MEN(CIE) nie odpowiada na to pytanie – moim zdaniem dlatego, że rzecz po tamtej stronie nie jest pojmowana. A skrajnym na to dowodem jest to, że zagadnienie zostało kompletnie pominięte w całym procesie zmiany przepisów prawa dotyczących istnienia i funkcjonowania systemu informacji oświatowej.

Zatem co zrobić z dotychczasowymi lokalnymi bazami danych? Niejednoznacznie możliwe odpowiedzi są trzy: pierwsza – zostawić tam, gdzie są w stanie w jakim są; druga – usunąć nieodwracalnie; trzecia – usunąć i zostawić jednocześnie (?). Która odpowiedź jest prawidłowa? – o tym dalej. Osobnym zagadnieniem jest ewentualność usunięcia lub pozostawienia dotychczasowej lokalnie instalowanej aplikacji gromadzenia danych, zwanej zwyczajowo „nowy SIO” – tu MEN(CIE) także „ponuro” milczy, a ten wątek w dalszych ustępach tu się jeszcze także ujawni.

Istotą problemu jest to że (art. 3 ust. 2 ustawy o SIO) "w systemie informacji oświatowej są gromadzone i przetwarzane dane osobowe: 1)  dzieci […] oraz uczniów, słuchaczy, wychowanków i absolwentów szkół i placówek oświatowych; 2)  nauczycieli, wychowawców i innych pracowników pedagogicznych, […]; 3)  osób niebędących nauczycielami […]; 4)  osób, które wykonują zadania nauczyciela na podstawie umowy cywilnoprawnej”. Czyli w lokalnych bazach danych zgromadzono dane osobowe.

Art. 2 ustawy o SIO otrzymał brzmienie: „System informacji oświatowej stanowią baza danych systemu informacji oświatowej, zwana dalej „bazą danych SIO”, oraz system teleinformatyczny”.  Czyli nie ma już tam zapisu: „i lokalne bazy danych systemu informacji oświatowej, zwane dalej lokalnymi bazami danych SIO”. Czyli w najnowszym („przeglądarkowym”) stanie istnienia i funkcjonowania SIO nie ma już lokalnych baz danych, ale oczywiście usunięcie zapisu z ustawy nie wymazuje „lokalnych baz danych SIO” z obiektywnej rzeczywistości – stąd pytanie postawione w tytule.

A art. 6 ustawy o SIO uchylono ust. 2: „Administratorem lokalnej bazy danych SIO jest kierownik podmiotu prowadzącego lokalną bazę danych SIO”. Co jednak nie uchyla tego, że ów „kierownik” pozostaje administratorem danych osobowych (w rozumieniu ustawy o ochronie danych osobowych) w odniesieniu do istniejącej „lokalnej bazy danych SIO”.

No to może ją (ową „lokalną bazę danych SIO”) zwyczajnie usunąć i już… - „Das ist nicht so einfach”, zwykł mawiać pewien majster, kiedy byłem gotów wszystko z miejsca „naprawić” w pewnym warsztacie, gdzie jako student…

W art. 7 pkt 2 ustawy o ochronie danych osobowych się stanowi, że przez przetwarzanie danych osobowych „rozumie się […] jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych”. Czyli – po pierwsze – każda czynność z „lokalną bazą danych SIO”, to czynność dokonywana na danych osobowych tam zgromadzonych mieszcząca się w katalogu „jakiekolwiek operacje”; po drugie – jest takim przetwarzaniem w szczególności „usuwanie” (rozumiane tu dowolnie – albo jako usuwanie danych osobowych ze zbioru danych osobowych, albo jako usuwanie danych osobowych poprzez usunięcie zbioru danych osobowych)… - jakakolwiek operacja…

No i co z tego, że chęć usunięcia „lokalnej bazy danych SIO”, to będzie „przetwarzanie danych osobowych”?

W art.  26 ust. 1 ustawy o ochronie danych osobowych stanowi się o głównych obowiązkach administratora danych:  „Administrator danych przetwarzający dane powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności jest obowiązany zapewnić, aby dane te były: 1)  przetwarzane zgodnie z prawem; 2)  zbierane dla oznaczonych, zgodnych z prawem celów i niepoddawane dalszemu przetwarzaniu niezgodnemu z tymi celami, z zastrzeżeniem ust. 2; 3)  merytorycznie poprawne i adekwatne w stosunku do celów, w jakich są przetwarzane; 4)  przechowywane w postaci umożliwiającej identyfikację osób, których dotyczą, nie dłużej niż jest to niezbędne do osiągnięcia celu przetwarzania”.

