Zapisi in dokumenti iz področja prava, človekovih pravic in tehnologije.

Slepo zaupanje digitalnim dokazom – primer SIM kartic

Skupina varnostnih strokovnjakov in pravnikov iz ZDA, Sergey Bratus, Ashlyn Lembree in Anna Shubina so leta 2010 na konferenci TRUST 2010 predstavili zanimiv prispevek z naslovom Software on the Witness Stand: What Should It Take for Us to Trust It? (na voljo so tudi prosojnice iz predavanja).

V prispevku so izpostavili problematičnost zaupanja digitalnim dokazom. Dejstvo je, da se na sodiščih danes že rutinsko uporabljajo prometni podatki, ki jih beležijo ponudniki dostopa do interneta ter različni strežniki in druge omrežne naprave, podatki iz mobilnih telefonov, podatki iz digitalnih nadzornih videokamer, itd. Tudi pri digitalni forenziki digitalne dokaze išče in analizira različna programska oprema, saj je podatkov pogosto preveč, da bi jih lahko ročno, brez pomoči programov pregledal posamezni preiskovalec.

Težava, ki so jo izpostavili raziskovalci v svojem članku je, da sodišča digitalne dokaze, zlasti računalniško generirane digitalne dokaze praviloma dojemajo kot zaupanja vredne same po sebi (avtorji uporabljajo izraz inherently trustworthy evidence).

To ima posledice tudi na sam sodni postopek, saj imajo na (kazenskem) sodišču obtoženci oz. obramba pravico so soočenja s tožniki in (navzkrižnega) zaslišanja prič. Pri tem se postavlja zanimivo vprašanje, kaj storiti, če je »priča« računalnik oz. programska oprema? Čeprav se vprašanje na prvi pogled morda zdi akademsko, velja opozoriti na zanimiv sodni primer v ZDA State v. Chun (Supreme Court of New Jersey A-96-06, Docket No. 58,879), kjer je v sodnem postopku je pritožnica oporekala rezultatom testa alkoholiziranosti zaradi možnih napak v programski opremi elektronskega etilometra.

Pritožnica je zahtevala preveritev zanesljivosti delovanja elektronskega alkotesta Draeger Alcotest 7110 MKIII-C. Pridobili so izvorno kodo naprave in jo predali v analizo neodvisnemu podjetju Base One Technologies. Podjetje je v programski kodi naprave odkrilo 19.400 potencialnih napak, med njimi devet takšnih, ki bi lahko bistveno vplivale na rezultate meritve. Med drugim se je tudi izkazalo, da je naprava na precej nenavaden način izračunavala povprečje meritev,  saj je to počela na način, da je imela ena meritev veliko večji vpliv kot ostale. Vrhovno sodišče ZDA v konkretnem primeru sicer ni razveljavilo veljavnosti meritev alkoholiziranosti, je pa od proizvajalca zahtevalo odpravo napak v programski opremi elektronskega alkotesta.

Na problem zaupanja digitalnim dokazom bomo opozorili tudi v tem prispevku in sicer na primeru digitalnih dokazov na SIM kartici. Najprej pa nekaj osnov.

Nekaj osnov o SIM karticah

SIM kartica je tim. pametna kartica (vsebuje mikroprocesor), ki vsebuje podatke za avtentikacijo in avtorizacijo uporabnika mobilnega telefona v mobilnem omrežju. Vsebuje naslednje podatke:

  • ICCID številko,
  • IMSI številko,
  • avtentikacijski šifrirni ključ (Ki),
  • Local Area Identity (LAI),
  • številke za klic v sili (specifično za vsakega operaterja),
  • ostale podatke za prenos podatkov med operaterjem in naročnikom, kot npr. SMSC (Short Message Service Center) številko, Service Provider Name (SPN), Service Dialing Numbers (SDN), itd.

Poleg tega SIM kartica vsebuje še:

  • PIN in PUK kodo,
  • avtenikacijski algoritem,
  • algoritem generiranja šifrirnih ključev A8,
  • šifrirni ključ Kc, ki izvira iz Ki ključa,
  • logične kontrole za kontrolo dostopa do podatkov na kartici,
  • prostor za uporabniške podatke.

ICCID oz. serijska številka SIM kartice

ICC-ID (Integrated Circuit Card ID) številka je identifikacijska številka SIM kartice. Shranjena je v sami SIM kartici, je pa tudi natisnjena oz. vgravirana na njeni površini. ICCID se generira v procesu tim. »personalizacije« SIM kartice. Številka je dolga 19 (za Phase 2 SIM kartice) ali 20 (za Phase 1 SIM kartice) znakov, sestavljena pa je iz naslednjih elementov, ki temeljijo na ISO/IEC standardu 7812:

  • identifikacijska številka izdajatelja (največ 7 cifer: prva dva znaka: Major Industry Identifier (MII) (za področje telekomunikacij je koda 89) / naslednji eden do trije znaki: oznaka države (za Slovenijo 386) / preostanek: identifikacija izdajatelja (npr. 40 za Simobil);
  • identifikacijska številka kartice (do 12 znakov: številka »računa« (account identification number) / en znak: kontrolna vsota izračunana po Luhnovem algoritmu).

IMSI in TMSI številka

IMSI številka služi kot identifikator naročnika v GSM omrežju. Identifikator telefonskega aparata pa je IMEI številka (International Mobile Equipment Identity), gre za neke vrste serijsko številko mobilne naprave (telefona).

IMSI številka je zapisana na SIM kartici. Na podlagi IMSI številke se mobilni uporabnik predstavi mobilnemu omrežju, omrežje pa mu »dodeli« naročniško telefonsko številko. Zaradi možnosti prisluškovanja in sledenja uporabnikom naj bi se IMSI številka po omrežju prenašala čim redkeje. Namesto nje se prenaša naključno generirana TMSI številka. IMSI se prenese preko omrežja v trenutku, ko se telefon vključi ali ko je potrebno obnoviti povezavo med IMSI in TMSI (oz. generirati nov TMSI). TMSI številka je omejena na lokacijsko območje, kar pomeni, da je potrebno nov TMSI generirati vsakič, ko se mobilni uporabnik premakne v novo lokacijsko območje. Lokacijska območja tvori ena ali več baznih postaj. Vsako lokacijsko območje ima svojo lastno kodo lokacijskega območja, kodo pa v intervalih oddajajo posebne bazne postaje in sicer tim. »base transceiver station« ali BTS v GSM omrežjih oziroma Node B v UMTS omrežjih.

Prve tri cifre IMSI številke označujejo kodo države – Mobile Country Code (MCC), sledita dva znaka (po evropskem oziroma trije znaki po severnoameriškem standardu) za oznako omrežja – Mobile Network Code (MNC). Preostanek je identifikacijska številka uporabnika – Mobile Subscriber Identification Number (MSIN). Mobile Country Code (MCC) koda za Slovenijo je 293. Oznaka 901 je oznaka za International Shared Codes. 901 08 služi za za identifikacijo telefona brez SIM kartice (za klice v sili). Naj dodamo, da v nekaterih državah ni mogoče opraviti klica v sili zgolj s telefonom, torej brez kakršnekoli SIM kartice.

Avtentikacijski šifrirni ključ (Ki)

Avtentikacijski šifrirni ključ ali Ki je 128-bitna spremenljivka, ki služi za avtentikacijo SIM kartice mobilnemu omrežju. Ki je unikaten in določen v procesu personalizacije. Shranjen je na SIM kartici in v podatkovni bazi mobilnega operaterja, v tim. Home Location Registru (HLR). Ki ključa ni mogoče izpisati, pač pa ima SIM kartica posebno funkcijo RUN GSM ALGORITHM, ki telefonu omogoča, da SIM kartici pošlje podatke, le-ta pa jih podpiše s Ki ključem.

Zaradi tega se uporabi SIM kartice v GSM omrežju ni mogoče izogniti, saj je SIM kartica nujno potreben element GSM omrežja. Zaradi slabe varnostne zasnove je bilo stare SIM kartice mogoče razmeroma enostavno klonirati oz. prekopirati Ki šifrirni ključ. To je bilo mogoče preko radijske povezave v nešifriranih omrežjih (več informacij o tem v članku GSM Cloning avtorjev Iana Goldberga in Marca Bricena iz leta 1998). Druga možnost je fizični dostop, kjer napadalec SIM kartici pošila poizvedbe (tim. challenge) in v cca. 4 do 8 urah iz nje izlušči Ki ključ (pri tem procesu je obstajala tudi cca. 40% verjetnost poškodovanja oz. uničenja kartice). Pri novejših SIM karticah je kloniranje bistveno težje.

Pomembno je tudi vedeti, da lahko napadalec, ki pridobi dostop do Ki ključa oz. SIM kartice, dešifrira pogovore med mobilnim aparatom in omrežjem. V primeru, da se ne uporablja tim. poudarjena zaupnost (ang. perfect forward secrecy), je mogoče pogovore dešifrirati tudi za nazaj (v primeru, da bi napadalec snemal GSM pogovore žrtve, in bi nato kasneje pridobil SIM kartico, bi lahko za nazaj dešifriral vse šifrirane pogovore).

