Protectia datelor cu caracter personal in sectorul educational - set de instrumente necesare
1. Documentati perioada necesara pentru retinerea datelor cu caracter personal
Rezultate preconizate:
Unitatile scolare trebuie sa fie constiente ca in prezent nu exista un Ghid sau o politica de orientare pentru o pastrare a datelor cu caracter personal pe scara larga in sectorul educational. Este important sa intelegeti ca nu este usor a gandi procedura pastrarii datelor la cel mai detaliat nivel al elementelor de date individuale este contextul in care sunt aplicabile chestiunile relevante. Pastrarea datelor nu trebuie sa fie totul sau nimic cu cat datele devin mai vechi, exista pasi pe care scolile trebuie sa ii ia pentru pastrarea datelor unui elev in scopuri de analiza fara a fi nevoie pentru a mentiona detaliicum ar fi numele si adresa completa.
Elementele de date sunt extrem de detaliate, va va ajuta sa le grupati impreuna in grupuri de elemente de date. In mod similar,cu peste 1.000 de sisteme utilizate in sectorul educational, gruparea elementelor de date cu caracter personal pe teme generale va poate oferi concentrare.
Spre exemplu, elementele de date cu caracter personal pot fi grupate conform urmatoarelor arii:
A. O luna dupa evenimentulcare a creat datele cu caracter personal, in scopul de a asigura stergerea in bloc a acestora.
B. Un an dupa evenimentul in legatura cu care datele cu caracter personal sunt activate, in scopul de a asigura activitatea de buna predare a datelor legate de copil atuncicand este trecut la o scoala ulterioara.
C. Pentru 5 ani dupa ce un elev a parasit unitatea scolara, pentru a sustine pe termen lung analiza progresului, realizarea,sustinerea elevilor din diferite grupuri etc. Aceasta este zona in care estomparea datelorcu caracter personal, discutata in continuare poate dobandi o greutate mai mare.
D. Pe termen lung, pana cand copilul ajunge la varsta de 25 de ani sau mai in varsta, pentru cazurile in care informatiile despre activitatile elevului in scoala pot forma o parte importanta a protectiei sale.
Atunci cand redactati o politica cu privire la retentia datelorcu caracter personal, luati in considerare urmatoarele intrebari:
De ce sunt retinute aceste date?
Trebuie sa le transmit mai departe? Odata ce datele au fost transmise este necesarsa le pastrati? Inca mai trebuie sa le folosesc?
Care este responsabilitatea actuala a unitatiiscolare este corespunzatoare pastrarea pe termen lung a datelor de fapt pentru altcineva,cum ar fi o solicitare de la o institutie sau autoritate locala?
Odata cu trecerea timpului, unele dintre informatii se pot sterge spre exemplu conturile elevilor care ar putea fi impartasite cu administratorii sau depersonalizarea datelor (randuri individuale, dar cu nume si a altor identificatori eliminati) la fel de bine?
Pentru ca intotdeauna am facut nu este o justificare, dar poate fi un indiciu care sa conduca la o justificare. De ce este nevoie sa avem aceasta politica? este o intrebare buna.
O modalitate de a reduce sensibilitatea in timp
Atunci cand discutam despre pastrarea datelor de trafic in acest sector, o tema comuna se desprinde. La un moment dat, in ciclul de viata al elevului, sunt necesare detalii ale numelui si elemente de identificare ale elevului. Inainte de a fi confortabil stergand aceste date in mod complet, de obicei exista o perioada in care numele sau adresa completa ar putea sa nu fie necesare, dar nivelul individual de date inca este. De asemenea, poate la fel de bine exista o perioada in care rezumatele statistice sa fie necesare, pastrarea acestora pentru o lunga perioada de timp chiar sa fie o idee buna.
Cu cat datele cu caracter personal vor trece prin timp si vor deveni mai vechi (de exemplu, un anumit numar de ani dupa ce un copil a terminat scoala), unitatea scolara ar putea sa ia masuri pentru a elimina unele dintre riscurile existente in jurul datelor cu caracter personal eventual prin depersonalizarea lor.
Adica, prin indepartarea numelui si a identificatorilor personali, dar cu pastrarea nivelului individual de date, pe baza carora unitatea scolara sa poata intreprinde pe termen lung analiza tendintelor sau studiilor de impact asupra micilor grupuri de elevi, nivel individual de date pastrat in baza de date, dar care poarta un risc mai mic decat pastrarea tuturor identificatorilor personali de interes. Acest concept este greu de transmis astfel incat sa determine, spre exemplu, blurarea unei fotografii.
Aspectele precizate mai sus sunt subsumate unui principiu extrem de important, respectiv principiul minimizarii datelor cu caracter personal care inseamna ca operatorii de date si persoanele imputernicite de operator trebuie sa implementeze masuri tehnice si organizatorice adecvate, cum ar fi blurarea tehnica (pseudonimizarea), menita a implementa principiile cu privire la protectia datelor, precum principiul minimizarii datelor. Aceste tehnicisunt de natura a reduce riscul, dar nu submineaza necesitatea conformarii cu legislatia in materie.
In unele zone ce implica date cu caracter personal exista incoerenta in practicile locale in ceea ce priveste perioadele de retentie ale datelor cu caracter personal solicitate de unitatile scolare, in special zona de protectie a acestora. Urmaticea mai buna practica locala astfel incat aceasta sa fie justificata.
2. Siguranta si riscurile
Rezultate preconizate:
Un mod logic de a incepe identificarea problemelor si a riscurilor este registrul de date cu caracter personal. Acest lucru va identifica probabil probleme cu o gravitate crescuta.
Cele mai importante lucruri pe care ar trebui sa le aveti in vedere includ:
Personalul din unitatea scolara cunoaste care este procedura de raspuns si gestionare in cazul producerii unei incalcari a datelor cu caracter personal? A fost testata reactia la incidente a proceselor unitatii scolare (inclusiv planuri de raspuns si de recuperare a departamentului/serviciului IT)? Asigurati-va ca acordatisuficienta atentie pentru evidentierea modului in care efectuati evaluarile de impact in cuprinsul politicilorcu privire la protectia datelor.
