Pokud chceme lidi k očkování dostat, musí být rezervační systém přívětivější, varuje datový novinář

Honzo, vezmi nás zpět do pátku 15. ledna. V Česku začal tedy ten den fungovat ten dlouho očekávaný rezervační systém pro očkování proti COVIDu. Jak ten den proběhl? Pojďme to připomenout.
Systém se měl oficiálně otevřít o osmé hodině ranní, což se i stalo. Lidé to samozřejmě zkoušeli těsně v předstihu a vyskakovaly na ně křížem různé chybové hlášky nebo to, že server prostě ještě neběží. Ale v osm hodin se na adrese crs.uzis.cz rezervační systém opravdu objevil. Je to nějaká soustava formulářů, kterou každý zájemce o očkování nějakým způsobem musel projít, aby si mohl rezervovat termín očkování. V tomto případě musel být ještě ke všemu starší 80 let, protože zatím ta registrace je otevřená jen pro nejstarší věkovou kategorii.

Aby se pacient mohl k očkování zaregistrovat, tak musel vyplnit své kontaktní osobní údaje, rodné číslo a měly mu přijít dva PIN kódy SMSkou. Jeden měl za úkol ověřit jeho telefonní číslo. Druhý slouží k přihlášení do samotné registrace toho termínu na očkování. Poměrně rychle se ty PIN kódy začaly zpožďovat. Lidé si stěžovali, že zprávy nechodí. Ten důvod byl poměrně jednoduchý. Ve chvíli, kdy chcete rozesílat automaticky jako programátor nějaké SMSky, musíte si nasmlouvat tzv. SMS bránu, což je nějaká firma, která má smlouvu s mobilními operátory. Vy jí posíláte ty SMSky a ona je za vás předává operátorům a ti je rozesílají těm klientům. No a jak operátoři, tak ani tady ta SMS brána pravděpodobně nevěděli, že to bude takový objem SMSek. Z tiskové konference ministra Blatného plyne, že jich bylo něco přes 300 000. V tu chvíli se vytvořila fronta těch SMSek a ty vlastně neodcházely. Takže lidé čekali na SMSku a ona nepřicházela. Pokud zpráva nepřišla, máte k dispozici tlačítko „Poslat SMS znovu“. Lidé ho samozřejmě mačkali, čímž docházelo k odesílání dalších SMSek, které dál zahlcovaly systém a v jednu chvíli ty SMS zprávy prostě přestaly nějak rozumně chodit.

Dalším problémem byl poměrně krátký výpadek systému, ale to se podařilo napravit. A potom se objevily zprávy, že některým uživatelům se dovnitř vůbec nedaří dostat, protože ač zadávají svoje rodné číslo správně, systém říká, že je neplatné. Rodné číslo se dá totiž ověřovat několika způsoby, aniž bychom ho kontrolovali vůči databázi, vůči registru osob, kam ten systém připojený není. Tato automatická kontrola rodného čísla nepočítala se všemi variantami, takže u starších lidí narozených jednatřicátého systém vyhodnocoval, že jejich rodné číslo neplatí, ač ve skutečnosti platilo.

Státní organizace NAKIT pod ministerstvem vnitra, která má za úkol mimo jiné právě vývoj tohoto rezervačního systému, začala odstraňovat chyby na základě těchto výhrad. To znamená, že během víkendu se podařilo vyřešit jak problém s rodnými čísly, tak problém s SMSkami. Systém obsahoval i několik bezpečnostních chyb. Jednu z nich odhalil student Filip Šedivý, který přišel na to, že kontrola rodného čísla a věku se provádí jen v internetovém prohlížeči uživatele, nikoliv na serverech NAKITu. To znamená, že do toho procesu, co se děje v prohlížeči, může alespoň trochu znalý IT uživatel velmi snadno zasáhnout. Takže bylo možné tu validaci 80 let jednoduše obejít. Čtyřiadvacetiletý student to vyzkoušel a i s jeho rodným číslem mu přišel ten PIN 2. Ten potvrzuje možnost se někam registrovat. On tu chybu zveřejnil a NAKIT ji po nějaké době opravil.

