Schule, DSGVO, Cloud & Co.

Als die DSGVO eintraf, bauten ich und andere Kollegen einen Hadoop-Speicher für 400 Millionen Benutzer, und so handelte es sich um einen Asteroiden. Plötzlich befand ich mich in einem Pool von Anwälten der Mandantenfirma (der Rechtsabteilung), die die Verordnung gut verstanden, aber die Bedeutung der technischen Details nicht verstanden. Andererseits haben ich und die anderen Architekten (Netzwerke, Speicher, Fabric & Co) die technischen Aspekte verstanden, aber nicht die rechtlichen.

Meine Firma gab mir den GDPR-Crashkurs und die Messe begann.

Im Allgemeinen haben die Anwälte den gesamten rechtlichen Teil gut verstanden, sagte ich, aber sie haben die technischen Details nicht verstanden: Sie sagten oft "in diesem Fall werden wir den Datensatz löschen", weil sie glaubten, es sei wie eine Datenbank, aber das wussten sie nicht Wenn Sie beispielsweise Partitionen mit jeweils 64 GB erstellen, können Sie keinen Datensatz löschen. Sie müssen je nach Format (AVRO, PARQUET usw.) einen Job schreiben, der alles außer diesem Datensatz in einen anderen Block kopiert. Undurchführbar.

Auch die Tatsache, dass es je nach Format (AVRO ja, PARQUET nein usw.) nicht möglich ist, die Struktur (die Felder) einfach zu ändern, war für sie unbekannt. Der Unterschied zwischen pseudonymen, anonymen und verschlüsselten Daten sowie der Unterschied zwischen einer homöomorphen und einer nicht homöomorphen Verschlüsselung war für sie schwer zu erfassen.

Es waren also Wochen des "Feuers", wenn wir die Menge an G-Knuckle ausschließen, die für die Rechtsteams eines Unternehmens typisch ist. Na ja ', diejenigen, die zitieren, diejenigen, die nicht teilen, wenn sie zittern. (LOL)

Wenn ich mir nun vorstelle, einen solchen Prozess mit fremden Wolken auf Schulen anzuwenden, fallen mir mehrere Dinge ein. Zum Beispiel: In Artikel 5 Absatz 1 der DSGVO heißt es: "Personenbezogene Daten müssen angemessen, relevant und auf das beschränkt sein, was für die Zwecke, für die sie verarbeitet werden, erforderlich ist."

Das Problem hierbei ist nun zu verstehen, was "angemessen" bedeutet, was "relevant" bedeutet und was "notwendig" bedeutet und was "Zwecke" bedeutet: weil Legalese eine Sprache ist und nicht unbedingt eine einfache Sprache.

Machen wir einen Schritt zurück: "Privacy by Design". Dieses Konzept, das für die DSGVO von zentraler Bedeutung ist, besagt, dass der Datenschutz bei der Gestaltung des Dienstes und der Datenverwaltung berücksichtigt werden muss. Und es kann nicht von Google der Situation oder von Microsoft abgewichen werden, da die Daten eine lange Tour machen, an der sowohl der "Datenprozessor" und der "Dateneigentümer" als auch der "Datencontroller" (und die Daten) beteiligt sind Eigentümer 'und' eine gewisse Unklarheit in der Justiz '), und daher sollte die Schule auch die Dokumentation des Datenschutzes von Grund auf erstellen.

Erstens, da die Schule auch mit diesen Daten umgeht und uns die Zeugnisse gibt, wird Google anscheinend zu einem Datenverantwortlichen, während die Schule beispielsweise in Bezug auf den Schulprozess ein Datenverarbeiter ist. In der Realität ist es wahrscheinlicher zu sagen, dass sich Google und die Schule in einer gemeinsamen Controller-Situation befinden, auch weil einige Daten (z. B. die IP, von der aus ein Schüler eine Verbindung herstellt) nicht von der Schule eingegeben werden. Verknüpfung

Nachdem festgestellt wurde, wer was tut, muss die Schule in beiden Fällen ein Privacy By Design-Dokument erstellen, das eingesehen werden kann. Google hat es vielleicht auch getan (da es Schulen die Geschäftsplattform zu vorteilhaften wirtschaftlichen Bedingungen anbietet), aber die beiden sind getrennt und keiner ersetzt den anderen.

