培训机构学员信息保密管理规范

培训机构学员信息保密管理规范第一章总则第一条目的与依据为保障培训机构学员个人信息的安全，规范学员信息的收集、存储、使用、处理和传输等行为，防范信息泄露、丢失、滥用及篡改等安全风险，维护学员合法权益及机构声誉，依据《中华人民共和国个人信息保护法》、《中华人民共和国数据安全法》、《中华人民共和国网络安全法》等相关法律法规，结合本机构业务实际情况，特制定本管理规范。第二条适用范围本规范适用于机构全体员工，包括正式员工、试用期员工、实习生、兼职人员、劳务派遣人员，以及为机构提供服务的第三方合作伙伴（如外包客服、技术支持商、招生代理等）。凡涉及学员信息的处理活动，均须严格遵守本规范。第三条定义与解释本规范所称“学员信息”，是指机构在教育教学服务过程中，通过单独或者与其他信息结合识别特定学员身份的各种信息。包括但不限于学员的姓名、性别、出生日期、身份证件号码、户籍地址、家庭住址、联系方式（电话号码、电子邮箱）、监护人信息、学员照片、影像资料、学籍档案、课程记录、缴费记录、测评成绩、学习行为数据等。“敏感个人信息”，是指一旦泄露或者非法使用，容易导致学员及其家属的人身、财产安全受到危害的个人信息，包括身份证件号码、银行账户号码、生物识别信息、行踪轨迹、未满十四周岁未成年人的个人信息等。第四条基本原则学员信息管理遵循以下核心原则：（一）合法正当原则：处理学员信息应当具有明确、合理的目的，并与教育教学、教务管理、客户服务等直接相关，不得采取误导、欺诈等方式诱导学员提供信息。（二）最小必要原则：只处理实现业务目的所必需的最少信息，不得收集与机构提供服务无关的信息。（三）知情同意原则：在收集学员信息前，应当向学员及其监护人告知处理信息的目的、方式、范围及存储期限，并获得其明确同意。（四）目的限制原则：不得将收集的学员信息用于未声明的其他目的，如需变更用途，应再次征求同意。（五）确保安全原则：采取必要的技术措施和管理措施，确保学员信息安全，防止信息泄露、篡改、丢失。（六）权责一致原则：各部门负责人对本部门学员信息安全负直接管理责任，信息处理者对个人行为负直接责任。第二章组织架构与职责第五条信息安全领导小组机构设立信息安全领导小组，作为学员信息保密管理的最高决策机构。由机构负责人任组长，分管技术的副校长任副组长，成员包括教务部、市场部、销售部、财务部、信息技术部及法务部负责人。领导小组主要职责：（一）制定和修订学员信息保密管理制度及相关政策；（二）审批重大信息处理项目及涉及敏感信息的业务流程变更；（三）协调跨部门的信息安全资源，指导重大安全事件的应急处置；（四）监督本规范的执行情况。第六条信息技术部（IT部）职责信息技术部是学员信息安全的技术执行与保障部门，主要职责包括：（一）负责落实技术防护措施，包括防火墙、加密存储、访问控制、防病毒系统等；（二）负责信息系统的日常运维与安全监测，定期进行漏洞扫描和渗透测试；（三）负责数据备份与恢复机制的建立与执行；（四）协助各部门进行信息安全技术培训，提供技术咨询支持；（五）在发生安全事件时，负责技术层面的取证与系统恢复。第七条数据合规专员（法务部）职责法务部指定专人担任数据合规专员，主要职责包括：（一）审查业务流程中涉及学员信息的合规性，起草并更新隐私政策、授权协议等法律文本；（二）处理学员关于个人信息查询、更正、删除的投诉与请求；（三）负责第三方合作中的数据保护协议（DPA）审核；（四）关注法律法规动态，及时向机构提示合规风险。第八条业务部门职责教务部、市场部、销售部、财务部等业务部门是学员信息的使用部门，主要职责包括：（一）在业务开展过程中，严格按照本规范及授权范围收集和使用学员信息；（二）负责本部门员工的信息安全意识培训与日常管理；（三）发现信息安全隐患或泄露事件时，立即上报并采取临时补救措施；（四）配合信息技术部进行系统权限的申请与清理。