הגנת פרטיות תלמידים במהלך נגיף הקורונה: הנחיות והמלצות להתנהלות של צוותי חינוך

Please see English version below..

רקע

כחלק מהניסיון למנוע ולצמצם המשך התפשטותו של נגיף הקורונה, צוותי חינוך בבתי ספרנו עומדים בפני מציאות חדשה ומורכבות. בין היתר, מציאות זו מציפה מגוון שאלות בעלות השלכות על פרטיותם של תלמידים, ובפרט: האם וכיצד נכון ליידע את הקהילה, לרבות הורים, רופאים, וגורמים נוספים על אירועי בריאות בקרב תלמידים וכיצד יש להגיב לאותם מקרים, תוך הגנה מירבית על פרטיות התלמידים.

סעיף 7 לחוק יסוד: כבוד האדם וחירותו (התשנ״ב – 1992) מורה שכל אדם זכאי לפרטיות וצנעת חייו. בפרט, כל תלמיד זכאי לכבוד ופרטיות, ובתי הספר נדרשים להגן על זכות זו בסביבת בית הספר ומחוצה לה, לרבות בסביבה הוירטואלית. חוק זכויות התלמיד מחיל על המוסד החינוכי חובת סודיות לגבי ענייניו ופרטיו האישיים של התלמיד. סעיף 14 לחוק זה אוסר על מי שהגיע אליו מידע על תלמיד עקב מילוי תפקיד שהוטל עליו לפי חוק זה, לחשוף מידע זה אלא אם כן הגילוי נחוץ לצורך מילוי תפקידו. חובות פרטיות אלה קיימות גם באינטרנט, והאחריות להתנהלות אתר האינטרנט מוטלת על מנהל המוסד. חובה לקבל את הסכמת התלמיד, הורה או אפוטרופוס כדי לפרסם סוגים שונים של מידע אישי של התלמיד באתר בית הספר, לדוגמה שמו או כתובת המייל (דוא”ל) של התלמיד. סוגים אחרים של מידע אישי רגיש אסורים לפרסום באופן גורף. הגנות נוספות הנוגעות לפרטיות באינטרנט ניתנות גם במסגרת חוק הגנת הפרטיות (התשמ”א -1981).

בנוסף, על פי חוק זכויות החולה (התשנ״ו – 1996), חשיפת מידע בריאותי של תלמידים על ידי מטפל או מוסד רפואי, במסגרת משבר בריאות הציבור הנוכחי, תהיה מותרת רק אם: התלמיד (או הנציג המשפטי שלו) נתן הסכמה לחשיפה כזו; המטפל או המוסד הרפואי מחויבים לעשות כן מכוח החוק; או כאשר ועדת האתיקה, לאחר שהעניקה לתלמיד (או הנציג המשפטי שלו) את האפשרות להישמע, קבעה כי גילוי זה הוא חיוני לשמירה על בריאותם של אחרים או של הציבור, וכי הצורך בחשיפה עולה על האינטרסים של התלמיד. חשיפת המידע הבריאותי של התלמיד תיעשה רק במידה הנחוצה לצורך שמירה על בריאות הציבור, ובהימנעות מירבית מחשיפת זהותו של התלמידו.

עם זאת, הזכות החוקתית לפרטיות וההגנות הספציפיות הנוספות הניתנות במסגרת חוקים אלה, אינה מוחלטת.  יש לבחון פגיעה בפרטיות, כמו פגיעה בזכויות האחרות הקבועות בחוק היסוד, על פי הוראות פסקת ההגבלה (סעיף 8 לחוק), שבוחנת האם הפגיעה היא לפי חוק, ההולם את ערכיה של מדינת ישראל, שנועד לתכלית ראויה ובמידה שאינה עולה על הנדרש. חשיפה של מידע אישי של תלמיד עשויה להתקיים בהוראת בית משפט, למשל כאשר גילוי כזה נדרש כדי להגן על חייהם. 

