2026年学校个人信息保护实施方案

2026年学校个人信息保护实施方案一、实施背景与依据近年来，《中华人民共和国个人信息保护法》《未成年人网络保护条例》《教育系统网络安全事件应急预案》《教育部关于加强新时代教育管理信息化工作的通知》等法律法规及政策文件持续落地，对教育场景个人信息保护提出了强制性要求。据2025年全国教育系统网络安全通报数据显示，全年共处置教育领域个人信息泄露事件127起，其中中小学占比62%，因信息泄露导致的学生被诈骗、家长被骚扰事件同比上升18%，已成为影响校园安全的重要风险点。我校现有在校学生3217人、教职工429人，日常运行涉及招生、教学、后勤、校友管理等17个业务场景，采集个人信息共37大类129小项，部署信息化系统19个，对接第三方服务机构7家。为全面防范个人信息处理全流程风险，保障师生及相关人员合法权益，结合我校实际制定本方案，自2026年1月1日起正式实施，有效期3年。二、工作目标（一）总体目标建立覆盖“采集-存储-使用-传输-提供-公开-删除”全生命周期的个人信息保护体系，实现个人信息处理“合法、正当、必要、诚信”原则全面落地，2026年底前通过教育系统网络安全等级保护2.0三级测评，个人信息保护合规率达到100%，全年零重大个人信息泄露事件。（二）阶段性目标1.2026年3月底前：完成全校个人信息底数排查，建立个人信息处理活动清单，修订《学校个人信息处理合规手册》，完成全体教职工首轮个人信息保护专项培训。2.2026年6月底前：完成所有信息系统个人信息保护功能改造，实现敏感个人信息加密存储、访问操作全程留痕，完成第三方服务机构合规协议补签。3.2026年12月底前：建立常态化个人信息保护监测、审计、应急机制，学生及家长个人信息保护满意度达到95%以上，形成可复制的校园个人信息保护示范经验。三、组织架构与职责分工成立学校个人信息保护工作领导小组，由校长任组长，分管信息化、学生工作、后勤的副校长任副组长，成员包括党政办公室、信息中心、学生处、教务处、财务处、后勤处、安全保卫处、工会、年级组负责人，同时设置专职个人信息保护官（DPO）1名，纳入学校中层管理序列。各部门职责明确如下：1.领导小组：统筹全校个人信息保护工作，审批相关制度、预算、应急预案，每年至少召开2次专项工作会议，对重大个人信息处理活动进行合规性审查。2.个人信息保护官：负责制定年度工作计划，组织合规评估，对接网信、公安、教育等监管部门，受理个人信息相关咨询、投诉、举报，每季度向领导小组汇报工作进展，每年出具《学校个人信息保护年度合规报告》。3.信息中心：负责个人信息存储、传输、系统运维的技术安全保障，开展定期漏洞扫描、数据备份、访问控制，配合完成合规审计与事件处置。4.各业务部门：按照“谁处理、谁负责”原则，负责本部门业务场景下个人信息处理活动的合规性自查，严格执行信息采集、使用、提供的审批流程，落实本部门人员日常培训。5.安全保卫处：负责配合公安机关开展个人信息泄露事件调查处置，协助相关主体做好权益保障工作。6.工会、家委会：负责分别代表教职工、学生及家长监督个人信息保护工作，定期收集意见建议，参与合规评估与制度修订。四、全流程个人信息处理规范（一）信息采集环节1.清单化管理采集事项：制定《学校个人信息采集正面清单》，明确37大类采集事项的法律依据、用途、采集范围、存储期限，清单外事项一律不得采集。其中一般个人信息包括姓名、联系方式、家庭住址等92小项，敏感个人信息包括生物识别信息（人脸、指纹）、健康信息、未成年人身份信息、财产信息等37小项，敏感个人信息采集必须单独取得个人或监护人书面同意。2.严格遵循最小必要原则：招生环节仅采集与入学资格审核相关的信息，不得采集学生家长的职务、收入、宗教信仰等非必要信息，2025年已排查发现的超范围采集项2项，2026年春季招生前全部清理完毕。智慧校园门禁、考勤系统优先采用非生物识别方式，确需使用人脸信息的，需向全体家长公示方案并取得90%以上同意，同时提供刷卡、二维码等替代验证方式，人脸信息仅存储在校内私有服务器，不得同步至任何第三方平台。学生健康信息仅由校医室统一采集，其他部门不得私自收集学生病史、心理状况等敏感信息，采集的健康信息仅用于校园健康管理，不得用于其他用途。3.告知义务全覆盖：所有信息采集前必须通过《个人信息处理告知书》明确告知信息主体处理目的、方式、范围、存储期限、投诉渠道，告知书存档期限不少于信息存储期满后3年。