Старший директор по образовательным технологиям, PowerSchool

2 ноября 2026 г.

Конфиденциальность данных учащихся — это защита личной информации (PII) учащихся K-12, включая имена, оценки, данные о посещаемости и поведении, от несанкционированного доступа, раскрытия или нецелевого использования. Школы, округа и поставщики образовательных технологий несут солидарную ответственность за сбор, хранение и совместное использование данных учащихся в безопасном режиме и в соответствии с применимым федеральным, государственным и провинциальным законодательством.

Основные выводы

Конфиденциальность данных учащихся и безопасность данных учащихся — это связанные, но разные понятия: конфиденциальность регулирует права доступа, согласие и соблюдение законодательства; безопасность регулирует технические средства контроля, которые обеспечивают соблюдение этих прав.
Федеральные законы, включая FERPA, COPPA и PPRA, устанавливают базовые требования для школьных округов США в системе K-12; канадские округа также руководствуются законом PIPEDA и применимыми правилами провинций.
По данным Министерства образования США, запись об учащемся может стоить на черном рынке 250–350 долларов, что делает сектор K-12 одной из главных целей для киберпреступников.
Восемь основных практик, от ограничения сбора данных до управления соглашениями с третьими сторонами-поставщиками, могут существенно укрепить позиции округа в сфере конфиденциальности.
При оценке образовательного программного обеспечения с надежными функциями конфиденциальности данных учащихся руководителям по технологиям школьных округов следует искать журналы аудита, детализированное управление доступом, инструменты проверки поставщиков и задокументированные обязательства по соблюдению требований.

Что такое конфиденциальность данных учащихся?

Конфиденциальность данных учащихся — это право учащихся и их семей контролировать то, как школы, округа и поставщики собирают, получают доступ, используют и передают личную информацию, создаваемую в процессе обучения учащегося. Она охватывает правила, юридические обязательства и операционные решения, которые определяют, кто может видеть данные учащихся, с какой целью и на каких условиях.

Для школьных округов K-12 конфиденциальность данных учащихся является юридической и этической ответственностью. Школы собирают огромные объемы конфиденциальной информации об учащихся в рамках повседневной деятельности: данные о зачислении, оценки, результаты тестирования, посещаемость, историю дисциплинарных взысканий и медицинские карты. Семьи доверяют округам ответственное обращение с этой информацией. Когда это доверие подрывается, последствия выходят за рамки штрафов за несоблюдение нормативных требований и наносят долгосрочный ущерб доверию со стороны общественности.

Руководители технологических служб округов, директора школ, руководители округов и сотрудники играют роль в поддержании эффективных практик конфиденциальности, равно как и поставщики образовательных технологий и платформы, которые округ авторизует.

В чем разница между конфиденциальностью данных учащихся и безопасностью данных учащихся?

Конфиденциальность данных учащихся и безопасность данных учащихся затрагивают разные аспекты одной и той же задачи. Конфиденциальность определяет права, правила и границы использования информации об учащихся. Безопасность обеспечивает технические и операционные средства контроля, защищающие данные от несанкционированного доступа или утечки.

Вот чем они отличаются на практике:

Конфиденциальность данных учащихся

Фокус: Права, согласие и надлежащее использование данных учащихся
Регулируется: Законами (FERPA, COPPA, PPRA, PIPEDA), политиками и контрактами
Ключевые вопросы: Кто может получить доступ к этим данным? С какой целью?
Ответственные стороны: Руководители округов, специалисты по конфиденциальности, поставщики образовательных технологий
Примеры: Ограничение круга сотрудников, имеющих доступ к личным делам учащихся; требование соглашений на обработку данных от поставщиков

Безопасность данных учащихся

Фокус: Защита данных от несанкционированного доступа, кражи или потери
Регулируется: Техническими средствами контроля, включая шифрование, управление доступом и брандмауэры
Ключевые вопросы: Как эти данные защищены от утечки или программ-вымогателей?
Ответственные стороны: ИТ-команды, специалисты по безопасности, провайдеры платформ
Примеры: Многофакторная аутентификация (MFA); шифрование данных в состоянии покоя и при передаче
Округ может иметь надежные средства контроля безопасности и при этом нарушать нормы конфиденциальности. Например, если данные передаются поставщику без надлежащего разрешения. Надежная защита данных учащихся требует совместной работы обоих направлений.

Что считается личной информацией учащегося (PII)?

Личная информация учащегося (PII) — это любые данные, которые можно использовать для идентификации конкретного учащегося, либо напрямую, либо в сочетании с другой информацией. В соответствии с FERPA PII включает как прямые идентификаторы, так и косвенные идентификаторы, которые можно обоснованно использовать для определения личности учащегося.