Local Area Identity (LAI)

Vsako lokacijsko območje ima svojo unikatno identifikacijsko številko, ki je sestavljena iz:

  • E.212 mobilne oznake države (tri cifre, 293 za Slovenijo);
  • oznake mobilnega omrežja (Mobile Network Code – MNC, dva znaka, npr. 40 za Simobil);
  • oznake lokacijskega področja (Location Area Code, 5 znakov).

Podatke o lokaciji (Mobile Country Code, Mobile Network Code ter Local Area Code) oddaja mobilno omrežje na tim. Broadcast Control kanalu (BCCH). Mobilni telefon pa LAI številko shrani v SIM kartico. Ob spremembi lokacijskega območja, se podatek obnovi.

* * *

Če torej na kratko povzamemo, SIM kartica skrbi za avtentikacijo uporabnika v omrežju, na SIM kartici je shranjen šifrirni ključ, ki omogoča šifriranje pogovorov med mobilnim aparatom in bazno postajo v GSM omrežju, poleg tega pa je na SIM kartico mogoče shranjevati tudi določene uporabniške podatke. Najpomembnejši med njimi so seznam kontaktov uporabnika (tim. telefonski imenik) in SMS sporočila. Nekateri starejši mobilni telefoni pa so na SIM kartico shranjevali tudi zadnje klicane številke. Naj dodamo, da novejši mobilni telefoni uporabniških podatkov na SIM kartico praviloma ne shranjujejo, pač pa se ti podatki shranjujejo v telefon.

Branje uporabniških podatkov iz SIM kartice

V okviru forenzične preiskave SIM kartice iz le-te navadno želimo prebrati nekaj osnovnih identifikacijskih podatkov SIM kartice (npr. IMSI številko in ICCID številko) ter seznam kontaktov, SMS sporočila ter zadnje klicane številke.

Za branje teh podatkov iz SIM kartice potrebujemo PIN ali PUK kodo (razen, če PIN koda ni blokirana). Če PIN kode nimamo, je mogoče PUK kodo pridobiti od operaterja, v tem primeru je operaterju potrebno sporočiti ICCID serijsko številko, ki je natisnjena na SIM kartici. Poleg tega potrebujemo ustrezno strojno (čitalec SIM kartic) in programsko opremo.

Analiza SIM kartice.

Analiza SIM kartice z USB čitalcem.

Strojna oprema za branje vsebine SIM kartic je razmeroma poceni. USB čitalec SIM kartic lahko naročimo preko spleta (cena je slabe 3 EUR), lahko pa si ga celo izdelamo sami. Načrti za preprost čitalec SIM kartic so dostopni na spletni strani ameriške elektroinženirke Limor Fried na naslovu http://ladyada.net/make/simreader/index.html.

Čitalec SIM kartic

Čitalec SIM kartic.

Na tej spletni strani se nahaja tudi odprtkodna in brezplačna programska oprema za branje vsebine SIM kartic PySIMReader. Program lahko namestimo na računalnik z Linux, Windows ali Mac operacijskim sistemom (potrebujemo nameščen programski paket Python in knjižnici pySerial ter wxPython).

Uporaba programa je preprosta. Po zagonu se odpre glavno okno, kjer lahko izbiramo med branjem telefonskega imenika ali SMS sporočil oziroma iz menija izberemo možnost branja identifikacijskih podatkov SIM kartice, seznam zadnjih klicanih številk ali pa spremenimo oziroma blokiramo PIN kodo.

PySIMReader

Programska aplikacija PySIMReader.

Program omogoča, da si iz SIM kartice prebrana SMS sporočila ogledamo v oknu, omogoča pa tudi prikaz izbrisanih SMS sporočil (v kolikor seveda še niso bila prepisana z drugimi podatki). Pri vsakem SMS sporočilu lahko spremenimo njegov status (read / unread / deleted : prebrano / neprebrano / izbrisano). Sporočila lahko tudi izvozimo v tekstovno datoteko. Na podoben način lahko v tekstovno datoteko izvozimo tudi kontakte iz telefonskega imenika. Naj dodamo, da smo aplikacijo testirali z več različnimi SIM karticami, pri nekaterih SIM karticah operaterja Mobitel pa je v programu prišlo do napake in branje ni bilo mogoče.

Informacije o SIM kartici

Informacije o SIM kartici.

Pregled SMS sporočil.

Pregled SMS sporočil.

Branje telefonskega imenika.

Branje telefonskega imenika.

Ponarejanje digitalnih dokazov na SIM kartici

Aplikacija PySIMReader pa omogoča tudi zapisovanje podatkov na SIM kartico. Postopek je enostaven. V oknu, ki omogoča prikaz SMS sporočil v meniju File izberemo možnost Import. Izberemo tekstovno datoteko z SMS sporočili in program sporočila zapiše na kartico.

Urejanje tekstovne datoteke z SMS sporočili.

Urejanje tekstovne datoteke z SMS sporočili.

Urejanje posameznega SMS sporočila.

Urejanje posameznega SMS sporočila.

Seveda pa tekstovno datoteko pred tem lahko poljubno urejamo. Struktura datoteke z SMS sporočili je namreč zelo enostavna, saj vsebuje polja datum, konktakt pošiljatelja, številko operaterjevega centra za posredovanje sporočil ter vsebino sporočila (Date, From, SerivceCenter, Message). V navedena polja lahko vpišemo poljubne podatke (seveda morajo biti v ustreznem formatu), datoteko shranimo in jo prenesemo (zapišemo) na SIM kartico. Program PySIMReader sicer omogoča tudi neposredno urejanje vsebine sporočila in pošiljateljevega kontakta za vsako posamezno sporočilo posebej.

Če sedaj SIM kartico vstavimo v telefon, bodo prikazana ponarejena SMS sporočila. V prvem primeru smo izdelali SMS sporočilo iz prihodnosti (iz 15. oktobra 2014), v drugem primeru pa je pošiljatelj (njegovi podatki so ponarejeni) 12. januarja 2001 poslal »napoved« terorističnih napadov na WTC 11. septembra 2001.

Ponarejeno SMS sporočilo iz preteklosti...

Ponarejeno SMS sporočilo iz preteklosti...

... in ponarejeno SMS sporočilo iz prihodnosti.

... in ponarejeno SMS sporočilo iz prihodnosti.

Mimogrede, v primeru novejših telefonov je SMS sporočila je iz SIM kartice mogoče tudi prenesti in shraniti na telefon. Ponarejanje digitalnih dokazov v mobilnih telefonih (zlasti tim. pametnih telefonih) je sicer tudi mogoče in bo morda opisano v kakšnem drugem prispevku.

SMS sporočila prenešena iz SIM kartice na pametni telefon.

SMS sporočila prenesena iz SIM kartice na pametni telefon.

V primeru kazenske preiskave bi preiskovalci (verjetno) pregledali tudi prometne podatke pri operaterju. V primeru, da bi se izkazalo, da je na SIM kartici shranjeno SMS sporočilo, prometni podatki pri operaterju pa ne bi potrjevali, da je bilo SMS sporočilo zares poslano, bi bil to lahko že indic, da je vsebina SIM kartice morda ponarejena. Prometni podatki se v skladu z ZeKOM sicer hranijo 14 mesecev.

Težava pa je, če bi napadalec vzel obstoječe SMS sporočilo in mu spremenil samo vsebino, prometne podatke (kontakt pošiljatelja in datum ter čas pošiljanja sporočila) pa bi pustil nespremenjene. V tem primeru bi prometni podatki pri operaterju potrjevali, da je bilo sporočilo res poslano, forenzična analiza SIM kartice pa bi razkrila vsebino, za katero ne bi bilo mogoče ugotoviti ali je resnična ali morda ponarejena. (Pri tem se postavlja zanimiva analogija s pogovorom, kjer operater tudi zabeleži prometne podatke, ne pa tudi vsebine pogovora. V tem primeru je s pomočjo prometnih podatkov mogoče potrditi dejstvo obstoja komunikacije, vsebina pa je stvar izjav oseb, ki so bile udeležene v komunikaciji. Zanimivo je, da je v primeru SMS sporočil, katerih vsebina je shranjena, stopja zaupanja v resničnost vsebine SMS komunikacije bistveno višja kot v primeru govorne komunikacije, ki se ne shranjuje.)