Druhý bezpečnostní problém souvisel s tím, že ve chvíli, kdy se člověk zaregistroval do centrálního rezervačního systému, byl přesměrovaný do systému společnosti Reservatic. Tu si stát nasmlouval, aby pro něj zajišťovala formuláře na rezervaci konkrétních očkovacích termínů v nemocnicích. A to přesměrování bylo provedené… Asi můžeme říct „nešikovně“ nebo „velmi neodborně“. Konkrétně to rodné číslo uživatele se předávalo do druhého IT systému přímo v adrese, na kterou přesměrování odcházelo. Problém je, že tato adresa se eviduje na spoustě různých míst. Eviduje se do tzv. logů na serverech, které by neměly obsahovat žádné citlivé informace. Slouží vlastně jen pro analýzu fungování. A protože to rodné číslo bylo v adrese, tak se tam samozřejmě uložilo.

Na serveru iROZHLAS jsme, dokonce s předstihem, ale upozorňovali ještě na větší problém. Rezervační systém Reservatic totiž využívá řadu reklamních kódů od zahraničních společností Facebook nebo Google. Tyto kódy v rámci sledování toho webu sbírají adresy, které uživatelé navštěvují. A zase, nepočítá se s tím, že by v těchto adresách bylo cokoliv citlivého. NAKIT bohužel touto cestou předával rodné číslo, to znamená, že rodné číslo se zároveň odesílalo i na servery společnosti Google a byl tam i sledovací kód společnosti Facebook v rámci systému Reservatic. I tady ten problém se podařilo v krátkém čase vyřešit. Nyní to funguje tak, že člověk rodné číslo po přesměrování do Reservaticu musí znovu ručně zadat, takže k tomu předání nedochází. Není to uživatelsky přívětivé, ale na druhou stranu pořád je to lepší, než aby rodné číslo lítalo v adrese ve chvíli, kdy na jsou na cílové stránce reklamní kódy.

Co by vlastně takový systém, o kterém mluvíme, měl splňovat? Jak by měl v ideálním případě fungovat?
Stát potřebuje zjistit, kdo o to očkování má zájem, protože je nepovinné. Potřebuje zkontrolovat, že člověk na to očkování má nárok, to znamená, že je v té věkové kategorii nebo má anamnézu, podle které má být očkovaný přednostně. A pak mu potřebujete vytvořit rezervaci, na kterou se bude moci zapsat, aby mohl přijít k tomu konkrétnímu naočkování. Pokud bychom se chtěli hodně zasnít, tak by systém třeba uměl i vytáhnout očkujícímu lékaři anamnézu očkovaného. Ta ale v současnosti není nikde centrálně digitalizovaná, takže to nejde. Možná je tedy jen ta rezervace.

Není možné se propojit třeba s pojišťovnami, které ty informace mají?
Pojišťovny nemají informace o anamnézách. Pojišťovny mají informace pouze o zdravotních výkonech. Často to může být jedno a to samé, ale neplatí to vždycky. My jsme navíc v minulosti zjistili, že v databázích pojišťoven, tedy i v databázi Ústavu zdravotnických informací a statistiky, který informace schraňuje, jsou chyby. Nedá se na to stoprocentně spolehnout a muselo by docházet ještě k další kontrole.

A promiň, já jsem ti ale skočila do řeči. Ty jsi tedy zmiňoval, co všechno by měl ten systém plnit ...
V tuto chvíli vakcín nemáme tolik, abychom mohli naočkovat úplně každého, kdo na ni má v současné chvíli nárok a někteří ti lidé budou muset čekat. Takže by bylo ideální, kdyby systém tyto lidi uměl třeba upozornit, že je nějaký termín volný, nebo jim ho uměl přiřadit, aby nemuseli opakovaně chodit kontrolovat nějakou webovou stránku. Ale aby dostali echo, že tedy už je pro ně to místo připravené. To ten systém v době, kdy byl spuštěný a vlastně doteď, neumí. Stejně tak když se do systému registrujete, musíte si vybrat jednu konkrétní nemocnici, jedno konkrétní očkovací místo, a na něj se potom přihlásit. Jste třeba ochotní dojet po celé Praze, ale systém vám neumí říct: „Dobře, nejblíž máte Bulovku, ale tam místo volné není, ale je volné místo v Motole, tak jeďte tam.“

A počítá se s tím, že by to někdy umět mohl?
Vladimír Dzurilla, šéf NAKITu, zmiňoval, že systém čekají v budoucnu nějaká vylepšení. Pravděpodobně by se tam nějaká ta forma toho upozorňování mohla objevit, ale jak bude vypadat, to nevím.

