Eğitimde PDF'ler: öğretmenler ve okullar için gizlilik

Dönemin son haftası. Bir öğretmenin ayrı PDF’ler halinde otuz karnesi var ve bunları sınıf klasörü için tek bir dosya olarak istiyor. Okul dizüstü bilgisayarında bunun için kurulu bir şey yok, bu yüzden “PDF birleştir” diye arama yapıyor, ilk sonucu açıyor, öğrencilerin adları, notları ve davranış kayıtlarıyla dolu otuz belgeyi sürüklüyor ve düğmeye tıklıyor.

Birleştirilen dosya iniyor. Klasör güncelleniyor. Kimse bir şey fark etmiyor. Ama o otuz karne az önce okuldan ayrıldı ve öğretmenin adını bile duymadığı bir şirketin işlettiği bir sunucuya düştü, üstelik her biri bir çocuğa dairdi.

Bu bir hukuki tavsiye değil ve ben sizin veri koruma sorumlunuz değilim. Her okulun kendi politikası ve hesap vereceği kendi veri sorumlusu vardır. Ama eğitim, reşit olmayanlara dair verilerle yürür ve bu tam olarak yasanın en yakından koruduğu türden bir veridir. Bu yüzden bir sonraki son teslim tarihi birini rastgele bir araca itmeden önce neyin tehlikede olduğu konusunda net olmaya değer.

Okul PDF’leri çocukların verileriyle doludur

Bir okulun her hafta kâğıt üzerinde ve ekranda neler ürettiğini düşünün. Notlu karneler. Adres ve doğum tarihleri içeren öğrenci kayıtları. Geziler için izin belgeleri. Sağlık ve alerji formları. Çocuk koruma notları. Ücretsiz öğle yemeği uygunluğu. Özel eğitim ihtiyacı planları. Bunların neredeyse tamamı belirli bir çocuğu tanımlar ve büyük bir kısmı, sağlık gibi yasanın ekstra hassas saydığı şeylere dokunur.

KVKK ve GDPR, çocukların verilerine kendi korumasını verir. Mantık açık: çocuklar riskleri daha az farkındadır ve bir sızıntının sonuçları onları yıllarca takip eder. Sızdırılan bir karne bir parola gibi sıfırlanamaz. İfşa edilen bir çocuk koruma notu gerçek zarar verebilir. Bu yüzden bir okul bu dosyaları ele aldığında, dikkatli olma çıtası neredeyse her şeyden daha yüksektir.

Ve sorumluluğu okul taşır. KVKK ve GDPR kapsamında okul bu veriler için veri sorumlusudur. Bu görev, Temmuz olduğu, herkes yorgun olduğu ve birleştirmenin hemen yapılması gerektiği için durmaz.

Bir yükleme sitesi dosyaya ne yapar

O PDF çevrimiçi bir araca gittiğinde, okulun kontrolünden çıkar. Okulun işletmediği bir sunucuya gider, orada işlenir ve herhangi bir şey geri dönmeden önce önbelleğe alınabilir, kuyruğa konabilir veya kopyalanabilir. Aracın arkasındaki şirket, okul adına hareket eden bir veri işleyen haline gelir ve okul, tüm bundan sorumlu olan veri sorumlusu olarak kalır.

Bu düzenleme yükümlülükler getirir. Okulun, o veri işleyenle, verilerle ne yapabileceklerini ve ne zaman sildiklerini belirten yazılı bir sözleşmesi olması beklenir. Bir aramayla bulunan ücretsiz bir araç için okulda bunların hiçbiri yoktur. Sözleşme yok, sunucuların nerede olduğuna dair fikir yok, dosyaya başka kimin dokunabileceğini söyleme yolu yok. Eğer o sunucular AB dışındaysa, okul aynı zamanda çocuklara dair verilerin uluslararası bir aktarımını da yapmış olur ki bu, KVKK ve GDPR’ın etrafına en çok sürtünme koyduğu türden bir şeydir.

