《教育数据安全管理办法(试行)》

《教育数据安全管理办法(试行)》教育数据安全管理以保障教育数据安全、维护教育主体合法权益、服务教育事业发展为目标，适用于各级各类学校（含幼儿园）、教育行政部门及其他从事教育活动的组织机构（以下统称教育机构）在开展教育教学、管理服务等活动中产生、收集、存储、传输、使用、共享、删除、销毁教育数据的全生命周期安全管理。教育数据包括学生、教师、职工等个人信息，以及教育管理、教学资源、科研活动等相关数据。教育数据实行分类分级保护制度。根据数据的重要程度、敏感程度及一旦泄露、篡改、丢失可能造成的危害程度，分为一般数据、重要数据和核心数据三级。核心数据指影响或可能影响国家教育主权、安全和公共利益的教育数据，主要包括全国统一考试命题数据、国家教育战略规划数据、全国学生个人敏感信息（如生物识别信息）等；重要数据指一旦泄露、篡改、丢失可能对教育管理、教学秩序、公共利益或个人权益造成严重影响的教育数据，包括跨区域或大规模学生基础信息（如姓名、身份证号）、关键教育业务系统运行数据等；一般数据指除核心、重要数据外的其他教育数据，如非敏感的学生成绩统计、教师普通培训记录等。不同级别数据采取差异化保护措施：核心数据需实施最高等级防护，严格限制访问范围，存储和传输需采用加密等强保护技术；重要数据需建立严格的访问控制和审计机制，定期进行安全检测；一般数据需落实基本的防泄露、防篡改措施。教育机构是数据处理的责任主体，需履行数据安全保护义务。法定代表人或主要负责人为数据安全第一责任人，需领导数据安全工作；明确数据安全负责人，统筹协调数据安全管理；配备专职或兼职数据安全管理人员，具体落实安全措施。教育机构需建立数据安全管理制度，涵盖数据收集、存储、使用、共享、删除等全流程，包括但不限于数据分类分级规则、访问权限管理、安全审计、风险评估、应急响应等制度。委托第三方处理数据时，需签订书面安全协议，明确数据安全责任，第三方需具备相应的数据安全能力，教育机构需对其处理活动进行监督，不得因委托降低数据安全保护标准。数据收集遵循“最小必要”原则，教育机构应仅收集与教育教学、管理服务直接相关的数据，不得过度收集。收集学生、教师、职工等个人信息时，需明确告知收集目的、方式、范围，取得个人或其监护人（针对未成年人）的同意；但为履行法定职责或提供公共教育服务确需收集且无法取得同意的，可依法直接收集。数据使用需严格限定在收集目的范围内，不得超范围使用，禁止篡改、伪造数据。数据共享需进行安全评估，核心数据原则上不共享，确需共享的须经省级以上教育行政部门批准；重要数据共享需经教育机构主要负责人审批，并报主管教育行政部门备案；一般数据共享需采取脱敏处理等保护措施，确保接收方落实相应安全责任。教育机构需落实技术防护措施，数据存储应采用加密、访问控制等技术，核心数据和重要数据需本地存储并定期备份，确需向境外提供核心数据的，须经国家教育行政部门安全评估并报国家数据安全主管部门批准；数据传输需通过安全信道，重要数据和核心数据传输需加密；数据处理系统需符合网络安全等级保护要求，核心数据处理系统应达到三级以上保护，重要数据处理系统达到二级以上保护，并定期进行安全检测和风险评估。建立数据安全应急响应机制，制定应急预案，每年至少开展一次应急演练；发生数据泄露、篡改、丢失等安全事件时，应立即采取阻断传播、保存证据等措施，24小时内向主管教育行政部门报告，并通知受影响的个人或单位，造成损害的依法承担责任。教育行政部门负责本行政区域内教育数据安全的监督管理，建立数据安全监测预警和信息共享机制，定期开展数据安全检查，重点检查分类分级、制度落实、技术防护等情况；对未履行数据安全义务的教育机构，责令限期整改，逾期不改或造成严重后果的，依法给予警告、罚款、暂停相关业务等处罚；构成犯罪的，依法追究刑事责任。教育机构需每年向主管教育行