Poklicna skrivnost v digitalni dobi

Težava, ki je skoraj nihče ne vidi

Odvetnik prejme na svoj telefon občutljiv dokument stranke. Zdravnik se s kolegom posvetuje o občutljivi diagnozi, medtem ko psiholog usklajuje zdravljenje pacienta s psihiatrom. Davčni svetovalec po istem kanalu pošilja podatke o prijavi, ki čaka na pregled. Vsi to počnejo prek aplikacij za neposredno sporočanje. In skoraj nihče se ne ustavi, da bi pomislil, kje ta sporočila dejansko končajo.

Odgovor je v večini primerov enak: na strežniku, ki ga strokovnjak ne nadzoruje, v državi, katere zakonodaje ne pozna nujno, in ki ga upravlja podjetje, katerega poslovni model je, neposredno v ekonomskem smislu, kopičenje podatkov. Sporočilo je med prenosom lahko šifrirano. A ko doseže strežnik, je to kopija, shranjena v infrastrukturi tretje osebe, in je podvržena operativnim, pravnim in komercialnim odločitvam te tretje osebe. Ne pa odločitvam strokovnjaka.

Kaj pravi zakonodaja

Evropska splošna uredba o varstvu podatkov je v svojem 32. členu nedvoumna: kdor koli obdeluje osebne podatke, mora izvajati "ustrezne" tehnične in organizacijske ukrepe za zagotovitev ravni varnosti, ki ustreza tveganju. Ustreznost ukrepov se ne presoja glede na to, "kaj aplikacija pravi, da počne", temveč glede na dejansko tveganje. Če podatki stranke končajo na strežniku, katerega jurisdikcija ne zagotavlja ravni varstva, ki bi bila enakovredna tisti v Evropskem gospodarskem prostoru, upravljavec – torej strokovnjak – prevzame tveganje, ki se ga verjetno ne zaveda v celoti.

In ne gre le za GDPR. Poklicna skrivnost, ki je posebej urejena za odvetnike, zdravnike, psihologe, revizorje, novinarje in druge, zahteva, da je komunikacija s stranko zaupna. Ne "čim bolj zaupna". Zaupna brez odlašanja. Če uporabljeni tehnični kanal tega ne more zagotoviti, strokovnjak prevzame tveganje, ki ga deontologija njegovega poklica ne dopušča.

Paradoks je, da je tveganje nevidno. Nihče ne izvaja revizije sporočanja v pisarni. Nihče ne zahteva pogodbe o obdelavi podatkov od ponudnika klepeta. Tveganje se pojavi šele, ko je prepozno: razkritje, objavljena varnostna kršitev, sodni nalog, izvršen na drugi celini brez obvestila uporabniku.

Kaj strokovnjak tehnično potrebuje

Kaj nekdo s poklicno skrivnostjo potrebuje, je z vidika zahtev dejansko presenetljivo enostavno:

• Kanal, kjer sporočila potujejo neposredno z naprave pošiljatelja na napravo prejemnika, ne da bi šla prek vmesnega strežnika, ki hrani kopije.
• Infrastrukturo, katere jurisdikcija in politike so z zasnovo usklajene z GDPR, ne z izjavo.
• Način identifikacije s sogovornikom, ne da bi bilo treba tretji osebi predati poslovne stike (imena strank, telefonske številke, imenik).
• Preverljiv sistem – ki ne temelji na besedi ponudnika – za potrditev, da je sporočilo prispelo k pravi osebi.

To ni zahteven seznam. To je dejansko tisto, kar se je v pred-digitalni poklicni komunikaciji zdelo samo po sebi umevno. Priporočeno pismo je izpolnjevalo vse te kriterije. Telefonski klic iz centrale pisarne v centralo stranke prav tako. Nenavadno ni to, da se te garancije zahtevajo danes: nenavadno je, da so se ob prehodu na digitalni kanal izgubile, ne da bi kdo opazil.

Razlika med šifriranjem in ne-shranjevanjem

Obstaja uporabna metafora. Šifrirati sporočilo in ga shraniti na strežnik je enakovredno temu, da dokument položite v sef in sef pustite v hiši neznanca. Sef je dober. Dokumenta načeloma ni mogoče prebrati. Toda dokument se še vedno nahaja v hiši nekoga drugega. In ta nekdo lahko prejme sodni nalog, utrpi kibernetski napad, spremeni pogoje storitve, ga kupi drugo podjetje z drugo etiko ali pa jutri izgine.

Strukturna alternativa, ki ni procesna ali temelječa na zaupanju, je v tem, da dokument nikoli ne zapusti pisarne. Da potuje neposredno z mize strokovnjaka na mizo stranke, brez kakršnih koli posrednikov. To je tisto, kar tehnično počne komunikacija od točke do točke (point-to-point) med napravami: odpravi posrednika. Posrednik ni slab: v primeru poklicne skrivnosti je preprosto nepotreben. Kar pa je nepotrebno, mora biti v katerem koli sistemu, ki si prizadeva biti varen, načeloma odstranjeno.

Vprašanje odgovornosti

Navsezadnje je vprašanje, na katerega bi moral vsak strokovnjak z dolžnostjo varovanja skrivnosti znati odgovoriti z odločnim da, naslednje:

Če jutri pride do razkritja pogovora z eno od mojih strank in me sodišče ali poklicna zbornica vpraša, kako upravljam zaupnost, ali lahko tehnično dokažem, da kanal, ki sem ga uporabil, ne hrani kopij v infrastrukturi tretjih oseb? Ali lahko dokažem, da podatki nikoli niso zapustili naprav dveh oseb, ki sta sodelovali v pogovoru? Ali lahko, ne da bi se zanesel na besedo podjetja z druge celine, dokažem, da je bila zaupnost zagotovljena z arhitekturo in ne z obljubo?

Če je odgovor ne, to ni problem določenega orodja: gre za to, da mu je bila prenesena odgovornost, za katero ni bilo zasnovano. To je tako, kot bi dali zaupne spise v prozorno ovojnico in zaupali poštarju, da vanjo ne bo pogledal.

Orodje, ki ga strokovnjak izbere za komunikacijo s svojimi strankami, pove veliko o tem, kako ceni njihovo zaupanje. Obstajajo orodja, zasnovana tako, da to zaupanje ni odvisno od obljub, temveč od arhitekture. In obstajajo orodja, ki niso takšna. Poznavanje razlike je del dela.