Tak je to tu zase. Ale tentokrát je to spojeno s utvořením nového úřadu, tudíž natrvalo. Je třeba zabít nikoli Sekala, ale rodná čísla. Zprávu jsem zachytil ve zprávách veřejnoprávního rozhlasu koncem roku. Byla v kontextu probleskujících názorů i slibů zhruba od přelomu milénia.

Zprávy zněly jasně: rodné číslo končí. Proč, to se těžko zjišťuje. Motivace jsou nejasné, zjistil jsem jen tyto možné argumenty:

• Prozrazení věku, což může být pro řadu lidí osobně diskomfortní (paní Nováková, Vám už je padesát?).
• Prozrazení pohlaví u všelijakých problémů s určením pohlaví.
• Rodné číslo je vstupenkou do různých státních registrů.
• Našim rodným číslům nerozumějí v cizině.

Nejsem žádným zastáncem nějakého nálepkování, číslování či dokonce čipování obyvatel za účelem identifikace, a tudíž by mi to mohlo být jedno. Ale rodné číslo se používá s velkým úspěchem ve zdravotnictví a tam mi to už jedno není.

Rodné číslo ve zdravotnictví

Nejdřív si objasněme, co všechno rodné číslo obsahuje. Podotýkám, že systém byl zaveden už padesátých letech a moc rád bych znal jméno tvůrce systému, protože to nebyl žádný jouda, ale člověk obdařený fantazií a znalostí matematiky. Je zajímavé, že opravdové uplatnění našlo rodné číslo až v nástupu počítačů. Do té doby se pacienti označovali jménem a ročníkem.

V desetimístném kódu je obsaženo datum narození (s ročníkem na začátku), pohlaví (muž/žena) a platnost (dělitelnost 11). To vše lze dekódovat bez počítačů. Přes dělitelnost se dá i opravit sporný ruční zápis (a nedojde ke karambolům jako v medializovaném případě evidence prezidentských kandidátů). Nad to se i některé ročníky liší číslem za lomítkem podle místa narození (lidé narození v devadesátkách v našem okrese mají číslo kolem 3200). Změna pohlaví se řeší změnou rodného čísla a našlo se i řešení pro cizince.

Rodné číslo není nástroj k prozrazení nějaké strašlivé osobní informace. Obsahuje základní údaje, které každý zdravotník potřebuje. Sestra z něj pozná, na které lůžko bude vhodné pacienta uložit (ke komu), laboratoř ví, jaké hodnoty jsou normální, lékař má základní údaje, aby se zaměřil na to, co je nepravděpodobnější. Navíc je možné si vyhledat pacienta podle ústně sděleného začátku rodného čísla v lokálním registru, pokud věc spěchá a nejsou optimální podmínky, jak je při urgentní péči běžné. Pokud se takový údaj zdravotníci nedozví z rodného čísla, stejně se na to musejí zeptat a někam to zanést. V současných informačních systémech se s tím počítá a místo jednoho čísla je tam dlouhá sada sloupců, kam se podobné podrobnosti uvádějí. Ale tím se dostáváme k jádru problému.

Identifikátor srozumitelný jen použitím komunikace s registrem?

Identifikátor obsahující základní osobní údaje může fungovat bez vztahu k nějaké databázi, lokální či centrální. Tyto informace mohou fungovat v osobním kontaktu, kde jsme na to zvyklí. Nikdo si nezakrývá tvář, když jde k lékaři, ani před ním netají svůj věk. V lokálních registrech umožňují tyto údaje zajímavé použití. Můžeme například vytáhnout nějaký hromadný jev (například délku hospitalizace) podle ročníku narození, aniž bychom pátrali po osobních složkách jednotlivých lidí. Asi bych dal analogii: kdysi jsme měli SPZ podle okresů. Pokud chtěl někdo zjistit, zda nějaké parkoviště slouží víc místním nebo přespolním, stačilo obejít a spočítat espézetky. A to bez nutnosti individuální identifikace. A bez návaznosti na centrální registry.

Je to v souladu se zákonem o občanských průkazech: (…tyto údaje jsou uvedeny…) v podobě bezprostředně čitelné nebo vnímatelné člověkem.

Takové údaje jsou užitečné a přitom nevzniká žádná stopa. Jakmile musíme pro základní údaj jít do registru, jednak se tím můžeme dozvědět navíc i něco, co nás vůbec nemá zajímat, jednak tím dávám registru na vědomí, že na daného člověka se někdo ptal v jisté souvislosti. Obé je daleko drsnější zásah do osobní svobody, než že někomu prozradíme svůj věk. Ajťák praktik namítne, že se první námitka dá dobře ošetřit přístupovými právy. To jistě dá a praktikuje se to od dob nejstarších zdravotnických systémů: na karty kožního a ženského oddělení se dostali jen vybraní. Ale v rámci nemocnice se to dalo snadno vyřešit, protože různí lékaři pečující o jednoho pacienta se prostě domluví. Pořád jde o styk mezi konkrétními lidmi.

Nicméně mi stejný ajťák, tvořící systém přístupových práv, může zároveň nadšeně líčit, že propojení databází umožní při nehodě v Paříži zjistit krevní skupinu a alergii na léky. Nevím, jak často je podobná informace potřebná. Nicméně zároveň umožňuje komukoli, nadanému legální či nelegální mocí, zjistit i v Madridu, zda jsem se před třiceti lety třeba vyboural na motorce, měl přitom v krvi stopy THC a krátce před tím si koupil léky na kapavku. A zároveň vzniká stopa, že se po podobné informaci někdo pídil.