Zmiňoval jsi, že existuje celá řada momentů, ve kterých se ten systém přinejmenším zpočátku ukázal jako problematický. Vznikaly otázky kolem zabezpečení soukromí, také kolem toho, že není uživatelsky přívětivý pro lidi, kterým je více než 80 let. Jak vážné tyto výhrady jsou?
Naprosto zásadní. Když se podívám na svoje rodiče, kteří ještě zdaleka nejsou v tom pozdním důchodovém věku, i pro ně je to poměrně komplikovaný systém. Musíte vyplnit řadu věcí, dělat je v nějakém pořadí, rozhodnout se, pokračovat dál, nemáte možnost třeba to rozhodnutí změnit… Do toho tam chodí ty SMS PINy, které jsou dva, takže se lidem mohou plést. A když ten PIN nepřijde včas, začnou lidé zmatkovat, mačkají další tlačítka. Ale není možné jim to vyčítat. Ten systém je extrémně nepřívětivý. Jeden z prvků, je opravdu nepříjemný. Ten následný rezervační systém na konkrétní termín společnosti Reservatic používá nástroj, kterému se říká reCAPTCHA. Většina uživatelů internetu ho zná. Občas na vás někde vyskočí okno: „Než vás pustíme dál, vyberte na tomto obrázku hydranty, taxíky, kopce nebo něco podobného.

Tady ta věc je kognitivně poměrně náročná. Zejména pro někoho, kdo není zvyklý rutinně pracovat s počítačem. Nemluvě o tom, že ten nástroj reCAPTCHA vyvinula americká společnost Google, takže obrázky odpovídají americkým reáliím. To znamená, že ty taxíky musíte poznat podle toho, že jsou to žluté taxíky, takové, jaké jsou v New Yorku. Když si vezmete, že třeba v Praze je velká část taxíků bílá, člověk si ani nemusí uvědomit, jak ten taxík má vypadat. Někdy na těch obrázcích máte najít hydranty. A jsou to takové ty typické americké hydranty stojící podél ulic, které v Česku vůbec nemáme, protože my máme hydranty umístěné v zemi. Je tam úkol „Vyberte semafory na křižovatce.“ Jenomže americké křižovatky mají semafory až za křižovatkou narozdíl od těch českých. To znamená, že i znalost amerických reálií nebo znalost nástroje reCAPTCHA je podstatná pro to, aby se tím člověk vůbec probojoval. Navíc obrázky musí vyklikat v nějakém časovém limitu, aby to vůbec fungovalo. Což pro někoho, kdo je starší a počítač nepoužívá rutinně a třeba i hůř vidí, je zásadní problém.

Jak zásadní jsou otázky ochrany soukromí uživatelů? Kam ta data teoreticky mohou putovat?
Tam jde o několik věcí. Jednak je tam ten centrální rezervační systém pod správou organizace NAKIT. To je organizace, která zajišťuje velkou část státního IT. To znamená, že asi můžeme předpokládat, že to zabezpečení těch informací bude mít nějakou štábní kulturu. Ale ve chvíli, kdy člověk získá tu první rezervaci, musí ještě rezervovat ten termín. A tam se následně znovu zadává tedy rodné číslo toho člověka, který se hlásí na očkování. K tomu se používá nástroj společnosti Reservatic, což je poměrně malá firma. Ta firma nemá žádné zaměstnance, je to společnost s ručením omezeným, základní kapitál má 100 000 korun, jsou tam dva jednatelé. Loňskou účetní závěrku vůbec nemá v rejstříku a všechny tři roky zpátky byla ve ztrátě. To znamená, je to opravdu maličkatá firmička, která se teprve začíná rozvíjet. A je vidět, že na tom systému teprve pracují.

