PDF ในแวดวงการศึกษา: ความเป็นส่วนตัวสำหรับครูและโรงเรียน

เป็นสัปดาห์สุดท้ายของภาคเรียน ครูคนหนึ่งมีสมุดพกสามสิบเล่มเป็นไฟล์ PDF แยกกัน และต้องการรวมให้เป็นไฟล์เดียวสำหรับโฟลเดอร์ของชั้นปี โน้ตบุ๊กของโรงเรียนไม่มีโปรแกรมอะไรติดตั้งไว้สำหรับงานนั้น ครูจึงค้นหาคำว่า “รวมไฟล์ PDF” เปิดผลลัพธ์อันแรก ลากเอกสารสามสิบฉบับที่เต็มไปด้วยชื่อนักเรียน คะแนน และบันทึกพฤติกรรมเข้าไป แล้วกดปุ่ม

ไฟล์ที่รวมแล้วดาวน์โหลดลงมา โฟลเดอร์ถูกอัปเดต ไม่มีใครสังเกตเห็นอะไรเลย แต่สมุดพกสามสิบเล่มนั้นเพิ่งออกจากโรงเรียนไปอยู่บนเซิร์ฟเวอร์ของบริษัทที่ครูไม่เคยได้ยินชื่อมาก่อน และทุกเล่มล้วนเป็นเรื่องของเด็ก

นี่ไม่ใช่คำแนะนำทางกฎหมาย และฉันก็ไม่ใช่หัวหน้าฝ่ายคุ้มครองข้อมูลของคุณ ทุกโรงเรียนมีนโยบายของตัวเองและมีเจ้าหน้าที่คุ้มครองข้อมูล (DPO) ที่ต้องรับผิดชอบ แต่การศึกษาขับเคลื่อนด้วยข้อมูลของผู้เยาว์ และนั่นคือข้อมูลประเภทที่กฎหมายปกป้องอย่างเข้มงวดที่สุด ดังนั้นจึงควรเข้าใจให้ชัดว่าอะไรกำลังเสี่ยงอยู่ ก่อนที่เส้นตายครั้งหน้าจะผลักให้ใครบางคนไปใช้เครื่องมือมั่ว ๆ

PDF ของโรงเรียนเต็มไปด้วยข้อมูลของเด็ก

ลองนึกถึงสิ่งที่โรงเรียนผลิตออกมาบนกระดาษและบนหน้าจอในแต่ละสัปดาห์ สมุดพกที่มีคะแนน ประวัตินักเรียนที่มีที่อยู่และวันเกิด ใบขออนุญาตไปทัศนศึกษา แบบฟอร์มข้อมูลสุขภาพและภูมิแพ้ บันทึกการคุ้มครองเด็ก สิทธิ์รับอาหารกลางวันฟรี แผนการศึกษาสำหรับผู้มีความต้องการพิเศษ เกือบทั้งหมดระบุตัวตนของเด็กคนใดคนหนึ่ง และจำนวนมากแตะต้องสิ่งที่กฎหมายถือว่าอ่อนไหวเป็นพิเศษ เช่น ข้อมูลสุขภาพ

GDPR ให้การคุ้มครองข้อมูลของเด็กเป็นการเฉพาะ เหตุผลนั้นชัดเจน เด็กตระหนักถึงความเสี่ยงน้อยกว่า และผลของการรั่วไหลจะตามติดพวกเขาไปอีกหลายปี สมุดพกที่รั่วออกไปไม่อาจรีเซ็ตได้เหมือนรหัสผ่าน บันทึกการคุ้มครองเด็กที่ถูกเปิดเผยสามารถสร้างความเสียหายจริงได้ ดังนั้นเมื่อโรงเรียนจัดการไฟล์เหล่านี้ มาตรฐานของความรอบคอบจึงต้องสูงกว่าเกือบทุกอย่าง