Podobne zagate povezane s slepim zaupanjem digitalnim in računalniško generiranim podatkov izvirajo tudi iz možnosti pošiljanja ponarejenih SMS sporočil preko GSM omrežja, kar bo sicer stvar naslednjega prispevka. Le na kratko – zasnova GSM omrežja omogoča, da napadalec poljubnemu uporabniku mobilne telefonije pošlje SMS sporočilo iz poljubne telefonske številke (tudi iz njegove lastne). Prejemnik torej dobi SMS sporočilo s spremenjeno (ponarejeno) identifikacijo pošiljatelja. Podobno spreminjanje klicne identifikacije je mogoče tudi v primeru govornih klicev – torej je mogoče klicanje na način, da se klicani osebi na telefonskem aparatu izpiše poljubna telefonska številka. A kot rečeno o tem v enem prihodnjih prispevkov.

Sklep

V današnjem času – še bolj pa bo to veljalo v prihodnosti – je sodiščem predloženih čedalje več dokazov v digitalni obliki. Za razliko od drugih vrst dokazov pa sodišča (in enako velja za preiskovalce) digitalne dokaze, zlasti računalniško generirane, preveč samoumevno dojemajo kot zaupanja vredne, nepristranske in zanesljive. Da temu ni tako, smo pokazali na primeru forenzične analize SIM kartic. Stroški za to so minimalni, digitalne dokaze pa je mogoče ponarediti v nekaj minutah. Podobno velja tudi na drugih področjih – na področju preiskovanja računalnikov, mobilnih telefonov in drugih naprav, lahko celo v primeru datotek aktivnosti pri ponudnikih storitev, operaterjih in drugih tim. neodvisnih tretjih strankah.

Dejstvo namreč je, da računalniki že dolgo časa niso več zgolj »stroji« (že sama beseda stroj predpostavlja razmeroma zanesljivo, mehansko napravo), ki bi jim veljalo slepo zaupati. Pri obravnavi digitalnih in računalniško generiranih dokazov bi bilo namreč potrebno vedno pomisliti tudi na možnost, da so spremenjeni in se znebiti predpostavk na katerih temelji zaupanje vanje.

Zakaj bo Janez Novak umrl za rakom

Konec maja so slovenski mediji poročali o projektu informatizacije javnega zdravstva, ki naj bi bil prednostni razvojni projekt ministrstva za zdravje. Za projekt naj bi država do leta 2015 namenila 67 milijonov EUR, do leta 2023 pa več kot 130 milijonov EUR.

Gre seveda za enega največjih računalniških poslov z javno upravo, v javnost pa je takrat pricurljalo nekaj podatkov, da naj bi bil razpis pisan na kožo samo določenim podjetjem, oziroma naj bi razpisni pogoji vsebovali zahtevo po uporabi točno določenih tehnologij (konkretno naj bi zahtevali uporabo tehnologije podjetij IBM in Oracle), kar sproža sum kršitve načela enakih možnosti. Del zgodbe zagotovo predstavlja tudi zakulisne boje različnih ponudnikov informacijskih storitev. Žal pa je ob vsem skupaj večina javnosti kar nekako spregledala dejstvo, da pri informatizaciji zdravstva ne gre zgolj za še eno izmed afer, kakšnih smo v Sloveniji že vajeni, pač pa da odlašanje z ustrezno in kvalitetno informatizacijo v zdravstvu ogroža človeška življenja. In to ne v prenesenem pomenu.

Mednarodna skupina strokovnjakov razvija odprtokodni zdravstveni informacijski sistem Medical, ki je usmerjen v zdravstveno varstvo na primarni ravni, soroden odprtokodni projekt Hospital pa je namenjen informatizaciji bolnišnic.

Mednarodna skupina strokovnjakov razvija odprtokodni zdravstveni informacijski sistem Medical, ki je usmerjen v zdravstveno varstvo na primarni ravni, soroden odprtokodni projekt Hospital pa je namenjen informatizaciji bolnišnic.

Februarja letos je bil v okviru Ministrstva za zdravje predstavljen Državni program obvladovanja raka v Sloveniji 2010 – 2015. Program na področju informatike predlaga standardizacijo zdravstvene dokumentacije, prehod na elektronsko vodenje vse zdravstvene dokumentacije ter vključitev Registra raka RS v elektronske povezave. Program daje poseben poudarek vzpostavitvi enotnega informacijskega sistema, ki bo omogočal tudi ustrezen finančni in organizacijski nadzor, npr. analizo čakalnih dob, vpogled v izkoriščenost opreme in obremenitve kadrov, analizo stroškov, itd..

Dokument na 40 straneh vsekakor navaja vrsto ugotovitev, ki jim ni mogoče ugovarjati. Vendar pa na spletu lahko najdemo tudi nekoliko daljšo delovno različico dokumenta iz leta 2008, ki pa navaja še nekaj utemeljitev, nad katerimi bi se morala zamisliti tako zdravstvena politika, kot tudi javnost.

V poglavju Informacijske povezave v onkologiji, avtorji ugotavljajo precej pomanjkljivo stanje na področju zbiranja informacij o raku v Sloveniji. Tako so medicinski zapisi v mnogih primerih pomanjkljivi, posledica česar je slabši zdravstveni izid za bolnike ter nepotrebno višanje stroškov, takšni zapisi pa so tudi povsem neuporabni za kakršne koli statistične ali druge analize.

Velik problem je tudi odsotnost primerjave kakovosti zdravljenja v različnih bolnišnicah. Tako ne obstajajo sistematični podatki o številu zapletov po bolnišnicah, povprečnem številu ležalnih dni, številu nepotrebnih posegov, itd. zlasti pa ne obstajajo podatki o učinkovitosti zdravljenja raka (in drugih bolezni) po posameznih ustanovah (kaj šele npr. po posameznih kirurgih). Posledica pa je seveda bistveno slabši nadzor nad kvaliteto zdravljenja, kot bi ga lahko imeli v primeru, da bi se ti podatki sistematično zbirali in tudi sistematično ter predvsem redno analizirali.

Delovna različica državnega programa obvladovanja raka v Sloveniji iz 2008 na strani 77 navaja podatek iz raziskave nemškega patologa, profesorja Paula Hermaneka. Hermanek je na predavanju Evropskega združenja za onkološko kirurgijo leta 1994 predstavil rezultate analize zdravljenja raka danke v sedmih velikih nemških mestih. Analiza je pokazala, da se – odvisno od ustanove oz. kirurga – verjetnost ozdravitve pacientov giblje od slabih 40% do več kot 80% (podrobnejša analiza je objavljena v članku Role of the Surgeon as a Variable in the Treatment of Rectal Cancer iz leta 2000).

Podatkov, ki bi omogočali tovrstne analize za vse vrste raka (kaj šele za vse bolezni) v Sloveniji ni, kljub temu pa nekatere analize kažejo, da je problem prisoten tudi pri nas. Dokument “Preživetje bolnikov z rakom zbolelih v letih 1991–2005 v Sloveniji” na strani 258 za bolnike obolele za ne-Hodgkinovim limfomom ugotavlja:

V dodatni analizi smo primerjali nekatere značilnosti skupine 938 bolnikov, zbolelih v letih 2001–2005, ki so se zdravili na OI Ljubljana v okviru prvega zdravljenja, s preživetjem skupine 227 zbolelih v istem obdobju, ki se v okviru prvega zdravljenja niso zdravili v tej ustanovi. Srednje preživetje bolnikov, zdravljenih na OI Ljubljana, je bilo 5 let, zdravljenih v drugih bolnišnicah pa le 10 mesecev. … Ker na preživetje pomembno vplivajo stadij, starost in zdravljenje, smo te napovedne dejavnike vključili v multivariatni Coxov preživetveni model (Tabela 4). S tem smo želeli stvarno oceniti vpliv izbora bolnišnice prvega zdravljenja na izid bolezni. Rezultat je zaskrbljujoč, saj prvo zdravljenje bolnika zunaj OI Ljubljana tudi v multivariatni analizi ostaja dejavnik tveganja smrti bolnika; bolniki, ki v okviru prvega zdravljenja niso zdravljeni na OI Ljubljana, imajo 2,5-krat večje relativno tveganje smrti v primerjavi s tistimi, ki so zdravljeni v tej ustanovi.

Podobne ugotovitve lahko najdemo še glede zdravljenja nekaterih drugih vrst raka (npr. raka debelega črevesa na strani 76), oziroma avtorji na več mestih ugotavljajo, da podatkov, ki bi tovrstne analize omogočali ni (npr. glede raka danke na strani 86, in raka dojk na straneh 156 in 158). Vsekakor pa se človek nehote vpraša zakaj te ugotovitve niso pristale na naslovnicah vseh slovenskih medijev in zakaj kakšna parlamentarna komisija problematiki ni namenila vsaj kakšnega nujnega zasedanja, če že ne cele parlamentarne preiskave? Vprašanje je seveda zgolj retorično.

Informatizacija pa bi lahko rešila še druge težave. Ena izmed njih so že omenjeni pomanjkljivi medicinski zapisi. V delovni različici poročila so tako navedeni rezultati kanadske študije iz leta 2004, kjer so primerjali opisno (narativno) in strukturirano (sinoptično) obliko medicinskega izvida. V Kanadi so namreč razvili posebno računalniško aplikacijo za strukturiran vnos operativnega medicinskega izvida, tako pridobljene podatke pa so iz več vidikov primerjali s klasičnimi izvidi.