Czyli ewentualnego usunięcia należy dokonać jako „przetwarzania zgodnie z prawem”. A to oznacza, że będzie zgodnie z prawem wtedy, gdy zajdzie co najmniej jedna z przesłanek dopuszczalności przetwarzania danych osobowych spośród wskazanych w art. 23 ust. 1 ustawy o ochronie danych osobowych (celowo pominę tu zagadnienie przetwarzania danych zwanych umownie „wrażliwymi” – rzecz i tak jest wystarczająco po stronie MEN(CIE) zaniedbana…).

Możemy zatem dokonać usunięcia (patrz wskazany art. 23) jeżeli:
1)  osoby, których dane gromadzono w „lokalnej bazy danych SIO”, wyraziły bądź wyrażą na to zgodę – i tu uwaga… – „chyba że chodzi o usunięcie dotyczących jej danych”. Ale tu niuansik: brak podstaw do twierdzenia, że usunięcie (w dowolnym znaczeniu tego słowa) bazy danych jest równoznaczne z usunięciem danych osobowych danej osoby z bazy danych – wskazanie to nie zamyka jednak tu sprawy do końca…; dalej do tego wrócę.
2)  „jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa”. Tu krótko – na to, co wynika z tego punktu MEN nie ustanowiło żadnego przepisu prawa.
3)  „jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą” - …nie dotyczy roztrząsanego tu zagadnienia.
4)  „jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego” – nie znam nikogo, kto znałby kogokolwiek, kto umie wystarczająco jasno, zrozumiale i we właściwym kontekście znaczenia zwrotu „wykonania określonych prawem zadań” – wyjaśnić, co to jest tu owo „dobro publiczne”.
5)  „jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą” – tu należy umieć wskazać „prawnie usprawiedliwiony cel”. Cel (cele) jest owszem wskazany brzmieniem art. 1 ustawy o SIO, ale w znaczeniu słów: „uzyskiwaniu danych niezbędnych do:” - …uzyskiwaniu…; za prawnie usprawiedliwiony cel można byłoby uznać jakiś zapis w ustawie zmieniającej dotyczący dalszych losów lokalnych baz danych, ale ustawodawca reprezentowany przez MEN(CIE) usunął/uchylił wszelkie przepisy i zapisy dotyczące lokalnych baz danych, a nowych w tu oczekiwanym zakresie wpisać nie raczył.

Dodatkowo, gdyby nawet któraś ze wskazanych przesłanek mogła być uznana za taką, która właśnie zachodzi, to zachodzi wtedy, gdy (art. 26) „2) zbierane dla oznaczonych, zgodnych z prawem celów i niepoddawane dalszemu przetwarzaniu niezgodnemu z tymi celami, z zastrzeżeniem ust. 2; 3)  merytorycznie poprawne i adekwatne w stosunku do celów, w jakich są przetwarzane; 4)  przechowywane w postaci umożliwiającej identyfikację osób, których dotyczą, nie dłużej niż jest to niezbędne do osiągnięcia celu przetwarzania”. Tu wyraźnie widać brak zbieżności z chęcią „usunięcia” lokalnej bazy danych – rzecz rozbija się o „zgodne z prawem cele”. A wystarczył jeden jakiś drobny zapis w ustawie zmieniającej ustawę o SIO…

Dało się jednocześnie przy okazji pokazać, że ewentualna chęć: „zostawić tam, gdzie są w stanie w jakim są” – tym bardziej nie znajduje uzasadnienia poprzez wskazywane dotąd przepisy prawa.

No to została ostatnia możliwość. „Usunąć i zostawić jednocześnie”. Czyli „lokalna baza danych SIO” nie może pozostać tam, gdzie jest (brak przesłanek legalności jej pozostawienia). A gdzie jest? Jest fizycznie najczęściej na dysku twardym jakiegoś komputera (najczęściej jest to jeden plik określony nazwą „SIO2.sqlite”, który jest łatwy do zlokalizowania w komputerze. Należy usunąć ów plik poprzez przeniesienie go na inny nośnik (np. dysk CD, DVD itp.). A nośnik ten wraz z plikiem złożyć w miejscu przechowywania wynikającym z lokalnej polityki bezpieczeństwa. Czyli w polityce bezpieczeństwa (lub lepiej w instrukcji zarządzania systemem informatycznym służącym do przetwarzania danych osobowych – ale takowej, a propos SIO, to nigdy i nigdzie nie spotkałem…) powinien zaistnieć prosty i czytelny zapis, z którego będzie wynikać, gdzie teraz „lokalna baza danych SIO” jest przechowywana, kto i w ramach jakiej procedury ma do niej dostęp.

