歐美學生數據隱私保護立法與實踐

王明雯　李青　王海蘭

摘要：學生數據是教育數據的重要組成部分，在支撐教育決策、改進課堂管理、推送個性化路徑等方面得到了廣泛應用。然而，實踐中出現了很多侵害學生數據隱私的問題，造成了不良社會影響，急需政府從立法層面加強保護。在此領域，歐美發達國家已經有數十年的經驗，法律和制度都較為健全。針對美國和歐盟學生數據隱私保護立法和實踐情況的分析發現，歐美已經建立了相對全面的學生數據隱私保護法律體系，形成了較為完善的隱私保護框架原則，其強調行業自律、全民參與的經驗值得借鑒。但是也暴露出一些問題，例如，法律仍舊滯后于實踐的需要，數據所有權不明確、處理過程不規范，學生、監護人及其他相關方的數據隱私保護意識薄弱，隱私保護和開放教育數據、學習分析之間存在矛盾等。我國尚處于數據隱私保護的起步階段，應在汲取歐美國家的經驗與教訓基礎上，提高認識，切實增強全民的法律意識;加快立法，盡快建立完善相關法律制度;加強行業自律，規范市場行為;營造隱私保護的社會大環境，構建多方參與的治理體系。

關鍵詞：歐美;教育數據;數據隱私;隱私保護;立法與實踐

中圖分類號：G434? ?文獻標識碼：A? ? 文章編號：1009-5195（2021）02-0053-10? doi10.3969/j.issn.1009-5195.2021.02.006

作者簡介：王明雯，法學二級教授，西昌學院（四川西昌 615013）;李青（通訊作者），教授，碩士生導師，北京郵電大學網絡教育學院（北京 100088）;王海蘭，碩士研究生，北京郵電大學網絡教育學院（北京 100088）。

一、問題的提出

隨著教育信息化特別是智慧學習環境建設工作的推進，教育數據在支撐教育決策、改進課堂管理、提供個性化學習服務等方面得到了廣泛應用。然而，各種隱私信息的泄露隨之而來，隱私侵權問題成為新挑戰。比如，某培訓機構收集了14萬條學生個人信息，在未取得學生、家長同意的情況下，撥打電話推銷教育培訓服務（國家市場監督管理總局，2020）。又如，某大學泄露了50余名本校學生的個人信息，這些信息均被一家企業所利用，偽裝成在這家企業兼職的大學生，利用大學生的身份來達成偷逃稅款的目的（陳禹潛，2020）。這類事件屢見不鮮，幾乎成為常態。而大多數學生仍舊是未成年人，隱私數據的泄露可能會對他們后幾十年的成長、就業和生活產生重大影響。因此，對學生個人數據隱私的保護非常重要，也十分必要。

當前，我國在個人信息/隱私保護方面的法律法規正在逐步完善。憲法第38條、第40條規定，“公民的人格尊嚴、通信自由和通信秘密受法律的保護”。2009年的《侵權責任法》第36條規定，“網絡用戶、網絡服務提供者利用網絡侵害他人民事權益的，應當承擔侵權責任”。2015年頒布的刑法修正案（九）第253條、第286條規定了對向他人出售、竊取或者以其他方法非法獲取公民個人信息，以及網絡服務者致使用戶信息泄露等行為的刑罰處置。2016年通過的《網絡安全法》規定了網絡上的數據收集、使用及保留的處理方式。2020年出臺的《民法典》對隱私權和個人信息保護進行了明確界定。第1032條第2款規定，“隱私是自然人的私人生活安寧和不愿為他人知曉的私密空間、私密活動、私密信息”。第1034條第2款和第3款規定：“個人信息是以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人的各種信息?！薄皞€人信息中的私密信息，同時適用隱私權保護的有關規定?！?/p>

然而，我國至今尚未形成一個完整的數據隱私保護體系，許多條文規定的內容過于抽象，難以有效執行，且存在重復、交叉，形成了多頭執法和多頭管理的局面（張彤，2020）。專門法《個人信息保護法》雖然已經公布草案，并提請13屆全國人大常委會第22次會議審議，但還未正式頒布。如何協調個人信息保護與促進信息自由流動的關系、保護個人信息和維護公共利益的沖突等法理障礙尚未解決（毛牧然，2020）。

從全球范圍來看，歐美發達國家在該領域已經有數十年的經驗，法律和制度較為健全。美國將個人信息保護納入隱私權的涵射范圍內，其基本立場是反對濫用。從個人權益保護的角度，自然人有權選擇披露的信息都在隱私保護范圍之內（湯敏，2018）。歐盟明確界定了私密信息標準，原則上禁止對個人私密信息的收集和處理。種族、宗教信仰、犯罪記錄、政治觀點等均屬于禁止收集的私密數據（張新寶，2019）。和歐美相比，我國對隱私權的保護才剛剛起步，保護范圍有限，相關政策法律的制定遠落后于實踐。與此密切相關的學生數據隱私保護，更是從立法到實踐都不完善。

