Сотрудник по вопросам конфиденциальности в кампусе - Campus privacy officer

В Сотрудник по вопросам конфиденциальности кампуса (CPO) - это должность в высшем учебном заведении, которая обеспечивает сохранение конфиденциальности учащихся, преподавателей и родителей. Роль CPO возникла из-за растущей озабоченности по поводу конфиденциальности в кампусах колледжей.[1] Обязанности CPO варьируются в зависимости от конкретных потребностей сообщества кампуса.[1] В их повседневные задачи могут входить составление новой политики конфиденциальности для кампуса соответствующего колледжа, разработка учебной программы, которая информирует учителей и студентов о конфиденциальности, помощь в расследовании любых нарушений конфиденциальности в университете и обеспечение соблюдения университетом действующих государственных и федеральных законов о конфиденциальности. .[1] CPO также несут ответственность за связь с группами студентов и преподавателей по всему университетскому городку, чтобы понимать проблемы конфиденциальности в кампусе.[1] Роль CPO - это расширяющаяся профессия в США и других странах, таких как Канада и Южная Африка.[2][3] Существует множество организаций, которые проводят обучение для CPO и поддерживают их.

История

Трудно определить дату, когда была создана первая роль сотрудника по вопросам конфиденциальности в кампусе, однако среди первых официальных ссылок на конкретную роль сотрудника по вопросам конфиденциальности в кампусе можно найти распоряжение от 2005 года канцлера Калифорнийский государственный университет система. Приказ конкретно требует, чтобы университеты системы: «[p] предоставить имя, должность и контактную информацию сотрудника по вопросам конфиденциальности кампуса, если кампус является HIPAA покрытая сущность ".[4]

За несколько лет до того первого упоминания сотрудника по вопросам конфиденциальности в кампусе, CPO акроним чаще упоминается Директор по конфиденциальности, руководитель высшего звена в растущем числе глобальных корпораций, ответственный за управление рисками, связанными с законы о конфиденциальности информации и правила.[5] По мере того, как в эпоху Интернета проблемы конфиденциальности продолжали расти, роль главного сотрудника по вопросам конфиденциальности начала расширяться в государственный сектор,[6] а также в высшем образовании.

Первым высшим учебным заведением, нанявшим директора по вопросам конфиденциальности, было Пенсильванский университет в 2002.[7] Поскольку роль директора по конфиденциальности продолжает расширяться, чтобы охватить весь спектр сложных проблем управления данными, с которыми может столкнуться современное образовательное и исследовательское учреждение,[8] роль сотрудника по вопросам конфиденциальности в кампусе в некоторых случаях стала отличаться от роли главного сотрудника по вопросам конфиденциальности, чтобы сосредоточиться на повседневных проблемах конфиденциальности в жизни на территории кампуса, таких как последствия использования видеонаблюдения для конфиденциальности. и другие меры безопасности.[9] Однако в других учреждениях звания директора по конфиденциальности и сотрудника по конфиденциальности кампуса стали взаимозаменяемыми.[10]

Обязанности

Создание обучения конфиденциальности

Политика конфиденциальности кампуса влияет как на администрацию университета, которая помогает создавать политики, так и на студентов в университете. CPO отвечают за создание учебной программы, которая помогает студентам информировать студентов о том, как они должны этично использовать данные;[11] Для того, чтобы студенты могли изучать этот навык, университеты должны предоставить учебную программу, которая направлена ​​на обучение их этому навыку.[11] Были конкретные случаи, когда профессионалы в области ИТ принимали неэтичные решения на основании данных, касающихся других. CPO помогают внедрять и разрабатывать курсы, которые учат студентов тому, как на практике принимать этические решения в отношении данных.[11]

Обеспечение соблюдения университетом существующих федеральных законов и законов штата о конфиденциальности

