Problémás a vakcinás kormányzati oldal adatkezelése

Hétfő este elindult a múlt héten bejelentett Vakcinainfó nevű oldal, amelyen regisztrálással lehet jelezni, hogy szeretnénk-e majd kapni a koronavírus elleni oltásból, ha elérhetővé válik. Az oldallal kapcsolatban azonban rögtön adatkezelési aggályok merültek fel: több olvasónk is jelezte, hogy a regisztrációhoz feleslegesen tág adatkezelési hozzájárulást kér a kormány, ezért inkább nem is éltek a lehetőséggel, noha egyébként szeretnék beoltatni magukat. A kérdés tisztázásához egy adatvédelmi kérdésekben jártas jogász és a Miniszterelnöki Kabinetiroda segítségét is kértük.

Ami rendben van

Aki jelezni szeretné az oltás iránti igényét (mert a regisztráció még csak igényfelmérés, nem kötelez semmire), annak a regisztrációs felületen meg kell adnia a nevét, a lakcímét, az életkorát, az emailcímét, a telefonszámát és a tajszámát is. Utóbbi elsőre meglepő lehet, de mivel potenciális egészségügyi ellátásról van szó, nem indokolatlan.

Az első probléma akkor jelentkezik, amikor a regisztrációs oldal aljára érünk. Itt két kipipálandó doboz található, azaz két hozzájárulást kell megadnunk:

• „Megismertem és elfogadom az adatkezelési tájékoztatóban foglaltakat az adataim továbbítása céljából.”
• „Hozzájárulok, hogy későbbi kapcsolattartás céljából a megadott kapcsolattartási adataimat visszavonásomig kezeljék az adatkezelési tájékoztatóban foglaltak szerint.”

Mindkettő az adatkezelési tájékoztatóra hivatkozik, nézzük hát, mi olvasható ebben. Az első pont elfogadásával és a regisztrációval a tájékoztató szerint ahhoz járulunk hozzá, hogy a fenti adatainkat a Miniszterelnöki Kabinetiroda begyűjtse és átadja a Nemzeti Egészségbiztosítási Alapkezelőnek (NEAK). A Kabinetiroda az adatokat az átadásig titkosítva tárolja, másnak nem továbbítja, és az átadás után nem kezeli tovább.

Na és mire használja az adatainkat a NEAK? Összeveti azokat az általa vezetett egészségügyi nyilvántartásokkal, és ha ez alapján megállapítja, hogy az oltás beadható, értesíti erről a háziorvost. „A NEAK adatkezelésének célja továbbá a koronavírus elleni védőoltással kapcsolatos igények minél pontosabb felmérésében és az oltás minél hatékonyabb megszervezésében való közreműködés. A NEAK a közölt személyes adatokat az intézkedések megtételéhez szükséges időtartamban kezeli, ezt követően törli.”

Eddig világos, ez az, amiről a Vakcinainfó szolgáltatása szól, ezért regisztrál, aki regisztrálni akar. A második hozzájárulás viszont már érdekesebb.

És ami nincs rendben

A tájékoztató szerint aki „továbbra is kapcsolatban kíván maradni Magyarország Kormányával”, a második doboz bepipálásával „hozzájárulását adja, hogy további kapcsolattartás, véleménykérés, tájékoztatás, illetve elektronikus levél küldése céljából” a nevét, lakcímét, emailcímét és telefonszámát a Kormány továbbra is kezelje, egészen addig, amíg nem vonjuk vissza ezt a hozzájárulást. Ekkor az adatok feldolgozásra az Idomsoft Zrt. nevű állami céghez kerülnek, amely számos kormányzati informatikai szolgáltatásért, például a nemzeti konzultáció IT-kiszolgáló rendszeréért felel.

Azt gondolhatnánk, hogy az első hozzájárulás elengedhetetlen a regisztrációhoz, a második viszont opcionális. Olvasóink tapasztalatai alapján azonban közel sem ez a helyzet. Többen azt vették észre, hogy az oldal csak akkor engedi a regisztrációt, ha mindkét hozzájárulást megadják. A folyamatot mi is ellenőriztük, és valóban: a regisztrációs gomb ugyan már az első hozzájárulás megadása után aktívvá válik, de a második hozzájárulás nélkül hiába kattintunk rá, csak a „Sikertelen regisztráció. Ellenőrizze adatait és próbálja meg újra.” hibaüzenet jelenik meg.

Ivanics Krisztina ügyvéd a Telexnek azt mondta, az első pont alapvetően rendben van adatvédelmi szempontból, bár az hiányzik a tájékoztatóból, hogy a Miniszterelnöki Kabinetiroda milyen gyakorisággal fogja átadni a NEAK-nak az adatokat, mennyi ideig tárolja azokat, illetve mikor törli a továbbítás után. Ez a hozzájárulás azonban elengedhetetlen a szolgáltatás biztosítására, azaz a vakcina elérhetővé válásával kapcsolatos információk közlésére, illetve a későbbi oltás megszervezése.