Registrul datelorcu caracter personal nu elimina toate riscurile si problemele. Cu toate acestea, reviziile regulate,sfaturile expertilor externi/consilieri, implicarea Responsabiluluicu protectia datelorcu caracter personal si a echipei desemnate expres cu privire la protectia datelor cu caracter personal ar trebuisa va fie de ajutor in efectuarea evaluarilor de impact cu privire la protectia datelor cu caracter personal
O evaluare a impactului protectiei datelor (DPIA) este un instrument pentru a va ajuta sa identificati si sa reduceti la minimum riscurile ce decurg din prelucrarile de date cu caracter personal. Efectuarea unei DPIA constituie, in parte, o dovada a organizarii si responsabilitatii unitatii scolare si este parte integranta a abordarii protectiei datelor de la concepere si in mod implicit .
O DPIA eficienta va va ajuta sa identificati si sa rezolvati problemele intr-un stadiu incipient, demonstrand conformitatea cu GDPR a unitatii scolare si respectarea obligatiilor impuse de Regulament, ridicandu-va totodata la nivelul asteptarilor persoanelor vizate cu privire la confidentialitate si va ajuta sa evitati eventuala deteriorare a reputatiei. In unele cazuri, GDPR instituie o obligatie de a efectua o DPIA, dar aceste evaluari pot fi un instrument util in toate celelalte cazuri.
Articolul 35 din GDPR introduce conceptul de Evaluarea Impactului cu privire la protectia datelor cu caracter personal (Data Protection Impact Assessment DPIA). O DPIA este un proces destinat sa descrie prelucrarile de date, evaluarea caracterului necesar si proportionalitatea lor si de a ajuta la gestionarea riscurilor asupra drepturilor si libertatilor persoanelor fizice care rezulta din prelucrarea datelor cu caracter personal evaluandu-le si stabilind masurile de abordare.
Evaluarile de impact sunt instrumente importante pentru operatori deoarece acestea ii ajuta nu doar sa respecte cerintele GDPR, dar, de asemenea, pentru a demonstra ca masurile corespunzatoare au fost luate pentru a asigura conformitatea cuGDPR. Cu alte cuvinte, un DPIA este un proces pentru construirea si demonstrarea conformitatii.
O DPIA este necesara mai ales atunci cand prelucrarile pun in discutie un risc ridicat cu privire la drepturile si libertatile fundamentale ale persoanelor fizice (art. 35 alin. 1 Regulament). Exemple in acest sens pot fi:
Daca va decidetisa utilizati hardware detasabilcare contine date cu caracter personal trebuie sa limitati accesul la acesta. Trebuie sa scanati toate dispozitivele inainte de a implementa masuri de criptare, parole sigure si alte masuri de protectie.
Din nefericire, incalcarile de date cu caracter personal sunt generate adesea de actiuni malitioase si de hackeri care pot fi bazate atat pe actiuni interne,catsi externe.
Revizuirea in mod regulat a politicilor de securitate IT si a proceselor reprezinta o necesitate si simpli pasi precum:
Rezultate preconizate:
intelegerea rolului Responsabilului cu protectia datelorcu caracter personalsi sa fie clar faptulca orice unitate scolara este obligata sa desemneze/sa numeasca un Responsabilcu protectia datelor personale (Observatie: un singur responsabilcu protectia datelor poate fi numit pentrumaimulte unitatiscolare);
intelegeti diferitele optiuni pe care o unitate scolara le are in privinta numirii RPD, astfel incatsa fie luata in considerare cea mai buna metoda pentru ei.
Modalitate de indeplinire:
RPD are nevoie de:
cunostinte aprofundate cu privire la protectia datelor cu caracter personal, GDPR, procesele unitatiiscolare, tehnologie sisecuritate;
abilitati de a promova o cultura a protectiei datelorcu caracter personal in cadrul unitatii de invatamant. Rolul RPD implica consilierea conducerii si personalului din cadrul unitatiiscolare despre obligatiile impuse de GDPR, monitorizarea conformitatii, inclusiv gestionarea activitatilor interne de protectie a datelor, instruirea personalului si desfasurarea auditurilor interne.
RPD va trebui, de asemenea, sa ofere indrumare cu privire la momentul la care trebuie efectuate evaluarile de impactcu privire la protectia datelor si sa fie disponibil pentru solicitarile formulate de parintisi elevicu privire la datele lorcu caracter personal. In plus, RPD trebuie sa fie capabil sa raporteze direct conducerii unitatii scolare si sa reprezinte punctul de contact al ANSPDCP.
Variante de desemnare a RPD
Urmatorul pas este reprezentat de analiza argumentelor pro sicontra pentru diferite optiuni. Apreciem ca in cadrul unei unitati scolare exista patru variante:
I. Realinierea responsabilitatilor in cadrul echipei curente crearea rolului RPD in cadrul echipei unitatii scolare este suficient a elimina din atributiile personalului existent pe cele aferente tehnologieisi aspectelor de luare a deciziilor.
II. Colaborare impartasiti functia RPD intre grupurile create la nivelul unitatii scolare sau partajati expertiza acestuia cu o alta unitate scolara.
III. Contract in cazul desemnarii unui RPD extern.
IV. Cautati experti voluntari care pot exista in comunitatea educationala. Acest lucru este posibil, dar retineti ca responsabilitatile statutare ale unui voluntar vor avea acelasi nivel de asteptare ca ale unui RPDplatit.Ar fi un mod de angajament destul de mare pentru un voluntar intrucat acesta ar trebuisa fie capabil sa transmita in mod clar riscurile si viziunile sale catre conducere
Munca efectiva a unui RPD RPD trebuie sa se implice, in mod corespunzator si in timp util, in toate problemele unitatii scolare care privesc protectia datelor cu caracter personal. Este crucial ca RPD sau echipa sa sa fie implicati in cel mai incipientstadiu posibil al tuturor problemelor referitoare la protectia datelor cu caracter personal. In ceea ce priveste evaluarile de impact cu privire la protectia datelor cu caracter personal, GDPR prevede inmod explicit necesitatea implicarii timpurie a RPD. Unitatile scolare ar trebui sa solicite consilierea RPD la efectuarea evaluarilor de impact.