Прямые идентификаторы включают в себя:

Имя учащегося
Имена членов семьи
Домашний адрес или личный адрес электронной почты
Номер социального страхования
Идентификационный номер учащегося
Дата и место рождения
Номер телефона
Фотография или биометрические данные

Образовательные записи и косвенные идентификаторы включают в себя:

Оценки и академические справки
Записи о посещаемости и дисциплинарных взысканиях
Результаты тестирования
Записи об инклюзивном образовании (специальном образовании) и IEP
Медицинские карты, ведущиеся школой
Участие в школьных программах
Любая другая информация, которая сама по себе или в совокупности позволяет с достаточной степенью достоверности идентифицировать личность учащегося

Поскольку персональные данные учащегося могут быть собраны из нескольких источников по частям, школы, заботящиеся о конфиденциальности, применяют защиту в широком смысле, а не только к очевидным идентификаторам вроде номеров социального страхования, но и ко всему спектру данных, генерируемых в процессе обучения.

Почему конфиденциальность данных учащихся важна для школьных округов K-12?

Данные учащихся представляют интерес для киберпреступников, поскольку они содержат большой объем деталей и долго сохраняют актуальность. Согласно U.S. Department of Education, одна запись об учащемся на черном рынке может стоить от 250 до 350 долларов. Эта сумма значительно превышает стоимость финансовых данных взрослого человека, отчасти потому, что данные учащихся остаются пригодными для использования в течение многих лет, а кредитные истории начинаются с чистого листа.

Эта угроза не является теоретической. Согласно 2025 CIS MS-ISAC K-12 Cybersecurity Report, 82% отчитавшихся организаций K-12 столкнулись с последствиями киберугроз. А U.S. Department of Education сообщает, что школы сталкиваются примерно с пятью киберинцидентами в неделю. По данным Sophos, средняя стоимость восстановления после атак программ-вымогателей в школах K-12 составила 3,76 миллиона долларов в 2024 году.

Ставки выходят за рамки кражи данных. Когда записи учащихся оказываются скомпрометированными, семьи теряют доверие к своим школам. Округа сталкиваются с потенциальной юридической ответственностью в соответствии с FERPA и другими применимыми законами. Сотрудники тратят месяцы на устранение последствий вместо того, чтобы поддерживать учащихся.

Руководители округов осознают всю серьезность ситуации. Согласно CoSN U.S. State of EdTech 2026 report, кибербезопасность занимает первое место среди технологических приоритетов руководителей в сфере K-12, причем 62 процента заявляют, что очень обеспокоены конфиденциальностью данных учащихся. Еще 60 процентов округов планируют улучшить практики безопасности данных учащихся, а 37 процентов активно укрепляют процессы проверки сторонних поставщиков.

Давление растет по мере того, как округа внедряют все больше образовательных технологических инструментов, платформ на базе искусственного интеллекта и облачных систем, которые создают и хранят данные учащихся в больших масштабах, чем когда-либо прежде.

ПРИМЕЧАНИЕ. При оценке образовательных технологий с поддержкой искусственного интеллекта округа должны понимать, какие данные учащихся получает система ИИ, сохраняются ли эти данные или передаются, и используются ли они для обучения моделей.

Каковы законы о конфиденциальности данных учащихся в США и Канаде?

Конфиденциальность данных учащихся в США регулируется многоуровневой системой федеральных законов, при этом штаты все чаще добавляют собственные требования. Канадские округа работают в рамках федерального законодательства о конфиденциальности, а в некоторых провинциях действуют дополнительные провинциальные правила. Понимание того, какие законы применяются, является основой для создания соответствующей требованиям программы конфиденциальности.

FERPA: Основная нормативно-правовая база для K-12

Закон о правах семьи на образование и конфиденциальность (FERPA) — это основной федеральный закон, защищающий конфиденциальность образовательных записей учащихся в Соединенных Штатах. FERPA применяется ко всем школам, получающим финансирование по программам, администрируемым Министерством образования США, что включает в себя подавляющее большинство государственных школ и округов K-12.

В соответствии с FERPA:

Семьи имеют право инспектировать и просматривать образовательные записи своих учащихся.
Школы должны получать письменное согласие перед раскрытием персонально идентифицируемой информации из образовательных записей, за редкими исключениями.
Округа должны ежегодно уведомлять семьи об их правах в рамках FERPA.
Защита FERPA переходит от родителей к учащемуся, когда учащемуся исполняется 18 лет или он начинает посещать высшее или среднее специальное учебное заведение.