Izkazalo se je, da je v primeru opisnega medicinskega izvida iz le-tega mogoče dobiti le dobrih 45% informacij potrebnih za nadaljnje zdravljenje. V primeru sinoptične oblike zapisa (kjer zdravnik izvid napiše tako, da podatke vnese v ustrezen računalniški obrazec) pa je iz zapisa mogoče pridobiti kar 99% potrebnih informacij, poleg tega je takšen izvid mogoče enostavno računalniško in statistično obdelati. Raziskava je tudi pokazala, da zdravnik za izpolnjevanje takšnega izvida v povprečju potrebuje okrog 6 minut (kar je primerljivo s časom potrebnim za zapis klasičnega izvida), za uvajanje je potreben en teden, vse skupaj pa tudi bistveno znižuje administrativne stroške. Članek z opisom in rezultati raziskave je bil v reviji Annals of Surgical Onkology objavljen že leta 2004, a utečena praksa se v Sloveniji do danes ni kaj bistveno spremenila.

Vsekakor so bolnišnice zaradi načina financiranja močno zainteresirane za odpiranje novih programov oz. oddelkov, a kot kažejo navedeni podatki kvalitete izvajanja teh programov sistematično ne izvaja nihče, prav tako pa ti podatki niso dostopni javnosti in bolnikom. Na strani 78 avtorji delovne različice državnega programa obvladovanja raka v Sloveniji, glede razvoja informatizacije v slovenski onkologiji predlagajo, da bi morala razporeditev onkološke dejavnosti po bolnišnicah v Sloveniji temeljiti tudi na oceni kvalitete zdravljenja:

Če bo ugotovljeno, da zdravstvena ustanova ne dosega zahtevanih standardov, ne bo mogla opravljati onkološke dejavnosti. Nasprotno pa bi v ustanovah z visokimi standardi lahko koncentrirali onkološke bolnike. Višji dohodki v ustanovah z dobrimi rezultati zdravljenja bi neprimerljivo manj obremenjevali zdravstveno blagajno, saj so stroški ‘manj kvalitetnega’ zdravljenja enormno visoki – ponavljajoče operacije (vsaka naslednja je bolj zapletena, daljša in dražja), dolge hospitalizacije, dolge bolniške odsotnosti, invalidnost in zgodnje upokojitve.

Te podatke bi lahko pridobili z ustrezno informatizacijo, ki bi morala biti zasnovana z mislijo na potrebo po kvalitetnih in hitrih statističnih obdelavah podatkov, ki bi morale biti tudi dostopne javnosti.

Morda takšna informatizacija ni v interesu nekaterih bolnišnic. Morda tudi ni v interesu ponudnikov različnih informacijskih rešitev, ki jih seveda zanima samo kako bodo s čim manj stroški in za čim višjo ceno uspeli prodati svoje rešitve. Gotovo pa je v interesu davkoplačevalcev in zlasti bolnikov. Projekt ustrezne informatizacije zdravstva zato ni zgolj še ena “afera”, pač pa prvovrstno politično vprašanje od katerega so odvisna naša življenja. In to dobesedno.

Ko bo Janez Novak iz naslova tega članka čez nekaj let v manjši slovenski bolnišnici kljub najboljši oskrbi v danih razmerah umiral za rakom, ne bo vedel, da je to morda posledica čisto konkretne zdravstvene politike. Oziroma čisto konkretnih političnih odločitev.

A kako bi le vedel. Zanj je politika pač prerekanje v parlamentu in zakulisne igre okrog javnega denarja. Sicer pa v državi, kjer so politike in medije več tednov zaposlovale podrobnosti o domnevnih spolnih zlorabah psov, od Janeza drugega niti ne moremo pričakovati. Bog mu daj večni pokoj!

Članek je bil 2, oktobra 2010 objavljen v Dnevnikovem objektivu, URL: http://www.dnevnik.si/objektiv/v_objektivu/1042392248.

Več informacij o odprtokodnem zdravstvenem informacijskemu sistemu Medical ter Hospital si je mogoče prebrati na naslednjih povezavah:

Viri

Komunikacijska zasebnost na delovnem mestu

Septembra je pri Inštitutu za kriminologijo pri Pravni fakulteti v Ljubljani izšel zbornik Kriminaliteta in tehnologija. V zborniku je objavljen tudi moj prispevek z naslovom Komunikacijska zasebnost na delovnem mestu, ki ga objavljamo v celoti tudi na spletu.

Povzetek

Pri vprašanju zasebnosti na delovnem mestu gre za trk dveh interesov – interesa delodajalca po gospodarni izrabi delovnega časa in sredstev ter pravice do zasebnosti zaposlenega. Različni pravni sistemi dajejo prednost enkrat enemu, drugič drugemu. V praksi sta se v zvezi s tem izoblikovala predvsem tim. “ameriški” pristop, ki daje prednost delodajalcu in tim. “evropski” pristop, ki daje prednost zaposlenemu. V prispevku sta skozi analizo zakonodaje in odločitev sodišč predstavljena oba pristopa, nekoliko podrobneje pa še ureditev področja zasebnosti na delovnem mestu v slovenski zakonodaji. Za Slovenijo je pomembno zlasti dejstvo, da se je evropska pravna praksa postavila na stališče, da lastninska pravica ne prevlada samodejno nad pravico do zasebnosti, kar pomeni, da je pravico do zasebnosti do določene mere potrebno spoštovati tudi na delovnem mestu. Vprašanje kakšne naj bodo torej omejitve zasebnosti pa je tako povezano tudi z vprašanjem sorazmernosti.

Uvod

Pri vprašanju zasebnosti na delovnem mestu v praksi pogosto naletimo na argumentacijo delodajalcev, češ, zaposleni uporablja opremo podjetja, v službi je plačan za opravljanje svojega dela, kako torej lahko na delovnem mestu pričakuje zasebnost? Če je delodajalec lastnik komunikacijske opreme (telefona, računalnika) in delovnega časa zaposlenega – ali torej nima pravice preveriti ali zaposleni dela, ali pa morda “zapravlja” čas podjetja oziroma morda celo krade poslovne skrivnosti?

Vprašanje je vsekakor na mestu, a odgovor na vprašanje ali zaposleni na delovnem mestu lahko pričakuje spoštovanje zasebnosti, je odvisen predvsem od razumevanja vloge zaposlenega. Pri tem sta se v svetu uveljavila dva pristopa. Prvi, “ameriški” pristop, zaposlenega na delovnem mestu vidi predvsem kot delojemalca, ki uporablja opremo, ki je last delodajalca, v delovnem času je plačan s strani delodajalca in zato službenih komunikacijskih sredstev in službenega časa ne sme “zlorabljati” v zasebne namene. Na drugi strani imamo tim. “evropski” pristop, ki zaposlenega na delovnem mestu ne vidi samo kot delavca, pač pa tudi kot človeško bitje, ki ima kot tak tudi določene (človekove) pravice. Ob vsem skupaj se v primeru nadzora na delovnem mestu postavlja še vprašanje pravic tim. tretjih oseb (z nadzorom komunikacij zaposlenega nadzorujemo tudi komunikacije njegovih zunanjih komunikacijskih partnerjev). Pri vsem skupaj je pomembno tudi vprašanje sorazmernosti (se pravi kolikšen obseg nadzora je sprejemljiv in še opravičljiv oziroma ali zaželenega cilja ni mogoče doseči z blažjimi sredstvi), saj je po eni strani jasno, da ima zaposleni tudi na delovnem mestu interes za čim večjo zasebnostjo, po drugi strani pa je nesporen tudi interes delodajalca po racionalni rabi službenih sredstev in delovnega časa.

Ameriški pristop

Ameriška zakonodaja je koncipirana kot sistem negativnih svoboščin zato je pravica do zasebnosti posameznikov nasproti državi bistveno bolj zavarovana kot nasproti delodajalcem. Zasebnost na delovnem mestu v ZDA v splošnem ni dojeta kot pravica, temveč bolj kot boniteta.

Ameriški delodajalci zato o zaposlenih zbirajo številne podatke, posebej problematično pa je, da pogosto ne zagotavljajo točnosti in zaupnosti podatkov, posameznikom pa pogosto tudi ne omogočijo, da bi napačne podatke lahko popravili. Obseg nadzora na delovnem mestu se v ZDA v zadnjem desetletju precej povečuje, postaja pa tudi čedalje bolj rutinski. Kot je leta 2001 ugotovil Schulman, je razlog za premik nadzorovanja od zgolj nekaj “problematičnih” posameznikov proti nadzoru celotne populacije zaposlenih ta, da je zdaj celotna delovna sila sumljiva, podjetja pa so čedalje bolj zaskrbljena zaradi t. i. ‘internih groženj’ (Schulman, 2001). Z nadzorom se podjetja v ZDA želijo zaščititi tako pred odtekanjem različnih poslovnih skrivnosti kot tudi pred odškodninskimi tožbami zaradi neprimernega ravnanja zaposlenih. Pomemben faktor pri povečevanju nadzora pa predstavlja tudi agresivno trženje nadzornih sistemov s strani proizvajalcev in prodajalcev tovrstne opreme.

