'Ne gre za nikakršno sledenje, saj aplikacija nima dostopa do teh podatkov'

Aplikacija #OstaniZdrav, namenjena obveščanju o stikih z okuženimi z novim koronavirusom, bo do roka, ki se izteče v soboto, oddana v mobilni trgovini GooglePlay in AppStore, je na današnji vladni novinarski konferenci dejal državni sekretar na ministrstvu za javno upravo (MJU) Peter Geršak. Aplikacija že deluje, prilagojena je slovenskim uporabnikom in je v testiranju na MJU in Nacionalnem inštitutu za javno zdravje (NIJZ).

Po izkušnjah iz drugih držav, ki so za osnovo prav tako vzele Applov in Googlov sistem za obveščanje o izpostavljenosti okužbi, je pričakovati, da bo aplikacija na voljo za prenos na pametne telefone sredi oziroma v drugi polovici avgusta, je povedal Geršak.

Spomnil je, da se v soboto izteče pogodbeni rok za prilagoditev nemške aplikacije Corona-Warn-App na #OstaniZdrav aplikacijo, ki je namenjena uporabi v Sloveniji. Njen namen je, da se v primeru okužbe posameznika v čim večji meri in čim hitreje prekine verigo prenosa okužbe z novim koronavirusom.

Na ministrstvu za javno upravo in na Nacionalnem inštitutu za javno zdravje (NIJZ) opravljajo testiranja aplikacije. Ker gre za prilagoditev odprte kode, je treba izvesti natančne preglede njenega delovanja, funkcionalnosti in informacijske varnosti.

Težava, ki jo je imela nemška aplikacija in o kateri so pretekli teden poročali mediji, je po navedbah sekretarja v slovenski različici že odpravljena. "Vpliva na hitrost pregleda in odobritve primernosti aplikacije za objavo v AppStore in Google Play nimamo, smo pa ves čas v pripravljenosti, če bi bilo treba med pregledi zagotoviti še kakšno dodatno dokumentacijo oziroma pojasnilo," je povedal Geršak.

Ponovno je poudaril, da z aplikacijo ne gre za sledenje, saj aplikacija nima dostopa do lokacijskih podatkov, torej ne beleži geolokacije. Nima dostopa do imenika telefona oziroma do nikakršnih drugih podatkov na telefonu, iz katerih bi se lahko razbrala identiteta uporabnika.

"Aplikacija od vas ne zahteva ničesar"

Direktor podjetja RSteam Primož Cigoj je danes zagotovil, da bo aplikacija enostavna za uporabo in zanjo ne bo potrebnih kakšnih posebnih veščin. Ko si jo bo uporabnik naložil, mu bo v pozdravnem oknu ponudila tudi navodila, za njeno aktivacijo pa bo dovolj že klik na gumb. "Aplikacija od vas ne zahteva ničesar. Samo če ste okuženi, vtipkate desetmestno kodo, ki jo boste dobili od epidemiologa, pa še to je prostovoljno," je dejal Cigoj.

Aplikacija bo opozarjala na stanje tveganja, da je prišlo do okužbe, s tremi barvami: zelena bo predstavljala nizko tveganje, modra nepoznano stanje, ko se podatkovni ključi z drugimi telefoni in strežnikom še izmenjujejo, in rdeča povečano tveganje. Slednja bo torej opozorila na izpostavitev z uporabniki, ki so v svoj telefon vnesli podatek o tem, da so okuženi.

Tako Cigoj kot Geršak sta zagotovila, da je težava, ki jo je imela nemška aplikacija pri izmenjavi podatkov in o kateri so pretekli teden poročali mediji, v slovenski različici že odpravljena. "Vpliva na hitrost pregleda in odobritve primernosti aplikacije za objavo v AppStore in Google Play nimamo, smo pa ves čas v pripravljenosti, če bi bilo treba med pregledi zagotoviti še kakšno dodatno dokumentacijo oziroma pojasnilo," je povedal Geršak.

Ponovno je poudaril, da z aplikacijo ne gre za sledenje, saj aplikacija nima dostopa do lokacijskih podatkov, torej ne beleži geolokacije. Nima dostopa do imenika telefona oz. do nikakršnih drugih podatkov na telefonu, iz katerih bi se lahko razbrala identiteta uporabnika.

Informacijski pooblaščenec končnega blagoslova aplikaciji z vidika varovanja osebnih podatkov po Cigojevih besedah še ni dal, a težav ne pričakuje. Aplikacija trenutno deluje izključno v Sloveniji, je še dodal.

