Důvěrnost v detekci EA

Okruh: etická kritika · Jádro námitky: záznam o manipulaci může zneužít ten, před kým má chránit

Kdo pracuje s rámcem epistemické anihilace, vytváří záznamy neobvyklé citlivosti: popisy intimních vztahů, vzpomínky, pochybnosti o vlastním úsudku, jména lidí, kteří údajně manipulovali, a výklady jejich jednání. Kritika důvěrnosti upozorňuje, že rámec, který se zabývá kontrolou nad informacemi, sám produkuje informace, jejichž únik nebo zneužití může způsobit škodu srovnatelnou s tou, kterou popisuje (Nissenbaum, 2010). Esej rozebírá, odkud námitka pochází, jaký právní rámec se na záznamy vztahuje a jak psát dokumentaci, která chrání, a ne ohrožuje.

Původ námitky: soukromí jako kontrola nad informací

Alan Westin definoval soukromí jako nárok jednotlivců rozhodovat, kdy, jak a v jakém rozsahu se informace o nich sdělují druhým (Westin, 1967). Daniel Solove ukázal, že ohrožení soukromí nevzniká jen únikem, ale v celém životním cyklu informace, tedy při sběru, zpracování, šíření a zásahu do soukromé sféry (Solove, 2006). Helen Nissenbaumová přidala pojem kontextové integrity: informace sdělená v jednom kontextu, například v terapii, se stává škodlivou, když přejde do jiného, například do soudního sporu nebo personálního spisu, bez ohledu na normy, za nichž byla sdělena (Nissenbaum, 2010).

V biomedicínské etice je důvěrnost tradičně odvozena z respektu k autonomii a z povinnosti nepoškozovat: pacient sdělí to, co by jinak nesdělil, protože důvěřuje, že informace zůstane v daném vztahu (Beauchamp a Childress, 1979). Historie ukazuje i opačnou stránku. Timothy Garton Ash popsal, jak četl spis, který o něm vedla východoněmecká Státní bezpečnost, a jak se v něm ze střípků výpovědí přátel a známých skládal obraz určený k ovládání (Garton Ash, 1997). Kniha takové použití informací popisuje v kapitole o Zersetzung; záznam o člověku tam byl přímo nástrojem rozkladu jeho života.

Námitka v nejsilnější podobě

U EA má problém důvěrnosti tři zvláštnosti. První jsou data o třetích osobách. Záznam postiženého obsahuje informace o člověku, který o záznamu neví a nesouhlasil s ním, tedy o údajném působícím. I on je subjektem údajů a jeho pověst je ohrožena, protože výklad jeho jednání vzniká bez jeho účasti (Solove, 2006).

Druhou zvláštností je zneužití působícím. V rodinných a pracovních sporech se strana obviněná z manipulace může snažit získat terapeutické záznamy postiženého, aby zpochybnila jeho věrohodnost („sám přiznal, že nevěří svému úsudku“). Právě tento přechod informace z kontextu péče do kontextu sporu je podle Nissenbaumové typickým porušením kontextové integrity (Nissenbaum, 2010).

Třetí zvláštností je automatizace. Detekční signatury určené ke strojovému zpracování mohou vytvářet profily lidí ve velkém, bez jejich vědomí a mimo kontext, v němž by šlo výsledek posoudit. Solon Barocas a Andrew Selbst ukázali, že automatizované rozhodování může znevýhodňovat celé skupiny, i když nikdo takový úmysl nemá, protože přebírá zkreslení z dat, na nichž vzniklo (Barocas a Selbst, 2016).

Silná verze námitky zní: dokud rámec EA nemá vlastní pravidla zacházení s informacemi stejně přísná jako pravidla, podle nichž posuzuje manipulaci, sám vytváří materiál pro delegitimizaci a doxing (srov. Nissenbaum, 2010).

