美國高校對個人信息保護的經驗與啟示

姜曉川 楊建鋒 戴雅歡

摘 要：大數(shù)據(jù)時代，加強對個人信息的保護已經成為擺在各國高校面前一個極具挑戰(zhàn)的問題。事實上，美國在個人信息及隱私權保護方面積累了豐富的立法和實踐經驗。在分析個人信息與隱私等概念異同的基礎上，依次介紹了美國聯(lián)邦層面、州層面促進高校對個人信息進行保護的立法規(guī)范，并通過對典型美國高校網絡隱私安全政策的文本進行分析，提出了對我國高等教育機構適時采取措施規(guī)范個人信息使用行為的幾點啟示。

關鍵詞：個人信息;高等教育機構;隱私政策;數(shù)據(jù)安全

大數(shù)據(jù)時代，如何加強對個人信息的保護已經成為擺在高校面前一個極具挑戰(zhàn)的問題。由于高校個人信息的收集、存儲和利用不再局限于紙質形式，數(shù)字和網絡的方式已經得到了廣泛的運用，這對個人信息的保護與規(guī)制提出了新的要求?？紤]到美國在個人信息及隱私權保護方面豐富的立法和實踐經驗，本文在分析個人信息與隱私等概念異同的基礎上，依次分析美國聯(lián)邦層面、州層面的立法以及高校對個人信息的保護政策，以期對我國高等教育機構提供幾點有益的啟示。

高校的個人信息及其性質

《中華人民共和國民法總則》第一百一十條規(guī)定，自然人的個人信息受法律保護。美國《隱私權法》就政府機構對個人信息的采集、使用、公開和保密問題作出了詳細規(guī)定。可見，中美兩國都對自然人的個人信息給予了立法保護。所不同的是，在中國的提法比較多見的是“個人信息權”，隱私權被包含在人格權中并非一項獨立的民事權利;美國則從立法到司法都廣泛運用“隱私權”的概念，而在大數(shù)據(jù)時代這些隱私權政策大部分內容都是在規(guī)范處理個人信息的行為。毫無疑問，高校在教學管理與科研過程中收集到的數(shù)字化個人信息，尤其是“可識別的個人身份信息”在中美兩國都作為法定權利獲得保護。

高校大學生的個人信息就是一切識別大學生本人信息的總和?？紤]到高校學生絕大多數(shù)已是完全民事行為能力人，他們對于個人信息的保護已經具有一定的自覺性，所以即使是在具有豐富隱私權立法經驗的美國，對高等教育階段個人信息的保護力度也遠不及義務教育階段。但是，由于包括云計算在內的各類信息技術手段在高校的日益廣泛運用，加強對高校個人信息的保護已經在業(yè)界形成共識并在各州逐步推進。值得注意的是，基于美國的聯(lián)邦和州平行立法的特點，我們不僅要了解聯(lián)邦層面對隱私權的保護，同時還要高度重視各州對高校個人信息的規(guī)制，它們共同指引著各高等教育機構的隱私政策的制定，進而影響高校處理個人信息的行為。

聯(lián)邦層面：為個人信息保護提供統(tǒng)一規(guī)范

在美國，個人信息被認為是“隱私權”的一部分，受到聯(lián)邦憲法第四修正案的保護。1967年，美國聯(lián)邦最高法院在凱茨訴美國（Katz v. United States）案中適用聯(lián)邦憲法第四修正案審理政府侵犯個人隱私權案件時創(chuàng)立了“合理的隱私期待”標準。依據(jù)該標準，判定他人是否享有隱私要分兩部分：主觀要件，即個人的行為是否表現(xiàn)出他確實享有主觀的隱私期待;客觀要件，即社會是否認可他的隱私期待是“合理的”。從該規(guī)則誕生至今，在美國該原則已從憲法領域擴充適用于侵權法領域，并被英國、加拿大、新西蘭和歐洲人權法院所吸收、借鑒。[1]

1974年，聯(lián)邦《家庭教育權利和隱私法案》的通過，標志著美國第一次確立了對學生隱私權的專門立法保護。該法案前后經過九次修訂，最近一次的修改時間是2001年。所有接受聯(lián)邦資金資助的學校都受《家庭教育權利和隱私法案》的管轄，它規(guī)范了學校從學生“教育記錄”中披露可識別的“個人身份信息”的范圍和界限。教育記錄，是指由教育機構或院?；蛴稍摰燃墮C構或院校代理人所保存的、載有與學生直接相關的資料的記錄，包括學生成績和紀律記錄等。該法案規(guī)定，除學生本人、家長、教師以及學校行政管理者外，其他任何第三人不得獲取學生的教育記錄。對于獲準查閱信息的人員，該法要求學校記錄所有這些曾查閱學生的教育信息的人員名單以及他們查閱該資料的原因。

