Персональные данные учеников: что школа делает с ними каждый день

Школа собирает данные детей не по своему желанию. Без даты рождения не зачислить, без телефона родителя — не позвонить, когда ребёнку стало плохо на третьем уроке, без отметки об аллергии — не накрыть обед. Вопрос не в том, собирать ли, а в том, знает ли школа, что именно у неё лежит, кто это видит и когда это исчезнет.

Дальше — практический разбор, а не юридическая консультация: правовые формулировки оставим юристу школы.

Какие данные школа собирает и зачем

Полезно один раз выписать всё, что школа хранит о ребёнке, по группам. Обычно их четыре: учебное (класс, оценки, посещаемость, задания), административное (личное дело, договор, приказы), контактное (представители, телефоны, кому разрешено забирать ребёнка) и чувствительное — сведения о здоровье. Последняя группа стоит особняком: аллергии и ограничения по питанию требуют отдельного места и отдельного доступа, а не строчки в общем комментарии.

У каждого поля в карточке ребёнка должна быть цель, которую можно назвать вслух. Если на вопрос «что сломается, если этого поля не будет» ответа нет — поле лишнее.

Самое опасное место — свободные поля. Заметка классного руководителя и поле «прочее» в медицинской отметке принимают любой текст, и туда уезжает то, для чего в системе нет отдельного места: диагнозы, семейные обстоятельства, пересказ разговора с матерью. Такие записи не видны ни в сроках хранения, ни в разграничении доступа. Правило для команды: отметка говорит, что делать персоналу, а не чем ребёнок болен.

Согласие родителя: что в нём должно быть и где оно лежит

Часть обработки школа ведёт на основании договора с семьёй и требований к образовательной организации, часть — только с согласия: рекламные рассылки, публикация фотографий, сведения о здоровье. Вывод для практики один: согласие — не единая бумага «на всё», а набор целей, каждую из которых школа умеет назвать. Как основания расписаны у нас, видно в политике обработки персональных данных.

Чтобы согласие потом можно было предъявить, о нём стоит хранить четыре вещи:

• Кто и за кого. За ребёнка согласие даёт законный представитель, и в записи должно быть видно оба имени.
• На какую цель. Одна запись — одна цель, иначе отзыв согласия на фотографии отменит заодно и всё остальное.
• Когда и в какой редакции. Через два года понадобится не дата, а текст, который человек тогда прочитал.
• Отзыв — отдельной записью. Отзыв не стирает прежнее согласие: без него не подтвердить, что обработка до отзыва была законной.

Значит, согласия должны жить рядом с карточкой ребёнка, а не в папке у делопроизводителя. В SchoolOS это раздел «Согласия» — журнал выданных и отозванных, — а сроки видны в карточке ученика и семьи.

Кто внутри школы что видит

Самая частая утечка в школе — не взлом, а лишний доступ: учитель физики видит список должников, потому что «так проще», а уволившаяся полгода назад учительница по-прежнему входит в систему. Правило простое: учитель видит свой класс и свои предметы, классный руководитель — контакты семей своего класса, бухгалтер — счета, но не медицинские отметки, родитель — только своего ребёнка. Раз в год стоит просто перечитать список сотрудников с доступами: уволившиеся находятся именно так.

В продукте это права и роли: отдельные права, готовые роли на старте, свои роли под структуру школы и журнал действий — кто, когда и что изменил. По журналу видно, кто поменял оценку, и спорить об этом уже не нужно. Как это выглядит в работе — на страницах для классного руководителя и администратора школы.

Меньше данных — меньше рисков: ученику для входа в электронный журнал почта не нужна вовсе. Как это сделано — в разборе про вход ученика по коду доступа.

Фотографии детей и публикация на сайте

Фотографии — та часть, где школа чаще всего действует по привычке: сняли утренник, выложили в ленту, подписали именами. Публикация изображений ребёнка — отдельная цель и отдельное согласие представителя, вместе с договором оно не выдаётся.

