RODO w edukacji: co szkoły naprawdę muszą zrobić

Dla szkoły rozporządzenie RODO, znane w Holandii jako AVG, sprowadza się do jednej zasady: dane uczniów możesz wykorzystywać wyłącznie w celu, w jakim je zebrałeś, możesz je przechowywać tylko tak długo, jak są ci potrzebne, i musisz być w stanie wykazać, że obchodzisz się z nimi ostrożnie. Brzmi to jak papierkowa robota, ale w praktyce chodzi głównie o zachowanie: kto udostępnia jakie pliki komu, przez jaki kanał oraz kto wciąż ma dostęp do systemu, z którego odszedł dwa lata temu.

Poniżej przyjrzymy się, jakimi danymi faktycznie zajmują się szkoły, kto ponosi za to odpowiedzialność, co warto uzgodnić z dostawcami narzędzi do nauki cyfrowej, jak naprawdę dochodzi do naruszeń bezpieczeństwa danych w szkole oraz jak to wszystko wiąże się z Normenkader IBP, do którego realizowania dążą szkoły.

Jakie dane przetwarzają szkoły i dlaczego są one wrażliwe

Szkoły dysponują większą ilością danych osobowych niż większość organizacji tej samej wielkości, a znaczna część tych danych dotyczy nieletnich. Właśnie dlatego przepisy są tu bardziej rygorystyczne niż w firmie zatrudniającej taką samą liczbę pracowników.

• Podstawowe dane uczniów. Imiona i nazwiska, adresy, daty urodzenia, numery identyfikacyjne, dane rodziców lub opiekunów. Na pierwszy rzut oka nic specjalnego, ale bardzo cenne dla każdego, kto chce stworzyć profil.
• Postępy i wyniki w nauce. Oceny, wyniki testów, sprawozdania, notatki w systemie monitorowania uczniów. Dane wrażliwe, bo dotyczą dziecka przez wiele lat.
• Dokumenty dotyczące opieki i wsparcia. Zaświadczenia o dysleksji, zaświadczenia lekarskie, raporty zespołów wsparcia. To dane należące do kategorii specjalnej i wymagają najściślejszej ochrony w całym budynku.
• Zdjęcia i nagrania. Zdjęcia na stronie szkoły, film z wycieczki szkolnej, nagrania z lekcji. Zgoda w tym przypadku jest konkretna, można ją cofnąć i często o niej się zapomina.
• Komunikacja z rodzicami. E-maile i wiadomości dotyczące poszczególnych uczniów, w tym konfliktów i trudnych sytuacji w domu.

To, co odróżnia tę sytuację od zwykłej działalności biznesowej, to połączenie kilku czynników: dane są wrażliwe, podmiotami są dzieci, które nie są w stanie przewidzieć konsekwencji, a osobami zajmującymi się tymi danymi są nauczyciele, których zadaniem jest nauczanie, a nie ochrona danych.

Kto odpowiada za RODO w szkole?

Formalnie to rada szkolna pełni rolę administratora danych. To właśnie ona określa, dlaczego i w jaki sposób przetwarzane są dane osobowe, i to do niej zwraca się Autoriteit Persoonsgegevens, jeśli coś pójdzie nie tak. Wiele rad powołuje inspektora ochrony danych, a w sektorze edukacji zazwyczaj jest też koordynator IBP, który w praktyce dba o bezpieczeństwo informacji i ochronę prywatności.

Najwięcej kłopotów sprawia rozbieżność między formalną odpowiedzialnością a codzienną rzeczywistością. Odpowiedzialność spoczywa na zarządzie, ale faktyczne działania mają miejsce w klasie i w sekretariacie: nauczyciel, który eksportuje listę uczniów, administrator, który przekazuje dokumentację dotyczącą opieki, czy zastępca, który loguje się na wspólne konto. Zasady, które nigdy nie trafiają w te ręce, to nie przestrzeganie przepisów, a tylko formalność.