在此背景下，本研究旨在調查國外學生數據隱私保護立法和實踐現狀，梳理歐美學生數據隱私保護的法律法規及其適用范圍、立法產生的影響、實踐中的原則和方法，以及其治理體系的建構過程等，為推進我國的學生數據隱私保護工作提供參考。具體研究問題如下：（1）歐美國家學生數據隱私研究現狀;（2）歐美國家學生數據隱私保護的立法和實踐經驗與教訓;（3）對我國相關工作的啟示。研究主要從文獻和案例兩個方面進行：文獻研究以Web of Science核心集SSCI數據庫為文獻來源，以“Student”“Data”“Privacy”為關鍵詞組合檢索，獲得相關度較高的外文文獻30篇作為樣本，總結國外學生數據隱私保護研究及實踐現狀;案例分析則基于立法模式的差異，分別選取美國和歐盟的代表性案例，介紹各國在保護學生數據隱私方面的成熟經驗，討論其中存在的問題。為了方便討論，本文使用國際通行的術語“數據隱私”作為核心概念，對“信息”和“數據”不作刻意區分，私密信息約等同于私密數據;當自然人為學生時，即為本研究的對象“學生數據隱私”。

二、美國的立法和實踐

1.聯邦和州層面的立法情況

美國的政治和法律結構較為特殊，在聯邦和州兩級均有涉及隱私的法律和法規頒布。整個體系比較完善，但又龐雜和交疊。早在1974年，聯邦政府就頒布了《隱私法案》（Privacy Act），保護個人信息不受侵犯。在教育領域，為了適應社會快速發展和技術不斷更新的需要，聯邦政府又頒布了《家庭教育權利和隱私權法》（Family Educational Rights and Privacy Act，FERPA），并于2008年和2011年兩次修訂。該法案賦予家長諸多權利，如，在學生數據的收集和使用中，家長有權審核、修改、刪除數據等;學校發布學生個人信息需得到家長同意;使用方僅可將學生數據用于授權用途（U. S. Department of Education，2011）。該法案通過家長的介入保護了學生數據隱私，減少了信息泄露和濫用。

另一個聯邦機構——聯邦貿易委員會（Federal Trade Commission，FTC）頒布了《兒童互聯網保護法》（Childrens Internet Protect Act，CIPA）和《兒童在線隱私權保護法》（Childrens Online Privacy Protection Act，COPPA），以保護兒童在互聯網上的個人信息安全，減少網上不良內容對兒童的影響。這兩項法案規定了兒童數據的收集范圍、收集方式和家長的監管權利，對教育機構和兒童主題的商業網站提出了硬性要求。進入大數據時代后，2015年FTC又頒布了《學生數字隱私和家長權利法》（Student Digital Privacy and Parents Rights Act，SDPPRA），規定了第三方供應商應當遵守的數據保護標準，而且要求在收集和使用（未滿18歲或未進入大學的）學生數據前必須獲得家長（學生）同意，并禁止利用學生數據從事任何廣告或商業活動。

美國各州也頒布了州內的學生數據隱私保護法案，如密蘇里州的1873號法案（HCSHB1873）、弗吉尼亞州的2350號法案（HouseBill2350）等。加利福尼亞州在2014年通過《加州電子通信隱私法》（California Electronic Communications Privacy Act，CECPA），明確禁止科技公司收集學生信息用于廣告和宣傳（唐亮，2016），同年，又頒布《學生在線個人信息保護法》（Student Online Personal Information Protection Act，SOPIPA），將學生在社交媒體、互聯網站點、在線服務、移動軟件上生成的內容列為數據隱私，要求在線服務運營商在一定時限內刪除未成年人發布在網頁上的信息（王正青，2016）。從2013年到2019年，美國共有45個州頒布了128部與學生數據隱私相關的法律（DQC，2019），此領域的立法工作趨于完備。

2.隱私保護的基本原則

1973年，美國聯邦政府健康、教育和社會福利部（ Department of Health， Education， and Welfare，HEW）首次提出了《公平信息實踐》（Fair Information Practices，FIPs）。在此基礎上，美國逐漸形成了個人信息保護的五大基本原則：（1）公開性原則，即個人信息處理機構應公開關于個人信息處理的一切政策、流程和處理實踐;（2）限制性原則，即個人信息在最少必須原則下收集和處理，信息的收集和使用范圍、保存期限和銷毀應受到限制;（3）數據質量原則，即機構對個人信息應當準確、完整和適時更新;（4）責任與安全原則，作為數據控制者的機構必須承擔個人信息保護的主要責任，要將個人信息保護內化于其業務流程和技術設計中;（5）個人信息權利保護原則，充分保障信息主體的知情權、查詢權、異議與糾錯權、可轉移權等。1997年，聯邦政府在《全球電子商務政策框架》中提出了個人隱私保護的原則：告知和許可，即數據采集者應當告知消費者他們在收集什么信息，以及他們如何使用這些數據;數據采集者應向消費者提供限制使用和再利用個人信息的有效手段。美國的數據保護制度立足于保障數據自由市場，經過多年發展，形成了多方平衡的數據保護準則。

美國教育界在學生數據隱私保護方面基本取得了共識。除了關注學生隱私數據的保護，還強調數據利用的價值和數據開放的意義，提倡在合理合法的前提下，盡可能發揮數據本身的價值。卓越教育基金會（Foundation for Excellence in Education，ExcelinEd）是美國的一個專注提高教育機會、教育創新和教育質量的非營利組織。該組織建議應從數據價值、數據開放、有限存儲和使用、準確性和可訪問、安全性以及問責制等方面入手推進學生數據隱私保護（ExcelinEd，2017）。致力于推進教育數據應用的民間組織“數據質量運動”（Data Quality Campaign，DQC）和“學校網絡聯盟”（Consortium for School Networking，CoSN）合作，共同發布了“使用和保護學生個人信息的10項基本原則”（DQC & CoSN，2015），從透明度、治理和數據保護程序等方面對收集和使用學生數據的過程進行了規范。

