Odpowiednie gwarancje cyberbezpieczeństwa konieczne dla następcy e-Dziennika

Prezes UODO na etapie prac legislacyjnych popierał inicjatywę stworzenia zapewnianej przez państwo publicznej, cyfrowej, bezpłatnej dla rodziców i uczniów dokumentacji szkolnej. Prezydenckie weto wstrzymało jednak zaplanowany na aktualny rok szkolny pilotaż państwowego e-Dziennika, który z założenia miał sprawdzić funkcjonowanie systemu w codziennej pracy szkół. Zdaniem prezesa UODO, stworzenie kolejnego, analogicznego do poprzedniego rozwiązania wymaga ponownej analizy kwestii przetwarzania danych osobowych oraz zapewnienia odpowiednich gwarancji cyberbezpieczeństwa.

- Publiczna, bezpłatna usługa dokumentacji szkolnej, gwarantująca wysoki poziom bezpieczeństwa jest potrzebna. Funkcjonujące obecnie komercyjne rozwiązania zapewniające analogiczną funkcjonalność, często nie zapewniają odpowiedniej ochrony danym oraz budzą wątpliwości związane z przestrzeganiem zasad RODO, o czym świadczą liczne skargi obywateli, jakie wpływają na takie podmioty do Urzędu Ochrony Danych Osobowych. Kontrola w jednym z takich podmiotów również wykazała nieprawidłowości związane z przetwarzaniem danych osobowych – czytamy w komunikacie UODO nawiązującym do faktu zawetowania przez prezydenta ustawy regulującej wprowadzenie e-Dziennika państwowego i jego wcześniejszego pilotażu.

Przypomnijmy, że projekt przygotowany przez MEN miał umożliwić przeprowadzenie pilotażu państwowego e-Dziennika - bezpłatnego rozwiązania dla szkół, zintegrowanego z Systemem Informacji Oświatowej. Pilotaż miał rozpocząć się w roku szkolnym 2026/2027 i być pierwszym etapem przygotowania systemu. Zdaniem ministerstwa, miał pozwolić sprawdzić funkcjonowanie systemu w codziennej pracy szkół oraz zebrać doświadczenia nauczycieli, dyrektorów, a także rodziców przed jego szerszym udostępnieniem zainteresowanym szkołom. Prezydent Karol Nawrocki odmówił jednak podpisania nowelizacji prawa oświatowego zastrzegając, że nie jest przeciwny wprowadzeniu e-Dziennika, ale ustawa musi być dobrze opracowana. Poza tym szkoły potrzebują czasu, szkoleń i odpowiedniego przygotowania do wprowadzenia nowych rozwiązań. 

Zgodnie z komunikatem, Mirosław Wróblewski, prezes Urzędu Ochrony Danych Osobowych, entuzjastycznie przyjął inicjatywę stworzenia ­ zapewnianej przez państwo publicznej, cyfrowej­, bezpłatnej dla rodziców i uczniów dokumentacji szkolnej. Jego zdaniem, stworzenie narzędzia analogicznego do e-Dziennika musi bazować na zaufanych rozwiązaniach, mających swoje umocowanie w przepisach ustawowych. Ponadto musi zostać poprzedzone pogłębioną analizą fundamentalnych aspektów związanych z podstawą prawną do przetwarzania danych oraz zapewniać odpowiednie gwarancje cyberbezpieczeństwa.

Uwaga na zagrożenia

Prezes Urzędu Ochrony Danych Osobowych wyjaśnia, że stworzenie narzędzia zapewniającego cyfrową dokumentację szkolną musi zostać poprzedzone wyczerpującą i transparentną oceną skutków dla ochrony danych (DPIA), zarówno w aspekcie funkcjonalnym tworzonego systemu informatycznego, jak i podstaw prawnych dla jego działania. Ocena ta musi uwzględniać zagrożenia związane z centralizacją danych, zasadę „privacy by design” (w szczególności w aspekcie niezbędnego dla celów przetwarzania zakresu danych), jak również precyzyjnie ustalać role w procesach przetwarzania danych w cyfrowej dokumentacji szkolnej. Poza tym zwraca uwagę na konieczność zapewnienia odpowiednich gwarancji bezpieczeństwa danych i uwzględnienia wszystkich potencjalnych „cyberzagrożeń”, które mogą dotknąć uczniów, ich rodziców i nauczycieli.

- Prezes UODO pragnie jednocześnie podkreślić, że konsolidacja danych oświatowych w ramach jednej centralnej bazy danych potęguje znacząco ryzyko systemowe o charakterze cyfrowym, kreując tzw. „single point of failure” i eksponując wrażliwe informacje o milionach osób dotkniętych obowiązkiem szkolnym na masowe incydenty bezpieczeństwa. Jest to najistotniejszy aspekt, który musi być poddany rzetelnej i drobiazgowej ocenie skutków dla ochrony danych (DPIA) – czytamy w komunikacie.

Wskazówki dla organów publicznych

W ocenie Mirosława Wróblewskiego, prezesa Urzędu Ochrony Danych Osobowych, to organy publiczne powinny być gwarantem bezpiecznego i służącego dobru publicznemu przetwarzaniu danych w celach takich jak realizacja zadań edukacyjnych wobec uczniów. Rozwiązania takie muszą jednak spełniać wymogi związane z poszanowaniem życia prywatnego osób, których dane będą w nich przetwarzane. Powinny być także wdrażane do użytkowania po pogłębionych pracach analitycznych i testach bezpieczeństwa. Zdaniem prezesa UODO, ustawa, która wprowadzi takie rozwiązania, musi ustalać wysokie standardy bezpieczeństwa przetwarzania danych osobowych i tworzyć odpowiednie gwarancje prawne dla ochrony prywatności osób fizycznych.

- Urząd Ochrony Danych Osobowych, podobnie jak przy innych tego typu inicjatywach, deklaruje swoje wsparcie eksperckie na wszystkich etapach prac nad wdrożeniem darmowej, publicznej, cyfrowej dokumentacji szkolnej, oferując je w szczególności Ministerstwu Edukacji Narodowej i Kancelarii Prezydenta RP w tym zakresie – czytamy w podsumowaniu komunikatu urzędu.