Poklicna skrivnost v digitalni dobi

Težava, ki je skoraj nihče ne vidi

Odvetnik na svoj telefon prejme zaupen dokument stranke. Zdravnik se s kolegom pogovarja o občutljivi diagnozi. Psiholog s psihiatrom usklajuje zdravljenje pacienta. Davčni svetovalec pošilja podatke o napovedi, ki čaka na revizijo. Vsi to počnejo prek trenutnega sporočanja. In skoraj nihče se ne ustavi, da bi razmislil, kje ta sporočila dejansko končajo.

Odgovor je v večini primerov enak: na strežniku, ki ga strokovnjak ne nadzoruje, v državi, katere zakonodaje nujno ne pozna, ki ga upravlja podjetje, katerega poslovni model je – v neposrednih ekonomskih terminih – kopičenje podatkov. Sporočilo je lahko med prenosom šifrirano. Toda ko doseže strežnik, je to kopija, shranjena v infrastrukturi tretje osebe, podvržena operativnim, pravnim in komercialnim odločitvam te tretje osebe. Ne strokovnjaka.

Kaj pravi zakonodaja

Evropska splošna uredba o varstvu podatkov je v svojem 32. členu nedvoumna: kdor koli obdeluje osebne podatke, mora izvajati "ustrezne" tehnične in organizacijske ukrepe za zagotovitev ravni varnosti, ki ustreza tveganju. Ustreznost ukrepov se ne presoja glede na to, "kaj aplikacija pravi, da počne", temveč glede na dejansko tveganje. Če podatki stranke končajo na strežniku, katerega jurisdikcija ne zagotavlja ravni varstva, ki bi bila enakovredna tisti v Evropskem gospodarskem prostoru, upravljavec – torej strokovnjak – prevzame tveganje, ki se ga verjetno ne zaveda v celoti.

In ne gre le za GDPR. Poklicna skrivnost, ki je posebej urejena za odvetnike, zdravnike, psihologe, revizorje, novinarje in druge, zahteva, da je komunikacija s stranko zaupna. Ne "čim bolj zaupna". Zaupna brez odlašanja. Če uporabljeni tehnični kanal tega ne more zagotoviti, strokovnjak prevzame tveganje, ki ga deontologija njegovega poklica ne dopušča.

Paradoks je, da je tveganje nevidno. Nihče ne izvaja revizije sporočanja v pisarni. Nihče ne zahteva pogodbe o obdelavi podatkov od ponudnika klepeta. Tveganje se pojavi šele, ko je prepozno: razkritje, objavljena varnostna kršitev, sodni nalog, izvršen na drugi celini brez obvestila uporabniku.

Kaj strokovnjak tehnično potrebuje

Kaj nekdo s poklicno skrivnostjo potrebuje, je z vidika zahtev dejansko presenetljivo enostavno:

• Kanal, kjer sporočila potujejo neposredno z naprave pošiljatelja na napravo prejemnika, ne da bi šla prek vmesnega strežnika, ki hrani kopije.
• Infrastrukturo, katere jurisdikcija in politike so z zasnovo usklajene z GDPR, ne z izjavo.
• Način identifikacije s sogovornikom, ne da bi bilo treba tretji osebi predati poslovne stike (imena strank, telefonske številke, imenik).
• Preverljiv sistem – ki ne temelji na besedi ponudnika – za potrditev, da je sporočilo prispelo k pravi osebi.

To ni zahteven seznam. To je dejansko tisto, kar se je v pred-digitalni poklicni komunikaciji zdelo samo po sebi umevno. Priporočeno pismo je izpolnjevalo vse te kriterije. Telefonski klic iz centrale pisarne v centralo stranke prav tako. Nenavadno ni to, da se te garancije zahtevajo danes: nenavadno je, da so se ob prehodu na digitalni kanal izgubile, ne da bi kdo opazil.

Razlika med šifriranjem in ne-shranjevanjem

Obstaja uporabna metafora. Šifrirati sporočilo in ga shraniti na strežnik je enakovredno temu, da dokument položite v sef in sef pustite v hiši neznanca. Sef je dober. Dokumenta načeloma ni mogoče prebrati. Toda dokument se še vedno nahaja v hiši nekoga drugega. In ta nekdo lahko prejme sodni nalog, utrpi kibernetski napad, spremeni pogoje storitve, ga kupi drugo podjetje z drugo etiko ali pa jutri izgine.

Strukturna alternativa – ne postopkovna, ne na podlagi zaupanja – je, da dokument nikoli ne zapusti pisarne. Da potuje neposredno z mize strokovnjaka na mizo stranke, brez kakršnega koli posrednika. To je tisto, kar tehnično počne komunikacija od točke do točke med napravami: odpravlja posrednika. Ne gre za to, da bi bil posrednik hudoben. Gre le za to, da je v primeru poklicne skrivnosti posrednik nepotreben. In tisto, kar je nepotrebno, je treba v vsakem sistemu, ki želi biti varen, načeloma odpraviti.

Vprašanje odgovornosti

Navsezadnje je vprašanje, na katerega bi moral vsak strokovnjak z dolžnostjo varovanja skrivnosti znati odgovoriti z odločnim da, naslednje:

Če jutri pride do razkritja pogovora z eno od mojih strank in me sodišče ali poklicna zbornica vpraša, kako upravljam zaupnost, ali lahko tehnično dokažem, da kanal, ki sem ga uporabil, ne hrani kopij v infrastrukturi tretjih oseb? Ali lahko dokažem, da podatki nikoli niso zapustili naprav dveh oseb, ki sta sodelovali v pogovoru? Ali lahko, ne da bi se zanesel na besedo podjetja z druge celine, dokažem, da je bila zaupnost zagotovljena z arhitekturo in ne z obljubo?

Če je odgovor ne, težava ni v konkretnem orodju. Težava je v tem, da je bila orodju dodeljena odgovornost, za katero orodje ni bilo zasnovano. To je tako, kot bi zaupne spise dali v prozorno kuverto in zaupali poštarju, da ne bo pogledal vanjo.

Orodje, ki ga strokovnjak izbere za komunikacijo s svojimi strankami, pove veliko o tem, kako ceni njihovo zaupanje. Obstajajo orodja, zasnovana tako, da to zaupanje ni odvisno od obljub, temveč od arhitekture. In obstajajo orodja, ki niso takšna. Poznavanje razlike je del dela.