และโรงเรียนเป็นผู้แบกรับความรับผิดชอบ ภายใต้ GDPR โรงเรียนคือ ผู้ควบคุมข้อมูล (controller) สำหรับข้อมูลนี้ หน้าที่นั้นไม่ได้หยุดพักเพียงเพราะเป็นเดือนกรกฎาคมและทุกคนเหนื่อยล้า และการรวมไฟล์ต้องทำให้เสร็จเดี๋ยวนี้

เว็บอัปโหลดทำอะไรกับไฟล์ของคุณ

เมื่อ PDF นั้นถูกส่งไปยังเครื่องมือออนไลน์ มันก็หลุดจากการควบคุมของโรงเรียน มันเดินทางไปยังเซิร์ฟเวอร์ที่โรงเรียนไม่ได้ดูแล ถูกประมวลผลที่นั่น และอาจถูกแคช เข้าคิว หรือคัดลอกก่อนที่อะไรจะถูกส่งกลับมา บริษัทเบื้องหลังเครื่องมือกลายเป็น ผู้ประมวลผล (processor) ที่ทำงานในนามของโรงเรียน และโรงเรียนยังคงเป็นผู้ควบคุมที่ต้องรับผิดชอบทั้งหมด

ข้อตกลงแบบนั้นมาพร้อมเงื่อนไข โรงเรียนควรมีสัญญาเป็นลายลักษณ์อักษรกับผู้ประมวลผลรายนั้น ระบุชัดว่าพวกเขาทำอะไรกับข้อมูลได้บ้างและจะลบเมื่อใด สำหรับเครื่องมือฟรีที่เจอผ่านการค้นหา โรงเรียนไม่มีสิ่งเหล่านั้นเลย ไม่มีสัญญา ไม่รู้ว่าเซิร์ฟเวอร์ตั้งอยู่ที่ไหน ไม่มีทางบอกได้ว่าใครอีกบ้างที่แตะต้องไฟล์ได้ ถ้าเซิร์ฟเวอร์เหล่านั้นอยู่นอกสหภาพยุโรป โรงเรียนก็ได้ทำการโอนข้อมูลของเด็กข้ามพรมแดน ซึ่งเป็นสิ่งที่ GDPR สร้างอุปสรรคไว้มากที่สุด

ถ้าข้อมูลนักเรียนถูกเปิดเผยผ่านบริการที่โรงเรียนรับรองไม่ได้ นั่นอาจเป็นการละเมิดข้อมูลส่วนบุคคล การละเมิดที่เกี่ยวข้องกับเด็กเป็นสิ่งที่หน่วยงานกำกับดูแลและผู้ปกครองรับไม่ได้มากที่สุด การแจ้งเตือน การสอบสวน และจดหมายที่น่าอึดอัดอย่างยิ่งถึงบ้าน ล้วนตามมาจากการอัปโหลดที่รีบร้อนเพียงครั้งเดียว

ส่วนที่น่าหงุดหงิดคือ ตัวงานเอง ทั้งการรวมหรือป้องกันไฟล์ไม่กี่ไฟล์ ไม่เคยจำเป็นต้องออกไปจากอาคารเลย

ทำงาน PDF ของโรงเรียนบนเครื่องของคุณเอง

นี่คือทางแก้ และมันเบากว่าตัวปัญหา ถ้า PDF ไม่เคยออกจากอุปกรณ์ของคุณ ก็ไม่มีผู้ประมวลผลภายนอกรายใดแตะต้องมัน ไม่มีสัญญาให้ต้องไล่ตาม ไม่มีการโอนข้อมูลให้ต้องอธิบาย ไม่มีบุคคลที่สามที่อาจทำให้ประวัติของเด็กรั่วไหล โรงเรียนยังคงเป็นผู้ควบคุมและยังคงต้องดูแลนักเรียนตามปกติ แต่ความเสี่ยงทั้งชั้นหนึ่งก็หายไปเลย เพราะข้อมูลอยู่ที่เดิม