第九条员工个人职责全体员工在入职时必须签署《保密协议》及《个人信息保护承诺书》。员工在履行职责过程中，必须：（一）严格遵守保密规定，妥善保管经手的学员信息；（二）不得私自下载、打印、复制、外传学员信息；（三）离岗时必须清理个人终端中的学员数据，并办理交接手续。第三章学员信息分类分级管理第十条信息分类标准根据信息的敏感程度和泄露后可能造成的影响，将学员信息划分为三个等级进行差异化保护。第十一条信息分级定义（一）一级信息（极敏感信息）：包括身份证号、支付密码、银行卡号、生物识别信息（指纹、人脸）、详细的家庭住址等。此类信息泄露将严重危害学员人身财产安全。（二）二级信息（敏感信息）：包括手机号码、家长姓名及联系方式、学员详细学籍档案、特殊身体状况、心理咨询记录、缴费详情等。此类信息泄露将对学员生活造成较大干扰或隐私侵犯。（三级）三级信息（普通信息）：包括学员昵称、公开的课程偏好、非实名制的问卷调查结果、公开的出勤记录等。此类信息可内部流转，但仍需限制对外公开。第十二条分级保护策略针对不同等级的信息，实施不同的保护策略，具体如下表所示：信息等级信息类别示例存储要求访问权限控制传输要求销毁要求一级信息身份证号、银行卡号、生物识别信息必须采取高强度加密存储（如AES-256），数据库字段级加密仅限特定授权人员（如财务、系统管理员）单人单次审批访问，强制留痕必须通过加密通道传输，禁止明文传输物理删除或逻辑删除后覆盖擦除，确保不可恢复二级信息手机号、家长联系方式、详细档案加密存储或脱敏展示（如手机号中间4位隐藏）需部门负责人授权，相关业务人员可见，系统记录访问日志使用内部加密工具或安全邮件传输逻辑删除，保留期限结束后彻底清除三级信息昵称、课程偏好、公开出勤常规存储，做好基础安全防护机构内部员工因工作需要可访问内部系统流转定期清理过期数据第十三条敏感信息特别规定对于涉及未满十四周岁的未成年人个人信息，机构将严格履行“特定个人信息”处理义务。在处理此类信息前，必须取得其监护人的明确同意。系统设计时，应将未成年人信息单独标记，实施最高级别的访问审计和监控。第四章信息收集规范第十四条收集授权在收集学员信息前，必须以显著、清晰的方式向学员及其监护人告知《隐私政策》及相关条款，并确保其理解并同意。不得通过捆绑、诱导等手段强迫同意。对于新学员，必须在《学员入学注册表》或电子注册页面中设置专门的勾选框，由监护人签署《个人信息处理授权书》。第十五条最小化收集市场招生、咨询接待环节，仅收集与报名、课程规划相关的必要信息。（一）禁止在非必要情况下收集学员的家庭详细住址、父母单位详情等隐私信息；（二）禁止收集与教育培训服务完全无关的金融信用、宗教信仰、病史等信息；（三）对于APP或小程序，应当仅申请开启与业务功能相关的最小权限，如无需地理位置服务则绝不申请定位权限。第十六条收集渠道安全（一）纸质表单收集：应当使用带编号的防伪印刷表格，领用需登记。填写完毕的表格应即时放入保密文件柜，严禁随意放置在前台或桌面上。（二）电子表单收集：网页及移动端应用必须采用HTTPS加密传输，防止网络传输过程中被截获。前端页面应对输入数据进行合法性校验，防止恶意注入。（三）电话/微信收集：销售人员在与客户沟通中获取的信息，应即时录入机构指定的CRM系统，禁止记录在个人手机通讯录或私人微信中。第十七条信息核验在收集学员信息时，应当对关键信息（如身份证号）进行格式校验和真实性核验。如发现客户提供虚假信息，应及时备注并限制相关高风险业务办理，直至信息更正。