trestů, je iluzorní.

Bankomaty místo úředníků

Zabezpečení by mělo být, pokud možno, založeno na takových opatřeních, která neoprávněný přístup k údajům technicky znemožní nebo riziko významně sníží.

Novela se ale zabezpečením dat vůbec nezabývá, přestože je jednoduché a původní koncepce e-governmentu s ním počítala.

Jaké by tedy mohlo být řešení? Již řadu let se připravuje zavedení elektronických občanských průkazů, se zaváděním se mělo začít příští rok.

Princip by měl být jednoduchý a podobný dnešním platebním kartám. Identifikace a autentizace držitele karty by byla provedena kombinací údajů z občanského průkazu, včetně jeho čísla s jedinečným číslem PIN.

Czech Point by potom mohl být jakýmsi lepším bankomatem, kde občan automatizovaně komunikuje přímo s úřadem. Úředník, klidně i bankovní, by pak plnil pouze funkci jakéhosi rádce při obsluze takového zařízení, které by bylo v majetku státu a nikoli zprostředkovatele kontaktu.

Před nedávnem ale ministerstvo vnitra přišlo s novelou několika zákonů, které navrhují odsunutí zavádění nových elektronických občanských průkazů o dva roky, tedy na rok 2014 z důvodů úsporných opatření. Minimálně do té doby tedy nebudou naše osobní údaje v bezpečí.

Jan Vobořil
právník luridicum Remedium