Sdílení citlivých údajů: soukromí a bezpečnost zdravotních dat v digitálním zdravotnictví

Proč je sdílení citlivých zdravotních údajů neetickým rizikem

Citlivé zdravotní údaje patří mezi nejintimnější informace o člověku. V digitálním prostředí se však přesouvají mimo tradiční zdravotnická zařízení – do mobilních aplikací, nositelných zařízení, marketingových platforem a ekosystémů datových makléřů. Neetické sdílení těchto údajů ohrožuje důstojnost, soukromí a rovnost příležitostí, zvyšuje riziko diskriminace a zneužití a podkopává důvěru ve zdravotnictví i digitální služby.

Co jsou citlivé zdravotní údaje a kde vznikají

Klinická data: diagnózy, laboratorní výsledky, medikace, anamnéza, zobrazovací diagnostika, klinické poznámky.
Wellness a životní styl: spánek, pohyb, srdeční frekvence, menstruační cykly, strava; často mimo regulované zdravotnictví.
Odvozené údaje: odhady zdravotního stavu z nákupů, polohy, chování na webu či nestrukturovaných textů; problémem je tichá reidentifikace.
Biometrie: údaje o tváři, otisky prstů, hlas, genetické sekvence – trvale identifikující údaje, které lze po úniku jen obtížně obnovit.

Typické kanály neetického sdílení

Sledovací skripty a SDK ve zdravotních aplikacích: odesílání událostí (např. otevření obrazovky „deprese“, „těhotenství“) reklamním sítím.
E-mailové a webové pixely: předávání seznamů pacientů a informací o událostech třetím stranám prostřednictvím neviditelných prvků v newsletterech a na portálech.
Datoví makléři: spojování nákupních seznamů, geolokačních a pojistných údajů do „zdravotních segmentů“ (např. „předpokládaná cukrovka“).
Pracoviště a školy: nadměrné shromažďování potvrzení o zdravotní způsobilosti, výsledků testů a diagnóz bez odpovídajícího právního základu a zabezpečení.
Cloud a třetí strany: nejasné smlouvy, subdodavatelé, předávání do třetích zemí, chybějící posouzení dopadů na práva subjektů údajů.

Rizika a negativní důsledky

Diskriminace a vyloučení: rozdílné ceny pojištění, rozhodnutí zaměstnavatelů, odmítání služeb, cílená manipulace.
Stigmatizace: neoprávněné odhalení duševních poruch, HIV statusu, reprodukčního zdraví.
Bezpečnostní incidenty: ransomware, vydírání, krádež identity a zdravotních benefitů.
Odrazující účinek: vyhýbání se léčbě a testům ze strachu z úniku informací.

Právní rámec a zásady (kontext EU)

Zdravotní údaje jsou zvláštní kategorií osobních údajů, pro jejichž zpracování platí přísný režim. Mezi klíčové zásady patří zákonnost, transparentnost, minimalizace, omezení účelu, přesnost, integrita, důvěrnost a odpovědnost. Právní základ zpracování se zpravidla opírá o výslovný souhlas, poskytování zdravotní péče, veřejný zájem v oblasti veřejného zdraví nebo vědecký výzkum s přiměřenými zárukami. Mimořádně důležitá jsou pravidla pro předávání do třetích zemí, smluvní vztahy se zpracovateli, posouzení vlivu (DPIA) a oznamování porušení zabezpečení osobních údajů.

Etické zásady nad rámec zákona

Nejlepší zájem člověka: zdravotní údaje nesmějí být zpeněžovány v rozporu se zájmy pacienta či uživatele.
Minimalizace údajů: zpracovávat pouze to, co je nezbytné; upřednostňovat agregované zpracování a zpracování přímo v zařízení.
Spravedlnost a nediskriminace: zákaz profilování vedoucího k nespravedlivému zacházení; testování zkreslení modelů.
Transparentnost a srozumitelnost: jasné vysvětlení toků dat, partnerů a rizik jazykem srozumitelným běžnému člověku.
Kontrola a volba: možnost snadno odvolat souhlas, vznést námitku proti profilování a vymazat údaje.

Temné vzorce: jak se v praxi manipuluje se souhlasem

„Všechno, nebo nic“: přístup k aplikaci podmíněný odesíláním údajů marketingovým partnerům.
Skryté přenosy: technická nastavení „analytiky“ ve skutečnosti sdílejí údaje s reklamními sítěmi.
Nejasné kategorie: sloučení analytiky, reklamy a výzkumu do jediné volby.
Vnucující bannery: design uživatele nutí k „souhlasu“ místo neutrální volby.

Technické aspekty a selhání deidentifikace

Reidentifikace pseudonymizovaných dat: kombinací malého počtu atributů (věk, PSČ, datum) lze osobu znovu identifikovat, zejména v případě vzácných diagnóz.
Odvozování citlivých údajů: i bez diagnózy lze zdravotní stav odhadnout z běžných metadat (např. z návštěv specialisty).
SDK a knihovny třetích stran: knihovny pro hlášení chyb a marketing často odesílají identifikátory a informace o událostech mimo kontrolu provozovatele.
Chybná anonymizace: „hashování“ jmen bez soli, sdílení malých datových sad nebo jedinečných trajektorií pohybu.

