بيانات الطلاب في Microsoft Teams: سجلات التدقيق والأرشفة وقوانين الخصوصية

يحمل فريق الصف بيانات شخصية أكثر مما يبدو. فقائمة الأعضاء تكشف من المسجّل في أي مقرر، وقد يدل ذلك على برنامج دراسي أو على تسهيلات خاصة بطالب. وتضم القنوات نقاشات، والملفات أعمالًا مسلّمة، وتضيف الواجبات والدرجات وتسجيلات الاجتماعات المزيد. اضربوا ذلك في كل شعبة وكل فصل دراسي.

يُنشأ معظم هذه الفرق تلقائيًا في بداية الفصل ثم يُنسى. وتظهر المخاطر لاحقًا: طالب انسحب في سبتمبر وما زال يملك الوصول في ديسمبر، أو مساعد تدريس أصبح مالكًا للفريق ودعا شخصًا من خارج المؤسسة، أو طلب للحصول على معلومات يسأل عمّن كان يستطيع رؤية فريق ما، ولا أحد يملك الجواب.

لماذا تتراكم بيانات الطلاب في Teams؟

كل فريق صف هو مجموعة في Microsoft 365 لها موقع SharePoint خاص وملفات ومحادثات. وتنشئ المؤسسات الآلاف منها في كل فصل، وقلّما يُغلق أحدها عن قصد.

ويتسع الانكشاف بطرق متوقعة:

• مالكون وأعضاء يُضافون عند الحاجة. يُضاف شخص يدويًا لحل مشكلة آنية، من دون تدوين السبب.
• ضيوف منسيون. يُدعى محاضر من الخارج لجلسة واحدة ولا يُحذف أبدًا.
• عضوية تنحرف. لا يُزامن الانسحاب، فيبقى طلاب سابقون في الفرق حتى نهاية الفصل أو بعدها.
• سجلات محدودة. يسجّل سجل التدقيق في Microsoft 365 ما تغيّر والحساب الذي أجرى التغيير، لكنه عام الغرض، وتتوقف مدة الاحتفاظ به على نوع الترخيص، ولا يقول شيئًا عمّا إذا كان التغيير متوقعًا.

لا يتطلب أيٌّ من ذلك إهمالًا. إنها النتيجة الافتراضية حين تُنشأ الفرق على نطاق واسع ولا يتولى أحد مسؤولية دورة حياتها.

ما التكلفة؟

التكلفة في معظمها مخاطر، وتأتي في أوقات غير مناسبة.

• وصول غير مصرّح به. الطالب المنسحب أو الضيف المنسي الذي ما زال يستطيع فتح محتوى المقرر هو بالضبط ما تطلب قوانين حماية البيانات من المؤسسات منعه، وقد يُعدّ حادثة تمس سرية البيانات.
• أسئلة بلا أجوبة. حين يسأل طالب أو جهة رقابية عمّن كان يصل إلى ماذا، قد تستغرق إعادة بناء الجواب من السجلات الخام أيامًا.
• احتفاظ مفرط. الإبقاء على كل الفرق إلى الأبد يجعل كل فصل سابق جزءًا من انكشافكم، ويخالف مبدأ عدم الاحتفاظ بالبيانات الشخصية إلا للمدة اللازمة.
• حذف مفرط. حذف الفرق في نهاية الفصل قد يتلف أعمالًا ما زلتم تحتاجون إليها لمراجعة درجة أو قضية نزاهة أكاديمية أو للالتزام بجدول الاحتفاظ بالسجلات.

ماذا تتوقع قوانين حماية البيانات؟

تختلف القوانين باختلاف البلد، لكن مبادئها متقاربة. وفي كيبيك، حيث يقع مقر LS2 Innovation، حدّث قانون 25 التشريعات الخاصة بحماية المعلومات الشخصية، بما فيها القواعد المطبقة على الهيئات العامة كالكليات والجامعات، ودخلت متطلباته حيّز التنفيذ على مراحل بين عامَي 2022 و2024. وهو يطلب من المؤسسات بوجه عام:

• تعيين شخص مسؤول عن حماية المعلومات الشخصية؛
• تقييم الأثر على الخصوصية قبل اقتناء نظام يعالج معلومات شخصية أو تطويره، وقبل نقل هذه المعلومات إلى خارج كيبيك؛
• الاحتفاظ بسجل لحوادث السرية، وإخطار لجنة النفاذ إلى المعلومات في كيبيك (Commission d'accès à l'information) والأشخاص المعنيين حين تنطوي الحادثة على خطر ضرر جسيم؛
• عدم الاحتفاظ بالمعلومات الشخصية إلا للمدة اللازمة، ثم إتلافها أو إخفاء هويتها، مع مراعاة جدول الاحتفاظ بالسجلات في المؤسسة.

وتقوم اللائحة العامة لحماية البيانات (GDPR)، المطبقة على المؤسسات في أوروبا، على مبادئ مشابهة: تقليل البيانات إلى الحد الأدنى، وتحديد مدة الاحتفاظ، والسلامة والسرية، والمساءلة، أي القدرة على إثبات الامتثال لا مجرد ادعائه. وفي بلدان أخرى كثيرة، تفرض أنظمة حماية البيانات المحلية التزامات من النوع نفسه.

هذا ملخص عام وليس استشارة قانونية. وعلى كل مؤسسة أن تتحقق من التزاماتها، ومن طريقة تطبيقها على Microsoft Teams، مع مسؤول حماية البيانات لديها.