FERPA также регулирует то, как округа передают данные учащихся сторонним поставщикам. Поставщики, получающие доступ к PII учащихся в качестве «должностного лица школы» («school official»), должны согласиться использовать данные только в тех целях, для которых они были привлечены, и не имеют права повторно раскрывать их.

COPPA: Защита детей младше 13 лет в Интернете

Закон о защите конфиденциальности детей в Интернете (COPPA) регулирует сбор личной информации о детях в возрасте до 13 лет операторами коммерческих веб-сайтов и онлайн-сервисов. Хотя COPPA в первую очередь направлен на коммерческих операторов, а не на школы, он оказывает существенное влияние на выбор edtech-инструментов школьными округами.

Когда округ уполномочивает edtech-поставщика собирать данные учащихся младше 13 лет в рамках образовательной услуги, округ может выступать в качестве агента для получения согласия родителей в рамках «исключения о согласии школы» («school consent exception»). Это возлагает на округа ответственность за проверку методов работы поставщиков с данными и подтверждение того, что поставщики собирают только данные, необходимые для заявленной образовательной цели.

PPRA: Опросы учащихся и персональная информация

Поправка о защите прав учащихся (PPRA) защищает права семей в отношении опросов, анализов и оценок, в ходе которых собирается персональная информация учащихся. Согласно PPRA, школы должны получать письменное согласие семей до того, как учащиеся примут участие в определенных опросах, запрашивающих конфиденциальную личную информацию.

PPRA применяется к опросам, полностью или частично финансируемым Министерством образования США, и округа должны иметь утвержденные правила, регулирующие проверку и защиту этих материалов.

Законы о конфиденциальности на уровне штатов

Многие штаты США приняли законы о конфиденциальности данных учащихся, которые выходят за рамки федеральных базовых требований. Некоторые штаты требуют заключения специальных соглашений о конфиденциальности данных с поставщиками, устанавливают обязательные стандарты безопасности, ограничивают использование данных или требуют ежегодной отчетности о прозрачности.

Округам следует отслеживать изменения в законодательстве своего штата, поскольку требования существенно различаются и продолжают развиваться.

Канада: PIPEDA и провинциальные правила

Канадские округа K-12 подпадают под действие Закона о защите личной информации и электронных документов (PIPEDA) — федерального закона Канады о конфиденциальности, регулирующего использование личной информации в ходе коммерческой деятельности. На практике в нескольких провинциях, включая Британскую Колумбию, Альберту и Квебек, действует собственное законодательство о конфиденциальности, применяемое к организациям государственного сектора, включая школьные советы.

Если провинциальные законы признаются по сути аналогичными PIPEDA, вместо федерального законодательства применяется провинциальный закон. Округам в Канаде следует проконсультироваться с юристами, чтобы определить, какое именно законодательство регулирует их деятельность и отношения с поставщиками.

8 лучших практик обеспечения конфиденциальности данных учащихся

Эффективная защита конфиденциальности данных учащихся — это набор непрерывных практик, охватывающих управление, технологии, поведение сотрудников и отношения с поставщиками. Вот восемь практик, которые руководители IT-отделов округов могут внедрить для укрепления системы конфиденциальности.

