GDPR a IT ve škole: co musí zajistit technika

Škola zpracovává osobní údaje stovek lidí. Žáků, rodičů i zaměstnanců. Velká část těch údajů leží na školních počítačích, serverech a v cloudových službách, a tak se otázka „jsme v pořádku s GDPR?“ často dostane až ke správci IT.

Je dobré vědět, co z toho technika opravdu vyřeší a co ne. Tady je přehled z pohledu správy IT. Nejde o právní výklad, ten patří pověřenci pro ochranu osobních údajů.

Co je úkol pro techniku

Kdo se kam dostane

Základem je, aby každý viděl jen to, co pro svou práci potřebuje. Žák nemá mít přístup do složek učitelů, asistent pedagoga nepotřebuje účetnictví. Znamená to rozumně nastavené uživatelské účty, skupiny a oprávnění, a hlavně jejich pravidelnou kontrolu. Účet učitele, který loni odešel, by už neměl fungovat.

Oddělená síť

Počítače v učebnách, notebooky učitelů a počítač v kanceláři hospodářky by neměly být v jedné síti bez rozdílu. Oddělení provozu je levné opatření, které výrazně snižuje riziko, že se problém z jednoho počítače rozšíří dál.

Zálohy, které se dají obnovit

Ztráta dat je z pohledu GDPR také bezpečnostní incident. Záloha musí existovat, musí být mimo původní zařízení a hlavně se z ní musí dát data skutečně obnovit. To se ověřuje zkouškou, ne předpokladem.

Aktualizace a šifrování

Aktuální systémy a programy a šifrované disky přenosných počítačů. Ztracený notebook se šifrovaným diskem je nepříjemnost. Bez šifrování může jít o únik údajů, který se musí hlásit.

Záznamy o tom, co se děje

Když se něco stane, je potřeba zjistit co, kdy a kdo. Rozumné logování přihlášení a přístupů pomáhá incident vyšetřit i doložit, že škola měla opatření nastavená.

Co technika nevyřeší

Správce IT nerozhoduje o tom, jaké údaje škola sbírá, proč a jak dlouho je uchovává. Nepíše záznamy o činnostech zpracování ani nevyhodnocuje, zda má škola pro zpracování právní důvod. To je práce vedení školy a pověřence. Technik ale může pověřenci dodat přesný popis, kde údaje leží a jak jsou chráněné, a to se při kontrole hodí.

Pozor na software ve výuce

Každý program nebo online služba, kterou žáci ve výuce používají, může zpracovávat jejich údaje. Proto se vyplatí vědět, kde data končí. Například náš Kompatiqo Classroom Manager běží jen ve školní síti, bez cloudu a bez žákovských účtů, a historie obrazovek je ve výchozím stavu vypnutá.

Kde začít

Nejlepší první krok je projít současný stav: jaké účty existují, kdo má jaká oprávnění, jak je zapojená síť a kdy se naposledy zkoušela obnova ze zálohy. Pokud jste škola v Liberci nebo okolí a chcete to projít s námi, podívejte se na správu IT pro školy nebo nám rovnou napište.