Kategorie: Dlouhodobý slídil

Vítěz: Policie ČR za plošné sledování řidičů systémem Automatická kontrola vozidel

Policie ČR již minimálně od roku 2001 provozuje systém Automatická kontrola vozidel. Ten funguje tak, že na vybraných místech plošně zaznamenává průjezdy všech vozidel. V příslušných databázích jsou uchovávány údaje o automaticky rozpoznané SPZ vozidla, místu a datu průjezdu, ale i fotografie vozidla s řidičem. Uchovávání těchto dat se přitom neváže na žádný přestupek nebo jiné nezákonné jednání řidiče. Délka uchovávání se liší podle jednotlivých krajů, kde jsou systémy provozovány. U záznamů o nezájmových vozidlech se jedná až o rok.

Jak vyplynulo z informací, které Policie ČR poskytla IuRe, tak systém AKV je v současnosti provozován v Praze (106 míst), Ústí nad Labem (44), Ostravě (17), Plzeňském (87) a Karlovarském kraji (6). Systém funguje tak, že projíždějící vozidlo je vyfoceno, zároveň je v databázi automaticky rozpoznána jeho SPZ, je zaznamenán čas a místo průjezdu. Tyto údaje jsou pak plošně uchovávány. Z poskytnutých interních pokynů policie je zřejmé, že fotografie vozu se uchovávají 2 měsíce v Praze, 3 měsíce v Moravskoslezském a 6 měsíců v Ústeckém kraji. Zbytek záznamu o průjezdu vozidla se pak uchovává půl roku v Praze a v Moravskoslezském kraji a rok v Ústeckém kraji. To vše platí pro případy, kdy se nejedná o zájmová vozidla, která jsou třeba hledána v souvislosti s nějakým trestným činem, ani nejde o případy, kdy by se řidič dopustil nějakého přestupku v dopravě. Údaje jsou uchovávány o každém vozidle, které kamery zaznamenají, bez vazby na konkrétní účel. Databáze je navíc o to rizikovější, že pomocí automaticky rozpoznané SPZ je možné jednoduše dohledat měsíce zpětně pohyb konkrétního automobilu.
Sporné je už samotné oprávnění policie vytvářet podobné databáze a uchovávat v nich až rok údaje bez vazby na nějaký jasně daný účel. Policie má sice v souladu s § 62 zákona o policii právo pořizovat záznamy osob a věcí nacházejících se na veřejných prostranstvích, pouze ale v případě, že je to nezbytné pro plnění jejích úkolů. Podobně by se zásadou nezbytnosti mělo řídit i uchovávání takových údajů. Výklad, že podobné databáze plošně shromažďující data o lidech, kteří se ničeho nedopustili, lze opřít o toto ustanovení, je nebezpečný. Podobným způsobem by potom šlo odůvodnit v podstatě jakékoli plošné sledování lidí a následné uchovávání dat v databázích po jakoukoli dobu, protože vždy existuje šance, že se data budou v budoucnu hodit.

Pochyby vyvolávají i nastavené pravidla pro uchovávání záznamů. Proč například v Praze stačí fotografii vozidla uchovávat dva měsíce, zatímco v Ústí nad Labem půl roku? Rozdílné doby uchovávání dávají tušit, že otázkou přiměřenosti zásahu do soukromí se policie vůbec nezabývá.

Zdroj:
http://hlidacipes.org/blik-a-maji-vas-policie-foti-kazdeho-kdo-projede-k…
http://www.slidilove.cz/content/policie-plosne-zaznamenava-pohyb-aut-fot…

Kategorie: Firemní slídil

Vítěz: Mattel za interaktivní panenku Hello Barbie

Mattel uvedl na trh elektronickou interaktivní panenku Barbie, prostřednictvím které získává a centrálně analyzuje hlasové projevy dětských uživatelů. Výsledky analýzy jsou také namátkově kontrolovány lidskými operátory s cílem mj. ochránit práva a majetek provozovatele. Zda lze takový nástroj vůbec udržet na uzdě, jasně ukazuje už úvodní deklarace bezpečnostní politiky: „We may change this Policy from time to time.“ První verze hračky navíc trpí slabinami, díky kterým mohou počítačové okruhy její umělé inteligence ovládnout hackeři.

Na první pohled se jedná o zajímavou hračku, která poslouchá, co jí dítě říká, rozumí tomu a dokonce i smysluplně odpovídá. Málokteré děcko však asi do důsledků pochopí, že místo své panenky si povídá s vykalkulovanou umělou inteligencí ovládanou komerční společností ToyTalk, která pro Mattel hračku provozuje. Nahrávky dětského hlasu putují internetem na server, kde probíhá rozpoznání řeči a analýza mluveného projevu. Podle zjištěného obsahu a svých interních pravidel stroje ToyTalk následně sestaví odpověď, kterou panenka obdrží a přehraje. Konverzace utěšeně pokračuje, dokud to dítě baví. Centrální počítač přitom na pozadí neustále rozšiřuje a zpřesňuje profil svého uživatele s ohledem na jeho zájmy, emoce a v neposlední řadě hlasový model mající nutně povahu biometrických údajů.

