Ocena skutków dla ochrony danych Google Workspace for Education

Ocena skutków dla ochrony danych (DPIA) dla korzystania przez Szkoła Podstawowa nr 1 w Warszawie z Google Workspace for Education

Art. 35 RODO ust. 1 RODO wskazuje, że jeżeli dany rodzaj przetwarzania – w szczególności z użyciem nowych technologii – ze względu na swój charakter, zakres, kontekst i cele z dużym prawdopodobieństwem może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator przed rozpoczęciem przetwarzania dokonuje oceny skutków dla ochrony danych (DPIA). Prezes UODO w Komunikacie z dnia 10.10.2019 r. wskazał rodzaje operacji przetwarzania wymagających oceny skutków. Administrator oceniając, czy dany rodzaj operacji będzie podlegał obowiązkowi przeprowadzenia DPIA, musi wziąć pod uwagę, wskazane na wstępie przesłanki. Jeżeli jakakolwiek z nich zostanie spełniona, dokonanie DPIA jest obligatoryjne. Urząd Ochrony Danych Osobowych podkreśla, że każdy z przykładów obszarów zastosowania ma charakter wyłącznie ilustracyjny, a w konsekwencji „Przykłady operacji/ zakresu danych/ okoliczności, w których może wystąpić wysokie ryzyko naruszenia dla danego rodzaju operacji przetwarzania” nie mają charakteru wyczerpującego. W przypadku korzystania przez Szkoła Podstawowa nr 1 w Warszawie z narzędzia, jakim jest Google Workspace for Education może wystąpić wysokie prawdopodobieństwo zagrożenia dla praw i wolności osoby fizycznej, w szczególności osób małoletnich.

I. Opis przetwarzania

Tabela nr 1

Lp. Dane do identyfikacji procesu Opisprzetwarzania

Opis czynności przetwarzania Przetwarzanie danych w ramach korzystania znarzędzia Google Workspace for Education

Cel czynności przetwarzania Usprawnienie procesu edukacyjnego

Podstawa prawna przetwarzania Art. 6 ust. 1 lit. e Rozporządzenia ParlamentuEuropejskiego i Rady (UE) 2016/679 z dnia27 kwietnia 2016 r. w sprawie ochrony osóbfizycznych w związku z przetwarzaniem danychosobowych i w sprawie swobodnego przepływutakich danych oraz uchylenia dyrektywy95/46/WE (ogólne rozporządzenie o ochroniedanych osobowych, Dz. Urz. UE L 119 z4 maja 2016), zwanego dalej RODO

Administrator danych Szkoła Podstawowa nr 1 w Warszawie

Podmioty przetwarzające Google LLC

Umowy powierzenia przetwarzaniadanych osobowych Umowa powierzenia przetwarzania danych osobowych z Google LLC

Systemy wspierające przetwarzanie Google Workspace for Education

Planowane przepływy danych Do Google LLC w USA

Charakter przetwarzania ● Zautomatyzowane● Regularne● Stałe

Zakres przetwarzania: ● Imię i nazwisko● Adres email● Data urodzenia● Klasa● Oceny● Adres zamieszkania

Kontekst przetwarzania: ● Platforma edukacyjna● Komunikacja elektroniczna● Przechowywanie danych

II. Opis procesu konsultacji wewnętrznych i zewnętrznych

Tabela nr 2

Opinie wewnętrzne np.: Inspektor Ochrony Danych, Rada Pedagogiczna, Rada Rodziców, Samorząd Uczniowski

Opinia IOD – Korzystanie z narzędzia, jakim jest Google Workspace for Education przez Szkoła Podstawowa nr 1 w Warszawie zachodzi duże prawdopodobieństwo zagrożenia dla ochrony praw i wolności osób fizycznych. Biorąc pod uwagę, że przetwarzane będą dane osobowe osób małoletnich, należy zadbać, aby ich dane były chronione w należyty sposób, oraz dostosować zabezpieczenia do zmieniającego się środowiska internetowego, a co za tym idzie do coraz to nowych pojawiających się zagrożeń cybernetycznych. Dlatego zaleca się, aby Administrator danych osobowych przeprowadzał kwartalną analizę ryzyka dla przetwarzania danych w Google Workspace for Education narzędziu, oraz posiadaniu dla niego aktualnej licencji. Zalecono także sporządzenie stosownej umowy powierzenia danych osobowych, przeszkolenie użytkowników narzędzia zgodnie z przepisami RODO, oraz zachowaniu prywatności i bezpieczeństwa przy jego stosowaniu.

