Úvodní shrnutí

Pokud shrneme, co jsme se v rozhovoru dozvěděli, pak se dá říci, že pozice Úřadu pro ochranu osobních údajů (ÚOOÚ) není zrovna záviděníhodná. Legislativa, podle které se řídí, není zcela v souladu s tou mezinárodní, což výrazně stěžuje, ne-li přímo znemožňuje, mezistátní spolupráci v některých oblastech. Kompetence jsou poněkud roztříštěné, což se ještě zvýraznilo se zánikem Ministerstva informatiky.

Ale ne vše je tak černé. Od počátku fungování úřadu se například zlepšilo personální zajištění, takže nyní zvládá úřad vyřešit více stížností než dříve.

ÚOOÚ a spam

Pokud jde o otázku spamu, je nutné si uvědomit, že ÚOOÚ může pomoci jen s řešením velmi úzce vymezené části. Musí se jednat o nevyžádané obchodní sdělení od právnické osoby, se sídlem podnikání na území ČR.
 
Pan Šnytr doporučuje u českého spamu nejdříve zkusit vyřešit zastavení jeho zasílání upozorněním odesilateli, a teprve pak se případně obracet na ÚOOÚ. To samozřejmě neplatí pro spam z ciziny, kde jsou takové pokusy naopak ve většině případů kontraproduktivní.

Video rozhovor


Přepis rozhovoru

Tak na úvod jestli byste mohl představit činnost, kterou se ÚOOÚ zaobírá.

Je to dané směrnicí Evropského parlamentu a rady z roku 1995 směrnice 46. Tam je možná právě trochu ten problém, protože je to směrnice na ochranu osob před zneužitím při zpracování jejich osobních údajů a transpozice té směrnice do českého práva je zákon, který se jmenuje zákon na ochranu osobních údajů, čili ne zákon na ochranu osob, ale na ochranu osobních údajů.

Takže u nás je to tedy trochu posunuté?

Ano, přesně tak. Čili v podstatě je to tak, že bychom měli správně řešit problémy když někdo přijde a řekne Díky tomu, že někdo o mně zpracovává takovouhle informaci, tak já z toho mám takový a takový problém. A místo toho my zkoumáme, jestli ty data jsou či nejsou osobní údaje. Takže se dohadujeme o tom, jaká množina údajů už může přimo nebo nepřímo identifikovat tu konkrétní osobu. Dostáváme se do oblasti, kdy stejná skupina údajů je v některém případě už identifikující a v některém ne. Samozřejmě na malém městě, nebo obvzlášť na vesnici, když řeknete Tonda od rybníka, tak všichni vědí o koho jde. Když to řeknete v Praze, tak samozřejmě to je nesmysl. A potom všechno další, co se k tomu nabaluje, jsou všechno osobní údaje. Například informace o tom, že máte psa, že ten pes má čtyři nohy a tak dále. Ale vytratila se nám z toho vlastně ta ochrana těch osob.

Nicméně úřad samozřejmě řeší věci týjkající se zejména stížností lidí, že se jim něco nelíbí nebo se jim něco děje. Například v poslední době v souvislosti s kamerovými systémy, s takovým tím zásahem do soukromí, který je v podstatě všude. S tím souvisí také ta kompetence, kterou tady asi chcete zejména diskutovat, a to otázka toho takzvaného spamu. Tam je asi největší problém v tom, že je to dané směrnicí 58 z roku 2002 která rozšířila tu směrnici na ochranu soukromí i do oblasti elektronických komunikací.

Takže ten spam ...

Tady nejde ani tak o spam, jako o narušení soukromí lidí. Je to sbírání informací na různých serverech, informací týkajících se vaší virtuální osobnosti, která někde na internetu vzniká. Tam jde o to, že tehdejší vedení našeho úřadu tu kompetenci odmítalo, náš pan tehdejší předseda to nechtěl, i když přímo v té směrnici je to uvažováno od začátku, že to budou ty úřady, které jsou ty nezávislé, které vykonávají ten dohled nad ochranou osobních údajů a podobně. Výsledek je takový, že máme ty kompetence opravdu jenom velmi úzce vymezené s tím, že velká část těch kompetencí ostatních je na ČTÚ. Takže my se tak jakoby překrýváme a není to úplně dobře. Třeba informace o tom, když někdo zneužije něčí e-mailovou adresu, tak to je třeba v kompetenci ČTÚ. 90% spamu jde přes zombie, což je přesně zneužití cizí e-mailové adresy.

