Megfelel-e a KRÉTA a GDPR-nak — és mennyire régi a szoftver?

Ha ismeri a gyereke születési dátumát és a születési vezetéknév első két betűjét, ismeri az induló KRÉTA-jelszavát is. Nem szülői fórum. Nem kibertrükk. A szoftvercég hivatalos tudásbázisa írja le így. A felhasználónév az oktatási azonosító: tizenegy számjegy.

Ezen a belépőn megy át az ország iskoláinak tanulmánya — gyerekek adatai, köztük egészségügyi és gyermekvédelmi adat. A második belépési lépés, egy telefonos kód, nem kötelező. Az uniós adatvédelmi rendelet, a GDPR, a védelmet ahhoz méri, ami ma elvárható. A cikk két kérdést tesz fel: megfelel-e a KRÉTA ennek — és mennyire régi a szoftver, amelyre a kötelező használat ráépült.

A rövid verdikt: 2022 őszén a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) szerint a szoftvercég nem védte megfelelően a gyerekek adatait, és késve szólt az iskoláknak. A második belépési lépés a diákoknak ma is választható. Ez nem 2026-os bírság. Nyitott kockázat.

A 110 millió forintos határozatot (NAIH-1245-29/2023, 2023. december 20.) keresettel támadták. Jogerős bírósági ítélet e cikk írásakor nem ismert. Ami itt szerepel, az a közzétett határozat és a cég saját leírása. A kód zártságáról és a szállítói függőségről a Loop Kié a kulcs? cikke szól. Ez a darab a rendeletet és a belépési modellt nézi.

Megfelel-e a GDPR-nak?

Az iskola az adatkezelő: a gyerek adatáért ő felel a köznevelési törvény 41. §-a szerint. A szoftvercég — Educational Development Informatikai Zrt., 2023. április 20. előtt eKRÉTA Informatikai Zrt. — adatfeldolgozó: ő futtatja a rendszert. A GDPR 32. cikke mindkettőre vonatkozik: az adat maradjon titokban, ne módosuljon illetéktelenül, és a rendszer működjön.

A rendelet 5. cikk (2) bekezdése a bizonyítást is rájuk teszi. Nem a szülőnek kell igazolnia, hogy a védelem gyenge. Aki kezeli vagy feldolgozza az adatot, annak kell tudnia megmutatni, hogy a védelem megvan.

A határozat 96. bekezdése korlátot szab. A hatóság nem nézte meg, hogyan lép be a diák, a szülő és a tanár a nyilvános felületen. A fejlesztők belső gépét és az onnan az éles — a valódi diákadatokat tartalmazó — adatbázishoz vezető utat vizsgálta. Ezért kétféle a válasz: amit a NAIH kimondott, és amit ebben az ügyben nem minősített.

A 2022. szeptemberi támadás a KRÉTA saját üzenetküldőjén indult. Egy fejlesztő rákattintott. A NAIH szerint legalább 8574 tanuló, 11 082 gondviselő és 1205 alkalmazott adata — tizenkét szakképzési centrumé, terméktámogatás miatt éles rekord — biztosan illetéktelenhez került.

Az éles rendszer a cég adatai szerint kb. 1,5 millió diák, 1,87 millió gondviselő, 225 ezer alkalmazott. A teljes kör a NAIH szerint valószínűsíthető; a cég nem tudta bizonyítani, hogy nem történt meg. Nem állítható, hogy minden diák adata kint van.

A cég azt írta: a támadás a belső környezetet érte, nem az éles KRÉTÁ-t. A hatóság ezt nem fogadta el. Az érintett munkatárs távoli belépéssel, szerkesztési joggal fért az éles szerverekhez.

Amit a NAIH ebben az ügyben nem minősített

A 25. cikk azt írja elő, hogy a védelem a termékben legyen benne alapból — ne a felhasználó buzgalmán múljon. A hivatalos tudásbázis szerint a tanuló első jelszava a születési dátum és a vezetéknév első két betűje. A felhasználónév az oktatási azonosító. A második belépési lépés a diákoknak és a szülőknek 2023 tavaszától választható. Ezt a felületet a NAIH nem vizsgálta. A szerkesztőség szerint ez a modell a ma elvárható védelemmel nehezen fér össze. Ez értékelés, nem hatósági megállapítás.

A 34. cikk a szülő — vagy a nagykorú tanuló — tájékoztatásáról szól. Ez az iskola feladata. A 33. cikk (2) a szoftvercég kötelessége az iskola felé. Ha a cég késik, az iskola a szülőnek sem tud időben szólni. A NAIH a 33. cikket minősítette. A 34. cikkről e határozat nem rendelkezett.

2024-ben a Nemzeti Kiberbiztonsági Intézet KRÉTA-felhasználóneveket és jelszavakat talált a sötét weben. A hatósági közlés szerint nem a központi rendszer feltörése volt; a NAIH második ellenőrzése jogsértést nem állapított meg. Ettől a jelszó önmagában, második lépés nélkül, kiskorúaknál még mindig gyenge modell.

