NIK o bezpieczeństwie danych osobowych w systemie informacji oświatowej

Jedną z kluczowych kwestii podczas modernizacji systemu informacji oświatowej było zapewnienie bezpieczeństwa danych osobowych uczniów i nauczycieli zgromadzonych w bazie systemu. Jednak wyniki kontroli NIK wskazują, że w systemie informatycznym nowego SIO nie zapewniono pełnej funkcjonalności mechanizmów przewidzianych do kontroli tego bezpieczeństwa. Zdaniem Najwyższej Izby Kontroli osłabia to ochronę danych osobowych gromadzonych w bazie danych nowego systemu.

Nadzór nad bezpieczeństwem danych osobowych w SIO sprawuje minister edukacji narodowej. Minister powinien mieć dostęp do wykazu zarejestrowanych przypadków nielegalnego pozyskania, zniszczenia lub utraty danych, uzyskania lub próby uzyskania nieuprawnionego dostępu do danych zgromadzonych w bazie SIO oraz wykorzystania tych danych w nieuprawniony sposób.

Wykaz ten powinien powstawać na podstawie:

• automatycznie generowanej informacji o przypadkach, w których nastąpiła próba nieuprawnionego dostępu,
• informacji przekazywanych przez kierowników podmiotów, które prowadzą lokalne bazy danych, do bazy danych SIO o tym, że zostały stwierdzone: nieuprawniony dostęp do bazy, nielegalne pozyskiwanie danych, zniszczenie lub utrata danych lub ich wykorzystanie w nieuprawniony sposób.

System informatyczny nowego SIO umożliwia generowanie takiego wykazu, ale nie zaimplementowano w nim funkcji automatycznego generowania informacji o przypadkach, w których nastąpiła próba nieuprawnionego dostępu. Nie ma on także funkcji przekazywania informacji przez kierowników podmiotów prowadzących lokalne bazy danych o wystąpieniu zakłóceń. Zdaniem NIK nie działa również mechanizm kontroli bezpieczeństwa przekazywania i pozyskiwania kwartalnych informacji o niezakłóconym funkcjonowaniu lokalnych baz danych SIO.

Najwyższa Izba Kontroli zwróciła się do ministra edukacji narodowej, aby niezwłocznie zapewnił w systemie informatycznym nowego SIO działanie wszystkich mechanizmów służących nadzorowi nad bezpieczeństwem przekazywania i pozyskiwania danych.

Podczas kontroli inspektorzy NIK wykryli też nieprawidłowości w przetwarzaniu danych przez dyrektorów szkoły. W kilku kontrolowanych przypadkach dyrektorzy udostępnili osobisty kod uwierzytelniający dostęp do lokalnej bazy danych SIO innej nieuprawnionej osobie. Zlecili im też przekazywania danych z systemu.

W jednym z kontrolowanych starostw powiatowych okazało się, że osoby, które miały dostęp do danych w systemie informacji oświatowej, nie miały nadanych upoważnień do przetwarzania danych osobowych. Nie podpisały też klauzuli o zachowaniu w tajemnicy udostępnionych im danych w SIO oraz informacji o ich zabezpieczeniu.