《中華人民共和國個人信息保護法》在高校學生工作實踐中的應用

徐天然，王 慧

（西南財經大學 會計學院，四川 成都 611130）

隨著近年來高校學生工作的數字化、信息化發展，學生的個人信息被獲取、被泄露、被濫用的行為或現象越來越普遍［1］。不少高校學生工作者在交流中提及，在工作中自己要處理并保管大量學生個人信息，若不留意，就可能因分寸把握不當引發學生的不滿［2］8，甚至有過被投訴的經歷［3］17。據既有的研究總結，常見的學生信息保護問題包括助學金評定時對學生隱私保護不足、心理咨詢中泄漏個人信息、通報批評的范圍把握不當、超范圍搜集個人信息、寢室突襲檢查等［4］。針對這些問題，高校既有保護機制的設計更多只停留在原則層面，缺乏權威性和可操作性［5］。同時，我們也觀察到，如果過度強調學生信息保護，學生工作的正常行政效率也會受到較大沖擊［6］。

《中華人民共和國個人信息保護法》（以下簡稱《個保法》）于2021年11月1日正式施行，該法是我國第一部系統、全面保護個人信息的專門性法律，為個人維護其合法權益提供了保障，也為規范利用個人信息提供了指引［7］。通過文獻搜索，能發現該法的應用研究大多集中于大數據、云計算、互聯網等數字行業，尚未看到公開發表的在高校學工場景下適用該法的學術文獻，但不少高校召開了專題學習會議，牽頭學習的部門大多為高校信息中心。鑒于高校信息部門扮演的是處理學生信息的工具角色，其技術指令往往遵循學生工作的管理需要［8］，本文即從學生工作角度出發探索《個保法》在學工場景下的具體適用。

一、《個保法》的立法背景與核心要求

（一）立法背景

《個保法》頒布的背景主要有三點。第一，諸多相關單行法陸續出臺。從2016年起，《中華人民共和國網絡安全法》《中華人民共和國電子商務法》《中華人民共和國數據安全法》等涉及個人信息保護的單行法律陸續出臺，再加上《中華人民共和國民法典》《中華人民共和國刑法》相關章節的規制，關于個人信息保護的法律矩陣已經形成，但仍以碎片化的方式呈現，相關規范急需專門立法加以整合與明確［9］。第二，大數據行業發展迅猛。隨著移動通信、互聯網、人工智能等科技的發展，近年來基于大數據挖掘與運用的新興經濟體蓬勃發展，深刻改變了人們的生活方式，但也帶來了個人信息數據的無限索取與無序利用，對個人隱私保護帶來了嚴重威脅［10］。第三，國外相關立法趨勢明顯。近年來，國外關于個人信息保護的相關立法陡然加速，新增的個人信息保護法比過去幾十年的數量都要多，逐漸形成了以歐盟《通用數據保護條例》（2018年制定）等為代表的國際通行規范，以法律的強制力督促政府機關、商業實體、社會組織優化自身的合規管理與內部控制［11］。

從制定背景不難看出《個保法》的立法目的至少包括三點。第一，整合既有成果。充分吸收借鑒分散在各處的既有法條規范與制度框架，注重法律政策的平穩銜接。第二，聚焦問題解決。從行業發展的現狀出發，著力平衡個人信息保護的需求與信息數據的有效利用之間的關系。第三，順應國際標準。秉著兼容并包的理念，積極吸收世界實踐經驗并對標國際標準，以個人信息保護水平的提升促進數字經濟領域的國際合作。