Должностные лица университетского городка, работающие с данными о студентах, должны понимать действующие федеральные нормы и правила штата, обеспечивающие защиту этих данных.[12] Например, Медицинское страхование Портативность и Акт об ответственности и Закон о семейных правах на образование и неприкосновенность частной жизни оба влияют на то, как данные о студентах обрабатываются в кампусах.[12] В Департамент образования США всегда обновляет и изменяет эти законы.[12] Офицер по вопросам конфиденциальности в кампусе отвечает за понимание обновленных версий всех федеральных законов о конфиденциальности и доведение до школы любых изменений в политике данных. Крайне важно, чтобы администрация кампуса постоянно соблюдала федеральные законы о защите данных.[12] Невыполнение этого требования может привести к потере государственным учреждением федерального финансирования.[12]

Разработка новой политики конфиденциальности

Офицеры по вопросам конфиденциальности в кампусе также помогают университетам разрабатывать новые политики, которые обеспечивают сбор данных о студентах с соблюдением этических норм, что гарантирует сохранение конфиденциальности студента.[13] Благодаря развитию последних технологий, сбор новых данных и их анализ резко возросли в университетских городках за последнее десятилетие. Например, такие технологии, как обучающая аналитика, собирать данные об обучении студентов и преподавателях для анализа эффективности стратегий обучения. При использовании этой технологии должны быть установлены руководящие принципы, гарантирующие доверие между учеником и преподавателем. CPO могут помочь облегчить создание этих политик. Эти политики направлены на институциональную подотчетность и прозрачность, а также на контроль и право студента на доступ к своим данным.[13] Офицеры кампуса также отвечают за встречи с администрацией школы, чтобы обсудить недавно разработанную политику конфиденциальности и убедиться, что школа ее понимает. CPO могут способствовать укреплению чувства конфиденциальности, разъясняя учащимся и школьным должностным лицам важность конфиденциальности в образовании, включая конфиденциальность документов, конфиденциальность поведения и т. Д. Это можно сделать с помощью мероприятий по обеспечению конфиденциальности и встреч с различными заинтересованными сторонами в школьной системе.

Примеры проблем с политикой

Обучающая аналитика

Обучающая аналитика влечет за собой сбор данных о студентах и ​​мониторинг конкретных аспектов студента в образовательной среде. Эти аспекты могут включать в себя успеваемость учащихся на тестах, данные об удержании, данные о зачислении и количество выпускников. Массовый сбор данных о студентах делает их безопасность крайне уязвимой. Высшие учебные заведения несут ответственность за обеспечение конфиденциальности информации о студентах.[14] Студенты должны предоставить свою информацию, чтобы поступить в высшее учебное заведение. Чтобы гарантировать, что студенты не будут эксплуатироваться, должна существовать политика кампуса, которая требует, чтобы студенты играли активную роль в процессе анализа обучения.[14] При создании политики, которая направляет аналитику обучения, CPO должны учитывать культуру, технологические возможности и поведение учебного заведения.[15]

Чтобы свести к минимуму риск утечки данных, необходимо также установить политику, которая помогает администрации распознать наилучшие способы безопасного обмена данными.[16]

Законы, которые должны отслеживать сотрудники Campus Privacy Officer

Международное право

Общие правила защиты данных

Общие правила защиты данных это закон, принятый Европейским Союзом, который признает определенные конфиденциальность данных права резидентов ЕС и предъявляет различные требования к тому, как организации могут обрабатывать личные данные.[17] GDPR призван регулировать организации, которые:[17]

  1. Действовать в пределах ЕС и собирать личные данные резидентов ЕС;
  2. Действовать за пределами ЕС и собирать личные данные жителей ЕС; или,
  3. Предоставлять резидентам ЕС онлайн-услуги, связанные с личными данными.

Несоблюдение требований GDPR может привести к штрафам до 20 миллионов евро или 4% от общемирового годового дохода организации, в зависимости от того, какая сумма больше.[18] Таким образом, риски конфиденциальности, связанные с потенциальным воздействием GDPR, вероятно, будут важным компонентом обязанностей CPO.