3.行業協會積極參與

除了法律保障，行業自律是學生數據隱私保護的另一種重要方式。一些行業協會自愿加入保護學生數據隱私的活動中。比如美國軟件和信息業協會（Software & Information Industry Association， SIIA）聯合“未來隱私論壇”（Future of Privacy Forum， FPF）發出了《學生隱私倡議書》，詳細解釋了有關收集和處理學生數據的現行法律和法規，呼吁會員（服務供應商）簽署倡議書，遵守“在教育機構、教師或父母/學生授權下，收集、使用、共享和保留學生的個人信息，支持學生/父母訪問和更正學生的個人身份信息”等相關規定。截至2020年6月，以谷歌、Coursera等為代表，共有426家美國企業和機構在此倡議書上簽名。

4.構建多方共治的體系

美國數據隱私方面治理體系最鮮明的特點就是由聯邦、州、行業協會及民間組織共同參與。在行政組織架構方面，聯邦教育部設立了首席隱私保護官，成立了“隱私保護技術中心”（Privacy Technical Assistance Center，PTAC）等專業機構，向學區發布學生在線隱私保護指南，為州和地方提供隱私保護咨詢和技術支持。大多數州也成立了具有數據隱私治理職能的機構，監督和管理學生數據，如華盛頓州“教育研究和數據中心”（Education Research and Data Center，ERDC）、肯塔基州教育和勞動力統計中心（Kentucky Center for Education and Workforce Statistics，KCEWS）、馬里蘭州縱向數據系統中心（Maryland Longitudinal Data System Center，MLDSC）等，成為美國教育大數據戰略的重要組成部分（DQC，2015）。

政府以外的協會和民間團體在學生數據隱私保護方面也非?；钴S。全美州教育委員會協會（National Association of State Boards of Education，NASBE）提供服務，幫助各州的教育委員會成員了解數據隱私法規和教育數據的潛在價值，支持教育創新和發展（Grady et al.，2014）?！拔磥黼[私論壇”（FPF）發布了《家長保護學生數據隱私手冊》，美國軟件和信息業協會（SIIA）編制了《學校服務供應商保護學生信息隱私和安全的實踐案例》，均依據學生數據隱私保護的法律條款，向家長、學生、服務供應商等相關人員，闡釋每個角色應該承擔的責任和應有的權利。數據質量運動（DQC）和全國家長教師協會（National Parent Teacher Association，NPTA）合作編制了《家長教育數據指南》，向父母、教育者、決策者解釋學校收集教育數據的類型及收集數據的目的。

三、歐盟的立法和實踐

1.法律與政策的制定

歐盟是一個包含 27 個歐洲國家的國際組織，其成員國遵守共同制定的統一法律。在數據隱私保護方面，歐洲一直將隱私視為一項基本人權（Weippl et al.，2005）。歐盟《基本權利憲章》的第8條規定：“每個人都有權保護自己的個人數據，”“在相關人許可或法律規定的前提下，為了特定目的對個人數據進行處理，任何人都有權查閱自己的個人數據，并有權要求改正”?！独锼贡緱l約》也明確提出了保護個人數據的權利。1995年歐盟頒布的《數據保護指令》（Directive 95/46/EC）規范了個人數據的收集和使用，為歐洲國家立法保護個人數據設立了最低標準。各成員國均根據該指令頒布了各自的個人信息保護法，例如，英國（當時仍為歐盟成員）的《數據保護法》（Data Protection Act，DPA）、德國的《聯邦數據保護法》（Federal Data Protection Act，FDPA）（劉云，2017）。2016年，歐盟通過了《數據保護通用條例》（General Data Protection Regulation，GDPR），取代《數據保護指令》。該條例于 2018 年5月生效，加強了對個人數據的隱私保護，在全球范圍內產生了巨大的影響。

歐盟在學生數據隱私保護方面尚未專門制定法律和政策，但是GDPR也適用于處理學生數據的機構以及第三方服務商，為其數據業務提供了明確的規范。例如，根據GDPR第8條規定，即便數據主體已經同意，當兒童不滿16周歲時，還須獲得監護人的同意或授權。同時，GDPR為各國進一步就學生數據隱私保護立法提供了法律依據。

2.隱私保護的原則框架

歐盟國家一直以來不斷細化和增補數據處理原則，以加強對個人數據的保護力度。GDPR的第5條規定了個人數據的7條處理原則：（1）合法、公正和透明，即個人數據應當以合法、公正、透明的方式處理;（2）限制目的，即收集的數據只能用于限定的目的;（3）數據最小化，即僅收集必要的數據;（4）準確，即個人數據應當準確;（5）留存期限限制，即達成數據處理目的后，在留存期到期后及時清理;（6）完整性和保密性，即采取適當的技術或組織措施，阻止未授權的訪問，防止數據被破壞或丟失;（7）問責制，即數據控制者有責任且能夠證明自身合規，在必要時提供給監管機構。第26條還規定了“數據保護設計”，即數據控制者應當采取合適的技術（如匿名化）與組織措施，以保障在默認情況下，只有某個特定目的所必要的個人數據被處理。GDPR規定的以上原則也適用于教育領域內的隱私保護。