（二）核心要求

《個保法》分八章共七十四條，總計九千余字。受制于篇幅與本文主題，下面僅對可適用于高校學生工作的重要條款與制度進行梳理與解讀。

（1）個人信息的概念。個人信息是以電子或者其他方式記錄的與已識別或者可識別的自然人有關的各種信息，不包括匿名化處理后的信息。這一概念所涵蓋的范圍極廣，意味著與個人相關的信息都屬于個人信息，不僅僅局限于姓名、身份證號、手機號等。僅將匿名化信息排除在概念范圍外，所謂匿名化，是指個人信息經過處理無法識別特定自然人且不能復原的過程。（2）個人信息的處理。個人信息的處理包括個人信息的收集、存儲、使用、加工、傳輸、提供、公開、刪除等?？梢?，不僅常見的收集、發布行為需要遵法謹慎，加工、刪除等行為也都應該強化審慎義務。（3）處理個人信息的原則。處理個人信息的原則包括合法、正當、必要、誠信、公開、透明，重點是必要原則。必要原則體現在“兩個最小”：處理方式對個人權益影響最小，收集個人信息限于實現處理目的的最小范圍。（4）處理個人信息的合法性基礎。一般情況下，處理個人信息的前提條件也即合法性基礎為取得個人的同意，但《個保法》也列明了包括履行法定職責等六種例外情形，在例外情形下，不需要取得個人同意。（5）利用個人信息進行自動化決策的規則。應當保證決策的透明度和結果公平、公正，如通過自動化決策方式作出對個人權益有重大影響的決定，個人有權要求個人信息處理者予以說明，并有權拒絕個人信息處理者僅通過自動化決策的方式作出決定。（6）個人在個人信息處理活動中的權利?！秱€保法》設專章保障個人權利，核心內容包括個人對其個人信息的處理享有知情權、決定權，有權限制或者拒絕他人對其個人信息進行處理，有權向個人信息處理者查閱、復制其個人信息。（7）個人信息處理者的義務。個人信息處理者應當制定內部管理制度和操作規程，對個人信息實行分類管理，采取相應的加密、去標識化措施，定期對從業人員進行安全教育和培訓，也要對處理個人信息遵守法律、行政法規的情況進行合規審計。

二、高校學生工作適用《個保法》面臨的難題

毋庸置疑，《個保法》作為全國人大常委會出臺的法律，能為高校學生工作在個人信息保護方面提供權威的遵循與指引，有助于提升學生對個人信息保護的安全感，也有助于學生工作管理水平的不斷提升。然而，高校學生工作由于其固有特性、歷史實踐等，在適用《個保法》過程中恐怕會面臨諸多難題。

（一）與慣常實踐沖突

最直接的沖突莫過于學生信息的收集范圍，以學生卡片為例，大多數高校在學生進校之初即要求其填寫相關個人信息，并以學生卡片的形式存儲于檔案館，這些可謂是學生檔案的基礎底稿。這類學生卡片的內容一般不僅包括學生姓名、聯系方式、身份證號等基本信息，還包括學生父母工作單位、職務、工資收入等家庭信息?！秱€保法》第六條確立了“兩個最小”原則：“處理個人信息應當具有明確、合理的目的，并應當與處理目的直接相關，采取對個人權益影響最小的方式。收集個人信息，應當限于實現處理目的的最小范圍，不得過度收集個人信息?！贝颂幨占瘜W生的家庭信息，是否與高校的教學或管理目的相關？有學生工作者可能指出，了解學生的家庭背景及家庭收入情況與高校資助工作密切相關，能夠用于判斷貧困生身份是否成立［12］。如按如此邏輯，收集統計家庭的收入即符合“實現處理目的的最小范圍”，那統計父母單位職務信息是否超出了“最小范圍”？另外，學生資助政策一般依申請制，大多數學生并不需要申請資助，則該項家庭信息統計超出了“最小范圍”。當然，我們也可以從因材施教［13］、強化家校聯動等角度去論證收集統計的必要性，但毫無疑問，高校應當重新反思梳理學生信息的收集范圍，避免與《個保法》的規定發生顯而易見的沖突。

