从入学隐私声明看美国学生隐私保护

一、引子——两份入学隐私声明

近日，笔者从一位朋友那里，看到了美国东部某小学Kindergarten（相当于幼儿园大班/学前班）的入学注册文件，其中一份《家长声明》引起了笔者的注意。笔者将声明书翻译如下：

在朋友孩子参加的托管班（简称T校）的注册文件中，也有一张类似的《家长声明》，一并翻译如下：

很显然，两份文件都将孩子的肖像权和作品权作为保护对象。孩子的家长或监护人有权享有和保护孩子的肖像权和作品权。如果公众媒体，甚至教室里的展示区想用孩子们的照片或作品，都必须事先经过家长的同意。笔者的朋友在签署这份文件之前，特意征求了五岁孩子的意见，孩子说同意把自己的照片或作品放在教室的展示区和学校的网站上，家长才签署了这份文件。

除了入学文件，当学校有表演时，无论是观众席中的孩子还是舞台上表演的孩子，都有可能被摄像师收进镜头，这时学校总会提前发出一张表格让家长填写。如果你不愿意让自己的孩子进入镜头，你可以大大方方地提出要求。这种表格在美国不同城市不同学校里都很常见，而孩子们从小也培养了这种保护意识。前段时间在YouTube上曝出的美国六岁小女孩Olivia控诉妈妈在Facebook上晒其照片的视频，曾引发众网友的热烈讨论。这对我们来说可能是新闻，而在美国，可能是孩子自我保护意识的体现，已习以为常。

二、美国隐私权保护的宪法渊源

隐私权这一概念最早由美国学者沃伦（Wallen）和布兰代斯（Brandeis）在1890年《哈佛法学评论》第四期发表的《论隐私权》一文中提出。这篇文章中，沃伦与布兰代斯从侵权行为法的角度，建立了隐私权的存在依据，并主张“不受干扰的权利”（right to be let alone）。[1]布兰代斯嗣后成为联邦最高法院法官，对其隐私权理论更是不遗余力地推而广之， 在与另一位最高法院法官道格拉斯等的一道推动下，美国最高法院终于承认，美国宪法第一、 第四、第五修正案是隐私权的法律渊源，“宪法上的隐私权”（constitutional privacy）由此创设，其被归入公民所享有的基本权利类型中，作为各州及联邦法令违宪审查的依据之一。1905年，在派维斯奇诉新英格兰生命保险公司案（Pavesich v. New England Life Ins. Co.）中，佐治亚州高等法院援引自然权利的观念，认为“个人可以决定在何时何地以何种方式展现他自己，这是自由权的一部分”，判决被告侵犯了受害人的隐私权。[2]这是美国第一个正式保护隐私权的案件。

美国法中，由于其既没有一般格权概念，也没有具体人格权概念，因此，隐私权产生后，演变成为一个涵盖各类人格利益保护的集合型民事权利。1964年，Prosser将大量的侵犯隐私权的判例进行了归纳，从而形成了对隐私权案件的四分法[3]：

(1)不合理地侵入他人的隐私Intention upon seclusion

(2)窃用他人的姓名或肖像Appropriation of name or likeness

(3)不合理地公开他人的私生活Publicity given to private life

(4)公开他人的不实形象Publicity given to unreal image

这一分类，得到了美国学术界的普遍认可，即隐私权包含了以下民事权利：侵犯隐秘、滥用肖像、公开揭露和扭曲形象。从20世纪60年代进入到21世纪高科技时代后，大众传媒日益兴盛，信息技术迅猛发展。美国一位学者把21世纪很多高科技的发明全部罗列起后指出，所有的高科技都给人类带来了巨大的福祉，但是它们都可能有一个共同的副作用，就是对个人隐私的威胁。[4]因此，随着现代科技的发展，学者们相应扩张了隐私的内涵，将其扩大到信息隐私、空间隐私以及自决隐私等领域。

三、美国学生隐私保护的立法规制及其配套实施

有学者将学生隐私权定义为：学生在校期间依法享有的与社会公共利益无关的，对自身学习、工作和生活等私人信息、私人活动、私人空间自主进行支配的人格权。[5]对学生而言，除了肖像，其个人的身份证号、家庭出身、家庭收入情况、生理缺陷等都属于隐私，应该受到保护。随着学校办公自动化系统、学籍管理系统、考试管理系统等各类信息系统应用普遍，系统安全问题而造成的学生隐私泄露问题日益增多。因此，美国联邦、各州以及行业协会等都积极出台了规制措施，而学校则从教职员工、学生、家长等各层面加以落地实施。2014年，美国发布《大数据：把握机遇，守护价值》白皮书，提出在大数据时代要利用教育数据推动教育改革创新。通过立法和行业自律，美国基本构建起大数据环境下学生隐私保护的法规体系，并对学校、信息系统开发商、信息服务商提出明确要求。