Was erwarten wir von diesen Dokumenten, die die Schule erstellt?

• Was sind die "notwendigen" Verwendungen (zB: dient zur Erstellung von Zeugnissen. Es dient zur Identifizierung des Benutzers (z. B. Name) usw.).
• Was sind die "Zwecke", dafür sind diese Daten bestimmt. Zum Beispiel könnte die Rechtfertigung von Videokonferenzen aus einem Heimraum problematisch werden.
• Welche Daten sind „notwendig“, welche sind „relevant“? Beispielsweise könnte das Einschalten der Kinderkameras „relevant“, aber nicht erforderlich sein, und so weiter.
• Wenn die Lektionen zum Beispiel aufgezeichnet werden, ist es notwendig zu verstehen, wer die Informationen speichern kann, für was sie notwendig, relevant usw. sind.

Gut.

Zu diesem Zeitpunkt werden alle Daten erfasst, auf die die Schule über das System zugreift (Startzeit, Endzeit des Unterrichts, Anzahl und Name der Anwesenden, Name, Nachname, gesendete / angehängte Dokumente, Videokonferenz, Telefonkonferenz, Gesundheitszustand usw.) machen Sie eine schöne Tabelle und geben eine ganze Reihe von Details an:

• wo sie gespeichert sind. (wenn die Schule einen Ausdruck hat). Wer ist dafür verantwortlich?
• wenn sie notwendig, relevant, unnötig sind
• wenn sie verschlüsselt, pseudonymisiert und im Klartext sind.
• wenn es sich um PII handelt (die Startzeit des Unterrichts ist eine PII? für den Lehrer, weil er bei der Arbeit anwesend ist, für die Schüler… boh. Die Abwesenheiten registrieren sich vielleicht).
• wie lange sie gehalten werden.

Das Ausfüllen dieser Felder ist nicht so einfach, wie es scheint. Um den Benutzer zu identifizieren, mag es natürlich erscheinen, "Name, Nachname" zu verwenden, aber in Wirklichkeit könnte auch Nachname, Initiale des Namens gehen, und die Idee, nur den Nachnamen zu verwenden, wäre ebenfalls fraglich.

Dieser Teil ist sehr heikel: Beispielsweise kann ein E-Mail-System alles übertragen. Nehmen wir ein Beispiel. Ich schreibe von zu Hause aus, dass ich abwesend sein werde, weil ich Einfluss auf meinen Teamassistenten habe, das Zertifikat beifüge und die Krankenkasse und meinen Chef kopiere. Klingt vernünftig, ist aber nicht:

• Mein Chef muss nur wissen, dass ich abwesend bin, nicht meine Gesundheit.
• Meine Krankenkasse muss nicht wissen, wer mein Chef ist oder wer der Teamassistent ist.
• Mein Teamassistent muss nicht wissen, was meine Krankenkasse ist, weil ich ein freiwilliger Steuerzahler bin (ok, es ist eine deutsche Sache. Über ein bestimmtes Einkommen hinaus sind Sie kein Steuerzahler wie die anderen, aber Sie können sich auch dafür entscheiden, die Krankenkasse nicht zu bezahlen. nur Sie bezahlen alles aus eigener Tasche).

Also werde ich dem Chef und den Kollegen sagen, dass ich "abwesend" bin, ich werde die Abwesenheitsnotiz und das ärztliche Attest an den Teamassistenten, an die krankenkasse idem senden, ohne jedoch jemals alle in derselben E-Mail zu erwähnen. Andernfalls:

• Mein Chef wird die E-Mail löschen und den Administrator bitten, sie aus dem Austausch zu entfernen.
• Die Krankenkasse wird die E-Mail löschen und mir nichts sagen (grrrr!) und ich werde herausfinden, wann sie mich für die Tage nicht bezahlen.
• Mein Teamassistent wird die E-Mail löschen, da es eine Kopie der Krankenkasse gibt.

Moral: Die DGPR ist nicht einfach.

Sobald die Daten ermittelt wurden, für die die Schule ein gemeinsamer Verarbeiter ist, und sie klassifiziert haben, um zu verstehen, wofür sie sind, wenn sie notwendig, wünschenswert, PII und all das sind, ist es notwendig, über die Aufbewahrungszeit zu sprechen.