（二）影響行政效率

高校學生工作繁雜，“上面千條線，下面一根針”，各個行政職能部門的工作任務，凡是跟學生工作相關的，往往都需要由輔導員等學生工作者最終落實完成，更不用說還有談心談話、主題班會等常規育人工作。因此，行政效率尤為重要，否則將陷于事務性工作的汪洋大海之中［14］?！秱€保法》第十三條確立了以“取得個人的同意”為原則，其他六種情形為例外的信息處理合法性規則。對于高校而言，如果不能將相關學生信息處理工作解釋納入某一例外情形，那“取得個人的同意”帶來的工作量勢必嚴重影響行政效率?？v觀六種例外情形，“為訂立、履行個人作為一方當事人的合同所必需”“為公共利益實施新聞報道、輿論監督等行為”“法律、行政法規規定的其他情形”這三種情形與高校學生工作基本無關聯或屬于兜底條款；“為應對突發公共衛生事件，或者緊急情況下為保護自然人的生命健康和財產安全所必需”“依照本法規定在合理的范圍內處理個人自行公開或者其他已經合法公開的個人信息”這兩種情形適用的范圍有限，顯然不能涵蓋學生工作的大部分常規場景；唯一可能普遍適用的情形即“為履行法定職責或者法定義務所必需”。然而如何理解“法定職責”或者“法定義務”？高校的法定職責或法定義務又包括哪些？若僅從全國人大制定的法律層面討論，我們可以嘗試從《中華人民共和國教育法》和《中華人民共和國高等教育法》中尋找答案，如《中華人民共和國教育法》第三十條提及的“學校及其他教育機構應當履行下列義務”，其中包括貫徹國家的教育方針、維護受教育者的合法權益、以適當方式為受教育者及其監護人了解受教育者的學業成績及其他有關情況提供便利等；再如《中華人民共和國高等教育法》第三十一條規定“高等學校應當以培養人才為中心，開展教學、科學研究和社會服務”?？梢钥闯?，法律層面的規定非?；\統，將學生信息處理工作歸入任何一項職責均屬牽強，不具有說服力。若將法定職責或法定義務的來源擴展至部門規章，依據教育部《普通高等學校學生管理規定》第九條、第三十九條、第四十九條等規定，高校負有學籍審查、秩序維護、表彰獎勵等職責，這些足以囊括大部分學生信息處理工作。鑒于學理上尚未有統一的觀點，出于謹慎考慮，凡是跟學生信息處理相關的工作均可通過“取得個人的同意”確保工作合法性，雖然工作方法上可以借助信息工具等進行整體優化，但這對行政效率的消極影響是直接且顯著的。

（三）工作可能陷入僵局

承接上文，若學生在“取得個人的同意”工作流程中答復“不同意”，相關學生工作該如何推進？我們看到，依據《個保法》第四十四條，除法律、行政法規另有規定外，學生確實“有權限制或者拒絕他人對其個人信息進行處理”。面對工作僵局，可能的走向有兩種。第一種即通過動之以情、曉之以理的思政工作將“同意”的好處與“不同意”的弊端加以闡述。例如，在心理普查工作中，若學生拒絕填寫問卷或拒絕配合心理回訪工作，我們可以將心理健康的意義、學習心理知識的好處、心理健康的負面案例等進行講解，同時向學生解釋相關的保密原則和保密措施，最終征得學生的同意。第二種即學生不為所動，堅持不同意，則問題是學校是否有權采取相關行動或措施?！秱€保法》第十六條規定“個人信息處理者不得以個人不同意處理其個人信息或者撤回同意為由，拒絕提供產品或者服務；處理個人信息屬于提供產品或者服務所必需的除外”，這一條說明，學校不能因為學生不同意而簡單粗暴地限制或剝奪其在校學習、生活的權利，如前文述及的心理案例，了解學生的心理狀態尤其是心理問卷中的各類個人信息，并不是高校培養人才、實施教學所必需的，因此并不能否定學生在讀享有的相應權利。當然，當學生不配合相關信息的收集工作，可能嚴重影響學校教育教學秩序、生活秩序以及公共場所管理秩序時，則另當別論，高校完全可以動用處分權進行處分。無論如何，我們不可否認的是，《個保法》賦予學生的選擇權將增加相關學生工作的難度，某種情況下甚至會削弱校園安全把控，雖然在極端情況下，我們也可以援引《個保法》第十三條第（四）款“緊急情況下為保護自然人的生命健康和財產安全所必需”繞開學生的選擇權進行強制處理。

三、實現《個保法》與高校學生工作的有機銜接

雖然挑戰和困難不少，但不能“因噎廢食”，更不能“拒之門外”，貫徹落實《個保法》是高校學工場景下提升學生信息保護水平的必然要求和法律責任。法律的運行有一個適應和協調的過程［15］，應結合高校學工實際實現《個保法》的有機銜接，具體而言，應做到《個保法》與學生工作的思想貫通、規則落實與行為融入。