Список «кого снимать можно, кого нет» ведут до праздника, а не после: фотографу и классному руководителю нужен ответ заранее. Групповые кадры разбирают отдельно — на общем снимке класса окажутся и те, кто согласия не давал. И решите, что делаете при отзыве: снять снимок с сайта — минутное дело, вспомнить, где ещё он опубликован, — нет.

Если сайт школы собран в конструкторе сайта внутри системы, снимки лежат в галерее школы и убираются без письма разработчику. Отвечает за согласия на опубликованных фотографиях всё равно школа.

Сроки хранения и что происходит после ухода ученика

«Храним всё и навсегда» — не политика, а её отсутствие. Ребёнок ушёл в другую школу, а в системе годами лежат телефоны родителей и переписка с классным руководителем. При этом часть данных удалять рано нельзя: посещаемость — часть классного журнала, договоры и счета школа хранит по налоговым правилам. Поэтому срок задаётся не один на всё, а по категориям.

В SchoolOS это раздел «Хранение данных»: у каждой категории — уведомления, личные сообщения, посещаемость, заявки абитуриентов, загруженные файлы и другие — свой срок, ниже установленного минимума он не опускается. Автоочистка по умолчанию выключена: школа включает её сама, и перед первой уборкой приходит предупреждение. Есть предохранитель — блокировка удаления по конкретному человеку, пока идёт спор или проверка. Механика — на странице об удалении и выгрузке данных.

Запрос родителя на удаление данных

Рано или поздно придёт письмо «удалите данные моего ребёнка». Решите заранее: кто принимает запрос, за какой срок школа отвечает и что именно удаляется.

1. Запрос подаётся в одно место, а не в мессенджер классному руководителю. В SchoolOS семья подаёт его в разделе «Мои данные», администратор разбирает в разделе «Запросы о персональных данных» — там же виден срок ответа.
2. Удаляется не всё подряд. Уведомления, личные сообщения человека, загруженные файлы, сведения о здоровье и экстренные контакты уничтожаются; оценки, посещаемость и финансовые документы остаются, но перестают указывать на человека: имя заменяется обезличенным, контакты обнуляются.
3. Отзыв согласия — тоже запрос, и он попадает в журнал согласий. Через год именно эта запись объяснит, почему рассылка семье прекратилась в марте.

Резервные копии и доступ со стороны сервиса

Про копии вспоминают после сбоя, а вопрос к ним есть и в спокойное время. Задним числом копии не переписываются: если базу когда-нибудь поднимут из копии, сделанной до исполнения запроса на удаление, запрос исполняется повторно. Это лучше знать заранее, чем объяснять родителю постфактум.

У поставщика спрашивайте не «у вас безопасно?», а конкретное: где расположены серверы, кто из сотрудников сервиса имеет доступ к данным школы, изолированы ли школы друг от друга. И отдельно — что уходит наружу в уведомлениях: письмо на зарубежный почтовый сервис или сообщение в мессенджер выносит сведения за пределы России, а отвечает за это школа. Те же вопросы к системе целиком — в статье о выборе системы учёта учеников для частной школы.

Чек-лист школы

1. Выписаны все категории данных о ребёнке, у каждой названа цель.
2. Сведения о здоровье лежат отдельно, с отдельным правом доступа.
3. Согласия хранятся по целям, с датой, редакцией текста и записью об отзыве.
4. Роли пересмотрены за последний год, доступы уволившихся закрыты.
5. По фотографиям есть список согласий, и он ведётся до съёмки.
6. Сроки хранения заданы по категориям, а не «навсегда».
7. Известно, кто принимает запрос семьи и за сколько дней школа отвечает.

Ни один пункт не требует юридического образования — все требуют, чтобы данные лежали в одном месте, с настройками доступа и сроков. Как это связано с журналом, расписанием и договорами, собрано на странице SchoolOS для частной школы.