Thoả thuận bảo mật thường được coi là thủ tục hình thức trong hợp tác giáo dục, ký cho có rồi cất đi. Cách nhìn này bỏ qua một thực tế: quan hệ giữa hai nhà trường liên quan tới hai loại thông tin nhạy cảm mà việc rò rỉ gây hậu quả rất khác nhau.
Loại thứ nhất là thông tin về tổ chức: cấu trúc chi phí, danh sách đối tác, nội dung chương trình chưa công bố. Loại thứ hai là dữ liệu cá nhân của người học, và đây là loại mà việc xử lý sai có thể dẫn tới trách nhiệm pháp lý.
Bài viết này nêu ba thời điểm cần ký, sáu điều khoản cốt lõi, và cách xử lý riêng cho dữ liệu người học.
Ba thời điểm cần ký
Thời điểm một: trước khi trao đổi thông tin để đánh giá khả năng hợp tác. Giai đoạn tìm hiểu ban đầu là lúc hai bên chia sẻ nhiều thông tin nội bộ nhất, và cũng là lúc chưa có ràng buộc nào. Đây là thời điểm bị bỏ qua thường xuyên nhất.
Thời điểm hai: khi ký thoả thuận hợp tác chính thức. Nội dung bảo mật có thể là một điều khoản trong thoả thuận chính, không nhất thiết là văn bản riêng.
Thời điểm ba: trước khi bắt đầu chuyển dữ liệu người học. Đây là loại thông tin khác về bản chất và thường cần một văn bản riêng, chi tiết hơn.
Trong ba thời điểm, thời điểm thứ nhất là thời điểm mà việc thiếu văn bản gây rủi ro lớn nhất. Nếu hai bên trao đổi chi tiết về cách vận hành rồi không hợp tác, thông tin đã chia sẻ vẫn nằm ở bên kia mà không có ràng buộc nào.
Sáu điều khoản cốt lõi
Một: định nghĩa thông tin được bảo vệ. Cần cụ thể, không dùng cách diễn đạt bao trùm mọi thứ. Một định nghĩa quá rộng khó thực thi và thường bị bỏ qua trong thực tế.
Hai: các trường hợp loại trừ. Thông tin đã công khai, thông tin bên nhận đã có trước, và thông tin phải cung cấp theo yêu cầu của cơ quan có thẩm quyền.
Ba: phạm vi sử dụng. Bên nhận được dùng thông tin cho mục đích gì. Điều khoản này quan trọng hơn điều khoản về việc không tiết lộ, vì rủi ro thực tế thường nằm ở việc sử dụng sai mục đích chứ không ở việc công bố.
Bốn: ai trong tổ chức được tiếp cận. Nên giới hạn ở những người thực sự cần, và bên nhận có trách nhiệm ràng buộc những người đó.
Năm: thời hạn. Cần phân biệt thời hạn của thoả thuận với thời hạn của nghĩa vụ bảo mật. Nghĩa vụ thường kéo dài sau khi hợp tác kết thúc.
Sáu: xử lý thông tin khi kết thúc. Trả lại, tiêu huỷ, hay được giữ lại trong bao lâu. Cần lưu ý rằng bản sao trong hệ thống sao lưu không xoá được ngay, và điều khoản nên phản ánh thực tế kỹ thuật này.
Điều khoản thứ sáu hay được viết theo cách không thực hiện được. Một cam kết tiêu huỷ toàn bộ trong bảy ngày là bất khả thi với phần lớn hệ thống lưu trữ hiện nay.
Dữ liệu người học cần điều khoản riêng
Đây là phần quan trọng nhất và cũng là phần hay bị xử lý sơ sài nhất.
Lý do cần tách riêng. Dữ liệu cá nhân chịu sự điều chỉnh của quy định pháp luật, không chỉ của thoả thuận giữa hai bên. Việc hai bên đồng ý với nhau không đủ để hợp thức hoá một cách xử lý trái quy định.
Nội dung cần có. Loại dữ liệu nào được chuyển, mục đích, cơ sở pháp lý của việc chuyển, thời gian lưu trữ, và trách nhiệm khi có sự cố.
Sự đồng ý của người học. Việc chuyển dữ liệu sang một tổ chức khác, đặc biệt là ở nước khác, cần có sự đồng ý rõ ràng của người học, được thu thập đúng cách và lưu lại được.