Umowy o przetwarzaniu danych z twoimi dostawcami

Szkoły korzystają z zewnętrznych narzędzi: systemu monitorowania uczniów, cyfrowych materiałów dydaktycznych, aplikacji do komunikacji z rodzicami oraz usługi przechowywania danych w chmurze. Każdy dostawca, który przetwarza dane uczniów w twoim imieniu, jest podmiotem przetwarzającym dane, a ta relacja wymaga zawarcia umowy o przetwarzaniu danych, określającej, co może on robić z danymi, w jaki sposób je zabezpiecza, jak długo je przechowuje oraz co się stanie po wygaśnięciu umowy.

Dwie praktyczne uwagi. Po pierwsze, sprawdź, czy taka umowa faktycznie istnieje dla każdego używanego narzędzia, w tym tych, które wprowadził jakiś pojedynczy, entuzjastyczny nauczyciel, nie mówiąc o tym nikomu. Po drugie, pamiętaj, że podpisanie umowy nie przenosi twojej odpowiedzialności: jeśli dostawca ujawni dane, to szkoła nadal jest administratorem danych i nadal musi poinformować osoby, których to dotyczy.

Jak tak naprawdę dochodzi do wycieków danych w szkołach

Prawie nigdy nie chodzi o jakiś spektakularny atak hakerski. Zgłoszenia, które docierają do Autoriteit Persoonsgegevens z sektora edukacji, są w przeważającej większości prozaiczne, a to dobra wiadomość, bo właśnie prozaiczne przyczyny da się wyeliminować poprzez odpowiednie szkolenia.

1. Niewłaściwy odbiorca. Lista uczniów z klasy, zestawienie ocen albo raport z oceny wysłane e-mailem na zły adres albo do całej grupy rodziców w polu „Do”, zamiast w polu „Ukryte”. To zdecydowanie najczęstsze naruszenie w sektorze edukacji.
2. Wspólne loginy. Jedno konto do systemu śledzenia postępów uczniów, z którego korzysta cały zespół, bo załatwianie osobnych kont zajęłoby zbyt dużo czasu. Nikt potem nie jest w stanie stwierdzić, kto co przeglądał.
3. Urządzenia i nośniki danych, które gdzieś się gubią. Laptop w samochodzie, pendrive z kopią zapasową wyników, prywatny telefon ze szkolnymi zdjęciami.
4. Phishing wymierzony w konta szkolne. Atakujący wiedzą, że szkolna skrzynka pocztowa daje dostęp do mnóstwa danych o nieletnich. Wystarczy jedno kliknięcie na fałszywej stronie logowania.
5. Dostęp, którego nigdy nie cofnięto. Zastępca z zeszłej wiosny, który wciąż ma aktywne konto, oraz były kolega, któremu nikt nie zablokował dostępu do wspólnego dysku.

Kiedy coś pójdzie nie tak, liczy się czas. Naruszenie danych, które stanowi zagrożenie dla osób, których to dotyczy, trzeba zgłosić do Autoriteit Persoonsgegevens bez zbędnej zwłoki, zasadniczo w ciągu 72 godzin, a osoby, których to dotyczy, muszą zostać poinformowane, jeśli ryzyko dla nich jest wysokie. Ten termin jest realny tylko wtedy, gdy nauczyciel, który coś podejrzewa, zgłosi to jeszcze tego samego ranka – a to raczej kwestia kultury niż procedury. Pomaga też utrzymywanie tematu w świadomości: świadomość prywatności podawana małymi dawkami działa lepiej niż coroczna odprawa, a lekka forma, jak gry szkoleniowe o RODO, przyciąga więcej uczestników z zapracowanego zespołu niż sam dokument z zasadami.

Związek z programem Normenkader IBP

Ochrona prywatności i bezpieczeństwo informacji to w szkołach jeden pakiet. Program Normenkader IBP dla szkół podstawowych i średnich łączy te dwa elementy w konkretne wymagania, a szkoły pracują nad ich spełnieniem, mając na uwadze termin 1 stycznia 2027 roku. Spora część wymagań zawartych w tych ramach pokrywa się z tym, czego już wymagało rozporządzenie RODO: musisz wiedzieć, jakie dane przechowujesz, odpowiednio zorganizować dostęp do nich, zawrzeć umowy z dostawcami oraz być w stanie wykazać, że twoi pracownicy wiedzą, jak postępować.

