ÚIV: Ze školních matrik žádné údaje neunikají

V druhé polovině ledna se v tisku objevily kritické články věnované právě školním matrikám. Titulky v deníku Právo informovaly o tom, že školství sbírá mnoho citlivých dat o žácích a že školská veřejnost i politici se obávají, aby nedocházelo ke zneužívání údajů. Všechny poplašné zprávy ale vyvrací RNDr. Michaela Kleňhová, ředitelka Divize statistických informací a analýz z ÚIV.

Ústav pro informace ve vzdělávání (ÚIV), který jako přímo řízená organizace Ministerstva školství, mládeže a tělovýchovy zpracovává statistická data, komunikoval během prosince a ledna ve zvýšené míře s pracovníky škol, kteří se dotazovali na centrální databázi s údaji ze školních matrik. Otázky se týkaly především technických a metodických problémů se zasíláním dat do zpracovatelského centra. V druhé polovině ledna se v tisku objevily kritické články věnované právě školním matrikám. Titulky v deníku Právo informovaly o tom, že školství sbírá mnoho citlivých dat o žácích a že školská veřejnost i politici se obávají, aby nedocházelo ke zneužívání údajů. Všechny poplašné zprávy ale vyvrací RNDr. Michaela Kleňhová, ředitelka Divize statistických informací a analýz z ÚIV.

Je možné, aby z centrální databáze s údaji ze školních matrik unikaly údaje, jak to uvádí předseda Úřadu pro ochranu osobních údajů Igor Němec v deníku Právo z 29. ledna 2009, který argumentuje tím, že některým absolventům škol chodí blahopřání z bank?
Rozhodně to možné není, protože centrální server školních matrik je důkladně zabezpečen. Navíc se sem neposílají žádné adresné ani jmenné údaje, na základě kterých by bylo možné letáky, blahopřání, popř. dopisy rozesílat. K tomu je nezbytné získat napojení rodných čísel na adresné údaje, což je proveditelné buď na školách, nebo v centrálním registru obyvatel, rozhodně ne v centrální databázi s údaji ze školních matrik.
I z dalšího důvodu je únik informací z ÚIV naprosto vyloučen - nezaznamenali jsme žádné nabourání do systému, přestože jsou pokusy hackerů přísně monitorovány.

Faktem je, že data sbírají i jiné instituce, např. banky, mobilní operátoři, zdravotní pojišťovny atd. Při podepisování smluv se uvádí rodné číslo či osobní údaje, jako je adresa trvalého bydliště nebo datum a místo narození. Myslíte si, že data mohla uniknout z těchto institucí?
Pokud absolventi dostali nějaká blahopřání k ukončení studia, pak se data odněkud vzít musela. Nemůžeme posoudit, zda právě z těchto databází. Pravděpodobnější je, že k úniku dat došlo na základě různých soutěží, protože dnes existuje mnoho komerčních soutěží pro děti a rodiče často ani nevědí, na co všechno jejich děti odpovídají a kam předávají osobní údaje.

Je teoreticky možné vygenerovat z databází v bankách, na školách, u mobilních operátorů či u zdravotních pojišťoven data podle určitého věku?
To je otázka, jak mají firmy vedeny jednotlivé databáze. Nicméně věřím, že i tyto firmy si data nějakým způsobem chrání. Pokud ale mají studenti založena studentská konta či účty, tak je velký předpoklad, že od nich banka data má a pochopitelně jim i blahopřeje k ukončení studia, jelikož studenti předávají doklady o tom, že studují a že mají nárok na studentský účet. Něco podobného je možné i u mobilních operátorů. Aby mohly firmy rozesílat určité informace, nemusejí k tomu mít ani rodná čísla. Stačí datum narození a adresa. Ale opravdu věřím tomu, že banky a mobilní operátoři apod. data dál neposkytují, že si je chrání pro své vlastní potřeby. Únik odtamtud jiným subjektům je dost nepravděpodobný. Spíše bych sázela na zmíněné hry a soutěže.

Centrální databáze, kterou spravuje ÚIV, je elektronicky zabezpečena. Jakým způsobem? Dá se to laikovi nějak vysvětlit?
Zjednodušeně řečeno jsou data uložena na chráněných serverech, před kterými jsou tzv. firewally. Přístupy na servery jsou autorizované pod jménem a heslem, navíc jsou data šifrována. Zabezpečení je několikanásobné a děláme všechno proto, aby bylo téměř stoprocentní, přestože o stoprocentnosti se u techniky nedá hovořit asi téměř nikdy.