Одним из примечательных аспектов GDPR является положение, которое при определенных обстоятельствах может требовать назначения Сотрудник по защите данных (ДПО). В частности, в статье 37 GDPR указаны факторы, которые могут потребовать назначения DPO.[17] DPO в организации может показаться аналогом роли CPO в университете, однако DPO различается по ряду существенных аспектов, и эти две роли не следует путать или смешивать.[19][20]

Федеральные законы США

Закон о семейных правах на образование и неприкосновенность частной жизни

В Закон о семейных правах на образование и неприкосновенность частной жизни Закон (FERPA), принятый в 1974 году, гарантирует, что университеты предоставляют студентам и родителям соответствующие документы об образовании. Студенты колледжа имеют право запросить свои академические и личные записи в своем университете и оспорить утверждения в этих записях, если они являются ложными.[21] FERPA также запрещает университетам обмениваться данными о студентах, в частности личная информация с сторонними организациями без явного согласия учащегося.[21]

CPO несут ответственность за то, чтобы помочь своему университету соблюдать руководящие принципы FERPA. Если учащийся или родитель считает, что его университет не соответствует стандартам FERPA, они могут подать жалобу в Управление по соблюдению семейной политики (FPCO) в Департамент образования США.[22] Если Управление расследует жалобу на университет и обнаруживает, что школа нарушает FERPA, Управление свяжется с университетом и объяснит шаги, которые необходимо предпринять для его соблюдения.[22]

Медицинское страхование Портативность и Акт об ответственности

Медицинское страхование Портативность и Акт об ответственности (HIPAA) был принят в 1996 году. Этот закон защищает всю «индивидуально идентифицируемую медицинскую информацию».[23] Это напрямую влияет на то, как информация о здоровье студентов используется университетом. В большинстве случаев информация о здоровье студентов по-прежнему регулируется FERPA. CPO отвечают за создание образовательных инструментов, обеспечивающих надлежащую подготовку сотрудников кампуса, работающих с данными о состоянии здоровья студентов.[23] Несоблюдение законов HIPAA может привести к сокращению финансирования университета.

Организации, которые помогают сотрудникам кампуса по вопросам конфиденциальности

Основная цель этих организаций - предоставить CPO образовательные ресурсы, чтобы помочь им оставаться в курсе текущей политики конфиденциальности. Кроме того, эти организации предоставляют CPO сеть других профессионалов в области конфиденциальности, с которыми можно связаться и учиться. Ниже приведены примеры известных организаций, поддерживающих CPO:

Международная ассоциация профессионалов в области конфиденциальности

Международная ассоциация профессионалов в области конфиденциальности (IAPP) - крупнейшее глобальное сообщество профессионалов в области конфиденциальности. Эта некоммерческая организация, основанная в 2000 году, помогает профессионалам в области конфиденциальности лучше понимать политику конфиденциальности. IAPP предоставляет учебные ресурсы, чтобы помочь профессионалам в области конфиденциальности бороться с такими рисками, как утечка данных и выявление краж.[24] Он также связывает специалистов по конфиденциальности с сетью других сотрудников в их области. IAPP также предлагает три программы сертификации для профессионалов в области конфиденциальности, в том числе Certified Information Privacy Professional (CIPP), Certified Information Privacy Manager (CIPM) и Certified Information Privacy Technologist (CIPT). Их члены также проводят исследования по политике конфиденциальности и публикуют свои выводы через исследовательский центр IAPP Westin.[25]

Educause

Educause это некоммерческая ассоциация, цель которой - помочь информационные технологии Лидеры (ИТ) в сфере образования занимаются вопросами защиты данных и политики конфиденциальности информации.[26] До создания Educase CAUSE и Educom были двумя основными ассоциациями информационных технологий в сфере высшего образования.[27] Обе организации были созданы в 1960-х годах. В 1986 году появление Macintosh компьютер от яблоко сделал возможным выполнение административных и академических вычислений студентов на одном устройстве. Это побудило две организации к сотрудничеству и выпуску тренингов, которые помогают подготовить специалистов высшего образования к использованию этой технологии. Увеличение числа пользователей Интернета в 1990-х годах также привело к созданию CAUSE ресурсов, которые помогают своим членам ориентироваться в политике использования Интернета.[27] CAUSE и Educom официально объединились в 1998 году, чтобы создать Educause.