Chuyển dữ liệu ra nước ngoài. Đây là nội dung có ràng buộc riêng ở nhiều hệ thống pháp luật, và nên được rà bởi người có chuyên môn.
Nghĩa vụ thông báo khi có sự cố. Nếu bên nhận để xảy ra rò rỉ, họ phải thông báo trong thời hạn bao lâu và cho ai.
Nguyên tắc thực dụng nhất: chỉ chuyển những dữ liệu thực sự cần cho mục đích đã nêu. Việc chuyển toàn bộ hồ sơ vì tiện hơn là cách làm tạo ra rủi ro không cần thiết.
Thoả thuận bảo mật không thay được quy trình nội bộ
Đây là điểm mà nhiều tổ chức hiểu sai. Một văn bản đã ký không tự bảo vệ được thông tin.
Cần xác định ai được tiếp cận. Trong thực tế, thông tin thường rò rỉ qua những người không liên quan trực tiếp nhưng có quyền truy cập hệ thống.
Cần quy tắc về kênh trao đổi. Việc gửi hồ sơ người học qua tài khoản cá nhân hoặc ứng dụng nhắn tin phổ thông vi phạm tinh thần của thoả thuận dù không vi phạm chữ nghĩa.
Cần đào tạo người trực tiếp xử lý. Người thực hiện công việc hằng ngày thường không đọc thoả thuận, nên cần một bản tóm tắt các quy tắc thực hành.
Cần ghi nhận việc chuyển giao. Ai đã gửi gì, cho ai, vào lúc nào.
Điểm cuối cùng có giá trị kép: vừa giúp kiểm soát, vừa là bằng chứng khi cần chứng minh mình đã xử lý đúng.
Khi đối tác đề nghị điều khoản bất lợi
Không phải bản thoả thuận nào do đối tác đưa ra cũng cân bằng. Bốn dấu hiệu cần lưu ý.
Nghĩa vụ một chiều. Chỉ một bên có nghĩa vụ bảo mật trong khi cả hai bên đều chia sẻ thông tin.
Định nghĩa quá rộng. Nếu mọi thông tin trao đổi đều thuộc diện bảo mật, việc tuân thủ trở nên bất khả thi và điều khoản mất ý nghĩa.
Thời hạn vô thời hạn. Nghĩa vụ kéo dài mãi mãi là điều khoản khó thực thi và thường không hợp lý.
Chế tài không tương xứng. Mức bồi thường cố định quá cao so với giá trị hợp tác.
Cách xử lý: đề nghị điều chỉnh với lý do cụ thể. Phần lớn đối tác sử dụng mẫu chung và sẵn sàng sửa khi có đề nghị hợp lý. Việc ký một văn bản biết là không thực hiện được còn tệ hơn việc mất thời gian đàm phán.
Rà soát định kỳ
Thoả thuận đã ký cần được rà lại, không để nguyên tới khi hợp tác kết thúc.
Kiểm tra danh sách người được tiếp cận mỗi năm. Nhân sự thay đổi, và quyền truy cập của người đã nghỉ thường không bị thu hồi.
Đối chiếu thực tế với phạm vi đã cam kết. Dữ liệu đang được dùng cho những mục đích nào, có mục đích nào ngoài phạm vi không.
Rà lại khi quy định pháp luật thay đổi. Các quy định về bảo vệ dữ liệu cá nhân thay đổi tương đối thường xuyên.
Kiểm tra việc tiêu huỷ dữ liệu đã hết mục đích. Hồ sơ của những người không nhập học thường bị giữ lại vô thời hạn vì không ai chịu trách nhiệm xoá.
Điểm cuối cùng là vi phạm phổ biến nhất trong thực tế và cũng dễ khắc phục nhất, chỉ cần một quy tắc về thời hạn lưu trữ và một lần rà soát mỗi năm.
Về các nguyên tắc chung trong việc bảo vệ thông tin của người học trong hợp tác quốc tế, khuôn khổ của Tổ chức Giáo dục, Khoa học và Văn hoá Liên Hợp Quốc (UNESCO) nêu các yêu cầu mà nhà trường nên tham chiếu.
