Cumplimiento de FERPA Es el cumplimiento de una regulación federal que exige a las instituciones educativas proteger la privacidad de los expedientes académicos de sus estudiantes. Entonces, ¿qué establece esta ley y qué exige?
Vamos a averiguarlo.
¿Qué son los derechos educativos y la privacidad de la familia (FERPA)?
En Ley de Derechos Educativos y Privacidad de la Familia (FERPA), también conocida como la Enmienda Buckley, entró en vigor en noviembre de 1974. Cualquier escuela, distrito escolar o institución que reciba fondos del Departamento de Educación de los EE. UU. (DoE) debe cumplir con los requisitos de FERPA.
Esta ley federal cubre todos los detalles del estudiante, incluidos información personal identificable (IPI) y la información del directorio, y tiene dos propósitos:
- Otorga a los padres del estudiante (o al estudiante si es mayor de 18 años) el derecho a consultar su expediente. Si este es incorrecto, los padres pueden solicitar su rectificación. Si la escuela se niega, los padres tienen derecho a una audiencia formal.
- Impide que la escuela comparta la información de un estudiante sin el permiso de los padres o del estudiante elegible.
En este punto, es importante tener en cuenta que no todos los documentos que mencionan el nombre de un estudiante están cubiertos por la FERPA. La ley se aplica específicamente solo a los expedientes escolares oficiales. Y estos expedientes no tienen que ser documentos impresos. Los formatos digitales, de correo electrónico, de video o cualquier otro tipo están cubiertos por la FERPA.
El reglamento establece una distinción entre información de identificación personal (PII) e información de directorio. Información personal sensible, como los números de seguro social, las calificaciones y los registros disciplinarios, no se pueden compartir sin explícito permiso por escrito, excepto en determinadas situaciones legales.
Sin embargo, la información del directorio es información más general, como el nombre del estudiante, su año de graduación o si participó en algún deporte. Puede compartirse sin permiso, a menos que el estudiante o sus padres lo excluyan.
La ley también transfiere automáticamente los derechos de los padres al estudiante una vez que cumple 18 años o se matricula en una universidad, lo que ocurra primero. Después de este punto, la escuela no puede divulgar información a los padres sin el consentimiento escrito del estudiante, excepto en casos específicos, ya que esto constituye una violación de la FERPA.
¿Qué no está cubierto por FERPA?
Como mencionamos anteriormente, no todos los documentos que mencionan al estudiante están cubiertos por la FERPA. A continuación, una lista de algunos:
- Cualquier registro creado por un maestro, profesor o miembro del personal, para su propio uso y no compartido con nadie: Por ejemplo, las notas privadas de un profesor sobre un alumno están exentas. Sin embargo, si el profesor las comparte con otros profesores, pasan a formar parte del expediente del alumno y, por lo tanto, están amparadas por la FERPA.
- Registros policiales o de seguridad mantenidos por el departamento de cumplimiento de la ley de la escuela: Estos no son registros educativos, por lo que la ley no se aplica a ellos.
- Registros de personas que son empleados de la escuela: Estos están amparados por la legislación laboral, ya que no son estudiantes. Sin embargo, si el empleado también es estudiante, su documentación está protegida por la FERPA.
- Expedientes de salud de un estudiante creados por los servicios de salud de la escuela: Estos están cubiertos bajo HIPAA ya que son información médica y datos no educativos.
- Registros de exalumnos creados después de que el estudiante se haya graduado: Esto es bastante obvio: una vez que se gradúan y dejan la universidad, dejan de ser estudiantes. Por lo tanto, cualquier información sobre ellos que se recopile a partir de ese momento (historial de donaciones de exalumnos, datos de contacto posteriores a la graduación, etc.) no está cubierta por la FERPA. Sin embargo, cualquier registro de su época de estudiantes sigue estando protegido.
- Trabajos calificados por pares antes de que el docente los recoja y registre: Las tareas o exámenes calificados por otros estudiantes no constituyen registros oficiales y no están sujetos a la ley FERPA. Sin embargo, una vez que el profesor los recopila y registra oficialmente, están protegidos por la ley.
¿Qué es el cumplimiento de FERPA?