לנוכח מגיפת הקורונה ומשבר בריאות הציבור הנוכחי, בתי ספר מתמודדים עם אתגרים ייחודיים ונדרשים לאזן את זכותם של תלמידיהם לפרטיות אל מול אינטרס בריאות הציבור. לפיכך, מטרת המסמך להציע עקרונות מנחים והמלצות להתנהלות נכונה של צוותי חינוך כדי לסייע להם להגן על הפרטיות והמידע האישי של תלמידים.

עקרונות מנחים והמלצות להתנהלות נכונה בהקשר חשיפת מידע אישי ו/או פרטים מזהים של תלמיד:

הכלל המנחה לשתף מידע אישי על ידי הצוות החינוכי הוא שיש לקבל הסכמה של התלמיד (או הורה/אפוטרופוס) לכך. עם זאת, ניתן לחרוג מכלל בסיסי זה במקרים מסויימים בהם יש צורך בחשיפת המידע לשם אינטרס של הגנת בריאותם או בטיחותם של אחרים במצבי חירום. לפיכך, אם המוסד הלימודי קובע שעליו לחשוף מידע אישי של תלמיד מבלי לקבל את הסכמתו עקב התקיימותו של מצב חירום המסכן את בריאות או בטחון הקהילה החינוכית הרלוונטית, לרבות מורים ותלמידים אחרים ומשפחותיהם, על בית הספר לנהוג על פי העקרונות הבאים. יש לבחון כל מקרה לגופו ובהתחשב בכל הנסיבות הרלוונטיות, ולבחון התקיימותם של הקריטריונים הבאים:

  • סכנה ברורה ומשמעותית: האם קיימת סכנה ברורה, מיידיתית ומשמעותית לבריאותו או בטיחותו של התלמיד או של אחר?
  • נחיצות: האם חשיפת מידע אישי של התלמיד נחוצה כדי להגן מפני סכנה זו?
  •  מזעור נתונים: מהו המידע המינימלי שחשיפתו מספק ודרוש בהינתן הסכנה הספציפית? כמו כן, מיהם הגורמים הרלוונטיים שצריכים לקבל מידע זה?
  • תיעוד החשיפה: אם וכאשר הצוות החינוכי מחליט לחשוף מידע של תלמיד, יש לתעד את החשיפה והפרטים הרלונטיים, לרבות טיב האיום, המידע שנחשף והצדדים שקיבלו את המידע.

גם כאשר מתקבלת החלטה לחשוף מידע, רצוי לנהוג בהתאם להמלצות הבאות:

  • ספקו עובדות שימושיות ולא שמועות: יש לשתף אך ורק מידע קונקרטי ולא לתת יד להפצת שמועות שעלולות להיות פוגעניות. לדוגמה, אם בית ספר לומד בעקיפין על תלמיד שספק נבדק או חלה, חובה על הצוות החינוכי לאמת מידע זה לפני נקיטת צעדים למשל חשיפת מידע לא מאומת זה עם הקהילה או עם אנשי מקצוע בתחום הבריאות.
  • שקלו את התועלת המיוחלת מול נזקים פוטנציאליים: על מנהלי בתי הספר ומחנכים לשקול פגיעות אפשריות שיכולות לבוא יחד עם חשיפת מידע אישי של תלמיד, ועליהם לנקוט באמצעים חלופיים קיימים. הפצת מידע עם הקהילה שתלמיד חולה עלול לגרור מקרי בריונות ו״שיימינג״. כמו כן, הידיעה שתלמיד סובל מתסמינים לפני שנבדקו או נשללו אחרים כמו שפעת עשוי פשוט לגרום לפחד. לחלופין, אולי מספיק לעודד ריחוק חברתית.
  • וודאו שחשיפת המידע תואמת הנחיות בית ספריות נוספות שעשויות להיות רלוונטיות: בתי ספר עשויים להיות כפופים למדיניות, הוראות וכללים שמשליכים על אופן שיתוף המידע. לדוגמה, הנחיות בית ספריות בדבר שימוש ברשתות חברתיות או תקשורת דיגיטלית אחרת. על צוות בית הספר להיות מודע לכל מדיניות רלוונטית כזו, שכן עבירה על הנחיות כאלה עלולות לנקיטת צעדים משמעתיים
  • בדקו אם קיימות חלופות למידע שאינו מאפשר זיהוי התלמיד: אם וכאשר הדבר אפשרי, על בתי ספר לספק מידע שאינו מאפשר זיהוי של התלמיד. לדוגמה, מתן מידע כללי שאינו מזהה באופן ישיר או עקיף תלמיד ספציפי, מידע סטטיסטי או מצרפי (אגרגטיבי) שאינו מזהה את התלמיד באופן אישי.