…tyle ceregieli i tytłania się z tym dziadostwem?

No... – otóż uchylono także dotychczasowy art. 94 ustawy o SIO: „1. Dane ucznia i dane nauczyciela zgromadzone w zbiorze danych ucznia i zbiorze danych nauczyciela w lokalnej bazie danych SIO są przechowywane przez okres 5 lat od dnia wprowadzenia do zbioru ostatniej informacji.
2. Po upływie okresu przechowywania, o którym mowa w ust. 1, dane ucznia i dane nauczyciela zgromadzone w lokalnej bazie danych SIO zostają z niej niezwłocznie usunięte”.

Uchylenie art. 94 nie uchyla konieczności wskazanego okresu przechowywania. No to będzie zabawa. Przecież wskazany okres przechowywania nie mija dla wszystkich osób, których dane gromadzono, w tym samym czasie… Ach, to stąd sugestia zawarta w pytaniu: a co z zainstalowaną lokalnie aplikacją „nowego SIO”?... A wystarczył jeden jakiś drobny zapis w ustawie zmieniającej ustawę o SIO…

Taka, mniej więcej i w skrócie, jest tu rzeczywistość wynikająca z bieżącego stanu prawnego we wskazywanym zakresie oraz z równie istotnych zaniedbań w tym samym zakresie po stronie MEN(CIE).

Jest „nadzieja” na coś prostszego. W art. 7 ustawy zmieniającej ustawę o SIO stanowi się: „Minister właściwy do spraw oświaty i wychowania podejmuje działania organizacyjno-techniczne mające na celu zapewnienie od dnia 24 lipca 2017 r. przekazywania danych do bazy danych SIO za pomocą aplikacji internetowej”. …Czyli – „…nie wiemy, jak to będzie; dlatego minister uzyska szczególne kompetencje (jakie? – no jakieś szczególne, adekwatne do tego, jak to będzie)” – i stosowną kolejną wytyczną pewnego dnia się coś tam odważnie postanowi o tychże „lokalnych bazach danych SIO”.

A co się wytyczy/postanowi? …ano, że przecież „trzeba” było te „lokalne bazy danych SIO” już dawno temu usunąć, tzn. tuż po 24 lipca i że przecież nie ma żadnego problemu, i że o co ten cały zgiełk w temacie… I patrząc z tej obecnie dominującej blankietowej perspektywy śmiało doradzam właśnie owo zdecydowane i trwałe usunięcie „lokalnych baz danych SIO” bez robienia jakiejś tam kopii archiwalnej…

I proszę wtedy mocno i trwale stać na stanowisku, że można i należy nawet dokonać usunięcia („lokalnej bazy danych SIO”) bo: osoby, których dane gromadzono w „lokalnej bazy danych SIO”, wyraziły bądź wyrażą na to zgodę – nie, tu żadnych zgód nie trzeba – bo „chodzi o usunięcie danych” – art. 23 ust. 1 pkt 1 ustawy o ochronie danych osobowych. I tu niuansik: twierdzić należy, że usunięcie (w dowolnym znaczeniu tego słowa) bazy danych jest równoznaczne z usunięciem danych osobowych danej osoby z bazy danych – wskazanie to nie zamyka jednak tu sprawy do końca…, bo nieco inaczej to wszystko wygląda z perspektywy nowego prawa ochrony danych osobowych (od maja 2018), ale…

…ale – może do tego czasu już nie będzie tego ciągle zmienianego „nowego SIO”, a może…, a tak w ogóle, to kogo to obchodzi, co będzie z tymi „lokalnymi bazami danych SIO”, skoro na przykład ani nawet MEN, ani CIE to nie obchodzi – i co z tego, że gromadzono tam jakieś dane osobowe;  eee tam – jakie tam dane osobowe, przecież to były dane identyfikacyjne i dane dziedzinowe…

Dodam tak tylko na marginesie zupełnie, że w przypadku dokonania usunięcia tejże „lokalnej bazy danych SIO” może się przydać (tak na wszelki wypadek) dowód legalności postępowania (lub coś, co może być przywoływane jako taki dowód) – może to być w tym przypadku jakiś protokół likwidacji zbioru danych przygotowany w zgodności z lokalną polityką bezpieczeństwa, bo wszelkich innych unormowań tu brak, niestety…

Krzysztof Sługocki, 24.08.2017