在學生數據隱私保護上，歐盟針對學習分析等具體教育場景，進行了深入的探討和實踐。2014年，歐盟學習分析社區（FP7項目）和SURF基金會聯合組織了“學習分析中的倫理與隱私”（Ethics & Privacy in Learning Analytics（#EP4LA））研討會，探討學習分析中存在的倫理和隱私問題，提出了平衡學習分析與學生數據隱私的相關建議。歐洲委員會資助的學習分析項目LEAs BOX，提出數據隱私保護必須符合所在國家的法規和歐盟的《數據保護指令》，合法地收集和使用個人數據，并提供適當的隱私保護（Steiner et al.，2015）。英國聯合信息系統委員會（Joint Information Systems Committee，JISC）一直致力于為教育機構提供數字解決方案。該機構邀請教育技術專家和利益相關方編制了《學習分析實踐守則》，以支持英國教育機構合法地使用學習分析技術，妥善處理學生數據隱私問題（Sclater，2016）。此外，SURF基金會針對學生數據隱私保護也發布了一份指導文件，幫助研究者和服務提供商合法處理教育數據（Engelfriet et al.，2015）。

3.多國參與的治理體系

歐盟的治理體系由歐盟成員國共同參與構建。在組織架構方面，1995年頒布的《數據保護指令》提出，設置“數據保護工作組”（The Article 29 Data Protection Working Party，A29DPWP）作為研究機構，設置歐洲信息保護監督局（European Data Protection Supervisor，EDPS）作為行政機構，并在歐盟各機構中設立信息保護官（Data Protection Officer，DPO）。DPO負責監督機構內部的個人數據處理流程，與EDPS合作，共同推進歐盟機構的數據保護工作。2016年，歐盟又在GDPR第68條規定，設立歐洲數據保護委員會（European Data Protection Board，EDPB）取代之前的“數據保護工作組”。各成員國先后建立了國家級數據保護機構。英國設立了信息專員辦公室（Information Commissioners Office，ICO），負責監管數據、編制數據管理規范，以及數據隱私保護的宣傳教育。荷蘭數據保護局（Dutch Data Protection Authority，DDPA）、西班牙數據保護局（Agencia Espa?ola de Protección de Datos，AEPD）等也相繼成立，營造出較為安全的數據環境，促進了數據持有者與使用者之間的交流，有助于解決隱私保護的實際問題。

在實施層面，GDPR要求各企業/機構設立數據保護人員，進行文檔化管理，明確了數據泄露報告的義務，加強了問責機制;通過擴展“標準合同條款”、明確“有約束力的公司規則”等舉措，規范數據的跨境流動。在教育方面，歐盟資助的學習分析社群（LACE）負責推進相關研究和實踐。從2014年起，LACE組織了多個關于學習分析道德和隱私（#EP4LA）的工作坊，以提高研究人員對數據道德和隱私問題的認識，在教育活動中合法合理地使用數據。

四、歐美學生數據隱私保護經驗及不足

1.可資借鑒的經驗

歐美國家在隱私保護領域積累了半個世紀的經驗。其在學生數據隱私保護方面，無論是在法律體系，還是在業務實踐，均走在世界前列，能夠為我國提供可資借鑒的成功經驗。

（1）構建了相對全面的學生數據隱私保護法律體系

美國在聯邦和州兩個層面都頒布了相關法律，強化企業對學生數據隱私保護的關注度和責任。聯邦層面的FERPA和COPPA，針對不同年齡段的學生群體，嚴格規范了教育機構、網站和應用軟件等在線服務商在處理學生數據時的具體行為，賦予學生和家長更多控制個人數據的權利。各州也制定了適應本地的法規和政策。有學者稱之為“美國模式”，特點是采取分散立法和行業自律相結合的模式，保護學生數據隱私（魏玉東，2018）。

GDPR作為一項對歐盟各國均具有約束力的法規，對同意數據處理、訪問個人數據、移植和刪除個人數據等進行了詳細規范，強調最小程度地使用數據以及具體使用的限制，能夠較好地約束教育機構涉及學生數據的活動。同時，在數據處理者（學習分析機構）和數據主體（學生）之間建立了對話機制，降低了數據用于非授權商業目的的風險;并且取得了家長和學生的信任，有利于數據應用生態的建立。這種采取統一立法模式保護學生數據隱私的做法可稱為“歐盟模式”。

（2）隱私保護框架原則趨于完善

1980年，經濟合作與發展組織（The Organisation for Economic Co-operation and Development，OECD）發布了《關于保護隱私和個人數據國際流通的指南》，包含收集限制、目的規范、使用限制等8項隱私保護原則。2005年，亞太經濟合作組織（Asia-Pacific Economic Cooperation，APEC）發布了“隱私框架”，提出了各國應遵循的數據隱私保護原則，降低企業應對隱私和個人數據保護的風險。這兩者加上GDPR，均對機構收集和使用數據、個人提供和參與數據，以及運行過程的安全性三個方面進行了規范（Hoel et al.，2017），具體見表1。

這三個文件或法案的發布時間前后間隔十多年，相關實踐產生了較大變化，后者在前者基礎上進行了修正、擴充和完善。三者在“目的規范”等原則上基本一致，但在“收集限制”“個人參與”等原則上具有不同的解釋（Hoel et al.，2017）。例如，OECD的“收集限制”原則在GDPR中被細化成“數據最小化”，OECD的“個人參與”原則在APEC文件中修訂成“訪問和更正”原則等，GDPR還額外提出了“數據保護設計”和“默認”原則。各種原則的逐步細化，意味著數據隱私保護逐漸實現了制度化和系統化，GDPR在應對大數據挑戰方面做了更全面的準備，賦予個人更多的自我保護權力。