להלן מספר דוגמאות קונקרטיות ושאלות ותשובות כדי להמחיש כיצד בתי ספר יכולים לשתף מידע על תלמידים תוך שמירה מירבית על פרטיותם בתקופת משבר בריאות הציבור:

1. האם הצוות החינוכי יכול להודיע לקהילה ההורים ותלמידים כשהם יודעים או חושדים שתלמידבבית הספר חולה במחלת הקורונה COVID-19

ראשית, יודגש כי בהרבה מקרים אין צורך לחשוף את זהותו של התלמיד הספציפי. לכן, על בתי ספר לקבוע אם ניתן לחשוף שתלמיד בבית הספר חולה מבלי לזהות באופן ישיר או עקיף את התלמיד המסוים.

לדוגמא, נניח שמאיה משחקת בקבוצת הכדורגל הבית-ספרית, ובית הספר יודע או חושד שמאיה נדבקה בנגיף הקורונה. בדוגמה זו נניח שמאיה היא התלמידה היחידה מכיתתה שמשחקת בקבוצה. כמובן שהצוות החינוכי יהיה מעוניין להודיע ​​על כך לקהילה הרלוונטית, כולל הורים של התלמידים האחרים בקבוצת הכדורגל, כדי שינקטו באמצעי הזהירות הנחוצים לדאוג לבריאותם ולמנוע המשך התפשטות הנגיף בקרב הקהילה. בהתחשב ברמת ההידבקות הגבוהה של- COVID-19, עדיף לטעות בצד הזהירות וליידע אחרים גם כאשר ישנם מקרים של הידבקות חשודה ולא מאומתת.

עם זאת, ייתכן שלא יהיה צורך לזהות את מאיה כאמור כתלמידה המדוברת. על בתי ספר להימנע מלזהות את מאיה באופן ישיר או בעקיפין. למשל, מכיוון שידוע באופן נרחב שמאיה היא התלמידה היחידה מכיתתה שמשחקת בקבוצה הבית-ספרית, אין צורך לספר לקהילת בית הספר הרחבה שחלתה שחקנית בקבוצה מכיתה ו, אלה רק שתלמיד מהקבוצה חולה.

כמובן שייתכן ובית הספר ירצה להודיע ישירות להורים של התלמידים האחרים בקבוצה שהיו בקרבתה של מאיה למקרה ונדבקו ממנה ועל מנת שיוכלו לנקוט בבידוד או הסגר. במקרה זה, על בית הספר ליצור קשר עם הוריה של מאיה ולקבל הסכמה לכך שכן מדובר בחשיפת מידע אישי עליה לאחרים. עם זאת, אם הצוות החינוכי יקבע כי יש להחריג מכלל זה מסיבה כלשהי, עליהם לשקול את הקריטריונים האמורים לעיל בקביעתם האם ומה לחשוף, ועם מי.

א. סכנה ברורה ומשמעותית בשל איום או מצב חירום: האם בית הספר יכול לפרט ולנמק, על סמך כל המידע הקיים באותה העת, מהו טיב האיום וכי מדובר בסכנה מיידית וברורה. אם רשויות ציבוריות קובעות שקיים מצב חירום לבריאות הציבור, למשל בשל נגיף הקורונה COVID-19 שמהווה איום משמעותי על התלמידים או אנשים אחרים בקהילה, סביר כי מוסדות החינוך יצהירו גם על קיומו של מקרה חירום. לכן, שיתוף מידע על תלמידים חולים עשוי להיות נחוץ, במיוחד בשלבים המוקדמים של מגיפה כדי להתמודד עם התפרצות אפשרית ולמנוע או לצמצם את המשך התפשטות המגיפה.