Právní rámec

V Evropské unii se na takové záznamy vztahuje obecné nařízení o ochraně osobních údajů (GDPR). Údaje o zdraví patří mezi zvláštní kategorie podle čl. 9 a jejich zpracování je možné jen za přísnějších podmínek; obecné zásady čl. 5, tedy omezení účelu, minimalizace údajů a omezení uložení, platí pro všechny záznamy (Evropský parlament a Rada EU, 2016). Čl. 22 dává lidem právo nebýt předmětem rozhodnutí založeného výhradně na automatizovaném zpracování, které má pro ně právní nebo obdobně závažné účinky; to je přímo relevantní pro jakékoli automatické označování „manipulativního“ chování (Evropský parlament a Rada EU, 2016).

V Česku nařízení doplňuje zákon č. 110/2019 Sb., o zpracování osobních údajů. Zdravotnické záznamy navíc chrání povinnost mlčenlivosti podle zákona č. 372/2011 Sb., o zdravotních službách, která se vztahuje na zdravotnické a jiné odborné pracovníky. Mlčenlivost ovšem není absolutní: trestní zákoník, zákon č. 40/2009 Sb., ukládá povinnost překazit nebo oznámit některé závažné trestné činy, a zákon o zdravotních službách upravuje situace, kdy lze informace sdělit bez souhlasu pacienta.

Kde zasahuje tuto knihu

Kniha má kapitoly o datové bezpečnosti výzkumu, anonymizaci, klinické dokumentaci a klasifikaci informací a její etický kodex obsahuje závazek anonymizace a důvěrnosti. Kniha ale mnohde doporučuje dokumentovat, tedy vést deník, archivovat komunikaci a zapisovat vzorce, a dokumentace je dvojsečná: chrání postiženého jako důkaz a ohrožuje ho jako materiál, který může získat protistrana (srov. Solove, 2006).

Ilustrační případ

Obecný kompozit: zaměstnanec se svěří firemnímu poradci, že ho vedoucí podle něj manipuluje, a poradce si vede podrobné poznámky s kódy technik. Poznámky uloží do sdíleného systému, ke kterému má přístup personální oddělení. Při pozdější reorganizaci si vedoucí záznamy prohlédne, zjistí, kdo si stěžoval, a zaměstnanec je přeřazen. Žádný z kroků nebyl zlovolný: poradce chtěl mít podklady a systém byl prostě sdílený. Výsledkem je však přesně ta škoda, před kterou měl postup chránit, a vedoucí navíc figuruje v záznamech jako „působící“, aniž by se k tomu kdy mohl vyjádřit. Informace opustila kontext, v němž byla sdělena, a v novém kontextu sloužila jinému účelu (Nissenbaum, 2010).

Znaky ohrožené důvěrnosti

Riziko lze rozpoznat dřív, než dojde k úniku. Záznamy o EA leží ve stejném systému jako běžná personální nebo provozní agenda. Neexistuje evidence toho, kdo do záznamů nahlížel (Solove, 2006). Výklady a hypotézy jsou zapsány ve stejné větě jako fakta, takže je nelze oddělit. Záznam obsahuje závěry o třetí osobě, které nikdo neověřil. A výstup automatického nástroje se v dokumentaci objevuje jako zjištění, ne jako podnět k posouzení (Barocas a Selbst, 2016).

Co námitka neprokazuje

Neprokazuje, že by se nemělo dokumentovat. Bez záznamů nelze doložit vzorec, poskytnout ochranu ani se obhájit u soudu (viz Uchování důkazů a vzorový důkaz). Důvěrnost také není absolutní: při bezprostředním ohrožení života a zdraví může být sdělení informací nezbytné. Americký případ Tarasoff (1976) založil v některých jurisdikcích povinnost terapeuta chránit, případně varovat osobu, které pacient vážně vyhrožoval. Námitka žádá, aby každý záznam vznikal s vědomím, kdo ho může číst a k čemu (Beauchamp a Childress, 1979).

Pojistky pro praxi

První pojistkou je minimum nutného. Zapisuje se jen to, co slouží účelu záznamu; výklady a hypotézy se odlišují od faktů a uchovávají odděleně, jak vyžaduje zásada minimalizace údajů (Evropský parlament a Rada EU, 2016).