Asigurandu-va ca RPD este informat si consultat intr-un stadiu incipient, acest lucru va facilita respectarea GDPR, promovand o abordare a confidentialitatii de la concepere si, prin urmare, artrebuisa fie procedura standard in cadrul unitatii scolare. In plus, este importantca RPD sa fie vazutca un partener de discutie in cadrul unitatii scolare si sa faca parte din grupurile de lucru relevante care se ocupa de activitatile de prelucrare a datelorcu caracter personal.
4. Comunicati cu persoanele vizate
Rezultate preconizate:
cunoasterea tuturor drepturilor potentiale pe care persoanele vizate le au si circumstantele in care unele dintre acestea nu se aplica in toate cazurile,respectiv derogarile existente;
luati in considerare solutia optima de a demonstra conformitatea unitatii scolare cu Regulamentul. Puneti accentul pe schimbarile introduse de Regulament.
Conformitatea, singura, nu este suficienta;
Modalitate de indeplinire:
Primul lucru de care ar trebui sa fiti constienti este reprezentat de care sunt drepturile-cheie ale persoanelor vizate ?
Dar ce inseamna de fapt a fi informat ? Inseamna ca persoana vizata primeste comunicariclare despre:
Odata ce persoana vizata observa datele sale, aceasta ar putea sa solicite rectificarea unora dintre ele daca sunt incorecte, acest lucru fiind un aspect care ajuta unitatile scolare in prelucrarea doar a datelor cu caracter personal actualizate,corecte si exacte. Nu in ultimulrand, unitatea scolara artrebuisa analizeze situatiile in care o parte dintre drepturile prevazute de Regulament in favoarea persoanelor vizate nu sunt aplicabile in prezenta altor conditii.
Spre exemplu, dreptul de stergere. In timp ce copilul urmeaza programul de invatamant al unei unitati scolare, pot exista date cu caracter personalcare sa nu fie sterse,chiar daca acest lucru a fostsolicitat de persoana vizata. De exemplu, daca parintele a cerut sa stergeti toate datele cu caracter personal cu privire la evaluarea rezultatelor elevului, atunci acesta ar impiedica unitatea scolara de a indeplinisarcina in interes public.
Unitatile scolare se ingrijoreaza in privinta a ce se intampla daca primim o cerere de acceschiarinainte de a incepe vacanta de vara? Legislatia privind protectia datelor cu caracter personal trebuie analizata prin prisma legislatiei nationale specifice. Pentru a aborda in mod eficient o situatie de acest gen, sfaturile urmatoare va pot fi de ajutor: Evidentiati bunavointa unitatii scolare de a ajuta persoana vizata cu datele sale personale in cuprinsul informarii.
Explicati parintilor ca in tot timpul anuluiscolar pot formula o astfel de cerere, dar in timpul vacantei scolare raspunsul la o astfel de cerere ar fi dificil de acordat.
Daca primiti o cerere de acces:
Purtati o conversatie cu persoana vizata daca doreste sa clarifice scopul/obiectul cererii. Un parinte poate fi interesat doar cu privire la o mica parte a inregistrarilor ce contin date cu caracter personal si sa doreasca un raspuns rapid si focusat pe acel scop mai degraba decat a astepta un raspuns detaliat si complet.
Luati in considerare ca o cerere de acces este complexa.Aveti la dispozitie o luna pentru a raspunde la o astfel de solicitare,care poate fi prelungitcu maximum doua luni (termen in care puteti pregati datele cu caracter personal solicitate), in functie de complexitatea cererii. Cu privire la fiecare prelungire trebuie sa notificati persoana vizata.
GDPR extinde nevoia de a informa persoanele vizate despre prelucrarea datelorcu caracter personal nu doar elevilor, ci si parintilor. Acesta este un lucru bun, dar ar fi intelept sa va luati masuri de precautie. O comunicare transmisa catre elev care nu intelege in intregime continutul poate cauza mai mult rau decat bine (de exemplu, un elev este ingrijorat cu privire la colectarea datelor sale rezultate ale testelor de evaluare si se adreseaza autoritatii ierarhic superioare).
5. Operationalizati Protectia Datelor cu Caracter Personal si pastrati-le in viata
Rezultate preconizate:
Modalitate de indeplinire:
Datele cu caracter personal care sunt prelucrate precum si mecanismele prin care unitatea scolara se angajeaza sa efectueze prelucrarea vor evolua in timp. Aspectele cheie trebuie sa fie rezultatul unor documente supuse actualizarii continue pentru a va asigura ca tineti pasulcu diverse schimbari, documente care sunt reprezentate de:
Spre exemplu:
Confirmarea faptului ca un nou sistem a fostinregistrat pe harta datelorsi in registrul de date ar trebui sa fie un pas esential inainte de orice activitate de achizitii publice incheiata.
Ca buna practica, dezvoltarea unei culturi de verificare si trimitere a datelor pentru a se asigura care sunt datele partajate sicu cine sunt partajate. Verificati acordurile de partajare existente.
Asigurarea riscului asociatmanagementului lucrarilorintreprinse, evidentiat in registrele generale si in conversatiile cu conducerea unitatiiscolare.
Asigurarea instruirii regulate si corespunzatoare a personalului.
Asigurarea faptuluica utilizaticele mai bunemetode pentru a comunica cu persoanele vizate, spre exemplu atunci cand se inregistreaza primele informatii de contact.
Operationalizarea utilizarii in siguranta a datelor cu caracter personal in mod regulat necesita o puternica combinatie intre oameni de incredere, tehnologie sigura si prelucrari securizate. Ca atare, asigurarea ca unitatea scolara este in conformitate cuGDPRnecesita un numar mare de politici care sunt utilizate in unitatile scolare de astazi.