ב. חשיפת המידע נחוצה כדי להגן על בריאותו או בטחונו של התלמיד או אחר: על בתי הספר להחליט אם יש נחיצות לכך שידעו מוריה וחבריה לכיתה ובקבוצת כדור-הרגל של מאיה, איתם כנראה בילתה מאיה, שהיא חלתה ב COVID-19 כדי להגן על בריאותם.

ג. חשיפת המידע מצומצמת אך רק לכמות המזערית ולגורמים הרלוונטיים: חשיפת מידע אינו בגדר “הכל או לא כלום”. על בית הספר לשקול היטב כמה מידע נחוץ בפועל על מנת להגיב לאירוע בהתחשב בנסיבות המסוימות. האם זה מספיק, למשל, רק לומר שתלמיד בקבוצת הכדורגל חלה ב COVID-19, מבלי לחשוף את זהותה של מאיה? אם הצוות החינוכי יחליט לזהות את מאיה, עליהם לוודא שהם לא חושפים מעבר לנדרש. כלומר, שמאיה חולה ב COVID-19 ואולי חלון הזמן בו יתכן שהיא היתה מידבקת (אם זה ידוע) – ולא מידע נוסף, למשל פרטים אחרים בנוגע להיסטוריה הבריאותית שלה. כמו כן, יש להגביל את המידע רק לצדדים רלוונטיים. לדוגמה, אם ידוע שמאיה מפגינה תסמינים של COVID-19 אך היא טרם אובחנה, ייתכן ויש לחלוק מידע זה רק עם תלמידים, מורים או אחרים בקהילה שנמצאים בסיכון, עם מערכות חיסוניות חלשות או לקויות, ולא עם קהילת בית הספר הרחבה. בתי ספר יכולים גם לבחור בתקשורת בגישה משולבת. למשל, לזהות את מאיה בידיעות לחבריה לכיתה והוריהם, אך לשתף מידע בלתי-מזוהה בלבד עם קהילת בית הספר הרחבה יותר, למשל הודעה כללית שתלמיד בכיתה ו ככל הנראה נדבק ב- COVID-19.

2.האם בית הספר יכול לחשוף מידע אישי על תלמיד עם גורמי בריאות, למשל רופא משפחתו של תלמיד, אם הם חושדים שהתלמיד חולה ב- COVID-19?

אם בית ספר חושד שתלמיד חולה אך לא מצליח לתקשר עם התלמיד או הוריו, ייתכן שהצוות החינוכי יהיה מעוניין ליצור קשר עם רופא המשפחה שמטפל של התלמיד על מנת לאמת את החשד וליידע את הקהילה. אם כן, עליהם לפעול על פי העקרונות המנחים לעיל וההמלצות להתנהלות נכונה כדי לקבוע את דרך הפעולה המיטבית בהינתן הנסיבות הקונקרטיות. בנוסף, ייתכן והרופא לא יוכל לחשוף מידע בריאותי על התלמיד לבית הספר עקב חובת הסודיות רפואית המוגנת על פי חוק זכויות החולה משנת 1996 (סעיף 10 א), לפיו רופא מחויב לשמור על כבודם ופרטיותם של המטופלים, וכן בשל חובתם האמונית של רופאים כלפי מטופליהם. עם זאת, אם בית הספר חושד, מנהלים יכולים להמליץ ​​להורים אחרים לקחת את ילדיהם להיבחן.

3. האם בתי ספר רשאים לשתף מידע על תלמידים בתגובה לבקשה של חוקר, עיתון או סוכנות ממשלתית על מנת לסייע בתגובה לנגיף הקורונה?

 

כפי שצוין לעיל, בתי ספר רשאים לשתף מידע סטטיסטי, מידע מצרפי (אגרגטיבי) או מידע שאינו מזהה תלמידים באופן אישי, עם חוקרים או גורמים ציבוריים אחרים המבקשים מידע זה על מנת להגיב לנגיף הקורונה. עם זאת, אם וכאשר הם עושים זאת, על בתי ספר לפעול על פי סטנדרטים מקובלים לשיתוף מידע באופן שלא יהיה ניתן לזהות את התלמידים המסוימים ובכך להגן כל פרטיותם. בהקשר זה, מידע בלתי-מזהה הינו מידע שאם יגיע לידיו של האדם הסביר, שאינו בעל ידע קודם בנסיבות הרלוונטיות, יכול היה לזהות את התלמיד ברמת וודאות סבירה על סמך המידע שבית הספר חושף באותה עת בשילוב מידע אחר שנמצא ברשותו.