Takže to nespadá na vás, ale na ČTÚ?

Někde se míjíme, střetáváme, a oni to v podstatě nijak zvlášť neřeší, ty kompetence a celé je to mediálně jakoby hozené na nás. A přitom my máme kompetenci opravdu velmi úzkou, a to jenom v dohledu nad nevyžádanými obchodními sděleními.

Což je tedy jenom část spamu?

To není spam. Co to je spam? Obchodní sdělení je něco, co nabízí určitý výrobek nebo službu a je to věc, která pro někoho je spam, nějaké obtěžující sdělení, a pro jiného je to výhodná obchodní nabídka. Čili závisí na příjemci, jak to vyhodnotí. Někomu se viagra třeba hodí, někomu ne. V podstatě jde o to, že je to jenom tahleta úzká oblast těch obchodních sdělení a to ještě musí být od české právnické osoby a musí to být ještě navíc skutečně nevyžádané.

A jak se pozná, že je to nevyžádané? Pozná se to nějak nebo záleží zase na úvaze?

Je to tvrzení proti tvrzení. Jeden řekne "Já jsem mu to poslal, protože jsem měl od něj souhlas" a druhý řekne "Já jsem to nechtěl, žádný souhlas jsem nedával" a teď jde o to, na čí straně je důkazní břemeno.

Máme dva principy - opt-in a opt-out. Opt-in říká, že můžete někoho jakoby obtěžovat až ve chvíli, kdy od něj máte k tomu souhlas. Opt-out říká, že ho můžete obtěžovat do té doby než řekne ne. Problém opt-in je v tom, že důkazní břemeno je na tom, kdo posílá, prototože potřebuje ten souhlas. Musí prokázat, že má souhlas. U opt-out musí ten odpůrce dokázat, že dal nesouhlas.

U nás platí oba dva principy?

Ono se to tak trochu překrývá. Původně to bylo víc opt-in, teď se do toho trochu ten opt-out vložil s tím, že se může zasílat skupině zákazníků, kteří s vámi mají nějaký obchodní vztah. Těm můžete posílat do toho nesouhlasu. Ale tady je možná zase špatná definice zákazníka. Protože zákazník je podle některých názorů už třeba tazatel, prostě kdokoli, s kým navážete jakýkoli kontakt. Čili někdo se vás zeptá Zabýváte se prodejem LCD?, vy mu napíšete ne, ale už jste s ním jakoby v obchodním jednání, takže už to můžete použít. A to se nám samozřejmě také nelíbí. To je takový velmi extenzivní výklad.

Nicméně ten zákon jako takový, když byl přepisován z té směrnice do našeho právního systému, tak si myslím, že se tam udělala spousta chyb. Je tam zaprvé velmi špatně stanovena oblast kompetenční. Ale je tam ještě druhá věc, že nemáme přístup do provozních lokalizačních údajů.

Takže jsou pak problémy s dohledáváním, s dokazováním?

Tam samozřejmě ten přímý důkaz někdy chybí. My to nahrazujeme analýzou těch datových toků, no ale je to prostě obtížné. Teď se připravuje nová směrnice, u nás bude platit až někdy za dva roky. Ta ukládá povinnost operátorům a všem provozovatelům aby si uchovávali informace po nějakou dobu, myslím že tam jsou tři roky. Ale zase to stanoví pro oblast vyšetřování závažných trestných činů.

Takže zase ne pro vás ...

Zase ne pro nás. My tam budeme mít dohled nad vydáváním těch údajů. Čili my tam budeme takový kontrolní úřad. Nicméně nám tam jde o data ne o obsah. Nám jde o formu, odkud a podobně.

Ministerstvo informatiky připravilo obdobu amerického antispamového zákona, která je skutečně zaměřena více na spam než na obchodní sdělení, a to v tom smyslu, že by to byl i trestný čin. Protože jakmile se dostaneme do oblasti trestního práva, tak tam ty vyšetřovací pravomoce jsou výrazně vyšší.