Leta 1986 so v ZDA sprejeli Electronic Communication Privacy Act (ECPA; Electronic Communication Privacy Act of 1986, 18 U.S.C. (1986)), ki obravnava prisluškovanje elektronskim komunikacijam. ECPA v prvem poglavju, znanem tudi pod imenom Wiretap Act, prepoveduje prestrezanje elektronskih telekomunikacij, pri čemer je ‘prestrezanje’ definirano kot “zaznavanje izžarevanja [signala] (ang. aural) ali druga pridobitev vsebine žice oziroma elektronske ali ustne komunikacije, ki poteka s pomočjo uporabe kakršnekoli elektronske, mehanične ali druge naprave”. Bistveno pri tem je torej, da je prestrezanje definirano kot dejavnost, ki poteka hkrati s prenosom. Problem sodobne tehnologije – konkretno, nadzora elektronske pošte – pa je, da prestrezanje elektronske pošte ni nujno sočasno. Delodajalec namreč lahko dostopi do strežnika, v katerem je elektronsko sporočilo shranjeno, in s tem zaobide prepoved sočasnega prestrezanja. ECPA namreč v drugem poglavju, znanem pod imenom Stored Communications Act, ki prepoveduje dostop do shranjenih elektronskih sporočil brez soglasja nadzorovane osebe, iz prepovedi eksplicitno izključuje “osebe, ki zagotavljajo (ang. to provide) žično ali elektronsko komunikacijsko storitev”. Tako so iz prepovedi ECPA izvzeti delodajalci, ki imajo v lasti komunikacijsko opremo podjetja (Sinrod, 2004).

ECPA delodajalcem tudi sicer dovoljuje nadzor komunikacij (tudi telefonskih), a le, če zadevajo poslovanje podjetja. V primeru telefonskih pogovorov se tak nadzor v praksi izvaja tako, da lahko delodajalec zakonito nekaj časa posluša pogovor, da ugotovi, ali gre za poslovni ali zasebni pogovor (ACLU, 2003). Če je pri telefonskem pogovoru poslušanje še možno časovno omejiti, pa dostop do elektronske pošte ne more biti delen ali časovno omejen, pač pa delodajalec lahko naenkrat vpogleda v celotno sporočilo. Zato je nadzor elektronske pošte laže upravičiti. Vsekakor pa velja, da lahko kot pogoj za zaposlitev delodajalci zahtevajo soglasje za nadzor v (skoraj) kakršnemkoli obsegu in v tem primeru je nadzor komunikacij zaposlenega povsem zakonit. V nadaljevanju si poglejmo nekaj primerov, ki to ilustrirajo.

Leta 1990 je administratorka elektronskega poštnega sistema podjetja Epson, Alana Shoars ugotovila, da eden izmed direktorjev prebira elektronsko pošto zaposlenih. Temu je nasprotovala, zato so jo odpustili. Shoarsova je vložila tožbo, vendar se je podjetje branilo, da je sistem za elektronsko pošto v njihovi lasti in imajo zato pravico, da ga upravljajo in nadzorujejo, ali se uporablja samo v delovne namene ali ne. Kalifornijsko sodišče je nato 1992 v primeru Shoars proti Epson America Inc. (Shoars v. Epson America Inc., No. (SWC) II2749 (Cal App. Dep’t. Super. Ct. Dec 8, 1992)) presodilo, da ustava ščiti samo informacije, ki so osebne, ne pa tudi poslovnih komunikacij, Shoarsova pa je uporabljala opremo, ki je bila v lasti podjetja (Sykes, 1999: 140). Njena pritožba je bila zavrnjena.

Podobna je bila tudi odločitev v primeru Bonita P. Bourke, et. al. proti Nissan Motor Corporation (Bonita P. Bourke, et. al. v. Nissan Motor Corporation, No. 68-705 (Cal. Ct. App., 1993)), ko je leta 1993 kalifornijsko prizivno sodišče razsodilo, da vpogled v elektronsko sporočilo, ki ga je uslužbenka poslala po omrežju podjetja, ne pomeni neupravičenega vdora v njeno zasebnost, saj je uslužbenka predhodno podpisala izjavo, v kateri se je zavezala, da bo elektronsko pošto uporabljala zgolj v službene namene (Klemenčič, 2003: 137). Podobna je bila tudi razsodba v primeru McLaren proti Microsoft (McLaren v. Microsoft, No. 05-97-00824 (Tex. Ct. App. 28. maj, 1999)) iz leta 1999. V tem primeru je podjetje pregledalo z geslom šifrirano elektronsko pošto zaposlenega, shranjeno v osebnem imeniku ter na podlagi vsebine sporočil zaposlenega (ki je bil obtožen spolnega nadlegovanja) odpustilo. Zaposleni je sprožil sodni spor, a sodišče je v razsodbi dalo prav delodajalcu, in sicer z obrazložitvijo, da je interes delodajalca, da prepreči pošiljanje neprimerne elektronske pošte, nad interesom zaposlenega do zasebnosti (Klemenčič, 2003: 137).

Kaj je neprimerno, pa je pogosto stvar presoje delodajalca. Na to kaže primer zaposlenega v podjetju Pillsbury. Zaposleni Michael Smyth je namreč leta 1994 enemu izmed sodelavcev poslal elektronsko sporočilo, v katerem je zapisal, da so njegovi predpostavljeni “zahrbtne barabe”. Ker so le-ti spremljali komunikacijo svojih zaposlenih, so ga odpustili z obrazložitvijo, da so bili njegovi komentarji neustrezni in neprofesionalni. Smyth se je pritožil na sodišče in trdil, da so mu v podjetju zagotovili zasebnost komunikacij, podjetje pa je trdilo nasprotno. Zvezno sodišče je primer zavrglo (in s tem dalo prav delodajalcu) z obrazložitvijo, da tudi če bi podjetje zaposlenemu res obljubilo tajnost komunikacij, sporno dejanje ne posega v oškodovančevo zasebnost na nepošten način (Sykes, 1999: 141).

Problem nejasne in zastarele zakonodaje pa je postal precej očiten v primeru U. S. proti Councilman (United States of America v. Bradford C. Councilman, No. 03-1383 (1st Cir., June 29, 2004)). Šlo je za primer ponudnika brezplačne elektronske pošte, ki je prestrezal elektronsko pošto svojih uporabnikov (brez njihove vednosti). Podjetje, ki se je sicer ukvarjalo s prodajo rabljenih knjig, je namreč svojim strankam ponudilo brezplačne poštne predale, nato pa prestrezalo elektronsko pošto, ki so jo njihove stranke prejemale od konkurenčne prodajalne knjig, podjetja Amazon. Prestrezanje so izvajali misleč, da je na podlagi ECPA zakonito. S tem je podjetje hotelo ugotoviti katere knjige njihove stranke kupujejo pri konkurenci in po kakšnih cenah, posledično pa si pridobiti tržno prednost. Dejstvo je, da je ECPA precej nejasen in 29. junija 2004 ameriško prizivno sodišče prvega okrožja najprej razsodilo, da je takšno prestrezanje elektronske pošte zakonito. Odločitev je bila nato avgusta 2005 revidirana in okrožno sodišče v Massachusettsu je presodilo, da nadzor elektronske pošte v takih primerih ni dovoljen (EPIC, 2005).

Kot torej vidimo, je nadzor komunikacij zaposlenih v ZDA precej razširjen, zakonodaja pa nadzor na delovnem mestu v veliki meri dovoljuje. Vendar pa je tovrsten nadzor lahko dvorezen. Posledica pretiranega nadzora je pogosto lahko obravnava posameznikov bolj v smislu nekakšnega inventarja in manj kot avtonomnih človeških bitij. Uporaba elektronskih identifikacijskih kartic je zgolj zunanji znak take obravnave, posegi delodajalcev v telesno zasebnost (urinski, krvni in genski testi) pa odpirajo tudi vprašanja človekovega dostojanstva in avtonomije na delovnem mestu. Nekateri avtorji so mnenja, da vohunjenje za elektronsko pošto zaposlenih uničuje občutek skupnosti na delovnem mestu (Whitaker, 1999: 105), to pa verjetno vpliva tudi na lojalnost podjetju. Zato se upravičeno zastavlja vprašanje ali nadzorovanje zaposlenih sploh dosega svoj cilj – preprečevanje odtekanja informacij – in ali se delodajalci problema lojalnosti zaposlenih morda ne lotevajo na napačen način in z napačnimi sredstvi.

