Článek
Článek si také můžete poslechnout v audioverzi.
Den po květnových oslavách konce druhé světové války dostal turistický pár v Praze pokutu 2000 korun, protože si stejný 24hodinový lístek na městskou hromadnou dopravu validoval dvakrát.
„Takové pravidlo je pro mě jako turistu matoucí, nebyl jsem si vědom toho, že revalidování může způsobit takové problémy,“ hájí se muž v e-mailu, který i s fotografiemi poslal dopravnímu podniku v naději, že mu pokutu zruší.
E-mailová žádost turisty, ale i další zprávy, které lidé posílali na info@dpp.cz, kuriózně unikaly mimo pražský dopravní podnik (DPP).
Šlo přitom i o citlivější informace. Například u ztráty peněženky se zhruba 1300 korunami pasažér kromě svého jména a příjmení udává i své telefonní číslo nebo u jaké banky měl platební kartu.
Nebo žena, která si stěžovala na to, že ji jiný cestující v poloprázdném autobuse napadl. Kromě osobních údajů a informací o lince, kterou jezdí, poslala i fotografii cestujícího, kterého označila za údajného agresora.
„Už nevím, jak na ně“
Všechny zmíněné e-maily byly zřejmě nedopatřením přeposílány do pracovní schránky muže, který v dopravním podniku nepracuje a tvrdí, že s ním nemá nic společného. Řadu měsíců na to DPP neúspěšně upozorňoval.
„Když jsem s nimi naposledy mluvil, tak jsem jim říkal, že to dám kdyžtak do novin. A paní operátorka mi říkala, že s tím nemůže nic udělat, ať jim napíšu přes formulář oficiální žádost. Napsal jsem a zase se nestalo nic,“ popisuje Jakub.
Redakce zná jeho celé jméno i pracoviště, kam mu chodí e-maily. Kvůli své ochraně si ale celé jméno nepřál zveřejnit. V rámci ověření tvrzení ovšem redakce dostala některé zprávy k dispozici.
Jakub vysvětluje, že ho přeposílané e-maily otravují a zároveň je vnímá jako citlivé. Proto se už před rokem rozhodl věc řešit. E-maily mu chodí zhruba poslední dva roky, kdy se pravděpodobně omylem dostal do mailingového seznamu.
„Lidi si třeba stěžují na chování řidičů autobusů, píšou, kdy jeli, co se jim dělo. Hraničí to s GDPR ochranou a myslím si, že to fakt není dobře, a já už fakt nevím, jak na ně,“ zmiňuje.
Nejdříve se Jakub snažil uvědomit několikrát „ajťáky“ dopravního podniku. „Vždycky, když od nich přišla notifikace, že budou dělat profilaci servery - což by mi mimochodem taky nemělo chodit, kdybych byl útočník, tak toho mohu využít – tak jsem jim psal na jejich ajťácký e-mail, že jsem v mailingovém seznamu, že mi chodí e-maily z infa a jestli to mohou zrušit. Bez reakce,“ tvrdí muž.
Následně zkoušel volat na už zmíněnou podporu a na doporučení operátorky napsal i na kontaktní formulář - a to zhruba dva měsíce zpátky.
Šlo o technické informace pro dodavatele, tvrdí mluvčí
Pražský dopravní podnik po několika dnech od upozornění redakce reagoval, že přeposílání na tento e-mail bylo zrušeno.
„Dopravní podnik hlavního města Prahy odesílal technické provozní informace na servisní e-mail dodavatele,“ vysvětluje krátce mluvčí Aneta Řehková.
Podle Jakuba je sice pravda, že historicky - zhruba před osmi lety - pro pražský dopravní podnik pracoval na zakázce, která se týkala infokiosků v metru. Od té doby ovšem nejsou v kontaktu a nezpracovává pro ně žádnou zakázku.
„U každého e-mailu je vidět, že byl adresovaný na info@dpp. Zůstává to v těle toho e-mailu, takže to nejsou technické informace,“ namítá Jakub.
Porušení, za které hrozí vysoké pokuty
Neohlídané přeposílání e-mailů přitom ve výsledku nemusí být nevinným pochybením. Podle právníka a výkonného ředitele nevládní organizace Iuridicum Remedium Jana Vobořila může jít o porušení zabezpečení osobních údajů.
„Ve chvíli, kdy přijmou e-mail, tak se stanou správci osobních údajů. Pokud to posílají někomu neoprávněnému, tak je to celkem jednoznačné porušení GDPR. Pokud jsou na to opakovaně upozorňovaní a nic s tím nedělají, tak je to samozřejmě závažnější,“ myslí si Vobořil.
Zacházení s údaji kontroluje Úřad pro ochranu osobních údajů a horní sazba u takového pochybení je podle Vobořila až 20 milionů eur. „To samozřejmě v naších podmínkách není reálné, ale pokuty už vzrostly v řádově stovek tisíc, milionů korun. A dopravní podnik není malá instituce,“ říká právník.
A souhlasí i mluvčí Úřadu pro ochranu osobních údajů. „Z výše uvedeného by přeposílání e-mailů obsahujících osobní údaje na neautorizované osoby mohlo představovat problém z pohledu ochrany osobních údajů. Podle GDPR je nezbytné, aby osobní údaje byly zpracovávány zákonným a transparentním způsobem a aby byly chráněny před neoprávněným přístupem,“ říká mluvčí Milan Řepka.