（一）联邦层面的法律制度

1974年开始实施的《家庭教育权利与隐私法》（Family Educational Rights and Privacy Act，简称为“FERPA”）是一项保护学生教育记录隐私的法律。该法律适用于所有通过申请美国教育部的一个项目而获得联邦资助的学校，而大部分美国的公立学校都属于这一类。

1978年开始实施的《保护学生权利修正案》（Protection of Pupil Rights Amendment，简称为“PPRA”），有时被称为Hatch修正案，是一项旨在保护美国教育部资助的项目中的学生和学生家长权利的法律。PPRA主要通过以下两种方式保护家长和学生的权利：（1）如果该资助项目的教学材料被用于其子女参与的某些项目的调查、分析或评估，则学校及其供应商应提供这些教学材料供家长们检查；（2）如果未成年学生参加某些特定[6]的教育部资助项目的调查、分析或评估，则学校及其供应商必须事先获得家长的书面同意。[7]

2000年4月开始生效的《儿童在线隐私保护法案》（Children’s Online Privacy Protection Act ，简称为“COPPA”），主要规制对象为在线收集13岁以下儿童个人信息的行为。其确立了有限收集原则、收集信息时的公开原则和父母亲的“可资证实的同意”原则。有限收集原则禁止在儿童参与并以披露个人资料为前提条件的游戏、提供奖金或者其他活动时，收集超出并参与活动合理需要的个人数据。该法案详细介绍了网站运营商必须遵循的隐私政策，何时以及如何获得父母或监护人同意，以及运营商应尽的隐私保护责任。

2015年通过的《学生数字隐私和家长权利法案》（Student Digital Privacy and parents Rights Act），禁止网站经营者：（1）向第三方出售学生的个人信息；（2）收集学生信息以创建个人档案，或并不是出于教育指导、学校合作或行政活动的目的使用这些信息。同时，该法案对网站的运营商提出以下要求：（1）实施信息安全保护程序和数据泄露应对程序；（2）如未经授权获取或访问网站使用者的个人信息，应通知联邦贸易委员会（FTC），并同时通知学生、学生家长、其所在的教育机构、学校工作人员或老师；（3）在教育机构，学校或学生家长提出要求后45天内，或在经营者停止提供服务后一年内，删除学校不需要保留的某些学生信息。[8]

（二）州政府层面的法律制度

学生隐私保护也受到美国各州的高度重视。各州出台了多项政策法规来保护学生隐私，包括建立学校的数据治理结构以监督数据使用的透明度，保护学生数据的隐私以及禁止在一些特定用途上使用学生数据等。

从2012年至2017年，美国各州颁布了120多项法律，以规范学校及其服务商如何收集，使用和保护学生数据。这些法律不包括州立法机构颁布的许多一般隐私法，例如数据泄露通知法（data breach notification laws），尽管这些法律也可能对教育机构产生影响。这120多项法律大多针对从小学、初中和高中学生收集的信息。但是，其中35项法律也规定了私立和公立高等教育机构（如大学）如何使用学生数据。[9]下文试举几例予以介绍。

乔治亚州2015年通过的《学生数据隐私、可访问性和透明度法案》（Data Privacy, Accessibility and Transparency Act）规定：学校应披露每条数据被收集的原因；赋予家长审查其子女的教育记录的权利，并要求学校根据家长的要求向其提供学生记录的电子副本；要求针对州数据系统制定数据安全计划；要求与学校合作的技术提供者制定适当的安全程序，并禁止他们出售有关学生的个人信息或将其用于有针对性的广告；并根据教育部的要求任命一名首席隐私官。

加利福利亚州2014年通过的SB 1177法案，即《学生在线个人信息保护法》规定，禁止网站、在线服务、在线应用或移动应用的运营商，故意向学生或其父母/法定监护人实施有针对性的广告宣传。这些服务和应用也不能使用所涵盖的信息来收集有关K-12学生的个人资料，出售学生的信息或披露所涵盖的信息。为了保护学生信息免遭未经授权的访问、破坏、使用、篡改或披露，该法还规定了针对所涵盖的信息，运营商应遵循的安全程序及其实施规则。