My postupujeme podle zákona o státní kontrole, což je zákon který je zaměřen na kontrolu organizací, zejména státních organizací. A je to zákon, který umožňuje kontrolovat nějakou konkrétní právnickou osobu. V případě komunikace na internetu v podstatě nevíte, od koho ta informace vychází. A protože zákon postihuje odesilatele a ne v čí prospěch to je poslané, tak jenom to, že vám někdo pošle zprávu, která je reklamou na nějaký výrobek, ještě neznamená, že to poslala firma, která ten výrobek vyrábí. Může vám to poslat dealer firmy nebo kdokoli, kdo má zájem na prodeji toho výrobku. My musíme postihnout toho odesilatele, toho neznáme, potřebujem zahájit kontrolní řízení a my nevíme vůči komu. A vyšetřování ve věci my nemůžeme dělat.

Pak je tady ještě jedna chyba a to je to, že z hlediska mezinárodního jsou tři důležitá kritéria spamu a to je hromadnost zprávy, jestli někomu vznikla újma a jestli způsobil nějakou škodu. Náš zákon nepostihuje ani jedno z nich. My tedy v rámci mezinárodní spolupráce velmi těžko uplatňujem naše stížnosti, protože neobsahují to podstatné.

Navíc u nás si může stěžovat každý na každou nevyžádanou zprávu, což se děje, takže při velmi nízkém kapacitním počtu (byli jsme původně dva) jsme dostali tisíc stížností během prvního roku. Postupovali jsme podle jakýchsi zažitých metod. Museli jsme firmu vyhledat, navštívit, prohlédnout jim databázi a udělali jsme třeba dva případy za týden. Když máte jeden z Ostravy, jeden z Plzně a třetí zas někde úplně jinde, tak jsme najezdili tisíce kilometrů a výsledek bylo pát desítek vyřešených případů.

Teď už se to v tomhle směru zlepšilo?

Přijali jsme trochu jiný způsob vyšetřování. Jednak jsme posílili kapacitní počty, takže nás je teď sedm. A také s těmi kontrolovaným firmami teď komunikujeme na dálku, chceme po nich nějaké informace a vyhodnocením těch zpráv potom se dobereme nějakého výsledku. Takže na to místo jedeme prošetřovat už jen ve vyjímečných případech. Nakonec ale stejně musíme ten vypracovaný protokol osobně předt tomu kontrolovanému. Takže stejně nás nemine to ježdění po republice. Čili odpadá nám jakoby půlka toho ježdění, ale ta druhá půlka nám zůstává, a když se vám někdo snaží vyhnout, tak je to problém.

Kolik procent stížností, které stihnete vyšetřit je neoprávněných?

Neoprávněných ... ona je otázka, co je neoprávněné. My jsem zkusili jakousi nešťastnou výzvu, někdy tuším loni nebo předloni, kdy jsme zkusili obeslat ty stěžovatele, protože už se nám to dostávalo do oblasti, kdy už jsme prošvihli všechny možné správní lhůty. Nebyli jsme schopni, i když jsme toho člověka vypátrali, mu dát nějakou sankci. Tak jsme ty stěžovatele obeslali takovým mailem ve smyslu, jestli je to opravdu tak závažné, že na tom stále trvají, a sklidili jsme za to na internetu poměrně velkou ostudu. Pikantní na tom bylo právě to, že u těch největších křiklounů, těch nejagresivnějších stěžovatelů, se pak ukázalo, že jejich stížnosti byly všechny neoprávněné nebo nedohledatelné.

Někdo si stěžuje na to, že dostal zprávu z nějakého freemailu, a tam já samozřejmě nic nezjistím. Nebo když někdo dostane zprávu z ciziny, tak pro mne předat tu zprávu dál je, jak jsem říkal, těžké. I když existuje mezinárodní orgán, kde si můžeme ty případy předávat, ale mně tam chybí ta tři podstatná kritéria. My máme takových možná 70-80% jednotlivých stížností - od jednotlivců na jednu osobu.