Текущая миссия Educause - помочь предоставить профессионалам в области конфиденциальности ресурсы и обучение, которые им необходимы для успешной работы. Это также позволяет специалистам по конфиденциальности связываться друг с другом и обмениваться информацией о политике конфиденциальности. Более 99 000 членов являются частью более 2300 организаций по всему миру. Внутри организации члены формируют комитеты, которые помогают Educause планировать конференции по вопросам конфиденциальности или разрабатывать стратегии, направленные на обеспечение конфиденциальности. Специальным комитетом, направленным на сотрудников по вопросам конфиденциальности кампуса, является консультативный комитет Совета по информационной безопасности высшего образования (HEISC). Работа и исследования участников Educause опубликованы в Образовательный обзор. Издание публикует информацию о последних достижениях в области технологий и их потенциальном влиянии на высшее образование.

Общество корпоративного соответствия и этики

Общество корпоративного соответствия и этики (SCCE) - это организация по обеспечению конфиденциальности, состоящая из более чем 7000 членов.[28] Члены в основном состоят из сотрудников по соблюдению требований, таких как CPO, как в частном, так и в государственном секторе. Члены SCCE работают в самых разных областях, таких как образование, аэрокосмическая промышленность, банковское дело, строительство, развлечения, правительство, финансовые услуги, продукты питания и производство, страхование, газ и нефть. SCCE помогает своим членам быть в курсе законов, касающихся конфиденциальности и этики, проводя мероприятия или предоставляя обучающие видео и книги. Это гарантирует, что офицеры соблюдают действующие правила. Помимо предоставления участникам образовательных ресурсов, организация также предоставляет сотрудникам отдела нормативно-правового соответствия возможности встречаться и общаться с другими участниками своей отрасли. Члены также могут получить сертификат специалиста по корпоративному соответствию и этике (CCEP) и сертификат международного специалиста по корпоративному соответствию и этике (CCEP-I).

Роль CPO в разных странах

Канада

В Закон о свободе информации и защите конфиденциальности (FIPPA) устанавливает правила конфиденциальности для канадских университетов. Этот закон был создан на основе существующей политики конфиденциальности в университетах.[2] Исследование, проведенное со студентами из двух университетов Онтарио, показывает, что ни преподаватели, ни студенты не знают о FIPPA и других действующих в их странах политиках конфиденциальности.[2] Преподаватели не знали ни о существовании в университете сотрудника по вопросам конфиденциальности, ни о способах связи с ним. И преподаватели, и студенты в этом исследовании подчеркнули необходимость создания образовательных инструментов, объясняющих существующую политику конфиденциальности.[2] Офицеры по вопросам конфиденциальности в кампусе помогают создавать эти инструменты для студентов и преподавателей и заполнять информационные пробелы среди студентов и преподавателей на территории кампуса.

Южная Африка

Закон о защите личной информации (POPIA) защищает сбор данных об учащихся.[3] Этот закон гарантирует, что высшие учебные заведения остаются прозрачными, информируя студентов о том, почему их данные собираются, и явно указывая предполагаемое использование этих данных.[3] Однако исследование южноафриканских университетов в 2016 году показало, что высшие учебные заведения еще не оборудованы для безопасного управления данными о студентах.[3] В настоящее время в университетах нет системы управления, определяющей, как следует обрабатывать данные о студентах.