Uporaba aplikacije smiselna, ko smo še zdravi

Ob srečanju z drugim uporabnikom bosta pametna telefona med sabo samodejno izmenjala naključni oddajni kodi preko tehnologije bluetooth. Poleg naključne oddajne kode se na telefonu beleži še samo čas trajanja srečanja in oddaljenost med telefonoma. Ne beležita se niti lokacija srečanja niti ime uporabnika. Naključne oddajne kode se zaradi varnosti spreminjajo na vsakih deset minut, brišejo pa se po 14 dneh.

Geršak je še poudaril, da je uporaba prostovoljne aplikacije pomembna in smiselna, ko smo še zdravi. V primeru okužbe z novim koronavirusom pa lahko o tem, da smo okuženi, prostovoljno obvestimo uporabnike aplikacije, s katerimi smo se srečali. To se stori preko naključnih oddajnih kod, ki ne razkrivajo v nobenem primeru naše identitete. Aplikacija obveščenih uporabnikov pa bo na pametnem telefonu izračunala stopnjo tveganja okuženosti uporabnika in ga o tem obvestila.

Ko bo aplikacija na voljo, bo po navedbah Geršaka zaživel tudi klicni center, da se bodo lahko državljani dnevno pozanimali o delovanju aplikacije, prosili navodila oz. pomoč pri njeni namestitvi. Na portalu gov.si bo tudi posebna podstran z informacijami o aplikaciji.

Po nekaterih starejših raziskavah je aplikacija učinkovita, če jo uporablja okoli 60 odstotkov populacije. Po novi študiji MIT Technology Review pa so že pri 14-odstotni uporabi vidni pozitivni učinki, je povedal Geršak. Pričakuje pa, da bodo Slovenci ravnali odgovorno do sebe in drugih in bodo aplikacijo uporabljali v čim večji meri.

Informacijska pooblaščenka opozarja na neustrezne pravne podlage za aplikacijo covid-19

IP Mojca Prelesnik znova opozarja na neustrezne pravne podlage za delovanje aplikacije. Ministrstvo za javno upravo je izdelalo oceno učinka v zvezi z varstvom osebnih podatkov za aplikacijo, ki naj ne bi temeljila na sprejetem ZIUPDV. IP je v mnenju na predloženo oceno učinkov ponovno opozorila, da "resnih pomanjkljivosti zakona in tveganj, ki iz tega izvirajo za zakonito obdelavo osebnih podatkov, ni možno sanirati z oceno učinkov". "Ministrstvo ni zakonodajalec, ki bi s takim dokumentom lahko razveljavil ali zadržal uporabo zakonskega predpisa, ki ga je sprejel Državni zbor," je zapisala v sporočilu za javnost. 

Dodaja, da je že od začetka razprav opozarjala na težave z delovanjem aplikacije, a opozorila niso bila upoštevana, "kar bo v nadaljnjih fazah implementacije aplikacije pripeljalo do resnih težav, tako za naročnika aplikacije, kot tudi za MJU, NIJZ ter nadzorne organe (zlasti IP in inšpekcije), obenem pa je zato nastal velik povsem nepotreben časovni zamik." 

Ocene učinka so po njenih navedbah namenjene pravočasni identifikaciji in obvladovanju tveganj pri varstvu osebnih podatkov. Zato jih je v tovrstnih primerih smiselno izdelati pred sprejemom zakona in so gradivo, ki popravlja pomanjkljivosti predvidenih predpisov, utemeljuje potrebo po ali izkazuje prednosti določnih projektov ali obdelav osebnih podatkov.

Prelesnikova ves čas opozarja, da nejasnosti o tem, ali obstaja jasna in ustavno skladna pravna podlaga za obdelavo osebnih podatkov v zvezi z delovanjem aplikacije, pomenijo ključno težavo za vzpostavitev aplikacije in zakonito obdelavo podatkov uporabnikov predvsem od NIJZ. Slednji namreč glede aplikacije v interventnem zakonu sploh ni naveden kot upravljavec podatkov.

Pravno nejasna je po oceni informacijske pooblaščenke tudi izjava o neuporabi interventnega zakona. "Vprašanje je, kako bo v praksi dolžan ravnati okuženi, če predstavnik vlade javno pove, da je uporaba prostovoljna, obenem pa je sprejet zakon, ki določa, da si mora kot okuženi obvezno namestiti aplikacijo in vnesti kodo," je pojasnila.

Četudi bi šlo v celoti zgolj za prostovoljno aplikacijo, je za obdelavo osebnih podatkov s strani več javnih organov preko "državne" aplikacije po opozorilih informacijske pooblaščenke potrebna pravna podlaga v zakonu.