Зміст
- Школа як контролер персональних даних
- Які види персональних даних обробляють школи
- Правові підстави для обробки в освіті
- Коли потрібна згода батьків
- Електронні журнали та освітні платформи
- Відеоспостереження в школі
- Фотографії та відеозаписи шкільних заходів
- Строки зберігання даних учнів
- DPIA під час запровадження нової платформи
- Порушення безпеки персональних даних (витік) – що робити школі
- Практичний чекліст для шкіл
- Поширені запитання
Коротка відповідь: Школи є контролерами персональних даних у розумінні GDPR і несуть повну відповідальність за захист даних учнів, батьків і працівників. Вони обробляють дані переважно на підставі юридичного обов'язку (ЗПУО – Закон про дошкільну та шкільну освіту) і суспільного інтересу, а не на підставі згоди. Проте для фотографій, маркетингу та діяльності, не передбаченої законом, потрібна згода батьків. Відеоспостереження в класних кімнатах заборонене КЗЛД (Комісією із захисту персональних даних).
Школи обробляють величезний обсяг персональних даних – і до того ж найвразливіших суб'єктів: дітей. Попри це багато освітніх закладів у Болгарії не знають своїх обов'язків за GDPR. Ця стаття – практичний посібник для директорів, учителів, ДЛЗД (посадових осіб із захисту даних) та адміністрацій шкіл і дитячих садків із конкретними прикладами та рішеннями з болгарської практики.
Школа як контролер персональних даних
У розумінні GDPR школа (юридична особа) є контролером персональних даних. Це означає, що саме школа – а не Міністерство освіти і не постачальник електронного журналу – визначає цілі та засоби обробки і несе основну відповідальність.
Як контролер, школа зобов'язана:
- Вести ROPA (реєстр діяльності з обробки)
- Надавати інформацію за ст. 13 GDPR учням, батькам і працівникам
- Укладати договори з обробниками (ст. 28 GDPR) – електронний журнал, хостинг, хмарні платформи
- Призначити ДЛЗД (посадову особу із захисту даних), якщо вона обробляє дані у великому масштабі або чутливі дані
- Застосовувати належні технічні та організаційні заходи захисту
Важливо: Багато шкіл у Болгарії використовують Shkolo.bg, Google Classroom або Microsoft Teams, не уклавши з постачальником договору про обробку даних (DPA). Це порушення ст. 28 GDPR, яке саме по собі може призвести до штрафу до 10 млн євро (близько 19,5 млн лв.) для приватних шкіл; для державних і муніципальних шкіл як публічних органів – штрафи за ст. 17 ЗЗЛД (до 5 000 / 20 000 лв.).
Які види персональних даних обробляють школи
Школи збирають значно більше, ніж імена та оцінки:
| Категорія | Приклади даних | Чи є чутливими |
|---|---|---|
| Ідентифікація | Повне ім'я (три імені), ЕГН (єдиний громадянський номер), дата народження, адреса, телефон батьків | Ні (звичайні) |
| Освітні записи | Оцінки, відвідуваність, дисциплінарні порушення, протоколи педагогічної ради | Ні (звичайні) |
| Дані про здоров'я | Алергії, хронічні захворювання, інвалідність, медичні довідки, статус вакцинації | Так (ст. 9) |
| Сімейні дані | Розлучення та опіка, соціальний статус, доходи (для соціальної допомоги) | Частково |
| Етнічні/релігійні | Етнічна належність (у програмах інтеграції), релігійна освіта | Так (ст. 9) |
| Візуальні дані | Фотографії та відеозаписи заходів, CCTV, фотографії в учнівському квитку | Ні (зазвичай) |
| Цифрові дані | Шкільна електронна пошта, журнали (логи) е-платформ, IP-адреси під час доступу | Ні (звичайні) |
| Дані про СОП | Особливі освітні потреби, психологічні оцінки, ресурсна підтримка | Так (ст. 9) |
Пункт 38 преамбули GDPR: «Діти заслуговують на особливий захист своїх персональних даних, оскільки вони можуть меншою мірою усвідомлювати відповідні ризики, наслідки та гарантії, а також свої права». Це означає, що школи повинні застосовувати вищі стандарти захисту.