Mennyire régi a szoftver?

„Régi” itt nem ízlés. A GDPR 32. cikk (1) a védelmet ahhoz méri, ami ma elvárható. A NAIH szerint egy KRÉTA-méretű rendszernél a kétlépéses belépés és a felderítésre alkalmas napló 2022-ben már a minimum volt — és hiányzott.

A modell kora dokumentált. A KRÉTA 2015-ben a felsőoktatási Neptun közoktatási szabásaként indult. A Neptun az 1990-es évek egyetemi tanulmányaiból nőtt ki. A Közbeszerzési Hatóság elnöke 2024-es döntésében rögzíti: 2016. június 24-én licencszerződés született, a jogutód birtokolja a vagyoni jogot és a forráskódot. Nincs nyilvános lista a belső technológiáról. Van zárt, egy kézben lévő kódbázis — és erre épül az országos kötelező használat.

A felhasználói oldal ezt a mintát őrzi. A jelszószabály fentebb van: kitalálható első jelszó, nem kötelező második lépés. Kiskorúaknál ez nem kényelmi beállítás.

Ugyanezen a gerincen fut ma már iskola-egészségügyi adat és életút-előrejelzés. A cég saját oldalán mesterséges intelligenciát, gépi tanulást és felvételi valószínűséget ír. Ha a program a gyerekről ilyen esélyt számol, a GDPR 22. cikke — automatizált döntés emberről — már ma is szigorú. Az EU mesterségesintelligencia-rendelete (AI Act) a közoktatási felvételi típusú rendszert magas kockázatúnak nevezi; a szigor 2027. december 2-án lép életbe. A régi modellre új modulok kerültek. A biztonsági alap 2022-ben a hatóság szerint nem volt meg.

A 32. cikk a működést is védi: a rendszernek akkor is mennie kell, ha sokan használják. 2021. március 8-án, a tantermen kívüli digitális munkarend első reggelén a KRÉTA összeomlott. Szabó Balázs vezérigazgató a Telexnek azt írta: az erőforrásokat nem megfelelően csoportosították; a felelősség a társaságé. A NAIH ezt az esetet a 2023-as határozatban nem bírálta el. A cég a kiesést elismerte.

Három modul forráskódja — a teljes kód 20 százaléka — kikerült. A cég nem vette észre, hogy a kód kiment. A hatóság szerint a napló a saját támadásuk felderítéséhez sem volt elég.

Ördög Ügyvédje

Az egységes rendszernek van érve. Egy belépés, összehasonlítható adat, lemorzsolódás-jelzés. A köznevelési törvény 57. § (6) bekezdése ezért ír elő díjmentes, miniszter által jóváhagyott tanulmányi rendszert. A NAIH 101. bekezdése ugyanebből a mennyiségből kéri a szigorúbb védelmet: másfél millió diák, különleges adat, gyermekek.

A cég a támadás után kötelező belső kétlépéses belépést, a külföldi internetcímről való belépés tiltását és a böngészős jelszótárolás tiltását vezette be. A NAIH ezeket megfelelőnek ítélte — és ugyanebből azt vonta le, hogy a cég tudta, mi lett volna az elvárás előtte is. A diákok és szülők felületén a második belépési lépés ettől még választható maradt. A két szintet ne keverje: a fejlesztői kapu és a diák jelszava nem ugyanaz a kérdés. A NAIH az előbbit mérte. Az utóbbiról e határozatban nem döntött.

Nincs nyilvános, független jelentés a rendszer belső felépítéséről. Ezért a cikk nem mondja, hogy a KRÉTA „Windows XP”, vagy hogy a kód ma is 1997-es. Azt mondja, amit a dokumentumok igazolnak: 1990-es évekbeli egyetemi naplómodell, kitalálható első jelszó, nem kötelező második belépési lépés, 2021-es összeomlás, 2022-es 32. cikk szerinti jogsértés.

Amit Ön visz haza

Nincs KRÉTÁ-ja. Van szoftvere, amely kiskorúak adatát vagy különleges adatot — vagy mindkettőt — kezel. Két kérdés elég.

1. GDPR: van-e hatósági megállapítás a 32. vagy 33. cikkre — és a szerződésben hány órán belül kell a szoftvercégnek Önnek szólnia? Ha késik, a szülő 34. cikk szerinti tájékoztatása is késik.
2. Modell: az első jelszó kitalálható-e nyilvános adatból, és a második belépési lépés kötelező-e, vagy csak választható?

Döntési szabály: ha a belépés születési dátumra épül, és a kétlépéses védelem nem kötelező, a ma elvárható védelem nincs meg — akkor sem, ha a szállító utólag felkínál egy második lépést. A NAIH a KRÉTA-nál a fejlesztői oldalon ezt a szintet kérte számon. A dokumentált tanulói jelszószabály ugyanerre a cikkre megy. Erről a hatóság e határozatban nem döntött.

Holnap reggel nézesse meg a saját rendszerében az induló jelszó szabályát. Ha a jelszó kitalálható, a GDPR-kérdés már nem elvi.