Los requisitos para cumplir con la FERPA son bastante sencillos. Se pueden dividir en las siguientes tres categorías:
Consentimiento
El consentimiento es el requisito más importante de la FERPA. Una escuela no puede compartir la información personal identificable (PII) de un estudiante de su expediente académico sin el permiso explícito por escrito de sus padres o tutores, o del estudiante, si es mayor de 18 años o está matriculado en una institución de educación superior. Esto incluye:
- Calificaciones, boletines de calificaciones o transcripciones
- registros disciplinarios
- Registros de educación especial (por ejemplo, IEP)
- Registros de salud de los estudiantes, si los mantiene la escuela y no un centro médico
- Registros de ayuda financiera y matrícula
Se prevén algunas excepciones para las que no se requiere consentimiento. La información puede compartirse con:
- Funcionarios escolares (como maestros, consejeros, administradores y personal de TI) que necesitan la información para hacer su trabajo.
- Otra escuela, si el estudiante se está transfiriendo o inscribiendo y le piden registros
- Personal médico, en caso de emergencias de salud o seguridad
- Oficinas de ayuda financiera, que necesitan los datos para procesar subvenciones, préstamos y becas.
- Agencias de seguridad pública y tribunales, si la información es requerida por una citación o un proceso legal
- Las autoridades estatales o de justicia juvenil en determinadas situaciones jurídicas
- Los padres, si el estudiante es menor de 21 años y enfrenta una acción disciplinaria por abuso de drogas o alcohol.
Como parte del cumplimiento de la FERPA, las escuelas también deben otorgar al estudiante o a sus padres el derecho a inspeccionar y revisar sus registros oficiales dentro de los 45 días si lo solicitan. La parte interesada puede solicitar modificaciones a la información si es incorrecta.
Los estudiantes pueden renunciar al derecho a consultar sus expedientes, pero deben recibir orientación y asesoramiento antes de hacerlo. Esto les protege de renunciar a sus derechos sin comprender todas las implicaciones de hacerlo.
Como mencionamos anteriormente, la escuela puede compartir información del directorio, como el nombre, la dirección, el número de teléfono y los premios del estudiante, sin el permiso explícito de los padres o del estudiante. Sin embargo, se debe dar a la parte interesada la oportunidad de optar por no compartir dicha información con antelación.
Capacitación
Es responsabilidad de la escuela capacitar a sus empleados sobre las normas de la FERPA, incluyendo qué está y qué no está protegido, cuándo se puede compartir información y cómo gestionar los registros correctamente. Las personas que necesitan capacitación incluyen:
- Maestros y profesores, que necesitan saber qué pueden y qué no pueden compartir.
- Personal de oficina y administrativo, porque manejan expedientes estudiantiles todos los días
- Personal de TI, ya que a menudo administran bases de datos con información confidencial de los estudiantes.
- Seguridad del campus, ya que deben comprender los límites de FERPA sobre los registros policiales
- Proveedores externos, como plataformas de aprendizaje, que manejan datos de los estudiantes en nombre de la escuela
Todas estas partes deben comprender los tipos de expedientes estudiantiles que cubre la FERPA. Por ejemplo, los docentes deben saber que hablar sobre la calificación reprobatoria de un estudiante con otro estudiante constituye una infracción.
Deben saber cómo gestionar las solicitudes de registros, incluyendo cuándo requieren o no el consentimiento. Si reciben solicitudes de padres o estudiantes, ya sea para consultar la documentación o corregir inexactitudes, deben saber cómo procesarlas correctamente.
Eliminación de registros Es una parte tan importante de la gestión de datos como su almacenamiento. Los empleados deben recibir capacitación sobre cómo destruir registros antiguos e indeseados. La capacitación debe incluir cómo eliminar o destruir los registros para reducir el riesgo de divulgación involuntaria.
Seguridad
Al igual que con otras leyes de protección de datos, el cumplimiento de la FERPA exige que las escuelas protejan adecuadamente los expedientes estudiantiles, tanto en formato físico como electrónico.
En el caso de los registros en papel, los archivadores deben tener cerradura y almacenarse en un área designada a la que no puedan acceder personas no autorizadas. Solo se permitirá el acceso a quienes lo necesiten.
