幼儿园信息管理制度

幼儿园信息管理制度为规范幼儿园各类信息的采集、存储、传递、使用与销毁全流程管理，保障在园幼儿、教职工及相关家长的个人信息安全，落实《中华人民共和国个人信息保护法》《中华人民共和国未成年人保护法》《教育信息化2.0行动计划》以及属地教育部门、网信部门关于教育机构信息管理与未成年人信息保护的各项规定，结合本园办学实际，制定本制度。本制度适用于本园所有在职教职工、临时聘用人员、后勤外包人员、实习生、志愿者以及进入本园参与各类活动的外部合作人员，所有接触本园各类信息的人员均须严格遵守本制度的各项要求。幼儿园设立信息管理工作小组，由园长担任组长，对全园信息管理工作与信息安全负总责；分管安全与后勤工作的副园长担任副组长，牵头负责信息管理制度的落实、日常工作调度与安全检查；成员包括保教主任、后勤主任、财务负责人、保健医、专职信息管理员、各年级组组长，明确各岗位信息管理权责，落实“谁主管谁负责、谁采集谁负责、谁使用谁负责”的管理原则。其中，园长的主要职责为：审定幼儿园信息管理制度与应急预案，审批重大信息公开、对外信息共享事项，统筹信息安全事故的处置工作，保障信息管理工作所需的人员、经费与设备投入。分管副园长的主要职责为：组织开展日常信息管理检查与考核，督促各岗位落实信息管理要求，审核一般信息公开与对外共享事项，发生信息安全事件时牵头开展应急处置，及时向园长与上级部门汇报事件进展。专职信息管理员的主要职责为：负责幼儿园信息系统、存储设备的日常维护与加密管理，落实信息定期备份与安全查杀要求，配合开展信息安全排查与漏洞修复，对教职工开展信息安全技术培训，记录信息管理全流程的各类台账。保教主任的主要职责为：牵头负责幼儿信息的采集审核工作，规范班主任班级信息管理流程，审核涉及幼儿的公开信息内容，督促班主任落实信息保护要求。保健医的主要职责为：负责幼儿健康信息、疫苗接种信息、特殊体质信息的专项管理，严格落实健康信息隐私保护要求，不得随意泄露幼儿健康隐私。财务负责人的主要职责为：负责幼儿园财务信息、收费信息、教职工工资信息、幼儿缴费信息的专项管理，严格管控财务信息的访问权限，不得对外泄露相关财务与个人缴费信息。各班级班主任的主要职责为：负责本班幼儿信息的初次采集工作，严格按照规定范围采集信息，落实家长知情同意要求，日常管理本班信息，不超范围使用、不随意泄露本班幼儿与家长信息。幼儿园所有信息分为公共办学信息与敏感个人信息两大类，公共办学信息指幼儿园面向社会公开的办学资质、招生信息、课程设置、师资概况、收费标准、办学动态等不涉及个人隐私的信息；敏感个人信息指在办学过程中收集的幼儿、家长、教职工的个人信息，其中包括未成年人个人信息、生物识别信息、健康信息、身份信息、联系方式、家庭信息等受法律保护的敏感信息。信息采集必须遵循“合法、正当、必要”原则，不得超出办学与管理所需范围采集信息，不得强制要求信息主体提供非必要信息。公共办学信息采集应当保证内容真实准确，所有信息必须与审批机关核准的内容一致，不得采集、发布虚假的办学资质、师资规模、获奖信息等内容，公共办学信息更新应当及时，调整办学内容、收费标准后应当在三个工作日内完成信息更新。幼儿个人信息采集范围限定为开展保教工作、保障幼儿安全所必需的内容，具体包括：幼儿姓名、性别、出生日期、民族、公民身份号码、近期免冠照片、家庭住址、接送人姓名与联系方式、幼儿过敏史、特殊疾病史、疫苗接种信息、法定监护人姓名与关系、紧急联系人信息，不得采集与保教管理无关的信息，包括不得采集家长的收入水平、房产信息、职务职称、宗教信仰、婚姻状况等非必要信息，不得要求家长提供与入园无关的隐私材料。采集幼儿个人信息前，必须以纸质或者官方可查的电子形式告知家长信息采集的用途、存储方式、保护措施、共享范围，获得家长的明确书面同意，签订《幼儿信息采集知情同意书》，并存档备查，家长不同意公开相关非必需信息的，不得以此拒绝幼儿入园。教职工个人信息采集范围限定为开展人事管理、办理入职手续所必需的内容，具体包括：教职工姓名、性别、公民身份号码、学历信息、教师资格信息、无犯罪记录证明、社保信息、银行卡信息、紧急联系人信息，不得采集与工作无关的教职工个人隐私信息，包括不得强制采集教职工的婚恋状况、生育计划、家属额外信息等内容。