Evropski pristop

Povsem drugačen pristop do zasebnosti na delovnem mestu pa velja v Evropi. V zvezi z nadzorom na delovnem mestu sta verjetno najpomembnejši odločitvi Evropskega sodišča za človekove pravice Halford proti Združenemu kraljestvu (Halford v. Velika Britanija, odločba z dne 25. 6. 1997) iz leta 1997 ter Copland proti Združenemu kraljestvu (Copland v. Velika Britanija, odločba z dne 3. 4. 2007), iz leta 2007.

Ga. Halford, uslužbenka policije, je proti svojemu delodajalcu leta 1990 sprožila postopek zaradi diskriminacije na delovnem mestu. V svoji pisarni je imela dva telefona, od katerih je bil eden namenjen za zasebno uporabo, glede uporabe telefonov pa ji niso bile naložene nikakršne omejitve. Halfordova je kasneje ugotovila, da je njen delodajalec nadzoroval telefonske klice iz njenega službenega telefona (pa tudi domačega telefona) in sicer z namenom, da bi zbrali gradivo za svojo obrambo v postopku zaradi diskriminacije. Zadeva je prišla na Evropsko sodišče za človekove pravice, ki je presodilo, da je v tem primeru šlo za kršitev 8. člena Evropske konvencije o človekovih pravicah. V razsodbi je izrecno zapisalo, da zaposleni na delovnem mestu upravičeno pričakuje zasebnost.

Podobna je bila odločitev tudi v primeru Copland proti Združenemu kraljestvu iz leta 2007. V tem primeru je nadrejeni delavke Lynette Copland pregledoval izpiske telefonskih številk, ki jih je klicala med delovnim časom ter sezname spletnih strani, ki jih obiskovala. Nadzor naj bi se vršil z namenom ugotavljanja, ali delavka službena sredstva uporablja za zasebne namene. Da jo nadzorujejo, je ugotovila šele, ko so iz njenega podjetja kontaktirali njeno pastorko ter jo vprašali, zakaj pošilja elektronsko pošto na službeni e-poštni naslov Coplandove. Tudi ta primer je prišel na Evropsko sodišče za človekove pravice, ki je leta 2007 presodilo, da je tudi v tem primeru šlo za kršitev 8. člena Evropske konvencije o človekovih pravicah in da je torej delodajalec neupravičeno posegal v njeno zasebnost.

Evropsko sodišče za človekove pravice je v primeru presodilo, da varstvo zasebnosti velja tako za telefonske komunikacije, kot tudi za elektronsko pošto in uporabo interneta, in da je iz stališča varstva zasebnosti irelevantno ali gre za zasebno ali za službeno komunikacijsko sredstvo. Prav tako so presodili, da kršitev predstavlja že samo zbiranje in obdelava prometnih podatkov in s tem potrdili, da so prometni podatki integralni element komunikacij. Kršitev zasebnosti torej ni “le” vpogled v vsebino komunikacij, pač pa tudi vpogled v prometne podatke. Nadalje so v razsodbi zapisali, da je iz stališča varstva zasebnosti irelevantno ali so bili podatki “zgolj” zbrani, ali pa so bili tudi razkriti tretjim osebam oziroma uporabljeni proti pritožnici. S tem so se postavili na stališče, da je sporen že sam akt posega, ne pa šele morebitni kasnejši pregled oziroma obdelava prestreženih podatkov in komunikacij s strani tretje osebe. Pomemben element sodbe je bilo tudi dejstvo, da delavka ni bila vnaprej opozorjena, kdaj in v kakšnih primerih lahko delodajalec nadzira elektronsko pošto zaposlenih in je zato po mnenju sodišča lahko upravičeno pričakovala zasebnost na svojih službenih komunikacijskih sredstvih.

Evropski pristop k varovanju komunikacijske zasebnosti se kaže tudi v nekaterih drugih primerih. Evropsko sodišče za človekove pravice je leta 1998 v primeru Lambert proti Franciji (Lambert v. Francija, odločba z dne 24. 8. 1998) jasno poudarilo, da glede tajnosti komunikacij ni razlike med lastnim telefonskim priključkom ali telefonskim priključkom tretje osebe, istega leta pa v primeru Kopp proti Švici (Kopp v. Švica, odločba z dne 25. 3. 1998) tudi, da so zaščiteni tudi klici iz poslovnih prostorov ter v poslovne prostore.

Zanimiva je tudi razsodba (in predvsem njena utemeljitev) Kasacijskega sodišča Francije v primeru Societe Nikon France, SA v. Onof št. 99–42.942 iz leta 2001 (Societe Nikon France v. M. Onof, Cass. soc., 2. oktober 2001, Bull Civ. V, No. 291). V tem primeru je namreč delodajalec preiskal računalnik zaposlenega, zaradi suma, da le-ta krši konkurenčno prepoved. V okviru preiskave je delodajalec pregledal in prekopiral dve mapi na računalniku zaposlenega (označeni z imenom “osebno” in “fax”), pri čemer so ugotovili, da je zaposleni uporabljal računalnik za neslužbene namene in kršil konkurenčno prepoved, čeprav je bilo to z notranjimi pravili organizacije prepovedano. Na podlagi tega so ga odpustili.

Zaposleni se je pritožil, in Kasacijsko sodišče Francije je presodilo, da ima delavec tudi med delovnim časom in na delovnem mestu pravico do zasebnosti in tajnosti komunikacij. Pri tem so izrecno zapisali, da:

delodajalec, ki bere sporočila, ki jih zaposleni pošilja ali sprejema preko službenega računalnika, krši temeljne pravice delavca, kot jih določa 8. člen Evropske konvencije o človekovih pravicah … To velja ne glede na to, ali je bil delavec vnaprej seznanjen, da službenega računalnika ne sme uporabljati v neslužbene namene… Podjetje ali druge ustanove ne smejo biti mesta, kjer bi delodajalci arbitrarno in brez omejitev izvajali svoje diskrecijske pravice; ne smejo postati okolja totalnega nadzora, kjer temeljne človekove pravice nimajo veljave … Menimo, da je splošna popolna prepoved uporabe e-pošte v neslužbene namene nerealna in krši pravno načelo sorazmernosti.” (Klemenčič, 2002: 402.)

Odločitev kaže na to, da – kot ugotavlja Klemenčič – “se domet pravice do komunikacijske zasebnosti ne ustavi zgolj pri zagotavljanju zaupnosti vsebine sporočanja in podatkov, povezanih z njo, ampak hkrati prepoveduje tudi nesorazmerne prepovedi komuniciranja z zunanjim svetom” (Klemenčič, 2002: 395). Dejstvo namreč je, da Priporočilo Sveta Evrope št. R(89) 2 določa, da imajo zaposleni na delovnem mestu pravico do vzpostavljanja osebnih in socialnih stikov. Podobno stališče je zavzelo tudi Evropsko sodišče za človekove pravice v primeru Niemietz proti Nemčiji (Niemietz v. ZR Nemčija, odločba z dne 16. 12. 1992) leta 1992, ko je zapisalo da mora “spoštovanje zasebnega življenja vsebovati tudi določeno stopnjo pravice do vzpostavljanja in razvijanja odnosov z drugimi človeškimi bitji”. Ter: “poleg tega se zdi, da ni načelnega razloga, zakaj bi ta pojem ‘zasebnega življenja’ izključeval profesionalne ali poslovne dejavnosti [posameznika]…

Podobno stališče glede omejitev nadzora na delovnem mestu je Kasacijsko sodišče Francije zavzelo tudi v primeru Philippe K. v. Cathnet-Science (Philippe K. v. Cathnet-Science, Cour de Cassation, Chambre Sociale, Arret No. 1089 FS-P+B+R+1, Pourvoi No. J-03-40.017, 5/17/05). V primeru je delodajalec na mizi zaposlenega po naključju našel erotične fotografije, zaradi česar so posumili, da ima zaposleni na računalniku shranjene pornografske vsebine. Sledila je preiskava računalnika, na katerem so res našli pornografske vsebine in posledično zaposlenega odpustili. Nižja sodišča so odločitev delodajalca podprla, Kasacijsko sodišče Francije pa je presodilo, da sum prisotnosti pornografije na računalniku ne predstavlja opravičljivega razloga za preiskavo (Cate, 2007).

Vse to kaže na to, da evropska pravna ureditev na delovnem mestu zaposlenemu priznava bistveno širši krog komunikacijske zasebnosti kot ameriška pravna ureditev, hkrati pa tudi prepoveduje pretirano omejevanje komunikacij z drugimi. Glede nadzora komunikacij na delovnem mestu tako velja, da mora biti zaposleni vnaprej seznanjen s pravili delodajalca glede uporabe telefona, elektronske pošte in interneta, hkrati pa si delodajalec ne more privoščiti pretiranega omejevanja pravice do zasebnosti in pravice do komunikacije z zunanjim svetom.

