97 proc. szkół już to ma, a UODO i tak bije na alarm. Chodzi o dane dzieci

Co dokładnie zawetował prezydent

Ustawa z 31 lipca 2026 r. o zmianie Prawa oświatowego oraz ustawy o systemie informacji oświatowej miała otworzyć drogę do pilotażu państwowego e-dziennika w roku szkolnym 2026/2027, a docelowo, od 1 września 2027 r., dać szkołom bezpłatną alternatywę dla komercyjnych dzienników elektronicznych. Narzędzie miało być zintegrowane z Systemem Informacji Oświatowej oraz aplikacją mObywatel, a korzystanie z niego dobrowolne.

Karol Nawrocki odmówił jednak podpisu. W nagraniu z 28 sierpnia tłumaczył, że idei cyfryzacji nie neguje, ale zastrzeżenia budzą sposób wdrożenia, koszty i zabezpieczenie danych dzieci. Reakcja resortu edukacji była ostra. Barbara Nowacka nazwała decyzję „lobbystycznym wetem" i zapowiedziała, że zwróci się do służb o sprawdzenie, czy argumentacja prezydenta nie zbiega się przypadkiem z interesem operatorów płatnych dzienników. Warto przy tym pamiętać o skali rynku, który miałby zostać naruszony: z Oceny Skutków Regulacji do ustawy wynikało, że z komercyjnych dzienników elektronicznych korzysta już 97,06 proc. publicznych szkół, które uzupełniły tę informację w systemie oświatowym.

Politycznie sprawa jest więc czytelna. Prawnie zaczyna się dopiero robić ciekawie, bo to, co dla jednych jest pretekstem, dla organu nadzorczego stanowi realny problem konstrukcyjny.

Stanowisko UODO: dobra idea wymaga twardych zabezpieczeń

Prezes UODO Mirosław Wróblewski w opublikowanym 1 września stanowisku (data znamienna, bo to pierwszy dzień szkoły) inicjatywę przyjął przychylnie. „Publiczna, bezpłatna usługa dokumentacji szkolnej, gwarantująca wysoki poziom bezpieczeństwa, jest potrzebna" napisał, dodając, że dzisiejsze rozwiązania komercyjne często nie chronią danych należycie i rodzą wątpliwości co do zgodności z RODO. Świadczyć mają o tym liczne skargi obywateli, a jak zaznaczył, kontrola u jednego z takich podmiotów wykazała nieprawidłowości w przetwarzaniu danych.

To niewygodny kontekst dla wszystkich stron. Argument „przecież rynek już to obsługuje" traci na sile, jeśli sam nadzorca sygnalizuje, że rynek obsługuje to miejscami źle. Przypomina o tym choćby to, że każde naruszenie ochrony danych osobowych administrator ma obowiązek zgłosić organowi nadzorczemu w ciągu 72 godzin, niezależnie od tego, czy zawinił, czy padł ofiarą ataku.

Dane wrażliwe, nie tylko oceny i frekwencja

Sedno problemu leży w tym, co w takim dzienniku się znajduje. Poza ocenami i obecnością system oświatowy przetwarza informacje o stanie zdrowia uczniów czy o orzeczeniach o potrzebie kształcenia specjalnego, a to już szczególne kategorie danych w rozumieniu art. 9 RODO, objęte zaostrzonym reżimem. Szkoła występuje tu w roli administratora i odpowiada za cały łańcuch przetwarzania, od tego, jak realizowana jest ochrona wizerunku ucznia, po zabezpieczenie kartotek z danymi medycznymi. Przeniesienie tego wszystkiego do jednej państwowej infrastruktury nie usuwa ryzyka, tylko zmienia jego adres i skalę.

„Single point of failure", czyli cena centralizacji

Najmocniejszy fragment stanowiska dotyczy właśnie architektury. Zdaniem Wróblewskiego zgromadzenie danych oświatowych w jednej centralnej bazie znacząco podnosi ryzyko systemowe, „kreując tzw. „single point of failure" i eksponując wrażliwe informacje o milionach osób dotkniętych obowiązkiem szkolnym na masowe incydenty bezpieczeństwa". W praktyce oznacza to, że im większy i bardziej scentralizowany zbiór, tym atrakcyjniejszym staje się celem, a skutki jednej udanej infiltracji rosną wykładniczo.

Że to nie teoretyzowanie, pokazuje historia polskich rejestrów. Wystarczy przypomnieć ujawnienie numerów PESEL osób zasiadających w zarządach spółek i fundacji, do którego doszło zgodnie z obowiązującymi wtedy przepisami, a mimo to stworzyło realne pole do kradzieży tożsamości. Skoro problem potrafi wygenerować sama konstrukcja jawnego rejestru, to baza obejmująca dane zdrowotne kilku milionów dzieci wymaga standardu bezpieczeństwa znacznie wyższego niż deklaracje.

DPIA i privacy by design, czyli czego wymaga prawo

UODO nie poprzestaje na ostrzeżeniu, lecz wskazuje konkretne narzędzia. Powstanie takiego systemu powinna poprzedzić rzetelna ocena skutków dla ochrony danych (DPIA), przewidziana w art. 35 RODO właśnie dla przetwarzania na dużą skalę danych szczególnych kategorii. Do tego dochodzi zasada privacy by design z art. 25, nakazująca ograniczać zakres zbieranych informacji do niezbędnego minimum już na etapie projektowania, oraz precyzyjne przypisanie ról w procesie przetwarzania. Kluczowa jest również podstawa prawna: przetwarzanie danych przez podmiot publiczny musi mieć wyraźne umocowanie ustawowe, inaczej cała operacja wisi w powietrzu. Ważne jest też pytanie praktyczne, kto poniesie odpowiedzialność za wyciek danych, gdy administratorów i podmiotów przetwarzających jest kilku, a dane migrują między systemami.

Co to oznacza dla rodziców i uczniów

Dla rodzin bilans jest ambiwalentny. Państwowy dziennik miał znieść opłaty, które dziś ponoszą rodzice za pełne wersje komercyjnych aplikacji, i to realna korzyść. Z drugiej strony darmowe nie znaczy automatycznie bezpieczne, a zaufanie do takiego narzędzia będzie warte dokładnie tyle, ile warte okażą się jego zabezpieczenia po pierwszym poważnym teście. Wróblewski zaznaczył przy tym, że „to organy publiczne powinny być gwarantem bezpiecznego i służącego dobru publicznemu przetwarzaniu danych", i zadeklarował wsparcie eksperckie zarówno dla Ministerstwa Edukacji Narodowej, jak i Kancelarii Prezydenta.

Innymi słowy, urząd wskazuje trzecią drogę wobec sporu „darmowe państwowe kontra sprawdzone komercyjne". Nie chodzi o to, kto obsłuży dziennik, lecz o to, czy ktokolwiek zrobi to zgodnie z regułami, których przy okazji corocznych absurdów spod znaku RODO w szkole zwykle się nie docenia. Piłka wróciła do ustawodawcy, a przy następnym podejściu trudniej będzie pominąć pytania, które padły teraz na piśmie.

Obserwuj nas w Google Discover

Podobają Ci się nasze treści?

Google Discover

Obserwuj