针对未成年人，必须将告知书送达法定监护人，取得明确同意后方可采集。（二）信息存储环节1.分类分级存储：所有个人信息统一存储在学校私有云服务器，不得存储在境外服务器、公有云盘或私人设备中。敏感个人信息采用AES-256加密算法存储，加密密钥由个人信息保护官与信息中心主任双人保管，定期更新。2.存储期限动态管理：学生个人信息基础数据存储期限为学生毕业后10年，用于学历学籍核查；教学过程数据（作业、考试成绩、课堂表现等）存储期限为学生离校后2年；教职工工作相关信息存储期限为离职后5年；临时采集的活动报名、问卷调查等信息，活动结束后15个工作日内完成匿名化或删除。超期数据每季度清理一次，清理记录存档备查。3.备份与容灾管理：建立“本地+异地”双备份机制，本地每日增量备份、每周全量备份，异地每月全量备份，备份数据与生产数据采取同等安全保护措施，每年开展2次备份数据恢复演练，恢复成功率需达到100%。（三）信息使用环节1.权限最小化配置：建立个人信息访问角色权限体系，不同岗位人员仅能访问履职必需的最小范围信息：班主任仅可访问本班学生信息，年级主任仅可访问本年级学生信息，行政人员仅可访问业务相关的非敏感信息，敏感个人信息访问需填写《敏感信息访问审批表》，经部门负责人、个人信息保护官双审批后方可开放权限，访问期限最长不超过7个工作日，到期自动回收。2.使用场景管控：教学场景下发布学生成绩、评优结果不得公开学生身份证号、家庭住址、家长联系方式等敏感信息，不得按成绩排名公开学生个人信息，确需公示的仅公开姓名、学号后4位及相关结果。管理场景下的数据分析、统计报表必须采用匿名化处理，无法匿名化的需严格控制知悉范围，不得向无关人员泄露。严禁任何教职工私自复制、下载、转发学生及同事的个人信息，严禁将工作账号转借他人使用。3.操作留痕与审计：所有个人信息的访问、查询、下载、修改、导出操作全程留痕，日志保存期限不少于6个月。信息中心每季度开展一次操作日志审计，对异常访问（如非工作时间批量下载信息、跨权限访问）进行溯源核查，发现违规操作第一时间处置并通报。（四）信息传输与提供环节1.传输安全要求：个人信息传输必须采用HTTPS等加密传输协议，严禁通过微信、QQ等公共社交平台批量传输敏感个人信息，确需传输的采用学校内部加密邮件系统或专用文件传输工具，传输后24小时内删除传输记录。2.对外提供审批流程：向教育主管部门、公安机关等法定机构提供个人信息的，需核验对方公函，经个人信息保护官审批后提供；向第三方合作机构（如校服供应商、研学机构、体检机构）提供个人信息的，需满足以下条件：签订《个人信息保护专项协议》，明确对方信息保护责任、安全防护措施、不得二次转售/提供信息、服务结束后15个工作日内删除所有信息等条款；仅提供与合作事项相关的最小范围信息，例如向研学机构仅提供学生姓名、年级、紧急联系人电话，不得提供健康信息、家庭住址等无关信息；提前3个工作日将合作事项、提供信息范围告知信息主体，有异议的不得强制提供。3.严禁对外出售、非法提供个人信息：任何部门和个人不得将学校收集的个人信息出售、出租、无偿提供给校外培训机构、营销机构等第三方，一经发现依法依规严肃处理，涉嫌犯罪的移送公安机关。（五）信息公开与删除环节1.信息公开审核：校园网站、公众号、公告栏公开个人信息前，需填写《信息公开审批表》，由部门负责人、个人信息保护官双重审核，确认公开信息不包含敏感内容、公开范围符合要求后方可发布，公开期限到期后第一时间下架。2.删除/更正响应机制：信息主体提出个人信息更正、删除请求的，由个人信息保护官统一受理，15个工作日内完成核查：符合更正、删除条件的及时处理并反馈申请人；不符合条件的书面说明理由。学生毕业、教职工离职后，除按规定留存的基础数据外，其他个人信息按存储期限要求及时删除，信息主体要求删除的，除法律另有规定外优先满足删除需求。3.匿名化处理要求：对已过存储期限、需用于教学研究、经验总结的个人信息，必须进行不可逆的匿名化处理，去除所有可识别到特定自然人的信息，匿名化后的数据不再纳入个人信息管理范围。五、第三方服务机构管理1.准入合规审查：所有涉及个人信息处理的第三方服务采购，将个人信息保护能力作为核心评标指标，准入前需完成合规审查：核查对方《网络安全等级保护测评报告》《个人信息保护合规评估报告》，核查过往3年是否存在个人信息泄露不良记录，审查服务方案中个人信息保护措施是否符合我校要求，审查不通过的不得参与采购。