Dwuletnie dochodzenie w sprawie aplikacji technologii edukacyjnej (EdTech) używanych w szkołach w stanie Utah wykazało, że wiele z nich gromadziło i udostępniało dane uczniów w sposób, który wydawał się niezgodny z przyjętymi zasadami ochrony prywatności.
EdTech to ogromna branża komercyjna, a niektórzy twierdzą , że działa podobnie do tradycyjnych dużych firm technologicznych, stawiając na pierwszym miejscu zyski, skalowalne oprogramowanie i gromadzenie danych o użytkownikach, a nie sprawdzone wyniki nauczania.
Projekt, opublikowany przez Utah State Board of Education we współpracy z Brigham Young University i Internet Safety Labs , przeanalizowali ruch sieciowy generowany przez 100 aplikacji EdTech w latach 2023–2025. Zamiast opierać się wyłącznie na polityce prywatności lub zapewnieniach dostawców, badacze przyjrzeli się temu, co aplikacje faktycznie przesyłały podczas użytkowania.
Odkrycia były niepokojące. Spośród 85 przetestowanych aplikacji objętych stosownymi umowami o ochronie prywatności, 52% rzekomo gromadziło co najmniej jeden element danych uczniów, co nie było dozwolone na mocy umowy. We wszystkich przetestowanych aplikacjach badacze odkryli, że 61% udostępniało dane stronom trzecim, a 36% przesyłało dane reklamodawcom.
Okręg szkolny może mieć podpisaną umowę o ochronie danych osobowych z dostawcą technologii edukacyjnych, która określa, jakie informacje firma może gromadzić, dlaczego może je wykorzystywać i z kim może je udostępniać. Jednak obietnice umowne nie zawsze przekładają się na działanie aplikacji. Aplikacja może zawierać oprogramowanie analityczne innych firm, usługi reklamowe lub inne wbudowane komponenty, które przesyłają informacje w inne miejsce, a szkoła lub okręg nie mają pełnego wglądu w te transfery.
Pokazuje to, jak testy techniczne, w tym analiza ruchu sieciowego na żywo, mogą ujawnić zachowania, których nie wykryto w ocenach papierowych. W raporcie stwierdzono, że takie dochodzenia mogą ujawnić potencjalne niezgodności, których nie da się wykryć za pomocą tradycyjnych procesów weryfikacji.
Reakcja państwa wykraczała poza publikację ustaleń. Dostawcy, którzy mieli potencjalne problemy, zostali poproszeni o wyjaśnienie lub ich rozwiązanie. Dane firm, które zgłosiły zastrzeżenia, mogły zostać usunięte z raportu publicznego – podejście to miało na celu zachęcenie do podjęcia działań naprawczych, a jednocześnie pociągnięcie do odpowiedzialności dostawców, którzy nie zareagowali.
Po zakończeniu dochodzenia stan Utah uchwalił ustawę HB 55, „Zgodność z przepisami dotyczącymi Privacy dostawców technologii edukacyjnych (2026) , która weszła w życie 1 lipca. Nowelizuje ona paragraf 53E-9-309 Kodeksu stanu Utah. Między innymi, ustawa nakłada na podmioty edukacyjne obowiązek uwzględnienia w umowach z dostawcami określonych zabezpieczeń danych uczniów, powiadamiania dostawców o nieautoryzowanym wykorzystaniu danych uczniów oraz rozwiązywania umów, gdy dostawca nie usunie potwierdzonego naruszenia prywatności po otrzymaniu powiadomienia.
Ponieważ nie wszyscy mieszkamy w stanie Utah, ważniejsze pytanie dla każdego systemu szkolnego brzmi: Jak zachowują się wasze aplikacje?
Ochrona danych uczniów wymaga czegoś więcej niż tylko zaufania do polityki prywatności. Szkoły potrzebują dokładnych inwentaryzacji używanych narzędzi, jasnych limitów umownych oraz dostępu do wiedzy technicznej niezbędnej do sprawdzenia, czy te limity są przestrzegane.
A tak przy okazji, czy wiedziałeś o programie ochrony studentów Malwarebytes ?
