Nauczycielka klas młodszych, która w poniedziałek postanawia zacząć naukę pisania na klawiaturze, do piątku uderza w tę samą ścianę: program prosi o adres e-mail dla każdego dziecka, a dziewięciolatki nie mają adresów e-mail. Obejście, które wymyśla niemal każda szkoła, jest gorsze niż sam problem. Ktoś zakłada 27 sztucznych skrzynek w domenie szkoły, spisuje 27 haseł na zalaminowanej kartce i po cichu zostaje administratorem 27 kont, których nikt nigdy nie zamknie.
Program do nauki pisania bez kont uczniowskich całkowicie to pomija. Uczniowie dołączają do klasy krótkim kodem i imieniem wybranym przez nauczyciela, nic nie jest weryfikowane w żadnej skrzynce pocztowej i nie istnieją dane logowania, które można zgubić, użyć ponownie albo wyciekną. Szkoły w całej Europie zaczęły prosić o to wprost, a powodem nie jest wygoda. Chodzi o to, że narzędzia oparte na kontach ciągną za sobą procedurę ochrony danych, której sześciotygodniowy moduł klawiaturowy nigdy nie powinien uruchamiać.
Co właściwie oznacza program do nauki pisania bez kont uczniowskich?
Oznacza, że uczeń jest identyfikowany wyłącznie w obrębie własnej klasy, przez kod i nazwę użytkownika, bez e-maila, bez hasła i bez profilu istniejącego poza szkołą. Nauczyciel tworzy klasę, rozdaje kod, a każdy uczeń wybiera lub dostaje nazwę. To cała rejestracja.
Istotne rozróżnienie to nie „brak ekranu logowania". Wiele narzędzi nazywa się wolnymi od kont, a mimo to tworzy trwały rekord użytkownika powiązany ze szkolną tożsamością Google lub Microsoft. Prawdziwie bezkontowe rozwiązanie ma trzy cechy:
- Nie zbiera się żadnego adresu e-mail, ani od ucznia, ani o uczniu.
- Nie istnieje hasło, więc nie ma czego resetować, powielać ani wyłudzać.
- Identyfikator jest lokalny dla klasy, więc „Maria B" w klasie 5A nie znaczy nic w żadnym innym miejscu systemu.
W Typiq, desktopowym programie do nauki pisania na Mac, Windows i Linux, tak właśnie działa kod klasy: nauczyciel tworzy klasę, aplikacja dostaje kod i imię, a wyniki ćwiczeń wiążą się z tym imieniem w tej klasie. Osoby spoza klasy szkolnej nie wpisują niczego, bo aplikacja desktopowa działa offline i bez żadnego konta.
Dlaczego szkoły pytają o to właśnie teraz?
Bo koszt zgodności kont uczniowskich stał się widoczny. W latach 2021 do 2025 seria europejskich analiz ochrony danych, najgłośniej duńskie i holenderskie oceny Google Workspace for Education, postawiła dyrekcje w sytuacji, w której trzeba uzasadnić każde zewnętrzne narzędzie przetwarzające dane dzieci. Program do pisania używany dwadzieścia minut w tygodniu trafił do tego samego rejestru co dziennik elektroniczny.
W szkolnych zakupach wracają trzy praktyczne naciski:
- Pytanie inspektora ochrony danych. Każde nowe narzędzie wymaga wpisu do rejestru czynności, podstawy prawnej, a często oceny skutków. Narzędzie, które poza imieniem nie przechowuje żadnego identyfikatora, to wpis na dwie linijki zamiast dwutygodniowego projektu.
- Pytanie działu IT. Konta trzeba założyć we wrześniu i usunąć w lipcu. W lipcu nikt ich nie usuwa. Uśpione konta uczniowskie należą do najczęstszych ustaleń w szkolnych audytach bezpieczeństwa.
- Pytanie rodziców. „Do czego zapisałaś moje dziecko?" jest znacznie łatwiejsze, kiedy uczciwa odpowiedź brzmi „do kodu klasy i jego imienia".
Nic z tego nie dotyczy wyłącznie pisania na klawiaturze. Po prostu ćwiczenie klawiatury ma wyjątkowo słabą relację między ilością zbieranych danych a stawką edukacyjną, przez co wymóg konta trudno obronić.