לדוגמה, נניח שמשרד הבריאות מבקש לדעת כמה תלמידים ביקרו אצל אחות בית הספר במהלך חודש פברואר עם תסמינים טיפוסיים של COVID-19. יש לאמץ את העקרונות המנחים, לבחון את הקריטריונים לעיל ולפעול על פי ההמלצות והדגשים. למשל, בתי ספר יכולים לספק אחוזים מצטברים של ביקורים לאחות. זאת במקום לספק מידע שעשוי להיות מעבר לנדרש, למשל: א. נתונים המפרטים ביקורים לפי שכבת גיל, כיתה, מין ומוצא אתני, שיכולים לאפשר זיהוי של תלמידים בודדים; ב. רישומי בריאות ספציפיים של סטודנטים בודדים.

סיכום

נגיף הקורונה מהווה משבר בריאות ציבור וההחלטה לשתף מידע על תלמידים חולים עשויה להיות החלטה מתבקשת בשם אינטרס ציבורי מובהק בכך. עם זאת, יש להכיר בהשלכות של החלטה זו על פרטיותם של תלמידים ולהכיר בכך שעשויות להיות חלופות מספקות שאינן כרוכות בחשיפת מידע אישי ורגיש אודותם. כמו-כן, על כל הגורמים הרלוונטיים והצוות החינוכי לפעול באחריות ותוך הקפדה על עקרונות הפרטיות והגנה על התלמידים.

מסמך זה מיועד למטרות מידע בלבד ולא מהווה מתן ייעוץ משפטי. יש לפנות לעורך דין מוסמך לקבלת ייעוץ בנושאים מסויימים או שאלות משפטיות. 

 

Guidance to help K-12 School Administrators and Educators Protect Student Privacy during the COVID-19 Pandemic

Schools, including both educators and administrators, are facing tough privacy questions as COVID-19 continues to spread across the world. In particular, schools are grappling with how to inform communities and public health officials of health incidents among students and how to respond to those cases, while still respecting students’ privacy.

Israel’s Basic Law: Human Dignity and Liberty (5752 – 1992) provides constitutional protection to all persons, including students, from any arbitrary or Illegal injury to the privacy of their self,  family or home. Under this law, schools are required to uphold and protect each individual student’s right to privacy in the physical school environment as well as outside it. Specifically, the Pupils Rights Law defines all student information received or accessible to persons associated with the education system as confidential. Specifically, section 14 of this law prohibits the disclosure of such student information, unless such disclosure is necessary to fulfill one’s job or duty. 

These student privacy protections extend online as well. Relevant obligations and responsibilities are placed on schools to protect their students’ private information in the context of any school-operated website. Consent from a student and their parent or legal guardian is required for the disclosure of certain types of personal information, such as a student’s name or email, while other types of personal student information are explicitly prohibited from being posted on a school’s website whatsoever. Additional online privacy protections are also afforded under Israel’s broad Privacy Protection Law, 5741-1981. 

Finally, according to the Patient Rights Act of 1996 (Sec. 20), the disclosure of students’ health information (by either caregiver or medical institution), in the context of the present public health crisis, would be permitted only if: the student (or her legal representative) has provided consent to such disclosure; the caregiver or medical institution are obligated to do so by force of law; or where the Ethics Committee, after giving the student (or her legal representative) the opportunity to be heard, determined that such disclosure is essential for the protection of the health of others or the public and that the need for disclosure outweighs the student’s privacy interests. The disclosure of the student’s health information shall be done only to the extent necessary for the purpose of maintaining public health, and with the utmost avoidance of disclosing her identity.