Expunem urmatoarele politici (lista nonexhaustiva),care impreuna vorjuca un rol important in asigurarea unei portiuni a practicilor de buna gestionare a datelorcu caracter personal:
Este o buna practica sa inregistratisisa investigati fiecare incalcare produsa, indiferent de gravitate. O analogie ar putea fi facuta cu jurnalul de bord al accidentelor . In cazul in care este raportatfiecare incident, totusi unele masuri de remediere ar putea fi adecvate. Daca un anumit sistem sau proces este identificat de catre Responsbailul cu protectia datelor in mod regulat ca avand incidente minore, unitatea scolara poate diminua riscul producerii unui eventual incident mai sever.
Acest lucru poate fie efectuat numai daca exista o cultura de raportare constanta si aceasta este incurajata. In situatia producerii unor brese de securitate severe asupra datelor cu caracter personal pentru care operatorul de date este responsabil, Responsabilul cu protectia datelor trebuie sa raporteze acest incidentANSPDCP.Obresa serioasa,severa este cea care interfereaza cu drepturile si libertatile persoanei vizate.Acest lucru poate fi efectuat in maximum 72 de ore de la constatarea incidentului.
Rezultate preconizate:
- creati o politica de retentie a datelor cu caracter personal care sa fie discutata si reiterata cu cei care inteleg cel mai bine necesitatea utilizarii datelor cu caracter personal;
- intelegeti ca pastrarea datelor cu caracter personal se bazeaza pe justificare in cazul in care o puteti justifica, atunci le puteti pastra.
Unitatile scolare trebuie sa fie constiente ca in prezent nu exista un Ghid sau o politica de orientare pentru o pastrare a datelor cu caracter personal pe scara larga in sectorul educational. Este important sa intelegeti ca nu este usor a gandi procedura pastrarii datelor la cel mai detaliat nivel al elementelor de date individuale este contextul in care sunt aplicabile chestiunile relevante. Pastrarea datelor nu trebuie sa fie totul sau nimic cu cat datele devin mai vechi, exista pasi pe care scolile trebuie sa ii ia pentru pastrarea datelor unui elev in scopuri de analiza fara a fi nevoie pentru a mentiona detaliicum ar fi numele si adresa completa.
Elementele de date sunt extrem de detaliate, va va ajuta sa le grupati impreuna in grupuri de elemente de date. In mod similar,cu peste 1.000 de sisteme utilizate in sectorul educational, gruparea elementelor de date cu caracter personal pe teme generale va poate oferi concentrare.
Spre exemplu, elementele de date cu caracter personal pot fi grupate conform urmatoarelor arii:
- admitere;
- realizari;
- frecventa;
- comportament;
- excluderi;
- identificatori personali,contacte sicaracteristici ale elevului;
- identificatori management/autentificare;
- catering si mese gratuite;
- excursii si alte activitati;
- informatii medicale si administrative;
- nevoi educationale speciale si protectie.
A. O luna dupa evenimentulcare a creat datele cu caracter personal, in scopul de a asigura stergerea in bloc a acestora.
B. Un an dupa evenimentul in legatura cu care datele cu caracter personal sunt activate, in scopul de a asigura activitatea de buna predare a datelor legate de copil atuncicand este trecut la o scoala ulterioara.
C. Pentru 5 ani dupa ce un elev a parasit unitatea scolara, pentru a sustine pe termen lung analiza progresului, realizarea,sustinerea elevilor din diferite grupuri etc. Aceasta este zona in care estomparea datelorcu caracter personal, discutata in continuare poate dobandi o greutate mai mare.
D. Pe termen lung, pana cand copilul ajunge la varsta de 25 de ani sau mai in varsta, pentru cazurile in care informatiile despre activitatile elevului in scoala pot forma o parte importanta a protectiei sale.
Atunci cand redactati o politica cu privire la retentia datelorcu caracter personal, luati in considerare urmatoarele intrebari:
De ce sunt retinute aceste date?
Trebuie sa le transmit mai departe? Odata ce datele au fost transmise este necesarsa le pastrati? Inca mai trebuie sa le folosesc?
Care este responsabilitatea actuala a unitatiiscolare este corespunzatoare pastrarea pe termen lung a datelor de fapt pentru altcineva,cum ar fi o solicitare de la o institutie sau autoritate locala?
Odata cu trecerea timpului, unele dintre informatii se pot sterge spre exemplu conturile elevilor care ar putea fi impartasite cu administratorii sau depersonalizarea datelor (randuri individuale, dar cu nume si a altor identificatori eliminati) la fel de bine?
Pentru ca intotdeauna am facut nu este o justificare, dar poate fi un indiciu care sa conduca la o justificare. De ce este nevoie sa avem aceasta politica? este o intrebare buna.
O modalitate de a reduce sensibilitatea in timp
Atunci cand discutam despre pastrarea datelor de trafic in acest sector, o tema comuna se desprinde. La un moment dat, in ciclul de viata al elevului, sunt necesare detalii ale numelui si elemente de identificare ale elevului. Inainte de a fi confortabil stergand aceste date in mod complet, de obicei exista o perioada in care numele sau adresa completa ar putea sa nu fie necesare, dar nivelul individual de date inca este. De asemenea, poate la fel de bine exista o perioada in care rezumatele statistice sa fie necesare, pastrarea acestora pentru o lunga perioada de timp chiar sa fie o idee buna.
Cu cat datele cu caracter personal vor trece prin timp si vor deveni mai vechi (de exemplu, un anumit numar de ani dupa ce un copil a terminat scoala), unitatea scolara ar putea sa ia masuri pentru a elimina unele dintre riscurile existente in jurul datelor cu caracter personal eventual prin depersonalizarea lor.
Adica, prin indepartarea numelui si a identificatorilor personali, dar cu pastrarea nivelului individual de date, pe baza carora unitatea scolara sa poata intreprinde pe termen lung analiza tendintelor sau studiilor de impact asupra micilor grupuri de elevi, nivel individual de date pastrat in baza de date, dar care poarta un risc mai mic decat pastrarea tuturor identificatorilor personali de interes. Acest concept este greu de transmis astfel incat sa determine, spre exemplu, blurarea unei fotografii.