（3）充分強調行業自律

最近幾年，美國出現了一些涉嫌侵犯學生數據隱私的典型事件，造成了較大的負面影響。如，InBloom教育科技公司被曝光采集和向第三方分享學生個人隱私;課堂學生行為跟蹤軟件ClassDojo過度采集學生信息，掃描學生電子郵件。在各界的推動下，美國教育信息化產業提高了對學生數據隱私保護的關注度。企業和教育機構開始反思運營中存在的數據隱私泄露問題，加強學生數據保護。通過行業自律保護學生數據隱私（通過制定企業的行為準則，約定民間認證制度等方式），有助于避免對數據流動的過度干預，達成經濟利益和安全利益的雙贏（王瑞，2018）。

（4）構建全民參與的生態

美國的學生數據隱私保護治理體系，是由聯邦、州、行業協會，以及民間組織共同參與，形成了全民參與、多方合作的局面?！白吭浇逃饡保‥xcelinEd）、“數據質量運動”（DQC）和“學校網絡聯盟”（CoSN）提供了原則框架，還有全國家長教師協會（NPTA）等越來越多的組織加入進來，構建全民參與的生態。歐盟的數據隱私治理體系除了自上而下的模式，也有諸多來自不同歐盟成員國的研究者的參與。為了解決數據利用和數據隱私之間的矛盾，歐盟資助了各種社群，開展了多個工作坊，共同探討如何在道德和法律下合理使用學生數據，提高教學質量，體現數據價值。

2.存在的問題

歐美國家現行的法律法規及全社會參與的治理體系在一定程度上保護了學生數據隱私，但數據隱私風險仍然存在。關于學生數據的隱私保護，歐美國家還普遍存在以下突出問題。

（1）法律仍舊滯后于實踐的需要

美國早在1974年就頒布了FERPA，歐盟也相繼推出了Directive 95/46/EC和GDPR。但是，對FERPA的批判表明，在學習分析和教育數據挖掘的背景下，如何定義教育記錄以及這些記錄包含哪些數據等卻越來越困難（Polonetsky et al.，2014;Rubel et al.，2016）。FERPA是制定數據隱私政策的“底線”，而不是管理和保護學生數據的“上限”（Family Policy Compliance Office，2011;Rubel et al.，2016）。現行法律體系還存在漏洞，例如，學校領導可以代表學生許可對其數據的使用，使得學生個人數據可以不受限制地收集（Pascalev，2017）。此外，法律“執行難”的問題也普遍存在，第三方對學生數據權利的侵害行為難以界定和懲處。

在歐洲，GDPR約束了歐盟教育行業的數據保護實踐，但對以數據分析為核心的企業發展帶來了一定的限制。短期內，相關企業合規成本將顯著上升，這給中小企業發展造成障礙;類似的長臂管轄原則或將沖擊現有商業模式，全球商業科技發展或受影響（王瑞，2018）。

（2）數據所有權不明確、處理過程不規范

數字世界中的數據所有權難以辨別，尤其是在去除個人身份屬性的數據交易中，數據所有權到底屬于產生數據的個人還是記錄數據的企業，法律層面也沒有明確規定（Pardo et al.，2014）。而且，對個人數據所有者的界定存在國家差異：在美國，收集獲得的數據屬于收集者;在歐洲，個人數據屬于個人（Weippl et al.，2005）。數據的許可和控制機制不健全是隱私保護中的另一個難點。學生在與學習管理系統或其他教育應用程序交互時，會在系統日志中留下“數字痕跡”。很多情況下，此類數據多不經過學生同意被使用，其傳播也不受學生控制。盡管教師應對學生數據保密，但是數據進入教育管理系統后，可能會被納入數據倉庫進行分析，并向機構內外的參與者披露（Young，2018）。

第三方使用教育數據在很大程度上屬于灰色地帶，處于合法和非法邊緣。互聯網上存在著大量的非授權收集、使用和買賣學生數據的現象，甚至成為個別企業的主要利潤來源。數據泄漏所帶來的影響是難以估量的，個人在同意他人使用數據時無法預估自身數據的價值;一旦數據進入處理環節，用戶很難叫停和退出。Prinsloo和Slade（2015）研究了三個主流慕課平臺的數據隱私政策，發現盡管供應商依法明確告知用戶收集了哪些數據，仍舊未提供“退出”選項。SDPPRA禁止利用學生數據從事廣告或商業活動，這就和一部分企業的利益沖突，導致某些大企業花費數百萬美元游說立法機構，試圖阻止、弱化學生數據隱私保護立法（Strauss，2015）。

（3）學生、監護人以及其他相關方的數據隱私保護意識薄弱

大部分人在接受服務時并不會認真閱讀、甄別涉及自身權利和義務的服務條款。由于缺乏專業知識，普通大眾也難以辨明這些條款的真正含義，無法做出明智的選擇（Prinsloo et al.，2015）。學生群體也很少關注自己數據隱私泄露的情況，不知道哪些涉及自身的數據被收集，更不知道數據在何處被使用，常常在閱讀“打鉤并簽字”的隱私政策后，習慣性地同意、放棄自己的權利。

教師、信息技術人員、管理層以及家長對學生數據隱私和安全同樣認識不足，或是缺少專門培訓。相關人員選擇和使用教育軟件時，很少有意識地將數據隱私和安全作為考慮因素。調查顯示，美國教職員工的數據安全意識有限，沒有完全滿足聯邦的隱私培訓要求（Hipsky et al.，2015）。有學者建議教師在在線課程中明確學生數據隱私保護條款，同時鏈接現有的法律政策或其他數據隱私保護規定（Waterhouse et al.，2004;Diaz，2010）。但調查顯示，僅有2%的在線課程包含了隱私條款，且主要基于政府、機構現成的通用數據隱私保護規定（Jones et al.，2019）。

