学生个人信息保护管理制度

学生个人信息保护管理制度总则学生个人信息是学校数据资产的核心，也是极易触发合规红线的脆弱环节。在《中华人民共和国个人信息保护法》与《中华人民共和国数据安全法》的强监管语境下，学生信息的收集与处理不再仅仅是教务管理的辅助工具，而是关乎学校法定责任与学生切身利益的高风险业务。本制度旨在切断从数据过度采集到内部违规滥用的完整风险演化链条，确立全生命周期的硬性管控标准。本制度适用于学校及其下属各分支机构、受托开展数据处理业务的外部供应商，在招生报名、学籍管理、后勤服务等场景下，对学生姓名、身份证号、人脸特征、行踪轨迹、家庭住址、联系方式及健康生理等个人信息的处理活动。学校处理学生个人信息必须遵循“最小必要”与“目的明确”原则。收集信息类型必须与教育教学目的直接相关，严禁采取“一揽子授权”模式强制同意。凡涉及人脸识别、指纹采集等生物识别信息，以及心理健康档案、医疗记录等敏感个人信息，必须进行个人信息保护影响评估（DPIA），并取得学生及其监护人的单独书面同意。组织机构与职责划分保护责任的落地不能依赖个人自觉，必须依靠权责清晰的RACI矩阵与硬性约束。学校建立三级个人信息保护责任体系，将数据安全防线落实到具体的物理岗位与系统权限中。学校设立个人信息保护工作领导小组，由分管副校长担任组长，作为数据安全的最终责任主体。领导小组每季度召开1次安全形势分析会，审议数据出境、重大系统上线等高风险事项，并于会后48小时内形成会议纪要下发至各执行部门。信息中心设立专职个人信息保护专员（DPO），负责日常技术防护体系的建设与审计。DPO必须掌握数据全链路流转图谱，对任何新上线的信息系统具有一票否决权。未经DPO签字确认系统已落实数据加密与脱敏措施，严禁接入校园主干网络。各业务部门（教务处、学工处、后勤集团等）负责人为本部门数据安全第一责任人。教务处负责学籍成绩数据的准确性校验，学工处负责奖惩与贫困生库的访问控制，后勤集团负责住宿与监控影像的留存销毁。各部门必须设立兼职数据管理员，负责权限申请的单线对接与日常违规行为的初步排查。个人信息处理的合规边界从采集到销毁的全生命周期管理，是阻断数据越权流转和违规滥用的物理与逻辑屏障。脱离生命周期的静态管理无法应对动态的数据泄露风险，必须在每个节点设立明确的准入与阻断机制。信息收集环节必须实行字段级管控。前端表单设计应当剔除“备用联系人”、“家庭年收入”等非必填项；确需收集敏感信息的，必须在校内法务专员指导下修订隐私声明，并由收集对象勾选确认。严禁通过爬虫程序抓取外部平台学生非公开社交动态用于在校行为评估。信息存储环节必须落实物理与逻辑双重隔离。学生敏感个人信息必须存储在校内核心机房独立数据库分区，严禁与普通教务数据混存。数据库必须采用国密算法SM4进行字段级加密存储，身份证明文件必须拆分为头像图片与证件号码分开存储。加密密钥必须由专人分片掌管，单点无法还原密钥。信息使用与加工环节必须落实动态脱敏。教职工在前端页面查询学生信息时，身份证号必须掩码显示（如`110105******1234`），手机号码中间四位必须以星号替代。导出明细数据必须优先调用系统内置脱敏导出功能；若因特殊业务需要明文导出，必须经DPO审批通过并设定24小时有效期的加密下载链接；严禁将明文Excel文件通过本地终端直接落盘。信息共享环节必须建立外部传输审查机制。向教育主管部门、公安司法机关提供数据，必须核验对方有效执法证件或行政公文，并记录提供的数据字段、条数与时间节点。引入第三方供应商（如智慧校园系统建设、心理测评服务）时，必须签订数据处理协议（DPA），优先要求供应商在本地私有化部署；若必须使用云端SaaS服务，应采用数据可用不可见的隐私计算技术；严禁将包含家庭住址等敏感字段的数据上传至未通过等级保护三级测评的公有云平台。