However, the constitutional right to privacy and the additional specific protections afforded under these laws are not absolute. The right to privacy in Israel should not be applied to an extent greater than required. As well, disclosures of personal information may be ordered by a court, for example, when such disclosure is required to protect lives. In the face of the current public health emergency presented by COVID-19, schools face unique challenges when deciding how to best protect students’ privacy in a balanced way. Therefore, the following offers a framework of guiding principles and best practices to help schools navigate questions and dilemmas which may arise regarding the adequate protection of students’ private information.

The Underlying Framework

Consent has always been, and should remain, the core requirement for any disclosure of student information from school records. However, exceptions may be made to this basic rule if disclosures are needed to protect the health or safety of others in an emergency. Therefore, if a school determines they must disclose a student’s personal information without receiving their consent due to such a threat, they should perform a case by case analysis considering all of the circumstances related to the threat.

In doing so, they should determine whether the following criteria are met: 

1. Significant and articulable threat: Is there an articulable and significant threat related to a student or other student’s health or safety?

2. Necessity: Is the disclosure of student PII needed to protect against such health or safety threat?

3. Data Minimization: What is the minimum amount of student information needed to address the issue at hand? Who are the relevant parties who need to receive this information?

4. Document Disclosures: In the event such a disclosure was made, the school should record the specifics, including the significant and articulable threat, the information disclosed, and the parties who received the information.

As well, schools should consider the below best practices surrounding such communications if they choose to share student information:

1. Provide useful facts not rumours: Schools should be mindful to consider information that they share to be tailored towards effective threat prevention rather than simply spreading rumours. For example, if a school learns indirectly that a student may be infected, they should verify this information before deciding if and what should be shared with the community or with health-care professionals.

2, Weigh potential harms against intended benefits: School administrators and educators should consider potential harms that could occur if they identify a student, and should use alternative approaches to effectively advocate precautionary measures. Sharing information that a particular student may be infected could cause harm to the student, including bullying and/or shaming them. As well, sharing that a student has symptoms before they have been tested or ruled out other possible conditions like the flu may simply cause fear. Instead perhaps just continue to encourage social distancing.

3. Consider additional school policies that may apply: Schools may be subject to additional policies, covering social media or other forms of communication or interaction. School staff should be cognizant of any such applicable policies, which may impose disciplinary action for posting or sharing this type of information.

4. Consider alternatives to personally identifiable information: If and when possible, schools should opt to provide non-identifiable information in lieu of personally identifying information. This may mean providing generalized information that does not directly or indirectly identify an individual student. It could also mean providing aggregated or de-identified information to various agencies to assist in their response to the pandemic.

The following are a number of concrete examples to illustrate how schools can share information about students while protecting their privacy during a public health emergency:

Can a school share with the community if they know or suspect a student has COVID-19?

To start, it is worth emphasizing that in many situations, in order to receive sufficient notification of risks to their children, parents do not need to know which student specifically was or may be infected (even if they would like to know). Therefore, schools should determine whether they can disclose that a student may have COVID-19 without directly or indirectly identifying the particular student. 

For example, let’s say that Eli on the school soccer team has tested positive for COVID-19, or the school suspects he has been infected. Eli is the only boy on the soccer team. Administrators will want to proactively notify the relevant community including the parents of other students on the team, that COVID-19 may be in the school community to facilitate prevention efforts and ensure that people have the information necessary to address a potential outbreak. Given COVID-19’s high degree of infectiousness, it may be wise for schools to err on the side of caution and notify the entire school when suspected but unconfirmed cases exist. 

Whether or not a school knows or merely suspects infection, it may not be necessary to identify Eli as the symptomatic individual. Schools should avoid identifying Eli either directly or indirectly. Therefore, because it is widely known that Eli is the only boy on the team, schools should not share that a boy on the soccer team has, or may have, COVID-19. Rather, they should generalize this announcement sharing only that a student on the team who attended the most recent soccer match is, or may be, infected.

Of course, the school may want to specifically notify parents of other students who had close contact with Eli when he was potentially contagious so that they can take measures to self-quarantine. In this case, the school should contact Eli’s parents and obtain consent to release this information. However, if they determine that an exception to obtaining this consent is required, they should consider the aforementioned criteria in determining whether to disclose, and if so, what information specifically may be shared and with whom.

