PDF στην εκπαίδευση: ιδιωτικότητα για εκπαιδευτικούς και σχολεία

Είναι η τελευταία εβδομάδα του τριμήνου. Μια εκπαιδευτικός έχει τριάντα ελέγχους προόδου ως ξεχωριστά PDF και τους χρειάζεται σε ένα αρχείο για τον φάκελο της τάξης. Ο φορητός υπολογιστής του σχολείου δεν έχει εγκατεστημένο τίποτα για κάτι τέτοιο, οπότε ψάχνει «ένωση PDF», ανοίγει το πρώτο αποτέλεσμα, σέρνει εκεί τριάντα έγγραφα γεμάτα ονόματα μαθητών, βαθμολογίες και σημειώσεις συμπεριφοράς, και πατάει το κουμπί.

Το ενωμένο αρχείο κατεβαίνει. Ο φάκελος ενημερώνεται. Κανείς δεν αντιλαμβάνεται τίποτα. Όμως εκείνοι οι τριάντα έλεγχοι προόδου μόλις έφυγαν από το σχολείο και προσγειώθηκαν σε έναν διακομιστή που διαχειρίζεται μια εταιρεία για την οποία η εκπαιδευτικός δεν έχει ακούσει ποτέ, και ο καθένας τους αφορούσε ένα παιδί.

Αυτό δεν είναι νομική συμβουλή και δεν είμαι η υπεύθυνη προστασίας δεδομένων σας. Κάθε σχολείο έχει τη δική του πολιτική και τον δικό του DPO απέναντι στον οποίο λογοδοτεί. Όμως η εκπαίδευση βασίζεται σε δεδομένα ανηλίκων, και αυτή είναι ακριβώς η κατηγορία δεδομένων που ο νόμος προστατεύει πιο αυστηρά. Αξίζει λοιπόν να είμαστε σαφείς για το τι διακυβεύεται, πριν η επόμενη προθεσμία σπρώξει κάποιον προς ένα τυχαίο εργαλείο.

Τα σχολικά PDF είναι γεμάτα δεδομένα παιδιών

Σκεφτείτε τι παράγει ένα σχολείο σε χαρτί και σε οθόνη κάθε εβδομάδα. Ελέγχους προόδου με βαθμολογίες. Μητρώα μαθητών με διευθύνσεις και ημερομηνίες γέννησης. Έντυπα συγκατάθεσης για εκδρομές. Ιατρικά έντυπα και δηλώσεις αλλεργιών. Σημειώσεις παιδικής προστασίας. Στοιχεία δικαιούχων δωρεάν σίτισης. Εξατομικευμένα προγράμματα ειδικής αγωγής. Σχεδόν όλα ταυτοποιούν ένα συγκεκριμένο παιδί, και πολλά αγγίζουν πράγματα που ο νόμος αντιμετωπίζει ως ιδιαίτερα ευαίσθητα, όπως η υγεία.

Ο GDPR δίνει στα δεδομένα των παιδιών τη δική τους προστασία. Το σκεπτικό είναι απλό: τα παιδιά έχουν μικρότερη επίγνωση των κινδύνων, και οι συνέπειες μιας διαρροής τα ακολουθούν για χρόνια. Ένας έλεγχος προόδου που διέρρευσε δεν μπορεί να μηδενιστεί όπως ένας κωδικός πρόσβασης. Μια σημείωση παιδικής προστασίας που αποκαλύφθηκε μπορεί να προκαλέσει πραγματική βλάβη. Έτσι, όταν ένα σχολείο χειρίζεται αυτά τα αρχεία, ο πήχης για το να γίνει με προσοχή είναι υψηλότερος από ό,τι σχεδόν για οτιδήποτε άλλο.

Και την ευθύνη τη φέρει το σχολείο. Σύμφωνα με τον GDPR, το σχολείο είναι ο υπεύθυνος επεξεργασίας για αυτά τα δεδομένα. Αυτό το καθήκον δεν παύει επειδή είναι Ιούλιος, όλοι είναι κουρασμένοι και η ένωση πρέπει να γίνει τώρα.