之后，美國聯(lián)邦1996年的《健康保險攜帶和問責法》規(guī)定了為了研究目的，授權機構使用和披露的受保護的“個人健康信息”所必須滿足的條件;1999年，聯(lián)邦致力于金融服務現(xiàn)代化的《格雷姆—里奇—比利雷法案》也對高等教育機構如何收集、存儲和使用學生財務狀況信息（如學費的支付或資助方式）做出了規(guī)定。當然，高校對學生個人信息的保密義務也存在一些例外。校方在管理各類資助項目、學術研究時，基于合法教育目的，可以使用或共享學生的個人信息。

州層面：為個人信息提供差異化的保護路徑

除了聯(lián)邦層面規(guī)范之外，高校學生數(shù)據(jù)隱私保護同時受到了美國各州的高度重視。在各自的管轄權范圍內，各州都頒布和實施了規(guī)范學校收集、使用行為和維護學生數(shù)據(jù)安全的政策。自2013年，美國已經有一百六十多部州法提到了學生的隱私權。而賓夕法尼亞州是率先制定《大學安全信息法》（The College and University Security Information Act）的州，為其他州和聯(lián)邦政府如何制定大學安全政策和程序提供了參考思路。該法第121條規(guī)定，任何高等教育機構都有義務向申請進入校園的公民、教職員工或其他雇員、所有的學生提供一份該機構的安全程序資料、一份關于該機構遵守本法的責任說明以及一份針對權益受損時提出申訴的救濟程序和對應解決申訴的校園官方的說明;若機構擁有多個校區(qū)，則該機構可向學生和就業(yè)人員分發(fā)僅僅適用于所在校園的信息或適用于該機構所有校園的信息。在該法案中，校區(qū)成員是指被錄取進入學位或者非學位學習課程的人，并不包括參加非學分課程或函授課程的人。而高等教育機構則涵蓋了獨立的高等教育機構、社區(qū)學院、與國家有關的某個機構或國家系統(tǒng)的某個成員機構。

美國各州對本地高等教育機構學生個人數(shù)據(jù)的規(guī)范體現(xiàn)出了各自的特色。覆蓋面最廣的當屬肯塔基州2014年通過的眾議院5號法案，該法強制要求大學/學院創(chuàng)建并執(zhí)行“（學生隱私）數(shù)據(jù)安全與泄露補救程序”;要求與高等教育機構訂立合同的服務提供商必須在合同中承諾履行上述“數(shù)據(jù)安全與泄露補救程序”，以保護學生的信息、防止未經授權的數(shù)據(jù)泄露。同年，密蘇里州通過的眾議院1873號《學生數(shù)據(jù)保護法》規(guī)定，州教育機構在報告教育進展時只能應用聚類性整體分析數(shù)據(jù)的方法。[2]從2015年起，路易斯安那州的高等教育機構就應當依法積極地刪除受理入學申請時所收集到的各申請人個人信息。2017年，懷俄明州通過立法規(guī)定在該州高等教育機構就讀的學生對自己在該學校（機構）的網絡或提供的電子設備上進行的通信內容均享有隱私權和財產權[3]。

相較于義務教育學校，美國高等教育機構目前在對學生個人信息的管理與利用方面所受到的約束和限制要小得多。截至2018年，美國一共通過了35部州對各自的私立/公立的高等教育機構如何使用學生的數(shù)據(jù)作出立法規(guī)制，當中有12部法案是以高等教育機構的數(shù)據(jù)管理和學生隱私為主要規(guī)制對象，只有4部法律明確禁止大學或學院售賣學生的信息或者要求學生提供社交賬戶信息。立法規(guī)制的缺位事實上豁免了高等教育機構泄露學生個人信息（包括成績或研究記錄在內）時的民事責任。但是隨著在線信息技術在高校不斷廣泛、深入的運用，各州加強對高等教育機構在學生數(shù)據(jù)信息方面的立法保護已然是大勢所趨。

