Ministerstvo zdravotnictví v internetovém registru smluv zveřejnilo smlouvy se společností Keboola, které upravují vztah státu a iniciativy COVID19CZ při přípravě tzv. chytré karantény a aplikace eRouška.
Základní smlouvu o spolupráci na zřízení trasovacího call centra Keboola s ministerstvem uzavřela 19. března s platností na šest měsíců. V rejstříku je uložen původní březnový dokument, ale i nová, upravená verze smlouvy, podepsaná 20. dubna.
Podle informací, které na Twitteru napsal Petr Šimeček z Kebooly, nová verze vznikla na základě připomínek sněmovní kontrolní komise a Úřadu pro ochranu osobních údajů (ÚOOÚ).
Zveřejní novou verzi, která se připravuje (na základě interakce s kontrolní komisi PSP a UOOÚ)
— Petr Simecek (@PetrSimecek) April 16, 2020
Verze se liší v řadě věcí. Něco jsou detaily: nová verze například infikovaného člověka označuje slovem „Nakažený“, ve staré to byl „Pacient“. Obdobně lidé, kteří se s infikovaným setkali „způsobem, u kterého existuje významná pravděpodobnost nákazy“, jsou nově nazývání „Potenciálními nakaženými“, a ne „Potenciálními pacienty“.
Podle nové verze také mají hygienici Keboole, která call centrum provozuje, předávat kromě jména a čísla nakaženého člověka také data narození.
Výrazně je v nové verzi přepracovaná pasáž o zpracování osobních údajů, které se nově místo nařízení GDPR odkazuje na české zákony a zahrnuje povinnost poučit infikovaného o zpracování jeho osobních údajů ministerstvem.
Při úspěšném kontaktování se pracovník Call centra příslušného zkontaktovaného Nakaženého dotáže, zda:
(i) Nakažený poskytuje svůj souhlas podle § 91 odst. 2 zákona č. 127/2005 Sb. o elektronických komunikacích a v souladu s Přílohou 1 k tomu, aby každý Mobilní operátor, jehož služby příslušný Nakažený využívá, zpracoval a předal MZ vybrané lokalizační údaje vymezené v Příloze 4 (Lokalizační údaje od Operátora) a zda
(ii) Nakažený poskytuje svůj souhlas podle § 38 zákona č. 21/1992 Sb. o bankách a v souladu s Přílohou 2 k tomu, aby každá banka, jejíž služby příslušný Nakažený využívá (Banka), zpracovala a předala MZ vybrané informace, které umožňují lokalizovat pohyb Nakaženého během období tří týdnů před telefonickým kontaktem Nakaženého s Call centrem (Infekční období). Rozsah údajů je podrobně upraven v Příloze 4 (Lokalizační údaje od Banky a společně s Lokalizačními údaji od Mobilního operátora dále jako Lokalizační údaje). Pokud Nakažený souhlasí, požádá jej pracovník Call centra o sdělení posledních 4 čísel platební karty či platebních karet, u nichž budou zjišťovány lokace použití.
Smlouva nově obsahuje také pravidla pro možné použití dat o kontaktech z aplikace eRouška, pokud ji má uživatel nainstalovanou.
Pracovník Call centra se Nakaženého dále zeptá, zda Nakažený používá aplikaci eRouška (eRouška) a pokud ano, zda je poskytne dat z eRoušky ke zpracování. Pokud Nakažený data poskytne a přes eRoušku zvolí možnost „odeslat data“, pracovník Call centra tato data vyžádá. Konkrétní postup se řídí samostatnou smlouvou o spolupráci ohledně aplikace eRouška.
Aplikace eRouška, která přes Bluetooth sbírá údaje o kontaktech v okolí uživatelova smartphonu, v době podpisu původní verze smlouvy ještě neexistovala.
Nová verze smlouvy upravuje i nahrávání telefonátů s infikovanými nebo potenciálně nakaženými lidmi – pořizují se, aby bylo možné doložit, že člověk se sběrem dat udělil souhlas, a ukládat se mohou až tři roky. Nezměněna zůstala pasáž o tom, že Keboola všechny služby poskytuje bezplatně a bez nároku na odměnu (zahrnuta je maximálně úhrada nákladů třetích stran). Stejná je i pasáž o omezení odpovědnosti Kebooly za případné škody na 100 tisíc Kč nebo o poskytnutí bezúplatné licence k aplikaci call centra.
