В центре дела о цифровых сервисах в школах Андалусии оказалась обработка персональных данных через платформы Microsoft. Согласно описанию решения регионального Совета по прозрачности и защите данных, речь идет о сведениях 525 тысяч учеников, 74 тысяч педагогов и сотрудников более тысячи школ. Их передавали в течение шести лет по соглашению о бесплатном использовании сервисов компании.
В решении перечислены шесть санкций: две квалифицированы как очень серьезные, три как серьезные и одна как легкая. Денежный штраф, как сообщается, не назначен. Среди претензий названы международная передача данных, недостаточное информирование учащихся, родителей и работников образования, а также отсутствие мер по снижению рисков при обработке чувствительных сведений.
К таким сведениям европейское законодательство относит данные о здоровье, религиозных и политических убеждениях, а также расовом или этническом происхождении. Их обработка требует особых гарантий. Однако GDPR не устанавливает согласие как единственное возможное основание для обработки любых персональных данных. Организация должна определить применимое законное основание, гарантировать прозрачность и ограничить цели обработки, а также надлежащим образом защитить данные.
Международные передачи регулируются главой V GDPR. В зависимости от страны и обстоятельств для них требуется решение Европейской комиссии об адекватном уровне защиты либо предусмотренные регламентом гарантии, например стандартные договорные положения. Само использование облачного сервиса не означает автоматически, что данные передаются за пределы Европейской экономической зоны. Для оценки важны фактическая схема обработки, места хранения и доступа, а также условия договора.
Среди претензий к региональным властям также названы отсутствие оценки воздействия на защиту данных и недостаточный контроль за материалами, размещаемыми в облаке, включая изображения и видео. GDPR предусматривает такую оценку, в частности, когда планируемая обработка с учетом характера, масштаба, контекста и целей может создать высокий риск для прав и свобод людей. Для образовательных учреждений это особенно важно при работе с данными несовершеннолетних и сведениями, способными раскрыть личные обстоятельства учащихся.
Поводом для разбирательства, согласно описанию дела, стала жалоба преподавателя на повседневное использование облачных сервисов для обмена чувствительной информацией, например психолого-педагогическими отчетами. Среди используемых продуктов названы Microsoft Office, OneDrive и Teams. Подобный обмен требует технических ограничений доступа и четких правил хранения, сроков удаления данных, а также распределения ответственности между образовательными учреждениями и поставщиком платформы.
В качестве предыстории в сообщениях о деле упоминается сотрудничество Андалусии с Google и передача данных учащихся и учителей в 2020 году. Этот эпизод также связывают с замечаниями регионального надзорного органа и отсутствием денежного штрафа. В обоих случаях основной вопрос касается выбора облачной платформы и того, как органы образования определяют цели и основания обработки, информируют пользователей и контролируют действия поставщика.
По имеющимся сведениям, власти Андалусии должны до 31 июля представить согласованный с Microsoft план корректирующих мер. Соглашение с компанией действует с 2020 года и, как сообщается, продлевалось в 2022 и 2024 годах. Новое соглашение планировали заключить до ноября. Microsoft, согласно публикации, заявила о приверженности требованиям защиты данных.
Отказ от используемой платформы может осложнить учебный процесс, однако непрерывность работы сервисов не отменяет требований GDPR. Региональным властям предстоит гарантировать доступность цифровых инструментов и ограничить доступ к чувствительным данным, оценивать риски и понятно информировать учеников, родителей и сотрудников. Для школ особенно важны разграничение прав пользователей, безопасная передача документов и регулярная проверка того, какие данные действительно нужны для обучения.