Die Datenaufbewahrungszeit darf NICHT über die erforderliche Verwendung hinausgehen. Wenn es in der Schule ein gedrucktes Format gibt, bedeutet dies, dass theoretisch am Ende des Schuljahres ALLE gelöscht werden sollten, und man fragt sich (falls sie als Bericht auf Papier gedruckt sind, z Klassenarbeit), wenn auch ein Viertel keinen Sinn ergeben würde.

Es wird auch zwischen aggregierten und gegebenen Daten unterschieden: Die Noten jeder einzelnen Frage und beispielsweise jedes Klassentests werden "gegeben". Wenn wir den Durchschnitt der Noten pro Klasse berechnen und die Vor- und Nachnamen der Schüler entfernen, haben wir ein "Aggregat". Aggregate haben unter der DSGVO nicht viele Grenzen. Wenn Sie jedoch Aggregate produzieren, sind Sie neben einem gemeinsamen Datencontroller auch ein Datenprozessor . Für den Fall, dass der Datenverarbeiter die Hilfe einer Person zur Verarbeitung der Daten anfordert, wird er zu einem "Dritten".

Letztendlich also die Schule, die Google oder Teams oder was auch immer für ihren Unterricht verwendet:

• wird fast automatisch ein gemeinsamer Controller unter der DSGVO. Es liegt also in der Verantwortung des Controllers und mit dem anderen Controller zu definieren, wer der Hauptdatencontroller ist, der den größten Teil der Arbeit erledigt. Es ist nicht selbstverständlich, dass es sich um Google handelt.
• Sie müssen einen Datenbeauftragten angeben, der die Person ist, die im Falle eines Problems (Datenleck, Änderung des legitimen Zwecks usw.) informiert werden muss.
• Sie müssen angeben, wer der Dateneigentümer ist (der die vollständige Kontrolle über die Daten hat und Zugriff auf die Daten gewähren oder entfernen kann) und der Datenverwalter (die Person, die die Einhaltung der oben genannten Bestimmungen überwacht).

In Ermangelung dessen wird die DSGVO absolut nicht respektiert, und selbst die "Veröffentlichung" ist laut Gesetz völlig irrelevant: Wenn es keine Privatsphäre durch Design und Konzept gibt, ändert die Tatsache, dass jemand eine Veröffentlichung unterzeichnet, nichts. .

Last but not least ist das Opt-out ein Recht. Dies bedeutet, dass Eltern als Erziehungsberechtigte jederzeit Zugang zu einem Link haben müssen, über den sie die Daten ihrer Kinder entfernen können.

Ehrlich gesagt, nach dem, was ich in der Umgebung höre, sehe ich nichts davon in den italienischen Schulen, und selbst die deutschen Schulen haben erkannt, dass dies übermäßig mühsam ist und vom Ministerium für eigene Systeme erledigt wird (das Schulministerium ist föderalisiert) auf dem Landweg) und daher nimmt die Nutzung von Unternehmensplattformen am Ende stark ab.

Aber der Punkt ist einfach: Eine Version ist NICHT GENUG, um GDPR-konform zu werden, wenn Sie Google oder Teams verwenden oder zoomen, selbst wenn diese Unternehmen PROVATEL GDPR-konform sind.

Früher oder später, vielleicht nachdem die Sperrung beendet ist, werden wir eine ganze Reihe von Klagen sehen, da die italienischen Direktoren mit äußerster Ignoranz reagiert haben: "Fragen wir Äa libberadoria!" , als ob dies die Schulen davon abhält, die DSGVO einzuhalten.

Aber die Veröffentlichung schützt niemanden und die Geldstrafen sind GROSS.

Was Sie als Eltern tun können, ist:

• Erwarten Sie, dass am Ende des Schuljahres ALLE Daten aus der Fremdwolke entfernt, gedruckt und archiviert werden, wie dies auf Papier geschehen ist.
• Erwarten Sie, dass wir uns auf die MINIMUM-Daten beschränken, d. h. wenn die Nachnamen eindeutig sind, nur der Nachname, wenn die Nachnamen nicht eindeutig sind, nur Name und Initiale usw.
• Geben Sie vor, den Namen des Datenbeauftragten zu kennen.

Für diese Dinge gibt es KEINE Veröffentlichung.