（一）思想貫通

《個保法》第一條開宗明義：“為了保護個人信息權益，規范個人信息處理活動，促進個人信息合理利用，根據憲法，制定本法?！边@說明《個保法》的立法宗旨包括兩個方面，一方面是保護權益，另一方面是促進信息的合理利用。無論是教師還是學生，從思想上充分認識這兩者的辯證關系，對《個保法》的貫徹落實至關重要。對學生工作者而言，《個保法》并不單純是工作中加強學生信息保護的“緊箍咒”，在符合《個保法》相關要求的前提下收集儲存學生信息大數據，能夠成為做好學生工作的有力工具，如《個保法》第二十四條提及的“自動化決策”、第二十六條提及的“個人身份識別”，以及實踐中正在加快普及的“智慧學工”等工作應用平臺，都為學工場景下的統計、追蹤、分析、決策工作提供了助力，提升了工作效率。對高校學生而言，《個保法》也并非逃避學校日常監管的借口或理由，誠然，《個保法》賦予了學生保護個人信息、維護個人隱私的諸多權利，但也確立了個人行使權利的邊界與底線，如《個保法》第十三條確立的例外情形、第七十二條明確的適用范圍等。應當幫助學生認識到，正因《個保法》對信息處理活動加以規范，學生更應該放心配合學校進行相關信息的收集與利用［16］，從而享受到數字時代高校學習生活的便利與安全。

（二）規則落實

《個保法》的落實應與高校學工既有制度規范結合起來，可通過修訂和完善相關校規校紀體現《個保法》的最新要求與精神。

1.舊規的完善?！秱€保法》的相關規定對高校學工的既有制度與實踐造成了一定沖擊，提出了更高的工作要求，學校應重點關注以下幾點。（1）限縮信息收集范圍。應牢牢把握《個保法》第六條確立的“限于實現處理目的的最小范圍”原則，在常見的諸如新生登記、貧困生評定、就業摸排等學工場景下，從信息收集的目的出發，嚴格限縮信息收集范圍，凡是不相關的或多余的信息均應排除在收集范圍之外。（2）敏感個人信息制度的完善?！秱€保法》第二十八條到第三十二條確立了敏感個人信息的概念及一系列處理規則，根據其中“一旦泄露或者非法使用，容易導致自然人的人格尊嚴受到侵害或者人身、財產安全受到危害的個人信息”的概念描述，應當重點關注學工場景下的人臉識別信息、行蹤軌跡信息、違紀處分信息、心理健康信息、成績排名（主要涉及末尾排名及掛科記錄）信息、貧困生信息等。同時依據“只有在具有特定的目的和充分的必要性，并采取嚴格保護措施的情形下，個人信息處理者方可處理敏感個人信息”的保護規則，結合高校既有的政策，分類型、分場景做好用途管控與制度優化。比如，行蹤軌跡是新冠疫情爆發以來各高校普遍向學生收集的個人信息，但疫情結束后，特定的目的已經不再成立，則高校應該停止收集該類信息；再比如，雖然不少高校的違紀處分需要張榜公布，但高校完全可以禁止除按程序以外的其他形式的公示與傳播行為，以免對違紀學生造成人格的歧視與侮辱。（3）修補安全制度漏洞?！秱€保法》賦予了學生在面對高校信息處理活動（比如收集、加工、公開等）時一定程度的拒絕權，在絕大多數情況下，拒絕與否屬于學生的個人選擇，最多影響的是他人對其的評價，除了必要的思政工作外，我們無須過度干涉。然而，當學生的拒絕行為影響到校園安全秩序的穩定，如拒不提供自己的心理疾病狀況信息（主要指近期有傷害他人的傾向或行為）或者疫情期間拒絕提供個人行蹤軌跡，則應當有相應的懲處辦法加以限制。高校應當進行相關制度的排查，尤其是結合教育部《普通高等學校學生管理規定》第五十二條第（六）款“違反本規定和學校規定，嚴重影響學校教育教學秩序、生活秩序以及公共場所管理秩序的”規定，制定和完善相應的細化規范，為與信息處理活動相關的學生消極行為提供明確的處分依據，從而引導學生提升安全意識［17］。

