6 kadencja, 54 posiedzenie, 3 dzień (19-11-2009)

15 punkt porządku dziennego:
Pytania w sprawach bieżących.

Podsekretarz Stanu w Ministerstwie Edukacji Narodowej Lilla Jaroń:

    Pani Marszałek! Panie i Panowie Posłowie! Odpowiadając na pytanie pani poseł Katarzyny Matusik-Lipiec w sprawie systemów informatycznych użytkowanych w systemie edukacji, chciałabym powiedzieć, że System Informacji Oświatowej funkcjonuje od 2005 r., a został wprowadzony na mocy ustawy z 19 lutego 2004 r. Bazy danych oświatowych są prowadzone w formie elektronicznej za pomocą oprogramowania zgodnego z wymaganiami określonymi w przepisach ustawy o informatyzacji działalności podmiotów realizujących zadania publiczne. Standard ten został zatem dochowany.

    Dane w systemie SIO o uczniach nie są zbierane w systemie danych personalnych, a więc są bez imienia, nazwiska, są to dane ilościowe zagregowane. Tak więc dane o uczniach to zestawienia informujące o liczbie uczniów według określonej cechy: płci, roku urodzenia, typów/rodzajów szkół, placówek oświatowych, klas itd. Jeśli chodzi o dane o nauczycielach, to są one zbierane według numeru PESEL, ale też bez imienia, nazwiska, adresu zamieszkania itd. Niemniej jednak są szyfrowane te dane, PESEL, na poziomie szkoły mającej dostęp do danych osobowych. Jeśli chodzi o przesyłanie tych danych ze szkoły do samorządu i na wyższe szczeble - bo informacje, zanim dotrą do ministra edukacji, zbiera się w sposób kaskadowy - żaden następny podmiot nie ma możliwości rozszyfrowania tego i dotarcia do PESEL-u nauczyciela. Nawet gdyby to rozszyfrował, to i tak nie ma tam imienia ani nazwiska.

    Niemniej jednak raport, o którym pani poseł wspomniała, był rzeczywiście sporządzony przez głównego inspektora ochrony danych osobowych w 2008 r. i już zostały poczynione pewne kroki. Od września 2008 r. w SIO dla każdego rejestrowanego użytkownika jest odrębny identyfikator, a dostęp do danych możliwy jest wyłącznie po wprowadzeniu identyfikatora i dokonaniu uwierzytelnienia. Identyfikator użytkownika, który utracił uprawnienia do przetwarzania danych, nie może być przydzielony innej osobie. Do uwierzytelnienia użytkowników używa się hasła, które zmienia się w tej chwili nie rzadziej niż co 30 dni, a hasło składa się nie mniej niż z 6 znaków.

    Podmioty prowadzące bazy danych, wprowadzające dane są zobowiązane do stworzenia na każdym poziomie owych warunków organizacyjnych, technicznych zapewniających ochronę przetwarzania tych danych, a szczególnie dotyczy to zabezpieczenia przed dostępem osób nieuprawnionych.

    Jeśli chodzi o system gromadzenia danych zastosowany, użytkowany w Krakowie - podobny system ma Wrocław - to takie same obowiązki ochrony danych i zabezpieczenia ciążą na nim jak w przypadku gromadzenia danych w Systemie Informacji Oświatowej. A zatem lokalnie systemy mogą być wdrażane przez samorządy; one nie mają sprzężenia, nie wiążą się rzeczywiście z Systemem Informacji Oświatowej, tym, którym zarządza Ministerstwo Edukacji Narodowej, niemniej jednak takie same wymogi samorządy muszą spełnić.

    Co do dublowania się tych danych to za chwilę się do tego odniosę, bo powiem o tym, co planujemy w Ministerstwie Edukacji Narodowej, żeby powiązać i usprawnić politykę decyzyjną w zakresie zarządzania danymi oświatowymi.

    Odniosę się w tej chwili do aplikacji Hermes. Aplikacja Hermes nie jest w rozumieniu informatycznym systemem sensu stricto, gdyż za pomocą jedynie formularzy przewodniczący szkolnego zespołu egzaminacyjnego, najczęściej dyrektor szkoły, przekazuje dane do okręgowej komisji egzaminacyjnej, potrzebnej do zorganizowania i przeprowadzenia tego egzaminu. To są już dane personalne, takie jak imię i nazwisko. Niemniej jednak aplikacja Hermes posiada zabezpieczenia uniemożliwiające osobom nieuprawnionym dostęp do wprowadzania do niej danych osobowych uczniów i deklaracji egzaminacyjnej. Jedną z jej zabezpieczających funkcji jest wymuszenie zmiany hasła dostępu do aplikacji co 30 dni od chwili jej uruchomienia. Wszystkie zabezpieczenia danych w aplikacji Hermes są też zgodne z wymogami głównego inspektora ochrony danych osobowych. Z informacji uzyskanych z Centralnej Komisji Egzaminacyjnej wynika, że aplikacja została ponad rok temu dostosowana do tych wymagań prawnych. Nastąpiło powiązanie dostępu przewodniczących komisji egzaminacyjnych z aplikacją w ten sposób, że wprowadzono tzw. klucze identyfikacyjne służące do wprowadzania danych i do ich szyfrowania. Dostęp do tych kluczy mają tylko osoby w formie pisemnej upoważnione przez przewodniczącego i generowane są unikalne hasła dostępu. W związku zatem z tymi zastrzeżeniami, które już zostały sformułowane, jest postęp w zakresie ochrony danych w systemie Hermes.

    Obecnie opracowujemy założenia do nowej ustawy o systemie informacji oświatowej (Dzwonek), tzw. SIO 2. Będzie to nowy system rozbudowany o moduł analityczny, tak więc będzie mógł służyć tym wszystkim funkcjom, również mniejszym samorządom, których nie jest stać na wdrożenie takiego systemu, i będzie to aplikacja, która będzie gromadziła i udostępniała na zewnątrz dane dedykowane. Myślę, że na poziomie już uzgodnień resortowych co do założeń, a następnie przedstawiając państwu projekt tej ustawy, będziemy mogli dokładnie omówić wszystkie zabezpieczenia ochrony danych osobowych zarówno uczniów, jak i nauczycieli. Dziękuję bardzo.

Przebieg posiedzenia