Примеры сотрудников по вопросам конфиденциальности в кампусе

Роль сотрудника по вопросам конфиденциальности в кампусе подпадает под различные должности в кампусах в США и по всему миру.[1] Вот несколько примеров ролей конфиденциальности, которые присутствуют в высшем образовании:

СтранаНазвание университетаДолжность сотрудника по конфиденциальности
Соединенные Штаты АмерикиОбернский университетДиректор по институциональному соответствию и конфиденциальности
Соединенные Штаты АмерикиУниверситет ДьюкаДиректор по соблюдению конфиденциальности
Соединенные Штаты АмерикиУниверситет Индианы БлумингтонДиректор по конфиденциальности
Соединенные Штаты АмерикиКолледж МонтгомериДиректор по информационной безопасности и конфиденциальности
Соединенные Штаты АмерикиГосударственный университет Нью-МексикоСпециалист по соответствию ИТ
Соединенные Штаты АмерикиРутгерс, Государственный университет Нью-ДжерсиДиректор по конфиденциальности
Соединенные Штаты АмерикиУниверситет МайамиAVP (заместитель вице-президента) и директор по информационной безопасности
Соединенные Штаты АмерикиКалифорнийский университет в БерклиСотрудник по вопросам конфиденциальности кампуса
Соединенные Штаты АмерикиМичиганский университет в Анн-АрбореСотрудник Университета по конфиденциальности
Соединенные Штаты АмерикиУниверситет Нью-МексикоСотрудник по информационной безопасности и конфиденциальности
Соединенные Штаты АмерикиУниверситет Северной Каролины в Чапел-ХиллДиректор по конфиденциальности
Соединенные Штаты АмерикиСистема Техасского университетаСотрудник по конфиденциальности
Соединенные Штаты АмерикиВашингтонский университетСотрудник по институциональной конфиденциальности
Соединенные Штаты АмерикиПенсильванский университетСотрудник Университета по конфиденциальности
Соединенные Штаты АмерикиРоуэнский университетДиректор по информационной безопасности
Соединенные Штаты АмерикиСтэндфордский УниверситетДиректор по конфиденциальности
Соединенные Штаты АмерикиУниверситет Западной ВирджинииДиректор по конфиденциальности
КанадаКоролевский университетДиректор по конфиденциальности
КанадаУниверситет МанитобыСотрудник по доступу и конфиденциальности

