FERPA: udostępnianie plików dla placówek edukacyjnych

Zgodność z FERPA w zakresie udostępniania plików oznacza, że każdy rejestr edukacyjny zawierający informacje umożliwiające identyfikację ucznia przemieszcza się wyłącznie przez narzędzia ograniczające dostęp do autoryzowanych odbiorców, szyfrujące plik podczas transmisji i w spoczynku oraz rejestrujące ujawnienia. Na mocy 20 U.S.C. § 1232g i 34 CFR Part 99, szkoły otrzymujące federalne dofinansowanie muszą uzyskać pisemną zgodę przed ujawnieniem rejestrów uczniów lub zakwalifikować się do jednego z ustawowych wyjątków, takich jak „pracownicy szkoły z uzasadnionym interesem edukacyjnym". Dla transferu plików przekłada się to na: TLS 1.3, AES-256, dostęp do nazwanego odbiorcy i dzienniki audytu przechowywane wystarczająco długo, aby móc odpowiedzieć na zapytania rodziców. Polskie placówki edukacyjne przyjmujące studentów z USA lub uczestniczące w wymianach z uczelniami amerykańskimi powinny znać FERPA — analogiem w Polsce jest RODO w połączeniu z przepisami o ochronie danych osobowych uczniów nadzorowanymi przez UODO.

Co FERPA uznaje za rejestr edukacyjny

Rejestry edukacyjne to wszystko, co szkoła utrzymuje i co zawiera informacje bezpośrednio związane z uczniem. To szersze pojęcie niż transkrypty. Arkusze ocen, dokumenty IEP, akta dyscyplinarne, formularze stypendium, notatki doradcze i zeskanowane formularze medyczne w aktach ucznia — wszystkie się kwalifikują. Lista klas z imionami i nazwiskami i numerami identyfikacyjnymi uczniów jest rejestrem. 12 MB PDF podpisanych umów o integralności akademickiej jest rejestrem. Informacje katalogowe — imię i nazwisko, kierunek, daty uczęszczania — mogą być udostępniane bez zgody, chyba że uczeń wyraził sprzeciw, ale szkoła musi opublikować politykę informacji katalogowych.

Reguły ujawniania kształtują projekt transferu

Domyślną zasadą FERPA jest brak ujawniania bez zgody. Wyjątki z 34 CFR § 99.31 obejmują: pracowników szkoły, szkoły przyjmujące transferowanego ucznia, badania prowadzone dla agencji edukacyjnych, audyty, pomoc finansową, akredytację, nakazy sądowe i sytuacje zagrożenia zdrowia i bezpieczeństwa. Każdy wyjątek ma swoje warunki. Na przykład wyjątek dla pracowników szkoły wymaga, aby instytucja zdefiniowała, co oznacza „uzasadniony interes edukacyjny" w corocznym powiadomieniu. Gdy rejestrator wysyła 300 MB rejestrów ocen do akredytatora, metoda transferu ma mniejsze znaczenie niż udokumentowany wyjątek, ale metoda nadal musi chronić plik. Hasłem zabezpieczone pliki ZIP wysyłane jako załączniki e-mail zawodzą, ponieważ e-mail domyślnie nie jest bezpiecznym kanałem.

Mechanika zgody i podpisy cyfrowe

Pisemna zgoda zgodna z § 99.30 musi określać: ujawniane rekordy, cel i odbiorcę, być podpisana i datowana przez rodzica lub pełnoletniego ucznia. Podpisy cyfrowe przez DocuSign lub Adobe Sign spełniają wymóg „podpisanej", gdy platforma rejestruje weryfikację tożsamości. Podpisana zgoda powinna być przechowywana w aktach ucznia przez co najmniej tak długo jak rejestr, który obejmuje. Gdy plik jest transferowany, należy umieścić odwołanie do rekordu zgody w metadanych transferu, aby audytorzy mogli je powiązać. Niektóre instytucje osadzają token zgody w polu metadanych linku transferu właśnie w tym celu.

Techniczne zabezpieczenia dla plików uczniów

Szkoły powinny wymagać: szyfrowania w tranzycie z TLS 1.3, szyfrowania w spoczynku z AES-256 na serwerze transferu oraz idealnie szyfrowania end-to-end, gdzie tylko odbiorca może odszyfrować. Uwierzytelnianie wieloczynnikowe dla konta nadawcy jest standardową praktyką, szczególnie dla pracowników obsługujących masowe eksporty z Banner, PeopleSoft lub Workday Student. Dostęp powinien być specyficzny dla odbiorcy — żadnych współdzielonych linków — aby gdy rodzic zapyta „kto widział dokumentację mojego dziecka między 3 września a 15 listopada", rejestrator mógł sporządzić listę. Narzędzia takie jak Microsoft OneDrive for Education i Google Workspace for Education z właściwie skonfigurowanymi kontrolami udostępniania spełniają te wymagania; konsumencki WeTransfer i podobne domyślnie nie spełniają.