Nume elev si alti identificatori personali, datele cu caracter personal fiind in mod instant disponibile | In mod normal, daca un elev a parasit unitatea scolara, trebuie sa analizam daca mai sunt necesare numele sau data nasterii. In caz afirmativ, datele ar trebui blurate | Peste mai mult timp, putem retine datele iesite din uz, respectiv, rezumate ale statiscilor intr-o forma neclara? Spre exemplu, un tip de date care ar putea fi partajate cu toti administratorii. |
Aspectele precizate mai sus sunt subsumate unui principiu extrem de important, respectiv principiul minimizarii datelor cu caracter personal care inseamna ca operatorii de date si persoanele imputernicite de operator trebuie sa implementeze masuri tehnice si organizatorice adecvate, cum ar fi blurarea tehnica (pseudonimizarea), menita a implementa principiile cu privire la protectia datelor, precum principiul minimizarii datelor. Aceste tehnicisunt de natura a reduce riscul, dar nu submineaza necesitatea conformarii cu legislatia in materie.
RECOMANDARI! Nu este recomandat sa luati in consi - derare doar retentia/stergerea elementelor datelor cu caracter personal sau articolelor de date grupate pe niveluri. O politica de retentie trebuie sa aiba in vedere durata de pastrare a datelor cu caracter personal in diferite zone de administrare a activitatii scolare. Cat timp avem nevoie a pastra numele elevului in sistemul nostru de catering? si Cat timp avem nevoie a pastra numele unui elev in sistemul nostru de protectie? sunt intrebari relevante care pot genera raspunsuri diferite. |
In unele zone ce implica date cu caracter personal exista incoerenta in practicile locale in ceea ce priveste perioadele de retentie ale datelor cu caracter personal solicitate de unitatile scolare, in special zona de protectie a acestora. Urmaticea mai buna practica locala astfel incat aceasta sa fie justificata.
2. Siguranta si riscurile
Rezultate preconizate:
- identificarea riscurilor care apar de la finalizarea initiala a registrului datelor cu caracter personal; evaluati modalitatile prin care sa eliminati sau reduce zonele de risc mediu/inalt si stabiliti planurile de actiune pentru a face acest lucru;
- efectuati evaluari cu privire la protectia datelor cu caracter personal ca parte din procesul de identificare a riscurilor si imbunatatirea procedurilor.
Un mod logic de a incepe identificarea problemelor si a riscurilor este registrul de date cu caracter personal. Acest lucru va identifica probabil probleme cu o gravitate crescuta.
Cele mai importante lucruri pe care ar trebui sa le aveti in vedere includ:
- Orice activitate curenta , care nu se incadreaza intr-o baza legala si conditiilor pentru prelucrare.
- Aveti incertitudine in legatura cu partajarea datelor cu caracter personal? Ca o modalitate de a testa acest lucru, ati putea sa comunicati elevilor care sunt datele lor cu caracter personal partajate in comun, cu cine si cand anume? In cazul in care sistemele migreaza datele cu caracter personal, acestea ar trebuisa fie in masura sa raporteze acest lucru. Credeti ca va fi mai putin probabilsa instituiti masuri de protectie in privinta activitatilor de prelucrare? Daca este cazul, ar fi util sa reevaluati modalitatea in care aplicati legea in acest context.
- Aveti incheiat un acord de partajare (schimb)cu privire la datele transmise altor entitati?
Personalul din unitatea scolara cunoaste care este procedura de raspuns si gestionare in cazul producerii unei incalcari a datelor cu caracter personal? A fost testata reactia la incidente a proceselor unitatii scolare (inclusiv planuri de raspuns si de recuperare a departamentului/serviciului IT)? Asigurati-va ca acordatisuficienta atentie pentru evidentierea modului in care efectuati evaluarile de impact in cuprinsul politicilorcu privire la protectia datelor.
Registrul datelorcu caracter personal nu elimina toate riscurile si problemele. Cu toate acestea, reviziile regulate,sfaturile expertilor externi/consilieri, implicarea Responsabiluluicu protectia datelorcu caracter personal si a echipei desemnate expres cu privire la protectia datelor cu caracter personal ar trebuisa va fie de ajutor in efectuarea evaluarilor de impact cu privire la protectia datelor cu caracter personal
O evaluare a impactului protectiei datelor (DPIA) este un instrument pentru a va ajuta sa identificati si sa reduceti la minimum riscurile ce decurg din prelucrarile de date cu caracter personal. Efectuarea unei DPIA constituie, in parte, o dovada a organizarii si responsabilitatii unitatii scolare si este parte integranta a abordarii protectiei datelor de la concepere si in mod implicit .
O DPIA eficienta va va ajuta sa identificati si sa rezolvati problemele intr-un stadiu incipient, demonstrand conformitatea cu GDPR a unitatii scolare si respectarea obligatiilor impuse de Regulament, ridicandu-va totodata la nivelul asteptarilor persoanelor vizate cu privire la confidentialitate si va ajuta sa evitati eventuala deteriorare a reputatiei. In unele cazuri, GDPR instituie o obligatie de a efectua o DPIA, dar aceste evaluari pot fi un instrument util in toate celelalte cazuri.
RECOMANDARI! Minimizarea reprezinta aspectul esential la care trebui sa va ganditi: ganditi-va la cantitatea minima de date cu caracter personal de care aveti nevoie pentru indeplinirea unei anumite activitati. Spre exemplu, daca un consultant extern analizeaza progresul elevilor din unitatile scolare primare, daca luna nasterii este suficienta pentru realizarea activitatii, atunci nu exista nicio justificare sa i se puna la dispozitie si data nasterii; ganditi-va, de asemenea, la numarul minim de personal care trebuie sa aiba acces la datele cu caracter personal. Salariatii ar trebui sa aiba acces doar la acele date cu caracter personal care sa ii ajute sa isi indeplineasca sarcinile. Daca numarul de persoane care au acces la datele persoanel este nedefinit acest lucru ar trebui explicat persoanelor vizate. |
Articolul 35 din GDPR introduce conceptul de Evaluarea Impactului cu privire la protectia datelor cu caracter personal (Data Protection Impact Assessment DPIA). O DPIA este un proces destinat sa descrie prelucrarile de date, evaluarea caracterului necesar si proportionalitatea lor si de a ajuta la gestionarea riscurilor asupra drepturilor si libertatilor persoanelor fizice care rezulta din prelucrarea datelor cu caracter personal evaluandu-le si stabilind masurile de abordare.
