국제학교는 데이터 프라이버시 측면에서 복잡한 위치를 차지합니다. 학생, 가족, 교직원에 대한 민감한 개인 정보를 수집하고 처리하는데, 이러한 활동을 여러 관할 지역에 걸쳐 수행하는 경우가 많습니다. 예를 들어 방콕에 있는 학교는 40개국에서 온 학생들을 등록시키고, 아일랜드에 호스팅된 클라우드 플랫폼을 사용하며, 12개국 이상의 국적을 가진 교직원을 고용할 수 있습니다. 이러한 각각의 측면은 규제와 관련된 중요한 의미를 지닙니다.

이 글은 법률 자문을 제공하는 것이 아니며, 학교는 항상 특정 상황에 맞는 법률 전문가의 조언을 구해야 합니다. 다만, 이 글은 가장 관련성이 높은 규정에 대한 실질적인 개요와 모든 학교 관리자 및 IT 관리자가 반드시 고려해야 할 질문들을 제시합니다.

데이터 개인정보 보호 규정 준수는 일회성 프로젝트가 아닙니다. 시스템 구성, 직원 교육, 공급업체 관리, 학교 정책 등 모든 영역에 걸쳐 지속적인 운영 책임이 요구됩니다. 출발점은 하나의 규정 체계가 모든 것을 포괄한다고 가정하는 것이 아니라, 학교에 적용되는 규정을 정확히 파악하는 것입니다.

주요 규정 및 적용 대상

GDPR - 일반 데이터 보호 규정(유럽 연합)

GDPR은 전 세계에서 가장 널리 참조되는 데이터 보호 규정입니다. 이 규정은 조직의 소재지와 관계없이 EU 또는 영국 거주자의 개인 데이터를 처리하는 모든 조직에 적용됩니다. 국제학교의 경우, 학생이나 가족 구성원 중 EU 또는 영국 거주자가 있다면 학교가 아시아나 중동에 위치해 있더라도 GDPR의 적용을 받을 가능성이 높습니다.

GDPR에 따라 학교가 준수해야 할 주요 원칙은 다음과 같습니다. 필요한 데이터만 수집(데이터 최소화), 필요한 기간 동안만 보관(저장 기간 제한), 적절한 보안 조치, 그리고 데이터 사용 방식에 대한 투명성 확보입니다. 또한, 학부모와 특정 연령 이상의 학생은 자신의 데이터에 접근하고, 수정하고, 경우에 따라 삭제할 권리가 있습니다.

PDPA - 개인정보보호법 (태국 및 기타 국가의 관련 법률)

2022년에 전면 시행된 태국의 개인정보보호법(PDPA)은 태국 내 개인의 개인정보를 처리하는 모든 기관에 적용됩니다. 태국에서 운영되는 학교는 시스템이 국내에 호스팅되든 해외에 호스팅되든 관계없이 이 법을 준수해야 합니다. 싱가포르 개인정보보호법(PDPA), 말레이시아 개인정보보호법(PDPA) 등 아시아 및 중동의 여러 국가에서도 유사한 법률이 다른 명칭으로 시행되고 있습니다. 학교는 운영 관할 지역에 적용되는 국가 법률을 확인해야 합니다.

FERPA(미국)

FERPA는 미국 연방 기금을 받는 교육 기관에 적용됩니다. 대부분의 국제학교는 FERPA가 직접 적용되지는 않지만, 미국 교육 과정을 따르거나 상당수의 미국인 학생을 대상으로 하는 학교는 FERPA와 유사한 보호를 기대하는 학부모들이 개인정보 접근 권한에 대한 논의에서 이를 제기할 수 있습니다.

알아두어야 할 기타 프레임워크

CIS나 WASC와 같은 기관의 인증을 받은 학교는 인증 기준의 일환으로 데이터 거버넌스 관련 요구 사항을 충족해야 할 수도 있습니다. 이는 법적 규정은 아니지만 운영에 상당한 영향을 미칠 수 있습니다. 중동 지역의 학교는 데이터 저장 및 처리 위치에 영향을 미치는 국가별 데이터 현지화 요건을 준수해야 할 수 있습니다.

모든 학교가 답해야 할 실질적인 규정 준수 관련 질문

이것이 Faria 플랫폼 구성에 미치는 영향은 무엇일까요?