高校層面：細化對數(shù)據(jù)個人信息的保護規(guī)定

根據(jù)聯(lián)邦和所在各州的立法要求，美國的高等教育機構通常都會制定隱私安全政策，并在校園網站的顯著位置予以公示。對于學生所享有的（包括隱私權在內的）各項權利，學校在開學之初都會通過各種形式履行告知的義務。例如：未經高校成年學生本人的同意，學校不得向未經授權的第三方披露學生的學業(yè)成績信息。值得注意的是，除了學業(yè)成績這類傳統(tǒng)的個人信息之外，各高校對于學生使用電子設備、網絡時的隱私安全也都制定了詳盡的政策。這些政策對于個人信息的收集、傳播相關的程序都做出了規(guī)定，并在包括官方網站在內的場所進行了公示。美國俄亥俄州的代頓大學因其教育管理與政策的專業(yè)優(yōu)勢而聲名遠播。下文就以代頓大學為例，來分析該校網絡隱私政策的文本內容。

代頓大學的網絡隱私政策的前言部分介紹了該政策的目的、通過和修訂時間、適用范圍、文本中各項人稱代詞的含義。該隱私政策開篇指出代頓大學致力于隱私和安全，并公開與信息收集和傳播相關的所有程序;接著指出網絡隱私政策在2008年獲得通過，2015年修訂;適用于代頓大學官方網站，以及該校面向公眾的其他網址。代頓大學的網絡隱私政策的正文部分分為以下八個部分：

第一，學校對信息的收集和使用。在某些情況下，學校的網站需要收集可識別的個人身份信息。這些情況包括：登錄網站，購買商品或服務，為注冊、申請或有關活動提交網上表格，或與學校取得聯(lián)系。當高校收集您的個人可識別身份信息時用戶始終是知情的，因為它們正是通過用戶輸入或提交的在線表單等用戶明知的方式獲得的，這些信息可能會被代頓大學用于提供信息或服務。

第二，用戶提供給代頓大學的信息。為了給用戶提供更佳的服務，學?？赡軙脤W生在申請入學、注冊課程時所提供的個人身份信息。當然，這種行為是遵循了適當?shù)闹改希⒃诒匾南薅葍葘?shù)據(jù)的提供和使用。學?？赡軙糜脩舻目勺R別個人信息來提供信息、服務及營銷。

第三，并非由用戶主動披露的信息。代頓大學的網站也許會在用戶不經意間收集以下個人信息：IP地址，域名，校園網內訪問單頁的歷史，登錄和會話的時間，使用的網絡瀏覽器、平臺、操作系統(tǒng)和初次造訪及離開時的網址（URL）。未經用戶主動披露的這些信息一般并非個人可識別信息，但也有可能和個人身份信息結合起來使用。

第四，信息記錄程序（Cookies）。為了增進提供的信息和服務的質量，學校的很多網站都使用Cookies。當用戶瀏覽代頓大學網站的時候，投放廣告的Cookies也可能會植入用戶的電腦以便學校了解用戶的興趣所在。學校的廣告合作方會幫助學校根據(jù)用戶的訪問記錄，來向用戶投放其他網站的廣告。

第五，代頓大學傳遞給他方的信息。[4]在某些情況下，為提供信息及服務，代頓大學可能會向任何本校的部門、辦事處或官員傳遞非個人及可識別個人身份的信息。這些信息包括但不限于：參加在線考試;注冊課程;購買產品或者服務;為注冊、申請或有關活動提交某些網上表格;或選舉利益或偏好。

第六，代頓大學向戰(zhàn)略伙伴及其他人披露信息。在某些情況下，代頓大學可能會向戰(zhàn)略合作伙伴及其他人提供非個人及可識別的身份信息以做研究、介紹及市場推廣之用。

第七，用戶通過代頓大學網站自行向他方披露的信息。某些代頓網站提供的功能可能使用戶自己將個人身份信息傳遞給他人。這些功能包括但不限于：為他人發(fā)布自己的個人簡介;上傳作品，然后將其提供給其他人;或參與課程作業(yè)、咨詢、社區(qū)建設和由他人審閱的其他活動。當您通過在線表單或類似方法輸入和提交個人身份信息時，用戶將始終意識到自己正在向他人傳播個人身份信息。

第八，安全聲明。為了防止個人身份信息的丟失、濫用、盜竊或未經授權的訪問以及保護提供的所有信息和服務的整體完整性，代頓大學的網站和相關系統(tǒng)將保持嚴格的安全措施。雖然已采取適當措施保護個人身份信息，但代頓大學不能保證這些信息永遠不會以與本政策不一致的方式被披露。