Praviloma tudi velja, da se mora zaposleni z nadzorom strinjati oziroma mora biti nadzor objektivno opravičljiv in sorazmeren. Glede strinjanja velja poudariti, da je zaposleni nasproti delodajalcu seveda v podrejenem položaju, zato mora biti strinjanje prostovoljno in brez prisile. Article 29 Working Party je tako v svojem mnenju Opinion 8/2001 iz septembra 2001 zapisala, da “če zaposleni nima možnosti, da [obdelavo osebnih podatkov] zavrne, to ni soglasje. Soglasje mora biti vedno prostovoljno. Torej mora imeti zaposleni tudi možnost preklicati soglasje brez negativnih posledic” (Article 29 Working Party, 2001).

Po mnenju Article 29 Working Party je obdelava osebnih podatkov zaposlenega objektivno opravičljiva le npr. zaradi izpolnjevanja pogodbenih obveznosti oziroma spoštovanja zakonskih zahtev (npr. obdelava osebnih podatkov o plačah, posredovanje podatkov davčni upravi, itd.), zaradi zasledovanja zakonitih interesov delodajalca, razen, kadar taki interesi ne prevladajo nad temeljnimi pravicami zaposlenega (potrebno je torej najti ravnovesje med interesi delodajalca in zaposlenih) ali npr. zaradi zagotavljanja vitalnih interesov zaposlenega (npr. zagotavljanje varnosti pri delu). Omejevanje pravice do zasebnosti na delovnem mestu je torej mogoče le izjemoma (Article 29 Working Party, 2001).

Velja tudi poudariti, da vse navedeno ne velja le za vsebino komunikacij, pač pa tudi za obravnavo prometnih podatkov (podatkov o klicih oz. prejemnikih sporočil, in vseh drugih podatkov, ki ne predstavljajo vsebine komunikacije). Evropska pravna ureditev namreč prometne podatke obravnava precej drugače kot ameriška pravna ureditev. Vrhovno sodišče ZDA je tako leta 1979 v primeru Smith proti Maryland (Smith v. Maryland, 242 U.S. 735 (1979))presodilo, da prometni podatki o telefonskih pogovorih niso zaščiteni s Četrtim amandmajem ameriške ustave, s čimer so uvedli ločevanje prometnih podatkov od same vsebine komunikacije. Drugačno stališče pa je zavzelo Evropsko sodišče za človekove pravice, ki je v primeru Malone proti Veliki Britaniji leta 1984 presodilo, da so prometni podatki integralni element telefonskih komunikacij in kot taki tudi uživajo pravno varstvo.

Poleg tega pa je potrebno izpostaviti še dejstvo, da nadzor s strani delodajalca lahko predstavlja tudi kršitev interesa tim. tretjih oseb, torej oseb, ki komunicirajo z zaposlenim in morda niti ne vedo, da gre za službeno komunikacijsko sredstvo ter da delodajalec nadzoruje komunikacije zaposlenega, s katerim so v stiku (Klemenčič, 2001: 188–189). Ta problem je zelo očiten pri morebitnem nadzorovanju službenih mobilnih telefonov, kjer je možnosti za razlikovanje med službenim in zasebnim komunikacijskim sredstvom še manj.

Zasebnost na delovnem mestu v Sloveniji

Podoben odnos do zasebnosti na delovnem mestu kot ga ima Evropsko sodišče za človekove pravice, ima tudi slovenska pravna ureditev. Vendar pa ima slovenski pravni red neko specifiko, zaradi katere je komunikacijska zasebnost v Sloveniji še nekoliko bolj zaščitena kot na splošno v Evropi. Ustava RS namreč v 37. členu določa, da “samo zakon lahko predpiše, da se na podlagi odločbe sodišča za določen čas ne upošteva varstvo tajnosti pisem in drugih občil in nedotakljivost človekove zasebnosti, če je to nujno za uvedbo, ali potek kazenskega postopka ali za varnost države.”.

Slovenska ustava torej za posege v komunikacijsko zasebnost zahteva ustrezno zakonsko podlago in predvsem sodno odredbo. Oktobra 2008 je tako Ustavno sodišče v razsodbi Up-106/05 (odločba Ustavnega sodišča RS, št. Up-106/05, Uradni list RS, št. 100/2008) presodilo, da poseg v svobodo komuniciranja ni dovoljen brez predhodnega dovoljenja sodišča. V primeru je sicer šlo za preiskavo zakonito zaseženega mobilnega telefona in SIM kartice v kazenskem postopku brez (dodatne) odredbe sodišča. V razsodbi je Ustavno sodišče poudarilo tudi stališče, da je treba predmet varstva komunikacijske zasebnosti razlagati širše, in sicer tako, da le-ta vključuje tudi prometne podatke, ki so sestavni del komunikacije.

Visoke standarde za posege v zasebnost je Ustavno sodišče postavilo tudi v odločbi Up-472/02 iz oktobra 2004 (odločba Ustavnega sodišča RS, št. Up-472/02, Uradni list RS, št. 114/2004). Šlo je za odločanje v primeru snemanja pogovora s strani zasebnika in uporabi tega posnetka v poznejšem civilnem sodnem postopku. Sodišče je v odločitvi zapisalo:

Poseg v pravico do zasebnosti bi bil pod določenimi pogoji dopusten, vendar bi morale biti v pravnem postopku za izvedbo dokaza, pridobljenega s kršitvijo pravice do zasebnosti, posebej utemeljene okoliščine. Izvedba takega dokaza bi morala imeti poseben namen za izvrševanje neke ustavno zavarovane pravice. V takem primeru mora sodišče upoštevati načelo sorazmernosti in skrbno prisoditi, kateri pravici je treba dati prednost.

Po mnenju sodišča namreč:

Posnetka oziroma tonskega zapisa telefonskega pogovora tudi ni mogoče enačiti z zapiski o pogovoru. Gre namreč za bistveno kakovostno razliko… Kot je bilo že poudarjeno, daje tonski zapis oblast nad tujo osebo oziroma njeno osebno dobrino, ker omogoča ponovitev (vnovično predvajanje). Če je torej to storjeno brez vednosti prizadete osebe, je s tem poseženo v izključno pravico osebe, da sama razpolaga s svojo besedo oziroma z glasom.

Slovenska sodna praksa se tako praviloma postavlja na stran posameznika, kar kaže tudi odločitev Upravnega sodišča RS, s katero je le-to zaposlenemu priznalo pravico do varstva zasebnosti pri uporabi službenih mobilnih telefonov (Klemenčič, 2003: 137). V razsodbi U702/99 (sodba Upravnega sodišča št. U 702/99 z dne 21. 3. 2000) je Upravno sodišče presodilo, da se varstvo zasebnosti, zagotovljeno v 37. členu Ustave RS, nanaša tudi na službene telefone, pridobitev in uporaba izpiskov telefonskih klicev službenega telefona pa predstavlja kršitev. V obrazložitvi sodbe so zapisali:

Sodišče je glede na ugovor tožene stranke, da je šlo za službene telefone, ugotovilo, da pojem tajnosti pisem in drugih občil zajema tako zasebne kot tudi službene komunikacije. Zaupnost razmerij, v katere vstopa posameznik, ne more biti uporabljena kot kriterij, ki bi določal obseg zaščite komunikacijske zasebnosti. … Pojem zasebno življenje torej vsebuje tako zasebne kot tudi službene telefonske linije, zaradi česar ni pomembna lastnina ali pripadnost določenega telekomunikacijskega sredstva. To varstvo je dano vsem osebam in ni mogoče slediti navedbi tožene stranke, da to ne velja za tožnike, ki so uporabljali mobilne telefone v lasti tožene stranke. Lastninski koncept zasebnosti, to je pristop z vidika dejstva, čigavo je komunikacijsko sredstvo, ki je bilo nadzirano, ni relevanten. Tudi Ustava RS ne ločuje zasebnosti v zasebni in službeni sferi.

Glede obsega pravice do zasebnosti na delovnem mestu je sicer jasno, da je odvisen tako od delovnih nalog, ki jih zaposleni opravlja (npr. rokovanje s tajnimi podatki, itd.) in zahtev delovnega mesta (po npr. varovanju poslovnih skrivnosti), za nadzor pa je bistveno, da je transparenten in sorazmeren. Nadzor komunikacij zaposlenega zaradi ugotavljanja ali zaposleni morda ne “zapravlja” časa podjetja za zasebne namene ni ne sorazmeren, ne potreben. Za odpoved pogodbe o zaposlitvi namreč zadostuje že to, da delavec ni opravil dodeljenih nalog. Ali jih ni opravil zaradi pretirane uporabe interneta, elektronske pošte in telefona v neslužbene namena ali pa iz drugih razlogov, pa je ob vsem skupaj povsem irelevantno.

Ob tem določene posege v zasebnost – tudi na delovnem mestu – sankcionira in prepoveduje tako kazenska, kot tudi zakonodaja, ki se nanaša na varstvo osebnih podatkov.