Data: 2023-10-27

Opinie podmiotów zewnętrznych

Brak:

III. Określenie niezbędności oraz proporcjonalności danych art. 35 ust. 7 lit b RODO

Tabela nr 3

Środki, których podjęcie jest planowane w celu zapewnienia przestrzegania RODOPytanie Odpowiedź

Czy dane są adekwatne? Tak

Czy dane są zgodne z celem? Art. 6 ust. 1 lit. e RODO

Czy dane są ograniczone do tego, co niezbędne? Tak

Czy dane są dokładne? Tak

Czy dane są przechowywane nie dłużej niż to konieczne? Tak

Czy dane są przetwarzane zgodnie z zasadami bezpieczeństwa? Tak

Czy dane są integralne i poufne? Tak

Tabela nr 4

Środki przyczyniające się do zachowania praw osób, których dane dotycząPytanie Odpowiedź

Prawo dostępu do danych Uczeń ma prawo dostępu do swoich danych.

Prawo do sprostowania danych Uczeń ma prawo do sprostowania swoich danych.

Prawo do usunięcia danych ("prawo do bycia zapomnianym") Uczeń ma prawo do usunięcia swoich danych.

Prawo do ograniczenia przetwarzania Uczeń ma prawo do ograniczenia przetwarzania swoich danych.

Prawo do przenoszenia danych Uczeń ma prawo do przenoszenia swoich danych.

Prawo do sprzeciwu Uczeń ma prawo do sprzeciwu wobec przetwarzania swoich danych.

Gdy uczeń opuszcza szkołę, jest ona zobowiązana do usunięcia jego konta Google Workspace for Education. Szkoła może usuwać konta użytkowników, gdy konta te nie są już potrzebne. Szkoła zobowiązuje się do usunięcia danych klienta powiązanych z kontem użytkownika w ciągu 30 dni od usunięcia konta przez klienta

Automatyczne podejmowanie decyzji, w tym profilowanie Nie dotyczy

Prawo do skargi do organu nadzorczego Uczeń ma prawo do skargi do organu nadzorczego.

IV. Identyfikacja i ocena ryzyka

Poziom ryzyka wyznaczono według wzoru: R = P x Igdzie:R –poziom ryzykaP – wartość przypisana prawdopodobieństwu materializacji zagrożeniaI – Istotność

METODA OCENY RYZYKA POTENCJALNEGO ORAZSZCZĄTKOWEGOPRAWDOPODOBIEŃSTWO WYSTĄPIENIA ZAGROŻENIAISTOTNOŚĆ(WAGA)ZAGROŻENIA pomijalne niskie średnie wysokie krytyczne(1) (2) (3) (4) (5)

pomijalna (1) 1 2 3 4 5niska (2) 2 4 6 8 10średnia (3) 3 6 9 12 15wysoka (4) 4 8 12 16 20krytyczna (5) 5 10 15 20 25

STOPIEŃ RYZYKA niski (1-7) średni (8-14) wysoki (15-25)

Tabela nr 5

Analiza ryzykaŹródło ryzyka Prawdopodobień- Skutek - dotkliwość dla osób Poziom ryzyka Identyfikacja negatywnych skutków Wpływ zdarzenia na Wpływ na osobęstwo fizycznych zdarzenia atrybuty fizycznąbezpieczeństwa informacji

Wyciek danych 2 Średnia 6 • Utrata danych osobowych Niskie • Poufność Naruszenie• Integralność prywatności• Dostępność• Niezawodność

Nieautoryzowany dostęp 3 Średnia 9 • Nieautoryzowany dostęp do danych Średnie • Poufność Średnie• Integralność• Dostępność

Utrata dostępu do konta 1 Niska 2 • Utrata dostępu do konta Niskie • Dostępność Niskie• Niezawodność