2.协议刚性约束：所有合作协议必须包含《个人信息保护条款》，明确约定：第三方处理个人信息的范围、目的、期限；必须接受我校的定期审计；发生信息泄露事件需第一时间通知我校，承担全部责任并赔偿相关损失；服务终止后必须彻底删除所有我校提供的个人信息，不得留存副本。3.定期评估与退出管理：每年对合作的第三方机构开展一次个人信息保护专项评估，通过技术检测、现场核查、人员访谈等方式评估其安全防护能力，评估不合格的要求30日内整改，整改不到位的终止合作。合作结束后1个月内，核查第三方信息删除情况，留存删除证明并存档。六、安全技术防护体系建设2026年安排个人信息保护专项预算128万元，重点完善以下技术防护措施：1.边界安全防护：升级下一代防火墙、入侵检测系统（IDS）、入侵防御系统（IPS），部署WEB应用防火墙（WAF），防范SQL注入、跨站脚本等常见网络攻击，每月开展一次漏洞扫描，每季度开展一次渗透测试，发现高危漏洞24小时内完成修复。2.数据防泄漏系统（DLP）部署：2026年6月底前完成DLP系统部署，实现对敏感个人信息的自动识别，对邮件、即时通讯、文件传输、外设拷贝等渠道的敏感信息外发进行实时监控、告警、阻断，有效防止内部人员违规泄露信息。3.账号与访问安全管理：启用统一身份认证系统，所有信息系统账号采用“密码+短信验证码”双因子认证，密码长度不少于12位，包含大小写字母、数字、特殊字符，每90天强制更换一次。对离职、调岗人员账号在1个工作日内完成权限调整或注销，杜绝“僵尸账号”“超权限账号”。4.终端安全管理：所有教职工办公电脑统一安装终端安全管理软件，禁用USB存储设备自动播放功能，敏感个人信息不得存储在办公电脑本地，确需临时存储的需加密并设置访问密码，办公电脑离开办公区域必须锁屏，锁屏密码不少于6位。七、培训与宣传教育1.教职工专项培训：建立分层分类培训体系，领导层每年至少参加1次个人信息保护法律法规专题培训，提升合规决策能力；业务部门工作人员每季度参加1次业务场景实操培训，掌握本领域信息处理规范；技术人员每半年参加1次安全技术培训，提升防护能力。培训结束后进行考核，考核不合格的暂停相关业务权限，补考合格后方可恢复。2026年全年计划开展培训8场次，覆盖全体教职工，培训时长累计不少于12学时。2.学生与家长宣传教育：每学期开展1次学生个人信息保护主题班会，普及信息泄露风险、防诈骗知识，提升学生自我保护意识；每年通过家长会、家长学校开展2次个人信息保护宣传，告知学校信息处理规则、投诉举报渠道，引导家长配合做好个人信息保护工作，不随意向非学校官方渠道提供学生信息。3.常态化宣传：通过校园公众号、公告栏、校园广播等渠道，每月推送1次个人信息保护科普内容，每年开展1次个人信息保护宣传周活动，营造全员重视、全员参与的良好氛围。八、应急处置与责任追究1.应急预案制定：修订《学校个人信息安全事件应急预案》，明确事件分级、处置流程、责任分工：一般事件为少量非敏感信息泄露，未造成不良影响；较大事件为敏感个人信息泄露50人以下，或造成局部不良影响；重大事件为敏感个人信息泄露50人以上，或造成大范围不良影响、涉嫌违法犯罪。2.事件处置流程：发现个人信息泄露风险或事件后，第一时间上报个人信息保护官，立即启动应急预案：技术组第一时间切断泄露路径，开展溯源调查，固定证据；综合组72小时内以书面形式告知受影响的信息主体，说明泄露情况、可能造成的风险、已采取的处置措施、后续防护建议；按照监管要求，在事件发生后48小时内向属地网信、公安、教育主管部门报告；配合相关部门开展调查处置，做好舆情应对，最大限度降低不良影响。3.责任追究机制：建立个人信息保护责任倒查机制，对违规处理个人信息的部门和个人，按情节轻重采取以下处置措施：情节轻微、未造成不良影响的，给予部门负责人约谈、当事人通报批评、扣发当月绩效；情节较重、造成不良影响的，给予部门负责人警告处分、当事人记过处分、扣发季度绩效，取消当年评优评先资格；情节严重、涉嫌违法犯罪的，移送司法机关依法处理，同时追究相关负责人的管理责任。4.应急演练：每年至少开展1次个人信息泄露事件应急演练，检验应急预案的可操作性，提升处置能力，演练结束后及时评估、修订预案。九、监督与持续改进1.内部审计：每年委托具有资质的第三方机构开展1次个人信息保护合规审计，出具审计报告，对发现的问题建立整改台账，明确整改责任、整改期限，整改完成后逐一验收，