นี่คือแนวคิดเบื้องหลังเครื่องมือที่ทำงานทั้งหมดในเบราว์เซอร์ของคุณ โค้ดทำงานในเครื่อง ในหน่วยความจำของคอมพิวเตอร์คุณ และไฟล์อยู่กับที่ นั่นคือวิธีที่เราสร้าง reader.me เมื่อคุณรวมหรือป้องกัน PDF ของโรงเรียน มันถูกประมวลผลในเบราว์เซอร์ของคุณและไม่เคยไปถึงเซิร์ฟเวอร์ของเรา ถ้าต้องการหลักฐาน ให้เปิด DevTools ของเบราว์เซอร์ ดูแท็บ Network ขณะที่คุณทำงาน แล้วคุณจะไม่เห็นอะไรที่มีเอกสารของคุณถูกส่งออกไป

สามงานครอบคลุมเกือบทุกสิ่งที่โรงเรียนต้องการ:

• ดึงสมุดพกทั้งหมดมารวมเป็นเอกสารเดียวด้วย รวม PDF ได้บนโน้ตบุ๊กเลย โดยไม่ต้องอัปโหลด
• ล็อกไฟล์ที่อ่อนไหวก่อนส่งไปไหนด้วยการใส่รหัสผ่านด้วย ป้องกัน PDF เพื่อให้ใบขออนุญาตหรือประวัติถูกเข้ารหัสก่อนถึงกล่องจดหมายของผู้ปกครอง
• เพิ่มลายเซ็นของคุณลงในแบบฟอร์มหรือจดหมายด้วย เซ็น PDF โดยไม่ต้องพิมพ์ สแกน หรือส่งเอกสารให้คนแปลกหน้าก่อน

นิสัยบางอย่างสำหรับห้องพักครู

• ถือว่าเอกสารนักเรียนทุกฉบับเป็นข้อมูลของผู้เยาว์ สมุดพก ประวัติ แบบฟอร์มทัศนศึกษา และแผนการศึกษาพิเศษ ล้วนนับ แม้แต่หน้าสแกนหน้าเดียว
• อย่าลากไฟล์ของนักเรียนเข้าไปในเครื่องมือออนไลน์มั่ว ๆ เด็ดขาด ไม่มีสัญญาและไม่รู้ที่ตั้งเซิร์ฟเวอร์ชัดเจน หมายความว่าข้อมูลของเด็กไม่ควรไปที่นั่น จบเลย
• ตั้งค่าเริ่มต้นไปที่เครื่องมือที่ทำงานในเบราว์เซอร์ สำหรับงานประจำอย่างการรวม การป้องกัน และการเซ็น ถ้ามันทำงานในเครื่องได้ ก็ไม่มีผู้ประมวลผลให้ต้องตรวจสอบและไม่มีอะไรข้ามพรมแดน
• ล็อกไฟล์ก่อนส่งกลับบ้าน รหัสผ่านบน PDF ดีกว่าไฟล์แนบเปิดโล่งในเมลลิ่งลิสต์ของชั้นเรียน
• ปรึกษาคนที่ดูแลการคุ้มครองข้อมูลที่โรงเรียนของคุณ ก่อนนำเครื่องมือใด ๆ มาใช้กับไฟล์ของนักเรียน พวกเขาจะขอบคุณคุณ

กฎเกี่ยวกับข้อมูลของเด็กฟังดูหนักหน่วง และมันก็หนักจริง เพราะตัวข้อมูลนั้นหนัก แต่ทางแก้ในแต่ละวันนั้นเล็กน้อย เก็บไฟล์ไว้บนเครื่องของคุณ ใช้เครื่องมือที่ไม่อัปโหลด แล้วส่วนที่หนักที่สุดของปัญหาก็จะไม่มีวันมาถึงคุณ ถ้าอยากอ่านฉบับยาวกว่านี้ว่าการอัปโหลดทำให้เกิดหน้าที่เหล่านี้ได้อย่างไร ฉันเขียนเรื่อง GDPR กับการอัปโหลด PDF แยกไว้ต่างหาก