Sklep

Pri vprašanju zasebnosti na delovnem mestu prihaja do trka lastninske pravice delodajalca in pravice do zasebnosti zaposlenega. Evropska pravna praksa se je postavila na stališče, da lastninska pravica ne prevlada samodejno nad pravico do zasebnosti, kar pomeni, da je pravico do zasebnosti potrebno (vsaj do določene mere) spoštovati tudi na delovnem mestu. Seveda pa je jasno, da tudi pravica do zasebnosti ni absolutna in tudi ta ne more prevladati nad lastninsko pravico delodajalca. Pomembni pa so tudi družbeni in psihološki vidiki. Pretiran nadzor namreč lahko omejuje kreativnost, motivacijo in lojalnost zaposlenega, zato na določeni točki lahko postane celo kontraproduktiven.

Ravno zaradi kolizije zgoraj omenjenih pravic pa je jasno, da bo vprašanje zasebnosti na delovnem mestu v prihodnosti sprožalo še številne polemike. Na to nakazuje tudi v začetku leta 2009 na Finskem sprejeta novela zakona o varstvu podatkov in elektronskih komunikacij (novela zakona je znana tudi pod imenom “Lex Nokia”; za sprejem zakona naj bi namreč lobiralo podjetje Nokia, ki pa je to zanikalo), ki delodajalcem v primeru suma kraje poslovnih skrivnosti daje pravico, do vpogleda v prometne podatke službene elektronske pošte zaposlenih (European Digital Rights, 2008). Zakon je že v fazi predloga požel precej kritik, številni pravni strokovnjaki pa so mnenja, da je protiustaven in morda tudi v neskladju z Evropsko konvencijo o človekovih pravicah. Posegi v zasebnost morajo namreč imeti ustrezno zakonsko podlago, hkrati pa morajo biti tudi nujni v demokratični družbi oziroma sorazmerni. In ravno vprašanja sorazmernosti, ter soglasja zaposlenega oziroma prisile delodajalca so tista, ki bodo v prihodnosti zakoličila obseg pravice do zasebnosti na delovnem mestu.

Viri in literatura

  1. ACLU. 2003. »Privacy in America: Electronic Monitoring«. <http://www.aclu.org/Privacy/Privacy.cfm?ID=14170&c=132> (Datum dostopa: 19. 4. 2005; povezava ni več dostopna, nova povezava je: <http://www.aclu.org/technology-and-liberty/privacy-america-electronic-monitoring>).
  2. Bogataj, Maja (ur.). 2003. Internet in pravo. Ljubljana: Pravna fakulteta.
  3. Cate, H. Fred. 2007. »European Court of Human Rights Expands Privacy Protections: Copland v. United Kingdom«. ASIL Insights, Volume 11, Issue 21, 6. avgust 6 2007. <http://www.asil.org/insights070806.cfm>. (Datum dostopa: 28. 10. 2009).
  4. EPIC. 2005. »United States v. Councilman«. <http://epic.org/privacy/councilman/>. (Datum dostopa: 1. 10. 2009).
  5. European Digital Rights. 2008. Snooping law, “Lex Nokia”, proceeding slowly but surely in Finland. EDRi-gram, št. 6.24, 17. december 2008. <http://www.edri.org/edri-gram/number6.24/nokia-law-finland-snooping>. (Datum dostopa: 20. oktober 2009).
  6. Klemenčič, Goran. 2001. »Varstvo elektronske zasebnosti«. V Potrč, Matjaž (ur.). 2001. Internet in pravo, str. 129–191. Ljubljana: Pasadena.
  7. Klemenčič, Goran. 2002. »37. člen (varstvo tajnosti pisem in drugih občil)«. V Šturm, Lovro (ur.). 2002. Komentar ustave republike Slovenije, str. 391–408. Ljubljana: Fakulteta za podiplomske državne in evropske študije.
  8. Klemenčič, Goran. 2003. »Internet in pravica do zasebnosti«. V Bogataj, Maja (ur.). 2003. Internet in pravo, str. 101–141. Ljubljana: Pravna fakulteta.
  9. Potrč, Matjaž (ur.). 2001. Internet in pravo. Ljubljana: Pasadena.
  10. Schulman, Andrew. 2001. »The Extent of Systematic Monitoring of Employee E-mail and Internet Use«. <http://www.sonic.net/~undoc/extent.htm>. (Datum dostopa: 17. 1. 2004).
  11. Sinrod, J. Eric. 2004. »E-Legal: Employer Access to Employee E-Mails«. Law.com, 27. januar 2004. <http://www.law.com/jsp/article.jsp?id=900005537772>. (Datum dostopa: 11. 6. 2004; povezava je plačljiva).
  12. Sykes, J. Charles. 1999. The End Of Privacy. New York: St. Martin’s Press.
  13. Šturm, Lovro (ur.). 2002. Komentar ustave republike Slovenije. Ljubljana: Fakulteta za podiplomske državne in evropske študije.
  14. Whitaker, Reg. 1999. The End of Privacy. New York: The New Press.

Pravni dokumenti ZDA

  1. 4. amandma, Listina svoboščin (Bill of Rights), 1791.
  2. Electronic Communication Privacy Act of 1986, 18 U.S.C. (1986).
  3. Bonita P. Bourke, et. al. v. Nissan Motor Corporation, No. 68-705 (Cal.Ct.App.1993).
  4. McLaren v. Microsoft, No. 05-97-00824 (Tex. Ct. App. 28. maj, 1999).
  5. Smith v. Maryland, 242 U.S. 735 (1979).
  6. Shoars v. Epson America Inc., No. (SWC) II2749 (Cal App. Dep’t. Super. Ct. Dec 8, 1992).
  7. United States of America v. Bradford C. Councilman, No. 03-1383 (1st Cir., June 29, 2004).

Odločitve Evropskega sodišča za človekove pravice

  1. Copland v. Velika Britanija, odločba z dne 3. 4. 2007.
  2. Halford v. Velika Britanija, odločba z dne 25. 6. 1997.
  3. Kopp v. Švica, odločba z dne 25. 3. 1998.
  4. Lambert v. Francija, odločba z dne 24. 8. 1998.
  5. Malone v. Velika Britanija, odločba z dne 02. 08. 1984.
  6. Niemietz v. ZR Nemčija, odločba z dne 16. 12. 1992.

Odločitve Kasacijskega sodišča Francije

  1. Philippe K. v. Cathnet-Science, Cour de Cassation, Chambre Sociale, Arret No. 1089 FS-P+B+R+1, Pourvoi No. J-03-40.017, 5/17/05.
  2. Societe Nikon France v. M. Onof, Cass. soc., 2. oktober 2001, Bull Civ. V, No. 291.

Dokumenti Sveta Evrope

  1. Svet Evrope. 1950. Evropska konvencija o varstvu človekovih pravic in temeljnih svoboščin, spremenjena s protokoli št. 3, 5 in 8 ter dopolnjena s protokolom št. 2, ter njeni protokoli št. 1, 4, 6, 7, 9, 10 in 11 (Convention on Human Rights and Fundamental Freedoms as amended by Protocols Nos. 3, 5 and 8 and amended by Protocol No. 2 and its Protocols Nos. 1, 4, 6, 7, 9, 10 and 11), sprejel jo je Svet Evrope leta 1950. Uradni list RS, št. 33/1994, “Mednarodne pogodbe”, št. 7/1994, 13. 6. 1994. Konvencijo je državni zbor Republike Slovenije ratificiral 13. 6. 1994. Veljati je začela dne 28. 6. 1994.
  2. Svet ministrov Sveta Evrope. 1989. Priporočilo Sveta Evrope št. R(89) 2 o varstvu osebnih podatkov, uporabljanih za zaposlovanje (Recommendation No. R (89) 2 on the protection of personal data used for employment purposes), sprejeto 18 januarja 1989.

Dokumenti EU

  1. Article 29 Working Party on Data Protection. 2001. Opinion 8/2001 on the processing of personal data in the employment context, iz dne 13. septembra 2001. <http://ec.europa.eu/justice_home/fsj/privacy/docs/wpdocs/2001/wp48en.pdf>. (Datum dostopa: 28. 10. 2009; povezava ni več dostopna, vsebina je dostopna na <http://www.garanteprivacy.it/garante/document?ID=1365969>).

Slovenski pravni dokumenti

  1. Ustava Republike Slovenije, Uradni list RS, št. 33/91-I, 42/97, 66/2000, 24/03, 69/04 in 68/06.
  2. Sodba Upravnega sodišča št. U 702/99 z dne 21. 3. 2000.
  3. Odločba Ustavnega sodišča RS, št. Up-472/02, Uradni list RS, št. 114/2004.
  4. Odločba Ustavnega sodišča RS, št. Up-106/05, Uradni list RS, št. 100/2008.
Shoars v. Epson America Inc., No. (SWC) II2749 (Cal App. Dep’t. Super. Ct. Dec 8, 1992)