Zveřejněná bezpečnostní politika je velmi vágní a mimo jiné jasně přiznává namátkovou kontrolu konverzace ze strany lidských operátorů. Vytěžená data také mohou sloužit k ochraně společnosti ToyTalk a jsou chápána jako její aktiva. Mattel ve své verzi politiky navíc slibuje hlášení podezřelých situací příslušným státním orgánům. Podmínky se navíc mohou „čas od času“ změnit. Velkými bratry se mohou stát rovněž sami členové domácnosti, kteří mají přímý přístup k hlasovým nahrávkám. Tento nepopiratelný zásah do soukromí naivního dítěte lze snadno zneužít k eskalaci rodinných sporů všeho druhu.

Dvě nezávislé bezpečnostní analýzy k tomu všemu našly na počítačovém systému hračky řadu významných zranitelností. Sledování podle zabudované Wi-Fi je přitom to nejmenší. Reportována byla i možnost ovládnout hlasové obvody panenky útočníkem, který si s bezpečnostní politikou nebude už vůbec dělat starosti. Oblíbená hračka by pak mohla dítěti naservírovat třeba: „Pojď si hrát s mým kamarádem. Čeká na nás venku…“

Zdroj:
https://www.toytalk.com/hellobarbie/privacy/
http://hellobarbiefaq.mattel.com/wp-content/uploads/2015/08/hellobarbie-…
http://www.nbcchicago.com/investigations/WEB-10p-pkg-Surveillance-Toy_Le…
https://bluebox.com/hello-barbie-app-hello-security-issues/

Kategorie: Úřední slídil

Vítěz: Ministerstvo financí za netransparentní slídění ve zdravotnických údajích

Ministerstvo financí v roce 2015 slídilo v soukromí hned na několika frontách. Vedle známých případů elektronické evidence tržeb nebo kontrolních hlášení k DPH, kde se pod ministerský drobnohled dostávají podnikatelé, šlo i o oblast lidského zdraví. Podle schválených novel zákonů upravujících činnost zdravotních pojišťoven (zákon č. 200/2015 Sb.) by pojišťovny měly právě ministerstvu financí předávat údaje ze svých informačních systémů. Ani na tento zákon ale ministerstvo nečekalo a údaje o milionech zdravotních úkonů za pět let si s odkazem na kontrolu hospodaření pojišťoven za podivných okolností vyžádalo již dříve a tyto bez písemné smlouvy poskytlo soukromé společnosti k analýze.
V uvedených novelách zákona o Všeobecné zdravotní pojišťovně a zákona o resortních, oborových, podnikových a dalších zdravotních pojišťovnách si ministerstvo financí prosadilo zavedení povinnosti zdravotních pojišťoven ministerstvu financí předávat údaje ze svých informačních systémů, v nichž jsou zpracovávány citlivé osobní údaje o každém proplaceném zdravotním úkonu. Zákon přitom neříká, že by měly být předávány pouze údaje, které nelze vztáhnout k jednotlivým pacientům. Mlčí o tom i důvodová zpráva nebo zhodnocení dopadů regulace na ochranu osobních údajů.

Již před účinností této novely, v létě 2014 si Ministerstvo financí pod záminkou provádění kontroly hospodaření vyžádalo od VZP a resortních zdravotních pojišťoven předání údajů o jednotlivých případech proplácení zdravotní péče z let 2009-2013 (databáze obsahovala cca 9,4 mil. údajů o hospitalizacích, přes 100 mil. dokladů a cca 500 mil. kódů výkonů, léků a materiálů). Bez podepsané smlouvy (ta byla podepsána poté, co se o věc začala zajímat média) udělilo ministerstvo plnou moc k převzetí databáze soukromé společnosti podnikající v oboru zdravotnictví SW Lab, s.r.o., která data převzala a vytvořila pro ministerstvo analýzu ekonomické efektivity zdravotnictví.

To, v jaké podobě byla data soukromé firmě předána, je otázkou. Ministerstvo financí tvrdí, že data byla anonymizována. Samotná analýza ale mluví o využití souborů KDAVKA, což jsou soubory předávané pojišťovnám zdravotnickými zařízeními obsahující identifikaci pacientů. O tom, že by data byla anonymizována, se analýza nezmiňuje. I pokud by ale byla před předáním odstraněna jména či rodná čísla, tak z kombinací poskytnutých údajů o charakteru, místě a čase realizované zdravotní služby a případně z propojitelnosti údajů o jednotlivých případech poskytnutí péče konkrétnímu pacientovi lze minimálně v některých případech identitu člověka dohledat. Toho si zjevně bylo vědomo i ministerstvo financí, které v dodatečně podepsané smlouvě zavázalo SW Lab, aby při nakládání s osobními daty při provádění analýzy postupovala v souladu se zákonem o ochraně osobních údajů.