Правові підстави для обробки в освіті
Усупереч поширеній думці, згода не є основною правовою підставою для обробки даних у школах. Для більшості видів діяльності застосовуються інші підстави:
| Діяльність | Правова підстава | Правова норма |
|---|---|---|
| Зарахування учнів, ведення журналів, протоколів | Юридичний обов'язок – ст. 6(1)(c) | ЗПУО, Положення № 10 від 01.09.2016 р. про організацію діяльності у шкільній освіті |
| Проведення іспитів та оцінювання | Суспільний інтерес – ст. 6(1)(e) | ЗПУО, Положення № 11 від 01.09.2016 р. про оцінювання результатів навчання учнів |
| Видача дипломів і свідоцтв | Юридичний обов'язок – ст. 6(1)(c) | ЗПУО |
| Медичний кабінет, обробка даних про здоров'я | Юридичний обов'язок – ст. 6(1)(c) + ст. 9(2)(h) | Закон про охорону здоров'я, Положення про медичні кабінети |
| Особливі освітні потреби (СОП) | Юридичний обов'язок – ст. 6(1)(c) + ст. 9(2)(g) | Положення про інклюзивну освіту |
| Відеоспостереження входів і подвір'я | Законний інтерес – ст. 6(1)(f) | Захист безпеки, задокументований за допомогою LIA |
| Фотографії для сайту школи | Згода – ст. 6(1)(a) | Не є обов'язковим за законом, реальний вибір можливий |
| Участь у конкурсах та олімпіадах | Згода – ст. 6(1)(a) або суспільний інтерес – ст. 6(1)(e) | Залежить від організатора та характеру діяльності |
Поширена помилка: Багато шкіл просять у батьків згоду на кожну обробку, зокрема на зарахування учня та ведення журналу. Це неправильно: ця діяльність є юридичним обов'язком за ЗПУО. Запит згоди на неї створює хибне враження, що батьки можуть відмовитися, а за обов'язкової освіти це не так.
Коли потрібна згода батьків
Згода потрібна лише для діяльності, яка не передбачена законом і щодо якої батьки (або учень, якщо йому виповнилося 14 років) мають реальний вибір:
- ✓ Публікація фотографій і відеозаписів заходів на сайті або в соціальних мережах школи
- ✓ Участь у позакласній діяльності, яка потребує додаткових даних
- ✓ Надсилання маркетингових повідомлень від імені школи
- ✓ Передання даних спонсорам або партнерським організаціям
- ✓ Реєстрація учня на необов'язковій онлайн-платформі
- ✗ Згода на зарахування учня та ведення журналу (юридичний обов'язок)
- ✗ Згода на подання даних до МОН/РУО (юридичний обов'язок)
- ✗ Згода на обробку даних для медичного кабінету (юридичний обов'язок)
- ✗ Згода на проведення іспитів (суспільний інтерес)
Форма згоди батьків
Коли згода потрібна, вона має відповідати всім вимогам ст. 7 GDPR:
- Конкретне й зрозуміле формулювання
- Зазначення мети, даних та одержувачів
- Інформація про право відкликання
- Окрема декларація для кожної окремої мети (а не загальна «на все»)
- Підпис батьків/опікуна (для дітей до 14 років)
Потрібні зразки декларацій згоди для Вашої школи?
- Декларація згоди на фото- та відеозйомку
- Інформація за ст. 13 GDPR для батьків і учнів
- Внутрішні правила захисту персональних даних
Електронні журнали та освітні платформи
Закон про дошкільну та шкільну освіту (ЗПУО) вимагає ведення електронних журналів. На практиці більшість болгарських шкіл використовують Shkolo.bg для журналу, а Google Classroom або Microsoft Teams – для навчання в класі.
