Digitální školní složka na celý život

Stát chce vědět, jaké jste měli známky. Nejlépe až do smrti

Vláda přišla s dalším nápadem, který zní na první poslech rozumně.

Vytvoříme centrální registry ve vzdělávání. Propojíme data. Omezíme školám papírování. Budeme konečně řídit školství podle skutečných informací, nikoli podle dojmů.

Kdo by mohl být proti tomu, aby stát věděl, co dělá?

Problém je v tom, že stát k řízení vzdělávací soustavy nepotřebuje vytvářet podrobný a dlouhodobý profil každého jednotlivého dítěte.

Potřebuje vědět, kolik dětí nezvládá matematiku.

Nepotřebuje vědět, že ji v šesté třídě nezvládal právě Petr Novák, který se za dvacet let bude ucházet o práci, úvěr, bezpečnostní prověrku nebo veřejnou funkci.

Rozdíl mezi statistikou a kartotékou občanů je zásadní.

A vláda se ho chystá překročit pod heslem modernizace.

Chceme řídit školství, nebo evidovat děti?

Stát samozřejmě potřebuje informace o vzdělávacím systému.

Měl by vědět:

• ve kterých regionech děti zaostávají,
• kde chybějí učitelé,
• které školy mají nedostatečné podmínky,
• zda sociální původ ovlivňuje výsledky,
• která opatření fungují,
• kam mají směřovat peníze a pomoc.

K tomu ale nepotřebuje znát celoživotní vzdělávací příběh konkrétního dítěte.

Když chceme zjistit, zda mají Češi vysoký krevní tlak, nemusíme na ministerstvu vytvořit veřejně neviditelnou složku se všemi hodnotami tlaku Tomáše Houšky od základní školy do důchodu. Stačí kvalitní, anonymizovaná statistika.

Pro řízení školství potřebujeme vědět, co se děje se skupinami dětí.

Nepotřebujeme vědět všechno o každém dítěti.

Jestliže lze legitimního cíle dosáhnout bez ukládání osobních údajů, stát osobní údaje ukládat nemá.

To není technologická zaostalost.

To je základní hygienické pravidlo svobodné společnosti.

Dítě není výrobek s technickým listem

Školní hodnocení nevypovídá pouze o schopnostech dítěte.

Vypovídá také o:

• jeho momentální životní situaci,
• rodině,
• zdraví,
• vztahu s učitelem,
• kvalitě školy,
• způsobu hodnocení,
• pubertě,
• stresu,
• nemoci,
• šikaně,
• náhodě.

Dítě může v jedenácti letech propadat, protože se jeho rodiče rozvádějí.

Může být označeno za problémové, protože se nudí.

Může mít špatné výsledky kvůli dyslexii, která zatím nebyla rozpoznána.

Může se v patnácti letech chovat jako idiot, což je v tomto věku téměř tradiční kulturní projev.

A o několik let později z něj může být schopný lékař, řemeslník, podnikatel nebo vědec.

Smyslem dospívání je mimo jiné možnost změnit se.

Centrální databáze však říká:

„Samozřejmě že ses změnil. My jsme si ale ponechali kompletní dokumentaci k tomu, kým jsi byl předtím.“

Škola má dítě rozvíjet, ne definovat

Školní výsledek má být zpětnou vazbou pro další učení.

Nemá být cejchem.

Známka z matematiky ve třinácti letech není objektivní vlastnost člověka. Není to krevní skupina ani datum narození.

Je to velmi nepřesný záznam o výkonu v určité chvíli, v určité škole, při určitém úkolu a podle úsudku určitého učitele.

Ukládat podobné údaje na desítky let znamená proměnit dočasné selhání v trvalou státní zneužitelnou informaci.

Z podpory se snadno stane stigma

Zvlášť citlivé jsou údaje o znevýhodnění, podpůrných opatřeních, poruchách učení, mimořádném nadání nebo dalších vzdělávacích potřebách.

Dnes mohou sloužit tomu, aby dítě dostalo pomoc.

Zítra mohou sloužit k tomu, aby někdo rozhodl, že představuje riziko.

Dítě s poruchou pozornosti.

Dítě z problematického rodinného prostředí.

Dítě, které potřebovalo asistenta.

Dítě, které opakovalo ročník.

Dítě, které mělo kázeňské problémy.

Každá jednotlivá informace může mít legitimní význam ve škole, která s dítětem právě pracuje.

Jejich celoživotní propojení však vytváří profil člověka, který může být vykládán bez kontextu a bez možnosti skutečně začít znovu.

Nebezpečná proměna významu

Údaj byl shromážděn, aby dítě dostalo pomoc.

Později však může být použit k posouzení:

• jeho spolehlivosti,
• pracovní vhodnosti,
• pojistného rizika,
• úvěruschopnosti,
• bezpečnostního rizika,
• pravděpodobného budoucího chování.

Dnes nám stát řekne, že se to dít nebude.