Warto to połączyć. Szkoła, która poważnie traktuje część programu Normenkader poświęconą podnoszeniu świadomości, jednocześnie wywiązuje się z obowiązków związanych z RODO – i na odwrót. Traktowanie tych spraw jako dwóch oddzielnych projektów sprawia, że zarządy w końcu wykonują tę samą pracę dwa razy, zajmując się dwoma różnymi zestawami dokumentów.

Jak Guardey pomaga szkołom w kwestiach związanych z ludźmi

Szkolenie Guardey z zakresu świadomości bezpieczeństwa jest stworzone dla zespołów, które nie mają ani chwili do stracenia: cotygodniowe wyzwania trwające około trzech minut, elementy grywalizacji z rankingami i seriami sukcesów oraz treści oparte na rzeczywistych zagrożeniach krążących w sieci. Dla szkół oznacza to rozpoznawalne scenariusze – od wiadomości phishingowej wymierzonej w szkolne konto po dylemat, które zdjęcie można umieścić na stronie internetowej.

KONOT, organizacja zajmująca się edukacją, korzysta z Guardey, żeby podnieść świadomość bezpieczeństwa wśród swoich nauczycieli, a nasze szkolenia z zakresu bezpieczeństwa dla szkół są właśnie do tego dostosowane. Nauczyciele szkolą się w aplikacji mobilnej na iOS i Androida albo po prostu w przeglądarce; zintegrowane symulacje phishingu pokazują, czy rozpoznawanie zagrożeń przekłada się na konkretne zachowania, a raporty dają zarządowi konkretne dane do przedstawienia w ramach programu Normenkader IBP. Konfiguracja zajmuje zaledwie kilka minut.

Najczęściej zadawane pytania dotyczące RODO w sektorze edukacji

Czy szkoła może publikować zdjęcia uczniów?

Tylko po uzyskaniu ważnej zgody – co w przypadku młodszych dzieci oznacza zgodę rodziców lub opiekunów – przy czym zgoda ta musi konkretnie określać, gdzie zdjęcie zostanie wykorzystane, i można ją wycofać w dowolnym momencie. W praktyce problemem rzadko jest sam formularz zgody, a raczej śledzenie, kto odmówił, i upewnienie się, że kolega publikujący post w mediach społecznościowych o tym wie.

Jak długo szkoła może przechowywać dane uczniów?

Tylko tak długo, jak to konieczne do osiągnięcia celu, z zachowaniem ustawowych okresów przechowywania niektórych części dokumentacji. W praktyce nie chodzi o dokładny okres, tylko o to, czy ktoś w ogóle coś usuwa: wiele szkół przechowuje stare akta z wielu lat po prostu dlatego, że nikomu nie powierzono zadania ich wyczyszczenia.

Czy nauczyciel ponosi osobistą odpowiedzialność za naruszenie bezpieczeństwa danych?

Prawie nigdy. Rada szkolna sprawuje nadzór i ponosi za to odpowiedzialność. Warto to głośno powiedzieć w pokoju nauczycielskim, bo strach przed obwinieniem to główny powód, dla którego o błędzie informuje się zbyt późno, a właśnie takie opóźnienie sprawia, że drobny incydent przeradza się w problem nadzorczy.

Czy potrzebujemy inspektora ochrony danych?

Władze i instytucje publiczne muszą wyznaczyć taką osobę, a szkoły zazwyczaj należą do tej kategorii, choć sposób organizacji bywa różny: niektóre rady wyznaczają własną osobę, inne dzielą jedną osobę między grupę szkół. Ważniejsze jest jednak to, żeby ta rola była faktycznie dostępna dla ludzi, którzy mają codzienne pytania.

Szkoły, które mają wszystko w porządku z RODO, rzadko są tymi, które mają najgrubszy segregator z regulaminami. To te, w których nauczyciel wie, co zrobić z podejrzaną wiadomością e-mail, gdzie konto jest dezaktywowane w tygodniu po odejściu pracownika, a zgłaszanie błędów jest czymś normalnym, a nie krępującym. To właśnie kultura, a kultury buduje się małymi krokami.