Druhou pojistkou je řízený přístup. Záznamy o EA nesmí být ve sdílených systémech bez řízení přístupu a evidence nahlížení (Solove, 2006); postup rozvádí kapitola Řízení přístupů.

Třetí pojistkou je myslet na protistranu. Při psaní se předpokládá, že záznam může být jednou předložen soudu, a píše se tak, aby neposkytl materiál k delegitimizaci postiženého; popis obtíží se drží věcného jazyka a neobsahuje obecné soudy o jeho úsudku (Nissenbaum, 2010).

Čtvrtou pojistkou je ohled na třetí osoby. Informace o údajném působícím se omezují na to, co je nutné, a nepíšou se o něm závěry, které nebyly ověřeny, protože i on má práva subjektu údajů (Solove, 2006).

Pátou pojistkou je zákaz výhradně automatického rozhodování. Výstup strojové detekce je podnět pro člověka, nikdy rozhodnutí, v souladu s čl. 22 GDPR (Evropský parlament a Rada EU, 2016) a s vědomím, že automatické nástroje mohou nést skryté zkreslení (Barocas a Selbst, 2016).

Šestou pojistkou jsou lhůty a výmaz. Stanoví se doba uložení a po jejím uplynutí se záznamy vymažou nebo anonymizují, aby zásada omezení uložení nebyla jen formální (Evropský parlament a Rada EU, 2016).

Sedmou pojistkou je postup při úniku. Organizace má předem připravený postup, jak informovat dotčené a omezit škodu; u záznamů o EA se přitom myslí i na to, zda únik neohrožuje bezpečí postiženého před působícím (srov. Garton Ash, 1997).

Co zůstává otevřené

Jak vyvážit potřebu postiženého dokumentovat s rizikem, že dokumentace bude použita proti němu, je otázka, na kterou kontextová integrita odpovídá jen obecně (Nissenbaum, 2010). Jaká práva má mít údajný působící vůči záznamům, které o něm vznikají v cizí terapii, právo zatím nerozhoduje jednotně. A jak zajistit kontextovou integritu u nástrojů, které jako detekční signatury mají fungovat automaticky a ve velkém, zůstává otevřené i proto, že jejich zkreslení se projeví až při použití (Barocas a Selbst, 2016).

Literatura

• Barocas, S., & Selbst, A. D. (2016). Big data's disparate impact. California Law Review, 104(3).
• Beauchamp, T. L., & Childress, J. F. (1979). Principles of Biomedical Ethics. Oxford University Press.
• Evropský parlament a Rada EU. (2016). Nařízení (EU) 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů (obecné nařízení o ochraně osobních údajů). Úřední věstník Evropské unie.
• Garton Ash, T. (1997). The File: A Personal History. Random House.
• Nissenbaum, H. (2010). Privacy in Context: Technology, Policy, and the Integrity of Social Life. Stanford University Press.
• Solove, D. J. (2006). A taxonomy of privacy. University of Pennsylvania Law Review, 154(3).
• Tarasoff v. Regents of the University of California (1976). 17 Cal. 3d 425. Supreme Court of California.
• Westin, A. F. (1967). Privacy and Freedom. Atheneum.

Související

Kritické perspektivy

• Stigmatizace skrze kategorie EA – co se stane, když nálepka unikne.
• Otázka platnosti souhlasu – k čemu člověk dal svolení.
• Mocenská asymetrie v aplikaci EA – kdo má k záznamům přístup.

Kapitoly a postupy

• Datová bezpečnost EA výzkumu – technické a organizační zajištění.
• Klinická dokumentace – jak psát záznamy, které obstojí.
• Klasifikace informací – organizační rámec citlivosti.
• EU právo – EA rámec – evropský právní kontext.
• Detection Signatures – automatizace, které se týká čl. 22 GDPR.
• Zersetzung – spis jako nástroj rozkladu.

Pojmy

• Dual-use poznání – záznam jako ochrana i zbraň.
• Doxing – zveřejnění údajů jako útok.