Jenže budoucí použití databáze neurčuje dnešní tisková konference.

Určují ho budoucí zákony, budoucí vlády a budoucí technologické možnosti.

Databáze jednou vznikne.

Účel se může měnit novelou zákona dlouhou čtyři odstavce.

„Nebude to veřejné“ není ochrana

Zastánci podobných registrů obvykle uklidňují veřejnost:

Databáze nebude veřejná.

Přístup budou mít jen oprávněné osoby.

Vše bude zabezpečené.

Budou existovat přesné přístupové role.

To je jistě uklidňující. Podobně jako nápis „trezor“ na papírové krabici.

Žádná významná databáze není chráněna pouze proti anonymnímu hackerovi v černé mikině.

Rizika jsou mnohem širší:

• chyba v systému,
• špatně nastavené oprávnění,
• napadený účet zaměstnance,
• lidská zvědavost,
• úmyslný prodej údajů,
• externí dodavatel,
• omylem zveřejněný export,
• propojení s jiným registrem,
• politické rozhodnutí rozšířit přístup.

Čím větší, podrobnější a dlouhodobější databáze je, tím cennější je pro útočníky.

A tím horší jsou následky jejího úniku.

Když unikne vaše heslo, změníte ho.

Když unikne číslo platební karty, banka vydá jinou.

Když unikne vaše školní historie, rodinné znevýhodnění, podpůrná opatření a psychologický nebo vzdělávací profil, nový životopis vám nikdo nevydá.

Takové údaje jsou nezměnitelné.

Právě proto jsou mimořádně nebezpečné.

Nejde o to, zda databáze unikne. Jde o to kdy a v jakém rozsahu

U databáze takového rozsahu nelze věrohodně garantovat, že během desítek let nedojde k úniku, neoprávněnému přístupu nebo změně účelu.

Databáze má existovat mnoho desetiletí.

Za tu dobu se několikrát vymění:

• vláda,
• vedení ministerstva,
• dodavatel systému,
• technologie,
• bezpečnostní standardy,
• zaměstnanci,
• zákony,
• politická kultura.

Stát by tedy nezaručoval bezpečí na příští rok.

Zaručoval by bezpečí citlivých údajů dnešních dětí prakticky po celý jejich život.

Takovou záruku nemůže poctivě dát nikdo.

Politik, který ji dává, buď nerozumí informační bezpečnosti, nebo spoléhá, že v době průšvihu už bude ve funkci někdo jiný.

Data získaná pro jeden účel začnou sloužit jinému

Každá rozsáhlá databáze trpí jednou zvláštní vlastností.

Jakmile existuje, začne být strašná škoda ji nevyužít.

Nejprve bude sloužit pouze ministerstvu pro anonymní analýzy.

Potom ji budou chtít využívat výzkumníci.

Pak další úřady.

Následně se objeví návrh, že by mohla pomoci při přijímání na školy.

Později při rozdělování sociální podpory.

Nakonec někdo zjistí, že by díky ní uměl předvídat nezaměstnanost, kriminalitu, zdravotní rizika nebo schopnost splácet dluhy.

Vždy se najde dobrý důvod.

A dobré důvody jsou historicky nejspolehlivější cesta ke špatným systémům.

Databáze nevznikne jednoho dne jako nástroj diskriminace.

Vznikne jako technické opatření ke snížení administrativy.

Potom se bude její použití rozšiřovat po malých, rozumně znějících krocích.

Nikdo neřekne:

„Pojďme stigmatizovat děti na celý život.“

Řekne:

„Pojďme lépe využít data, která už stát má.“

Výsledek může být stejný.

Algoritmus nebude dítě znát. Přesto ho bude soudit

Centrální vzdělávací data přímo vybízejí k automatizovanému vyhodnocování.

Stát bude chtít hledat vzorce.

Které dítě pravděpodobně nedokončí školu?

Které bude potřebovat podporu?

Které má předpoklady pro určitý obor?

Na první pohled to zní téměř laskavě.

Jenže algoritmus nevidí dítě.

Vidí datový profil.

A pokud na základě starých údajů předpoví, že dítě pravděpodobně neuspěje, systém se k němu začne chovat jako k někomu, kdo pravděpodobně neuspěje.

Dostane méně příležitostí.

Nižší očekávání.

Jiná doporučení.

Bezpečnější, méně ambiciózní cestu.

Předpověď se pak sama naplní.

Dítě, které mělo dostat pomoc, dostane nálepku. Od podpory k předurčení. Dítě, které mohlo překvapit, už překvapit nemusí, protože algoritmus překvapení nemá rád.

Vzdělávání má rozšiřovat možnosti člověka.

Datový profil je bude předem zužovat.

Chybná data budou mít skutečné následky.

Školní záznamy navíc nejsou absolutní pravda.

Učitel se může splést.

Škola může něco zapsat špatně.

Dvě školy mohou stejnou situaci hodnotit úplně jinak.

Kategorie se mohou změnit.

