Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal – ANSPDCP – anunță că a „reținut pentru verificare, în cadrul competențelor sale de control”, aspectele semnalate în solicitarea transmisă de Edupedu.ro privind platforma apasabutonulrosu.ro, utilizată în școli pentru raportarea faptelor de violență, bullying sau consum de droguri.
Reamintim că Edupedu.ro a scris pe 27 ianuarie despre cum „Butonul roșu”, conceput ca mecanism de protecție a elevilor în fața violențelor, este deturnat ca platformă privată cu monitorizare activă a utilizatorilor.
Platforma, deținută de compania Adservio și promovată în școli în baza unor parteneriate „gratuite” cu inspectoratele școlare, folosește cookie-uri de analiză și identificatori persistenți chiar și după ce utilizatorii refuză explicit aceste forme de monitorizare, inclusiv în timpul raportării unor fapte sensibile care implică minori.
În răspunsul transmis redacției, Autoritatea confirmă că refuzul cookie-urilor trebuie respectat efectiv, că operatorul are obligația de a demonstra un consimțământ valabil. „
În contractele transmise unităților de învățământ, cum este cel publicat în ancheta inițială, compania menționează că este „înregistrată la ANSPDCP sub nr. 15561”. Întrebată de Edupedu.ro care este relevanța acestei mențiuni, instituția de supraveghere precizează explicit că menționarea unei „înregistrări la ANSPDCP” în contractele cu școlile nu reprezintă o validare sau certificare a conformității unei platforme IT.
În documentarea transmisă către ANSPDCP, redacția a arătat că platforma apasabutonulrosu.ro este prezentată public drept instrument de raportare anonimă a unor fapte extrem de sensibile – violență fizică sau verbală, hărțuire (bullying), comportamente inadecvate ale personalului din școli sau suspiciuni de consum de droguri – inclusiv în cazul minorilor.
Edupedu.ro a testat în mod direct funcționarea platformei și fluxul real de raportare a unei sesizări, constatând, printre altele, că:
- după ce utilizatorul refuză explicit cookie-urile de preferință, statistice și de marketing, platforma continuă să utilizeze cookie-uri de analiză (Google Analytics), cu durată de stocare de până la doi ani;
- este generat și stocat un identificator persistent în browser, activ indiferent de opțiunile de consimțământ;
- aceste mecanisme de monitorizare sunt active inclusiv în timpul completării formularului de raportare a unei fapte sensibile;
- opțiunea „Vreau să rămân anonim” nu produce nicio modificare tehnică a modului de prelucrare a datelor, diferența fiind una exclusiv de interfață;
- în etapa finală, utilizatorul bifează doar o căsuță de tip „am luat la cunoștință” privind termenii și condițiile, fără a i se solicita un consimțământ explicit pentru cookie-urile neesențiale sau monitorizarea comportamentală.
Ce spune ANSPDCP despre consimțământ și cookie-uri
În răspunsul transmis Edupedu.ro, ANSPDCP reamintește că orice prelucrare de date cu caracter personal trebuie să se bazeze pe un temei legal clar și demonstrabil, potrivit Regulamentului general privind protecția datelor (GDPR). „Prelucrarea datelor cu caracter personal se poate efectua numai dacă este îndeplinită cel puțin una dintre condițiile prevăzute de art. 6 din Regulamentul (UE) 2016/679, iar în cazul datelor sensibile sunt aplicabile și prevederile art. 9 și 10”, precizează Autoritatea.
În ceea ce privește cookie-urile și tehnologiile similare, ANSPDCP face trimitere la Legea nr. 506/2004 și subliniază că stocarea de informații pe dispozitivul utilizatorului este permisă doar dacă acesta este informat clar și are posibilitatea reală de a refuza.
„Stocarea de informații sau obținerea accesului la informația stocată în echipamentul terminal al unui abonat sau utilizator este permisă numai dacă utilizatorul este informat și i se oferă posibilitatea de a refuza”, arată Autoritatea, cu excepția cookie-urilor strict necesare.
Un alt punct important vizează mențiunea din contractele transmise școlilor, potrivit căreia operatorul platformei este „înregistrat la ANSPDCP”. Autoritatea clarifică acest lucru și spune clar că „după data de 25 mai 2018 nu mai subzistă obligația de notificare a prelucrărilor de date cu caracter personal”, ceea ce înseamnă că o astfel de mențiune „nu reprezintă o validare sau certificare a conformității unei platforme”.
ANSPDCP precizează că „aspectele sesizate au fost reținute pentru verificare potrivit competențelor de control ale Autorității”, se mai arată în răspunsul la solicitare.
Ministerul Educației a precizat anterior Edupedu.ro, că protocoalele semnate între inspectorate și compania Adservio „nu implică MEC” și nu au fost aprobate sau mandatate de minister.
„Protocoalele privind utilizarea modulului „Butonul roșu” […] nu implică MEC. Protocoalele au fost semnate direct de inspectoratele/școlile care au competență juridică în derularea activităților de prevenire a violenței școlare”, susține Ministerul.
Ministerul mai afirmă că, potrivit protocoalelor, furnizorul soluției IT nu prelucrează și nu soluționează cazuri: „datele sunt transmise direct către școală sau inspectorate școlare, acestea fiind operatorii de date, potrivit GDPR”.
La rândul său, compania Adservio respinge acuzațiile și susține că platforma este facultativă și că nu a fost folosită în scopuri comerciale. „Nu există și nici nu este necesar un mandat al Ministerului Educației pentru furnizarea unei soluții IT facultative. Protocoalele/contractele se semnează direct cu inspectoratele/școlile, care au competență juridică în derularea activităților de prevenire a violenței școlare”, a transmis compania la solicitarea Edupedu.ro.
Adservio afirmă, de asemenea, că nu operează sesizările: „Adservio nu operează, nu prelucrează și nu soluționează cazuri de violență. Datele sunt transmise direct instituției vizate – școala sau inspectoratul – conform protocoalelor”.
Ar mai fi de menționat aici și că răspunsul Ministerului Educației și Cercetării la solicitarea Edupedu.ro a venit la peste o lună de la cel al companiei, cu toate că solicitările au fost trimise în aceeași zi, și că MEC folosea fraze identice cu cele ale entității comerciale în acel răspuns.
Ancheta Edupedu.ro a arătat că mecanismul „Butonul roșu”, reglementat prin Ordinul ministrului educației nr. 4.200/2025, este conceput ca instrument intern al fiecărei unități de învățământ, fără a atribui inspectoratelor un rol operațional și fără a prevedea utilizarea unor platforme IT private sau centralizarea datelor.
Cu toate acestea, protocoalele semnate cu Adservio obligă inspectoratele să faciliteze accesul companiei în școli și „să promoveze și să asigure utilizarea platformei în toate unitățile din subordine”, iar școlile primesc contracte standardizate, cu obligații de promovare.
Alexa Stănescu
Diana Ghimiși
Redacția
I.N.