（4）隱私保護和開放教育數據、學習分析之間存在矛盾

近幾年，開放數據運動在全球興起，世界各國都在加快公共數據的開放進程。加大教育數據的開放力度，將數據共享給需要的人，才能更有效地挖掘教育數據的價值，實現教育共享與公平。但是，保護學生隱私和發布開放數據之間存在矛盾。比如，學生一方面期望通過對數據的分析，獲得全方位且精準的服務，另一方面又會擔心隱私數據泄露（Ifenthaler et al.，2016）?？鐧C構共享數據或向社會公開數據時，隱私侵權的風險更大。而且，共享數據未必是數據產生者的本意，因此應注意數據的授權使用范圍是否有限制，是否許可共享給第三方。

五、啟示和建議

我國尚處于數據隱私保護的起步階段，應當汲取歐美國家的經驗與教訓，逐步完善相關法律法規，健全學生數據隱私保護機制，建設多方參與的保護體系。

1.提高認識，切實增強全民數據隱私保護的法律意識

隨著技術的發展，人們對隱私的認識也在不斷深化（Smith et al.，2011）：信息技術發展的初期，人們對政府和商業機構高度信任，對信息（數據）收集行為持寬容態度;進入互聯網時代以后，隱私保護成為社會、政治和法律問題，人們尋求制定公平的信息實踐準則;大數據和物聯網技術的普及以后，個人信息被大量搜集和挖掘，隱私侵權問題成為公害。當今社會，越來越強調個人的主體地位，更加注重隱私保護，人們希望自主決定個人數據是否開放給他人乃至公眾。

因此，從立法者角度來看，應加大對學生群體的關注，廣泛聽取公眾的訴求和意見，真正意識到學生數據隱私泄露的嚴重性，以及立法的重要性和緊迫性。從執法者角度，應能夠深刻理解立法的目的和法律規定，提升數據隱私保護的法律意識，強化數據隱私保護法律法規的執法力度。從教育信息化從業人員的角度，應當強化其隱私保護意識，有計劃地培訓各類涉及學生數據的技術人員，提升其保護能力。從公眾角度，應通過宣傳和教育，使權利人了解數據隱私保護的知識，關注數據隱私暴露的危害，行使數據隱私的隱瞞權、支配權、利用權和維護權，實現數據隱私的自我保護。

2.加快立法，盡快建立完善相關法律制度

2020年5月，我國首部《民法典》對個人信息、隱私等內涵，以及隱私保護范圍等內容作了規定，為學生數據隱私保護的立法提供了法律依據。目前，需要加快立法，通過制定相關單行法及行政法規、部門規章、地方性法規等，盡快健全完善學生數據隱私保護的法律體系。

（1）加快《個人信息保護法》的立法進程，推進學生數據隱私保護

早在十多年前，人們就開始關注并研究隱私權及個人信息保護中的突出問題，著手開展《個人信息保護法》的研究、論證及起草工作，期待對隱私權和個人信息保護提供專門的法律保障。然而，令人遺憾的是，2020年10月公布的《個人信息保護法》草案未專門規定未成年人信息的保護，也未涉及到隱私權。為此，建議草案增加相關內容，加快立法進程，盡快通過并實施，以期從國家層面推動學生數據隱私保護工作。

（2）建議制定專門的《學生數據隱私保護法》

在法律的制定上，應該從國情出發，借鑒歐美國家的經驗，加緊制定諸如《學生數據隱私保護法》等具有針對性、可操作性、更加細化的法律法規，逐步形成可以在教育行業具體實施的法律框架。歐盟的GDPR對各種機構和組織處理數據進行了統一的規范，具有較好的約束性和強制性;美國的FERPA、COPPA等對教育機構、運營服務商等教育利益相關方就數據處理進行規范，保護學生群體的利益不受侵犯。以上均可以為我們提供立法的具體思路。

（3）出臺專門的行政法規或者部門規章

教育部近三年來發布了多個涉及教育數據管理的文件，如《教育部機關及直屬事業單位教育數據管理辦法》明確了教育數據各環節的管理程序，保護個人隱私，保障教育數據資源安全;《教育部政務服務事項目錄》要求各教育機構建立健全保密審查制度，加大對涉及國家秘密、商業秘密、個人隱私等重要數據的保護力度。但是，現有管理制度尚未細化到學生數據保護的具體問題，缺乏針對性和實操性，也未形成完整的體系。為了推進相關法律的落實，補充法律不能或來不及覆蓋的領域，加強對學校、市場的監管，教育部門應盡快聚焦保護學生數據安全和數據隱私，引導專業機構制定較為詳細的數據隱私保護方案和行動指南，降低因使用范圍、使用目的不明確所帶來的數據風險。

（4）在北上廣等教育信息技術發達的地區可率先制定地方性法規，為其他地區提供借鑒

我國的教育信息化發展不均衡，北上廣等教育信息化發展較快的地區，技術基礎更為完善，公眾的權利保護意識更強。可以嘗試在這些地區開展關于學生數據隱私保護的地方性法規制定工作，基于“試點先行，以點帶面，逐步推廣”的原則，自下而上帶動更多地區參與到數據隱私保護活動中，探索數據隱私保護的新模式。

（5）修改完善相關法律規定，增加涉及學生數據隱私保護的內容

對現行的《兒童個人信息網絡保護規定》等已經涉及到數據隱私保護、個人信息保護的法律法規及部門規章，可適時修改和完善，增加關于學生數據隱私保護的條款，形成一個有利于學生數據保護的法律體系，真正做到有法可依。