Evaluarile de impact sunt instrumente importante pentru operatori deoarece acestea ii ajuta nu doar sa respecte cerintele GDPR, dar, de asemenea, pentru a demonstra ca masurile corespunzatoare au fost luate pentru a asigura conformitatea cuGDPR. Cu alte cuvinte, un DPIA este un proces pentru construirea si demonstrarea conformitatii.
O DPIA este necesara mai ales atunci cand prelucrarile pun in discutie un risc ridicat cu privire la drepturile si libertatile fundamentale ale persoanelor fizice (art. 35 alin. 1 Regulament). Exemple in acest sens pot fi:
- Datele cu caracter personal privesc persoane vizate vulnerabile, fiind inclusi in aceasta categorie si copiii.
- Utilizarea sau aplicarea de solutii tehnice inovatoare sau solutii organizationale, spre exemplu, combinarea utilizarii recunoasterii amprentei sau recunoasterea faciala pentru un control al accesului imbunatatit, aplicatii ale Internet of things care ar putea avea un impact asupra persoanelor vizate.
- CCTV.
Daca va decidetisa utilizati hardware detasabilcare contine date cu caracter personal trebuie sa limitati accesul la acesta. Trebuie sa scanati toate dispozitivele inainte de a implementa masuri de criptare, parole sigure si alte masuri de protectie.
Din nefericire, incalcarile de date cu caracter personal sunt generate adesea de actiuni malitioase si de hackeri care pot fi bazate atat pe actiuni interne,catsi externe.
Revizuirea in mod regulat a politicilor de securitate IT si a proceselor reprezinta o necesitate si simpli pasi precum:
- actualizarea software-ului;
- setarea unor parole sigure; utlizarea software anti-virus, utilizarea criptarii, protejarea dispozitivelor externe, blocarea computerelor, pot face toate o diferenta reala in prevenirea incalcarilor datelorcu caracter personal. Instruirea personalului in privinta colectarii datelor cu caracter personal prin tehnicile utilizate de atacatori poate constitui de asemenea un beneficiu.
Rezultate preconizate:
intelegerea rolului Responsabilului cu protectia datelorcu caracter personalsi sa fie clar faptulca orice unitate scolara este obligata sa desemneze/sa numeasca un Responsabilcu protectia datelor personale (Observatie: un singur responsabilcu protectia datelor poate fi numit pentrumaimulte unitatiscolare);
intelegeti diferitele optiuni pe care o unitate scolara le are in privinta numirii RPD, astfel incatsa fie luata in considerare cea mai buna metoda pentru ei.
Modalitate de indeplinire:
- Primul pasconsta in intelegerea responsabilitatilor RPDsi distinctia dintre rolul RPDsi datele cu caracter personal din sistemul unitatiiscolare.
- Responsabilitatile RPD
RPD are nevoie de:
cunostinte aprofundate cu privire la protectia datelor cu caracter personal, GDPR, procesele unitatiiscolare, tehnologie sisecuritate;
abilitati de a promova o cultura a protectiei datelorcu caracter personal in cadrul unitatii de invatamant. Rolul RPD implica consilierea conducerii si personalului din cadrul unitatiiscolare despre obligatiile impuse de GDPR, monitorizarea conformitatii, inclusiv gestionarea activitatilor interne de protectie a datelor, instruirea personalului si desfasurarea auditurilor interne.
RPD va trebui, de asemenea, sa ofere indrumare cu privire la momentul la care trebuie efectuate evaluarile de impactcu privire la protectia datelor si sa fie disponibil pentru solicitarile formulate de parintisi elevicu privire la datele lorcu caracter personal. In plus, RPD trebuie sa fie capabil sa raporteze direct conducerii unitatii scolare si sa reprezinte punctul de contact al ANSPDCP.
Variante de desemnare a RPD
Urmatorul pas este reprezentat de analiza argumentelor pro sicontra pentru diferite optiuni. Apreciem ca in cadrul unei unitati scolare exista patru variante:
I. Realinierea responsabilitatilor in cadrul echipei curente crearea rolului RPD in cadrul echipei unitatii scolare este suficient a elimina din atributiile personalului existent pe cele aferente tehnologieisi aspectelor de luare a deciziilor.
II. Colaborare impartasiti functia RPD intre grupurile create la nivelul unitatii scolare sau partajati expertiza acestuia cu o alta unitate scolara.
III. Contract in cazul desemnarii unui RPD extern.
IV. Cautati experti voluntari care pot exista in comunitatea educationala. Acest lucru este posibil, dar retineti ca responsabilitatile statutare ale unui voluntar vor avea acelasi nivel de asteptare ca ale unui RPDplatit.Ar fi un mod de angajament destul de mare pentru un voluntar intrucat acesta ar trebuisa fie capabil sa transmita in mod clar riscurile si viziunile sale catre conducere
Munca efectiva a unui RPD RPD trebuie sa se implice, in mod corespunzator si in timp util, in toate problemele unitatii scolare care privesc protectia datelor cu caracter personal. Este crucial ca RPD sau echipa sa sa fie implicati in cel mai incipientstadiu posibil al tuturor problemelor referitoare la protectia datelor cu caracter personal. In ceea ce priveste evaluarile de impact cu privire la protectia datelor cu caracter personal, GDPR prevede inmod explicit necesitatea implicarii timpurie a RPD. Unitatile scolare ar trebui sa solicite consilierea RPD la efectuarea evaluarilor de impact.
Asigurandu-va ca RPD este informat si consultat intr-un stadiu incipient, acest lucru va facilita respectarea GDPR, promovand o abordare a confidentialitatii de la concepere si, prin urmare, artrebuisa fie procedura standard in cadrul unitatii scolare. In plus, este importantca RPD sa fie vazutca un partener de discutie in cadrul unitatii scolare si sa faca parte din grupurile de lucru relevante care se ocupa de activitatile de prelucrare a datelorcu caracter personal.