第五章信息存储与传输安全第十八条存储介质管理（一）系统存储：所有学员信息必须存储在机构指定的服务器或云存储空间。严禁将学员信息上传至员工个人网盘、公共云存储或社交网络。（二）终端存储：严禁在未经加密的个人电脑、移动硬盘、U盘中存储学员信息。因工作需要必须离线存储的，须经过部门负责人及IT部双重审批，并启用全盘加密或文件加密技术。（三）纸质存储：包含学员信息的纸质档案（报名表、合同、试卷等）必须存放在带锁的档案柜中。档案室应安装防盗监控，实行专人管理，进出需登记。第十九条数据隔离（一）租户隔离：采用SaaS系统的，必须确保不同校区或不同品牌的数据在逻辑上严格隔离，防止跨权访问。（二）生产与测试隔离：严禁将真实的学员生产数据直接用于开发测试环境。如必须使用，必须经过严格的去标识化（脱敏）处理，去除所有身份识别属性。第二十条传输安全控制（一）内部传输：员工之间因工作需要传输学员信息的，必须使用机构内部加密办公系统或企业邮箱。严禁通过QQ、微信个人号、个人邮箱等公共社交工具传输包含学员身份证号、电话号码等敏感信息的文件。（二）外部传输：向教育局、合作高校等外部单位报送数据时，必须核对接收方的资质及数据安全保护能力。报送方式应优先选择加密通道或专人递送加密光盘，并保留《数据外发交接单》。第二十一条数据备份信息技术部应建立完善的数据备份策略：（一）备份频率：核心业务数据库每日至少进行一次全量备份，增量备份实时进行。（二）备份存储：备份数据应存储在物理隔离的介质或异地数据中心中。（三）备份恢复：每季度至少进行一次备份数据恢复演练，确保备份数据的可用性。第六章信息访问与使用控制第二十二条权限管理（RBAC）机构实施基于角色的访问控制（RBAC）策略。根据“业务需要”和“最小权限”原则分配账号权限。（一）账号审批：所有系统账号的开通、权限提升、永久删除，必须通过OA流程审批，由IT部执行。（二）权限分离：系统管理员、安全管理员、安全审计员权限必须分离，互不兼任。（三）特权账号：对拥有高权限（如批量导出数据、删除数据）的账号，实施“双人复核”机制，操作时需第二人授权。第二十三条身份鉴别（一）强密码策略：所有访问学员信息系统的账号，必须设置包含大小写字母、数字及特殊符号的强密码，并定期（每90天）强制更换。（二）多因素认证：对于访问敏感数据（一级、二级信息）的操作，必须强制启用短信验证码、动态令牌或生物识别等多因素认证。（三）会话超时：系统会话时间不得超过30分钟无操作自动锁定，需重新验证身份。第二十四条操作审计信息系统必须开启全量操作日志审计功能，记录以下内容：（一）操作人员、操作时间、IP地址；（二）操作对象（数据类型、具体学员ID）；（三）操作类型（查询、修改、导出、删除）；（四）操作结果（成功、失败）。日志保存期限不得少于6个月，IT部应每周对异常操作日志（如批量下载、非工作时间访问）进行分析告警。第二十五条使用场景规范（一）教学场景：教师在上课、课后辅导时，仅可查阅当前授课班级的学员信息。教师因家访需要带出学员联系方式的，需在系统中提交申请，获批后仅能查看脱敏信息或通过加密电话拨打，不得直接查看完整号码。（二）销售场景：咨询顾问仅可查看自己名下或公海池中的线索信息。离职交接后，其账号应立即冻结，权限即刻回收。（三）办公场景：在公共场所（咖啡厅、交通工具）处理学员信息时，必须启用防窥膜，防止屏幕信息被旁人窥视。第二十六条禁止性规定严禁以下违规使用行为：（一）私自查询、统计与本职工作无关的学员信息；（二）将学员信息用于私下兼职、倒卖获利等商业目的；（三）在未脱敏的情况下，将学员信息用于对外宣传案例、朋友圈晒单等公开场合；（四）越权修改、删除学员成绩、考勤等关键数据。