To, že je ta firma malá, nutně neříká, že musí být špatná. Nicméně ukazuje to, že i když s ní tedy stát má podepsanou poměrně rozsáhlou smlouvu, tak záruka, že smlouva bude dodržována, je jen tak velká, jak silná je ta firma. A jak říkám, je to malá s.r.o., takže kdyby něco porušila a Úřad pro ochranu osobních údajů jí dal nějakou příšernou pokutu, tak ta by prostě šla do likvidace a nikdo by se ničeho nedomohl.

Jak toto všechno vysvětluje státní organizace NAKIT, tedy Národní agentura pro komunikační a informační technologie?
My jsme samozřejmě vyjádření NAKITu sháněli, protože jsme se těm reklamním kódům v tom systému Reservatic věnovali opakovaně. Přímo od NAKITu jsme nikdy odpověď nedostali, ač jsme se jich opakovaně tázali, ač byli součástí té další komunikace. Nicméně ministerstvo zdravotnictví všechny ty chyby popíralo s tím, že to žádný problém není. Teprve ve chvíli, kdy došlo ke zveřejnění článku, začali narychlo reklamní kódy ze stránek odstraňovat. Zmizel třeba reklamní kód společnosti Seznam. A následně vydali prohlášení, že už problém do značné míry vyřešili. Nicméně jak se ukázalo, k předávání rodného čísla přes adresu stejně docházelo ve chvíli, kdy se systém nastartoval. A stále tam běžel systém Google Analytics, který slouží k analytickému sledování webu, nicméně také sbírá právě ty adresy. To znamená, že docházelo ke sběru rodných čísel. Tím, že ta společnost sídlí v zahraničí, docházelo jednoznačně k předávání rodných čísel do zahraničí.

Jak velký problém to představuje?
Zákon o rodných číslech v ČR přesně stanoví, že rodné číslo je chráněný údaj a mělo by se s ním tedy nakládat nějakým režimovým způsobem. Rozhodně není možné ho bez právního důvodu předávat takto dál. Zejména ve chvíli, kdy uživatel není zpraven, že k předávání do zahraničí dochází a ani nemá možnost výběru. Pokud si řeknu, že mi vadí sledování na internetu a budu vědět, že nějaká stránka ty sledovací kódy používá, třeba nějaký webový portál s nábytkem, prostě tam nebudu chodit a nakupovat. Ale jiný způsob, jak se zaregistrovat na očkování, není. Vy prostě musíte navštívit tady tu stránku a na výběr nemáte, to rodné číslo tam musíte zadat a zase - na výběr nemáte. To znamená, že standard ochrany by měl být daleko vyšší.

Vládní zmocněnec pro informační technologie a zároveň šéf NAKITu Vladimír Dzurilla připustil některé z těch chyb, ale na druhou stranu říká, že část z nich jde za tím, že na vývoj systému bylo málo času. Je toto relevantní argument, Honzo?Samozřejmě je to relevantní argument. Jako programátor jsem v některých momentech na tom systému poznával, že byl řešený horkou jehlou, psaný narychlo. Takže jako argument, proč to nebylo vyvinuté lépe, to obstojí. Ale není to úplně obhajoba. To, že budeme očkovat, víme minimálně půl roku. Nevím, kdo učinil to rozhodnutí, netvrdím, že to byl NAKIT, že se to musí vyvinout narychlo a spustit zrovna teď. Ale není to obhajoba, proč tam byly ty chyby.

Proč se to celé nemohlo odehrát s delším časovým předstihem? Ano, neexistovala vakcína, na druhou stranu o tom, že očkování v nějakou chvíli přijde, o tom se samozřejmě vědělo měsíce dopředu. Vysvětlil tedy někdo, proč se na tom systému nezačalo pracovat dřív?
Takové vysvětlení jsem neviděl. Jedině Vladimír Dzurilla vysvětloval, že nedodělaný systém spustili narychlo, protože chtěli hned od začátku sondovat zájem veřejnosti o očkování. 

Tam je vidět, že žádný reálný důvod, proč to pouštět zrovna teď, úplně nebyl. V den spuštění víme, že potřebujeme ve zranitelné skupině naočkovat něco přes 400 000 lidí. Samozřejmě někteří to očkování dostanou v různých domovech pro seniory, nicméně ti ostatní se musí zaregistrovat tudy. Na toto množství „zájemců“ v ten den spuštění připadalo 2000 míst. Potom se kapacita zvedla na 3000. To znamená opravdu zlomek celkové částky.

