教育現場的 PDF：教師與學校的隱私

學期的最後一週。一位老師手上有三十份各自獨立的 PDF 成績單，需要把它們合併成一個檔案放進年級資料夾。學校的筆電上沒有裝任何能做這件事的軟體，於是他搜尋「合併 PDF」、打開第一個結果、把三十份滿是學生姓名、成績與行為紀錄的文件拖進去，然後按下按鈕。

合併後的檔案下載好了。資料夾更新了。沒有人察覺任何異樣。但那三十份成績單剛剛離開了學校，落到一家這位老師從沒聽過的公司所經營的伺服器上，而它們每一份都是關於一個孩子的。

這不是法律建議，我也不是你的資料保護負責人。每所學校都有自己的政策，也都有自己的資料保護長（DPO）要負責。但教育是靠未成年人的資料運轉的，而那正是法律守護得最嚴密的那一類資料。所以在下一個截止期限把某個人推向某個隨手找來的工具之前，先把利害關係講清楚是值得的。

學校的 PDF 裡滿是孩子的資料

想想學校每週在紙上和螢幕上產出些什麼。帶有成績的成績單。寫著地址與出生日期的學籍紀錄。校外教學的同意書。醫療與過敏表單。學生保護（safeguarding）紀錄。免費營養午餐的資格證明。特殊教育需求計畫。其中幾乎全部都能指認出某一個特定的孩子，而其中很多都觸及法律視為格外敏感的事項，例如健康。

GDPR 為孩子的資料提供了專屬的保護。理由很明白：兒童對風險的意識較低，而外洩的後果會跟著他們好幾年。一張外流的成績單沒辦法像密碼一樣重設。一份被揭露的學生保護紀錄可能造成真實的傷害。所以當學校經手這些檔案時，謹慎處理的標準，比幾乎任何其他事情都要高。

而責任落在學校身上。在 GDPR 之下，學校是這些資料的控管者（controller）。這份責任不會因為現在是七月、大家都累了、合併又非做不可而暫停。

上傳網站對檔案做了什麼

當那份 PDF 被送到一個線上工具，它就離開了學校的掌控。它跑到一台學校並不經營的伺服器、在那裡被處理，而且在任何結果回傳之前，可能已經被快取、排入佇列或複製。那個工具背後的公司，成了代表學校行事的處理者（processor），而學校仍是要為整件事負責的控管者。

這種安排是有附帶條件的。學校照理應該與那個處理者簽有書面合約，明確規定他們可以對資料做什麼、何時刪除。對一個透過搜尋找到的免費工具來說，學校什麼都沒有。沒有合約、不知道伺服器在哪裡、無從說清還有誰能碰到這個檔案。如果那些伺服器在歐盟以外，學校還做出了一次未成年人資料的跨境傳輸，而那正是 GDPR 設下最多阻力的那種事。

如果學生資料透過一個學校無法為其擔保的服務而曝光，那可能構成一次個人資料外洩。涉及兒童的外洩事件，是監理機關和家長都看得最重的。通報、調查，以及一封非常難寫的致家長信，全都會從一次倉促的上傳之後接踵而來。

最令人惱火的地方在於，這件工作本身——合併或保護幾個檔案——從來就不需要離開校園。

在你自己的機器上完成學校的 PDF 工作

解法在這裡，而且比問題本身輕巧得多。如果 PDF 從未離開你的裝置，就沒有外部處理者碰得到它。沒有合約要追、沒有跨境傳輸要交代、沒有可能洩漏某個孩子紀錄的第三方。學校仍是控管者，仍欠學生們一貫的謹慎，但一整層風險就這麼不存在了，因為資料留在了原地。

這正是那些完全在你瀏覽器裡運作的工具背後的想法。程式碼在本機端完成工作，在你電腦的記憶體裡，而檔案留在原處。reader.me 就是這樣打造的。當你合併或保護一份學校的 PDF 時，它是在你的瀏覽器裡處理的，從不會抵達我們的任何伺服器。如果你想要證據，打開瀏覽器的 DevTools，在你操作時盯著 Network 分頁，你會看到沒有任何帶著你文件的東西被送出去。

三件工作就涵蓋了學校所需的大部分：

• 用 合併 PDF，就在筆電上、不需上傳，把那一疊成績單併進一份文件。
• 在敏感檔案送出去之前，用 保護 PDF 加上密碼把它鎖起來，讓一份同意書或一份紀錄在抵達家長收件匣之前就已被加密。
• 用 簽署 PDF 把你的簽名加到一份表單或一封信上，不必先列印、掃描，或把文件送給陌生人。

給教師休息室的幾個習慣

• 把每一份學生文件都當成關於未成年人的資料。 成績單、學籍紀錄、校外教學表單和特教計畫全都算數，即使只是一張掃描的頁面。
• 絕不要把學生檔案拖進某個隨手找來的線上工具。 沒有合約、沒有明確的伺服器位置，就代表孩子的資料不該去那裡，沒有例外。
• 日常工作預設使用在你瀏覽器裡運作的工具，例如合併、保護與簽署。如果它在本機端就能完成，就沒有要審查的處理者，也沒有任何東西跨越國界。
• 在送回家之前先鎖住檔案。 在 PDF 上加一個密碼，勝過對著一份班級郵寄清單發出一個開放的附件。
• 在你為學生檔案採用任何工具之前，先和學校裡負責資料保護的人確認。 他們會感謝你。

關於孩子資料的規則聽起來很沉重，它們也確實如此，因為資料本身就沉重。但日常的解法很小。把檔案留在你的機器上，使用不會上傳的工具，問題中最沉重的部分就永遠不會落到你身上。如果你想看上傳如何觸發這些義務的更長版本，我另外寫了一篇 GDPR 與上傳 PDF。