Czego RODO faktycznie tutaj wymaga?
RODO nie zakazuje kont uczniowskich. Wymaga zbierania tylko tego, co niezbędne do celu (art. 5 ust. 1 lit. c, minimalizacja danych), posiadania podstawy prawnej, możliwości usunięcia danych na żądanie (art. 17) oraz tego, by każdy dostawca przetwarzający dane w imieniu szkoły robił to na podstawie pisemnej umowy powierzenia (art. 28).
Cztery punkty rozstrzygają większość szkolnych ocen:
- Minimalizacja danych to cały argument. Jeśli program potrafi nauczyć rzędu podstawowego bez adresu e-mail, zbieranie tego adresu trudno uzasadnić na gruncie art. 5. Kryterium jest niezbędność, nie wygoda.
- Zgoda to zwykle zła podstawa dla szkoły. Szkoła publiczna jako administrator opiera się zwykle na zadaniu realizowanym w interesie publicznym lub prawnie uzasadnionym interesie, a nie na zgodzie, bo zgoda udzielona organowi rzadko jest dobrowolna. To ważne, bo narzędzie zbudowane wokół „rodzic klika akceptuję" popycha szkołę ku podstawie, której nie może poprawnie zastosować.
- Wiek zgody cyfrowej różni się w zależności od kraju. Art. 8 pozwala każdemu państwu członkowskiemu ustalić go między 13 a 16 rokiem życia. To 13 lat w Szwecji, Portugalii i Danii, a 16 w Niemczech, Holandii, Polsce i Rumunii. Narzędzie zakładające konta ośmiolatkom dziedziczy całą tę kwestię. Kod klasy nie tworzy konta, więc jej nie dziedziczy.
- Usunięcie musi być realne operacyjnie. „Usuwamy na żądanie" znaczy, że ktoś potrafi to zrobić w tydzień, dla jednego ucznia, bez zgłoszenia do wsparcia, które zostaje bez odpowiedzi. Mniej przechowywanych pól to krótsza droga do usunięcia.
Uczciwe postawienie sprawy: żaden dostawca nie sprawi, że szkoła będzie zgodna z RODO, a kto tak twierdzi, obiecuje za dużo. Narzędzie bezkontowe zmniejsza tylko tę część pracy nad zgodnością, którą samo narzędzie tworzy.
Jak kod klasy działa w praktyce?
Nauczyciel dostaje kod przy tworzeniu klasy, zapisuje go na tablicy, a uczniowie wpisują go raz. Wyniki ćwiczeń wiążą się potem z imieniem w tej klasie. Nie ma kroku weryfikacji, maila potwierdzającego ani hasła, bo nie ma konta, które trzeba by chronić.
Realny przebieg w pracowni komputerowej:
- Nauczyciel tworzy klasę i otrzymuje kod w formie
TYP-5A-XXXX. - Kod trafia na tablicę albo na karteczkę przyklejoną do każdego stanowiska.
- Każdy uczeń otwiera aplikację i wpisuje kod oraz imię lub pseudonim zatwierdzony przez nauczyciela.
- Lekcje działają lokalnie, więc zerwanie wifi w połowie lekcji nic nie kosztuje.
- Szybkość, dokładność, lekcja i czas ćwiczeń synchronizują się z widokiem klasy, gdy sieć wróci.
- Po zakończeniu modułu klasę można zamknąć, a razem z nią znika jedyne miejsce, w którym te imiona istniały.
Oto co zmienia się między modelami, pole po polu.
| Dane przechowywane o uczniu | Narzędzie z kontami | Kod klasy, bez konta |
|---|---|---|
| Adres e-mail | Zwykle wymagany | Nigdy nie zbierany |
| Hasło | Tak, wraz z resetowaniem | Nie istnieje |
| Pełne imię i nazwisko | Częste | Niepotrzebne, nauczyciel wybiera etykietę |
| Data urodzenia | Często, do kontroli wieku | Nie zbierana |
| Wyniki (szybkość, dokładność, lekcja) | Tak | Tak |
| Postęp między urządzeniami | Tak | Nie, i to jest prawdziwy koszt |
| Identyfikatory reklamowe | Obecne w darmowych wersjach z reklamami | Brak |
| Kto może usunąć | Wsparcie dostawcy, czasem rodzic | Nauczyciel, usuwając klasę |
Ta tabela to cały argument na jednym ekranie i zarazem wersja uczciwa, bo zawiera wiersz, w którym wygrywa narzędzie z kontami.
