Ce trebuie să știe o școală despre GDPR înainte să pună notele online

Aproape orice director care se gândește la un catalog electronic ajunge la aceeași întrebare: „dacă mutăm notele și absențele pe o platformă, cine răspunde dacă se întâmplă ceva?"

Întrebarea e corectă. Răspunsul e mai simplu decât pare, dar are câteva puncte pe care merită să le știți înainte de a semna orice.

Cine răspunde: școala sau furnizorul?

În mod obișnuit, școala este operator — cea care decide ce date se colectează și de ce. Furnizorul platformei este persoană împuternicită: prelucrează datele în numele școlii, în limitele stabilite prin contract.

Rolurile se stabilesc însă după activitatea reală, nu doar după denumirea din contract. Un furnizor care ar decide singur scopuri noi de prelucrare devine el însuși operator pentru acele scopuri.

Asta înseamnă un lucru important: responsabilitatea față de părinți și față de Autoritatea de supraveghere rămâne la școală. Nu se transferă prin faptul că folosiți un program.

Vestea bună e că această responsabilitate poate fi acoperită corect, iar cea mai mare parte a muncii se face o singură dată, la început.

Consimțământul părinților: mai rar necesar decât se crede

Este cea mai frecventă confuzie.

În mod obișnuit, școala nu se bazează pe consimțământ pentru evidențele școlare obligatorii, ci pe obligația legală și pe îndeplinirea unei sarcini de interes public. Un părinte nu poate cere „ștergeți notele copilului meu", la fel cum nu putea cere ruperea unei pagini din catalogul de hârtie.

Consimțământul poate deveni necesar pentru anumite utilizări opționale — de exemplu publicarea fotografiilor în scop promoțional. Temeiul juridic trebuie stabilit însă pentru fiecare situație în parte, nu presupus după categoria de date.

Distincția contează, pentru că un acord cerut greșit creează impresia că părintele poate retrage oricând ceva ce, de fapt, e obligatoriu.

Ce trebuie să aveți la dosar

Patru lucruri, în ordinea în care le veți face:

1. Un contract de prelucrare cu furnizorul. Nu o promisiune verbală, nu o declarație „suntem conformi GDPR". Un document care spune ce date se prelucrează, în ce scop, cât timp, unde sunt stocate, cine are acces și ce se întâmplă cu ele când contractul încetează. Este cerut explicit de Articolul 28 din Regulament.

2. Informarea părinților. Un document clar, nu unul de zece pagini în limbaj juridic: ce date sunt în platformă, de ce, cine le vede, cât timp rămân și ce drepturi are familia. Se transmite la introducerea platformei și se actualizează când se schimbă scopurile, furnizorii, perioadele de păstrare sau alte elemente importante.

3. Un responsabil cu protecția datelor (DPO). Pentru instituțiile publice este obligatoriu. Poate fi o persoană din școală sau, mai practic, un DPO împărțit între mai multe unități — Regulamentul permite explicit acest lucru. Datele lui de contact se publică și se comunică Autorității.

4. Evidența activităților de prelucrare. Un registru intern, care poate fi un simplu tabel: ce categorii de date țineți, pentru ce, unde, cine are acces.

Întrebările de pus oricărui furnizor

Înainte de a alege o platformă, cereți răspunsuri scrise la acestea. Ezitarea la vreuna dintre ele spune mai mult decât orice broșură.

• Unde sunt stocate fizic datele? În Uniunea Europeană sau în afara ei? Dacă ies din UE, pe ce temei juridic?
• Cine, din partea furnizorului, poate vedea datele elevilor? Există acces tehnic nelimitat sau acces temporar, acordat de școală și înregistrat?
• Ce se întâmplă dacă un profesor deschide contul altui profesor? Sunt permisiunile verificate doar în interfață, sau și în baza de date?
• Ce se întâmplă cu datele dacă renunțăm la platformă? Cum le exportăm și în cât timp sunt șterse?
• Cum sunt anunțate incidentele de securitate? Furnizorul trebuie să informeze școala fără întârzieri nejustificate despre o încălcare de securitate. Școala analizează apoi riscul și, atunci când Regulamentul o impune, notifică Autoritatea în cel mult 72 de ore de la momentul în care a luat cunoștință.

Digitalizarea bine făcută poate reduce riscurile

Un catalog de hârtie lăsat în cancelarie poate fi citit de oricine intră acolo. Un tabel Excel cu note trimis pe e-mail ajunge, în timp, în zeci de căsuțe poștale. Un grup de WhatsApp cu părinții expune numerele de telefon ale tuturor.

O platformă construită corect face exact opusul: fiecare persoană vede strict ce are dreptul să vadă, fiecare acces rămâne înregistrat, iar datele nu circulă prin canale necontrolate.

Cheia stă în cuvintele „construită corect". Un sistem în care restricțiile există doar în meniuri, iar în spate oricine poate ajunge la orice, e mai riscant decât hârtia — pentru că dă impresia falsă de siguranță.

Acest articol are scop informativ și nu ține loc de consultanță juridică. Aspectele discutate decurg, în principal, din articolele 6, 28, 33 și 37 din Regulamentul general privind protecția datelor. Pentru situația concretă a unității dumneavoastră, discutați cu responsabilul cu protecția datelor sau cu un jurist.