Za celou tu dobu máme asi pět nebo šest případů, kdy šlo o tisíce stížností. Z poslední doby je jeden případ na který máme asi 500, 600 stížností, což je zajímavé z toho hlediska počtu. Problém je ale v tom, že zákon říká, že obchodním sdělením není přímý odkaz na činnost podniku, například doménové jméno. Takže když vám někdo pošle doménové jméno, tak se to nehodnotí jako obchodní sdělení. Úmysl té směrnice je takový, že když vám někdo pošle třeba vánoční přání, a má k tomu automaticky připojený podpis, tak v tom podpise má mnohdy kontakt na sebe, e-mail a podobně. Takže cílem bylo, aby se takto koncipovaná zpráva nechápala jako obchodní sdělení. Ten zákon to ale napsal tak nešťastně, že to vlastně vypadá, že když vám někdo pošle kontextový odkaz, nějakou URL adresu, tak jako by to vlastně nebylo obchodní sdělení.

No ale když je z toho zřejmý ten úmysl ...

My jsme do toho šli poměrně tvrdě. Dalo by se říci, že s tím odesílatelem máme, v uvozovkách, velmi dobrou spolupráci, ale skončíme patrně u soudu. My se tomu samozřejmě nebráníme, my mu dáme nějako sankci, skončíme u toho soudu a necháme na něm, ať nějak rozhodne. A ať rozhodne tak nebo tak, řešit se to nějak musí.

Bohužel ministerstvo informatiky, které bylo nositelem toho zákona, zaniklo. Dnes je to částečně pod vnitrem, částečně pod ministerstvem obchodu a průmyslu, čili ty kompetence jsou ještě daleko roztříštěnější než byly. Navíc na ministerstvu obchodu a průmyslu je to ještě rozdělené do dvou nezávislých útvarů. Pro nás, pro aplikaci toho zákona, je to naprosto šílený stav.

Jaké máte možnosti v udělování sankcí?

Deset milionů, případně dvacet při opakovaném provinění.

A výsledky?

Většinou dáváme tak do deseti tisíc, protože to, že někdo někomu pošle jeden mail, žádnou škodu nezpůsobí. Navíc musím říci, že většina odesílatelů jsou ti slušní, jsou to lidé, kteří mají normální živnost, normální obchod, jen nemají tu zkušenost co s tím.

Takže je to většinou z jejich strany spíše neznalost, že by to neměli dělat?

Jednak a jednak to samozřejmě někdo trošičku zneužije. Ale je to tak, že ti slušnější si koupí nějakou databázi, takoví ti šikovnější si stahují různé adresy z internetu, třetí si to nechají někým udělat, a problém je v tom, že si neuvědomují, že to v podstatě nejde.

On ten zákon je tak špatně napsaný, že vlastně když byste si dal třeba inzerát, což na internetu normálně funguje, tak, kdybychom byli opravdu ortodoxní, vám nikdo nemůže poslat na něj nabídku. Vy třeba dáte inzerát, že koupíte dveře. Výrobce dveří vám pošle svou nabídku, ale vy jste mu nedal souhlas aby vám ji poslal. A ani ho dát nemůžete, protože souhlas musí být informovaný, musíte vědět komu ho dáváte, na co, atd. A vy nevíte, kdo vám pošle nabídku. Nemůžete dát předem souhlas někomu, koho neznáte. To ten zákon neumožňuje. Takže si dáte inzerát, že koupíte dveře a potom nám všechny ty výrobce dveří naprášíte. Řeknete "tihle všichni mne oslovili" a my jim budeme muset dát sankci. Což je samozřejmě nesmysl, že.

Ale bohužel se nám i takové případy dějí, kdy si ti lidé zadělávají na problém tím, že někde zveřejní nějaký odkaz na sebe, i tam mnohdy  mají žádost o zaslání informací.

Ale jsou i jiné případy. Máme třeba firmu, která zasílá nabídky na nějaká školení. A oni si čas od času udělají svoji vlastní adresu třeba na Centru nebo na Seznamu, prostě na nějakém freemailu, a tam rozešlou obrovský nevyžádaný balík a vědí, že na ně nemůžeme. Takže takhle nás jednou za rok překvapí nějakou kampaní.

V jakých případech byste doporučil, aby se na vás lidi obraceli?

Já bych doporučil, aby se neobraceli, to by mně udělali největší radost :) My se snažíme dosáhnout nějaké změny, minimálně výkladové, v tom smyslu, že potřebujeme nějakou dobu vyčkat, třeba dva tři měsíce, abychom shromáždili více stížností na jednu osobu. Nemůžeme z jedné stížnosti dělat nějaké závěry. Takže z toho není nějaká zvláštní cesta.