Z czego rezygnujemy bez kont uczniowskich?
Rezygnujemy z przenośności i odzyskiwania. Bez konta nie ma resetu hasła, nie ma logowania z domu i nie ma postępu, który podąża za uczniem z pracowni na jego własny laptop. To realna strata, nie marketingowy przypis.
Konkretnie:
- Brak ćwiczeń w domu pod tą samą tożsamością. Uczeń ćwiczący w domu zaczyna oddzielną historię lokalną. Widok klasy pokazuje sesje szkolne.
- Brak samodzielnego odzyskiwania. Jeśli uczeń wpisze we wtorek imię inaczej, powstanie druga pozycja. Ktoś musi to uporządkować.
- Ręczne przenoszenie. Zmiana klasy przez ucznia to drobna czynność administracyjna, nie automatyczny transfer.
- Brak portalu dla rodziców. Drogą do informacji o postępach jest nauczyciel, co jedne szkoły wolą, a inne nie.
- Słaba tożsamość z założenia. Każdy, kto ma kod klasy, może wpisać dowolne imię z tej klasy. Przy ćwiczeniu pisania to akceptowalne ryzyko. Przy ocenianiu już nie, a moduły klawiaturowe nie powinny być oceniane wyłącznie na podstawie tych liczb.
Wolę powiedzieć to wprost, niż udawać, że kompromisu nie ma. Kod klasy jest właściwym domyślnym rozwiązaniem dla nauki pisania właśnie dlatego, że stawka jest niska: nikt nie potrzebuje kryptograficznej pewności, kto we wtorek pisał rząd podstawowy. Jeśli wasz przypadek naprawdę wymaga zweryfikowanej tożsamości każdego ucznia, narzędzie z kontami jest wyborem właściwym i trzeba zaplanować budżet na pracę zgodnościową, która z tym przychodzi.
O co pytać przed zakupem programu do nauki pisania bez kont uczniowskich?
Pytajcie, co jest przechowywane, gdzie, jak długo, kto może to usunąć i co dzieje się po zakończeniu umowy. Dostawca, który nie odpowie na te pięć rzeczy na piśmie, nie jest gotowy na szkołę.
Lista, która mieści się na jednej stronie dla inspektora ochrony danych:
- Jakie dane osobowe są przechowywane, pole po polu? Proście o listę, nie o uspokajający akapit.
- Gdzie są hostowane? Hosting w UE całkowicie usuwa kwestię transferów międzynarodowych.
- Czy jest pisemna umowa powierzenia w rozumieniu art. 28? Powinna być dostępna na żądanie, jeszcze przed zakupem.
- Jak przebiega usuwanie i kto je wykonuje? Usunięcie inicjowane przez nauczyciela jest mocniejsze niż zgłoszenie do wsparcia.
- Czy aplikacja działa offline? Ćwiczenie offline to mniej danych uczniów w tranzycie i pracownia, która przetrwa słabe łącze.
- Czy po stronie ucznia są reklamy, trackery albo zewnętrzna analityka? W darmowych wersjach to zwykły ukryty koszt, więc warto przeczytać porównanie programów do nauki pisania dla szkół, zanim uznamy, że darmowe jest tańsze.
- Co dzieje się na koniec roku szkolnego? Zapytajcie, czy klasy wygasają i co jest wtedy zachowywane.
Jeśli wciąż projektujecie sam moduł, zamiast wybierać narzędzie, pytania o kolejność zagadnień znajdziecie w praktycznym przewodniku po nauczaniu pisania w szkole i w programie nauki pisania dla klas młodszych. Edukacja domowa mierzy się z pokrewną wersją tego samego pytania o prywatność, omówioną w przewodniku po programie nauki pisania w edukacji domowej. Szkoły z pracowniami Chromebooków mają dodatkowe ograniczenie, o którym warto przeczytać wcześniej, w notatkach o ćwiczeniu pisania na Chromebooku.