啟示

大數(shù)據(jù)時代，防范數(shù)據(jù)泄露與濫用風險是中美高校共同面對的問題。近幾十年來，美國對學生隱私權保護的立法和實踐經驗，可以為我國高校與時俱進地構建完善的學生個人信息保護機制提供可資借鑒的方法及路徑。本文認為，美國學生隱私權的保護經驗至少有以下三點值得我們借鑒：

第一，從立法的高度統(tǒng)一認識。美國聯(lián)邦《家庭教育權和隱私權法案》作為該國首部確立學生隱私權的法律，明確了父母對其孩子的數(shù)據(jù)信息所享有的家長權，規(guī)定了學?？梢晕唇泴W生及其監(jiān)護人同意披露信息的某些具體特定情況;《健康保險攜帶和問責法》《格雷姆—里奇—比利雷法案》則分別對個人健康信息與財務信息的收集、存貯與使用作出了明確的規(guī)定。令人遺憾的是，我國對個人信息權的保護僅限于《刑法修正案（七）》中增設的侵犯公民個人信息罪和《民法總則》第111條當中的概括規(guī)定，《個人信息保護法（草案）》從2008年呈交國務院之后再無下文。在大數(shù)據(jù)背景下，通過立法提高社會對保護個人信息的權利意識，規(guī)范政府、事業(yè)單位和企業(yè)處理個人信息時的行為，對于降低高校面臨的數(shù)據(jù)泄露風險、防止訴訟負累無疑具有重要的意義。

第二，逐步完善和擴大保護范圍。縱觀美國對學生個人信息的保護，從義務教育階段逐步擴大到高等教育階段;從傳統(tǒng)的“教育記錄”到“可識別的個人信息”;從單純的學校責任到學校與合作第三方的共同責任，這一保護體系的建立并不是一蹴而就的。時至今日，美國伊利諾伊州提出的禁止向高等教育機構提供在線信息服務的供應商參與向用戶提供定制廣告、生成學生個人肖像、販賣學生信息一項法案仍然未獲通過。這提示我們對個人信息的保護要隨著時間、民意和技術條件的成熟逐步推進。在大數(shù)據(jù)時代，網民的個人信息是眾多企業(yè)和公司投放精準化廣告的重要基礎，立法部門加強對數(shù)據(jù)信息行為的規(guī)范必然會導致這些利益相關者的抵制和反對。但是在這種條件下，我們就更要重視對個人信息，尤其是廣大學生的“可識別個人信息”的保護，不指望一步到位，但也“勿以善小而不為”。

第三，高校要制定并公布個人信息保護政策。每當筆者在美國高校的網頁瀏覽時，都會輕易地發(fā)現(xiàn)這些學校所制定的個人信息/隱私政策。正如代頓大學的政策一樣，它們的規(guī)范都非常細化，僅在數(shù)字信息方面就有專門的電子產品和網絡的隱私政策，分別對在不同數(shù)字環(huán)境下個人信息的收集、存儲和使用做出了規(guī)范。這些政策的公布可以讓用戶或學生清楚地知道自己的個人信息是在何種情況下被收集、傳遞和利用的。反觀我國高校，對以學生個人信息為主的各類數(shù)據(jù)信息的管理還處于一種非常粗放的狀態(tài)。在大數(shù)據(jù)背景下，國內高校對個人信息的收集、保管和利用制定保護政策不僅有利于避免高校自身面臨的數(shù)據(jù)風險，對整個教育產業(yè)的發(fā)展都將具有十分重要的現(xiàn)實意義。

本文系國家自然科學基金青年項目“中國背景下的倫理想象研究”（項目編號：71562017）的階段性研究成果

參考文獻：

[1]杜紅原.隱私權的判定—“合理隱私期待標準”的確立與適用[J].北方法學，2015，9（6）：22-28.

[2] Legislative History of Major FERPA Provisions[EB/OL].（2004-02-11）[2019-05-29].https：//www2.ed.gov/policy/gen/guid/fpco/ferpa/leg-history.html.

[3]王正青.大數(shù)據(jù)時代美國學生數(shù)據(jù)隱私保護立法與治理體系[J].比較教育研究，2016，38（11）：31.

[4] Privacy Laws Protecting Student Data | EDUCAUSE[EB/OL].（2018-01-29）[2019-06-30].https：//er.educause.edu/blogs/2018/1/privacy-laws-protecting-student-data.

[5] Privacy & Terms ： University of Dayton， Ohio[EB/OL].（2015-12-17）[2019-06-30].https：//udayton.edu/terms/index.php.

（作者單位：姜曉川、戴雅歡，江西師范大學政法學院;楊建鋒，江西財經大學管理學院）

[責任編輯：于 洋]