Navíc nás trochu mrzí, že vedeme takovou diskuzi s různými antispampovými odborníky, kteří nabádají lidi k tomu, aby neodpovídali na "spam". V pořádku, tomu rozumím. Ale když dostane někdo od někoho obchodní sdělení, od české firmy, a je tam napsáno "v případě, že nechcete dostávat, tak napište ne" - já vím, že to není dobře, ta formulace má být opačná - ale pořád je jednodušší napsat nic mi neposílejte. A pak přijít až ve chvíli, kdy už to opravdu obtěžuje, když nepřestanou posílat a nereagují na to odmítání.

K nám ale přijdou lidi s tím, že dostali nabídku a my se zeptáme "A odhlásil jste se?". A oni na to "No ne, já zásadně na spamy nereaguji, protože tak to má být, že se nereaguje". My pak jdeme do té firmy a oni řeknou "Jasně, tady máme na webu formulář, tady ta osoba se nám tady zaregistroval tehdy a tehdy, tak jsme jí poslali v souladu s podmínkami nabídku, nikdy nám neřekl, že to nechce, tak mu to prostě posíláme".

Velmi těžko třeba zjistíte, kdo tam koho zaregistroval. Máme případy, kdy někdo zaregistruje někoho jiného. Nebo problém je třeba ve firmě, kde má každý zaměstnanec svou e-mailovou schránku, jeden z nich se někde zaregistruje, přijde e-mail a někdo jiný to pošle jako nevyžádanou zprávu. Nebo máme případy, kdy doktor se na prezentaci zaregistruje, požádá o zaslání nabídky nějakého lékařského přístroje do nemocnice a jejich administrátor nám to pošle jako spam. Prostě nefungují ty vnitřní mechanismy ve firmách. Takže já bych nejradši, aby si všichni udělali nejdřív pořádek doma, a pak teprve ať jdou za námi.

Takže u těch českých se vyplatí jít nejdříve na toho, kdo to posílá?

Ano, já si myslím že ano. Je třeba opravdu rozlišit spam a obchodní sdělení. Je zřejmé, že pokud dostanu stejnou nabídku z deseti různých adres, když někdo probudí ty zombie a rozešle to, tak to je jasné, to je něco jiného. Když odpovíte, tak už jedete do nějakých seznamů a podobně.

Mimochodem, to by mne také zajímalo, jak jsou ty různé statistiky o tom, jak roste množství spamu, kdo to hodnotí, jak se to měří. Jsou to taková čísla, která mne vždycky trochu pobaví. Teď jsem četl takový článek, z roku 1997. Tam psali, že každý se už alespoň jednou setkal s nějakou nevyžádanou poštou, že někomu to chodí třeba i jednou týdně. Tak jsem si říkal, že je to docela dobrý článek, jak se ta doba změnila.

Prostě já vidím problém v tom protokolu, simple mail protocol je tak jednoduchý, že se dá snadno ošálit. Nebyl vůbec napsaný kvůli bezpečnosti a já osobně si říkám, že verze 6 IP protokolu v tom snad udělá trochu jasněji.

My se v tomhle účastníme různých mezinárodních aktivit, sledujeme, jak to probíhá jinde a chceme hlavně posunout ten náš úřad to oblasti ochrany soukromí ve virtuálním světě, protože si myslíme, že to je dnes daleko největší riziko.

Při porovnání s dopravou je současné internetové médium někde v době před 150 lety a jsem hrozně rád, že si tenkrát naši předkové zavedli, že se jezdí vpravo (nebo prostě všichni po jedné straně, protože někde se jezdí i vlevo), že se na červenou musí zastavit, že je nějaká přednost na křižovatce a podobně. Kdyby to nebylo, tak dnes by to nikdo neschválil. Kdybyste dnes řekl, že když se na křižovatce rozsvítí červená, tak že se nepojede, budou lidé říkat "proč zrovna červená", "omezuje to osobní svobodu" a podobně. Myslím si, že v tom internetu, nebo vůbec obecně v komunikacích, je to dnes velmi podobné tomu chaosu, který byl před tím. Kdy v podstatě nebyla žádná pravidla.