Premiér uvedl, že od února podle všeho nezačne registrace pro všechny ostatní zájemce o očkování, jak se původně plánovalo. Dá se tedy mluvit vůbec o funkčnosti toho systému, když není připravený tak, jak se s ním počítalo?
Ten systém prostě trpí v tuto chvíli řadou nedostatků, zejména z uživatelského hlediska. Zbytečně se tam vyplňuje spousta informací, které stát už k dispozici má. Teď už se snad podařilo vychytat ty největší bezpečnostní díry, takže pro začátek určitě plus. Nicméně uživatelská přívětivost je v současné chvíli upřímně opravdu otřesná. A přichází to zejména ve chvíli, kdy my očkujeme od těch nejzranitelnějších skupin, což jsou nejdříve senioři přes 80 let, pak to budou senioři přes pětašedesát let věku. To znamená lidé, kteří opravdu nejsou zvyklí používat složité počítačové formuláře. Nejsou zvyklí používat komplikované počítačové systémy. Špatně se v nich orientují. Vyžaduje to určitý způsob abstrakce, který po nich nikdo nikdy nechtěl, což je samozřejmě výrazně umocňuje, že ten systém je náročný na používání, je nepřívětivý. Měl být pro tyto skupiny připraven v té nejlepší formě právě. Dovolím si tipnout, komu se doteď podařilo zaregistrovat, ten má nejspíš v rodině někoho, kdo se v těchto věcech orientuje. Třeba můj známý, který se právě pohybuje v IT, psal, že svoji babičku registroval v kuse celých 24 hodin, než se mu podařilo prokličkovat přes všechny chyby, SMS kódy, prázdné termíny v registračních formulářích apod.

Premiér Andrej Babiš přes toto všechno tvrdí, že systém funguje dobře a dokonce se nechal slyšet, že Vladimíra Dzurillu navrhne na státní vyznamenání.
Jak asi musí vypadat IT systémy státu, kde nikoho na státní vyznamenání nenavrhli? Nic, jedeme dál.

Celá věc má i politickou dohru. Opozice už postup kritizovala a chce vše projednat na mimořádné schůzi v parlamentu. Dá se, Honzo, čekat, že se ten systém ještě může změnit?
Ten systém se určitě změní. Jestli se má používat do budoucna, je potřeba ho učesat, aby se lidem používal pohodlně. Jinak to bude mimo jiné znamenat i zátěž tu linku 1221, kam teď lidé, když se jim nedaří zaregistrovat, volají. Další lidé z té nejzranitelnější věkové skupiny chodí bez vybraného termínu na to očkovací místo. A jdou se tam jen zaregistrovat. Alespoň to plyne z reportáží z míst, kde se teď očkuje. My jsme v reportáži popisovali příběh snad devadesátiletého pána, který se přišel zeptat, jestli by si mohl rezervovat termín. Což je samozřejmě hrozně nebezpečné, protože ten člověk jede do nemocnice úplně zbytečně a může se nakazit. Přitom si tam jde jen vyplnit formulář. To by se do budoucna určitě vyřešit mělo a já věřím a chci doufat, že se to stane.

Honzo, dá se říci, jak moc na tomto konkrétním systému registrace, který máme k dispozici a budeme mít k dispozici, závisí úspěch celého očkovacího projektu?
Teď je vidět, že lidé o to očkování mají zájem, minimálně v té zranitelné věkové kategorii. Ale podle toho, jaký byl přetlak na tom systému, kolik lidí se k tomu vyjadřovalo, kolik lidí to řešilo, tak se Češi očkovat zjevně chtějí. Lidé budou ochotni asi překonávat i značné překážky, aby se tam registrovali. Ve chvíli, kdy stát někomu řekne, že ta IT cesta je povinná, ještě je k tomu potřeba povinně mobilní telefon, tak by si měl dát zatraceně záležet, aby to bylo nejpohodlnější právě pro ty nejzranitelnější, které potřebujeme naočkovat co nejrychleji. Nejlépe tady tím systémem teď prostě projdou třicetiletí ajťáci, ale ti, ve srovnání se všemi ostatními, očkování opravdu nepotřebují.