교육 기관을 위한 FERPA 준수 파일 공유

FERPA(가족교육권리개인정보보호법)를 준수하는 파일 공유란, 학생에 관한 개인 식별 정보가 포함된 교육 기록을 승인된 수신자에게만 접근을 제한하고 전송 중 및 저장 시 암호화하며 공개를 기록하는 도구를 통해서만 이동시키는 것을 의미한다. 20 U.S.C. § 1232g와 34 CFR Part 99에 따라 연방 자금을 받는 학교는 서면 동의 없이 학생 기록을 공개하기 전에 법정 예외 중 하나, 예를 들어 '정당한 교육적 이익을 가진 학교 관계자' 조항에 해당해야 한다. 파일 전송에서 이는 TLS 1.3, AES-256, 수신자 지정 접근, 부모 문의 응답에 충분한 기간 보존되는 감사 로그를 의미한다.

FERPA가 교육 기록으로 규정하는 범위

교육 기록은 학교가 관리하며 학생과 직접 관련된 정보를 담은 모든 것이다. 성적표보다 범위가 넓다. 성적 스프레드시트, IEP 문서, 징계 파일, 재정 지원 양식, 상담 메모, 학생 파일의 스캔된 의료 양식이 모두 해당된다. 이름과 학번이 있는 수업 명단도 기록이다. 서명된 학문적 성실성 계약서 12MB PDF도 기록이다. 성명, 전공, 재학 기간 같은 디렉토리 정보는 학생이 공개를 거부하지 않는 한 동의 없이 공유 가능하지만, 학교는 디렉토리 정보 정책을 공시해야 한다.

공개 규칙이 전송 설계를 결정한다

FERPA의 기본값은 동의 없는 공개 금지다. 34 CFR § 99.31의 예외에는 학교 관계자, 편입 학교, 교육 기관을 위한 연구, 감사, 재정 지원, 인증, 소환장, 보건 및 안전 비상사태가 포함된다. 각 예외에는 조건이 있다. 학교 관계자 예외는 기관이 연간 고지에서 '정당한 교육적 이익'의 의미를 정의해야 한다. 학적처가 300MB 성적 기록 묶음을 인증 기관에 전송할 때 전송 방식보다 문서화된 예외가 중요하지만, 방식 역시 파일을 보호해야 한다. 이메일 첨부 파일의 암호 보호 ZIP은 이메일이 기본적으로 보안 채널이 아니므로 실패한다.

동의 요건과 전자 서명

§ 99.30의 서면 동의는 공개되는 기록, 목적, 수신자를 명시하고 부모 또는 성인 학생이 서명·날짜를 기재해야 한다. DocuSign이나 Adobe Sign을 통한 전자 서명은 플랫폼이 신원 확인을 기록할 경우 '서명'을 충족한다. 서명된 동의서는 해당 기록과 최소 동일한 기간 학생 파일에 보관되어야 한다. 파일 전송 시 전송 메타데이터 필드에 동의 기록 참조를 포함해 감사인이 두 항목을 연결할 수 있도록 한다.

학생 파일을 위한 기술적 보호

학교는 TLS 1.3으로 전송 암호화, 전송 서버에서 AES-256으로 저장 암호화, 이상적으로는 수신자만 복호화할 수 있는 종단간 암호화를 요구해야 한다. 특히 Banner, PeopleSoft, Workday Student에서 대량 내보내기를 처리하는 직원의 계정에는 다중 인증이 표준 관행이다. 접근은 수신자별로 지정되어야 한다. 공유 링크는 안 된다. 부모가 "9월 3일부터 11월 15일 사이에 누가 내 자녀 기록을 봤나요"라고 물을 때 학적처가 명단을 제출할 수 있어야 한다. 적절히 구성된 공유 제어를 갖춘 Microsoft OneDrive for Education과 Google Workspace for Education은 이 기준을 충족한다. 소비자용 WeTransfer 등은 기본적으로 충족하지 않는다.

디렉토리 정보 함정

학교는 디렉토리 정보를 자유롭게 공유 가능한 것으로 취급하다가 비디렉토리 필드를 함께 포함하는 실수를 범한다. 학생 단체를 위한 '수업 명단' 파일에 GPA, 수강 일정, 징계 메모가 포함되면 선을 넘은 것이다. 해결책은 내보내기 시점의 명확한 분리다. 학생정보시스템은 공시된 디렉토리 범주 외의 모든 것을 제거하는 디렉토리 전용 내보내기 템플릿을 제공해야 한다. 직원이 직접 스프레드시트를 작성할 경우, 파일이 기관을 떠나기 전 2인 검토를 요구하는 정책이 필요하다. 거부 선택권도 중요하다. FERPA는 학생에게 디렉토리 공개를 억제할 권리를 부여하며, 해당 플래그는 모든 내보내기에 반영되어야 한다.

제3자 벤더 계약

파일 전송 공급자나 LMS 플러그인 같이 학생 데이터를 처리하는 에드테크 벤더는, 학교가 직접 수행할 서비스를 제공하고 학교의 직접 통제 하에 있으며 승인된 목적으로만 데이터를 사용하는 경우 § 99.31(a)(1) 예외에 따라 종종 '학교 관계자'로 간주된다. 이 지위는 서면 계약이 필요하다. 계약에는 데이터 사용 제한, 하청 계약자 제한, 침해 고지 일정, 계약 종료 시 삭제, 감사 권리가 포함되어야 한다. 캘리포니아 SOPIPA 같은 주 법률은 학생을 대상으로 한 타겟 광고 금지 등을 추가한다.

잘못된 전송 시 침해 대응

FERPA는 연방 침해 고지 일정을 부과하지 않지만, 일리노이 SOPPA나 뉴욕 교육법 § 2-d 같은 대부분의 주법이 이를 규정한다. 잘못 발송된 파일 전송이 잘못된 수신자에게 도달했을 때의 대응 순서는 다음과 같다. 도구가 링크 취소를 지원하면 즉시 취소, 의도하지 않은 수신자에게 연락해 삭제 요청 및 확인 수령, 무엇이 노출되었는지 문서화, 개인 식별 정보 접근 가능 여부 평가, 주법에 따라 영향 받은 학생이나 부모에게 고지, 연간 규정 준수 보고서에 사건 기록. 가족은 Family Policy Compliance Office에 불만을 제기할 수 있으며, 연방 자금 지원 상실까지 포함한 제재를 권고할 수 있다.

HexaTransfer는 각 파일을 AES-256-GCM으로 종단간 암호화하고, 7일 후 자동 삭제하며, 감사 목적의 다운로드별 로그를 학교에 제공한다. hexatransfer.com에서 무료로 사용해 보세요. 계정 불필요, 최대 10GB.

FERPA는 암호화와 로깅을 요구하는 규정 중 독특하게 학생과 부모 관계를 중심에 둔다. 선택한 도구는 특정 기록에 특정 시간에 누가 접근했는지 서면으로 답할 수 있어야 한다. 예외나 동의를 확보하고, 민감도에 맞는 전송 도구를 선택하며, 로그를 보관하는 것이 핵심이다.