西弗吉尼亚HB 4316（2014）法案，概述了州、地区和学校分别对数据清单所应承担的责任，并由一名专门的数据治理官员来进行管理。它要求州教育委员会制定《学区指南》，且应包含以下内容：学校应通知家长学校有要求学生提供信息的权利，允许家长访问他们孩子教育记录的具体数据；在向家长提供学生数据时确保安全；确保学生数据仅提供给有授权的个人；详细说明哪些时间段内，必须向家长提供可供访问的教育记录。

纽约SB 6356（2014）法案规定，禁止教育部门向供应商提供个人身份信息，应要求供应商销毁已提供的任何数据，并允许学区不向任何拟将学生数据纳入数据控制面板（a data dashboard）的一方提供学生的个人身份信息。该法案还创建了一个新的首席隐私官职位，其主要职责包括：提出安全和隐私政策建议，并制定增加透明度、通知家长以及家长投诉的实施程序；制定家长关于数据隐私和安全/详细数据目录的权利清单；并制定与供应商签订合同的准则。[10]

（三）行业协会自律措施

美国行业协会和运营商也积极出台隐私保护自律政策。2014年10月，作为美国最有影响力的软件和数字化内容开发行业协会，美国软件和信息业协会（SIIA）联合“未来前沿隐私论坛”发布了《学生隐私倡议书》，要求会员签字并遵循“不出售学生信息，或者用于广告目的使用信息。学生信息只在授权的教育目的内使用”的约定，包括微软公司在内的200多家互联网企业在倡议书上签字。

（四）技术层面引入安全保密措施

美国在涉及学生隐私的信息系统建设和运行管理过程中引入安全保密措施，成为数据隐私保护的技术基础。例如，美国国家教育统计中心组织专家开发的“全国教育数据模型”（NEDM），能专门提供教育数据库建设与维护的技术方案，并通过合理使用数据加密技术、身份鉴别技术、权限管理功能，帮助学校建立可预防网络入侵与攻击的数据库和信息系统，从源头上遏制隐私泄露的风险。

在具体的使用环节上，俄亥俄州建立了“州学生识别号码”（SSID）这一编码系统，该系统只有掌握极高保密度密码的人员才能使用。密苏里州的学生信息系统(MOSIS)实行分类保护，根据数据本身敏感程度实行差异化管理，对社会安全号等敏感信息实行单独编码。新罕布什尔州则为每个学生建立专属的身份验证码（UIC），验证码由电脑随机产生，且只供相关人员一次性使用。密西根州的教育数据系统则根据数据使用人员的岗位需要设置分层查询权限。这些技术措施对保护数据安全发挥了积极作用。[11]

（五）相关标准和指南的制定

除了学生隐私保护相关法规、制度，美国还制定了多个通用的个人隐私保护方面的标准和指南。其中美国标准和技术研究院（NIST）制定的《个人信息保密指南》（SP800-122）被广泛采用。SP800-122指南于2010年4月发布，参考了《联邦信息系统和组织隐私与安全控制指南》（SP800-53）。SP800-122的内容包括：个人身份信息识别、个人身份信息处理、保密影响水平、保密措施、个人身份信息泄漏后的应急响应等。国际信息系统审计协会（ISACA）等组织已开始开展依据相关法规和标准对组织的个人隐私保护情况进行的评审等相关业务。[12]

四、结语

对比某直播平台上出现的某省多所校园课堂的直播视频[13]，美国对在校学生的隐私保护要严密得多，其从法律制度的建立到安全保密技术及配套实施规范，已自成框架和体系。尽管近年来受校园暴力的影响，如1999年科伦拜恩枪击事件和2007年弗吉尼亚理工大学悲剧事件，一些学校加强了安全措施，金属探测器和监控摄像头已经成为许多学校生活的一部分，以至于学校管理人员和家长不得不就隐私与安全问题展开辩论，但立法部门、教育机构及行业协会等，仍在为如何平衡学生隐私与安全利益及大数据应用之间的关系作出不懈努力。

隐私权是现代社会意义日益彰显、作用日益突出的民事权利，也是人权的一项重要内容，保护隐私权是现代社会文明的重要标志。教育大数据涉及受教育者与受教育群体，特别是对于我国人数规模较大的未成年学生而言，在教育过程中会采集学生个人学习、疾病、家庭、生活等方方面面的数据，个人隐私保护就显得至关重要。各类教育教学软硬件系统、互联网教育资源等在招生、就业、测评、辅导过程中都要求学生提供相关个人信息，但缺乏相应的隐私保护措施，存在着较大的隐私安全风险。[14]