Vedle otázek, co vůbec opravňovalo ministerstvo financí tato data od pojišťoven vyžadovat a jak se vůbec mohla tato citlivá data o individuálních případech poskytnutí zdravotní péče dostat za asistence ministerstva financí bez písemné smlouvy a zákonného zmocnění do rukou soukromé společnosti, je nutné upozornit i na využitelnost těchto údajů v rámci konkurenčního boje v rovině poskytování zdravotních služeb a znovu poukázat na konflikt zájmů ministra financí a podnikatele v oblasti zdravotnictví v jedné osobě.

Zdroje:
http://www.zdravotnickydenik.cz/2015/03/trapnosti-ministerstva-financi-a…
http://hlidacipes.org/uhrady-vzp-tajne-rika-babisovo-ministerstvo-pritom…
http://www.mfcr.cz/cs/aktualne/tiskove-zpravy/2015/mf-vytvorilo-analyzu-…

Kategorie: Výrok Velkého bratra

Vítěz: Ministr vnitra Milan Chovanec za výroky o identifikování uživatelů internetu

„Kdybych teď řekl, že bych chtěl, aby každý uživatel internetu byl identifikován, tak se na mě vrhnou všichni. Ale podle mě nastala doba k debatě, jak se tímto směrem posunout,“ řekl ministr vnitra Chovanec v článku „Chovanec by internetu rád nasadil obojek“, Lidové noviny text vydaly letos 8. ledna 2016 a byl reakcí na kauzu prolomení e-mailové schránky premiéra Bohuslava Sobotky a zveřejnění jeho soukromé komunikace serverem White Media.
O den později pak Lidové noviny přinesly s Chovancem rozhovor, v němž ministr myšlenku dále rozvádí: „Přichází doba, kdy si lidé musí uvědomit, že cosi psát na webu, e-mailem, zkrátka na síti, že i tím se mohou dopouštět trestné činnosti. Že nepravda, která nese znaky trestného činu, může být zájmem policie. A ti lidé za ni mohou být souzeni a odsouzeni. Ať je to poplašná zpráva, forma xenofobie, nebo něco podobného. Já si nemyslím, že je čas výrazně omezovat internet. Myslím, že nastává doba, kdy lidé budou identifikováni s tím, co říkají. A co dělají na internetu … Myslím, že ani ti, kdo plédují za svobodu internetu, nechtějí, aby to bylo rejdiště zločinů a semeniště různých hnutí, která chtějí zlo. A věřím, že i s ochránci svobody internetu najdeme společnou řeč.“

S ochránci svobody internetu ministr společnou řeč nenašel. Naopak. Kritizují Chovancem vedený resort, že za neschopnost či nemožnost postihnout konkrétní činy malých skupin hodlá plošně postihnout všechny uživatele internetu. Omezení svobody formou jakékoli podoby de-anonymizace nebo povinné registrace, ke které chce ministr vnitra posunout veřejnou debatu, považuje za krok směrem k totalitním režimům například profesní Sdružení pro internetový rozvoj.

Chovancovy úvahy vykazují i rysy nepochopení, jak zločin v kyberprostoru funguje, a do jaké míry lze vůbec kontrolovat identitu uživatelů internetu, což je u ministra vnitra zarážející. “Regulace by se, jak už to tak bývá, dotkla pouze domácích uživatelů, nikoliv skutečných teroristů. Ti by naopak ministru Chovancovi psali anonymní děkovné dopisy, že jim tímhle nástrojem umožnil získat další identifikační data českých uživatelů internetu,” varuje předseda výkonné rady SPIRu Simkanič. Publicista Petr Koubský v pořadu Českého rozhlasu Online plus k otázce deanonymizace uvedl: „Taková věc je částečně realizovatelná ve vysloveně totalitních režimech, které dokáží uplatnit naprostou kontrolu nad telekomunikacemi na svém území.“

Uvedené výroky ministra Chovance by snad šlo přejít jako nedomyšlenou reakci na neschopnost policie zabránit dalšímu zveřejňování premiérových e-mailů, pokud by ovšem nebyly minulý rok činěny kroky k dalšímu rozšíření plošného sledování uživatelů internetu. Konkrétně jde o návrh vzešlý od Policie ČR na rozšíření uchovávání provozních a lokalizačních údajů (tzv. data retention), který se promítl do novely vyhlášky ministerstva průmyslu a obchodu. Nově by se měly u služeb přístupu k internetu uchovávat i „adresa IP a číslo portu zařízení, ke kterému bylo přistoupeno“. To by v některých případech fakticky znamenalo, že by byly zjistitelné i konkrétní webové stránky, na něž bylo přistupováno a tím by se fakticky odhalil i obsah komunikace.

