PDF בחינוך: פרטיות עבור מורים ובתי ספר

זה השבוע האחרון של הסמסטר. למורָה יש שלושים תעודות כקובצי PDF נפרדים, והיא צריכה אותם כקובץ אחד עבור תיקיית השכבה. למחשב הנייד של בית הספר אין שום דבר מותקן לזה, אז היא מחפשת “איחוד PDF”, פותחת את התוצאה הראשונה, גוררת פנימה שלושים מסמכים מלאים בשמות תלמידים, ציונים והערות התנהגות, ולוחצת על הכפתור.

הקובץ המאוחד יורד. התיקייה מתעדכנת. אף אחד לא שם לב לכלום. אבל שלושים התעודות האלה בדיוק עזבו את בית הספר ונחתו על שרת שמפעילה חברה שהמורָה מעולם לא שמעה עליה, וכל אחת מהן הייתה על ילד.

זה אינו ייעוץ משפטי ואני לא ממונה הגנת המידע שלכם. לכל בית ספר יש מדיניות משלו וממונה DPO משלו לתת לו דין וחשבון. אבל חינוך מתנהל על מידע אודות קטינים, וזה בדיוק סוג המידע שהחוק שומר עליו בקפדנות הרבה ביותר. אז כדאי להבין מה מונח על הכף לפני שהמועד הבא הבא דוחף מישהו לעבר כלי אקראי.

קובצי PDF של בית ספר מלאים במידע של ילדים

חשבו על מה שבית ספר מייצר על נייר ועל מסך מדי שבוע. תעודות עם ציונים. רשומות תלמידים עם כתובות ותאריכי לידה. אישורי הורים לטיולים. טופסי בריאות ואלרגיות. הערות הגנה על קטינים. זכאות לארוחות חינם. תוכניות לחינוך מיוחד. כמעט כל זה מזהה ילד ספציפי, והרבה מזה נוגע בדברים שהחוק מתייחס אליהם כרגישים במיוחד, כמו בריאות.

GDPR נותן למידע של ילדים הגנה משלו. הנימוק פשוט: ילדים פחות מודעים לסיכונים, וההשלכות של דליפה רודפות אותם שנים. תעודה שדלפה לא ניתנת לאיפוס כמו סיסמה. הערת הגנה שנחשפה יכולה לגרום נזק אמיתי. אז כשבית ספר מטפל בקבצים האלה, הרף לעשות זאת בזהירות גבוה יותר מאשר כמעט בכל דבר אחר.

ובית הספר נושא באחריות. תחת GDPR בית הספר הוא הבקר של המידע הזה. החובה הזו אינה נעצרת רק כי זה יולי וכולם עייפים והאיחוד צריך להיעשות עכשיו.

מה אתר העלאה עושה עם הקובץ

כשה-PDF הזה נשלח לכלי מקוון, הוא עוזב את שליטת בית הספר. הוא נוסע לשרת שבית הספר אינו מפעיל, מעובד שם, ועשוי להישמר במטמון, להיכנס לתור או להיות מועתק לפני שמשהו חוזר. החברה שמאחורי הכלי הופכת למעבד שפועל בשם בית הספר, ובית הספר נשאר הבקר האחראי על כל העניין.

ההסדר הזה מגיע עם תנאים. בית הספר אמור להיות בעל חוזה כתוב עם אותו מעבד, שמפרט מה הם רשאים לעשות עם המידע ומתי הם מוחקים אותו. עבור כלי חינמי שנמצא דרך חיפוש, לבית הספר אין כלום מזה. אין חוזה, אין מושג היכן השרתים יושבים, אין דרך לומר מי עוד יכול לגעת בקובץ. אם השרתים האלה נמצאים מחוץ לאיחוד האירופי, בית הספר גם ביצע העברה בינלאומית של מידע על ילדים, וזה סוג הדבר שה-GDPR מציב סביבו את ההתנגדות הרבה ביותר.