信息删除与销毁环节必须确保不可恢复。达到法定保存期限的学籍档案转存只读光盘后，电子记录必须在数据库执行物理删除并清空redolog，存储介质须经过至少3次随机数据覆写或物理粉碎。严禁仅通过操作系统层面的Delete键删除文件——该操作仅清除了文件系统索引，底层扇区的数据仍可通过恢复工具还原，极易造成数据泄露。核心业务场景管控规范脱离具体业务场景谈数据保护，会导致制度沦为挂在墙上的空文；必须在招生、学工、教务等高频场景中嵌入控制节点，消除最常发生违规行为的盲区。招生录取与迎新场景中，纸质报名表与体检表在流转环节面临极高的遗失与被摄录风险。所有纸质材料必须使用密封文件袋流转，袋口加装防拆封条。迎新现场的信息确认台必须设置物理隔挡，前后排队人员必须保持1.5米以上距离，严禁大屏幕公开展示包含完整姓名与身份证号的学生名单。现场录入人员使用的终端必须禁用USB接口并封闭光驱，防止批量数据被私自拷贝。日常学籍与教务管理场景中，班级群（微信/QQ）是数据泄露的重灾区。严禁在班级群内公开发布包含全班学生姓名、身份证号、家庭住址、联系方式及成绩排名的汇总表格。成绩发布应当优先使用校园教务系统点对点查询；若需在群内通知，必须隐去学生姓名中的名字部分，仅保留姓氏与学号后四位。辅导员与班主任不得将班级通讯录以明文Excel形式存储在个人手机或微信收藏中，必须迁移至学校统一部署的加密企业通讯录应用中。心理健康与特殊困难学生场景涉及高度敏感的生理与心理信息，必须实施最严格的权限隔离。心理咨询记录与家庭经济困难认定材料必须独立加锁存放，纸质档案查阅必须经学工处长签字同意并在档案室内部登记，严禁以任何形式拍照或复印带出。电子档案系统必须开启“阅后即焚”模式与不可见水印，查询日志保留期限不得少于3年。家校沟通与第三方应用接入场景中，各类家校通APP、打卡小程序的数据采集权限必须受控。严禁要求学生或家长在小程序中授权读取手机相册、通讯录或地理位置等与教学无关的权限。凡发现第三方应用存在过度索权行为的，信息中心必须在4小时内切断其校园网API接口访问权限。安全技术防护与访问控制没有技术管控兜底的制度是脆弱的，必须通过身份鉴别、权限收敛和日志审计构筑纵深防御体系。教职工终端被钓鱼邮件攻破或内部人员违规下载，是学生数据泄露最典型的触发路径，必须通过终端安全机制切断风险蔓延。账号权限管理必须严格遵循基于角色的访问控制（RBAC）模型与最小权限原则。新员工入职或教职工岗位调动时，权限审批必须在24小时内完成变更，离岗人员的账号必须在12小时内冻结。特权账号（如数据库DBA、系统超级管理员）必须纳入特权账号管理系统（PAM），实行定期改密与会话录屏审计。严禁多人共用同一账号，严禁将账号密码以明文形式记录在便签纸或未加密的电子文档中。终端与网络防泄露机制必须覆盖所有接触学生数据的设备。教职工办公电脑必须统一安装终端管理系统（MDM），强制开启硬盘全盘加密（如BitLocker），封堵向未授权U盘写入数据的权限。核心数据库所在网络区域必须通过防火墙与办公网实现逻辑隔离，严禁数据库服务器直接暴露在互联网。校园公共查询终端（如图书馆检索机、自助打印机）必须部署于独立的VLAN，与教务数据库之间设置只读API网关。日志审计与异常监测是发现内部违规操作的最后一道防线。所有涉及学生敏感信息的查询、导出、修改操作必须写入安全审计日志，日志至少保留6个月。信息中心必须部署用户实体行为分析（UEBA）模块，当监测到单一账号在1小时内查询超过50条敏感记录，或在非工作时间（22:00至次日06:00）发起批量导出请求时，系统必须自动阻断该账号会话，并向DPO发送告警短信，要求在30分钟内进行人工复核。