Para los registros digitales, deben implementarse medidas de ciberseguridad adecuadas. Toda la información, como la almacenada en bases de datos, debe estar protegida con contraseña. Los datos almacenados deben estar cifrados, de modo que, incluso si las amenazas logran acceder a ellos, no puedan leerlos fácilmente.
Medidas como control de acceso basado en reglas (RBAC) Se deben aplicar los principios de mínimo privilegio. Esto garantiza que solo los empleados que necesitan la información puedan acceder a ella. Y lo más importante, todos los procesos de ciberseguridad deben auditarse periódicamente para comprobar su eficacia y si necesitan mejoras.
¿Quién debe cumplir con FERPA?
Toda institución, agencia o programa educativo que reciba fondos federales debe cumplir con la FERPA. Por lo tanto, la mayoría de las escuelas públicas, distritos escolares y universidades, aunque no todas, están cubiertas por esta regulación.
Por ejemplo, si una universidad privada acepta préstamos federales, debe cumplir con la ley FERPA para garantizar la protección de la privacidad de los estudiantes. Sin embargo, una escuela primaria y secundaria con financiación privada no lo está.
¿Cuál es la sanción por infringir la FERPA?
Sanciones para escuelas e instituciones
Las instituciones educativas tienen la obligación ética de proteger la información personal identificable (PII) de sus estudiantes. Sin embargo, la normativa también lo convierte en una obligación legal, imponiendo severas sanciones por infracciones.
Si se presenta una queja contra una institución educativa, esta podría ser objeto de una investigación oficial sobre el manejo de sus datos y las prácticas de sus empleados. También podría recibir órdenes formales de cese y desistimiento del Departamento de Educación (DoE), padres o grupos de defensa para detener las divulgaciones no autorizadas.
Si se le declara culpable, una de las consecuencias más graves de incumplir la FERPA es que la institución podría perder la financiación que recibe del Departamento de Educación (DoE) y otras agencias federales. Dado que un gran número de universidades dependen en gran medida de las ayudas federales para estudiantes, este es un castigo considerable.
Además, existen leyes de privacidad específicas de cada estado. Si la violación de FERPA también infringe una ley estatal, se impondrían sanciones adicionales.
Estas infracciones suelen generar mala prensa y demandas judiciales, lo que puede afectar la reputación de la institución y, a menudo, conllevar una pérdida de credibilidad ante estudiantes, padres y personal. Finalmente, la alta dirección podría enfrentarse a una suspensión temporal o ser reemplazada.
Sanciones para los empleados
Cualquier empleado de la institución educativa responsable de la divulgación no autorizada de la información protegida de un estudiante puede perder su empleo. Podría ser objeto de investigaciones internas y se le podría prohibir el acceso a los sistemas y registros escolares.
Si bien la FERPA no permite demandas privadas, podrían ser procesados bajo otras leyes, como fraude o robo de identidad. Finalmente, podrían tener que pagar multas por infringir la FERPA.
Sanciones para proveedores externos
Si un proveedor no protege adecuadamente los datos de los estudiantes, las escuelas podrían rescindir su contrato. También podrían ser demandadas por violación de datos según las leyes contractuales o las leyes estatales de privacidad, como la Ley de Privacidad de Datos de Virginia o el CIEPA. Además, dado que afecta su reputación, otras escuelas e instituciones también podrían cancelar su contrato.
Ejemplos comunes de violaciones de FERPA
No todas las infracciones de la FERPA son intencionales; algunas pueden ser accidentales, pero conllevan las mismas consecuencias, incluyendo la posibilidad de que padres y estudiantes presenten una queja. A continuación, se presentan algunos ejemplos comunes de infracciones, tanto intencionales como no intencionales:
Cartas de recomendación
Esta infracción es delicada, ya que, si bien las cartas de recomendación forman parte de la información personal identificable (PII) de un estudiante, una escuela puede enviarlas a otras instituciones educativas sin necesidad de consentimiento. Sin embargo, esta excepción no aplica a entidades no educativas, como posibles empleadores. Esta es una distinción importante que el personal administrativo debe tener en cuenta.