Articulable and significant threat of a health or safety emergency:

Is the school able to explain, based on all the information available at the time, what the threat is and why it is significant? If a local public health authorities determine that a public health emergency, such as COVID-19, is a significant threat to students or other individuals in the community, it is reasonable that an educational agency or institution in that community will likewise determine that an emergency exists. Sharing this information may be particularly necessary in the early stages of a pandemic to facilitate prevention efforts and ensure that people have the information necessary to address a potential outbreak.

The disclosure is necessary to protect the health or safety of the student or other individuals:

Schools should decide whether Eli’s teacher, classmates and their parents, or students with whom Eli spent significant time need to know that Eli has COVID-19 in order to protect their health. 

Only disclose the minimum amount of information required to address the issue at hand to the relevant parties:

Disclosures do not have to be “all or nothing”. Rather, the school should consider carefully how much information is actually necessary in order to address the issue at hand given the particular circumstances. Would it be sufficient, for example, to just say that “someone on the soccer team” has COVID-19, without identifying Eli as the infected student to his classmates? If the school does believe they need to identify Eli, they should make sure they provide the minimum information needed—that he has COVID-19 and perhaps a window of time when he may have been infectious, if known—and not additional information such as any other specifics regarding his health history. Likewise, disclosures should be limited to the parties to whom this information is pertinent.  For example, if administrators know that Eli is exhibiting symptoms of COVID-19 but hasn’t yet been diagnosed, they could choose to tell only immunocompromised or at-risk students and faculty that a student may have the virus, before communicating with the larger school community.  Schools can also combine communication approaches, for example by identifying Eli as necessary to classmates and their parents but sharing only de-identified information, such as “a sixth-grade student likely has contracted COVID-19,” with the broader school community.

Can a school share with health officials, for example a student’s primary care physician, if they suspect a student may have COVID-19?

If a school cannot reach a student or their parents, and suspects that student might have COVID-19, they may want to reach out to the student’s primary care physician to ask if the physician can confirm that the student has COVID-19 so the school can notify the community. If so, they should follow the above framework and best practices to determine the best course of action. Specifically, they should be aware that the physician may not be able to disclose health information back to the school due to medical confidentiality protected under the Patient Rights Act of 1996 (Sec. 10a), according to which a physician is obligated to maintain the dignity and privacy of her patient, as well as due to physicians’ ethical fiduciary duty towards their patients. However, if a school suspects a positive case, administrators could recommend that other parents take their children to get tested.

Can a school share student information in response to a voluntary request from a researcher, newspaper, or government agency in order to assist in responding to the COVID-19 outbreak?

As noted above, schools should feel free to share de-identified or aggregated information to help in the public response to the COVID-19 pandemic. However, if and when doing so, schools should keep in mind the widely accepted standard for properly de-identified information: whether a reasonable person who does not have personal knowledge of the relevant circumstances, could identify the student with reasonable certainty based on both the information the school discloses at that time and other information in the recipient’s possession that could be combined with the information disclosed. 

For example, let’s say an agency wants to learn about visits to the school nurse in late February involving typical COVID-19 symptoms. Utilizing the above framework and best practices, schools could provide an aggregated percentage of student visits. This should be provided rather than for example, other information that is more than the minimum required to address the issue at hand, for example  i. more granular data that breaks down visits by class-year, gender and ethnicity, that could allow  individual students to be identified; ii. Specific health records of individual students.

In Conclusion

The COVID-19 pandemic represents a public health crisis and there may be significant public interest in sharing student data due to the circumstances. Nevertheless, it remains vital that decisions to share such information could have a significant impact on student privacy and as outlined above there may be effective alternatives that do minimize the potential harms while still addressing the serious health risks at hand. Schools should keep these principles and guidelines in mind as they navigate the myriad situations they may be facing in order to best safeguard their students and student privacy.

This resource is intended for informational purposes only and should not be considered as legal advice. You should contact your attorney to obtain advice with respect to any particular issue or problem.