Eğer öğrenci verileri, okulun kefil olamadığı bir hizmet aracılığıyla ifşa olursa, bu bir kişisel veri ihlali olabilir. Çocukları içeren ihlaller, düzenleyicilerin ve velilerin en ağır aldığı türdendir. Bildirimler, bir soruşturma ve eve gönderilen son derece rahatsız edici bir mektup, hepsi tek bir aceleyle yapılan yüklemeden gelir.

İşin çıldırtıcı yanı, görevin kendisinin, yani birkaç dosyayı birleştirmenin ya da korumanın, hiçbir zaman binadan ayrılmaya ihtiyacı olmamasıdır.

Okulun PDF işini kendi makinenizde yapın

İşte çözüm ve soruna göre çok daha hafif. Eğer PDF cihazınızdan hiç ayrılmazsa, hiçbir dış veri işleyen ona dokunmaz. Peşinden koşulacak sözleşme yok, gerekçelendirilecek aktarım yok, bir çocuğun kaydını sızdırabilecek üçüncü taraf yok. Okul hâlâ veri sorumlusudur ve öğrencilere her zamanki özeni borçludur, ama tüm bir risk katmanı basitçe yoktur, çünkü veri olduğu yerde kalmıştır.

Tamamen tarayıcınızda çalışan araçların ardındaki fikir budur. Kod işi yerelde, bilgisayarınızın belleğinde yapar ve dosya yerinde kalır. reader.me’yi böyle inşa ettik. Bir okul PDF’ini birleştirdiğinizde veya koruduğunuzda, tarayıcınızda işlenir ve hiçbir zaman bizim bir sunucumuza ulaşmaz. Kanıt isterseniz, tarayıcınızın DevTools’unu açın, çalışırken Network sekmesini izleyin ve belgenizle birlikte dışarı çıkan hiçbir şey görmeyeceksiniz.

Üç iş, bir okulun ihtiyaç duyduğu şeylerin çoğunu karşılar:

• Tüm o karneleri PDF birleştir ile tek bir belgeye, doğrudan dizüstü bilgisayarda, yükleme olmadan toplayın.
• Hassas bir dosyayı herhangi bir yere gitmeden önce PDF koru ile bir parola ekleyerek kilitleyin, böylece bir izin belgesi veya bir kayıt, bir velinin gelen kutusuna ulaşmadan önce şifrelensin.
• Bir forma veya bir mektuba PDF imzala ile imzanızı, önce yazdırmadan, taramadan ya da belgeyi bir yabancıya göndermeden ekleyin.

Öğretmenler odası için birkaç alışkanlık

• Her öğrenci belgesini reşit olmayan birine dair veri olarak ele alın. Karneler, kayıtlar, gezi formları ve özel eğitim planlarının hepsi sayılır, tek bir taranmış sayfa bile.
• Bir öğrenci dosyasını asla rastgele bir çevrimiçi araca sürüklemeyin. Sözleşmenin ve net bir sunucu konumunun olmaması, çocukların verisinin oraya gitmemesi demektir, nokta.
• Birleştirme, koruma ve imzalama gibi rutin işler için tarayıcınızda çalışan araçları varsayılan yapın. Yerelde çalışıyorsa, incelenecek bir veri işleyen yoktur ve hiçbir şey bir sınırı geçmez.
• Eve göndermeden önce dosyaları kilitleyin. PDF üzerindeki bir parola, bir sınıf e-posta listesine açık bir ek dosyadan iyidir.
• Öğrenci dosyaları için herhangi bir aracı benimsemeden önce okulunuzda veri korumadan sorumlu kişiyle görüşün. Size teşekkür edecekler.

Çocukların verileri etrafındaki kurallar ağır geliyor ve öyleler, çünkü veri ağırdır. Ama günlük çözüm küçüktür. Dosyayı makinenizde tutun, yükleme yapmayan araçlar kullanın ve sorunun en ağır kısmı size hiç ulaşmaz. Yüklemenin bu yükümlülükleri nasıl tetiklediğinin daha uzun versiyonunu istiyorsanız, GDPR ve PDF yüklemek hakkında ayrıca yazdım.