Rodné číslo se překóduje na jiný jednoznačný identifikátor, který už nelze dekódovat zpátky. Můžete vysvětlit, na jakém principu to funguje?
Funguje to na principu tzv. hashování, což je hodně odborná záležitost, která laikům pravděpodobně nic neřekne. Víceméně ten princip je takový, že se rodné číslo překóduje na jednoznačný kód a zpátky ho transformovat nelze.

Podle Vás tedy nemůže dojít k tomu, aby podle rodného čísla někdo identifikoval konkrétního žáka, jak se školy a obecně veřejnost obávají?
Škola by musela mít k dispozici individuální data i se zmiňovanými překlopenými údaji a poté porovnávat jednotlivé informace, které o konkrétních žácích poskytla, což je prakticky nemožné.

Jako další problém, jak jej podával deník Právo, se jeví přílišná administrativa, která školám vadí. Co v současné době musejí školy vyplňovat a jaké údaje posílají do centrální databáze?
Nejde jenom o centrální databázi. Školy ještě stále vyplňují standardní, zhruba čtyř až šestistránkové, statistické výkazy, kde se uvádějí agregované údaje souhrnně za školu. S tím, jak postupně nabíhá sběr dat ze školních matrik, pochopitelně narůstá i administrativa, neboť školy si musejí dát do pořádku své evidence a evidenční softwary. Často totiž nevedou údaje podle školského zákona a navazující vyhlášky - pozn. red.: zákon č. 561/2004 Sb., o předškolním, základním, středním, vyšším odborném a jiném vzdělávání (školský zákon), ve znění pozdějších předpisů, a vyhláška č. 364/2005 Sb., o vedení dokumentace škol a školských zařízení a školní matriky a o předávání údajů z dokumentace škol a školských zařízení a ze školní matriky (vyhláška o dokumentaci škol a školských zařízení), ve znění pozdějších předpisů. Stává se také, že je mají v jiné podobě, než jak je vyžaduje centrální databáze. Nyní se nacházíme v přechodném období, v němž se předává obojí, jednak výkazy, jednak individuální data o žácích. Přechodné období slouží tedy především k tomu, aby si školy své evidence doplnily a dostaly je do takové podoby, aby bylo možné z nich vygenerovat náležitou informační větu pro centrální databázi.
Víme o specifických problémech, s nimiž se školy potýkají. Problematická je evidence postižených žáků nebo přechodný či trvalý pobyt cizinců. Teď je období, kdy zvláště ZŠ si musejí do svých evidencí doplnit všechny potřebné údaje. VOŠ a SŠ si už tímto procesem prošly a žádné větší problémy jsme tam nezaznamenali. Ovšem u ZŠ je situace poněkud jiná, protože tam se jedná o obrovský objem žáků. Vezměte si, že základním vzděláváním prochází prakticky každý žák ve věku od 6 do 15 let a o každém z nich se musí vést potřebná evidence. Pokud jsou údaje do evidenčních softwarů správně zavedeny, pak se pouze vygeneruje věta nebo soubor, které se předají do centra. Pak půjde už jen o zmáčknutí jednoho tlačítka v evidenčním softwaru a tím o přeposlání dat do centra, což je operace, která nezabere téměř žádný čas. Ale důležité je, aby školy měly v pořádku údaje uvnitř matrik, a to je asi momentálně největší problém, který školy tíží.

Chápu správně, že každá škola potřebuje ke shromažďování a odesílání dat nějaký speciální software?
Co se týče shromažďování dat, tak se jedná právě o evidenční softwary, které si dle potřeb školy vybírá sám ředitel. Větší školy měly podobné softwary už v minulosti, protože využívaly i doplňkových modulů, které jim mimo jiné tiskly vysvědčení, a tím se jim snížila administrativa. Na předávání dat do centra máme vyvinutý software, který je umístěn na serveru ÚIV. Je to internetová aplikace a školy si nemusejí vůbec nic instalovat, stačí se přihlásit do systému a data odeslat. Pokud se při odesílání vyskytnou nějaké chyby, školy okamžitě dostanou chybové hlášení, co si kde a jak mají opravit. Jakmile data přijdou do centra, zpracují se. V rámci tohoto softwaru navíc existuje i systém určitých výstupů, kde se školám vyplní agregovaný výkaz, na němž jsou vidět sumární čísla za školu. V tuto chvíli je tedy možné ještě jednou zkontrolovat, zda jsou údaje správně vyplněné. Následně po celém sběru dat se rodná čísla překlopí na nevýznamový kód a nadále se už pracuje jenom s ním.