Údaj může být vytržený z kontextu.

Dítě může být označeno za problémové kvůli konfliktu s jediným pedagogem.

V papírové složce jedné školy taková chyba po čase zapadne.

V centrálním registru se stane trvalou součástí digitální identity člověka.

A začne se kopírovat do dalších systémů.

Digitální chyba neumí zemřít.

Papír se ztratí.

Učitel odejde do penze.

Na starou poznámku se zapomene.

Databázový záznam se dokonale zálohuje, propojí, exportuje a znovu použije.

Moderní stát tedy dokáže omyl uchovat mnohem účinněji než pravdu opravit.

Děti se začnou chovat tak, jako by byly neustále sledovány

Existuje ještě jedno riziko, které se špatně měří.

Co se stane se školou, když děti a rodiče vědí, že se údaje ukládají do centrálního státního profilu?

Budou ochotni otevřeně žádat o psychologickou pomoc?

Přiznají problémy?

Nechají dítě diagnostikovat, když budou mít strach, že ho tato informace bude provázet celý život?

Budou učitelé zaznamenávat citlivé informace stejně otevřeně?

Systém vytvořený údajně pro lepší podporu může vést k tomu, že lidé začnou podporu odmítat, aby se vyhnuli zápisu.

A rodiče k tomu budou mít racionální důvod.

Anonymizace není kouzelný plášť neviditelnosti

Zastánci registru budou mluvit o anonymizaci a pseudonymizaci.

To zní bezpečně.

Jenže pseudonymizovaný údaj není anonymní údaj.

Pouze jméno nahradíme jiným identifikátorem. Pokud lze spojení obnovit nebo údaje propojit s dalšími databázemi, stále se vztahují ke konkrétnímu člověku.

A čím podrobnější profil je, tím snazší může být člověka znovu určit.

Kombinace školy, ročníku, obce, speciálních potřeb, výsledků a dalších okolností může být téměř stejně jednoznačná jako jméno.

Napsat na kartotéku místo „Jan Novák“ číslo 847291 není anonymizace.

Je to Jan Novák s přezdívkou.

Co by tedy stát měl dělat

Odmítnout centrální individuální registr neznamená odmítnout data.

Naopak.

Stát by měl sbírat kvalitní informace, ale podle několika jednoduchých pravidel:

• zásadně agregovaně,
• skutečně anonymně,
• pouze v nezbytném rozsahu,
• pro jasně vymezený a zdůvodněný účel,
• s krátkou dobou uchování,
• bez vytváření celoživotního profilu,
• bez automatického propojování se zbytkem státní správy,
• s nezávislou kontrolou,
• s veřejně popsanými přístupy a použitím.

A hlavně:

Data potřebná pro podporu konkrétního dítěte mají být dostupná lidem, kteří mu právě pomáhají.

Nemají být uložena v centrálním státním trezoru pro budoucí použití, které dnes ještě nikoho nenapadlo.

Nejjednodušší test

Položme si jednoduchou otázku:

Pomůže tento konkrétní osobní údaj dítěti právě teď?

Pokud ano, může ho potřebovat jeho škola, poradna nebo rodina.

Potřebuje tento údaj stát k dlouhodobému řízení školství?

Ve většině případů nepotřebuje konkrétní údaj. Potřebuje statistiku.

Ministerstvo potřebuje vědět, že deset procent dětí potřebuje určitou podporu.

Nemusí mít seznam jejich jmen, rodných čísel a vzdělávacích osudů.

Stejně jako hasiči potřebují vědět, kolik domů v zemi nemá detektor kouře.

Nemusí kvůli tomu instalovat kameru do každé kuchyně.

Právo nebýt navždy dítětem, kterým jsme kdysi byli

Člověk má mít právo vyrůst.

Má mít právo udělat chybu.

Má mít právo selhat v sedmé třídě a nebýt tím definován ve třiceti.

Má mít právo přijmout pomoc, aniž by se bál, že informace o ní zůstane ve státním profilu do konce života.

Má mít právo začít znovu.

Centrální registr vzdělávacích osudů toto právo oslabuje.

Slibuje lepší řízení školství, ale vytváří infrastrukturu pro celoživotní hodnocení lidí.

Slibuje méně administrativy, ale cenou je soustředění mimořádně citlivých dat na jednom místě.

Slibuje bezpečí a přesná pravidla, která však budou muset vydržet desítky let, stovky novel zákonů, tisíce zaměstnanců a generace technických systémů.

Takovou databázi nelze považovat za bezpečnou jen proto, že zákon říká, že bezpečná bude.

Nejbezpečnější databáze citlivých osobních údajů je ta, která nikdy nevznikla.

Stát má řídit vzdělávací soustavu a vytvářet podmínky pro její růst.

Nemá řídit školy.

A už vůbec nemá vést celoživotní školní spis na každého občana.

Stát potřebuje data o školství, nikoli dokumentaci o každém dítěti.