Τι κάνει ένας ιστότοπος ανεβάσματος με το αρχείο

Όταν εκείνο το PDF πηγαίνει σε ένα διαδικτυακό εργαλείο, φεύγει από τον έλεγχο του σχολείου. Ταξιδεύει σε έναν διακομιστή που δεν διαχειρίζεται το σχολείο, επεξεργάζεται εκεί, και μπορεί να αποθηκευτεί προσωρινά, να μπει σε ουρά ή να αντιγραφεί πριν επιστρέψει οτιδήποτε. Η εταιρεία πίσω από το εργαλείο γίνεται εκτελών την επεξεργασία που ενεργεί για λογαριασμό του σχολείου, και το σχολείο παραμένει ο υπεύθυνος επεξεργασίας που λογοδοτεί για όλα.

Αυτή η ρύθμιση έχει δεσμεύσεις. Το σχολείο υποτίθεται ότι πρέπει να έχει γραπτή σύμβαση με αυτόν τον εκτελούντα την επεξεργασία, που να ορίζει τι επιτρέπεται να κάνει με τα δεδομένα και πότε τα διαγράφει. Για ένα δωρεάν εργαλείο που βρέθηκε μέσω αναζήτησης, το σχολείο δεν έχει τίποτα από αυτά. Καμία σύμβαση, καμία ιδέα για το πού βρίσκονται οι διακομιστές, κανέναν τρόπο να ορίσει ποιος άλλος μπορεί να αγγίξει το αρχείο. Αν εκείνοι οι διακομιστές βρίσκονται εκτός ΕΕ, το σχολείο έχει επίσης πραγματοποιήσει διεθνή διαβίβαση δεδομένων παιδιών, που είναι ακριβώς το είδος πράγματος γύρω από το οποίο ο GDPR βάζει τη μεγαλύτερη τριβή.

Αν δεδομένα μαθητών καταλήξουν εκτεθειμένα μέσω μιας υπηρεσίας για την οποία το σχολείο δεν μπορούσε να εγγυηθεί, αυτό μπορεί να αποτελεί παραβίαση προσωπικών δεδομένων. Οι παραβιάσεις που αφορούν παιδιά είναι αυτές που οι ρυθμιστικές αρχές και οι γονείς παίρνουν πιο βαριά. Γνωστοποιήσεις, μια έρευνα και μια πολύ άβολη επιστολή στο σπίτι — όλα προκύπτουν από ένα βιαστικό ανέβασμα.

Το εξοργιστικό κομμάτι είναι ότι η ίδια η εργασία, η ένωση ή η προστασία μερικών αρχείων, ποτέ δεν χρειαζόταν να φύγει από το κτίριο.

Κάντε τη δουλειά PDF του σχολείου στο δικό σας μηχάνημα

Να η λύση, και είναι ελαφρύτερη από το πρόβλημα. Αν το PDF δεν φεύγει ποτέ από τη συσκευή σας, κανένας εξωτερικός εκτελών την επεξεργασία δεν το αγγίζει. Καμία σύμβαση να κυνηγήσετε, καμία διαβίβαση να δικαιολογήσετε, κανένα τρίτο μέρος που θα μπορούσε να διαρρεύσει το μητρώο ενός παιδιού. Το σχολείο παραμένει ο υπεύθυνος επεξεργασίας και εξακολουθεί να οφείλει στους μαθητές τη συνήθη φροντίδα, αλλά ένα ολόκληρο επίπεδο κινδύνου απλώς δεν υπάρχει, επειδή τα δεδομένα έμειναν εκεί που ήταν.

