Interpelace ve věci Kdo nese zodpovědnost za nahodilé rozesílání citlivých údajů v rámci JMHZ do random datových schránek?

Otázka · Jana Patková

Děkuji. Všichni se těšíme. Dobrý den všem, dobrý den, pane ministře. Před týdnem jsme se tady potkali na písemných interpelacích, kde jsme se bavili o tématu jednotného měsíčního hlášení zaměstnavatele. Ani dnes tomu nebude jinak.

Na povrch totiž vyplavaly další komplikace a tentokrát jsou skutečně závažné a bohužel i nebezpečné. Jde totiž o únik citlivých dat zaměstnanců. Do datové schránky dorazily citlivé údaje, jako jsou jméno, příjmení, datum a místo narození, ale také osobní identifikační čísla, která bývají shodná s rodnými čísly. Problémem je, že datové schránky nepatřily dané firmě, kde takovýhle zaměstnanec pracuje, ale někomu úplně cizímu. Takových případů bylo nahlášeno okolo pěti desítek.

A já se proto ptám: Kdo bude mít zodpovědnost za to, pokud dojde ke zneužití těchto dat? Jakým způsobem bude situace řešena? A jak je možné, že dochází k takto fatálním a nebezpečným chybám, když minulý týden jste říkal, že je do systému zadáno už 99 procent zaměstnanců?

A k této informaci bych ještě ráda dodala, že takto vysoké číslo je hlavně zásluhou pílí a pracovitostí účetních, kteří dávají na ortel nefunkčního systému nejen své nervy, stres, ale také leckdy i volný čas a seškrtání vlastního time managementu. Děkuji za odpovědi.

Odpověď · Aleš Juchelka

Já děkuji, vážený pane předsedající. Vážená paní poslankyně i vážení páni poslanci, nejedná se o únik citlivých dat, jedná se o chybu nízké závažnosti, takzvanou P3, která již byla opravena. A vzhledem k povaze okrajového scénáře nastávajícího za specifických podmínek nebyla bohužel během pilotu identifikována. Jedná se o proces v rámci identifikace a změny identifikátorů zaměstnance. Při změně identifikátoru v rámci registrů České správy sociálního zabezpečení tak existuje tam funkcionalita, která notifikuje zaměstnavatele a zašle mu písemnost obsahující nové identifikátory. V důsledku chyby byl tento dopis odeslán i zaměstnavateli, u kterého již byl pracovní poměr ukončen. Chyba již byla v systému opravena a čeká na nasazení do produkce, tu bude v řádu nejbližších hodin.

Tuto událost nepovažujeme za únik citlivých dat, jelikož bývalý zaměstnavatel měl jméno, příjmení a dokonce i rodné číslo zaměstnance k dispozici historicky. Odpovědnost za chybu malého rozsahu nese projektový tým.

Vážená paní poslankyně, vážení páni poslanci, ještě uvedu konkrétní čísla, která tady mám právě asi dva dny poté, co mělo být dokončeno jednotné měsíční hlášení zaměstnavatelů. ***

Doplňující otázka · Jana Patková

Děkuji. Dle Seznam Zprávy ale má tohleto řešit teď Úřad pro ochranu osobních údajů, takže se jednalo o citlivá data, která unikla, protože už v tuhletu chvíli vlastně jakoby přišla někam, kam neměla. A navíc tedy dle informací vlastně nikdo přesně neví, kam ještě jakoby jinam přišla, že se to nedá vlastně zpětně ověřit, kam vlastně tahleta informace přišla, jestli přišla skutečně i tomu zaměstnavateli, kterému přijít měla, anebo jestli přišla jenom vlastně na tu špatnou adresu. Tak jestli ještě tohleto můžete doplnit. Protože já si myslím, že to opravdu je veliké, nebezpečné téma a že se opravdu jakoby vystavujeme velkým rizikům.

Odpověď na doplňující otázku · Aleš Juchelka

Děkuji moc. Já mám tedy ve svém životě jiná témata nebezpečná a riziková, než nějaký únik tady těchto dat. Každý únik podle mých informací, já jsem to zjišťoval v řádu hodin, když ten problém nastal, se automaticky hlásí Úřadu na ochranu osobních údajů, takže ani tady toto nebylo výjimkou, a budeme samozřejmě i nadále v kontaktu. Ale ta chyba skutečně opravena byla a už je nasazena tak, jak bylo řečeno i mými kolegy, právě do toho samotného Jednotného měsíčního hlášení zaměstnavatelů.

Takže já se můžu tady všem omluvit. I včera jsme se omlouvali za MPSV přímo tím projektovým týmem, který to má skutečně jako na odpovědnost, ale tady tato věc, tak jak jste se správně ptala, tak byla nahlášena Úřadu na ochranu osobních údajů. Podle mých informací to je úplně běžná praxe, pokud se něco takového stane, a ten incident se potom poměřuje vlastně, zdali skutečně došlo k nějakému závažnému úniku. Ale určitě nestrašme lidi, že je to něco nebezpečného nebo tak, protože ty údaje už jednou tady díky tomu identifikátoru, který byl zdublovaný, tak už je dávno předtím měly. A pokud tady budeme strašit o zneužití dat, tak to možná už předtím mohl samozřejmě někdo z té firmy, kam to přišlo podruhé, když tam ten zaměstnanec už nepracuje, udělat.