Okulların GDPR, PDPA ve Sınır Ötesi Veri Uyumluluğu Hakkında Bilmesi Gerekenler

Uluslararası okullar için en önemli veri gizliliği düzenlemelerine ve bunların yöneticiler ve BT müdürleri için pratikte ne anlama geldiğine dair sade bir dille hazırlanmış genel bakış.

Uluslararası okullar, veri gizliliği dünyasında karmaşık bir konumda yer almaktadır. Öğrenciler, aileler ve personel hakkında hassas kişisel veriler toplar ve işlerler; bunu sıklıkla birden fazla yargı alanında yaparlar. Bangkok merkezli bir okul, 40 ülkeden öğrenci kaydedebilir, İrlanda'da barındırılan bir bulut platformu kullanabilir ve bir düzine farklı ülkenin vatandaşı olan personel istihdam edebilir. Bu boyutların her biri, düzenleyici sonuçlar doğurabilir.

Bu makale hukuki tavsiye niteliği taşımamaktadır ve okullar her zaman kendi özel durumları için nitelikli hukuki danışmanlık almalıdır. Makale, en ilgili düzenlemelerin pratik bir özetini ve her okul yöneticisinin ve BT müdürünün sorması gereken soruları sunmaktadır.

Veri gizliliği uyumluluğu tek seferlik bir proje değildir. Sistem yapılandırması, personel eğitimi, tedarikçi yönetimi ve okul politikası gibi konuları kapsayan, sürekli devam eden bir operasyonel sorumluluktur. Başlangıç noktası, her şeyi kapsayan tek bir çerçeve olduğunu varsaymak yerine, okulunuz için hangi düzenlemelerin geçerli olduğunu anlamaktır.

Başlıca Düzenlemeler ve Kimleri Kapsadıkları

GDPR - Genel Veri Koruma Yönetmeliği (Avrupa Birliği)

GDPR, dünya çapında en yaygın olarak referans alınan veri koruma düzenlemesidir. Kuruluşun kendisinin nerede yerleşik olduğuna bakılmaksızın, AB veya Birleşik Krallık'taki bireylerin kişisel verilerini işleyen tüm kuruluşlar için geçerlidir. Uluslararası okullar için bu, AB veya Birleşik Krallık'ta ikamet eden öğrencileriniz veya aileleriniz varsa, okulunuz Asya veya Orta Doğu'da bulunsa bile GDPR'nin muhtemelen geçerli olduğu anlamına gelir.

GDPR kapsamında okullar için temel ilkeler şunlardır: yalnızca ihtiyaç duyulan verileri toplamak (veri minimizasyonu), verileri yalnızca gerekli olduğu süre boyunca saklamak (depolama sınırlaması), verileri uygun şekilde güvence altına almak ve verilerin nasıl kullanıldığı konusunda ailelerle şeffaf olmak. Belirli bir yaşın üzerindeki veliler ve öğrenciler ayrıca verilerine erişme, düzeltme ve bazı durumlarda silme hakkına sahiptir.

PDPA - Kişisel Verilerin Korunması Yasası (Tayland ve diğer ülkelerdeki varyasyonları)

2022 yılında tam olarak yürürlüğe giren Tayland Kişisel Veri Koruma Yasası (PDPA), Tayland'daki bireylerin kişisel verilerini işleyen tüm kuruluşlar için geçerlidir. Tayland'da faaliyet gösteren okullar, sistemlerinin yerel veya uluslararası olarak barındırılmasına bakılmaksızın bu yasaya uymak zorundadır. Singapur'un PDPA'sı, Malezya'nın PDPA'sı ve diğerleri de dahil olmak üzere Asya ve Orta Doğu'daki birçok ülkede farklı isimler altında benzer mevzuat bulunmaktadır. Okullar, faaliyet gösterdikleri yargı bölgesinde hangi ulusal mevzuatın geçerli olduğunu belirlemelidir.

FERPA (Amerika Birleşik Devletleri)

FERPA, ABD federal fonlarından yararlanan eğitim kurumları için geçerlidir. Çoğu uluslararası okul için FERPA doğrudan geçerli olmayacaktır; ancak Amerikan müfredatını izleyen veya önemli bir ABD nüfusuna hizmet veren okullar, FERPA benzeri korumalar bekleyen ve veri erişim hakları hakkındaki tartışmalarda bu konuyu gündeme getiren ailelerle karşılaşabilir.

Dikkate Alınması Gereken Diğer Çerçeveler

CIS veya WASC gibi kuruluşlar tarafından akredite edilen okullar, akreditasyon standartlarının bir parçası olarak veri yönetimi beklentileriyle de karşılaşabilirler. Bunlar yasal düzenlemeler olmasa da, operasyonel açıdan önemli bir ağırlığa sahip olabilirler. Orta Doğu'daki okullar, verilerin nerede saklanabileceğini ve işlenebileceğini etkileyen ulusal veri yerelleştirme gereksinimlerine tabi olabilirler.