مقاربات لا تصمد

• الاعتماد على المدرّسين في التنظيف. ضبط الوصول ليس من مسؤوليتهم، ومعظمهم لن يحذف أحدًا من فريقه أبدًا.
• حذف كل شيء في نهاية الفصل. يبدو آمنًا، لكنه يتلف سجلات قد تكون المؤسسة ملزمة بالاحتفاظ بها.
• الاحتفاظ بكل شيء إلى الأبد. يجنّب القرارات الصعبة، لكنه يحوّل كل فصل سابق إلى عبء.
• الاكتفاء بسجل التدقيق الخام دليلًا. يخبركم بما حدث، لا بما إذا كان ينبغي أن يحدث.
• تصحيح الصلاحيات بعد فوات الأوان. تدقيق آلاف الفرق مرة في السنة يكشف المشكلات بعد أشهر من بدايتها.
• إغلاق كل شيء. منع مشاركة الملفات أو المحادثة أو الاجتماعات على نطاق شامل لا يحمي شيئًا إذا لجأ المدرّسون إلى أدوات شخصية خارج سيطرة المؤسسة. فالضوابط الجيدة تحمي بيانات الطلاب من دون أن تعيق التدريس المشروع.

كيف تحمون بيانات الطلاب في Teams: قائمة تحقق

يربط الجدول التالي كل مبدأ بمعناه في Teams وبالضابط الذي يطبّقه عمليًا.

1. اضبطوا الأدوار عند الإنشاء لا بعده

المدرّسون المسؤولون عن المقرر يملكون الفريق، والطلاب أعضاء فيه. ولا يحصل مساعدو التدريس إلا على الصلاحيات التي تسمح بها سياستكم. ويدير مسؤولو تقنية المعلومات Teams من مركز الإدارة ويبقون خارج فرق الصفوف.

2. دعوا نظام معلومات الطلاب يحدد العضوية

يجب أن يؤدي الانسحاب في النظام إلى حذف الطالب من الفريق خلال دقائق في فترة الحذف والإضافة. وتتحول الإضافات اليدوية إلى استثناءات موثّقة بتاريخ انتهاء، والتفاصيل في مقال فترة الحذف والإضافة من دون تذاكر.

3. اضبطوا وصول الضيوف

قرّروا ما إذا كان مسموحًا بالضيوف في فرق الصفوف أصلًا. وإن كان مسموحًا، فراجعوا وصولهم في نهاية كل فصل.

4. راقبوا التغييرات المهمة

لا حاجة إلى مراجعة كل عملية تنزيل ملف. لكن يجب مراجعة تغييرات المالكين، والإضافات الجماعية للأعضاء خارج المزامنة، ودعوات الضيوف، وحذف الفرق أو أرشفتها.

5. اكتبوا سياسة لنهاية الفصل

اختاروا سلوكًا افتراضيًا لفرق الصفوف ووثّقوا الاستثناءات.

6. وثّقوا مسارات البيانات لتقييم الأثر على الخصوصية

دوّنوا البيانات التي يقرؤها التكامل من نظام معلومات الطلاب، وأين تُعالج وتُستضاف، ومن يستطيع رؤيتها في Teams، ومدة الاحتفاظ بها.

7. تدرّبوا على السؤال

اختاروا فريقًا وتاريخًا، واسألوا: من كان يملك الوصول، ولماذا؟ إذا استغرق الجواب أكثر من بضع دقائق، فسجلاتكم تحتاج إلى عمل.

كيف يدعم Teameo حماية بيانات الطلاب

يُبقي Teameo فرق الصفوف مرتبطة بنظام معلومات الطلاب طوال دورة حياتها. تُستمد الأدوار من النظام عند إنشاء كل فريق، وتصل تغييرات التسجيل، بما فيها الانسحاب والانتقال بين الشعب، في الوقت الفعلي أو وفق جدول زمني. وتمر الاستثناءات المعتمدة عبر سياسات دقيقة بدل التعديلات اليدوية. ويشرح مقال كيف تزامن نظام معلومات الطلاب مع Microsoft Teams الإعداد الشامل.

تُسجَّل كل عملية إنشاء أو تسجيل أو أرشفة بختم زمني وبهوية منفّذها، فترون فورًا ما إذا كان التغيير صادرًا عن النظام أم عن شخص. وهذا السجل مصمم لمتطلبات المساءلة في قانون 25 واللائحة GDPR، ويجيب عن سؤال الخطوة 7 من دون تحقيق في السجلات.

في نهاية الفصل يطبّق Teameo سياسة مؤسستكم، أرشفة جزئية أو أرشفة كاملة أو إخفاء، بالتوافق مع التقويم الأكاديمي في النظام. ويتم تسجيل الدخول عبر Microsoft Entra ID. ويعمل Teameo على بنية تحتية مستضافة في كيبيك بوصفه طبقة مزامنة، فيبقى محتوى المقررات داخل مستأجر Microsoft 365 لديكم.

تنشر LS2 Innovation، الجهة المطوّرة لـ Teameo (تعرّفوا عليها في صفحة من نحن)، سياساتها الخاصة بأمن المعلومات وإدارة الثغرات وتسجيل الأحداث، ويمكن لمسؤول حماية البيانات لديكم الاستناد إليها في تقييم الأثر على الخصوصية. اطلبوها عبر صفحة تواصل معنا، أو احجزوا عرضًا توضيحيًا لمراجعة إعدادكم.