Ограничьте сбор данных только необходимым Собирайте только те данные учащихся, которые действительно необходимы вашему округу для работы. Каждая дополнительная точка данных, которую вы храните, — это точка данных, которая может быть взломана, использована не по назначению или раскрыта ненадлежащим образом. Регулярно проводите аудит своих систем, чтобы выявить данные, которые больше не нужны, и установите четкие правила их хранения и удаления.
Создайте систему классификации данных Не все данные учащихся одинаково конфиденциальны. Создайте структуру классификации, которая распределяет данные по уровню конфиденциальности (публичные, внутренние, конфиденциальные и ограниченного доступа), и примените соответствующие меры контроля доступа к каждой категории.
Контролируйте доступ с помощью ролей и разрешений Ограничьте доступ к данным учащихся на основе их рабочих функций. Преподавателю не нужен доступ к личным дисциплинарным делам каждого учащегося. Сотруднику приемной не нужен доступ к файлам специального образования. Ролевое управление доступом снижает риск несанкционированного раскрытия информации и упрощает аудит того, кто и к чему получал доступ.
Заключайте соглашения со сторонними поставщиками Каждый edtech-поставщик, получающий доступ к PII учащихся, должен подписать соглашение о конфиденциальности или обработке данных до начала развертывания. В этих соглашениях должно быть указано, к каким данным поставщик имеет доступ, как они могут использоваться, лимиты хранения, требования к уведомлению об утечках и обязательства по удалению. Согласно отчету CoSN U.S. State of EdTech 2026, 37% округов активно укрепляют свои процессы проверки сторонних организаций.
Обучайте персонал и информируйте семьи Практики конфиденциальности работают только тогда, когда люди, ответственные за данные учащихся, понимают их. Проводите регулярное обучение для преподавателей, сотрудников приемных и IT-команд по вопросам обращения с данными, осведомленности о фишинге и реагирования на инциденты. Общайтесь с семьями о том, как округ защищает данные их детей и какими правами они обладают в соответствии с действующим законодательством.
Регулярно проводите оценку рисков конфиденциальности Определите, где хранятся данные учащихся, как они перемещаются между системами и где существуют уязвимости. Регулярная оценка помогает округам расставлять приоритеты при устранении недочетов, документировать состояние конфиденциальности и демонстрировать регуляторам и семьям добросовестные усилия по соблюдению требований.
Разработайте план реагирования на инциденты Утечки данных и кибератаки — это не гипотетические угрозы. Округам необходим задокументированный план реагирования на инциденты, который определяет роли, сроки уведомления и шаги по восстановлению еще до возникновения инцидента. Поскольку восстановление после атак программ-вымогателей занимает в среднем 287 дней, подготовка обходится намного дешевле, чем ликвидация последствий.
Проверяйте инструменты Edtech перед внедрением. Новые платформы и приложения должны проходить проверку конфиденциальности до того, как они будут разрешены к использованию учащимися. Согласно отчету CoSN U.S. State of EdTech 2026, 86 процентов школьных округов проверяют бесплатные инструменты перед их использованием в школах, 65 процентов требуют проверки IT-отделом перед утверждением инструментов, а 61 процент ведет списки одобренных приложений. Официальный процесс утверждения, а не стихийное внедрение учителями, является стандартной практикой в округах, уделяющих особое внимание конфиденциальности.

Что следует искать в технологиях EdTech для обеспечения конфиденциальности ученических данных?

Надежная конфиденциальность ученических данных начинается с выбора образовательных технологий, разработанных для защиты информации учащихся на протяжении всего ее жизненного цикла. При оценке программного обеспечения руководители IT-отделов округов должны искать функции и методы, которые помогают ограничить сбор лишних данных, контролировать доступ, поддерживать прозрачность и защищать конфиденциальную информацию.

Минимизация данных и прозрачность

Ищите программное обеспечение, которое собирает только те данные учащихся, которые необходимы для предоставления предназначенных для этого услуг, и четко объясняет, какие данные собираются, как они используются, где хранятся и передаются ли они третьим лицам.

Контроль доступа на основе ролей

Надежные решения EdTech должны позволять округам контролировать, кто может получить доступ к информации об учащихся в зависимости от ролей и обязанностей. Права доступа должны быть достаточно детализированными, чтобы пользователи не видели данные, которые им не нужны.

Безопасная аутентификация и защита данных

Оцените, как программное обеспечение защищает информацию об учащихся как при хранении, так и при передаче. Такие функции, как надежная аутентификация, шифрование и безопасное управление учетными записями, могут помочь снизить риск несанкционированного доступа к конфиденциальным данным.

Журналы аудита и мониторинг

Обратите внимание на возможность отслеживания важных действий с данными учащихся, таких как доступ и изменения учетных записей. Четкие записи аудита могут помочь округам отслеживать использование данных и расследовать потенциальные проблемы с безопасностью или конфиденциальностью.

Управление хранением и удалением данных

Округа должны понимать, как долго хранится информация об учащихся и что происходит, когда она больше не нужна. Ищите четкие процессы удаления или возврата данных округа, в том числе по окончании срока действия контракта.

Защита данных третьих лиц

Узнайте, использует ли провайдер субподрядчиков или других третьих лиц, которые могут получить доступ к информации об учащихся. Поставщики должны быть прозрачны в отношении этих отношений и того, как данные учащихся остаются защищенными при привлечении третьих лиц.

Поддержка требований конфиденциальности и соответствия нормативам

Ищите технологии, которые помогают округам выполнять применимые обязательства по защите конфиденциальности учащихся, включая FERPA и соответствующие законы штатов о конфиденциальности данных учащихся. Поставщики должны четко документировать свои методы обеспечения конфиденциальности и обязанности, а не перекладывать на округа задачу определения того, как обрабатывается информация об учащихся.

