托管班学生档案与信息隐私保护制度

托管班学生档案与信息隐私保护制度第一章总则第一条目的与依据为全面规范托管班对学生档案的管理工作，切实保障学生及家长的个人信息安全与合法权益，维护托管机构的信誉与合规经营，依据《中华人民共和国民法典》、《中华人民共和国个人信息保护法》、《中华人民共和国未成年人保护法》及相关教育行政管理部门关于学生管理的规章制度，结合本机构托管服务实际运营情况，特制定本制度。本制度旨在建立全流程、全方位、可追溯的学生档案与信息隐私保护体系，确保信息的真实性、完整性、保密性与安全性。第二条适用范围本制度适用于本托管机构内所有涉及学生档案收集、录入、存储、使用、传输、销毁及相关处理活动的部门和人员。包括但不限于机构负责人、行政管理人员、托管教师、后勤人员、安保人员以及因业务需要接触学生信息的第三方合作伙伴（如餐饮供应商、校车服务商等）。所有在职员工、兼职人员及实习生在入职或开始工作前，必须签署本制度确认书及保密协议。第三条基本原则（一）合法正当原则：收集和使用学生信息必须具有合法、明确的目的，不得违反法律法规的禁止性规定。（二）最小必要原则：仅收集与托管服务、安全管理、家校沟通直接相关的最少信息，不得过度收集与学生教育、照管无关的个人隐私。（三）知情同意原则：在收集学生信息前，必须向学生及其监护人明确告知收集目的、方式、范围及存储期限，并获得其明确同意。（四）目的限制原则：学生信息的使用不得超出收集时告知的范围，如需变更用途，需再次获得授权。（五）安全保障原则：采取必要的技术措施和管理手段，防止信息泄露、丢失、篡改或被滥用。（六）权责一致原则：坚持“谁主管、谁负责；谁使用、谁负责；谁经手、谁负责”的责任追究机制。第四条定义解释（一）学生档案：指在托管服务过程中产生的，记录学生个人基本情况、家庭背景、健康状况、学习情况、考勤记录、行为表现等具有保存价值的各种形式的数据和记录。（二）敏感个人信息：指一旦泄露或者非法使用，容易导致学生的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。第二章档案的建立与信息收集第五条入学建档流程新生入学或试读期间，由行政专员负责指导家长填写《学生入学信息登记表》。建档工作实行“一人一档”制，档案编号应具有唯一性，建议采用“入学年份+班级代码+序号”的编码方式。档案建立后，需在24小时内录入电子管理系统，并将纸质档案归档保存。第六条信息收集内容规范托管机构应严格限定信息收集的范围，具体包括但不限于以下类别：（一）基础身份信息：学生姓名、性别、出生日期、身份证号码、近期免冠证件照。（二）联系方式：学生本人及监护人（父母或其他法定监护人）的姓名、工作单位、常住地址、紧急联系电话（至少提供2个不同号码）。（三）健康与安全信息：血型、过敏史（含食物、药物过敏）、既往病史、疫苗接种情况、保险信息、身体特殊状况说明。（四）教育相关信息：就读学校、年级、班级、放学时间、接送方式（自行回家、家长接送、托管专车等）。（五）特殊服务需求：dietaryrestrictions（饮食禁忌）、午休习惯、情绪行为特点、需要特别关注的辅导科目等。严禁收集与学生托管服务无关的信息，如家长的详细收入状况、宗教信仰、社会关系评价等。除法律法规规定外，不得强制收集学生生物识别信息（如指纹、虹膜等），若确需用于门禁等安全管理，必须获得监护人单独书面同意并采取加密存储措施。第七条信息收集方式与告知（一）书面形式：通过纸质表格收集信息时，表格下方应设置“监护人声明”栏，注明“本人已知晓并同意上述信息被用于托管服务管理及必要时的家校沟通”。（二）电子形式：通过微信小程序、APP或在线表单收集时，应在收集页面设置强制阅读的《隐私政策》弹窗，并由监护人点击“我已阅读并同意”后方可提交。（三）口头核实：对于健康、过敏等关键信息，行政人员需通过电话或面谈方式与监护人进行二次核实，并在档案中注明核实时间与核实人。第八条档案更新与动态维护（一）定期更新：每学期开学首月为“档案集中更新月”，由各班班主任负责联系家长，确认学生联系方式、接送人、健康状况等是否发生变化。（二）即时变更：若学生在托管期间发生转学、退班、长期病假或家庭住址、监护人联系方式变更，家长应提交《学生信息变更申请表》，行政人员应在收到申请后1个工作日内完成系统更新。（三）成长记录：托管教师应定期将学生在托管期间的作业完成情况、行为表现评价、考勤数据录入系统，形成动态的成长记录档案。第三章档案分类与存储管理第九条档案分类体系为便于管理和检索，学生档案应按照以下维度进行分类：（一）按状态分类：在籍学生档案、毕业/退学学生档案、试读学生档案。