3.加強行業自律，規范市場行為

（1）鼓勵企業、機構實施行業自律

政府部門應鼓勵和幫助相關企業、機構根據自身特點，規范其處理學生數據的業務流程，開展數據隱私保護工作。行業組織也應積極組織會員單位協商制定行業公約，規范各企業在學生數據收集、使用方面的活動，編制數據隱私保護協議，推進公約的執行和相互監督。

（2）加強基礎設施建設，運用先進技術提高保障能力

在開展學生數據隱私保護工作時，還應關注基礎設施的建設，為數據處理提供安全的技術環境。區域教育數據中心、使用數據的教育機構，以及互聯網教育服務商應保障數據的安全和可控，在數據流動的源頭做好隱私保護工作，既要采用技術手段保證內部數據安全，還要注意防范外部侵害活動。數據管理者應監管從采集到應用的各個流程和整體運行機制，一旦出現問題，馬上修復。

（3）推進標準化、規范化工作

數據安全離不開標準。數據平臺可使用P3P、EPAL等國際通用數據保護標準，針對不同類型的隱私建立不同的保護策略，采用匿名、加密、數據干擾等一系列保護技術（唐亮，2016）。國家層面，應統一編制學生數據標準和隱私保護要求，可參照美國國家教育統計中心（National Center for Education Statistics，NCES）的《通用教育數據標準》（Common Education Data Standards，CEDS），規范數據來源、數據質量、數據格式等。各機構和教育信息化企業在數據收集、使用、修改、刪除等過程中，也應基于標準實施，降低數據泄漏風險。

4.營造隱私保護的社會大環境，構建多方參與的治理體系

學生數據隱私保護需要充分動員，以“政府主導、共同參與”的形式展開，構建全社會參與的治理體系，營造安全可靠的良好氛圍。在歐美，非官方組織在學生數據隱私保護實踐中最為活躍，承擔了很多行政手段難以落地的工作，我們應當加以借鑒。國家在立法、制定政策，以及采取保護措施時，也應該傾聽來自不同利益相關方的聲音，在符合法律和道德的前提下，以促進教育健康發展和人才培養為目的，做到數據順暢流通，發揮學生數據最大效益。

參考文獻：

[1]陳禹潛（2020）.泄露學生個人信息，沒有理由放過[EB/OL]. [2020-12-20].https：//baijiahao.baidu.com/s？id=1657790276842594840&wfr=spider&for=pc.

[2]國家市場監督管理總局（2020）.收集14萬余條學生個人信息江蘇省一培訓機構被罰30萬元[EB/OL].[2020-12-20].http：//www.samr.gov.cn/xw/df/202006/t20200611_316968.html.

[3]劉云（2017）.歐洲個人信息保護法的發展歷程及其改革創新[J].暨南學報（哲學社會科學版），39（2）：72-84.

[4]毛牧然（2020）.論我國出臺《個人信息保護法》的法理障礙及其破解[J].蘇州大學學報（哲學社會科學版），41（1）： 59-68.

[5]湯敏（2018）.個人敏感信息保護的歐美經驗及其啟示[J]. 圖書館建設， （2）：41-47.

[6]唐亮（2016）.隱私保護：教育數據硬幣的另一面——互聯網時代美國教育數據隱私保護的啟示[J].中國信息安全， （2）：103-106.

[7]王瑞（2018）. 歐盟《通用數據保護條例》主要內容與影響分析[J].金融會計，（8）：17-26.

[8]王正青（2016）.大數據時代美國學生數據隱私保護立法與治理體系[J].比較教育研究，38（11）：28-33.

[9]魏玉東（2018）.大數據時代國外網絡隱私保護的典型模式及對我國的啟示[J].沈陽工程學院學報（社會科學版），14（4）：456-460.

[10]張彤（2020）.論民法典編纂視角下的個人信息保護立法[J].行政管理改革，（2）：28-34.

[11]張新寶（2019）.個人信息收集：告知同意原則適用的限制[J].比較法研究，（6）：1-20.

[12]Diaz， V. （2010）. Web2.0 and Emerging Technologies in Online Learning[J]. New Directions for Community Colleges， （150）：57-66.

[13]DQC & CoSN （2015）. Student Data Principles[EB/OL]. [2020-06-24]. http：//1chu6tvvaa5a0od12wir5q1e.wpengine.netdna-cdn.com/wp-content/uploads/2015/03/Student-Data-Principles-FINAL.pdf.

[14]DQC （2015）. Student Data Privacy Legislation： What Happened in 2015， and What Is Next？[EB/OL]. [2020-12-20]. https：//files.eric.ed.gov/fulltext/ED560608.pdf.

[15]DQC （2019）. Education Data Legislation Review： 2019 State Activity[EB/OL]. [2020-06-12]. https：//dataqualitycampaign.org/wp-content/uploads/2019/10/DQC-Legislative-summary -02042020.pdf.

[16]Engelfriet， E.， Jeunink， E.， & Maderveld， J. （2015）. Handreiking Learning Analytics Onder de Wet Bescherming Persoonsgegevens （SURF Report） [EB/OL]. [2020-12-20]. https：//www.surf.nl/kennisbank/2015/learning-analytics-onder-de-wet-bescherming-persoonsgegevens.html.

[17]ExcelinEd （2017）. Student Data Privacy： Building a Trusted Environment[EB/OL]. [2020-10-20]. https：//files.eric.ed.gov/fulltext/ED576966.pdf.