Zcela přepracovaná je oproti původní verzi část o zpracovávání osobních údajů, které nově zahrnuje informace původně uvedené v samostatné příloze.
V nové verzi je například uvedeno, co má Keboola se sbíranými daty udělat po ukončení spolupráce. Vzhledem k tomu, že údaje od operátorů, bank či z eRoušky se mají mazat do šesti hodin od jejich získání, jde nejspíš o kontaktní údaje infikovaných.
Po ukončení spolupráce podle této smlouvy Keboola na základě pokynu MZ osobní údaje předá Orgánům v souladu s interními řídícími předpisy MZ pro předávání dat a následně je vymaže, ledaže má zákonnou povinnost takové údaje uchovat.
Smlouva upravuje také například to, jak má Keboola postupovat v případě úniku dat, jak má postupovat při stížnostech či žádostech o výmaz a blokování údajů, anebo jak má s daty nakládat při využívání cloudových služeb Amazon Web Services:
Keboola pracuje s údaji jen ve státech EHP s výjimkou předání do USA v rámci využití (3) _- DocuSign Envelope ID: dalšího zpracovatele Amazon Web Services EMEA SARL, kdy Keboola nastaví pro uložení dat region v rámci EHP a šifrování ukládaných dat, ale další zpracovatel je oprávněn ve výjimečných případech předat data do USA a s výjimkou předání do USA dalším zpracovatelem GoodData s.r.o. a GoodData Corporation. Keboola je pro tento případ povinna uzavřít s dalším zpracovatelem standardní smluvní doložky schválené Evropskou komisí jako nástroj dostatečné ochrany při předání údajů do států, které neposkytují dostatečnou ochranu osobním údajům, zároveň je další zpracovatel účastníkem v programu Privacy Shield.
Ve smlouvě je také podrobný technický popis toho, jakým způsobem a jaká data Keboola od mobilních operátorů a bank získává, jak s nimi pracuje či kam je odesílá.
Smlouva také obsahuje povinné formulace, které mají operátoři call centra používat při hovorech s nakaženými. Tato se například týká předávání bankovních dat:
Souhlasíte s tím, aby banka, u které máte platební kartu, poskytla Ministerstvu zdravotnictví informace o tom, u jakých obchodníků, bankomatů a v jakých místech jste kartu používal za uplynulé 3 týdny? Tyto údaje jsou chráněné bankovním tajemstvím. Souhlas bude použit jednorázově a poskytnutá data budou do 6 hodin od jejich předání smazána. Souhlas je archivován po dobu 3 let od jeho udělení. Více informací o tomto zpracováni najdete na webu Vaší banky.
Oproti původní verzi se v nové variantě rozrostl i seznam subdodavatelů, schválených ministerstvem zdravotnictví. Původně na něm byly pouze společnosti Daktela (poskytovatel infrastruktury call centra) a CleverMaps (poskytovatel analytického nástroje pro práci s údaji o pohybu), nově přibyly CleverAnalytics, DataSentic, GoodData (poskytovatel nástrojů pro analýzu dat) či zmíněný Amazon Web Services (jako poskytovatel cloudového úložiště).
eRouška
V registru smluv je nově také smlouva o spolupráci, kterou ministerstvo s Keboolou 8. dubna 2020 uzavřelo o mobilní aplikaci eRouška. Stejně jako u výše popsané smlouvy o call centru je i tato spolupráce bezplatná.
Dokument popisuje, jak eRouška funguje: uživatel při instalaci zadá své telefonní číslo a aplikace pak přes Bluetooth sbírá identifikátory telefonů dalších uživatelů, kteří mají aplikaci nainstalovanou.
Pracovníci call centra pak mohou nakaženého uživatele o zpřístupnění těchto dat požádat. „Pokud je k tomu Pacient ochoten a přes Aplikaci zvolí možnost ‚odeslat data‘, pak si pracovník call centra může tato data vyžádat pomoci telefonního čísla zaregistrovaného v Aplikaci pro daného Pacienta,“ popisuje smlouva.
Operátor call centra pak dostane údaje o kontaktech telefonu nakaženého s telefony dalších uživatelů. Získá telefonní čísla, datum a čas kontaktu a údaj o síle Bluetooth signálu. „Takto předaná data se ze serveru Aplikace smažou po 6 hodinách od odeslání,“ stanoví smlouva.
ČLÁNKY DO MAILU