использованная литература

  1. ^ а б c d е «Учебник по CPO высшего образования, часть 1: приветственный набор для руководителей высшего образования по вопросам конфиденциальности» (PDF). Август 2016 г.
  2. ^ а б c d Даудинг, Мартин. «Интерпретация конфиденциальности на территории кампуса: свобода информации и неприкосновенность частной жизни и университеты Онтарио». Канадский журнал коммуникации. 36 (1): 11–30.
  3. ^ а б c d Сингх Д. и Рамутшели М. П. (2016). «Защита данных студентов в контексте южноафриканского университета ODL: риски, проблемы и уроки из сравнительных юрисдикций». Дистанционное обучение. 37 (2): 164–179. Дои:10.1080/01587919.2016.1184397.
  4. ^ «Политика университетских медицинских услуг - Указ № 943». Система государственного университета Калифорнии. 28 апреля 2005 г.. Получено 3 июн 2019.
  5. ^ «Новая терминология конфиденциальности». Нью-Йорк Таймс. Получено 2019-05-23.
  6. ^ Жюстин Браун (30 мая 2014 г.). «Повышение директора по конфиденциальности». Правительственные технологии. Получено 23 мая 2019.
  7. ^ "Назван первый директор по конфиденциальности". Penn Today. Пенсильванский университет. 28 марта 2002 г.. Получено 2 июн 2019.
  8. ^ Джонсон, Сидней (25 марта 2019 г.). «Директора по конфиденциальности: небольшой, но растущий парк высших учебных заведений». EdSurge. Получено 2 июн 2019.
  9. ^ Массара, Дж. Хейли (13 июля 2014 г.). «Должность сотрудника по вопросам конфиденциальности в кампусе создана для защиты информационной безопасности». Ежедневный калифорнийский. Независимая студенческая издательская компания Беркли, Inc.. Получено 2 июн 2019. Позиция, опубликованная во вторник в виде списка вакансий, потребует уравновешивания конфиденциальности данных о лицах, содержащихся в кампусе (так называемая конфиденциальность информации), и способности людей действовать без наблюдения или автономной конфиденциальности ...
  10. ^ Фогель, Валери (11 мая 2015 г.). «Директор по конфиденциальности в высшем образовании». EDUCAUSE Обзор. Получено 2 июн 2019.
  11. ^ а б c Брукс, Рошель (2010). «Разработка этического кодекса: подход онлайн-класса к установлению связи между этическими основами и проблемами, создаваемыми информационными технологиями». Американский журнал бизнес-образования. 3 (10): 1–14.
  12. ^ а б c d е Роу, Линда (2005). «Что судебные должностные лица должны знать о правиле конфиденциальности HIPAA». Журнал НАСПА. 42 (4): 498–512.
  13. ^ а б Пардо, Абелардо и др. Др. (2014). «Принципы этики и конфиденциальности для обучения аналитике». Британский журнал образовательных технологий. 45 (3): 438–450. Дои:10.1111 / bjet.12152.
  14. ^ а б Принслоо, Пол и Шэрон Слэйд (2016). «Уязвимость учащихся, активность и обучающая аналитика: исследование». Журнал обучающей аналитики. 3 (1): 159–182.
  15. ^ Макфадьен, Л.П., Доусон, С., Пардо, А., Гашевич (2014). «Использование больших данных в сложных образовательных системах: императив обучающей аналитики и политическая задача». Исследования и практика в оценке. 9: 17–28.
  16. ^ Горофф Д., Жюль П. и Омер Т. (2018). «Исследование по защите конфиденциальности: Содействие этически ответственному доступу к административным данным». Анналы Американской академии политических и социальных наук. 675 (1): 46–66. Дои:10.1177/0002716217742605.
  17. ^ а б c Клиза, Марта-Клаудиа и Спатару-Негура, Лаура-Кристиана (2018). «Общее положение о защите данных: что государственные органы и органы должны знать и делать? Повышение уровня офицера по защите данных» (PDF). 8 (2): 489–501. Цитировать журнал требует | журнал = (Помогите)
  18. ^ «Административные штрафы». GDPR EU.org. Архивировано из оригинал 12 апреля 2018 г.. Получено 4 июн 2019.
  19. ^ Козелья, Джаред (3 января 2019 г.). "Coffee with Privacy Pros: DPO vs. CPO. Юрист vs. Техник. Двойственность конфиденциальности". Журнал CPO. Конфиденциальность данных Asia Pte. ООО. Получено 26 мая 2019.
  20. ^ «Руководители по вопросам конфиденциальности могут не иметь права выполнять функции сотрудников по защите данных в соответствии с GDPR, - говорит эксперт».. Out-Law.com. ТОО «Пинсент Масоны». 7 сентября 2017 г.. Получено 26 мая 2019.
  21. ^ а б Шталь, Уильям М. и Джоанн Каргер (2016). «Конфиденциальность данных учащихся, цифровое обучение и специальное образование: проблемы на стыке политики и практики» (PDF). Журнал лидерства в специальном образовании. 29 (2): 79–88.
  22. ^ а б «Общее руководство FERPA для родителей». ed.gov. 26 июня 2015.
  23. ^ а б Роу, Линда (2005). «Что судебные должностные лица должны знать о правиле конфиденциальности HIPAA». Журнал НАСПА. 42: 4 - через 498-512.
  24. ^ «О IAPP». 2018. Получено 1 ноября, 2018.
  25. ^ «Миссия и предыстория IAPP». Получено 2020-11-04.
  26. ^ «Просвещение: миссия и организация». Ноябрь 2018.
  27. ^ а б "ПРИЧИНА История". 2018. Получено 1 ноября, 2018.
  28. ^ «Об Обществе корпоративного соответствия и этики». 2018. Получено 1 ноября, 2018.