[18]Family Policy Compliance Office （2011）. The Family Educational Rights Privacy Act： Guidance for Reasonable Methods and Written Agreements[EB/OL]. [2020-10-28]. https：//www2.ed. gov/policy/gen/guid/fpco/pdf/reasonablemtd_agreement.pdf.

[19]Grady， N. W.， Underwood， M.， & Roy， A. et al. （2014）. Big Data： Challenges， Practices and Technologies： NIST Big Data Public Working Group Workshop at IEEE Big Data 2014 [C]// Proceedings of the 2014 IEEE International Conference on Big Data （Big Data）. IEEE：11-15.

[20]Hipsky， S.， & Younes， W. （2015）. Beyond Concern： K-12 Faculty and Staffs Perspectives on Privacy Topics and Cybersafety[J]. International Journal of Information and Communication Technology Education （IJICTE）， 11（4）：51-66.

[21]Hoel， T.， Griffiths， D.， & Chen， W. （2017）. The Influence of Data Protection and Privacy Frameworks on the Design of Learning Analytics Systems[C]// Proceedings of the Seventh International Learning Analytics & Knowledge Conference：243-252.

[22]Ifenthaler， D.， & Schumacher， C. （2016）. Student Perceptions of Privacy Principles for Learning Analytics[J]. Educational Technology Research and Development， 64（5）： 923-938.

[23]Jones， K. M.， & VanScoy， A. （2019）. The Syllabus as a Student Privacy Document in an Age of Learning Analytics[J]. Journal of Documentation， 75（6）：1333-1355.

[24]Pardo， A.， & Siemens， G. （2014）. Ethical and Privacy Principles for Learning Analytics[J]. British Journal of Educational Technology， 45（3）：438-450.

[25]Pascalev， M. （2017）. Privacy Exchanges： Restoring Consent in Privacy Self-Management[J]. Ethics and Information Technology， 19（1）：39-48.

[26]Polonetsky， J.， & Tene， O. （2014）. Who Is Reading Whom Now： Privacy in Education from Books to MOOCs[EB/OL]. [2020-12-20]. https：//papers.ssrn.com/sol3/papers.cfm？abs-tract_id=2507044.

[27]Prinsloo， P.， & Slade， S. （2015）. Student Privacy Self-Management： Implications for Learning Analytics[C]//Proceedings of the Fifth International Conference on Learning Analytics and Knowledge：83-92.

[28]Rubel， A.， & Jones， K. M. （2016）. Student Privacy in Learning Analytics： An Information Ethics Perspective[J]. The Information Society， 32（2）：143-159.

[29]Sclater， N. （2016）. Developing a Code of Practice for Learning Analytics[J]. Journal of Learning Analytics， 3（1）：16-42.

[30]Smith， H. J.， Dinev， T.， & Xu， H. （2011）. Information Privacy Research： An Interdisciplinary Review[J]. MIS Quarterly， 35（4）：989-1015.

[31]Steiner， C. M.， Kickmeier-Rust， M. D.， & Albert， D. （2015）. Lets Talk Ethics： Privacy and Data Protection Framework for a Learning Analytics Toolbox[M]// Ethics and Privacy in Learning Analytics （# EP4LA）. Poughkeepsie， NY.

[32]Strauss， V. （2015）. Report： Big Education Firms Spend Millions Lobbying for Pro-Testing Policies[EB/OL]. [2020-11-14]. https：//www.washingtonpost.com/news/answer-sheet/wp/2015/03/30/report-big-education-firms-spend-millions-lobbying-for-pro-testing-policies/.

[33]U. S. Department of Education （2011）. U.S. Department of Education Safeguarding Student Privacy[EB/OL]. [2020-06-28].?https：//www2.ed.gov/policy/gen/guid/fpco/ferpa/safeguarding-student-privacy.pdf.

[34]Waterhouse， S.， & Rogers， R. O. （2004）. The Importance of Policies in E-Learning Instruction[J]. Educause Quarterly， 27（3）：28-39.

[35]Weippl， E. R.， & Tjoa， A. M. （2005）. Privacy in E-Learning： Anonymity， Pseudonyms and Authenticated Usage [J]. Interactive Technology and Smart Education， 2（4）：247-256.

[36]Young， J. R. （2018）. To Bring Analytics to College Classrooms， New Effort Starts with‘Data Laundry[EB/OL]. [2020-11-28]. https：//www.edsurge.com/news/lassrooms-new-effort-starts-with-data-laundry.

收稿日期 2021-01-08責任編輯 汪燕

Abstract： Student data is an important part of education data， which has been widely used in educational decision-making， classroom management and personalized learning. However， infringement of student data privacy has a negative social impact and draw attention from the government， schools and the society. In this area， the United States and the European Union have decades of experience， so their laws and systems are more complete and perfect. An analysis on legislation and practice of student data privacy protection in the United States and the European Union shows that they have established a thorough legal system and formed a more comprehensive framework of privacy protection principles， and their experience in emphasizing industry self-regulation and universal participation is worth learning. However， some problems are also revealed. For example， the law still lags behind practice; data ownership is not clear and the processing process is not standardized; students and other stakeholders lack awareness of data privacy protection; there are conflicts between privacy protection， open education data and learning analysis. Now， since China is still in the early stage of data privacy protection， with the experience and lessons learned from European and American countries， China should raise awareness and effectively enhance the legal consciousness of all people， speed up legislation to establish a more comprehensive legal system as soon as possible， strengthen industry self-regulation and regulate market behavior， create a social environment for privacy protection， and build up a governance system with multiple parties participation.

Keywords： The United States and the European Union; Education Data; Data Privacy; Privacy Protection; Legislation and Practice