Юридичні обов'язки школи
| Обов'язок | Що це означає | Правова основа |
|---|---|---|
| Укладення DPA | Письмовий договір про обробку даних із постачальником платформи | Ст. 28 GDPR |
| Перевірка субпідрядників | Яких субпідрядників використовує платформа (хостинг, хмарні послуги, аналітика) | Ст. 28(2) GDPR |
| Передання за межі ЄЕП | Чи зберігаються або обробляються дані у США чи іншій третій країні | Ст. 44-49 GDPR |
| Заходи безпеки | Шифрування, контроль доступу, журнали подій | Ст. 32 GDPR |
| DPIA | Оцінка впливу під час запровадження нової платформи з даними дітей | Ст. 35 GDPR |
Google Classroom і Microsoft Teams
Коли школа використовує Google або Microsoft для навчання:
- Школа є контролером, а Google/Microsoft – обробником
- Обидві компанії надають DPA (Google Workspace for Education Data Processing Amendment; Microsoft DPA)
- Школа повинна перевірити, чи підписано DPA і чи правильно налаштовано адміністраторський обліковий запис
- Дані учнів зберігаються в центрах обробки даних у ЄС (якщо вибрано правильно)
- Передання до США охоплюється EU-US DPF (Data Privacy Framework), але як альтернативу для одержувачів поза списком DPF рекомендовано SCC
Практична порада: Вимагайте від Google/Microsoft підтвердження, що дані зберігаються в ЄС. Увімкніть налаштування регіону зберігання в Google Workspace for Education. Вимкніть додаткові сервіси (Додаткові послуги) Google, які не мають освітньої мети.
Shkolo.bg
Shkolo – найпоширеніша платформа електронного журналу в Болгарії. Як болгарський постачальник, вона зазвичай зберігає дані на території ЄС. Незважаючи на це:
- Школа повинна мати підписаний DPA із Shkolo
- Перевірте, яких субпідрядників використовує Shkolo (хостинг, аналітика)
- Переконайтеся, що доступ до системи здійснюється з двофакторною автентифікацією
- Обмежте доступ учителів лише їхніми класами
Відеоспостереження в школі
Відеоспостереження в школі стосується дітей, тому КЗЛД ставиться до нього суворо:
- ✓ Допустимо: входи до будівлі, шкільне подвір'я, паркінг
- ✓ Допустимо: коридори (з обмеженнями)
- ✓ Допустимо: їдальня (лише зона входу)
- ✗ Заборонено: класні кімнати (позиція КЗЛД – непропорційно)
- ✗ Заборонено: туалети та роздягальні
- ✗ Заборонено: учительська (без згоди вчителів)
- ✗ Заборонено: аудіозаписи (підслуховування)
Вимоги до законного відеоспостереження
- Правова підстава: законний інтерес (ст. 6(1)(f)), задокументований за допомогою LIA
- Інформаційні таблички на видних місцях перед зонами спостереження
- Строк зберігання: не більше 30 днів (крім випадку конкретного інциденту, для якого запис потрібен)
- Обмежений доступ: доступ до записів мають лише директор і визначені особи
- Інформація за ст. 13: повідомлення про конфіденційність щодо відеоспостереження, доступне батькам і працівникам
- Фізичний захист: записувальний пристрій розміщено в зачиненому приміщенні
Позиція КЗЛД: Камери в класних кімнатах непропорційні меті забезпечення безпеки. Присутність учителя є достатнім заходом безпеки в класній кімнаті. Відеоспостереження в навчальних приміщеннях порушує право на приватне життя учнів і вчителів та створює тиск, несумісний з освітнім процесом.
Фотографії та відеозаписи шкільних заходів
Урочистості, екскурсії та спортивні дні майже завжди фотографують. Правила:
Для публікації на сайті/у соціальних мережах школи
- Правова підстава: згода (ст. 6(1)(a))
- Попередня декларація батьків/опікуна (для дітей до 14 років)
- Щодо онлайн-послуг, які пропонуються безпосередньо дитині, учень старше 14 років може дати згоду самостійно (ст. 25е ЗЗЛД, ст. 8 GDPR). Проте для фотографій на сайті та паперових декларацій до повноліття потрібна згода батьків.