Zdroje:
http://byznys.lidovky.cz/chovanec-by-internetu-rad-nasadil-obojek-fd9-/m…
http://hlidacipes.org/rejdiste-zlocincu-a-semeniste-zla-chovanec-vyhlasi…
http://prehravac.rozhlas.cz/audio/3550340

Kategorie: Pozitivní cena za ochranu soukromí

Vítěz: Max Schrems za zrušení principu Safe Harbor při předávání osobních údajů z EU do USA

Na základě podnětu rakouského právníka a aktivisty Maxe Schremse zrušil Soudní dvůr EU platnost rozhodnutí Evropské komise z roku 2000, podle kterého mohly firmy z USA při nakládání s osobními daty Evropanů postupovat podle obecné regulace nazývané „Safe Harbour“. Tato regulace stanovila, že firmy z USA (jako např. Facebook) nejsou při zpracování těchto údajů povinny postupovat podle národního práva členských zemí, ale stačí dodržovat obecná pravidla stanovená Evropskou komisí, která vycházejí z obecného předpokladu, že USA je zemi, která chrání osobní data uživatelů dostatečně, a tedy je bezpečné do ní tyto údaje předávat.

Max Schrems navázal na odhalení Edwarda Snowdena, který poukázal na plošné sledování komunikace ze strany zpravodajských služeb a na spolupráci velkých amerických společností podnikajících v oboru ICT s těmito zpravodajskými službami. V roce 2013 podal Schrems stížnost irskému komisaři pro ochranu osobních údajů, ve které se domáhal zákazu předávání jeho osobních dat zpracovávaných společností Facebook do USA.
Kromě známých kauz o sledování uživatelů Internetu argumentoval Schrems zejména skutečností, že USA problematiku ochrany soukromí regulují zcela odlišně, navíc na území USA je poskytována obvykle kvalitativně nižší míra ochrany soukromí cizím občanům, než občanům USA. Irský komisař Schremsovu stížnost zamítl jako nedůvodnou, a to s tím, že Evropská komise ve svých předchozích rozhodnutích jasně deklarovala, že USA chrání osobní údaje uživatelů Internetu dostatečně, a národní úřady nevykonávají v této oblasti působnost. Schrems s takovým rozhodnutím nesouhlasil, odvolal se k irskému Vrchnímu soudu, který případ posunul k Soudnímu dvoru EU.

Závěr Soudního dvora EU z října 2015 byl jednoznačný. Soud se po věcné stránce nezabýval otázkou konkrétního standardu zabezpečení údajů v USA, nicméně konstatoval, že i Evropská komise ve svých předchozích sděleních jasně deklarovala, že důvěra v takové zpracování ze strany USA byla silně narušena. Zároveň zrušil platnost předchozího rozhodnutí Evropské komise z roku 2000, podle kterého mohly firmy z USA při nakládání s osobními daty Evropanů postupovat podle obecné regulace nazývané „Safe Harbour“, nikoliv tedy podle národní legislativy členských zemí. Soud toto rozhodnutí odůvodnil mimo jiné i tím, že evropští uživatelé neměli kvůli tomuto rozhodnutí Evropské komise možnost se efektivně bránit v případě, že jejich osobní údaje byly zneužity.

Důsledkem tohoto rozhodnutí tak je především skutečnost, že národní úřady pro ochrany dat získaly jasnou kompetenci ve vztahu k předávání těchto osobních údajů do USA. Evropští uživatelé tak získali silný procesní nástroj možného dalšího postupu, a to včetně možnosti obracet se na své národní orgány dozoru. V současnosti jsou vyjednávána nová pravidla pro předávání dat mezi EU a USA, která by měla více ochránit občany členských zemí.

Zdroje:
http://www.lupa.cz/clanky/schrems-vs-facebook-1-0-konec-bezpecneho-prist…
http://curia.europa.eu/jcms/upload/docs/application/pdf/2015-10/cp150117…

Porota roku 2015:

Jan Cibulka – datový novinář, Český rozhlas
Robert Malecký – redaktor, Hlídacipes.org
Ján Matejka – advokát, člen rozkladové komise ÚOOÚ
Radim Polčák – vedoucí Ústavu práva a technologií Masarykovy univerzity v Brně
Tereza Reichová – dokumentaristka
Tomáš Rosa – expert matematické ochrany informací
Jan Vobořil – výkonný ředitel IuRe a advokát
Václav Vlk – advokát, Moreno Vlk & Asociados
Lukáš Zelený – vedoucí právní poradny časopisu dTest