RECOMANDARI! Optiunile de mai sus sunt toate corecte. Analizati ceea ce este mai potrivit in pri - vinta unitatii scolare. Inca nu se intrevede o abordare comuna cu privire la acest subiect, insa ar trebui luata in considerare inclusiv varianta numirii aceluiasi DPO pentru mai multe unitati scolare. |
4. Comunicati cu persoanele vizate
Rezultate preconizate:
cunoasterea tuturor drepturilor potentiale pe care persoanele vizate le au si circumstantele in care unele dintre acestea nu se aplica in toate cazurile,respectiv derogarile existente;
luati in considerare solutia optima de a demonstra conformitatea unitatii scolare cu Regulamentul. Puneti accentul pe schimbarile introduse de Regulament.
Conformitatea, singura, nu este suficienta;
- fiti constienti de necesitatea informarii parintilor/elevilorcu privire la protectia datelorcu caracter personal;
- fiind transparentisi deschisicu persoanele vizate inseamna a castiga beneficii mai mari decat atunci cand alegeti sa castigati incredere construindu-va o conformitate izolata;
- cererile persoanelor vizate: modificaricheie sisfaturi pentru unitatile scolare.
Modalitate de indeplinire:
- Trebuie sa aveti reprezentarea clara despre cine sunt persoanele vizate ale unitatii scolare.
- Desigur, elevii sunt persoane vizate, dar in aceeasi masura si personalul, parintii/ingrijitoriisau fostii elevi.
Primul lucru de care ar trebui sa fiti constienti este reprezentat de care sunt drepturile-cheie ale persoanelor vizate ?
- dreptul de a fi informat
- dreptul de acces
- dreptul la rectificare
- dreptul la stergere
- dreptul la restrictionarea prelucrarii
- dreptul la portabilitate
- dreptul de opozitie
- drepturi referitoare la decizii automate si profilare
Dar ce inseamna de fapt a fi informat ? Inseamna ca persoana vizata primeste comunicariclare despre:
- Informatiile colectate/prelucrate despre ei (in detaliu)?
- De ce suntcolectate datele (scop)?
- Care este temeiul legal pentru colectarea si pastrarea datelorcu caracter personal (acolo unde este cazul)?
- Cu cine sunt partajate datele cu caracter personal?
- Cum sunt stocate datele cu caracter personal si pentru cat timp si cum anume este asigurata securitatea?
- Cum pot sa isi exercite dreptul de acces la datele lor?
- Cum pot sa isi exercite alte drepturi, precum dreptul la restrictionarea anumitor tipuri de prelucrari (spre exemplu, datele biometrice)sau sa rectifice datele?
- Pe cine trebuie sa contacteze pentru lamuriri?
Odata ce persoana vizata observa datele sale, aceasta ar putea sa solicite rectificarea unora dintre ele daca sunt incorecte, acest lucru fiind un aspect care ajuta unitatile scolare in prelucrarea doar a datelor cu caracter personal actualizate,corecte si exacte. Nu in ultimulrand, unitatea scolara artrebuisa analizeze situatiile in care o parte dintre drepturile prevazute de Regulament in favoarea persoanelor vizate nu sunt aplicabile in prezenta altor conditii.
Spre exemplu, dreptul de stergere. In timp ce copilul urmeaza programul de invatamant al unei unitati scolare, pot exista date cu caracter personalcare sa nu fie sterse,chiar daca acest lucru a fostsolicitat de persoana vizata. De exemplu, daca parintele a cerut sa stergeti toate datele cu caracter personal cu privire la evaluarea rezultatelor elevului, atunci acesta ar impiedica unitatea scolara de a indeplinisarcina in interes public.
RECOMANDARI! Cererile de acces ale persoanelor vizate nu sunt aspecte noi. Termenul de raspuns este diminuat (o luna de la primirea solicitarii, cu exceptiile prevazute de Regulament. |
Unitatile scolare se ingrijoreaza in privinta a ce se intampla daca primim o cerere de acceschiarinainte de a incepe vacanta de vara? Legislatia privind protectia datelor cu caracter personal trebuie analizata prin prisma legislatiei nationale specifice. Pentru a aborda in mod eficient o situatie de acest gen, sfaturile urmatoare va pot fi de ajutor: Evidentiati bunavointa unitatii scolare de a ajuta persoana vizata cu datele sale personale in cuprinsul informarii.
Explicati parintilor ca in tot timpul anuluiscolar pot formula o astfel de cerere, dar in timpul vacantei scolare raspunsul la o astfel de cerere ar fi dificil de acordat.
Daca primiti o cerere de acces:
Purtati o conversatie cu persoana vizata daca doreste sa clarifice scopul/obiectul cererii. Un parinte poate fi interesat doar cu privire la o mica parte a inregistrarilor ce contin date cu caracter personal si sa doreasca un raspuns rapid si focusat pe acel scop mai degraba decat a astepta un raspuns detaliat si complet.
Luati in considerare ca o cerere de acces este complexa.Aveti la dispozitie o luna pentru a raspunde la o astfel de solicitare,care poate fi prelungitcu maximum doua luni (termen in care puteti pregati datele cu caracter personal solicitate), in functie de complexitatea cererii. Cu privire la fiecare prelungire trebuie sa notificati persoana vizata.
GDPR extinde nevoia de a informa persoanele vizate despre prelucrarea datelorcu caracter personal nu doar elevilor, ci si parintilor. Acesta este un lucru bun, dar ar fi intelept sa va luati masuri de precautie. O comunicare transmisa catre elev care nu intelege in intregime continutul poate cauza mai mult rau decat bine (de exemplu, un elev este ingrijorat cu privire la colectarea datelor sale rezultate ale testelor de evaluare si se adreseaza autoritatii ierarhic superioare).
5. Operationalizati Protectia Datelor cu Caracter Personal si pastrati-le in viata
Rezultate preconizate:
- identificati o gama de politici necesar a fi intocmite intr-o unitate scolara,care sa acopere procedurile si procesele/operatiunile pentru protectia datelorcu caracter personal;
- intelegeti ce inseamna o incalcare a datelorcu caracter personal si ce trebuie sa faceti intr-o asemenea situatie;
- asigurati-va ca protectia datelorsiriscul de gestionare a datelor reprezinta nucleulsi o parte regulata a deciziilor luate pe baza practicilorin cadrul unitatii scolare.