个人信息安全事件应急响应数据泄露的黄金窗口期极短，应急响应的迟滞将直接导致损害扩大和监管重罚。教职工终端感染勒索软件后勒索病毒在局域网内横向传播、扫描并加密共享盘中的学生名册，是当前最具破坏性的风险演化路径。学校建立三级个人信息安全事件响应机制。当发现可能导致学生信息泄露的系统漏洞或未经授权的访问行为，但尚未造成实际数据外传时，判定为Ⅲ级事件。发现确有数据被批量下载、打包外传或被挂载在暗网论坛时，判定为Ⅱ级事件。当泄露数据涉及超过1000名学生且包含生物识别信息、医疗档案等高度敏感内容，或引发群体性投诉与舆情危机时，判定为Ⅰ级事件。Ⅲ级事件由DPO负责处置，必须在发现后2小时内切断涉事设备的网络连接，提取系统日志与内存镜像，修复漏洞后报领导小组备案。Ⅱ级事件由分管副校长直接指挥，必须在1小时内隔离受影响数据库，阻断外部出口防火墙，并在24小时内完成受影响学生群体的定向通知，告知泄露的数据字段与潜在风险防范建议。Ⅰ级事件必须立即启动最高级别应急响应，学校法务与公关部门须在72小时内向属地公安机关网安部门及省级教育行政部门报告，同时在校官网发布事件说明公告。事后必须落实PDCA闭环管理。安全事件处置完毕后5个工作日内，DPO必须牵头组织复盘，出具包含根因分析、责任追溯与系统改进方案的《个人信息安全事件调查报告》。对因未尽到保管义务导致数据外泄的教职员工，依据本制度罚则追责，并对涉事系统的架构进行安全加固与重测。监督检查与违规处罚制度的威慑力来源于对违规行为的零容忍与可追溯的问责机制。日常监督的缺位将导致“小错不断”最终演变为“大案要案”，必须通过常态化的审计与严厉的罚则倒逼合规意识落地。信息中心每季度对核心教务系统、学工系统开展1次账户权限复核，清理长期未登录的“僵尸账号”与超范围授权的“特权账号”。每学年开学前组织1次全员数据安全合规测试，未达到90分及格线的教职工必须暂停系统访问权限，直至补考通过。凡违反本制度规定，发生以下行为之一的，首次发现予以全校通报批评，并扣减当月绩效工资；造成数据实际泄露或引发不良后果的，给予记过以上处分并调离涉密岗位；涉嫌违法犯罪的，依法移送司法机关：未经审批，擅自将包含学生敏感信息的电子表格通过微信、QQ等社交软件发送至外部群组；私自使用U盘或移动硬盘拷贝学生数据库信息且未做加密处理；将系统查询账号借予他人使用，或使用自动化脚本绕过前端脱敏界面批量抓取明文数据；发现数据泄露隐患隐瞒不报，或故意破坏审计日志企图掩盖违规痕迹。附则本制度的生命力在于随业务形态与合规要求持续迭代，而非一成不变的静态文件。各级业务部门在执行过程中如发现新的数据处理场景或本制度未能覆盖的盲区，必须在10个工作日内向DPO提出制度修订建议。本制度由学校个人信息保护工作领导小组负责解释，自发布之日起施行。附件附件一：学生个人信息导出与脱敏申请表申请字段内容要求填写示例申请人姓名真实姓名张某某所属部门具体科室或学院学工处资助科导出数据范围年级/专业/具体名单2023级计算机科学与技术专业全体涉及数据字段具体列名姓名、学号、身份证号、家庭住址导出目的与用途必须具体说明业务场景贫困生库复核及助学金发放银行卡办理脱敏处理要求选择掩码或明文身份证号保留前6后4，家庭住址精确到市级审批链签字业务主管->DPO签字及日期附件二：个人信息安全事件应急联络通讯录角色职责职务联系方式响应时效应急总指挥分管副校长138******15分钟内响应技术阻断与取证个人信息保护专员(DPO)139******10分钟内响应外部通报与法务法务办主