- Згоду має бути можливо відкликати в будь-який час із подальшим видаленням фотографій
Для внутрішніх цілей (альбом, літопис)
- Може обґрунтовуватися законним інтересом (документування освітнього процесу)
- Інформування батьків є обов'язковим
- Батьки можуть заперечити за ст. 21
Фотографії, зроблені іншими батьками
Коли хтось із батьків фотографує урочистість і публікує фото з чужими дітьми, GDPR безпосередньо не застосовується – це особиста/побутова діяльність (ст. 2(2)(c)). Утім, школа може попросити батьків фотографувати лише своїх дітей.
Строки зберігання даних учнів
| Тип даних | Строк зберігання | Правова підстава для строку |
|---|---|---|
| Головні книги (журнали) | Постійно (архівне зберігання) | ЗПУО, Положення № 8 від 11.08.2016 р. про інформацію та документи системи дошкільної та шкільної освіти |
| Протоколи іспитів | 5 років | Положення № 11 від 01.09.2016 р. про оцінювання результатів навчання учнів |
| Особові картки учнів | 5 років після закінчення/вибуття | Положення № 8 від 11.08.2016 р. про інформацію та документи системи дошкільної та шкільної освіти |
| Дані про здоров'я | До закінчення навчання + 3 роки | Закон про охорону здоров'я |
| Записи CCTV | 30 днів | Практика КЗЛД |
| Дані е-платформ | До закінчення навчання (після цього – видалення) | Принцип мінімізації GDPR |
| Фотографії (згода) | До відкликання згоди | Ст. 7(3) GDPR |
| Дані про СОП | 5 років після завершення підтримки | Положення про інклюзивну освіту |
DPIA під час запровадження нової платформи
Ст. 35 GDPR вимагає проведення оцінки впливу на захист даних (DPIA) перед обробкою, яка може призвести до високого ризику для прав суб'єктів. Для шкіл DPIA є обов'язковою, коли:
- Запроваджується нова онлайн-платформа для обробки даних дітей
- Запроваджується відеоспостереження
- Дані про здоров'я або дані про СОП обробляються в цифровому форматі
- Використовується нова технологія (біометричні системи доступу, інструменти AI)
Двох критеріїв зі списку КЗЛД достатньо для обов'язкової DPIA: обробка даних дітей + нові технології, обробка даних дітей + систематичний моніторинг, обробка чутливих даних + великий масштаб. Школи підпадають під ці критерії значно частіше, ніж усвідомлюють.
Порушення безпеки персональних даних (витік) – що робити школі
У разі порушення безпеки персональних даних (витік даних, несанкціонований доступ, втрата) школа повинна діяти за таким алгоритмом:
- З'ясуйте, що сталося: які дані, скільки суб'єктів, який механізм
- Обмежте шкоду: заблокуйте доступ, змініть паролі, ізолюйте систему
- Повідомте КЗЛД протягом 72 годин (якщо тільки порушення не становить ризику для суб'єктів)
- Повідомте батьків без невиправданої затримки, якщо порушення може становити високий ризик (напр., витік ЕГН, даних про здоров'я чи оцінок)
- Задокументуйте все: що сталося, яких заходів ужито, який результат
Приклад: Якщо хакер отримає доступ до електронного журналу та завантажить імена, ЕГН та оцінки учнів, це порушення, про яке необхідно повідомити і КЗЛД, і батьків. Якщо загублено USB-накопичувач із рейтингом олімпіади (без ЕГН), ризик нижчий і повідомлення КЗЛД може не знадобитися (але порушення має бути задокументовано).