所有信息采集必须使用幼儿园统一制定的采集模板，纸质采集使用统一印制的表格，电子采集必须使用幼儿园官方平台或者经过教育部门备案的第三方信息采集系统，禁止使用个人微信文档、不知名第三方小程序、个人外链等未经审核的渠道采集信息，防止信息在采集环节被窃取。针对未录取的报名幼儿信息，招生工作结束后15个工作日内必须完成全部信息的销毁，不得私自留存未录取幼儿的任何信息。针对生物识别信息的采集，本园因智慧接送、考勤需要采集幼儿、教职工人脸信息的，必须单独获得信息主体的明确同意，不得将生物识别信息用于接送考勤以外的任何用途，生物识别信息必须存储在本园加密的本地服务器，不得上传至第三方平台，幼儿离园、教职工离职后10个工作日内必须彻底删除相关生物识别信息。信息存储按照分类存储、安全保密的原则落实管理要求，纸质信息与电子信息分别制定存储规范。所有纸质信息档案必须存放在带防盗锁的专用档案柜中，由专门的档案管理人员负责保管，无关人员不得随意进入档案存放区域，不得随意接触纸质档案。纸质档案按照信息类型、年份、班级分类整理，编制档案目录，做好防潮、防火、防虫、防鼠措施，定期检查纸质档案完好情况，发现破损、霉变及时修补。电子信息存储必须落实加密与权限管理要求，所有敏感个人电子信息必须存储在幼儿园本地专用加密服务器或者教育部门统一提供的官方信息管理平台，禁止将敏感个人信息存储在个人手机、个人U盘、移动硬盘、私人云盘、个人电脑等非授权设备与存储介质中，禁止未经授权将幼儿园信息拷贝带出园外。信息系统必须设置分级访问权限，根据岗位职责分配不同的信息访问权限，落实最小权限原则：专职信息管理员享有全园信息系统的管理权限，仅用于系统维护与安全管理，不得随意调阅、导出个人信息；保教主任与年级组长仅可访问本年级、本学段的幼儿汇总信息，不得导出全园敏感个人信息；班主任仅可访问本班幼儿的信息，不得访问其他班级的信息；保健医仅可访问幼儿健康信息，不得随意导出其他个人信息；财务人员仅可访问财务与工资信息，不得访问其他无关信息。所有信息系统的登录密码必须符合复杂度要求，由字母、数字、符号组合而成，长度不低于8位，所有用户每三个月必须更换一次密码，禁止共用账号密码，禁止将账号密码转借他人使用，岗位调整后必须立即回收原有账号权限，重新分配权限。电子信息必须落实定期备份要求，实行每周增量备份、每月全量备份制度，备份介质分别存放在两个不同的物理地点，防止因服务器故障、火灾、水灾等意外事件造成信息丢失，备份信息同样落实加密管理要求，不得随意存放。所有对外使用的个人信息必须提前做脱敏处理，公开使用或者内部共享的信息，不得直接显示完整的公民身份号码、联系方式、家庭住址等敏感信息，公民身份号码隐去第7位至第14位，联系方式隐去第4位至第7位，家庭住址仅保留到小区，不得显示具体门牌号。信息内部传递与调阅必须落实审批登记制度，因工作需要调阅非本岗位管辖范围信息的，必须填写《信息调阅申请单》，注明调阅用途、调阅信息种类、调阅数量，经分管副园长签字批准后方可调阅，信息管理员做好调阅登记，记录调阅人、调阅时间、用途、批准人，存档备查。禁止教职工随意通过个人微信、QQ等社交工具转发幼儿园敏感个人信息，确因工作需要传递的，必须通过幼儿园内部加密工作群或者官方办公系统传递，传递完成后及时清理临时文件。信息对外共享必须严格遵守法律规定，落实审批与登记制度，只有两种情况可以对外提供信息：一是法定监管部门依法履职要求提供信息的，比如教育部门、卫健部门、公安部门、疾控部门依法开展检查、统计、防疫工作要求提供信息的，由信息管理员做好登记，记录要求提供信息的单位、工作人员姓名、工号、事由、信息种类，经分管副园长批准后提供，同时要求提供单位出具合法的文书或者介绍信，存档备查；二是因合作需要向第三方合作机构提供信息的，比如为幼儿办理保险、开展研学活动需要提供必要信息的，必须提前获得家长的书面同意，同时与第三方合作机构签订《信息保护保密协议》，明确第三方的信息保护责任，要求第三方仅可将信息用于约定用途，不得泄露、不得转卖、不得转作他用，合作结束后必须立即销毁所有获得的信息，幼儿园信息管理小组定期对第三方的信息保护情况进行核查，发现违规立即终止合作，追究违约责任。禁止任何个人或者部门以任何名义向商业机构、培训机构、广告营销企业出售、泄露幼儿园幼儿、家长、教职工信息，禁止接受任何机构的赞助交换信息。