Bezpečnost, registry a GDPR

Můžete namítnout, že propojení s centrálními registry je ve zdravotnictví hojné: každý malý úkon se odrazí v účtování pojišťovnám. Ale pokud nechcete, aby tyto údaje šly dál, můžete jít cestou samoplátce: kódy výkonů zůstanou v zařízení, které tu péči poskytlo. Je na výběr.

Před lety byla zastavena z důvodů GDPR aktualizace matričních údajů na populárních webech typu kdejsme.cz. Už nelze zjistit, kolik lidí má nějaké příjmení a zda je jich víc na Moravě nebo v Čechách. Nějak si nedokážu představit, že se tím zvýšila bezpečnost digitálního světa. A to přitom to byla anonymizovaná data, nedalo se z toho zjistit, zda Ferdinand Vocásek bydlí ve Staré Pace. Nemůžeme ani nahlížet do živých matrik, i kdybychom chtěli pátrat, jestli od dávno odstěhované tetičky nemáme nějakého bratrance.

Vidím v tom jistou tendenci: jako bychom chtěli být neidentifikovatelní svými nejbližšími, ale zároveň se hromadila data kdesi za obzorem, spravovaná a využívaná někým, komu jsme k tomu nedali osobní souhlas.

Velké centrální registry jsou velmi užitečný sluha. Transplantační program by uvázl na mrtvém bodě stejně jako rychlé zjištění, zda nějaké auto není kradené. Ale je zde ještě jeden problém: správce takového registru je pánem nad daty, byť získanými z veřejných prostředků. Má potom monopol na jejich zpracování, interpretaci a případné další využití, například politické. V době nedávno minulé jsme to viděli častokrát. A zároveň není možné jeho práci nějak ověřit, neboť navzdory platnému zákonu se takový správce může účinně bránit, aby anonymizovaná data vydal. Nikdo nemůže jeho závěry ověřit nebo zpochybnit.

Neutrální identifikátor máme – je to číslo osobního dokladu. Něco takového ať funguje na úřadech, ve službách, ve smlouvách. Podle současné normy občanský průkaz obsahuje všechny namítané údaje i bez rodného čísla (a řadu jiných) ve formě přímo čitelné.

Přesto si myslím, že nejlepší ochrana informací je jejich neexistence v centrálních databázích. Rozdíl v bezpečnosti globálně přístupných dat a dat v státních centrálních registrech bych si rád nechal vysvětlit. Nebudu zde rozebírat obavy, které vzbuzuje míra sledování občanů přes centrální registry v Číně.

Rovněž nevidím rozdíl v tom, že pro úřední ověření identity se vymění jedno číslo za druhé. Problém bezpečnosti registrů zůstává stejný. Poctivě přiznávám, že o použití našeho rodného čísla v cizině nevím nic.

Další zprávy

Ve chvíli, kdy text dospěl sem, už nešlo jen dále rozjímat a přišel čas se vrátit k pátrání po informacích.

Ověřit stav dané věci na základní úrovni nebylo jednoduché, protože kupodivu i úředníci na místech, kde se s doklady a rodnými čísly zachází, si museli odpověď na mé dotazy zjišťovat. Vyplynulo, že matriky budou pracovat stále stejně, zdravotní pojištění rovněž a nikdo nic jiného neví.

Nakonec mi přišel do ruky článek na iDNES, který mi vysvětlil, že je to daleko složitější, všechno bude zabezpečeno, pro každý úřední úkon bude vygenerován nový kód a všechno bude úplně dokonalé. Sice je to další centralizace a navázání na složité neprůhledné algoritmy, ale v oblasti odborníků je to jasné. Dobrá.

Ale další článek přinesl jiný pohled: ještě loni nebylo nejvyšších místech VZP jasno, rodná čísla dobře vyhovují. Od náměstka Knížka jsem už nenašel nic dalšího. Jaký byl výstup odborné debaty, k níž vyzýval, není jasno. Bylo by milé, kdyby něco opět napsal a vysvětlil.

Hlavně je rozporné, kdo se bude o nové zdravotnické identifikátory starat. Silná tendence je pověřit ÚZIS, ale taková informace mě nijak neuklidnila. UZIS v minulých letech odvedl mnoho záslužné práce, ale též mnohokrát vzbudil pochybnosti, zda pracuje spolehlivě. Mohu odkázat na žertovnou připomínku, další závažnější výhrady k práci UZIS si může čtenář zjistit sám.

Závěrem

Nenápadné, skrytě overtonské tažení proti rodným číslům sleduji několik let. Dnes je slavnostně ohlašováno jejich vyhubení jako pokrok a nastolení neutrálních identifikátorů jako kýžený společenský stav. Nicméně faktickou motivaci je těžké dohledat.

Skutečným důvodem bude něco jiného, než se obecně uvádí. Buď je to neracionální touha zbavit se všeho starého, nebo tendence k centralizaci a monopolizaci práce s osobními daty, bez kontroly zvenčí.

Ve zdravotnictví je zachování rodného čísla užitečné a bezpečné. Mělo by zůstat identifikátorem zdravotního pojištění a fungovat i pro případ péče v režimu samoplátce. V běžném styku neprozrazují nic jiného, než co se stejně musí zjistit. Fungují i bez vztahu k centrálním registrům, které mají řadu bezpečnostních slabin. A konečně chrání osobní údaje lépe než neutrální identifikátor spojený s centrálním registrem.

MVDr. Václav Fejt pracuje jako mikrobiolog a laboratorní imunolog v laboratořích Nemocnice Havlíčkův Brod

Psáno pro Konzervativní noviny