Článek
O tom, jestli dětský certifikát bude, se už nediskutuje. Je prosazený, podporu měl napříč politickým spektrem a teď se řeší něco jiného: jak bude v praxi vypadat a jak konkrétně postavíme digitální systém, aby se spolek pořádající tábor dostal k informaci co nejjednodušeji. Zní to jako technikálie pro úředníky a programátory. Není. Tady se rozhodne, jestli opatření obstojí a jestli u toho nebudeme o lidech rozdávat víc údajů, než je k ochraně dětí nutné.
Nejčastěji se v téhle debatě cituje rozsudek Evropského soudu pro lidská práva ve věci Gardel proti Francii z prosince 2009. Stěžovatelem byl muž odsouzený za znásilnění patnáctiletých, nad kterými měl jako dospělý autoritu. Francie ho zapsala do své evidence pachatelů sexuálních trestných činů, kterou vede kvůli prevenci recidivy a do níž se smějí podívat i úřady, když někdo žádá o zaměstnání nebo činnost s nezletilými. Bránil se, že mu to zasahuje do soukromí. Neuspěl. Soud rozhodl, že francouzská evidence článek 8 Úmluvy neporušuje, a přesně tenhle výsledek se u nás cituje: takovou evidenci vést lze.
Vést ji lze. Soud ale ve stejném rozsudku napsal, za jakých podmínek. V odstavci 62 shrnul, co takový systém musí splnit. Vnitrostátní právo musí dát záruky, které zabrání použití osobních údajů neslučitelnému s článkem 8, a u automatizovaného zpracování je potřeba těchto záruk ještě větší. Údaje musí být „relevantní a nikoli nadbytečné vzhledem k účelům, pro které jsou uchovávány“, a v podobě umožňující identifikaci člověka smějí být uchovávány jen po nezbytnou dobu. A musí existovat účinná ochrana před zneužitím. O několik odstavců dál, v § 70, soud dodává, že do francouzské evidence mohou nahlížet pouze orgány vázané povinností mlčenlivosti a pouze za přesně vymezených okolností.
Gardel tedy není potvrzení, že projde cokoli. Je to seznam podmínek. Konkrétně z něj plynou tři, které při stavbě dětského certifikátu splnit musíme, ať už bude systém technicky vypadat jakkoli.
První podmínka: možnost ověřovat stav člověka smí mít pouze organizace, která k tomu má skutečný důvod, a pouze po dobu, kdy ten důvod trvá. Přístup musí být navázaný na konkrétní organizaci a konkrétní účel, ne na znalost čísla nebo kódu. Cokoli, co se dá přeposlat, vyfotit nebo uložit a použít znovu za rok, tuhle podmínku splnit neumí, protože ověřovat pak může kdokoli, komu se to dostane do rukou. Táborový spolek, který přijímá vedoucího, ten údaj potřebovat má. Člověk, kterému o dva roky později projde archivem sdílené e-mailové schránky, ne. Soud v § 70 mluví o mlčenlivosti a o přesně vymezených okolnostech a tohle je přesně ta situace, na kterou tam myslí.
Druhá podmínka: člověk musí mít možnost ověřování ukončit a dohledat, kdo do jeho stavu nahlížel. Souhlas, který jde dát jen jednou a nejde vzít zpět, není z hlediska článku 8 souhlas. V praxi to znamená, že na straně státu musí existovat evidence oprávnění mezi konkrétní osobou a konkrétní organizací a rozhraní, kde je lze udělit i odvolat. Bez toho nemá dotčený člověk jak zabránit tomu, aby se jeho stav ověřoval znovu a znovu, a nemá se ani kde podívat, kdo to dělá.
Třetí podmínka: organizace smí dostat jen výsledek posouzení, které za ni udělal stát a soud. Splňuje podmínky pro práci s dětmi, nebo nesplňuje. Nic víc. Spolek, který přijímá člověka pro práci s dětmi, nepotřebuje znát jeho trestní historii, a už vůbec ne trestné činy, které s prací s dětmi nesouvisejí. Ty jsou učebnicově tím, co ESLP označuje za nadbytečné vzhledem k účelu. Cokoli nad ten jeden údaj v rozhodování nepomůže a na cestě mezi státem a personalistou spolku se to může dost snadno vysypat.
Tyhle tři podmínky umí splnit model, který předkládáme k diskusi: průběžné ověřování resp. notifikační systém. Organizace jednorázově požádá o možnost ověřovat stav konkrétního člověka a on tuto vazbu potvrdí. Od té chvíle organizace nemusí kontrolovat nový dokument ani hlídat, jestli ještě platí ten starý. Když se stav změní, stát to organizaci sám oznámí. Předá jí přitom pouze údaj splněno, nebo nesplněno, bez informace o konkrétním odsouzení a bez důvodu změny. Dotčený člověk naopak vidí, které organizace jeho stav odebírají a od kdy, a tam, kde další sledování nevyžaduje zákon, může oprávnění ukončit. U krátkodobé spolupráce, třeba u letního tábora, může být oprávnění rovnou časově omezené.
Přístup k údaji je tak vázaný na konkrétní účel a konkrétního příjemce. Dá se zjistit, kdo údaj používá. Organizace dostane jen to, co k ochraně dětí opravdu potřebuje. A nevzniká přenositelný dokument ani kód, se kterým může kdokoli dál ověřovat cokoli. Pro spolky je to navíc jednodušší než papír s omezenou platností. Nemusejí hlídat kalendář, protože stát se ozve sám.
Soud ve věci Gardel nakonec uzavřel, že francouzský systém našel „spravedlivou rovnováhu mezi dotčenými soukromými a veřejnými zájmy“ a že Francie nepřekročila prostor pro vlastní uvážení, který jí Úmluva dává. Stejnou rovnováhu bychom měli hledat i u technického provedení dětského certifikátu. Ochrana dětí může být velmi silná, aniž bychom kvůli ní posílali víc osobních údajů většímu počtu lidí, než je skutečně potřeba.
