Profesní tajemství v digitální éře

Problém, který téměř nikdo nevidí

Advokát obdrží na svůj telefon citlivý dokument od klienta. Lékař konzultuje s kolegou choulostivou diagnózu, zatímco psycholog koordinuje s psychiatrem léčbu pacienta. A daňový poradce zasílá stejným kanálem údaje k daňovému přiznání, které čeká na revizi. Všichni k tomu využívají platformy pro okamžité zasílání zpráv. A téměř nikdo z nich se nepozastaví nad tím, kde tyto zprávy ve skutečnosti končí.

Odpověď je ve většině případů stejná: na serveru, který profesionál nemá pod kontrolou, v zemi, jejíž legislativu nutně nezná, a je spravován společností, jejímž obchodním modelem je z ekonomického hlediska shromažďování dat. Zpráva může být během přenosu šifrována. Jakmile však dorazí na server, stává se kopií uloženou v infrastruktuře třetí strany a podléhá provozním, právním a obchodním rozhodnutím této třetí strany. Nikoli rozhodnutím profesionála.

Co říká legislativa

Evropské obecné nařízení o ochraně osobních údajů je ve svém článku 32 jednoznačné: kdokoli zpracovává osobní údaje, musí uplatnit "vhodná" technická a organizační opatření, aby zajistil úroveň zabezpečení odpovídající riziku. Vhodnost opatření se neposuzuje podle toho, "co aplikace říká, že dělá", ale podle skutečného rizika. Pokud data klienta skončí na serveru, jehož jurisdikce nezaručuje úroveň ochrany odpovídající Evropskému hospodářskému prostoru, správce údajů – tedy profesionál – podstupuje riziko, kterého si pravděpodobně není plně vědom.

A není to jen GDPR. Profesní tajemství, upravené specificky pro advokáty, lékaře, psychology, auditory, novináře a další, vyžaduje, aby komunikace s klientem byla důvěrná. Nikoliv "důvěrná v rámci možností". Důvěrná bez výhrad. Pokud použitý technický kanál toto nemůže zaručit, profesionál podstupuje riziko, které mu etika jeho povolání nedovoluje podstoupit.

Paradoxem je, že riziko je neviditelné. Nikdo neaudituje messaging v kanceláři. Nikdo nežádá o smlouvu o zpracování údajů od poskytovatele chatu. Riziko se vynoří, až když je pozdě: únik, zveřejněné narušení bezpečnosti, soudní příkaz vykonaný na jiném kontinentu bez oznámení uživateli.

Co profesionál technicky potřebuje

To, co profesionál s povinností mlčenlivosti potřebuje, je z hlediska požadavků ve skutečnosti překvapivě jednoduché:

• Kanál, kde zprávy putují přímo ze zařízení odesílatele do zařízení příjemce, aniž by procházely přes zprostředkující server, který ukládá kopie.
• Infrastrukturu, jejíž jurisdikce a politika jsou v souladu s GDPR již z principu návrhu, nikoli jen prohlášením.
• Způsob identifikace s protějškem, aniž by bylo nutné předávat třetí straně profesní kontakty (jména klientů, telefonní čísla, seznam kontaktů).
• Ověřitelný systém – nikoli založený na slově poskytovatele – pro potvrzení, že zpráva dorazila správné osobě.

Není to náročný seznam. Je to ve skutečnosti to, co se v předdigitální profesionální komunikaci považovalo za samozřejmé. Doporučený dopis splňoval všechna tato kritéria. Telefonní hovor z ústředny kanceláře k ústředně klienta rovněž. Zvláštní není to, že tyto záruky jsou vyžadovány dnes: zvláštní je, že se ztratily při přechodu na digitální kanál, aniž by si toho kdokoli všiml.

Rozdíl mezi šifrováním a neukládáním

Existuje užitečná metafora. Zašifrovat zprávu a uložit ji na server je ekvivalentní vložení dokumentu do trezoru a ponechání trezoru v domě cizího člověka. Trezor je dobrý. Dokument v principu nelze přečíst. Dokument však stále zůstává v domě někoho jiného. A tento někdo může obdržet soudní příkaz, může utrpět kybernetický útok, může změnit své servisní podmínky, může být koupen jinou společností s jinou etikou nebo může zítra zmizet.

Strukturální alternativou, která není ani procedurální, ani založená na důvěře, je to, že dokument nikdy neopustí kancelář. Že putuje přímo od stolu profesionála na stůl klienta, aniž by prošel jakýmkoli zprostředkovatelem. Právě to technicky zajišťuje komunikace point-to-point (P2P) mezi zařízeními: eliminuje zprostředkovatele. Zprostředkovatel není špatný: v případě profesního tajemství je zkrátka zbytečný. A to, co je zbytečné, by mělo být z jakéhokoli systému, který aspiruje na to být bezpečný, z principu odstraněno.

Otázka odpovědnosti

Nakonec otázka, na kterou by měl být schopen každý profesionál s povinností mlčenlivosti odpovědět rázné ano, zní následovně:

Pokud by zítra unikla konverzace s jedním z mých klientů a soud nebo profesní komora by se mě zeptaly, jak spravuji důvěrnost, mohu technicky prokázat, že kanál, který jsem použil, neukládá kopie v infrastruktuře třetích stran? Mohu dokázat, že data nikdy neopustila zařízení dvou osob, které se konverzace účastnily? Mohu bez závislosti na slově společnosti z jiného kontinentu dokázat, že důvěrnost byla zaručena architekturou, a nikoli slibem?

Pokud zní odpověď ne, nejedná se o problém konkrétního nástroje: je to tím, že mu byla delegována odpovědnost, pro kterou nebyl navržen. Je to jako vložit důvěrné spisy do průhledné obálky a spoléhat na to, že se pošťák nepodívá dovnitř.

Nástroj, který si profesionál vybere ke komunikaci se svými klienty, vypovídá mnohé o tom, jak si cení jejich důvěry. Existují nástroje navržené tak, aby tato důvěra nezávisela na slibech, ale na architektuře. A existují nástroje, které takové nejsou. Znát rozdíl je součástí práce.