第七章第三方合作与外包管理第二十七条合作方准入涉及学员信息处理的第三方供应商（如提供SaaS系统的软件商、短信服务商、排课外包商），必须经过严格的安全资质审查。审查内容包括但不限于：（一）是否具备ISO27001信息安全管理体系认证；（二）过往的数据安全业绩及无重大违规记录；（三）数据跨境传输能力（如涉及）。第二十八条签署法律文件与第三方合作前，必须签署独立的《数据处理协议》或《保密协议》，明确约定：（一）数据处理的范围、目的和期限；（二）双方的数据安全保护责任与义务；（三）违约责任及赔偿标准；（四）合作结束后数据的返还与销毁义务。第二十九条外包人员管理对于驻场外包人员（如驻场IT运维、客服人员）：（一）必须签署保密协议，并进行背景调查；（二）发放访客账号，权限严格限制在完成当前任务所需的最小范围；（三）工作全程需有机构内部员工陪同监督；（四）严禁携带个人可移动存储设备进入工作区域。第三十条持续监督业务对接部门应定期（每半年）对第三方合作方进行数据安全审计或问卷调查，确认其履约情况。一旦发现合作方存在违规处理学员信息的行为，应立即中止合作，冻结其访问权限，并保留追究法律责任的权利。第八章数据销毁与归档第三十一条销毁触发条件当出现以下情况时，应启动学员信息销毁流程：（一）学员与机构终止服务合同，且超过法律规定的保存期限；（二）学员明确要求删除其个人信息（行使撤回同意权），且机构无义务继续保留的；（三）机构业务终止或不再需要该批数据的。第三十二条销毁流程（一）审批：由数据使用部门提出销毁申请，经数据合规专员及部门负责人审批。（二）执行：1.电子数据：由IT部执行逻辑删除或物理抹除操作。对于存储在硬盘上的敏感数据，应进行多次覆写或消磁处理，确保无法复原。2.纸质数据：使用碎纸机进行粉碎处理，颗粒大小应符合保密标准（如低于1mmx5mm）。对于大量废旧档案，应联系具备保密资质的造纸厂进行化浆销毁，并全程监销。（三）记录：销毁完成后，需填写《数据销毁记录表》，备案备查。第三十三条归档管理对于需要长期保存的学员学籍档案、财务凭证等，应按照档案管理规定进行归档。（一）电子档案：转换为不可修改的格式（如PDF/A），迁移至长期的归档存储系统，并设置只读权限。（二）纸质档案：移交至机构档案室，按照编号分类存放，定期进行防潮、防虫检查。第九章应急响应机制第三十四条应急预案机构应制定《学员信息泄露安全事件应急预案》，明确应急响应组织架构、响应流程、沟通策略及补救措施。第三十五条事件报告与响应（一）发现：任何员工发现或疑似发现学员信息泄露事件（如系统被黑客攻击、数据丢失、员工违规倒卖），应在15分钟内向部门负责人及信息安全领导小组报告。（二）定级：领导小组根据事件影响范围（涉及人数、敏感程度）进行初步定级（一般、较大、重大）。（三）处置：1.立即切断相关系统网络连接，封存涉事设备；2.保存日志、截图等证据，防止证据灭失；3.评估泄露风险，采取技术手段阻断泄露源（如重置密码、关闭接口）。第三十六条通知义务根据法律法规要求，当发生或可能发生个人信息泄露时，机构应当立即采取补救措施，并通知学员和监管部门。通知内容包括：（一）发生的原因、种类和可能造成的危害；（二）机构已采取的补救措施和即将采取的措施；（三）学员自主防范和降低风险的建议；（四）联系方式。如采取措施能够有效避免信息泄露造成危害的，可以不通知学员；但监管部门认为可能造成危害的，应当通知。第三十七条善后与整改事件处理完毕后，信息安全领导小组应在10个工作日内出具《安全事件调查报告》，分析原因，界定责任，落实整改措施，并对全员进行警示教育。第十章监督、审计与合规第三十八条内部审计信息安全领导小组每年至少组织一