Correos electrónicos a múltiples destinatarios
Si una institución envía correos electrónicos a un grupo de estudiantes, podría revelar inadvertidamente la identidad de todos si olvida usar CCO para sus correos. Esto podría no constituir una violación de la FERPA si el contenido del correo solo incluye información de directorio. Sin embargo, si el correo contiene información confidencial sobre los estudiantes, como su estado de prueba académica, sí representa un problema. Enviar correos electrónicos individuales a cada estudiante o usar un portal seguro para mensajes privados podría ayudar a evitar esta situación.
Explicando la ausencia de un estudiante
Supongamos que un estudiante no puede participar en una actividad debido a su rendimiento académico. En este caso, si un profesor menciona el motivo en una conversación informal con otro estudiante, se considera una violación de la FERPA. Capacitar al personal docente sobre lo que puede y no puede revelar ayuda a reducir este tipo de incidentes.
Error de proveedor externo
Las escuelas e instituciones educativas suelen colaborar con proveedores externos y les otorgan acceso a los expedientes estudiantiles. Si el proveedor comparte la información, accidental o deliberadamente, con una persona no autorizada a verla, se considera una infracción de la FERPA. De igual manera, si el proveedor utiliza la minería de datos con fines comerciales, también se considera una infracción.
La responsabilidad por la infracción depende de si la escuela investigó adecuadamente al contratista e incluyó cláusulas de privacidad de datos en el contrato. Si la escuela realizó la debida diligencia e incluyó una cláusula en su contrato sobre el cumplimiento de las normas FERPA, el contratista será responsable. De lo contrario, la escuela sería sancionada.
Entrega de registros a los padres de un estudiante adulto
Según la FERPA, una vez que un estudiante cumple 18 años o se matricula en una universidad, la propiedad de su información se transfiere a él. En este caso, compartir su información con sus padres sin consentimiento escrito constituye una violación de la FERPA.
Se debe informar a los padres sobre las reglas de transferencia de FERPA cuando el estudiante alcance la mayoría de edad y, si deben recibir la información del estudiante, debe ser con el consentimiento de la parte interesada.
Compartir públicamente información confidencial de los estudiantes
Si un funcionario escolar habla con un periodista o publica en las redes sociales sobre un incidente o actualización escolar y menciona el historial académico de un estudiante, su estado de salud o incluso una acción disciplinaria, estaría violando la FERPA.
De igual manera, si publicaran los resultados de las pruebas con las calificaciones junto a los nombres o la identificación de los estudiantes, estarían compartiendo parte del expediente académico personal de cada uno. Capacitar al personal sobre lo que puede y no puede compartir ayuda a reducir estos casos. Además, usar portales estudiantiles seguros para comunicarse con los estudiantes en lugar de anuncios públicos reducirá la exposición accidental de sus expedientes.
Dar información por teléfono
Si alguien llama a la escuela haciéndose pasar por el padre o la madre de un estudiante y solicita información protegida por la FERPA, la escuela tiene la responsabilidad de verificar que la persona sea quien dice ser y si está autorizada a recibir la información. Esto incluye verificar si el estudiante es mayor de 18 años y si ha dado su consentimiento para compartir información con sus padres.
Cumplimiento de FERPA con BigID
Los datos de los estudiantes, como cualquier otro tipo de datos, deben gestionarse y administrarse adecuadamente. Por eso BigID Es una solución perfecta para su escuela o institución educativa.
Nuestra plataforma ofrece descubrimiento y clasificación de datosPara que sepa qué información tiene y su grado de confidencialidad, también le ayudará a implementar y aplicar la minimización de datos, para que no almacene información innecesaria.
BigID también ayuda con gestión de derechos de datos, lo que le facilitará obtener el consentimiento de los estudiantes y responder a sus solicitudes (o las de sus padres) para ver su información.
Por último, nuestra plataforma integral proporciona inteligencia artificial gestión de la postura de seguridad de datos Capacidades para que todos sus datos, ya sea en sus instalaciones o en la nube, estén seguros. También puede usarlo para evaluar el riesgo de sus datos y realizar auditorías.
Si bien la capacitación de sus empleados sigue siendo su responsabilidad, BigID puede facilitar significativamente el proceso de gestión del consentimiento y la seguridad de los datos para el cumplimiento de FERPA. Programe una demostración 1:1 ¡con nuestros expertos en privacidad de datos hoy mismo!
Autor