אם מידע של תלמידים נחשף דרך שירות שבית הספר לא יכול היה לערוב לו, זו יכולה להיות הפרת מידע אישי. הפרות הכרוכות בילדים הן אלה שרגולטורים והורים מתייחסים אליהן בחומרה הרבה ביותר. הודעות, חקירה, ומכתב מאוד לא נעים הביתה, כולם נובעים מהעלאה חפוזה אחת.

החלק המטריף הוא שהמשימה עצמה, איחוד או הגנה על כמה קבצים, מעולם לא הייתה צריכה לעזוב את הבניין.

עשו את עבודת ה-PDF של בית הספר על המכונה שלכם

הנה התיקון, והוא קל יותר מהבעיה. אם ה-PDF לעולם אינו עוזב את המכשיר שלכם, אף מעבד חיצוני אינו נוגע בו. אין חוזה לרדוף אחריו, אין העברה להצדיק, אין צד שלישי שיכול לדלוף רשומה של ילד. בית הספר עדיין הבקר ועדיין חב לתלמידים את הזהירות הרגילה, אבל שכבה שלמה של סיכון פשוט לא קיימת, כי המידע נשאר במקום שבו היה.

זה הרעיון מאחורי כלים שרצים כולם בתוך הדפדפן שלכם. הקוד עושה את העבודה מקומית, בזיכרון של המחשב שלכם, והקובץ נשאר במקום. כך בנינו את reader.me. כשאתם מאחדים או מגינים על PDF של בית ספר, הוא מעובד בדפדפן שלכם ולעולם אינו מגיע לשרת שלנו. אם אתם רוצים הוכחה, פתחו את ה-DevTools של הדפדפן, צפו בלשונית Network בזמן שאתם עובדים, ולא תראו שום דבר עם המסמך שלכם יוצא החוצה.

שלוש משימות מכסות את רוב מה שבית ספר צריך:

• אספו את כל התעודות האלה למסמך אחד עם איחוד PDF, ישר על המחשב הנייד, בלי העלאה.
• נעלו קובץ רגיש לפני שהוא הולך לאנשהו על ידי הוספת סיסמה עם הגנה על PDF, כך שאישור הורים או רשומה מוצפנים לפני שהם מגיעים לתיבת הדואר של הורה.
• הוסיפו את החתימה שלכם לטופס או למכתב עם חתימה על PDF בלי להדפיס, לסרוק או לשלוח את המסמך לזר קודם.

כמה הרגלים לחדר המורים

• התייחסו לכל מסמך של תלמיד כאל מידע על קטין. תעודות, רשומות, טופסי טיולים ותוכניות חינוך מיוחד כולם נכללים, אפילו דף סרוק יחיד.
• לעולם אל תגררו קובץ של תלמיד לכלי מקוון אקראי. אין חוזה ואין מיקום שרת ברור פירושו שהמידע של הילדים לא הולך לשם, נקודה.
• קבעו כברירת מחדל כלים שרצים בדפדפן שלכם למשימות שגרתיות כמו איחוד, הגנה וחתימה. אם זה עובד מקומית, אין מעבד לבדוק ושום דבר אינו חוצה גבול.
• נעלו קבצים לפני שאתם שולחים אותם הביתה. סיסמה על ה-PDF מנצחת קובץ מצורף פתוח לרשימת תפוצה של כיתה.
• התייעצו עם מי שאחראי על הגנת המידע בבית הספר שלכם לפני שאתם מאמצים כלי כלשהו לקבצים של תלמידים. הם יודו לכם.

הכללים סביב מידע של ילדים נשמעים כבדים, והם כן, כי המידע כבד. אבל הפתרון היומיומי קטן. שמרו את הקובץ על המכונה שלכם, השתמשו בכלים שלא מעלים, והחלק הכבד ביותר של הבעיה לעולם לא מגיע אליכם. אם אתם רוצים את הגרסה הארוכה של איך העלאה מפעילה את החובות האלה, כתבתי על GDPR והעלאת קובצי PDF בנפרד.