Błędy oprogramowania 2 Średnia 6 • Błędy oprogramowania Niskie • Dostępność Niskie• Integralność• Niezawodność• Poufność

Atak hakerski 4 Wysoka 16 • Kradzież danych Wysokie • Poufność Wysokie• Integralność• Dostępność• Niezawodność

Phishing 3 Średnia 9 • Kradzież danych Średnie • Poufność Średnie• Integralność• Dostępność• Niezawodność

Malware 2 Średnia 6 • Uszkodzenie danych Niskie • Poufność Niskie• Integralność• Dostępność• Niezawodność

V. Identyfikacja środków redukujących ryzyko

Tabela nr 6

Środki zmniejszające ryzykoRyzyko Środki zaradzenia ryzyku Wpływ na ryzyko Ryzyko szczątkowe Środek zatwierdzony

Wyciek danych Szyfrowanie danych Zmniejszenie ryzyka Niskie TakSilne hasła Zmniejszenie ryzyka Niskie TakAutentykacja dwuskładnikowa Zmniejszenie ryzyka Niskie TakSzkolenia dla użytkowników Zmniejszenie ryzyka Niskie TakRegularne audyty bezpieczeństwa Zmniejszenie ryzyka Niskie TakKopie zapasowe Zmniejszenie ryzyka Niskie TakProcedury reagowania na incydenty Zmniejszenie ryzyka Niskie Tak

Nieautoryzowany dostęp Silne hasła Zmniejszenie ryzyka Średnie TakAutentykacja dwuskładnikowa Zmniejszenie ryzyka Średnie TakKontrola dostępu Zmniejszenie ryzyka Średnie Tak

Utrata dostępu do konta Procedura odzyskiwania hasła Zmniejszenie ryzyka Niskie TakWsparcie techniczne Zmniejszenie ryzyka Niskie TakKopie zapasowe Zmniejszenie ryzyka Niskie Tak

Błędy oprogramowania Aktualizacje oprogramowania Zmniejszenie ryzyka Niskie TakTestowanie oprogramowania Zmniejszenie ryzyka Niskie TakMonitorowanie oprogramowania Zmniejszenie ryzyka Niskie TakKopie zapasowe Zmniejszenie ryzyka Niskie TakProcedury reagowania na incydenty Zmniejszenie ryzyka Niskie Tak

Atak hakerski Zapora sieciowa Zmniejszenie ryzyka Wysokie TakSystem wykrywania włamań Zmniejszenie ryzyka Wysokie TakAntywirus Zmniejszenie ryzyka Wysokie TakSzkolenia dla użytkowników Zmniejszenie ryzyka Wysokie TakRegularne audyty bezpieczeństwa Zmniejszenie ryzyka Wysokie TakKopie zapasowe Zmniejszenie ryzyka Wysokie TakProcedury reagowania na incydenty Zmniejszenie ryzyka Wysokie Tak

Phishing Szkolenia dla użytkowników Zmniejszenie ryzyka Średnie TakFiltry antyspamowe Zmniejszenie ryzyka Średnie TakAutentykacja dwuskładnikowa Zmniejszenie ryzyka Średnie Tak

Malware Antywirus Zmniejszenie ryzyka Niskie TakSzkolenia dla użytkowników Zmniejszenie ryzyka Niskie TakRegularne skanowanie Zmniejszenie ryzyka Niskie TakKopie zapasowe Zmniejszenie ryzyka Niskie Tak

VI. Podsumowanie oceny skutków

Tabela nr 7

Wnioski i akceptacja oceny skutków dla ochrony danychZagadnienie Jan Kowalski, Dyrektor, 2023-10-27, Szkoła Podstawowa nr 1 w Warszawie Uwagi

Ocena ryzyka Przeprowadzono ocenę ryzyka i wdrożono środki zaradcze.

Środki zaradcze Wdrożono odpowiednie środki zaradcze.

Monitorowanie Będziemy monitorować skuteczność środków zaradczych.

Przegląd Będziemy regularnie przeglądać ocenę skutków.

Dokumentacja Dokumentacja DPIA jest kompletna.

Akceptacja Zatwierdzam DPIA.