Ovšem pracovníci škol, kteří data shromažďují a odesílají do centrální databáze ÚIV, si stěžují, že se jim objevuje nesčetné množství chyb. Když je opraví, objeví se jim jich ještě více. Může to být způsobené tím, že je nyní pilotní období, v němž se školy učí, jaké údaje vlastně posílat?
Jde o to, co školy odesílají a jakým způsobem mají údaje ve svých evidencích vedeny. Rovněž záleží na tom, zda jim jejich software překlopí data do správné podoby. Pokud se objeví určitý počet chyb, je nezbytné prokonzultovat s dodavatelem evidenčního softwaru, jak chybu odstranit, protože může nastat atypický případ, který se nikde jinde neobjevil a evidenční software nemusí tento jev ani zaznamenat. Ovšem když se provedou kontroly v centru, může se to jako chyba objevit.

Přemýšlelo MŠMT, že by školám plošně hradilo evidenční softwary?
To je otázka spíše na MŠMT, ale faktem je, že v období, kdy se o školních matrikách začínalo mluvit, tedy ještě před vydáním školského zákona, se řešilo, jak v tomto ohledu školám vypomoci. Existovala varianta, že by se školám evidenční software dodával, ale při následném průzkumu, co školy používají a jaké jsou jejich potřeby, se došlo k závěru, že je velice problematické vytvořit univerzální evidenční software, který by vyhovoval všem. Z těchto důvodů byla volba vhodného evidenčního softwaru ponechána na škole.

Školám se dále nezamlouvá, že ÚIV shromažďuje citlivá data o žácích. Můžete vysvětlit, co mezi citlivá data spadá a zda by mohlo dojít k jejich zneužití?
Citlivá data, která se do centrální matriky předávají, jsou anonymizovaná bez rodných čísel. Mezi citlivé údaje jsou řazeny informace o speciálních vzdělávacích potřebách žáků/studentů, jsou sem zahrnuta veškerá postižení, ale i děti s různými poruchami učení a chování. Také sem patří údaje o dětech s individuálními vzdělávacími plány a o talentovaných žácích. Ovšem tyto údaje už ze školy odcházejí v samostatném souboru, a opakuji, nejsou v něm rodná čísla, pouze určitý bezvýznamový kód. Informace jsou takového druhu, aby bylo možné zjistit, zda je žák zařazen ve speciální třídě, nebo je individuálně integrován. Jednoduše řečeno, je nutné získat o těchto žácích údaje, které jsou nezbytné pro financování škol i pro další statistiky.
Ozývaly se určité hlasy, proč tyto údaje nesbíráme pouze ve formuláři za školu, proč je chceme o jednotlivých žácích. Zde ale nastává problém, protože údaje je následně třeba mít v takovém členění, aby šlo vytvořit všechny možné výstupy ze všech možných pohledů. Pokud bychom to nechali na standardních výkazech, administrativa by opět značně narostla, protože by se najednou nejednalo o jednu tabulku, ale možná o dvacet třicet tabulek z různých pohledů, z pohledu věku, pohlaví, z pohledu zařazení do individuální integrace někam jinam atd. Pro potřebu těchto statistik jsou dnešní statistické výkazy naprosto nevyhovující, proto jsou data předávána jako individuální, ale v případě citlivých údajů právě s kódem anonymizovaným už u zdroje.

Ani v tomto případě, kdy se předávají citlivá data, si nikdo nemůže konkrétního žáka s rodným číslem spojit a podle toho si jej vyhledat?
Určité problémy nastávají, pokud má škola jednoho jediného takového žáka. Ale vzhledem k tomu, že v centrální databázi se pracuje už s dalšími výstupy, je to prakticky nemožné. Jiné citlivé údaje o dětech nesbíráme. Např. nás nezajímá prospěch žáka, ale údaj o tom, zda absolvoval a zda absolvoval úspěšně. Rozhodně se nepředávají adresné ani jmenné údaje či informace o zákonných zástupcích.

