Článek
Na ministerstvu zdravotnictví letos na jaře několik týdnů běželo sledování toho, co zaměstnanci dělají na pracovních počítačích. Prováděla ho externí firma, monitoring podle zaměstnanců probíhal i večer a o víkendech a dotčení lidé se o něm dozvěděli až v červenci - z doslechu.
Desítky z nich pak podepsaly petici a odbory se obrátily na Úřad pro ochranu osobních údajů a na Státní úřad inspekce práce. Ministr Adam Vojtěch to odmítá jako nedorozumění: podle něj šlo o technické prověření pracovních zařízení kvůli kybernetické bezpečnosti a obsah komunikace nikdo nečetl.
Nechme stranou spor o to, co přesně software sbíral. I kdyby mělo ministerstvo pro monitoring dobrý důvod, zbývá povinnost, kterou nesplnilo tak jako tak.
Zákon nezakazuje kontrolu, zakazuje ji tajit
Zákoník práce se sledováním na pracovišti počítá. V § 316 říká, že zaměstnavatel nesmí bez závažného důvodu spočívajícího ve zvláštní povaze jeho činnosti narušovat soukromí zaměstnanců otevřeným ani skrytým sledováním. A pokud takový důvod má, musí zaměstnance přímo informovat o rozsahu kontroly a o způsobu jejího provádění.
Ta informační povinnost je jádro věci. Kybernetická bezpečnost úřadu, který spravuje jedny z nejcitlivějších dat v zemi, je vážný důvod - o tom se přít nemusíme. Jenže právě proto, že je vážný, se dá otevřeně oznámit. Zaměstnanec, který ví, že se na pracovním počítači sleduje provoz, se podle toho zařídí. Zaměstnanec, který to neví, si tam nechá fakturu nebo lékařskou zprávu - a přesně o tom mluví petice.
Rozdíl mezi bezpečnostním auditem a sledováním lidí tedy nespočívá v použité technologii. Obojí se dělá stejným softwarem. Spočívá v tom, jestli o něm dotčení lidé předem vědí.
Druhé utajení
Je tu ale ještě jedna vrstva a ta se netýká jen zaměstnanců ministerstva.
Objednávka na tu službu se v registru smluv neobjevila. Ministerstvo tam celou věc doplnilo až poté, co se na ni opakovaně ptali novináři - a to ve formě dohody o vypořádání za nezveřejněnou objednávku, uzavřené 5. srpna a zveřejněné o den později. Obě strany v ní připouštějí, že plnění proběhlo bez platné smlouvy. Vypořádaná částka je 753 tisíc korun bez daně, tedy 911 130 korun.
Registr smluv nevznikl kvůli právníkům. Vznikl proto, aby veřejnost věděla, co si stát objednává, ještě než to doběhne. Smlouva, na kterou se povinnost zveřejnění vztahuje, nabývá účinnosti až zveřejněním; když se do tří měsíců nezveřejní, zákon ji považuje za zrušenou od počátku. To není formalita, to je sankce, kterou zákonodárce zvolil schválně a s vědomím, jak je tvrdá.
A všimněte si, jak ty dvě věci souvisejí. Kdyby byla objednávka v registru, zaměstnanci ministerstva by se o monitoringu dozvěděli odtamtud, aniž by se kdokoli musel ptát. Transparentnost veřejných zakázek tady měla fungovat jako pojistka i pro ně. Nezafungovala, protože se ten krok vynechal.
Co s tím
Věc má na stole Úřad pro ochranu osobních údajů a inspekce práce. To je správné místo a jejich závěry nemá smysl předjímat.
Tři věci se ale dají udělat hned a nezávisle na tom, jak kontroly dopadnou:
- Ministerstvo zveřejní, jaké kategorie údajů software sbíral. Ne obecné ujištění, že se nečetl obsah, ale výčet.
- Zaměstnanci se dozvědí, kdo výstupy viděl a co se s nimi dál dělo.
- Úřad si nastaví pravidlo, že zakázku tohohle typu nelze proplatit dřív, než je v registru.
Nic z toho nevyžaduje nový zákon. Všechno to plyne z těch, které platí.
Stát je v ochraně osobních údajů ve dvojí roli: sám ji vymáhá po firmách a sám je velkým zaměstnavatelem. Když úřad, který spravuje zdravotnická data celé země, nezvládne informovat vlastní lidi o tom, že je sleduje, hůř se mu pak vysvětluje komukoli jinému, proč má být pečlivý.