信息公开发布必须落实分级审核制度，幼儿园对外发布公共办学信息的，由对应部门负责人初审，信息管理员审核内容准确性，分管副园长签字批准后方可发布；发布涉及幼儿肖像、姓名、作品等内容的公开信息，比如幼儿园公众号发布活动信息、展示幼儿作品，必须提前获得幼儿家长的明确书面同意，对不同意公开肖像的幼儿，必须进行打码处理或者不使用相关内容，禁止在公开平台发布任何幼儿敏感个人信息。禁止教职工个人在微信朋友圈、抖音、快手、小红书等个人社交平台发布带有幼儿全名、清晰正脸、班级信息的内容，不得泄露幼儿园未公开的工作信息，确因工作需要发布的，必须提前获得家长同意，隐去所有敏感信息。所有信息必须按照采集时告知的用途使用，不得超出约定范围使用信息，不得将收集的信息用于商业营销，不得用于办学管理以外的其他用途。信息主体享有信息查询、更正、删除的权利，家长要求查询幼儿信息、更正错误信息、删除多余信息的，幼儿园必须在三个工作日内予以办理，不得拒绝，教职工要求查询、更正、删除个人信息的，同样按照规定及时办理。教职工离职、岗位调整后，必须立即交回所有存储幼儿园信息的设备与介质，删除个人设备中存储的所有幼儿园敏感信息，由信息管理员核对确认后，方可办理离职或者调岗手续，信息管理员立即回收离职人员的信息系统权限。需要销毁的信息包括：超过保存期限的信息、幼儿离园后超过法定保存期限的信息、未录取报名幼儿的信息、教职工离职后超过保存期限的信息、已经作废的旧信息、信息主体要求删除的信息。本园规定，幼儿离园后，除法定需要保留的档案材料外，其余幼儿个人信息保存期限为3年，保存期满后予以销毁；教职工离职后，除财务、人事档案需要法定保留的内容外，其余个人信息保存期限为2年，保存期满后予以销毁。信息销毁必须落实双人负责制度，纸质信息销毁必须使用碎纸机彻底粉碎，不得将带有信息的纸张当作废纸出售、捐赠，不得随意丢弃；电子信息销毁必须彻底清除，不得仅删除文件清空回收站，必须对存储介质进行格式化或者消磁处理，防止信息被恢复。信息销毁必须做好登记，记录销毁信息的种类、数量、销毁时间、经办人、监销人，双人签字后存档备查。幼儿园信息管理小组每月度开展一次全园信息安全排查，检查内容包括：信息存储是否合规、权限管理是否到位、密码更换是否及时、有没有违规存储信息的情况、有没有泄露风险，排查出的问题建立整改台账，明确整改责任人与整改期限，跟踪整改到位。专职信息管理员每季度对信息系统开展一次漏洞扫描与病毒查杀，及时更新系统补丁，升级安全防护软件，每年委托具备资质的第三方安全机构对全园信息系统开展一次安全测评，排查安全隐患，落实整改要求。幼儿园每学期组织两次全体教职工信息安全与个人信息保护培训，新入职教职工必须在上岗前接受信息管理培训，考核合格后方可上岗，所有教职工入职必须签订《信息安全保密承诺书》，明确信息保护责任。针对可能发生的信息安全事件，制定专项应急预案，明确分级处置流程，若发生信息泄露、信息丢失、信息被窃取等信息安全事件，按照以下流程处置：第一，第一发现人立即向分管副园长与园长报告，同时采取措施切断泄露源，比如停止违规信息传播、关闭被入侵的系统、回收违规获取的信息，防止泄露范围进一步扩大；第二，园长在24小时内向属地教育部门、网信部门、公安部门报告事件情况，不得隐瞒、迟报、漏报；第三，对受到影响的信息主体，幼儿园在72小时内通过电话、短信、公告等方式告知泄露信息的种类、可能造成的风险、已经采取的防范措施，提醒信息主体做好防范，避免遭受诈骗等损失；第四，配合监管部门与公安部门开展调查，查明事件原因与泄露范围，追究相关人员的责任；第五，事件处置完成后，全园开展隐患排查整改，完善管理制度，防止类似事件再次发生，整个处置过程做好完整记录，存档备查。幼儿园将信息管理工作落实情况纳入全体教职工年度绩效考核，占年度绩效考核权重的15%，对严格遵守本制度规定、全年未发生信息安全问题的个人与部门，在评优评先、职称评定中予以优先考虑，对落实信息管理要求突出的个人给予专项奖励。对违反本制度规定的行为，根据情节轻重追究相应责任：情节较轻，未造成信息泄露与不良后果的，比如违规将信息存储在个人设备、未按要求更换密码、未经审批调阅信息的，给予口头批评教育，责令限期整改，扣除当月5%的绩效工资；情节较重，造成少量信息泄露，未造成严重后果的，比如未经同意对外提供非敏感信息、违规发布幼儿照片未获得家长同意的，给予全园通报批评，责令作出书面检查，扣除当月20%的绩效工资，年度考核不得评为优秀；情节严重，造成敏感个人信息泄露、倒卖信息、给信