Můžete shrnout, jaké údaje o žácích/studentech ÚIV shromažďuje?
Pro přehlednost vyjmenuji všechny informace, které o žácích sledujeme. Jsou to: věk, pohlaví, kód místa trvalého bydliště, údaje o předchozím vzdělání, tzn. identifikátor školy, kde dotyčný studoval nebo kde se vzdělával předtím, jaké úrovně vzdělání dosáhl, tzn. základní, střední apod. Pak se sledují údaje o průběhu příslušného vzdělávání: kód třídy, abychom byli schopni spočítat i počet tříd. Shromažďujeme údaje, jestli žák opakuje nebo zda byl přeřazen do vyššího ročníku. Dále jsou tu informace o přerušení vzdělávání, o formě, druhu, délce a oboru vzdělávání a způsobu plnění povinné školní docházky, o cizím jazyku, který se učí, nikoliv výsledné známky na vysvědčení. Kromě toho také údaje o ukončení vzdělávání, tzn. druh zkoušky, který žák splnil, zda zkoušku splnil, nebo ne, výsledné ohodnocení se pochopitelně neuvádí. Udává se ale číslo tiskopisu, který byl vydán, protože pokud v budoucnu vznikne pochybnost o čísle dokladu, je možné urychleně zjistit, jaký tiskopis která škola vydala. Pak se ještě sbírá státní občanství, opět tedy jenom kódem. Podotýkám, že ÚIV neshromažďuje údaje, které by bylo následně možné zneužít ke komerčním účelům. Co se týče dalšího publikování, data podléhají přísné ochraně, ani správní úřady, tedy krajské úřady a úřady obcí s rozšířenou působností, k nim nemají přístup. Dostanou se pouze k sumárním údajům za školu. Ochrana dat je zabezpečena i co se týče dalších statistických výstupů.

Pro jaké účely jsou statistická data důležitá?
Nejdůležitějším účelem z hlediska ekonomiky je financování školství, tzn. kolik se kde vyskytuje žáků, jestli nemáme někde „mrtvé duše“, jestli se prostě někde nefinancuje neoprávněně. Proto jsou důležité údaje o vlastním vzdělávání v daném roce. Dalším důležitým faktorem jsou podklady pro vzdělávací politiku, aby bylo možné odhadnout předpokládané náklady do budoucna. Zde je nutné zmapovat průchod žáků vzdělávací soustavou. Na první pohled se to zdá jednoduché, žák vychodí ZŠ, poté přejde na SŠ a pak eventuálně pokračuje dál. Jenomže dnes se už setkáváme s tím, že i na SŠ se žáci nevzdělávají pouze v jednom oboru, ale začnou jeden, pak přejdou na druhý, přeruší a pokračují v dalším. Mluvím teď o fenoménu, který se dříve objevoval především u VŠ, teď už se s ním setkáváme i na SŠ a vůbec nevíme, jaká je průměrná délka vzdělávání žáka ve středním školství. Pokud by se standardně jednalo o čtyři roky, dají se odhadnout i náklady do budoucna. Ovšem pokud by doba vzdělávání byla delší, pak rapidně vzrostou i náklady. S tím souvisí, že pokud budeme mít informace o tom, jak žáci přestupují z oboru na obor, budeme také vědět, jaké obory jsou efektivní či na jaké jdou žáci jenom proto, že se nikam jinam nedostali, a stejně z nich po roce odcházejí. Tyto informace by měly být podkladem k zefektivňování vzdělávacího systému, jak dosáhnout co nejlepších výsledků za optimální množství peněz. Statistické údaje se dále sbírají pro statistické účely, abychom měli kupříkladu přehled, kolik máme škol, kolik v nich máme žáků. Tato data se předávají do Eurostatu (pozn. red: Evropský statistický úřad) i do OECD. V Evropské komisi se připravuje legislativní norma, v níž budou mít všechny členské státy povinnost tyto údaje předávat.

Na základě těchto údajů z různých členských států EU se bude tvořit jednotná evropská vzdělávací politika?
Nepředpokládám, že se bude vytvářet celoevropská vzdělávací politika. Nicméně tyto údaje mají zpětně velký dopad na jednotlivé členské země, které např. v oblasti financování získávají porovnání s ostatními. Na základě statistických dat se tak získávají informace o odměňování učitelů nebo o výši finančních prostředků vynakládaných v jednotlivých zemích na vzdělávání. Zajímavé je také srovnání, jaké jsou objemy žáků na určitých vzdělávacích úrovních či jaká je struktura obyvatel podle nejvyššího dosaženého vzdělání. Mezinárodní statistiky, které vydává Eurostat či OECD, jsou potom velice významným podkladem pro formování vzdělávací politiky jednotlivých zemí.

Prosím, poraďte školám, které se budou v souvislosti se školními matrikami potýkat s jakýmikoliv problémy, kam se mohou obrátit?
Školy se mohou obrátit na univerzální adresu matrika@uiv.cz, kam mohou směrovat své dotazy.

Také na webových stránkách Ústavu pro informace ve vzdělávání je přímo na vstupní straně tlačítko školní matrika, kde jsou informace o tom, co se předává, jak se předává, kdy se předává. Je tam i podrobný popis, jak vypadá informační věta a jsou tam umístěny odpovědi na nejčastěji kladené otázky.

ÚIV