A második pont azonban túl általános, nem derül ki belőle az adatkezelés pontos célja, és megtévesztő, hogy egy vakcinálásról szóló oldalon ilyen széles körű adatkezelési hozzájárulást kérnek. A legnagyobb probléma azonban az, hogy ehhez a hozzájáruláshoz is hozzákötötték a regisztrációt.

„Nem jogszerű a két adatkezelési cél összekapcsolása, vagyis az az eljárás, hogy ne tudjak a vakcinára anélkül feliratkozni, hogy megadnám a hozzájárulásomat ahhoz, hogy engem a kormány később is elérjen”

– mondta Ivanics Krisztina.

További probléma a jogász szerint, hogy ezt az egészet intézhetné maga a NEAK is, teljesen fölösleges lépés a Miniszterelnöki Kabinetiroda beiktatása a folyamatba.

Ezzel kapcsolatban egyébként az is felmerül, hogy miért nem az egészségügyben már amúgy is egyre széleskörűbben használatos, az eBeutalókat és eRecepteket is kezelő Elektronikus Egészségügyi Szolgáltatási Térbe (EESZT) integrálták a vakcinafeliratkozást. A rosszhiszemű magyarázat az lenne, hogy akkor nem lehetett volna emailcímeket gyűjteni, de valószínűbb, hogy egyszerűen arról van szó, hogy az EESZT használata Ügyfélkapu-hozzáféréshez (és szintén tajszámhoz) kötött, a vakcinafeliratkozást pedig ennél szélesebb körnek, minél kevesebb technikai feltétellel akarták elérhetővé tenni – erre utal az is, hogy a fokozottan érintett 60 év felettiek postai levelet is kapnak majd ugyanerről.

Akár szándékos, akár hiba, elrettentő lehet

Felmerül a kérdés, hogy ez a problémás adatkezelés szándékos, vagy egyszerűen technikai hiba-e. Utóbbira utal, hogy az adatkezelési tájékoztatóban az olvasható, hogy azzal járulunk hozzá, hogy az adataink a NEAK-hoz kerüljenek, ha

• megadjuk a személyes adatainkat,
• bekattintjuk, hogy „Megismertem és elfogadom az adatkezelési tájékoztatóban foglaltakat az adataim továbbítása céljából” és
• rányomunk a „Regisztrálok” gomba.

Márpedig ha az első hozzájárulás és a regisztrációs gomb elég, akkor feltehetően az volt a szándék, hogy a második hozzájárulás nélkül is sikerüljön a regisztráció.

Felmerülhet még elvileg, hogy a második hozzájárulást is csak vakcinás hírek továbbítására szeretné használni a kormány. Ezzel az eshetőséggel az a gond, hogy az adatkezelési tájékoztató szövege egyszerűen nem ezt jelenti, hanem ennél sokkal nagyobb mozgásteret ad. Ha tehát nem technikai hibáról van szó, akkor az adatkezelési tájékoztató megfogalmazása hibás.

Abból a szempontból azonban mellékes, hogy szándékos vagy véletlen megoldásról van-e szó, hogy akik eddig regisztráltak, a gyakorlatban elestek a választás lehetőségétől, és jobb híján hozzájárultak a szélesebb körű adatkezeléshez, akkor is, ha valódi választás esetén ettől eltekintettek volna. A másik lehetőség, hogy többen épp azért nem regisztráltak a vakcinára, mert nem akarták megadni az adataikat a kormány kommunikációs céljaihoz – mint ahogy ezt több olvasónk jelezte is.

Kérdéseinkkel megkerestük a Miniszterelnöki Kabinetirodát. Többek között ezekre voltunk kíváncsiak:

• Mi indokolja, hogy az oldal által nyújtott szolgáltatás elvégzéséhez nem elengedhetetlen adatkezelési hozzájárulás nélkül nem lehet regisztrálni?
• Ha hibáról van szó, tudnak-e róla, mikor javítják, illetve ha a hiba miatt esetleg olyanok is hozzájárulásukat adták az általános adatkezeléshez, akik ezt nem szerették volna, az így begyűjtött adatokat törlik-e?
• Az adatkezelési tájékoztatóból nem derül ki a második hozzájárulással jóváhagyott adatkezelés pontos célja. Milyen célra tervezi használni a kormány a begyűjtött adatokat? Bármilyen kommunikációs célra, azaz akár egy jövőbeni nemzeti konzultáció kommunikációjára is felhasználhatók ezek? Ha nem, akkor ezt mi garantálja?
• Mi indokolja, hogy a NEAK helyett a Miniszterelnöki Kabinetiroda közvetetten gyűjtse be majd adja át a NEAK-nak az adatokat?

Cikkünk megjelenéséig nem kaptunk választ, ha reagálnak, beszámolunk róla.

Bizalmi kérdés is, nemcsak egészségügyi

Mindez nem puszta jogászkodás. Az adatkezelési problémákra mi is úgy lettünk figyelmesek, hogy számos olvasónk jelezte nekünk: ilyen feltételekkel inkább nem kér a vakcinából, mert nem szeretné kormányzati kommunikációs adatbázisokban találni magát (amelyekből kikerülni nem is olyan egyszerű feladat). A túl széles körű adatkezelés bizalmatlanságot szülhet, a bizalom erodálása pedig még tovább rombolhatja az amúgy is kiugróan alacsony oltási hajlandóságot.