Modalitate de indeplinire:
Datele cu caracter personal care sunt prelucrate precum si mecanismele prin care unitatea scolara se angajeaza sa efectueze prelucrarea vor evolua in timp. Aspectele cheie trebuie sa fie rezultatul unor documente supuse actualizarii continue pentru a va asigura ca tineti pasulcu diverse schimbari, documente care sunt reprezentate de:
- Harta datelor cu caracter personal/ schita sistemului de date
- Registrul datelor cu caracter personal active
- Evaluarile de impact cu privire la protectia datelor cu caracter personalsi planul de management al riscurilor. Responsabilulcu protectia datelor va avea cele mai bune viziuni despre cum artrebuisa se realizeze acest lucru.
Spre exemplu:
Confirmarea faptului ca un nou sistem a fostinregistrat pe harta datelorsi in registrul de date ar trebui sa fie un pas esential inainte de orice activitate de achizitii publice incheiata.
Ca buna practica, dezvoltarea unei culturi de verificare si trimitere a datelor pentru a se asigura care sunt datele partajate sicu cine sunt partajate. Verificati acordurile de partajare existente.
Asigurarea riscului asociatmanagementului lucrarilorintreprinse, evidentiat in registrele generale si in conversatiile cu conducerea unitatiiscolare.
Asigurarea instruirii regulate si corespunzatoare a personalului.
Asigurarea faptuluica utilizaticele mai bunemetode pentru a comunica cu persoanele vizate, spre exemplu atunci cand se inregistreaza primele informatii de contact.
Operationalizarea utilizarii in siguranta a datelor cu caracter personal in mod regulat necesita o puternica combinatie intre oameni de incredere, tehnologie sigura si prelucrari securizate. Ca atare, asigurarea ca unitatea scolara este in conformitate cuGDPRnecesita un numar mare de politici care sunt utilizate in unitatile scolare de astazi.
Expunem urmatoarele politici (lista nonexhaustiva),care impreuna vorjuca un rol important in asigurarea unei portiuni a practicilor de buna gestionare a datelorcu caracter personal:
- Informare adresata elevilor/parintilor
- Informare adresata angajatilor
- Politica cu privire la protectia datelorcu caracter personal
- Politica cu privire la retinerea/pastrarea datelor/tabel
- Politica cu privire la comunicatii, incluzand:
- Atributiisi responsabilitati
- Politica de e-securitate
- Politica de securitate IT
- Responsabilulcu acordurile
- Politica privind retele de socializare
- Cerinte cu privire la website si monitorizare
- Cod de conduita
- Politica cu privire la protectia drepturilor si intereselor copilului (solicitari emise catre autoritatile inmaterie in sensul emiterii unor masuri de protectie)
- Politica de continuitate a activitatii
- Acord de acceptare a Politicilor: Angajati
- Acord de acceptare a Politicilor: Elevi/Parinti
- Politica de acceptare: Conducere
- Politica cu privire la incalcarea datelor cu caracter personal.
RECOMANDARI! O incalcare a datelor cu caracter personal inseamna o incalcare a securitatii care sa conduca in mod accidental sau ilegal la distrugerea, pierderea, modificarea, divulgarea sau accesul neautorizat la datele cu caracter personal. Unele organizatii se pot referi la acest lucru ca fiind o incalcare a confidentialitatii, integritatii sau disponibilitatii datelor cu caracter personal. Aceasta include incalcari care sunt rezultatul unor cauze accidentale sau deliberate. De asemenea, inseamna ca o incalcare poate implica aspecte mai complexe decat simpla pierdere a datelor cu caracter personal. Pasii initiali ar trebui sa reduca si sa evalueze impactul si o serie de etape diferite ar trebui intreprinse in functie de gravitate. |
Este o buna practica sa inregistratisisa investigati fiecare incalcare produsa, indiferent de gravitate. O analogie ar putea fi facuta cu jurnalul de bord al accidentelor . In cazul in care este raportatfiecare incident, totusi unele masuri de remediere ar putea fi adecvate. Daca un anumit sistem sau proces este identificat de catre Responsbailul cu protectia datelor in mod regulat ca avand incidente minore, unitatea scolara poate diminua riscul producerii unui eventual incident mai sever.
Acest lucru poate fie efectuat numai daca exista o cultura de raportare constanta si aceasta este incurajata. In situatia producerii unor brese de securitate severe asupra datelor cu caracter personal pentru care operatorul de date este responsabil, Responsabilul cu protectia datelor trebuie sa raporteze acest incidentANSPDCP.Obresa serioasa,severa este cea care interfereaza cu drepturile si libertatile persoanei vizate.Acest lucru poate fi efectuat in maximum 72 de ore de la constatarea incidentului.
Newsletter PortalProtectiaDatelor.ro
Ramai la curent cu toate solutiile propuse de specialisti.
Aboneaza-te ACUM la Newsletterul PortalProtectiaDatelor.ro si primesti cadou Raportul special "Munca la domiciliu - Aspecte practice privind GDPR"!
Articole similare din categoria Analize si solutii GDPR
30Iul2024
Evidenta fondului de rulment, din perspectiva GDPR
de Colectivul de Specialisti Rentrop&Straton
30 Iul 2024
30Mai2024
Consimtamantul salariatilor pentru utilizarea datelor cu caracter personal: cand este necesar?
de Colectivul de Specialisti Rentrop&Straton
30 Mai 2024
25Apr2024
Stergerea datelor fostilor angajati, si aplicabilitatea dreptului de a fi uitat
de Colectivul de Specialisti Rentrop&Straton
25 Apr 2024
28Feb2024
Monitorizarea angajatilor la locul de munca: Camerele de supraveghere ascunse sunt INTERZISE!
de Colectivul de Specialisti Rentrop&Straton
28 Feb 2024
28Feb2024
Siguranta datelor clientilor, din perspectiva GDPR
de Colectivul de Specialisti Rentrop&Straton
28 Feb 2024