《教育数据安全管理规范(试行)》

《教育数据安全管理规范(试行)》教育数据安全管理规范以保障教育数据全生命周期安全为核心，围绕数据分类分级、收集、存储、使用、共享、销毁等关键环节，明确责任主体与技术要求。教育数据按敏感程度分为公共数据、个人数据和敏感数据三类，其中公共数据指不涉及特定主体的教育统计、政策文件等；个人数据涵盖学生、教师、管理人员的姓名、身份证号、联系方式等可识别自然人的信息；敏感数据包括生物识别信息（如指纹、人脸）、考试成绩、心理健康档案、家庭经济状况等，可能对主体权益造成重大影响，需采取更高保护措施。分类后实施分级管理，敏感数据进一步划分为高、中、低风险等级，高风险数据如涉及未成年人的隐私信息，需严格限定访问权限，中风险数据如教职工薪酬信息，需加密存储并记录访问日志，低风险数据如非敏感的学生兴趣爱好，可在脱敏后有限共享。数据收集环节严格遵循最小必要原则，仅收集与教育教学、管理服务直接相关的信息，禁止通过诱导、捆绑等方式强制收集无关数据（如学生家长的工作单位、社交账号）。收集前需明确告知数据用途、存储期限、共享范围等，取得主体或其监护人（针对未成年人）的明示同意；因法定职责（如教育统计）需收集的，应在官方渠道公开说明依据和范围。收集过程中采用加密传输（如HTTPS协议），避免传输过程中泄露，对移动应用、智能设备等收集终端需定期检测，防止恶意程序窃取数据。存储要求以本地化为主，重要教育数据（如国家教育考试信息、学生学籍档案）须存储于境内，确需向境外提供的，需通过省级以上教育行政部门会同网信部门进行安全评估，评估内容包括接收方数据保护能力、数据用途合法性等。存储介质需采用加密技术（如AES-256加密），访问控制实行最小权限原则，按岗位设置角色权限（如教师仅能访问所授班级学生的成绩，管理员可管理系统但无法查看具体成绩），禁止默认全权限账户。建立数据备份机制，区分在线热备份（用于快速恢复）和离线冷备份（定期物理存储），备份数据同样需加密，且备份频次根据数据重要性确定（如考试成绩每日备份，常规教学日志每周备份）。数据使用须严格限定目的，不得超出收集时明示的范围（如学生体质健康数据仅用于体育教学调整，不得用于商业广告推送）。使用个人数据开展分析时，需进行匿名化处理，匿名化需达到“无法通过技术手段复原且不借助额外信息无法识别主体”的标准，匿名化后的数据使用可不需再次取得同意，但需标注“已匿名化”。涉及人工智能算法的应用（如智能排课、个性化学习推荐），需确保算法公平性，禁止因性别、民族、家庭背景等因素产生歧视性结果，算法模型需可解释，关键参数变更需记录并备案。数据共享分为内部共享和外部共享。内部共享（同一教育机构不同部门间）需经数据安全负责人审批，记录共享时间、内容、接收人等信息，共享后接收方需履行同等保护义务；外部共享（向其他教育机构、第三方服务商等）需签订数据安全协议，明确数据用途、保护措施、违约责任等，协议中须包含“数据最小使用”“禁止转共享”条款。公共数据开放需分级实施，低风险公共数据（如教育资源分布信息）可直接开放，中风险数据（如区域学生人数统计）需脱敏后开放，高风险公共数据（如未公开的教育政策草案）原则上不开放，确需开放的需经专家评审。与第三方合作（如教育软件开发商）时，需对其数据安全能力进行评估（包括资质认证、历史安全记录等），要求其承诺数据仅用于合作事项，合作结束后30日内删除或归还数据，未按约定处理的需承担赔偿责任。数据销毁分物理销毁和逻辑销毁。物理销毁适用于存储介质（如硬盘、磁带），采用消磁、粉碎等方式，确保数据无法恢复；逻辑销毁适用于电子数据，通过覆盖写入（如多次写入随机数据）或调用安全删除工具（如Windows的Cipher命令）彻底清除，禁止仅删除文件索引。销毁前需由数据使用部门提出申请，经数据安全负责人审批，销毁过程需由两人以上监督并记录（包括销毁时间、介质编号、操作人等），记录保存期限不少于5年。责任主体方面，学校、教育行政部门、第三方服务商等数据处理者需履行主体责任。学校应设立数据安全岗位（可由信息中心负责人兼任），制定内部安全管理制度（如访问审批、应急响应等），每学期开展至少1次数据安全培训（覆盖教师、管理人员、学生及家长）。教育行政部门负责监督指导，每年度至少开展1次数据安全检查，检查内容包括制度落实、技术防护、事件处置等，对检查中发现的问题责令限期整改。第三方服务商需接受教育行政部门的监督，配合提供数据处理记录、安全评估报告等材料，不得拒绝或阻挠。技术防护要求部署访问控制（如多因素认证）、加密（传输层TLS1.3，存储层AES-256）、日志审计（记录所有数据操作，保存6个月以上）、入侵检测（实时监测异常访问）等系统。个人信息主体享有查询、更正、删除权，数据处理者需在官方平台提供申请渠道，收到请求后15个工作日内予以响应（需验证身份），情况复杂的可延长至30日并说明理由。发生数据安全事件（如泄露、篡改）时，数据处理者需立即启动应急预案，采取阻断泄露、修复系统等措施，24小时内向属地教育行政部门和网信部门报告，造成或可能造成严重影响的（如大规模学生隐私泄露），需同时通知受影响主体（通过短信、公告等方式）。监督管理实行风险评估制度，数据处理者每年度自行开展1次风险评估，评估报告报教育行政部门备案；教育行政部门可委托第三方机构开展抽查评估，评估结果向社会公开。建立社会监督机制，公布举报电话、邮箱，对实名举报属实的给予奖励。违规处理方面，对未