Privadesa i RGPD: els menors són el centre del disseny

Papers clars

• El centre educatiu és el responsable del tractament i holaula l'encarregat (article 28 del RGPD).
• Contracte d'encarregat (DPA) amb cada centre des del primer pilot amb dades reals.
• Avaluació d'impacte (AIPD) model que el centre adapta: tractem dades de menors de 14 anys a gran escala, un supòsit que l'AEPD considera de risc.
• Llista pública de subencarregats.

On i com es guarden les dades

• Base de dades i emmagatzematge d'arxius amb jurisdicció a la Unió Europea.
• Fotos i documents accessibles només amb enllaços signats de caducitat curta; res de públic.
• Dades de salut, al·lèrgies i restriccions judicials xifrades a nivell d'aplicació.
• Aïllament entre centres també a la base de dades (polítiques de seguretat per files), no només al codi.

Minimització i conservació

• No demanem el DNI de les famílies llevat que el centre el necessiti per a secretaria.
• Dades de salut només si el centre activa menjador o medicació.
• Terminis de conservació per tipus de dada amb esborrat automàtic i exportació prèvia.
• Registre d'auditoria immutable de cada accés a dades d'un menor.

El que no fem

• Reconeixement facial, anàlisi de comportament o predicció de rendiment: mai.
• IA que decideixi sobre un alumne: la IA només ajuda a redactar i traduir, amb revisió humana i dades pseudonimitzades.
• Vendre o cedir dades a tercers.

Drets de les famílies

Accés, rectificació, supressió i portabilitat s'exerceixen davant del centre, que és el responsable, i holaula li facilita atendre'ls des del panell. Abans de tractar dades reals comptarem amb un delegat de protecció de dades.