Pułapka informacji katalogowych

Szkoły czasem traktują informacje katalogowe jako wolne do udostępniania, a następnie przypadkowo łączą je z polami niekatalogowymi. Plik „listy klas" przeznaczony dla organizacji studenckiej, zawierający GPAs, plany zajęć lub notatki dyscyplinarne, przekroczył granicę. Rozwiązaniem jest czysta separacja podczas eksportu. Systemy Informacji o Studentach powinny oferować szablon eksportu wyłącznie katalogowego, który wyklucza wszystko poza opublikowanymi kategoriami katalogowymi. Gdy pracownicy tworzą niestandardowe arkusze kalkulacyjne, polityki powinny wymagać przeglądu przez drugą osobę przed opuszczeniem pliku przez instytucję. Sprzeciwy mają też znaczenie: FERPA przyznaje uczniom prawo do zablokowania ujawnienia katalogowego, a te flagi muszą być propagowane do każdego eksportu.

Umowy z zewnętrznymi dostawcami

Dostawcy technologii edukacyjnych obsługujący dane uczniów — czy to dostawca transferu plików czy wtyczka do LMS — są często uznawani za „pracowników szkoły" na mocy wyjątku § 99.31(a)(1), gdy wykonują usługi, które szkoła normalnie wykonuje sama, pozostają pod bezpośrednią kontrolą szkoły i używają danych wyłącznie do autoryzowanych celów. Ten status wymaga pisemnej umowy. Centrum Pomocy Technicznej ds. Prywatności Departamentu Edukacji USA publikuje wzory warunków. Umowa powinna obejmować: ograniczenia używania danych, ograniczenia wobec podwykonawców, terminy powiadamiania o naruszeniach, usunięcie po zakończeniu umowy i prawa do audytu. Kalifornijska ustawa SOPIPA i podobne przepisy stanowe dodają wymagania jak zakaz reklamy kierowanej do uczniów.

Reagowanie na naruszenia gdy transfer pójdzie nie tak

FERPA nie nakłada federalnego terminu powiadamiania o naruszeniach, ale większość stanów USA robi to na mocy przepisów jak Illinois SOPPA lub New York Education Law § 2-d. Gdy błędnie zaadresowany transfer pliku dotrze do niewłaściwego odbiorcy, plan reagowania zaczyna się od: cofnięcia linku jeśli narzędzie obsługuje odwołanie, skontaktowania się z niezamierzonym odbiorcą z prośbą o usunięcie wraz z potwierdzeniem, udokumentowania tego, co zostało ujawnione, oceny czy dane umożliwiające identyfikację były dostępne, powiadamiania dotkniętych uczniów lub rodziców zgodnie z prawem stanowym i zarejestrowania incydentu w rocznym raporcie zgodności. Rodziny mogą składać skargi do Family Policy Compliance Office, które może przeprowadzać dochodzenia i rekomendować sankcje do utraty federalnego dofinansowania.

Szczególne przypadki: uczniowie poniżej 18 roku życia i mieszane rejestry

Prawa przechodzą z rodziców na pełnoletnich uczniów w wieku 18 lat lub przy zapisaniu do szkoły wyższej. Dla transferów K-12 rodzice są podmiotami uprawnionych praw. Dla uczniów szkół średnich uczęszczających jednocześnie na kursy akademickie, dla różnych rejestrów istnieje kilka podmiotów praw FERPA, a narzędzie transferu powinno obsługiwać wiele poświadczeń dostępu. Pliki zawierające rekordy kilku uczniów jednocześnie — jak eksport frekwencji klasy — wymagają zgody każdej rodziny lub kwalifikującego się wyjątku dla całego pliku. Podział pliku per uczeń zmniejsza nadmierne ujawnianie i upraszcza śledzenie zgody.

HexaTransfer szyfruje każdy plik end-to-end za pomocą AES-256-GCM, automatycznie usuwa po 7 dniach i udostępnia szkołom logi per-pobranie do celów audytowych. Wypróbuj na hexatransfer.com — bezpłatnie, bez rejestracji, do 10 GB.

FERPA nie jest wyjątkowe w wymaganiu szyfrowania i logowania, ale wyróżnia się skupieniem na relacji uczeń-rodzic. Narzędzie, które wybierasz, musi szanować tę relację, będąc w stanie odpowiedzieć na piśmie, kto miał dostęp do konkretnego rekordu o konkretnej godzinie. Zadbaj o wyjątek lub zgodę, wybierz narzędzie transferu odpowiadające wrażliwości danych i zachowaj logi.