Szanowni Państwo
Działając w imieniu Szkoły Podstawowej im. im. E. Szelburg-Zarembiny w Drzewcach informuję, o naruszeniu ochrony danych osobowych polegającym na możliwym, nieuprawnionym dostępie odbiorców grupowych wiadomości systemowych przesłanych za pomocą rozwiązania LIBRUS Synergia (dziennik elektroniczny) do danych osobowych pozostałych adresatów wiadomości.W dniu 14.06.2025 r. Librus Sp. z o.o. producent oprogramowania dziennika elektronicznego poinformował Dyrektora Szkoły, iż w wyniku błędu w systemie LIBRUS Synergia polegającym na nieprawidłowym przesyłaniu przez przeglądarkę internetową odbiorcy grupowej wiadomości systemowej informacji o pozostałych adresatach wiadomości, tzn. dane osób, do których kierowane były wiadomości grupowe mogły być dostępne dla pozostałych adresatów wiadomości. W okresie od 29 stycznia 2024 r. do 12 czerwca 2025 r. rozwiązanie LIBRUS Synergia (wyłącznie w kontekście wiadomości grupowych dostępnych w skrzynce odbiorczej) w sposób nieprawidłowy przesyłało przeglądarce internetowej odbiorcy (grupowej wiadomości systemowej) informacje o pozostałych adresatach wiadomości obejmujących takie dane jak: imię i nazwisko rodzica, imię i nazwisko ucznia, identyfikator wewnętrzny użytkownika oraz informację o klasie i grupie. Osoba nieuprawniona miała możliwość zapoznania się także z informacją o typach kont pozostałych adresatów wiadomości, tj. posiąść informację czy dany odbiorca wiadomości jest rodzicem czy uczniem. W przypadku pracowników szkoły były to: Imię i nazwisko pracownika, Identyfikator wewnętrzny użytkownika, Rodzaj konta (nauczyciel, dyrektor, administrator).Dotyczy to także grupowych wiadomości systemowych wysyłanych we wskazanym wyżej okresie przez placówkę do swoich pracowników (np. przez dyrektora do nauczycieli z jego szkoły) i obejmujących następujące dane osobowe: imię i nazwisko pracownika szkoły, identyfikator wewnętrzny użytkownika, grupa - rodzaj konta, np. nauczyciel, dyrektor, administrator systemu.Jednocześnie Informuję, że nie doszło do automatycznego ujawnienia danych użytkowników systemu. Dostęp był możliwy wyłącznie po stronie innego uprawnionego użytkownika Librus Synergia, np. innego rodzica, który mógł już wcześniej znać dane osobowe innych adresatów wiadomości, z wyjątkiem identyfikatora wewnętrznego użytkownika, a w przypadku grupowych wiadomości wysyłanych do nauczycieli, np. innego nauczyciela lub dyrektora.Zgodnie z zapewnieniem producenta oprogramowania dostęp był możliwy wyłącznie po stronie uprawnionego użytkownika Librus Synergia z danej szkoły, posiadającego wiedzę techniczną umożliwiającą dostęp do niewidocznych elementów wiadomości.Potencjalne skutki naruszenia obejmują możliwość zapoznania się przez nieuprawnioną osobę z danymi osobowymi takimi jak: imię i nazwisko, identyfikator wewnętrzny, klasa i grupa uczniów oraz w przypadku uzupełnienia przez rodzica danych na swoim koncie w LIBRUS Synergia także danych rodzica (imię i nazwisko, identyfikator wewnętrzny), a w przypadku wiadomości grupowej wysłanej do nauczycieli, również danych nauczyciela i dyrektora.Działania, które zostały podjęte w celu zaradzenia problemowi to:• 12 czerwca 2025 r. o godz. 14:05 - firma Librus usunęła błąd w systemie;• 13 czerwca 2025 r. o godz. 23:15 na służbowe konto w systemie Librus otrzymaliśmy oficjalne zawiadomienie, które zostało odczytane przez Dyrektora w dniu 14 czerwca 2025 r.;• 18 czerwca 2025 r. - zgłosiliśmy naruszenie do Urzędu Ochrony Danych Osobowych zgodnie z wymogami RODO.Przeprowadziliśmy analizę ryzyka dla osób, których dane dotyczą.Firma Librus zapewniła dodatkowe szkolenia swoich zespołów w zakresie bezpieczeństwa danych.Obecnie pozyskanie danych osobowych innych użytkowników przez tę metodę nie jest już możliwe.PRZEPROSINY I ZAPEWNIENIAPragnę szczerze przeprosić za zaistniałą sytuację. Mimo że naruszenie wynikało z błędu w systemie zewnętrznego dostawcy, w pełni rozumiemy Państwa obawy związane z bezpieczeństwem danych osobowych.W świetle powyższego, pragnę przeprosić Państwa za zaistniałą sytuację, informując jednocześnie, iż jestem do Państwa dyspozycji w zakresie bardziej szczegółowego wyjaśnienia przedstawionych w treści niniejszego pisma okoliczności. Mimo że naruszenie wynikało z błędu w systemie zewnętrznego dostawcy, w pełni rozumiemy Państwa obawy związane z bezpieczeństwem danych osobowych. Punktem kontaktowym w niniejszej sprawie jest również powołany inspektor ochrony danych osobowych, z którym można skontaktować się poprzez adres mail: iod@devcomm.pl.
