Приложението ViruSafe и защита на личните данни

Преди няколко седмици бе оповестено стартирането на приложението за смартфони ViruSafe, което бе дарено от софтуерна компания на Министерство на здравеопазването като помощ в борбата срещу Коронавируса. Приложението е безплатно и според платформата Google Play e свалено над 10000 пъти досега. По-долу ще направим кратък преглед на функционалността на приложението, както и някои опасения, свързани с обработване на личните данни.

С какво е полезно приложението и какво могат да правят потребителите чрез него? Съгласно обявеното в Условията за ползване на ViruSafe, потребителите: могат да въвеждат лична информация за своя здравен статус, друга информация за себе си, да споделят геолокация, да получават съобщения от властите във връзка с Коронавируса, както и информация относно вируса – например дали не се намират евентуално в обсега на диагностициран носител на Ковид-19(хипотетично).

За да се случи това, очевидно потребителят трябва да сподели значителен обем лични данни, в това число от категорията на т.нар. „чувствителни“ по смисъла на GDPR – здравословно състояние, съпътстващи заболявания, хронични заболявания и т.н. Приложението следва да получи разрешение за ползване на GPS-а на мобилното устройство, т.е. постоянно да получава локацията му. Не на последно място, потребителят трябва да посочи свои пълни данни – ЕГН, три имена, адрес, а също така и мобилен телефон, на който получава идентификационен код и без който не може да бъде активирано приложението. Както се вижда, потребителят трябва да предостави сериозно количество лични данни, ако желае да ползва програмата.

Кой има право на достъп до личните данни, за какви цели и на какво основание? В Уведомлението за защита на личните данни на ViruSafe за администратор на лични данни е описано Министерство на здравеопазването. Посочени са данни за контакт, длъжностно лице за защита на данните, които изпълняват изискванията на ЗЗЛД и GDPR. Оттам нататък става ясно, че събирането на лични данни става на основание изрично съгласие на потребителя. Това е обяснимо, тъй като не би могло да се обоснове законен интерес от обработването на данните с приложението, нито пък някакво законово основание. С една дума – потребителят се съгласява и доброволно споделя личните си данни – здравен статус, имена, ЕГН, геолокация. Министерство на здравеопазването ще използва информацията за следните цели: анализ на броя субекти на данните със симтоми; местоположение на субекти на данните със симптоми; информиране; други анализи.

Дотук добре. Притеснение обаче буди възможността лични данни на потребители да бъдат предоставяни на трети лица. Съгласно т. 5 от Уведомлението за защита на личните данни на ViruSafe “Министерство на здравеопазването може да предоставя лични данни на субекта на данните само на компетентните органи за борба с разпространението на заразата и на трети страни доставчици на услуги свързани с администрирането и функционирането на приложението“. Кои в България са „компетентни органи за борба със заразата“? Тази формулировка е крайно неясна, неточна и практически създава възможност голям кръг лица и институции да получават информация за лица, използващи приложението. В това определение могат да бъдат включени органите на МВР, които следят за спазването на противоепидемичните мерки и изпълняваха редица други задължения по време на Извънредното положение; Прокуратурата, която може да повдига обвинения за престъпления, свързани с нарушение на карантина и други; Регионалните здравни инспекции; личните лекари, които следят за здравето на пациентите си; Министерство на външните работи; Министерство на финансите, което отговаря за част от икономическите мерки във връзка с пандемията и други.

Тази подробност би могла да се окаже важна вбъдеще по минимум две направления на ограничаване на права и свободи, а именно:

Във връзка с бъдещи заповеди и наредби, налагащи карантинни/противоепидемични мерки. Съгласно готвения законопроект за закон, който да замени Закона за мерките и действията по време на извънредното положение, Министърът на здравеопазването ще има право да налага такива мерки с административни актове, в това число на болни, вирусоносители и контактни лица. Лесно може да се изпадне в хипотеза, в която министърът вижда данните от приложението, установява кой предполагаемо и бил в близост до заразоносител, а след това налага карантинна мярка на тези лица/на квартала, в който живеят/улицата/селото и т.н. Описаното в тази точка е засега фриволна хипотеза, която обаче много бързо би могла да стане реалност.

Евентуален бъдещ „теч“ на лични данни. Едва ли има нужда да припомняме случая „НАПleaks” от миналата година. Не е никак трудно да си представим нов теч на данни, свързан с цялата събрана информация от началото на извънредното положение плюс данни от приложението. В един момент практически е възможно трети лица да достъпят огромни масиви от данни, в това число: трафични данни(събирани по силата на промените, въведени със Закона за мерките и действията при извънредното положение), месторабота и транспортни навици и маршрути(от декларациите по КПП-тата), здравен статус и локация(от приложението). Съществува огромен риск от извършване на проследяване и профилиране, ако всички тези масиви от лични данни не бъдат добре защитени и не бъдат спазвани изискванията на GDPR – криптиране, псевдонимизиране, адекватна антихакерска защита.

Настоящото не претендира за цялостен анализ на обработването на лични данни чрез приложението ViruSafe, нито има за цел да омаловажи усилията на създателите му, а просто една „червена лампа“ за възможни проблеми, които могат да възникнат от изпозването му и действия на държавни органи.