Bezpečnostní opatření: od minima k excelentní praxi

Šifrování při přenosu a v klidovém stavu s robustní správou klíčů a segmentací přístupů („nejmenší nutná oprávnění“).
Prevence úniku dat (DLP) pro zachycování citlivých polí v protokolech, e-mailech a exportech.
Privátní výpočty: federované učení, zabezpečené vícestranné výpočty, homomorfní šifrování pro kolaborativní analýzy.
Diferenciální soukromí: rigorózní parametry šumu pro zveřejňování statistik bez možnosti odhalit jednotlivce.
Architektura Zero Trust: nepředpokládat zabezpečení uvnitř sítě; průběžně ověřovat identitu a kontext.

Řízení životního cyklu dat a DPIA

Mapování toků: inventarizace zdrojů, systémů, partnerů a účelů zpracování.
Posouzení rizik: pravděpodobnost a dopad na práva osob, včetně sekundárního využití a reidentifikace.
Záruky: technická a organizační opatření, smlouvy, mechanismy pro odvolání souhlasu, testy zkreslení.
Plán pro řešení incidentů: detekce, izolace, oznámení dotčeným osobám a úřadům, nápravné kroky.
Doba uchovávání a výmaz: krátké lhůty, automatizované mazání, ověřitelné protokoly.

Specifické scénáře se zvýšeným rizikem

Reprodukční zdraví: návštěvy stránek či sekcí o těhotenství nebo interrupcích; v některých jurisdikcích jde o mimořádně citlivé údaje.
Duševní zdraví: aplikace pro vedení deníků a terapii; vysoké riziko stigmatizace a vydírání.
Genetika: genealogické služby a surová data; dopady na rodinné příslušníky a pojistitelnost.
Zaměstnání: wellness programy vázané na benefity; skrytý nátlak na sdílení údajů se zaměstnavatelem.

Doporučení pro organizace a vývojáře

Soukromí už od návrhu: žádné trackery třetích stran v kontextu zdravotnictví; pokud se používá analytika, pak přímo v zařízení nebo zcela samostatně, bez reklamních ID.
Oddělovací bariéry: oddělit datové toky zdravotních a marketingových systémů; řízená rozhraní s automatickým redigováním polí.
Řízení dodavatelů: přísné smlouvy, zákaz sekundárního použití, právo na audit, jasný seznam subdodavatelů.
Uživatelské prostředí souhlasu: stejná vizuální váha tlačítek „Souhlasím“ a „Odmítám“, podrobné volby, vysvětlení jednoduchým jazykem.
Veřejné zprávy: pravidelné transparentní zprávy o přístupech, přenosech a incidentech.

Doporučení pro veřejné instituce a regulátory

Standardy a certifikace: minimální bezpečnostní standardy pro zdravotní aplikace a nositelná zařízení.
Dohled a sankce: zaměření na datové makléře a platformy s vysokým rizikem profilování.
Podpora výzkumu: bezpečná datová úložiště, řízený přístup, metodiky pro hodnocení rizika reidentifikace.
Osvětové kampaně: práva pacientů, digitální gramotnost a bezpečné digitální návyky.

Praktická doporučení pro uživatele

Minimalizujte sdílení: aplikaci udělujte pouze nezbytná oprávnění; vypněte přístup k poloze a reklamním identifikátorům.
Prověřte si partnery: hledejte aplikace bez SDK třetích stran, s místním zpracováním a jasnými zásadami ochrany soukromí.
Šifrujte a zamykejte: biometrické ověření/heslo zařízení, šifrované zálohy, oddělené profily.
Uplatňujte svá práva: žádejte o přístup k údajům, opravu, výmaz či omezení zpracování; vznášejte námitky proti profilování.
Buďte opatrní při sdílení v komunitách: anonymizujte snímky obrazovky, vyhýbejte se detailům, které vás mohou identifikovat.

Měření a audit: jak zjistit, zda dochází k neetickému sdílení

Technický audit: síťové analyzátory, mobilní proxy, blokátory domén pro odhalení odchozích požadavků.
Zásady a praxe: porovnání zásad ochrany soukromí se skutečnými toky dat; testování souhlasu a výmazu pomocí metody mystery shopping.
Metriky: počet a typ partnerů, objem sdílených polí, změny po odvolání souhlasu, doba reakce na žádosti.

Etické publikování a výzkum

I při legitimním výzkumu je třeba upřednostňovat metodiky s nízkým rizikem reidentifikace, transparentně popsat ochranná opatření a zabránit sekundárnímu použití dat mimo deklarovaný účel. Publikované příklady musí být syntetické nebo dostatečně agregované.

Rozhodovací rámec „5×A“ pro manažery a produktové lídry

Alternativa: existuje méně invazivní způsob, jak dosáhnout cíle?
Adekvátnost: odpovídá rozsah sběru riziku a přínosu pro uživatele?
Autonomie: má osoba skutečnou kontrolu a možnost odmítnout bez sankce?
Auditovatelnost: dokážeme třetím stranám prokázat, co se s daty děje?
Odpovědnost (accountability): kdo ponese následky v případě selhání a jak bude škoda napravena?

Sdílení citlivých zdravotních údajů mimo jasně vymezené a chráněné účely je neetické a nebezpečné. Důvěra v digitální zdravotnictví a širší ekosystém technologií je možná pouze tehdy, budou-li uplatňovány přísné zásady minimalizace, transparentnosti, bezpečnosti, spravedlnosti a skutečné kontroly ze strany člověka. Organizace, regulátoři i jednotlivci mají každý svou úlohu v tom, aby zdravotní data sloužila především lidem – a nikdy ne proti nim.