（二）按保密级别分类：1.公开级：学生姓名、班级、座次号（可用于内部公示）。2.内部级：考勤记录、作业成绩、日常表现（仅限教职工内部工作交流使用）。3.机密级：身份证号、家庭详细住址、家长电话、健康病历、财务信息（仅限授权人员查阅）。第十条纸质档案存储管理（一）物理环境：纸质档案室应选择独立、干燥、防火、防潮、防虫、防盗的房间。档案室必须安装防盗门窗，并配备专用档案柜。（二）存放要求：档案柜应明确标注分类标签。在籍学生档案按班级分开存放；离校学生档案应按规定移至密集架或封存区。（三）查阅登记：建立《纸质档案查阅登记表》，任何人员查阅纸质档案必须登记查阅时间、查阅事由、档案编号，并签名确认。查阅时应在档案室内进行，不得带出档案室，不得涂改、勾画、抽取、撤换档案材料。第十一条电子档案存储管理（一）系统安全：学生信息管理系统应部署在安全的云服务器或本地服务器上，服务器机房需符合国家标准，具备防火墙、入侵检测系统等安全设施。（二）数据加密：所有敏感个人信息（如身份证号、电话、家庭住址）在数据库中必须进行加密存储（如采用AES-256算法）。系统前端展示时，应对关键信息进行脱敏处理（如：138****1234）。（三）备份机制：实施数据异地备份策略。每日凌晨进行增量备份，每周五进行全量备份。备份数据应加密保存，并定期进行恢复演练，确保备份数据的可用性。（四）权限控制：系统必须建立严格的基于角色的访问控制（RBAC）模型，不同岗位人员拥有不同的操作权限。第四章信息使用与隐私保护第十二条内部使用规范（一）教学管理：托管教师仅可查阅所负责班级的学生基础信息、健康信息及考勤记录，用于日常点名、作业辅导及生活照顾。（二）家校沟通：员工在与家长联系时，应使用机构提供的办公电话或企业微信，禁止将学生及家长的私人联系方式存储在个人手机通讯录中，或用于非工作目的的私人社交。（三）行政决策：管理层在统计出勤率、满意度、生源结构时，应使用经过去标识化处理的数据，不得直接导出包含具体隐私信息的原始数据表用于公开汇报。第十三条信息共享与对外披露限制（一）禁止商业共享：严禁将学生档案信息出售、出租或以其他方式非法提供给任何商业机构、营销公司或教育培训合作伙伴。（二）第三方合作限制：因业务需要必须向第三方（如校车公司、供餐单位）提供必要信息的，需事先进行安全评估，签署《数据处理与保密协议》，明确第三方的数据保护责任。提供的信息仅限于履行合同所必需的最小范围（如仅提供学生姓名和过敏史给供餐单位）。（三）司法与行政披露：仅在公安机关、法院、教育行政部门等有权机关依法调取时，方可配合提供。接待人员应查验执法证件及协助调查函，由机构负责人审批后，在专人陪同下提供，并全程记录调取内容与人员。第十四条肖像权与媒体发布保护（一）肖像采集：机构拍摄学生照片、视频主要用于内部记录（如活动留影、监控录像）。若需将学生照片、视频用于对外宣传（如微信公众号、官网、宣传册），必须事先获得监护人的单独书面授权。（二）授权范围：授权书应明确照片的使用场景、地域范围和期限。监护人有权随时撤回授权，机构应在收到撤回通知后立即停止使用并尽可能删除相关公开内容。（三）网络管控：严禁员工在个人社交媒体（朋友圈、抖音、微博等）上发布包含学生清晰面部特征、生活轨迹或可能泄露学生隐私的照片、视频及文字。第十五条敏感信息特别保护（一）健康信息：学生的心理辅导记录、医疗诊断证明等敏感健康信息，应予以重点保护，除直接负责生活照顾的教师及机构负责人外，其他员工无权查阅。（第二节）家庭隐私：对于离异家庭、重组家庭等特殊情况，应在档案中注明沟通注意事项，严格保护单方监护人的隐私，避免在学生面前或无关人员面前讨论家庭纠纷。第五章员工权限与保密义务第十六条岗位权限矩阵机构应根据岗位职能设定详细的信息访问权限，具体如下表所示：岗位角色基础信息（姓名/性别）联系方式（电话/地址）健康与过敏信息财务缴费信息档案修改/删除权数据导出权机构负责人是是是是是是行政主管/专员是是是是是否（需审批）托管班主任是是（仅紧急）是否否（仅部分字段）否托管助教是否是（仅过敏）否否否后勤/安保人员是否是（仅过敏）否否否财务人员是否否是否否第十七条保密协议签署所有新入职员工必须在入职当天签署《员工保密协议》及《个人信息保护承诺书》。协议内容应包含：保密信息的范围、保密期限（离职后仍有效）、违约责任、禁止条款等。未签署者不得安排接触学生信息的工作岗位。第十八条人员培训与考核（一）岗前培训：对新员工进行不少于2课时的信息安全与隐私保护专项培训，考核合格后方可上岗。（二）定期培训：每学期组织一次全员信息安全意识培训，内容包括最新法律法规、典型泄密案例警示、系统操作规范等。