Aká je účinnosť obmedzenia prístupu k (osobným) údajom?

od systému sa vyžaduje, aby poskytoval údaje v podstate hocikomu ... s výnimkou individuálnych osobných údajov, samozrejme. Modelovou situáciou môže byť (s istým zjednodušením) trebárs možnosť požadovať informácie od orgánu štátnej správy ... zásady tzv. slobodného prístupu k informáciám dávajú hocikomu možnosť žiadať od štátnej správy rôzne informácie, princípy ochrany osobných údajov zas príslušnému orgánu zakazujú poskytnúť osobné údaje. Ide teda o situáciu, kedy z nejakého systému môžme dostať odpovede na otázky, s výnimkou otázok, ktoré požadujú ako odpoveď osobné údaje konkrétnej osoby (prípadne ďalšie údaje, výslovne označené ako utajované).

Ak sú v systéme zrealizované bezpečnostné opatrenia, ktoré obmedzia prístup k osobným údajom len na oprávnené osoby, ktoré sú poučené o zákaze poskytovania údajov iným osobám, pri klasickom chápaní problému by malo byť všetko OK (žiadosť o poskytnutie osobných údajov bude odmietnutá). Premýšľajúci zvedavec však môže postupovať iným spôsobom – nebude požadovať priamo osobné údaje, ale svoje požiadavky sformuluje tak, aby bol schopný zo získaných odpovedí hľadané údaje odvodiť (vypočítať). Ilustrujme to na zjednodušenom príklade:

Chceme vedieť aký plat má úradník S. Nemôžme položiť priamu otázku, nakoľko v takom prípade orgán štátnej správy odmietne odpovedať s odvolaním sa na to, že ide o osobný údaj. Vyberieme si teda ďalších dvoch úradníkov, nazvime ich T a U, a postupne (prípadne cez kamarátov) položíme otázky „aký je súčet platov S a T?“, „aký je súčet platov T a U?“ a „aký je súčet platov S a U?“. Evidentne sa takýmito otázkami nežiada poskytnutie osobných údajov, iba výsledky jednoduchých operácii, ktoré nespĺňajú definíciu osobných údajov. Pritom pomocou odpovedí na uvedené otázky premýšľajúci zvedavec zostaví 3 rovnice o troch neznámych, kde neznámymi veličinami sú platy S, T a U, a sústavu rovníc vyrieši buď ručne (nostalgický návrat k rokom stráveným v škole), alebo túto úlohu outsourcuje najbližšiemu šikovnému študentovi.

Nejde o žiaden záblesk geniality, ale o známu, aj keď trochu postaršiu, techniku tzv. inferenčného útoku, ktorú určite už od dôb počítačového praveku poznajú pracovníci Štatistického úradu (pozri napr. §30 odsek 6 zákona č. 540/2001 Z.z. o štátnej štatistike). Otázka je, nakoľko je niečo podobné známe mimo Štatistického úradu. Popísaný trik nefunguje pre súčasné znenie zákona o slobodnom prístupe k informáciám (infozákon), nakoľko ten neprikazuje vyhovieť požiadavke o vykonanie hoci aj elementárnych operácii nad údajmi ... môžeme len hádať, ktorá z nasledovných možností správne vysvetľuje, prečo to tak je:

a) zo strany zákonodarcov šlo o vedomú snahu zabrániť využitiu infozákona na získanie osobných údajov postupmi podobnými tomu vyššie popísanému

b) zo strany zákonodarcov šlo o vedomú snahu uľahčiť úradníkom život, t.j. aby nemuseli s údajmi vykonávať najrôznejšie operácie, ktoré by si žiadatelia určite vymysleli a požadovali

c) je to len náhoda, zákonodarcov ani nenapadlo že by sa na príslušnú situáciu dal použiť inferenčný útok (ak vôbec vedeli, že také čosi existuje)

Nech už je správna odpoveď akákoľvek, možno konštatovať že infozákonom v súčasnom znení sa zákonodarcovia dostali len na krok od stavu, kedy by inferenčný útok mohol byť v praxi využiteľný na neoprávnené získavanie osobných údajov (nie nutne len údajov o platoch, samozrejme). Dôležité pritom je, že ide o využitie tohto princípu aj mimo oblasti štatistických systémov – teda aj tam, kde o ňom nemusia mať ani tušenia.

Nepochybujem, že keď sa u nás pripravuje, resp. schvaľuje zákon či vyhláška, kde ide o.i. aj o získavanie či spracovanie osobných údajov, niekoho už napadne že je potrebné myslieť aj na ich ochranu. Otázka však je, či niekoho napadne pozrieť sa na návrh aj z pohľadu prípadného využitia takých nepriamych útokov, ako je inferenčný útok, na získanie osobných údajov. Nepokladám za realistické očakávať, že legislatívnym špecialistom je princíp takých útokov známy ... kto by teda mal/mohol byť tým, kto na prípadný problém v tomto smere včas (teda ešte v etape prípravy) upozorní? Pretože ak sa prijme legislatíva, na základe ktorej bude prevádzkovaný systém z ktorého bude možné inferenčným útokom „vytiahnuť“ (osobné) údaje, nepomôže nastavovanie prístupových práv či iné spôsoby obmedzenia prístupu k chráneným údajom...