Her Okulun Cevaplaması Gereken Pratik Uyumluluk Soruları

Soru	Neden Önemli?
Okulumuz için hangi veri koruma düzenlemeleri geçerlidir?	Tanımlamadığınız düzenlemelere uyamazsınız; buradan başlayın.
Öğrenci verilerimiz nerede saklanıyor ve işleniyor?	Bazı ülkelerdeki veri yerelleştirme gereksinimleri, sınır ötesi veri transferlerini kısıtlamaktadır.
Elimizde bulunan her veri türünü toplamak için yasal bir dayanağımız var mı?	Çoğu çerçeve, kişisel verilerin işlenmesi için tanımlanmış bir yasal dayanak (rıza, sözleşme, meşru menfaat) gerektirir.
Faria dahil olmak üzere üçüncü taraf tedarikçilerimiz verileri uygun sözleşmeler kapsamında mı işliyor?	Okullar, tedarikçiler tarafından kendi adlarına işlenen verilerden sorumlu olmaya devam eder; çoğu çerçeve kapsamında veri işleme sözleşmeleri (DPA) gereklidir.
Bir veli veya öğrenci veri erişim talebine gerekli süre içinde yanıt verebilir miyiz?	GDPR, 30 gün içinde yanıt verilmesini şart koşuyor; diğer birçok çerçeve de benzer şartlara sahip.
Veri ihlali durumunda uygulanacak belgelenmiş bir müdahale prosedürümüz var mı?	Çoğu düzenleme, ihlallerin yetkililere ve etkilenen kişilere belirli bir süre içinde bildirilmesini gerektirir.

Bu, Faria Platform Yapılandırmanız İçin Ne Anlama Geliyor?

ManageBac+ , OpenApply , Atlas ve SchoolsBuddy gibi bulut tabanlı platformların kullanılması, öğrenci ve personel kişisel verilerinin üçüncü taraf bir tedarikçi tarafından işlenmesi anlamına gelir. Çoğu veri koruma çerçevesine göre, okul veri sorumlusu olmaya devam eder; yani, veriler Faria sistemleri tarafından işlense bile, bu verilerin nasıl kullanıldığına ilişkin sorumluluk sizde kalır.

Faria platformlarınızla ilgili atabileceğiniz pratik adımlar:

Faria ile bir Veri İşleme Sözleşmesi (ÇS) imzalandığını doğrulayın - bu, GDPR ve diğer birçok çerçeve kapsamında standart bir gerekliliktir.
Verilerin nerede barındırıldığını inceleyin - Faria bölgeniz için veri işleme ve depolama konumunu doğrulayabilir; bu, veri yerelleştirme gereksinimleri olan ülkelerdeki okullar için önemlidir.
Veri toplamayı gerekli olanla sınırlayın - OpenApply ve ManageBac+ 'da topladığınız alanları gözden geçirin ve bunların tümünün operasyonel amaçlarınız için gerekli olup olmadığını değerlendirin.
Ailelere yönelik gizlilik bildiriminizin Faria veri işleme süreçlerini de kapsadığından emin olun ; aileler, verilerinin okulun faaliyetlerinin bir parçası olarak üçüncü taraf platformlar tarafından işlendiği konusunda bilgilendirilmelidir.

Faria güvenlik ve veri koruma bilgileri faria.org/secure adresinde mevcuttur.

İpuçları ve Dikkat Edilmesi Gerekenler

Gizlilikten sorumlu bir kişi atayın - bazı çerçeveler resmi bir Veri Koruma Görevlisi (DPO) gerektirir; bu yasal olarak zorunlu olmasa bile, kurum içinde atanmış bir kişi olması hesap verebilirliği ve yanıt sürelerini iyileştirir.
Veri işleme faaliyetlerinin kaydını tutun ; hangi verileri topladığınızı, neden topladığınızı, nerede sakladığınızı ve ne kadar süreyle sakladığınızı gösteren basit bir kayıt, temel bir uyumluluk aracıdır ve GDPR kapsamında çoğu kuruluş için gereklidir.
Personeli veri işleme yükümlülükleri konusunda eğitin - uyumluluk ihlalleri genellikle iyi niyetli personelin kuralları anlamadan veri paylaşması veya verilere erişmesinden kaynaklanır; yıllık farkındalık eğitimi asgari bir gerekliliktir.
Gizlilik bildirimlerinizi yıllık olarak gözden geçirin ; sistemleriniz ve veri uygulamalarınız geliştikçe, gizlilik belgeleriniz de gelişmelidir.

Özetle

Uluslararası okullar genellikle aynı anda birden fazla veri koruma çerçevesi altında faaliyet gösterir; uyumluluk yaklaşımınızı tasarlamadan önce okulunuz için hangilerinin geçerli olduğunu belirleyin.
Okul, ManageBac+ veya OpenApply gibi üçüncü taraf platformlar kullanıldığında bile veri sorumlusu olmaya devam eder; bu nedenle tüm tedarikçilerle uygun anlaşmaların yapıldığından emin olun.
Pratik uyumluluk, elinizde hangi verilerin bulunduğunu, neden sakladığınızı, nerede saklandığını ve kimlerin erişebildiğini bilmekle başlar.
Yıllık personel eğitimi ve güncel gizlilik bildirimleri, operasyonel uyumluluğun temelini oluşturmaktadır.

Bu makale yalnızca genel bir rehber niteliğindedir ve hukuki tavsiye niteliği taşımaz. Okullar, kendi yetki alanlarına ve koşullarına özel tavsiyeler için nitelikli hukuk danışmanlarından destek almalıdır. Faria veri güvenliği ve gizliliğini nasıl ele aldığı hakkında bilgi için faria.org/secure adresini ziyaret edin.