（三）考核评估：将信息保护执行情况纳入员工月度绩效考核。对于违反操作规程但未造成后果的，给予口头警告或扣除绩效；造成严重后果的，予以辞退并追究法律责任。第六章数据安全与应急处置第十九条账号与密码管理（一）账号管理：电子管理系统实行实名制账号管理，一人一号。禁止多人共用同一账号。员工离职或岗位变动时，行政专员应在2小时内冻结或注销其账号，并修改相关密码。（二）密码强度：系统登录密码长度不得少于10位，必须包含大小写字母、数字及特殊符号。员工应每90天强制修改一次密码。（三）登录审计：系统应记录所有登录日志，包括登录时间、IP地址、操作内容。系统管理员应每周审查异常登录记录。第二十条终端安全管理（一）办公电脑：员工使用的办公电脑必须安装杀毒软件，并开启防火墙。禁止私自安装未经检测的软件。（二）数据拷贝：严禁使用U盘、移动硬盘等便携式存储设备拷贝学生数据。确因工作需要（如数据备份迁移）需使用专用加密U盘，并履行借用登记手续。（三）网络传输：严禁通过公共Wi-Fi、个人微信文件传输助手、私人邮箱等方式传输学生档案数据。内部数据传输应使用企业级加密通讯工具。第二十一条监控录像管理（一）录像存储：托管区域内的监控录像应至少保存30天以上。（二）录像查阅：监控录像涉及学生在校动态，属于敏感信息。查阅监控录像需经机构负责人批准，且仅限于处理安全事故、纠纷或配合执法机关调查时进行。严禁员工私自回放、截屏、传播监控画面。第二十二条应急响应预案（一）事件识别：当发生或怀疑发生数据泄露（如电脑被盗、账号异常、系统被黑客攻击、纸质档案丢失）时，发现人应立即向机构负责人报告。（二）止损控制：机构应立即启动应急预案，采取措施阻断泄露途径（如断开网络、冻结账号、更改密码），防止损失扩大。（三）事件评估：组织技术团队或第三方专业机构对泄露事件进行评估，确定泄露信息的种类、数量、原因及可能造成的后果。（四）通知告知：若泄露事件可能对学生或家长权益造成损害，机构应及时以短信、电话或公告等方式通知受影响的学生及监护人，告知事件情况及已采取的补救措施。（五）报告监管：若发生涉及大量学生信息（如100人以上）泄露的严重安全事件，应按照法律法规要求，立即向当地公安机关或网信部门报告。第七章监督检查与责任追究第二十三条内部审计机制机构设立“信息安全与隐私保护工作小组”，由机构负责人任组长，行政主管任副组长。工作小组每季度对档案管理工作进行一次全面审计，检查内容包括：（一）纸质档案室的安全状况及借阅记录。（二）电子管理系统的操作日志与权限配置。（三）员工个人电脑、手机是否存在违规存储学生信息的情况。（四）家长对信息保护工作的反馈意见。第二十四条违规行为界定以下行为视为严重违反本制度：（一）私自查询、下载、打印、复制非本职工作范围内的学生档案信息。（二）将学生信息泄露给亲友、竞争对手或在网络上公开。（三）利用学生信息谋取私利（如推销产品、有偿介绍生源）。（四）因管理不善导致纸质档案大量遗失或损毁。（五）故意编造、篡改学生档案数据。（六）违反监控系统使用规定，擅自传播监控视频。第二十五条责任追究措施根据违规行为的性质、情节及造成的后果，采取以下处罚措施：（一）轻微违规（如未及时归档、密码设置过于简单）：给予内部通报批评，责令限期整改，并扣除当月绩效奖金的5%-10%。（二）一般违规（如越权查询、违规拷贝数据未造成外泄）：给予书面警告，调离原岗位，扣除当月绩效奖金的20%-50%。（三）严重违规（如泄露信息牟利、造成严重数据泄露事故）：立即解除劳动合同，予以辞退；全额扣除当月绩效及年终奖金；情节严重构成犯罪的，依法移送司法机关追究刑事责任。（四）管理层连带责任：若发生重大信息泄露事件，机构负责人及直接主管领导承担连带管理责任，接受相应的行政及经济处罚。第八章附则第二十六条制度解释权本制度由本托管机构行政部负责解释。机构保留根据法律法规变化及业务发展情况对本制度进行修订的权利。修订后的制度应通过内部公告或邮件形式告知全体员工。第二十七条生效日期本制度自发布之日起正式生效。原有的相关管理规定与本制度不一致的，以本制度为准。本制度生效前已入学的学生，其档案管理应在本制度生效后3个月内调整至符合本规范要求。第二十八条争议解决因本制度履行发生的争议，双方应协商解决；协商不成的，任何一方可向机构所在地人民法院提起诉讼。第二十九条特别声明本制度中关于“个人信息”的定义及保护标准，若国家出台新的法律法规严于当前标准的，自动适用国家新标准。本机构致力于打造最安全、最让家长放心的托管环境，保护学生隐私是每一位员工的神圣职责。附录：相关表格与记录模板（标准M