Безопасные интеграции и обмен данными

Edtech редко работает изолированно. Оцените, как программное обеспечение обменивается информацией с вашей информационной системой об учащихся, системой управления обучением и другими технологиями округа, включая то, какие данные передаются и как защищены эти соединения.

Как PowerSchool подходит к вопросу конфиденциальности ученических данных

Конфиденциальность данных учащихся является фундаментальной заботой для любой технологической платформы K-12. Подход PowerSchool к конфиденциальности ученических данных сосредоточен на предоставлении округам контроля над своими данными, ограничении сбора ненужных данных и применении методов безопасности и конфиденциальности на протяжении всего жизненного цикла данных.

PowerSchool применяет комплексный подход к безопасности во всей своей технологической среде и портфеле продуктов. Примеры включают в себя:

Непрерывный мониторинг через специализированный Центр обеспечения безопасности (SOC).
Регулярное сканирование уязвимостей и тестирование на проникновение для всех продуктов и инфраструктуры.
Статическое и динамическое тестирование безопасности приложений, интегрированное в рабочие процессы разработки.
Текущие инициативы по безопасности, сосредоточенные на обновлении операционных систем, патчах для фреймворков, управлении учетными данными, контроле удаленного доступа, облачных разрешениях, стандартах шифрования и модернизации протоколов безопасности.

Программа безопасности PowerSchool регулярно оценивается с помощью независимых оценок и признанных стандартов, включая:

Сертификация ISO 27001:2022
Соответствие требованиям SOC 2
Сертификация 1EdTech TrustEd Apps

PowerSchool предоставляет возможности обеспечения конфиденциальности, безопасности и управления данными, которые могут помочь округам поддерживать собственные практики конфиденциальности и соблюдения нормативных требований. PowerSchool SIS, центральная информационная система об учащихся округа, дает округам контроль над данными учащихся с помощью таких функций, как разрешения на основе ролей, определяемое округом хранение данных и полное или частичное удаление записей учащихся.

Надежная конфиденциальность ученических данных требует как правильных технологий, так и правильных организационных практик. PowerSchool готова поддержать и то, и другое в качестве партнера в создании более безопасной, соответствующей требованиям и заслуживающей доверия среды данных для каждого ученика и каждого сообщества, обслуживаемого округом.

Часто задаваемые вопросы

В: Кто несет ответственность за конфиденциальность данных учащихся в школьном округе?

О: Конфиденциальность данных учащихся — это общая ответственность. Округ несет юридическую ответственность в соответствии с FERPA и другими применимыми законами, а также должен обеспечивать надлежащую обработку данных учащихся всем персоналом и сторонними поставщиками. Руководители IT-отделов округов обычно контролируют технические элементы управления, в то время как руководство округа устанавливает политику и обеспечивает соответствие требованиям. Сторонние поставщики EdTech, имеющие доступ к личным данным учащихся (PII), также юридически и по контракту обязаны соблюдать требования конфиденциальности.

В: Распространяется ли FERPA на сторонних поставщиков EdTech?

О: Да, в большинстве случаев. Когда округ разрешает стороннему поставщику EdTech доступ к учебным записям учащихся в рамках предоставления услуг, этот поставщик должен соблюдать требования FERPA для «школьных должностных лиц», что означает, что поставщик может использовать данные только в тех целях, для которых он был привлечен, и не имеет права разглашать их повторно. Округа должны заключать письменные соглашения о данных со всеми поставщиками, получающими доступ к личным данным учащихся (PII), до начала их работы.

В: Что должен делать округ в случае утечки данных учащихся?

О: Округ должен немедленно задействовать свой план реагирования на инциденты. Обычно это включает в себя локализацию утечки, оценку того, какие данные были затронуты, уведомление пострадавших семей в соответствии с требованиями закона и информирование соответствующих регулирующих органов в установленные сроки. Требования к уведомлениям в разных штатах и провинциях различаются. Округа, у которых еще нет задокументированного плана реагирования на инциденты, должны разработать его до возникновения утечки.

В: Одинаково ли решаются вопросы конфиденциальности данных учащихся в Канаде и США?

О: Не совсем. Хотя в обеих странах действуют федеральные нормы конфиденциальности, конкретные законы и обязательства различаются. Округа K-12 в США на федеральном уровне регулируются в первую очередь законами FERPA, COPPA и PPRA, а также применимым законодательством штатов. Школьные советы Канады работают в рамках PIPEDA, а в нескольких провинциях — в рамках провинциального законодательства, такого как FIPPA в Британской Колумбии или Закон 25 в Квебеке. Округа в обеих странах должны работать с юрисконсультами, хорошо знакомыми с их юрисдикцией.