zgodność z FERPA

Zgodność z FERPA dotyczy ochrony danych edukacyjnych uczniów w Stanach Zjednoczonych.

Zgodność z FERPA – czym jest ochrona danych edukacyjnych

Zgodność z FERPA oznacza stosowanie zasad, procedur i zabezpieczeń, które pomagają chronić dane związane z edukacją uczniów w Stanach Zjednoczonych. Skrót FERPA pochodzi od nazwy Family Educational Rights and Privacy Act. Jest to amerykańska regulacja odnosząca się przede wszystkim do praw rodziców i pełnoletnich uczniów oraz do sposobu, w jaki szkoły i inne objęte nią placówki przechowują, udostępniają i wykorzystują informacje edukacyjne.

Nie chodzi wyłącznie o nazwiska, adresy e-mail czy numery identyfikacyjne. Informacją edukacyjną może być dokument ocen, frekwencji, wyników egzaminów, zachowania, wsparcia pedagogicznego, historii kontaktów ze szkołą, a także zapis znajdujący się w elektronicznym dzienniku, systemie rekrutacyjnym lub platformie do nauki zdalnej. Zakres ochrony zależy od charakteru dokumentu, sposobu jego przechowywania oraz od tego, czy można powiązać go z konkretnym uczniem.

W praktyce zgodność z FERPA wymaga, aby dostęp do takich danych był uzasadniony rolą i zadaniami danej osoby. Nauczyciel może potrzebować wglądu do informacji niezbędnych do prowadzenia zajęć, pracownik administracyjny do obsługi dokumentacji, a osoba zajmująca się wsparciem technicznym jedynie do takiego zakresu, który jest konieczny do usunięcia problemu. Sam fakt posiadania dostępu do systemu nie powinien oznaczać swobodnego przeglądania wszystkich rekordów.

FERPA wiąże się również z prawem do kontroli nad ujawnianiem danych. Rodzic lub uprawniony uczeń może mieć możliwość zapoznania się z określonymi dokumentami, żądania korekty nieprawidłowych informacji i uzyskania wyjaśnienia dotyczącego procedury udostępniania. Dlatego zgodność nie jest pojedynczym ustawieniem programu. Stanowi połączenie reguł organizacyjnych, świadomego zarządzania dostępem, odpowiedniego szkolenia oraz bezpiecznej obsługi urządzeń i dokumentów.

Zgodność z FERPA a kontekst techniczny i podobne regulacje

W środowisku cyfrowym zgodność z FERPA dotyczy całego łańcucha przetwarzania danych. Obejmuje komputery używane w sekretariacie, stacje robocze nauczycieli, laptopy pracowników, serwery aplikacyjne, kopie zapasowe, nośniki przenośne, pocztę elektroniczną i usługi działające w chmurze. Nawet jeśli główna baza danych jest odpowiednio zabezpieczona, ryzyko może pojawić się w pamięci podręcznej przeglądarki, pliku eksportowanym do arkusza, załączniku wiadomości albo na dysku urządzenia przekazanego do naprawy.

Istotne znaczenie ma rozdzielenie kilku pojęć. Poufność oznacza ograniczenie dostępu do osób uprawnionych. Integralność oznacza ochronę dokumentów przed nieautoryzowaną zmianą lub usunięciem. Dostępność oznacza możliwość korzystania z informacji wtedy, gdy jest to potrzebne do realizacji zadań szkoły. Ochrona danych edukacyjnych wymaga uwzględnienia wszystkich trzech elementów, ponieważ samo ukrycie informacji przed osobami postronnymi nie wystarczy, gdy dokumenty można łatwo zmodyfikować albo utracić.

FERPA bywa porównywana z innymi regulacjami dotyczącymi prywatności, jednak nie należy automatycznie utożsamiać tych systemów prawnych. RODO koncentruje się na ochronie danych osobowych w Unii Europejskiej i ma szerszy, bardziej ogólny zakres. COPPA dotyczy określonych aspektów prywatności dzieci korzystających z usług internetowych. Z kolei przepisy stanowe w USA mogą nakładać dodatkowe wymagania dotyczące bezpieczeństwa, powiadamiania o incydentach lub przechowywania dokumentacji. Ocena obowiązków powinna uwzględniać lokalizację placówki, rodzaj podmiotu, charakter usługi i konkretne przepisy mające zastosowanie.

Od strony technicznej przydatne są między innymi indywidualne konta użytkowników, silne uwierzytelnianie, ograniczenia uprawnień, szyfrowanie urządzeń, bezpieczne kopie zapasowe oraz rejestrowanie istotnych operacji. Ważna jest także kontrola cyklu życia danych: określenie, jak długo dokument może być potrzebny, gdzie jest przechowywany, kto może go pobrać i w jaki sposób jest usuwany po zakończeniu uzasadnionego okresu przechowywania.

Zgodność z FERPA – typowe problemy i źródła ryzyka

Jednym z częstych problemów jest nadawanie zbyt szerokich uprawnień. Wspólne konto dla kilku pracowników utrudnia ustalenie, kto otworzył dokument, pobrał raport lub zmienił dane. Podobne ryzyko występuje wtedy, gdy konto byłego pracownika pozostaje aktywne, hasło jest zapisane w przeglądarce albo dostęp do systemu nie jest wycofywany po zmianie stanowiska.

Ryzyko może powstać również przy zwykłej pracy z plikami. Dokument zawierający oceny może zostać wysłany do niewłaściwego odbiorcy, zapisany na prywatnym nośniku albo pozostawiony w drukarce. Niekiedy dane są kopiowane do lokalnego folderu na czas analizy, a później zapomina się o dodatkowej kopii. Problemem bywa także automatyczna synchronizacja katalogu z prywatną usługą, której zasady dostępu nie zostały sprawdzone przez placówkę.

