学校应该了解哪些关于 GDPR、PDPA 和跨境数据合规性的知识
本文以通俗易懂的语言概述了与国际学校最相关的数据隐私法规，以及这些法规对学校管理人员和 IT 经理的实际意义。
国际学校在数据隐私领域占据着复杂的地位。它们收集并处理学生、家庭和教职员工的敏感个人数据，而且往往涉及多个司法管辖区。例如，一所位于曼谷的学校可能招收来自40个国家的学生，使用托管在爱尔兰的云平台，并雇佣来自十几个不同国家的教职员工。这些因素都可能涉及监管问题。
本文不构成法律建议，学校应始终就其具体情况寻求合格的法律顾问。本文旨在提供最相关的法规概述，以及每位学校管理人员和IT经理都应该提出的问题。
数据隐私合规并非一劳永逸，而是一项持续的运营责任，涉及系统配置、员工培训、供应商管理和学校政策等各个方面。首先要了解哪些法规适用于您的学校，而不是想当然地认为某个框架就能涵盖所有情况。
主要法规及其适用对象
GDPR - 通用数据保护条例（欧盟）
GDPR是全球引用最广泛的数据保护法规。它适用于任何处理欧盟或英国境内个人数据的组织，无论该组织本身位于何处。对于国际学校而言，这意味着如果您的学生或家庭是欧盟或英国居民，那么GDPR很可能与您相关——即使您的学校位于亚洲或中东。
根据《通用数据保护条例》(GDPR)，学校应遵循的关键原则包括：仅收集必要数据（数据最小化原则）、仅在必要时保留数据（存储限制原则）、采取适当的安全措施，以及向家长公开透明地说明数据的使用方式。家长和达到一定年龄的学生也有权访问、更正，并在某些情况下删除其个人数据。
PDPA - 个人数据保护法（泰国及其他国家的变体）
泰国的《个人数据保护法》（PDPA）于2022年全面生效，适用于任何在泰国境内处理个人数据的机构。在泰国运营的学校，无论其系统托管在本地还是海外，都必须遵守该法。亚洲和中东许多其他国家也存在类似的法律，名称各异，例如新加坡的《个人数据保护法》、马来西亚的《个人数据保护法》等。学校应明确其运营所在司法管辖区适用哪项国家法律。
FERPA（美国）
《家庭教育权利和隐私法案》（FERPA）适用于接受美国联邦政府资助的教育机构。对于大多数国际学校而言，FERPA 并不直接适用——但采用美国课程或服务于大量美国学生的学校，可能会遇到一些家庭期望获得类似 FERPA 的保护，并在讨论数据访问权时提出相关问题。
其他需要注意的框架
获得CIS或WASC等机构认证的学校，其认证标准中可能包含数据治理方面的要求。这些并非法律法规，但对实际运营具有重要意义。中东地区的学校可能还需遵守国家数据本地化要求，这些要求会影响数据的存储和处理地点。
每所学校都应该回答的实用合规问题
| 问题 | 为什么这很重要 |
|---|---|
| 我们学校适用哪些数据保护法规？ | 您无法遵守您未曾了解的法规；请从这里开始。 |
| 我们的学生数据存储在哪里，处理在哪里？ | 某些国家的数据本地化要求限制了跨境数据传输。 |
| 我们收集每种类型数据是否有合法依据？ | 大多数框架都要求处理个人数据必须有明确的法律依据（同意、合同、合法利益）。 |
| 我们的第三方供应商（包括Faria ）是否在适当的协议下处理数据？ | 学校仍需对供应商代表其处理的数据负责；大多数框架都要求签订数据处理协议（DPA）。 |
| 我们能否在规定的时间内回应家长或学生的数据访问请求？ | GDPR要求在30天内作出回应；许多其他框架也有类似的要求。 |
| 我们是否有成文的数据泄露应对程序？ | 大多数法规要求在规定的时间内向有关部门和受影响的个人通知违规行为。 |
这对您的Faria平台配置意味着什么
使用ManageBac+ 、 OpenApply 、 Atlas和SchoolsBuddy等云平台意味着学生和教职工的个人数据将由第三方供应商处理。在大多数数据保护框架下，学校仍然是数据控制者——这意味着即使数据由Faria的系统处理，您仍然需要对数据的使用方式负责。
关于您的Faria平台，您可以采取以下实际步骤：
- 确认已与Faria签订数据处理协议（DPA） ——这是GDPR和许多其他框架下的标准要求。
- 查看数据托管位置Faria可以确认您所在地区的数据处理和存储位置；这对于有数据本地化要求的国家的学校至关重要。
- 仅收集必要的数据——检查您在OpenApply和ManageBac+中收集的字段，并考虑是否所有字段都是您运营所必需的。
- 请确保您向家长提供的隐私声明涵盖Faria学校的数据处理方式——家长应被告知，作为学校运营的一部分，他们的数据会由第三方平台进行处理。
您可以在faria.org/secure上查看Faria的安全和数据保护信息。
提示和注意事项
- 指定一名隐私负责人——某些框架要求设立正式的数据保护官 (DPO)；即使法律没有强制要求，指定一名内部负责人也能提高问责制和响应速度。
- 保留数据处理活动记录——简单地记录您收集哪些数据、收集原因、数据存储位置以及保存期限——是一项基本的合规工具，也是GDPR要求大多数组织必须遵守的规定。
- 对员工进行数据处理义务方面的培训——违规行为通常是由于员工出于好意但在不了解规则的情况下共享或访问数据造成的；每年进行一次意识培训是最低要求。
- 每年审查您的隐私声明——随着您的系统和数据实践不断发展，您的隐私文档也应随之更新。
总之
- 国际学校通常同时遵循多个数据保护框架——在制定合规方案之前，请先确定哪些框架适用于您的学校。
- 即使使用ManageBac+或OpenApply等第三方平台，学校仍然是数据控制者；确保与所有供应商签订适当的协议。
- 切实合规始于了解你持有哪些数据、为什么持有这些数据、数据存储在哪里以及谁可以访问这些数据。
- 年度员工培训和最新的隐私声明是运营合规的基本要求。
本文仅提供一般性指导，不构成法律建议。学校应就其所在司法管辖区和具体情况寻求合格的法律顾问的意见。有关Faria如何处理数据安全和隐私的信息，请访问faria.org/secure 。