Αυτή είναι η ιδέα πίσω από τα εργαλεία που τρέχουν εξ ολοκλήρου στο πρόγραμμα περιήγησής σας. Ο κώδικας κάνει τη δουλειά τοπικά, στη μνήμη του υπολογιστή σας, και το αρχείο μένει στη θέση του. Έτσι φτιάξαμε το reader.me. Όταν ενώνετε ή προστατεύετε ένα σχολικό PDF, επεξεργάζεται στο πρόγραμμα περιήγησής σας και δεν φτάνει ποτέ σε διακομιστή μας. Αν θέλετε απόδειξη, ανοίξτε τα DevTools του προγράμματος περιήγησης, παρακολουθήστε την καρτέλα Network ενώ δουλεύετε, και δεν θα δείτε τίποτα με το έγγραφό σας να φεύγει προς τα έξω.

Τρεις εργασίες καλύπτουν τα περισσότερα από όσα χρειάζεται ένα σχολείο:

• Συγκεντρώστε όλους εκείνους τους ελέγχους προόδου σε ένα έγγραφο με την ένωση PDF, πάνω στον φορητό υπολογιστή, χωρίς ανέβασμα.
• Κλειδώστε ένα ευαίσθητο αρχείο πριν πάει οπουδήποτε προσθέτοντας κωδικό πρόσβασης με την προστασία PDF, ώστε ένα έντυπο συγκατάθεσης ή ένα μητρώο να κρυπτογραφείται πριν φτάσει στα εισερχόμενα ενός γονέα.
• Προσθέστε την υπογραφή σας σε ένα έντυπο ή μια επιστολή με την υπογραφή PDF χωρίς να εκτυπώσετε, να σαρώσετε ή να στείλετε πρώτα το έγγραφο σε έναν άγνωστο.

Μερικές συνήθειες για το γραφείο εκπαιδευτικών

• Αντιμετωπίστε κάθε έγγραφο μαθητή ως δεδομένα ανηλίκου. Έλεγχοι προόδου, μητρώα, έντυπα εκδρομών και προγράμματα ειδικής αγωγής μετράνε όλα, ακόμη και μια μεμονωμένη σαρωμένη σελίδα.
• Μη σέρνετε ποτέ ένα αρχείο μαθητή σε ένα τυχαίο διαδικτυακό εργαλείο. Καμία σύμβαση και καμία σαφής τοποθεσία διακομιστή σημαίνει ότι τα δεδομένα των παιδιών δεν πάνε εκεί, τελεία.
• Προτιμήστε εξ ορισμού εργαλεία που τρέχουν στο πρόγραμμα περιήγησής σας για συνηθισμένες εργασίες όπως ένωση, προστασία και υπογραφή. Αν δουλεύει τοπικά, δεν υπάρχει εκτελών την επεξεργασία να ελέγξετε και τίποτα δεν περνά σύνορα.
• Κλειδώστε τα αρχεία πριν τα στείλετε στο σπίτι. Ένας κωδικός πρόσβασης στο PDF είναι καλύτερος από ένα ανοιχτό συνημμένο σε μια λίστα αλληλογραφίας τάξης.
• Συμβουλευτείτε όποιον χειρίζεται την προστασία δεδομένων στο σχολείο σας πριν υιοθετήσετε οποιοδήποτε εργαλείο για αρχεία μαθητών. Θα σας ευχαριστήσουν.

Οι κανόνες γύρω από τα δεδομένα των παιδιών ακούγονται βαρείς, και είναι, επειδή τα δεδομένα είναι βαριά. Όμως η καθημερινή λύση είναι μικρή. Κρατήστε το αρχείο στο μηχάνημά σας, χρησιμοποιήστε εργαλεία που δεν ανεβάζουν, και το βαρύτερο κομμάτι του προβλήματος δεν φτάνει ποτέ σε εσάς. Αν θέλετε τη μεγαλύτερη εκδοχή του πώς το ανέβασμα ενεργοποιεί αυτά τα καθήκοντα, έγραψα ξεχωριστά για τον GDPR και το ανέβασμα PDF.