Kompanije Telekom Srbija i Tesla iz Zagreba, koje su pravile sistem elektronskog dnevnika, imaju potpun pristup bazi podataka i obrađuju dečije lične podatke na način koji nije u potpunosti u skladu sa zakonom, upozorila je Državna revizorska institucija (DRI).

– U toku predstudije, i u toku korišćenja sistema identifikovani su problemi vezani za nedovoljan broj računara, i skoro pa polovinu od ukupnog broja računara koji su zastareli, uzimajući u obzir i operativni sistem koji koriste, jer su operativni sistemi koji više nemaju podršku što se tiče bezbedonosnih zakrpa samim tim i nebezbedni, zatim, nije obezbeđeno funkcionisanje sistema u slučaju raskida saradnje sa pružaocima usluga, pružalac usluge ima potpun pristup sistemu i produkcionoj bazi, obrada podataka o ličnosti koju vrši pružalac usluga nije u potpunosti uspostavljena na zakonom propisan način, nije uspostavljen proces daljeg razvoja u skladu sa predlozima i potrebama korisnika itd. – stoji u izveštaju DRI.

Ministarstvo prosvete, nauke i tehnološkog razvoja nije usvojilo pravila i procedure koje se odnose na bezbednost podataka kada su u pitanju ugovori sa Telekomom i Teslom. I pored toga što u ugovorima sa ovim kompanijama postoji deo koji se odnosi na poverljivost podataka, nije uspostavljen mehanizam za kontrolu da li privatne firme zaista poštuju obaveze u vezi sa poverljivosti podataka.

Time se nije obezbedila obrada podataka o ličnosti na zakonom propisan način, što može da smanji pouzdanost sistema, piše u izveštaju, a prenosi “Nova ekonomija”.

– Sama činjenica da neko ima ideju da skuplja podatke sve dece, cele populacije, da ih stavlja u neki informacioni sistem, a da pre toga nije rađena procena rizika, da se pre toga niko nije bavio primenom Zakona o zaštiti podataka o ličnosti u okviru tog sistema je skaradna – ocenjuje Jelena Adamović iz Share Fondacije i dodaje da je onda “sve ostalo što se u praksi dešava samo posledica te jedne velike nemarnosti prema poštovanju zakona o zaštiti podatak o ličnosti u okviru te baze”.

Ona objašnjava da bi elektronski dnevnici trebalo da budu samo digitalna forma papirnog dnevnika.

– I tu je kada se radi o papirnim dnevnicima jasno. Tu je škola rukovalac, u školi se svi ti dnevnici fizički nalaze, ne bi smeli da se iznose, ko god hoće nešto da sazna mora da dođe u školu, da tamo eventualno pretražuje podatke itd. Ako se sve digitalizuje, tim propisima je predviđeno i to da škole, umesto u papiru, mogu te dnevnike da vode i u digitalnoj formi – kaže Adamović i napominje da to u praksi može da se odradi tako da “svaka škola angažuje IT firmu koja će da napravi digitalni dnevnik”.

Umesto toga, Ministarstvo je, zbog efikasnosti, svim školama obezbedilo jedinistveni sistem eDnevnik, a to je izvor ogromnih rizika, kaže Adamović.

– Kada imate obradu ličnih podataka počinjete sve sa svrhom, šta je svrha zbog koje ja obrađujem neke lične podatke. Ovde to nije jasno. Jasno je kada su u pitanju papirni dnevnici, da škola vodi dnevnik za svoje učenike. Da bilo šta što mora da se obrađuje na nekom višem nivou su stastički podaci. Ali je ovo sada toliko intruzivno da se svi ti podaci, ne stastički, nego sirovi, nalaze u jednoj te istoj bazi i dostupni su mnogo širem krugu ljudi i potencijalno su podobni nekim zloupotrebama – objašnjava ona.

Ko je administrator?

Prema zakonskim rešenjima, Ministarstvo bi treblo da administrira sistemom, ali DRI upozorava da ovo “nije na adekvatan način prepoznato od strane Ministarstva“. 

Nije usvojen osnovni akt o informacionog bezbednosti, procedura koja uređuju ovu oblast, a nisu ni propisane mere bezbednosti i zaštite podataka iz evidencija i registara.

Ministarstvo je u maju 2021. godine, kao obrađivač podataka kada su u pitanju evidencije koje vodi škola, potpisalo sa grupom firmi, koja radi na sistemu, Ugovor o obradi podataka. Ugovor se odnosio na regulisanje međusobnih prava i obaveza u vezi sa obradom podataka.

Međutim, to nije u skladu sa Zakonom o zaštiti podataka o ličnosti, upozorava DRI. Zakonom je propisano da ako se obrada podataka vrši u ime rukovaoca (u ovom slučaju škole), rukovalac može da odredi kao obrađivača samo ono lice ili organ vlasti koji u potpunosti garantuje primenu odgovarajućih tehničkih, organizacionih i kadrovskih mera, navodi DRI.

Jedan obrađivač podataka može da poveri obradu drugom obrađivaču samo ako ga za to ovlasti rukovalac, a to ovde nije bio slučaj, objašnjava DRI.

Paralelni sistem u vlasništvu Tesle

U maju 2020. godine je došlo do neovlašćenog pristupa podacima učenika preko portala “moja.eskola.rs” koji je u vlasništvu firme “Tesla software” iz Beograda koja nije član grupe pružalace usluge, navodi DRI u svom izveštaju.

– Roditelji su počeli da se javljaju kako im je stigla ponuda da se prijave na eŠkolu. Njima je nuđeno da mogu da dobiju neke pakete i oni su se ulogovali na eŠkolu sa istim kredencijalima i ušli tamo i videli podatke svoje dece – objašnjava Adamović.

Ministarstvo se tada obradilo i reklo da sistem nije namenjen za škole u državnom sistem već isključivo za privatne.

Međutim, iz politika privatnosti i dokumenata koji su se nalazili na ovom portalu se jasno videlo da to što je Ministarstvo reklo nije tačno, kaže Adamović.

Elektronski dnevnici se trenutno koriste u preko 500 osnovnih i srednjih škola i imaju potencijalno preko 1,3 miliona korisnika (učenika, roditelja i nastavnika).

Tekst u celini pročitajte na sajtu “Nova ekonomija”, a izveštaj Državne revizorske institucije pogledajte OVDE.

Izvor: Nova ekonomija