A nejhorší na tom je, že na tom stejném médiu provozujete nejen online hry, chaty a podobně, ale i bankovnictví, obrovské množství obchodů, komunikují na něm obchodní partneři, posílají si důležité dokumenty a tak dále. Čili na jednu stranu je obrovský tlak na anonymitu a na druhou stranu je obrovský tlak na bezpečnost toho celého systému. Je to samozřejmě úžasná šance pro kryptologii, šifrování má dneska zelenou, ale musí být nějaká rozumná hranice mezi tím.

To jest, že jdou ty požadavky proti sobě?

Nepochybně. Je jasné, že to směřuje k nějakému vzniku dvou světů, kdy jeden bude nějaký certifikovaný, kde stejně jako nemůžete po silnici jezdit s autem bez registrace, tak asi nebudete moci na certifikovanou síť vstoupit bez registrace ať už hardwarové nebo osobnostní. Pak vedle toho bude možná existovat nějaký free svět, kde se budou odehrávat nějaké šílenosti.

Máte nějakou zajímavost, například nejvyšší udělenou pokutu?

My jsme tuším dali nejvíc asi 250 tisíc, ale to byl člověk, kterému to bylo jedno, protože to z něj vymoci ... ani nevím kde to skončilo. My v podstatě udělíme nějakou sankci, a když ten člověk nezaplatí, tak to předáme celníkům a ti to nějak vymáhají.

Takže tam to pro vás končí?

Ano, tam to už pak běží a my ani nemáme zpětnou vazbu, jak to pak dopadlo. Nás to v podstatě ani nezajímá. Zajímavé je to až ve chvíli, kdy jdeme na toho člověka podruhé. My se pak díváme, co jsme s ním udělali poprvé a při opakovaných prohřešcích můžeme dát víc.

Tam opravdu cítí ten problém v tom, že ti závažní provinilci v tom umí chodit. My můžeme velmi dobře na někoho, kdo má kamenný obchod, pošle jednomu člověku omylem nějakou nabídku svých seriozních služeb, tak takovéhleho pacholka my můžeme opravdu postihnout velmi nekompromisně.

Ale když někdo rozešle sto tisíc mailů na nabídku nějakého nechutného produktu, tak ... máme jednoho takového, ten nabízí jakési adresáře firem - to je úžasný člověk. My jsme docela pátrali po jeho historii, když jsme zkoumali, co se děje, a našli jsme až jeho prvního providera, který ho první připojil. Ten se nám přiznal k tom, že když zjitil, že mu tam rozesílá takové lumpárny, tak ho vyhodil ze své sítě, ale poradil mu, jak se může zaregistrovat jinde. Takže ho vlastně jakoby naučil a on dnes cestuje od serveru k serveru, zřizuje si domény na cizí lidi a rozesílá naprosto nesmyslné nabídky. Ale my ho zase těžko můžeme postihnout, protože potřebujeme vždy najít někoho, kdo mu skočil na lep, kdo od něj opravdu něco koupil.

Jeden člověk se nám jednou přiznal a poslal nám i složenku, takže jsme toho skutečného pachatele díky němu mohli opravdu natvrdo vypátrat. To byl takový vzorový příklad, kdy jsme vedli kontrolu s nějakou sedmdesátiletou důchodkyní někde z Hradce, na kterou to bylo všechno napsané, a která o tom vůbec netušila, že něco takového existuje.

A to je zase chyba těch všech registrátorů, providerů a podobně, že oni v podstatě komunikují s každým zákazníkem jenom mailem a navíc klidně z mailem, který je na freemailu. Takže vůbec netuší s kým a jde jim jenom o to, aby dostali zaplaceno, víc je nezajímá. A to se nám také nelíbí.

Nakonec jsme ho tedy vypátrali, ale ve chvíli, kdy už jsme se chystali zahájit s ním správní řízení, tak nás předběhl živnostenský úřad, který mu sebral živnostenské oprávnění. A my můžeme postihovat pouze podnikatele. Zkusili jsme sice jakoby vyjít z toho, že v tu dobu ještě byl podnikatel, ale my bychom mohli dát sankci té firmě, které v podstatě neexistuje, takže nakonec se nám v podstatě vysmál.

Děkuji za rozhovor

Související odkazy