Szkolna konfiguracja Typiq używa kodów klasy dokładnie z powyższych powodów, przechowuje dane na serwerze w UE i oferuje bezpłatny sześciotygodniowy pilotaż dla jednej klasy, żeby szkoła mogła przetestować przebieg przed jakąkolwiek papierologią. Szczegóły są na stronie Typiq dla szkół.
Podsumowanie
Program do nauki pisania bez kont uczniowskich identyfikuje ucznia kodem klasy i imieniem wybranym przez nauczyciela, czyli bez adresów e-mail, bez haseł i bez rekordów użytkownika, które przeżywają moduł. Na gruncie RODO to nie certyfikat zgodności, tylko znacznie krótsza rozmowa o zgodności, bo argument minimalizacji danych (art. 5) broni się sam. Realnym kosztem jest przenośność: bez kont nie ma odzyskiwania hasła ani postępu, który idzie z uczniem do domu, co jest akceptowalne przy ćwiczeniu klawiatury i złe przy ocenianiu.
Najczęściej zadawane pytania
Czy program do nauki pisania bez kont jest zgodny z RODO?
Żadne oprogramowanie nie jest zgodne samo z siebie, bo zgodność spoczywa na szkole jako administratorze danych. Narzędzie bezkontowe zmniejsza obowiązki szkoły: mniej przechowywanych pól, brak danych logowania do zabezpieczenia, prostszy argument o podstawie prawnej i szybsza ścieżka usuwania. Nadal potrzebna jest umowa powierzenia z art. 28 i rejestr czynności przetwarzania.
Jak uczniowie logują się bez adresu e-mail?
Wpisują kod klasy podany przez nauczyciela oraz imię lub pseudonim. Kod identyfikuje klasę, imię identyfikuje ucznia wyłącznie w obrębie tej klasy. Nie ma kroku z hasłem, maila potwierdzającego ani weryfikacji, bo żadne konto nie powstaje.
Czy dwóch uczniów w tej samej klasie może użyć tego samego imienia?
Nie powinni, a większość systemów potraktuje dwa identyczne imiona w jednej klasie jako tego samego ucznia. Praktyczne rozwiązanie jest takie samo jak przy plakietkach: dodać pierwszą literę nazwiska, żeby „Maria B" i „Maria S" pozostały osobne. Konwencję warto ustalić przed pierwszą lekcją.
Jakie dane szkoła faktycznie przechowuje, gdy klasa korzysta z programu do nauki pisania?
Przy konfiguracji z kodem klasy zwykle imię lub pseudonim wybrany przez nauczyciela oraz wyniki: liczba słów na minutę, dokładność, ukończona lekcja i długość sesji. Bez e-maili, bez dat urodzenia, bez zdjęć, bez identyfikatorów reklamowych.
Czy uczniowie tracą postępy bez konta?
Postęp w obrębie klasy jest zachowany i widoczny dla nauczyciela. Traci się przenośność. Uczeń ćwiczący w domu bez kodu klasy buduje osobną historię lokalną na tym komputerze i te dwie się nie łączą. Przy module prowadzonym w pracowni rzadko ma to znaczenie.
Czy rodzice mogą zażądać usunięcia danych dziecka?
Tak, i szkoła musi umieć to wykonać. Przy kodzie klasy ścieżka usuwania jest krótka, bo usunięcie ucznia z klasy usuwa jedyny rekord. Przed zakupem potwierdźcie, że nauczyciel może to zrobić bez kontaktu ze wsparciem dostawcy.
Czy darmowe oprogramowanie jest dla szkoły tańsze?
Nie zawsze, gdy policzy się, z czego finansowana jest darmowa wersja. Narzędzia reklamowe stawiają identyfikatory reklamowe przed dziećmi i zwykle wymagają kont uczniowskich, a jedno i drugie daje pracę inspektorowi ochrony danych. Uczciwe porównanie to koszt całkowity wraz z czasem pracowników, a nie sama pozycja licencji.
Czy ćwiczenie offline całkowicie usuwa kwestię ochrony danych?
Prawie. Program desktopowy używany bez kodu klasy zostawia wszystko na komputerze, więc żadne dane ucznia nie opuszczają sali. Pytanie wraca w chwili, gdy nauczyciel chce widzieć postępy całej klasy, bo wtedy wyniki muszą zostać przesłane i gdzieś zapisane.