Ważnym obszarem jest obsługa sprzętu. Uszkodzony dysk komputera może zawierać lokalne dokumenty, pliki tymczasowe, historię logowania lub zapisane załączniki. Przekazanie urządzenia do zewnętrznego podmiotu bez ustalenia zakresu dostępu zwiększa ryzyko niekontrolowanego ujawnienia danych. Przed diagnostyką warto określić, czy nośnik zawiera informacje edukacyjne, czy można wykonać kopię, kto ją zatwierdza i jak zostanie zabezpieczona. Jeżeli naprawa nie wymaga otwierania plików, powinno się ograniczyć czynności do poziomu niezbędnego do ustalenia usterki.

Problemy wynikają też z braku procedur na wypadek incydentu. Samo wykrycie nieprawidłowego dostępu nie rozwiązuje sytuacji. Potrzebne są ustalone role, sposób dokumentowania zdarzenia, zabezpieczenie dowodów, ocena zakresu ujawnienia i plan komunikacji z osobami odpowiedzialnymi za ochronę danych. Należy również odróżnić błąd techniczny od naruszenia zasad dostępu. Niedostępność dziennika może być problemem ciągłości działania, a przesłanie raportu do nieuprawnionego odbiorcy wymaga odrębnej analizy prywatności.

Zgodność z FERPA – praktyczne wskazówki dla szkoły i użytkownika

Praktyczne podejście warto rozpocząć od spisu systemów i dokumentów. Należy wskazać, gdzie powstają dane edukacyjne, gdzie są przechowywane, z jakimi usługami są synchronizowane oraz jakie urządzenia mają do nich dostęp. Przy każdym miejscu przechowywania powinno się określić właściciela procesu, grupy użytkowników, sposób uwierzytelniania, mechanizm tworzenia kopii i procedurę wycofania dostępu.

Pomocna jest zasada najmniejszych uprawnień. Dostęp powinien obejmować tylko te dane i funkcje, które są potrzebne do wykonania konkretnego zadania. Warto oddzielić konta administracyjne od codziennej pracy, stosować wieloskładnikowe uwierzytelnianie, blokować ekran podczas odejścia od stanowiska oraz aktualizować systemy i aplikacje. Nie należy przechowywać haseł w dokumentach tekstowych ani przesyłać danych uczniów przez kanały, których bezpieczeństwo nie zostało potwierdzone.

Dokumentacja procedur powinna być zrozumiała dla osób, które faktycznie korzystają z systemów. Szkolenie może obejmować rozpoznawanie wiadomości wyłudzających dane, sprawdzanie adresata przed wysłaniem załącznika, zasady pracy poza szkołą, zgłaszanie zagubionego urządzenia oraz postępowanie z wydrukami. Dobrze przygotowana instrukcja powinna wyjaśniać nie tylko, czego nie wolno robić, ale również jak bezpiecznie wykonać typowe zadanie.

Przed skorzystaniem z pomocy technicznej warto wylogować się z aplikacji, zamknąć dokumenty i ustalić, czy naprawa wymaga dostępu do danych. Jeżeli urządzenie jest sprawne na tyle, aby wykonać kopię, należy korzystać z zatwierdzonego miejsca przechowywania i zweryfikować możliwość odtworzenia plików. W przypadku awarii nośnika nie powinno się wielokrotnie uruchamiać sprzętu ani podejmować przypadkowych prób odzysku, ponieważ może to utrudnić późniejszą analizę.

Kiedy zgłosić zgodność z FERPA do serwisu komputerowego

Do serwisu warto zgłosić się wtedy, gdy problem techniczny może wpływać na poufność, integralność lub dostępność danych edukacyjnych. Dotyczy to między innymi komputera, który samoczynnie otwiera nieznane okna, utracił dostęp do zaszyfrowanego dysku, został zgubiony, został zainfekowany albo przestał poprawnie odczytywać nośnik. Zgłoszenia wymaga także sytuacja, w której na urządzeniu pozostało konto poprzedniego użytkownika lub znaleziono nieznane programy mogące rejestrować aktywność.

Przed przekazaniem sprzętu dobrze jest opisać objawy bez umieszczania w zgłoszeniu pełnych danych uczniów. Należy wskazać, czy urządzenie jest używane do pracy z dokumentacją edukacyjną, jakie działania są dozwolone oraz czy priorytetem jest zachowanie danych, ich odzyskanie, usunięcie czy przywrócenie sprawności systemu. Takie informacje pomagają ograniczyć zakres czynności i zmniejszyć ryzyko przypadkowego wglądu w prywatne dokumenty.

W Warszawie wsparcie przy tego rodzaju problemach może zapewnić Warszawskie Pogotowie Komputerowe 24/7, zwłaszcza gdy potrzebna jest ocena stanu komputera, dysku lub systemu przed dalszym użytkowaniem. Przy danych edukacyjnych szczególnie ważne jest, aby przed rozpoczęciem prac ustalić zakres dostępu, sposób przekazania urządzenia oraz zasady postępowania z kopiami plików. Serwis techniczny nie zastępuje administratora danych ani doradcy prawnego, lecz może pomóc ograniczyć techniczne źródła ryzyka i uporządkować działania związane z awarią.

Zgodność z FERPA należy traktować jako stały proces. Obejmuje ona nie tylko reakcję na awarię, ale także regularne przeglądy kont, aktualizacje, testy kopii zapasowych, kontrolę urządzeń przenośnych, szkolenia i analizę zmian w używanych usługach. Im wcześniej zostaną ustalone zasady dostępu oraz obsługi sprzętu, tym łatwiej ograniczyć skutki błędów i utrzymać ochronę danych uczniów w codziennej pracy.