Oprogramowanie szkolne a RODO: co jest naprawdę istotne
Oprogramowanie szkolne a RODO – pytanie w tle jest niemal zawsze to samo: kto może widzieć które dane, gdzie one leżą i kto ponosi odpowiedzialność? Krótka odpowiedź: administratorem w rozumieniu RODO jest szkoła jako instytucja, a nie pojedyncza osoba ucząca ani dostawca. Dostawca przetwarza dane na zlecenie szkoły i jest związany jej poleceniami. Cała reszta – umowa, role, okresy przechowywania, rejestry – wynika z tego podziału ról. Ta strona porządkuje pojęcia i pokazuje, które kwestie warto wyjaśnić przed wdrożeniem. Nie zastępuje porady prawnej: prawo oświatowe należy do krajów związkowych, a wiążąco odpowiadają inspektor ochrony danych w szkole oraz organ nadzorczy danego kraju.
Już wkrótce
- Zgodny z RODO
- Hostowane w Niemczech
- Bezpłatny dla nauczycieli
Produkt marki SavePaper.work
Cztery kwestie do wyjaśnienia przed wdrożeniem
Administratorem jest szkoła
RODO zna jednego administratora i jest nim szkoła jako instytucja. To ona ustala cele i sposoby przetwarzania – także wtedy, gdy dane faktycznie leżą na prywatnym urządzeniu osoby uczącej.
Umowa według artykułu 28
Kto przetwarza dane na zlecenie szkoły, potrzebuje do tego umowy. Określa ona, jakie dane i w jakim celu są przetwarzane, jakie podmioty podprzetwarzające biorą udział oraz co dzieje się z danymi po zakończeniu umowy.
Dostęp według roli
Nie każda osoba w gronie pedagogicznym potrzebuje każdej informacji. Model ról ogranicza widok do tego, czego wymaga zadanie – i pozwala potem wykazać, kto i kiedy do czego zaglądał.
Terminy określa kraj związkowy
To, jak długo przechowuje się dokumentację szkolną, każdy kraj związkowy reguluje inaczej, a terminy różnią się dodatkowo w zależności od rodzaju danych. Oprogramowanie powinno to odwzorować, zamiast traktować wszystko jednakowo.
Jak przebiega ocena ochrony danych w szkole
Ocena niemal zawsze przebiega w tej samej kolejności: najpierw ustalić, kto odpowiada, potem opisać, co jest przetwarzane, następnie przeczytać umowę, a na końcu ustalić role i terminy.
-
1
Ustalić odpowiedzialność
Kto decyduje o celach i sposobach – szkoła, organ prowadzący czy oba podmioty razem? To pytanie stoi na początku, bo przesądza, kto podpisuje umowę i kto udziela informacji rodzicom.
-
2
Opisać przetwarzanie
Jakie dane, w jakim celu, widoczne dla kogo, jak długo? Te informacje trafiają do rejestru czynności przetwarzania, który szkoła prowadzi sama. Dostawca może dostarczyć do niego gotowe elementy.
-
3
Sprawdzić umowę i środki
Umowę powierzenia i opis środków technicznych oraz organizacyjnych czyta się razem: lokalizacja serwerów, zaangażowane podmioty podprzetwarzające, szyfrowanie, usunięcie danych po zakończeniu umowy i droga wydawania poleceń przez szkołę.
-
4
Ustawić role i terminy
Na końcu konfiguracja: która rola widzi którą informację, jaki okres przechowywania obowiązuje dla którego rodzaju danych? Jedno i drugie zależy od prawa kraju związkowego i ustawia się raz dla całej szkoły, a nie osobno dla każdej osoby uczącej.
Te same dane, dwa sposoby ich prowadzenia
Pojęcia, które wracają w każdej ocenie
Powierzenie, odpowiedzialność i polecenia
Umowa powierzenia przetwarzania z artykułu 28 RODO nie jest formularzem, lecz opisem pewnej relacji. Szkoła pozostaje administratorem i ustala, jakie dane i w jakim celu są przetwarzane; dostawca przetwarza je wyłącznie na polecenie i nigdy do własnych celów. Regulowane są ponadto czas trwania i przedmiot, kategorie osób, których dane dotyczą, środki ochrony, wsparcie przy wnioskach o dostęp, zgłaszanie naruszeń, korzystanie z podmiotów podprzetwarzających oraz los danych po zakończeniu umowy. Ten sam podział ról tłumaczy, dlaczego lista ocen na prywatnym laptopie jest problemem szkoły: to ona pozostaje odpowiedzialna, ale na cudzym urządzeniu nie ograniczy dostępu ani nie wykaże, co się z plikiem stało.
Oceny, zwolnienia i artykuł 9
Nie wszystkie dane szkolne są równie wrażliwe. Powód nieobecności chorobowej to dana o zdrowiu i należy tym samym do szczególnych kategorii z artykułu 9 RODO, wobec których obowiązują ostrzejsze wymogi. W praktyce da się to rozbroić: do usprawiedliwienia wystarczy zwykle informacja, że nieobecność wynikała z choroby – powód pozostaje dobrowolny. Oceny i opinie nie podlegają natomiast artykułowi 9, co nie czyni ich niegroźnymi: opisują wyniki przez lata i wpływają na promocje oraz świadectwa końcowe. Z obu przypadków płynie ten sam wniosek – wiązać widoczność z zadaniem, oszczędnie korzystać z pól swobodnego tekstu i przechowywać wrażliwe treści zaszyfrowane, zamiast rozsyłać je w plikach i załącznikach.
Przechowywać, usuwać, udzielać informacji
Każda ocena kończy się trzema pytaniami: jak długo dane zostają, jak znikają i co się dzieje, gdy rodzina prosi o wgląd. Okresy przechowywania dokumentacji szkolnej to prawo kraju związkowego i różnią się dodatkowo według rodzaju danych: obecności w dzienniku, dane ze świadectw, zwolnienia chorobowe i komunikacja z rodzicami są trzymane różnie długo. Zbiór arkuszy i skrzynek pocztowych tego nie rozdzieli, więc zwykle nic się tam nie usuwa. Artykuły 15 i 20 wymagają ponadto, by wszystko o jednej osobie dało się wydać – czytelnie i w formacie nadającym się do odczytu maszynowego. SchuleVernetzt łączy to w widoku ochrony danych dla dyrekcji: rejestr dostępów i zmian, termin dla każdego rodzaju danych oparty na kraju związkowym oraz eksport danych jednej osoby.
O co szkoła może poprosić dostawcę
Przed decyzją można zażądać czterech dokumentów: umowy powierzenia przetwarzania, opisu środków technicznych i organizacyjnych, listy zaangażowanych podmiotów podprzetwarzających wraz z lokalizacją oraz opisu czynności przetwarzania, z którego szkoła zasili własny rejestr czynności przetwarzania. Dostawca, który kompletuje te papiery dopiero na życzenie, opóźnia ocenę o tygodnie. SchuleVernetzt trzyma je w gotowości, aby organy prowadzące i inspektorzy ochrony danych nie musieli niczego odtwarzać samodzielnie. Aplikacja i dane szkolne są hostowane w Niemczech.
Najczęstsze pytania o oprogramowanie szkolne i ochronę danych
Bądź przy tym, gdy SchuleVernetzt wystartuje
Tworzymy SchuleVernetzt pełną parą. Zostaw swój adres e-mail, a powiadomimy Cię, gdy tylko Twoja szkoła będzie mogła zacząć – bezpłatnie i bez zobowiązań.
Twojego adresu używamy wyłącznie po to, by powiadomić Cię o starcie, a w każdej chwili możesz zrezygnować.