Müller Cecília országos tisztifőorvos egyébként a keddi tájékoztatóján ebből a szempontból két érdekes kijelentést is tett. Az egyik, hogy az országban „nagy bizalom van a védőoltások iránt”. Ez ellentmond a nyilvánosan elérhető felméréseknek, amelyek szerint nemzetközi összehasonlításban a magyarok kifejezetten szkeptikusak, illetve elutasítóak a vakcinával.

Az Ipsos a Világgazdasági Fórum megbízásából készített egy felmérést a koronavírus-vakcinával kapcsolatos hozzáállásról. A szeptember elején publikált eredmények szerint a résztvevő 27 ország közül Magyarországon adatnák be maguknak az oltást a harmadik legkevesebben, mindössze 56 százalék. (Csak Lengyelország és Oroszország végzett mögöttünk.) A vonakodók legnagyobb része, 59 százalék a potenciális mellékhatásoktól tart, de 35 százalékuk nem hisz a majdani vakcina hatásosságában, 16 százalék pedig kifejezetten az oltásellenessége miatt nem kérne belőle.

A tisztifőorvos másik meglepő kijelentése az volt, hogy a vakcinák között nem lehet majd választani. Ez azért figyelemre méltó állítás, mert Orbán Viktor miniszterelnök a november 13-i rádióinterjújában kifejezetten azt mondta, hogy azért döntöttek úgy, hogy több helyről is beszereznek oltóanyagot, hogy a magyarok eldönthessék, melyikben bíznak meg a leginkább, és a különféle eredetű vakcinák közül választani lehet majd. (Feltehetően nem nyelvbotlásról volt szó, mert Orbán ugyanezt már október 30-án is elmondta ugyanott.) (Frissítés: a Koronavírus Sajtóközpont szerint Müller Cecília nem úgy értette, amit mondott, mint amit a szavai jelentenek, hanem máshogy: most nem lehet választani, mert még nincs oltás, de később majd akár lehet is, ha lesz.)

Ez azért lett volna üdvözlendő, mert a kínai és orosz vakcinákkal kapcsolatos bizalmatlanság – attól függetlenül, hogy megalapozott-e vagy sem – szintén elriaszthat egyeseket az önkéntes oltástól. A Publicus friss felmérése szerint a magyarok kétharmada, 66-67 százalék nem oltatná be magát orosz és kínai vakcinával, ezt csak 20 százalék vállalná biztosan. Érdemes megjegyezni, hogy a nyugati vakcinákkal szemben sem elsöprő a bizalom, amerikai oltást 54 százalék nem adatna be, és csak 33 százalék igen, nyugat-európait pedig 50 százalék nem, és 36 százalék igen. (A többi megkérdezett bizonytalan vagy nem válaszolt.)

Mindez azt jelenti, hogy a további bizalomvesztés már az oltási program sikerét, azaz végső soron a koronavírus-járvány majdani felszámolását veszélyezteti. A vírus újtát álló közösségi immunitás kialakulásához ugyanis különféle számítások szerint a népesség 60-70, de minimum 50-60 százalékának védettséget kellene szereznie. Ezért egyáltalán nem mindegy, milyen formában tálalja a kormány a oltás lehetőségét vagy akár az előzetes regisztrációhoz létrehozott felületet.

Frissítés 2: cikkünk megjelenése után egy olvasónk jelezte, hogy neki már csak az első hozzájárulás megadásával is működött a regisztráció. Ez is arra utal, hogy hibáról lehetett szó, amelyet mostanra javíthattak. Az ezzel kapcsolatos kérdéseinkre, köztük arra, hogy a hiba javításáig begyűjtött esetleges extra hozzájárulásokat törlik-e, továbbra sem kaptunk semmilyen választ a Miniszterelnöki Kabinetirodától.

Frissítés 3: Végül a Miniszterelnöki Kabinetiroda válasza is megérkezett, de a hiba elismerése helyett arra kérik a Telexet, hogy „álhírekkel ne akadályozzák az oltási terv sikeres lebonyolítását”. Válaszuk szerint „téves az az állítás, hogy a regisztráció csak mindkét hozzájárulás megadása esetén végezhető el”, holott több olvasónk és mi magunk is így jártunk.

Arról, hogy mi indokolja a második, tágra szabott adatkezelési hozzájárulást, ezt írják: „Az oltásról szóló értesítésig hátralévő időben szeretnénk biztosítani annak lehetőségét, hogy a regisztrálók időközben is értesüljenek a vakcináról szóló hírekről. A második hozzájárulás ennek teremti meg a lehetőségét a szigorú adatvédelmi szabályok betartásával.” Arról, hogy miért van szükség ehhez ilyen széles körű adatkezelési felhatalmazáshoz, nem nyilatkoztak.