Interpelacja w sprawie państwowego dziennika elektronicznego

Szanowna Pani Minister!

W związku ze zmianą stanowiska Ministerstwa Edukacji Narodowej w sprawie utworzenia państwowego dziennika elektronicznego – którą doceniam – zwracam się z prośbą o udzielenie informacji dotyczących przyjętych założeń w zakresie bezpieczeństwa, jawności oraz dostępności dokumentacji technicznej projektowanego systemu.

Dziennik będzie przetwarzał dane osobowe i dane szczególnie wrażliwe dotyczące milionów uczniów, rodziców i nauczycieli. Z tego względu istotne znaczenie ma nie tylko zapewnienie bezpieczeństwa systemu, ale również budowa społecznego zaufania do tego projektu.

Docierają do mnie niepokojące informacje wskazujące, że projektowane rozwiązanie nie obejmuje publicznie dostępnego kodu źródłowego ani otwartej dokumentacji technicznej, w tym interfejsów umożliwiających integrację z zewnętrznymi systemami.

Otwarty kod źródłowy to transparentność działania aplikacji, a zarazem oszczędności kosztów licencyjnych. Możliwość weryfikacji kodu pozostaje jednym z najważniejszych elementów audytu bezpieczeństwa. Oprogramowanie powstające za publiczne pieniądze, o ile nie przemawiają za tym szczególne okoliczności, co do zasady powinno opierać się na publicznie dostępnym kodzie źródłowym i wspierać otwarte standardy komunikacji – także po to, by zachować możliwie dużą niezależność technologiczną od podmiotów zewnętrznych.

W związku powyższym, na podstawie art. 14 ust. 1 pkt 7 ustawy z dnia 9 maja 1996 r. o wykonywaniu mandatu posła i senatora (t.j. Dz. U. z 2024 r. poz. 907), proszę o odpowiedź na następujące pytania:

1. Czy prawdą jest, że planowany państwowy dziennik elektroniczny nie będzie posiadał publicznie dostępnego kodu źródłowego ani jawnej dokumentacji technicznej obejmującej API? Dlaczego podjęto taką decyzję?
2. Czy przed wdrożeniem systemu w pierwszych szkołach ministerstwo zleci niezależny audyt bezpieczeństwa przyjętego rozwiązania?
3. Czy wyniki audytu zostaną w całości upublicznione, aby uniknąć błędów z wdrażania aplikacji mObywatel, w przypadku której ekspertyzy CSIRT GOV i NASK zostały uznane za tajemnicę państwową?
4. Z jakiego powodu ministerstwo odrzuca model „bezpieczeństwa przez jawność”, wybierając zamiast niego model „bezpieczeństwa przez niejawność”?
5. Czy ministerstwo analizowało wpływ otwarcia kodu źródłowego na budowanie zaufania do oferowanych przez państwo usług cyfrowych (np. przy wdrażaniu ukraińskiej aplikacji Diia)?

Proszę o odpowiedź w terminie określonym ustawą.