Condivisione file conforme a FERPA per istituzioni educative

La conformità FERPA per la condivisione file significa che qualsiasi registro scolastico contenente informazioni di identificazione personale di uno studente viaggi solo attraverso strumenti che limitano l'accesso ai destinatari autorizzati, cifrano il file in transito e a riposo e registrano le divulgazioni. Ai sensi del 20 U.S.C. § 1232g e 34 CFR Parte 99, le scuole che ricevono finanziamenti federali devono ottenere il consenso scritto prima di divulgare i registri degli studenti o qualificarsi per una delle eccezioni statutarie, come "funzionari scolastici con interesse educativo legittimo". Per il trasferimento file, ciò si traduce in TLS 1.3, AES-256, accesso per destinatario nominale e log di audit conservati abbastanza a lungo da rispondere alle richieste dei genitori.

Cosa conta come registro scolastico ai sensi del FERPA

I registri scolastici comprendono tutto ciò che la scuola conserva e che contiene informazioni direttamente legate a uno studente. Questo va oltre i trascritti. Fogli di calcolo dei voti, documenti IEP, fascicoli disciplinari, moduli di aiuto finanziario, note di orientamento e moduli medici scansionati nel fascicolo dello studente rientrano tutti nella definizione. Un registro di classe con nomi e ID degli studenti è un registro. Un PDF da 12 MB di accordi di integrità accademica firmati è un registro. Le informazioni di directory — nome, corso di studi, date di frequenza — possono essere condivisibili senza consenso a meno che lo studente non abbia optato per la non divulgazione, ma la scuola deve aver pubblicato la policy sulle informazioni di directory.

Le regole di divulgazione guidano la progettazione del trasferimento

Il default del FERPA è nessuna divulgazione senza consenso. Le eccezioni del 34 CFR § 99.31 coprono funzionari scolastici, altre scuole che ricevono uno studente in trasferimento, studi condotti per agenzie educative, audit, aiuti finanziari, accreditamento, ordini giudiziari ed emergenze sanitarie e di sicurezza. Ogni eccezione ha condizioni. Ad esempio, l'eccezione per i funzionari scolastici richiede che l'istituto abbia definito cosa significa "interesse educativo legittimo" nella sua notifica annuale. Quando un ufficio di segreteria invia un batch di 300 MB di registri dei voti a un ente di accreditamento, il metodo di trasferimento conta meno dell'eccezione documentata, ma il metodo deve comunque proteggere il file. File ZIP protetti da password inviati come allegati email non vanno bene perché l'email non è un canale sicuro per impostazione predefinita.

Meccanismi di consenso e firme digitali

Il consenso scritto ai sensi del § 99.30 deve specificare i registri divulgati, lo scopo e il destinatario, ed essere firmato e datato dal genitore o dallo studente avente diritto. Le firme digitali tramite DocuSign o Adobe Sign soddisfano il requisito della "firma" quando la piattaforma registra la verifica dell'identità. Il consenso firmato deve risiedere nel fascicolo dello studente per almeno quanto dura il registro che copre. Quando il file viene trasferito, includi un riferimento al record di consenso nei metadati del trasferimento in modo che gli auditor possano collegare i due. Alcune istituzioni incorporano un token di consenso nel campo metadati del link di trasferimento per questo scopo.

Protezioni tecniche per i file degli studenti

Le scuole devono richiedere: crittografia in transito con TLS 1.3, crittografia a riposo con AES-256 sul server di trasferimento e idealmente crittografia end-to-end in cui solo il destinatario può decifrare. L'autenticazione a più fattori per l'account del mittente è prassi standard, specialmente per il personale che gestisce export di massa da Banner, PeopleSoft o Workday Student. L'accesso deve essere per destinatario specifico — nessun link condiviso — in modo che quando un genitore chiede "chi ha visto il registro di mio figlio tra il 3 settembre e il 15 novembre", la segreteria possa produrre un elenco. Strumenti come Microsoft OneDrive for Education e Google Workspace for Education con controlli di condivisione correttamente configurati soddisfano questi requisiti; WeTransfer consumer e simili no, per impostazione predefinita.