Практичний чекліст для шкіл
- ✓ Підтримуйте актуальний ROPA (реєстр діяльності з обробки)
- ✓ Укладіть DPA (ст. 28) з постачальниками електронного журналу та хмарних платформ
- ✓ Призначте ДЛЗД або скористайтеся зовнішньою послугою
- ✓ Підготуйте повідомлення про конфіденційність (ст. 13) для батьків, учнів і працівників
- ✓ Підготуйте декларації згоди на фото/відео
- ✓ Розмістіть інформаційні таблички про відеоспостереження
- ✓ Визначте строки зберігання та процедуру видалення
- ✓ Проведіть DPIA під час запровадження нової платформи
- ✓ Навчіть учителів та адміністративний персонал
- ✓ Розробіть процедуру реагування на витік даних
Поширені запитання
На якій правовій підставі школи обробляють персональні дані учнів?
Переважно на підставі юридичного обов'язку (ст. 6(1)(c) GDPR), оскільки ЗПУО та підзаконні положення зобов'язують школи вести журнали, протоколи, подавати дані до МОН/РУО. Для освітнього процесу застосовується також суспільний інтерес (ст. 6(1)(e)). Згода потрібна лише для діяльності, не передбаченої законом (фотографії для сайту, маркетинг).
Чи потрібна згода батьків на кожну обробку в школі?
Ні. Для обов'язкової освітньої діяльності (зарахування, оцінювання, ведення журналу) правовою підставою є юридичний обов'язок за ЗПУО, а не згода. Згода потрібна лише для добровільної діяльності: публікації фотографій, участі в діяльності, не врегульованій законом, маркетингу.
Чи може школа фотографувати дітей для свого сайту або соціальних мереж?
Так, але лише за попередньою згодою батьків/опікуна (для дітей до 14 років) або самого учня (для 14+ років). Згода має бути конкретною (для якої мети, де будуть опубліковані фото) і такою, яку можна відкликати в будь-який час із подальшим видаленням фотографій.
Які правила діють щодо відеоспостереження в школі?
Камери допустимі на входах, у подвір'ї, коридорах і на паркінгу (на підставі законного інтересу з LIA). Камери в класних кімнатах, туалетах і роздягальнях заборонені. Обов'язковими є інформаційні таблички, строк зберігання до 30 днів та обмежений доступ до записів.
Який договір повинна мати школа з платформою е-навчання?
Договір про обробку даних (DPA) за ст. 28 GDPR. Він має містити: інструкції щодо обробки, заходи безпеки, управління субпідрядниками, сприяння в разі запитів суб'єктів, повідомлення про витік, видалення/повернення даних у разі припинення. Це стосується Shkolo, Google Classroom, Microsoft Teams і будь-якої іншої платформи.
Як довго можна зберігати особові справи учнів?
Залежить від виду даних. Головні книги (журнали) зберігаються постійно. Особові картки та протоколи іспитів зберігаються 5 років після закінчення навчання. Дані про здоров'я зберігаються до закінчення навчання + 3 роки. Записи CCTV зберігаються до 30 днів. Дані е-платформ мають бути видалені після закінчення навчання учнем.
Яка відповідальність школи в разі витоку даних із Shkolo/Google Classroom?
Як контролер, школа несе основну відповідальність. Вона повинна повідомити КЗЛД протягом 72 годин (ст. 33), а батьків – без невиправданої затримки в разі високого ризику (ст. 34). Обробник (Shkolo, Google) зобов'язаний негайно повідомити школу та сприяти їй. Штрафи накладаються на школу, але вона може вимагати від обробника відшкодування в порядку регресу.
Чи потрібна DPIA для запровадження нової освітньої платформи?
У більшості випадків так. Обробка даних дітей у поєднанні з новою технологією або великим масштабом підпадає під критерії КЗЛД для обов'язкової DPIA. Ми рекомендуємо проводити DPIA перед запровадженням кожної нової платформи, навіть якщо формально вона не є обов'язковою, оскільки це допомагає виявити ризики та вжити адекватних заходів.
Потрібен GDPR-аудит для Вашої школи?
- Повний аудит відповідності GDPR в освітньому закладі
- Підготовка ROPA, повідомлень, декларацій і внутрішніх правил
- Перевірка договорів із постачальниками е-платформ (DPA за ст. 28)
- Навчання вчителів та адміністративного персоналу
- Зовнішня ДЛЗД (DPO) для шкіл