ManageBac+ , OpenApply , Atlas , SchoolsBuddy 와 같은 클라우드 기반 플랫폼을 사용하면 학생 및 교직원의 개인 데이터가 제3자 공급업체에 의해 처리됩니다. 대부분의 데이터 보호 프레임워크에 따라 학교는 데이터 관리자로서의 책임을 유지합니다. 즉, Faria 시스템에서 데이터가 처리되더라도 해당 데이터의 사용 방식에 대한 책임은 학교에 있습니다.

Faria 플랫폼과 관련하여 취해야 할 실질적인 조치:

• Faria 와 데이터 처리 계약(DPA)이 체결되었는지 확인하십시오 . 이는 GDPR 및 기타 여러 규정에서 요구하는 표준 사항입니다.
• 데이터 저장 위치를 ​​확인하세요 - Faria 해당 지역의 데이터 처리 및 저장 위치를 ​​확인할 수 있습니다. 이는 데이터 현지화 요건이 있는 국가의 학교에 중요합니다.
• 필요한 데이터만 수집하세요 . OpenApply 와 ManageBac+ 에서 수집하는 필드를 검토하고 모든 필드가 운영 목적에 필요한지 고려하십시오.
• 학부모님께 제공하는 개인정보 보호 고지사항에 Faria 의 데이터 처리 내용이 포함되도록 하십시오 . 학부모님께서는 학교 운영의 일환으로 제3자 플랫폼을 통해 데이터가 처리된다는 사실을 고지받아야 합니다.

Faria 의 보안 및 데이터 보호 정보는 faria.org/secure 에서 확인할 수 있습니다.

팁 및 고려 사항

• 개인정보보호 책임자를 지정하십시오 . 일부 프레임워크에서는 공식적인 데이터 보호 책임자(DPO)를 임명하도록 요구합니다. 법적으로 의무 사항이 아니더라도 내부 책임자를 지정하면 책임성을 강화하고 대응 시간을 단축할 수 있습니다.
• 데이터 처리 활동 기록을 유지하세요 . 수집하는 데이터의 종류, 수집 이유, 저장 위치, 보관 기간 등을 간단하게 기록하는 것은 기본적인 규정 준수 도구이며, 대부분의 조직에서 GDPR에 따라 요구되는 사항입니다.
• 직원들에게 데이터 처리 의무에 대한 교육을 실시하십시오 . 규정 준수 실패는 종종 선의의 의도를 가진 직원이 규칙을 제대로 이해하지 못한 채 데이터를 공유하거나 접근하는 데서 비롯됩니다. 최소한 연간 인식 교육은 필수입니다.
• 개인정보 보호 고지를 매년 검토하세요 . 시스템과 데이터 처리 방식이 발전함에 따라 개인정보 보호 관련 문서도 함께 업데이트되어야 합니다.

요약하자면

• 국제학교는 일반적으로 여러 데이터 보호 프레임워크를 동시에 적용받으며 운영되므로, 규정 준수 방안을 설계하기 전에 학교에 적용되는 프레임워크를 파악해야 합니다.
• 학교는 ManageBac+ 또는 OpenApply 와 같은 제3자 플랫폼을 사용하는 경우에도 데이터 관리자로서의 책임을 유지합니다. 따라서 모든 공급업체와 적절한 계약을 체결해야 합니다.
• 실질적인 규정 준수는 보유하고 있는 데이터가 무엇인지, 왜 보유하는지, 어디에 저장되는지, 그리고 누가 접근할 수 있는지를 파악하는 것에서 시작됩니다.
• 연례 직원 교육과 최신 개인정보 보호 고지는 운영 규정 준수의 기본입니다.

이 문서는 일반적인 지침만을 제공하며 법률 자문을 구성하지 않습니다. 학교는 관할 지역 및 상황에 맞는 구체적인 조언을 얻기 위해 자격을 갖춘 법률 전문가의 자문을 구해야 합니다. Faria 데이터 보안 및 개인정보 보호 처리 방식에 대한 자세한 내용은 faria.org/secure를 참조하십시오.

관련 기사

• 접근 제어 모범 사례: 적절한 사람에게 적절한 권한 부여
• 학교는 학생 데이터를 얼마나 오래 보관해야 할까요? 데이터 보존 정책에 대한 실용적인 가이드
• 타사 연동 및 데이터 개인정보 보호: 연결하기 전에 무엇을 확인해야 할까요?
• 데이터 관리 모범 사례