Với bối cảnh so sánh về cách các hệ thống giáo dục xử lý dữ liệu trong hợp tác, tài liệu của Tổ chức Hợp tác và Phát triển Kinh tế (OECD) là nguồn tham khảo hữu ích.
Thoả thuận nhiều bên
Trong nhiều chương trình, thông tin đi qua hơn hai tổ chức, và cấu trúc hai bên không đủ.
Tình huống phổ biến. Nhà trường trong nước, đơn vị tư vấn, và cơ sở đào tạo ở nước ngoài cùng xử lý một hồ sơ. Nếu chỉ có thoả thuận giữa từng cặp, sẽ có những khoảng trống về trách nhiệm.
Rủi ro của cấu trúc rời rạc. Khi xảy ra rò rỉ, việc xác định trách nhiệm trở nên khó khăn, và mỗi bên đều có thể chỉ sang bên khác.
Cách xử lý. Hoặc lập một văn bản chung có đủ các bên, hoặc bảo đảm rằng mỗi thoả thuận song phương đều có điều khoản về việc chuyển tiếp nghĩa vụ cho bên thứ ba.
Nội dung không thể thiếu. Ai là bên chịu trách nhiệm chính với người học, và ai là đầu mối khi có sự cố.
Điểm cuối cùng nên được nêu rõ cho cả người học biết, vì họ là bên chịu hậu quả trực tiếp nhưng thường không biết dữ liệu của mình đang nằm ở những đâu.
Những gì nên nói với người học
Việc bảo vệ dữ liệu không chỉ là quan hệ giữa các tổ chức. Người học có quyền được biết.
Dữ liệu nào được chuyển đi và cho ai. Nên nêu cụ thể tên tổ chức, không nêu chung chung là các đối tác.
Mục đích của việc chuyển.
Thời gian lưu trữ.
Quyền của người học. Được xem, được yêu cầu sửa nếu sai, và được yêu cầu xoá khi hết mục đích.
Đầu mối liên hệ khi có thắc mắc.
Năm nội dung này nên nằm trong một tài liệu ngắn gửi cho mọi người học ở thời điểm bắt đầu, không chờ tới khi có người hỏi.
Cách làm này vừa đáp ứng yêu cầu về minh bạch, vừa có tác dụng thực tế: nó buộc chính nhà trường phải nắm rõ dữ liệu của mình đang đi những đâu, và nhiều tổ chức phát hiện ra khoảng trống khi lần đầu soạn tài liệu này.
Ngoài ra, tài liệu này cũng là căn cứ khi người học đề nghị xem hoặc yêu cầu xoá dữ liệu của mình. Nếu không có văn bản nêu rõ phạm vi, nhà trường sẽ phải xử lý từng đề nghị theo cách riêng lẻ, vừa tốn thời gian vừa dễ trả lời không nhất quán giữa các trường hợp.
Kinh nghiệm thực tế cho thấy việc soạn tài liệu này nên do bộ phận trực tiếp xử lý hồ sơ chủ trì, không nên giao hoàn toàn cho bộ phận pháp chế. Người làm nghiệp vụ biết dữ liệu thực sự đi những đâu; bộ phận pháp chế rà lại về mặt câu chữ và tuân thủ.
Tổng kết
Thoả thuận bảo mật cần được ký ở ba thời điểm, trong đó thời điểm rủi ro nhất là giai đoạn tìm hiểu ban đầu, vì đây là lúc hai bên chia sẻ nhiều nhất mà chưa có ràng buộc nào.
Dữ liệu người học cần điều khoản riêng vì nó chịu sự điều chỉnh của pháp luật chứ không chỉ của thoả thuận giữa hai bên, và nguyên tắc thực dụng nhất là chỉ chuyển những gì thực sự cần.
Văn bản đã ký không tự bảo vệ được thông tin. Nếu không có quy trình nội bộ về quyền truy cập, kênh trao đổi và ghi nhận chuyển giao, thoả thuận chỉ là giấy tờ.
Bước tiếp theo
Hãy rà lại xem Quý trường hiện đang chuyển những dữ liệu nào cho từng đối tác, và đối chiếu với phạm vi đã cam kết trong văn bản.
Nếu chưa có văn bản cho một đối tác đang nhận dữ liệu người học, đó là việc cần xử lý trước mọi nội dung khác trong quan hệ hợp tác đó.