笔者认为，在信息技术飞速渗透校园的今天，教育部门及其供应商积累起来的数据之庞大，不亚于医疗、金融等数据聚集领域，应引起我们足够的重视。从学生数据的采集，数据的保存、数据的应用及数据的销毁，都需要按照《网络安全法》等相关法律法规，结合学生隐私保护实际，要求学校、教育信息系统开发商、运营服务商等建立完善学生隐私保护管理制度，并加强内部培训，提高相关人员，包括学生本人及其家长的的隐私保护意识。同时，还应根据大数据安全通用标准体系框架，结合教育大数据在个人隐私保护方面的实际需求，加快制定教育大数据安全标准规划，如教育大数据个人信息分级分类保护标准、教育大数据脱敏实施指南等，为教育机构保护学生隐私权及构建大数据应用提供标准依据。

注释：

［1］参见：维基百科词条“隐私权”，https://zh.wikipedia.org/wiki/隐私权，访问日期：2018年11月8日。

［2］马特：《英美法中的个人隐私保护》，载《重庆理工大学学报（社会科学）》，2010年第24卷第10期。

［3］See Prosser, The Law of Torts, 3rd ed, 1964, p.843.转引自王利明：《隐私权概念的再界定》，参见http://www.aisixiang.com/data/53832.html，访问日期：2018年11月10日。

［4］王利明：《21世纪法律遇到最严峻的挑战是如何强化对个人隐私的保护》，http://www.aisixiang.com/data/112045.html，访问日期：2018年11月28日。

［5］梁亚平：《大数据时代学生隐私保护与思考》，载《质量与认证》2017年第7期。

［6］这些特定项目将会披露受访者的以下信息：（1）政治背景；（2）可能使学生及其家人感到尴尬的心理和心理问题；（3）性行为及其所持态度；（4）非法、反社会、自证其罪及自辱行为；（5）对与受访者有密切家庭关系的其他人的批判性评价；（6）法律认可的特权或类似关系，例如与律师、医生和政府部门负责人的关系；（7）收入。

［7］Protection of Pupil Rights Amendment (PPRA)，see https://www2.ed.gov/policy//gen/guid/fpco/ppra/index.html,11/20/2018。

［8］H.R.2092 - Student Digital Privacy and Parental Rights Act of 2015，see https://www.congress.gov/bill/114th-congress/house-bill/2092, 11/20/2018。

［9］Amerlia Vance, Privacy Laws Proctecting Student Date, 2018/01/29. See https://er.educause.edu/blogs/2018/1/privacy-laws-protecting-student-data,11/20/2018。

［10］STUDENT DATA PRIVACY，10/26/2018，see http://www.ncsl.org/research/education/student-data-privacy.aspx,11/21/2018。

［11］王正青：《大数据时代美国学生数据隐私保护立法与治理体系》，载《比较教育研究》，2016年第11期。

［12］梁亚平：《大数据时代学生隐私保护与思考》，载《质量与认证》2017年第7期。

［13］相关报道参见谭琳静、舒文：孩子们的隐私权，谁来保护？载《长沙晚报》2017年3月23日，https://www.icswb.com/newspaper_article-detail-244649.html, 访问日期：2018年11月15日。

［14］中国电子技术标准化研究研究，信息安全研究中心：《大数据安全标准化白皮书（2018年版）》，http://www.cesi.cn/201804/3789.html，访问日期：2018年11月29日。

作者简介：张良，北京七星安为科技有限公司VP/总法律顾问，工作邮箱：zhangliangqxaw@163.com。

北京七星安为科技有限公司，是一家新兴的网络安全公司，拥有一支国内顶尖的网络安全技术和专家团队，其主要业务包括：

1、网络安全合规咨询服务。资深安全专家解读《网络安全法》及等级保护政策等，协助客户完成系统定级备案、安全自查与差距分析、风险评估以及安全建设规划等工作；深耕数据治理板块，为客户提供数据分类分级咨询，并构建数据敏感标记应用体系。

2、安全运维服务。自主研发的安全管理中心云服务平台，能为客户搭建在线服务平台，变被动响应为主动管理，实现集中管理、实时监测、快速响应、及时解决、全面预防的运营管理机制，一站式解决用户系统运营管理问题。

3、移动互联安全评估服务。自主研发的移动恶意代码运行过程动态行为特征分析工具和APP监测平台，能协助客户评估网络安全现状，发现安全隐患并提出解决方案。

声明：本文来自个人信息与数据保护实务评论，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。