La trappola delle informazioni di directory

Le scuole a volte trattano le informazioni di directory come liberamente condivisibili, poi accidentalmente includono campi non di directory. Un file di "elenco classe" destinato a un'associazione studentesca che include GPA, orari dei corsi o note disciplinari ha superato il limite. La soluzione è una separazione netta al momento dell'export. I sistemi informativi degli studenti dovrebbero offrire un template di export solo-directory che elimina tutto ciò che non rientra nelle categorie di directory pubblicate. Quando il personale costruisce fogli di calcolo personalizzati, le policy dovrebbero richiedere una revisione da parte di una seconda persona prima che il file lasci l'istituto. Anche le rinunce contano: il FERPA dà agli studenti il diritto di sopprimere la divulgazione delle informazioni di directory e quei flag devono propagarsi a ogni export.

Accordi con vendor di terze parti

I vendor ed-tech che gestiscono dati degli studenti — che si tratti di un fornitore di trasferimento file o di un plugin per LMS — sono spesso considerati "funzionari scolastici" ai sensi dell'eccezione § 99.31(a)(1) quando svolgono servizi che la scuola altrimenti eseguirebbe internamente, rimangono sotto il controllo diretto della scuola e usano i dati solo per finalità autorizzate. Questo status richiede un accordo scritto. Il Privacy Technical Assistance Center del Dipartimento dell'Istruzione pubblica termini modello. L'accordo deve coprire limiti di utilizzo dei dati, restrizioni per i sub-appaltatori, tempi di notifica delle violazioni, cancellazione alla fine del contratto e diritti di audit. La SOPIPA californiana e leggi statali simili aggiungono requisiti come il divieto di pubblicità comportamentale agli studenti.

Risposta alle violazioni quando un trasferimento va storto

Il FERPA non impone una scadenza federale per la notifica delle violazioni, ma la maggior parte degli stati lo fa con leggi come l'Illinois SOPPA o la New York Education Law § 2-d. Quando un trasferimento file mal indirizzato raggiunge il destinatario sbagliato, il playbook di risposta inizia con: revoca il link se lo strumento supporta la revoca, contatta il destinatario non previsto e richiedi la cancellazione con conferma, documenta cosa è stato esposto, valuta se le informazioni di identificazione personale erano accessibili, notifica gli studenti o i genitori interessati ai sensi della legge statale e registra l'incidente per il report di conformità annuale. Le famiglie possono presentare reclami al Family Policy Compliance Office, che può indagare e raccomandare sanzioni fino alla perdita dei finanziamenti federali.

Casi speciali: studenti minorenni e record misti

I diritti passano dai genitori agli studenti aventi diritto al compimento dei 18 anni o all'iscrizione in un istituto di istruzione post-secondaria. Per i trasferimenti K-12, i genitori sono i titolari dei diritti. Per gli studenti di scuola superiore con doppia iscrizione che seguono corsi universitari, esistono entrambi i titolari di diritti FERPA per record diversi, e lo strumento di trasferimento deve supportare più credenziali di accesso. I file contenenti record di più studenti contemporaneamente, come un export delle presenze di una classe, richiedono il consenso di ogni famiglia o un'eccezione qualificante per l'intero file. Dividere il file per studente riduce la divulgazione eccessiva e semplifica il tracciamento del consenso.

HexaTransfer cifra ogni file end-to-end con AES-256-GCM, cancella automaticamente dopo 7 giorni e fornisce alle scuole log per singolo download per finalità di audit. Provalo su hexatransfer.com — gratis, senza registrazione, fino a 10 GB.

Il FERPA non è unico nel richiedere crittografia e logging, ma è distintivo nel porre al centro il rapporto tra studente e genitore. Lo strumento che scegli deve rispettare quel rapporto, essendo in grado di rispondere per iscritto a chi ha acceduto a un registro specifico in un momento specifico. Ottieni l'eccezione o il consenso, scegli uno strumento di trasferimento adeguato alla sensibilità e conserva i log.