2.新規的設立?！秱€保法》的許多提法和要求對于高校學生工作具有創新性的啟發和借鑒意義，高?？梢越Y合學生工作實際情況探索以下制度的設立。（1）一次性同意制度?！秱€保法》確立了以“取得個人的同意”為核心的信息處理合法性規則，雖然前文探討了高校學工場景下適用例外情形的可能性，但由于存在一定程度的政策不確定，高校完全可以嚴格圍繞“取得個人的同意”構建一次性同意制度，以提升工作的合規水平與行政效率。具體而言，借助信息手段，在新生注冊時即參考《個保法》第十七條告知信息收集的目的及種類、未來可能的處理方式、保存期限等事項，并設置勾選同意的選框，學生勾選同意后，即完成對學校接下來信息收集等處理活動的合法性授權。至于《個保法》第二十九條提及的“處理敏感個人信息應當取得個人的單獨同意”，同樣可以借助“智慧學工”等類似的高校信息平臺，在發起某項學生工作時，即設置單獨同意按鈕作為前置性條件，如貧困生認定工作中要求申請學生同意學校收集處理其家庭貧困情況等敏感信息。（2）自動化決策制度?！秱€保法》第二十四條就“利用個人信息進行自動化決策”進行了規范，所謂自動化決策，指“通過計算機程序自動分析、評估個人的行為習慣、興趣愛好或者經濟、健康、信用狀況等，并進行決策的活動”。在高校學工場景下，自動化決策的實踐方興未艾，最常見的案例莫過于根據學生的飯卡消費信息精準發放貧困生餐補［18］。不難想象，未來評優評獎、違紀處分等學工場景也可能引入自動化決策，其大數據技術優勢及算法應用甚至可能給學生工作方式方法帶來一場重大變革［19］。為了保障這一新興事物的作用有效發揮，同時確保決策的公平公正，高校應當結合實際制定自動化決策的相關制度，其核心內容應當落實《個保法》“通過自動化決策方式作出對個人權益有重大影響的決定，個人有權要求個人信息處理者予以說明，并有權拒絕個人信息處理者僅通過自動化決策的方式作出決定”的明確要求，確保學生有渠道了解相關決策信息并有權拒絕單純的自動化決策結果。（3）信息權利保障制度?！秱€保法》設專章（第四十四條至第五十條）明確了個人在其個人信息處理活動中的諸多權利，凸顯了對個人權利的重視與保障。相應地，高校也應當明確學生在信息處理活動中享有的權利，重點應當包括第四十四條提及的知情權、決定權及限制或拒絕權，第四十五條查閱與復制權，第四十六條更正與補充權，第四十七條刪除權，第四十八條請求解釋說明權。應圍繞上述權利制定適應學工場景的落實保障制度，如知情權、查閱與復制權可會同檔案館等職能部門加以落實，決定權、限制或拒絕權、更正與補充權及刪除權可借助高校相關智慧信息平臺賦予學生便捷的操作渠道，請求解釋說明權則可交由輔導員落實并要求解釋工作與思政教育相結合，以達到解惑息事的目的［20］。

（三）行為融入

《個保法》在高校學工領域的真正落地最終需要依賴學生工作者的自覺遵守與正確執行。雖然《個保法》是一門全面規范個人信息保護的專門法律，但鑒于法律的概括性與普遍性，具體的理解與適用并不能精準對應，再加上學工場景的繁雜與多變，很難據此形成一份完整且詳細的行為操作指南。因此，學生工作者只有正確理解與把握《個保法》相關規則的立法意圖與精神，方能在復雜多變的學工場景下做出正確的決策與行為。應主要理解以下《個保法》立法要旨及其對行為的啟示：（1）多做告知工作?！叭〉脗€人的同意”作為《個保法》確立的合法性基石，其中告知是同意的必要前提。絕大多數情況下，接到教師的告知，學生能感受到自身被尊重，進而順理成章地同意教師的相關信息處理行為。所以，不管相關信息是否可以歸屬于《個保法》第十三條的例外情形，多做告知工作征得學生同意，能夠有效降低學生工作的風險與阻力。例如，輔導員想通過早已收集的家長信息與家長取得聯系時，不妨提前告知學生自己的聯系目的，或許能激發學生加快對相關學習生活事項的落實與執行，從而達到更好的家校聯動效果［21］。再如，有輔導員喜歡在主題班會等集體活動中用自己掌握到的個別在座學生的信息或經歷作為思政素材加以講解，如果可以提前告知當事學生，就能夠有效避免因講解不當而讓學生產生誤解甚至爆發情緒。（2）多做留痕管理?！秱€保法》第六十九條規定“處理個人信息侵害個人信息權益造成損害，個人信息處理者不能證明自己沒有過錯的，應當承擔損害賠償等侵權責任”，可以看出，該條采納了過錯推定原則，在舉證責任上適用舉證責任倒置［22］。這為學生工作者給出了行為指引，在力求工作確無過錯的前提下，教師在與學生溝通的過程中，無論是線上還是線下，最好均形成方便查閱的工作痕跡（如線下見面后再進行簡單文字提醒）。（3）踐行“兩個最小”?！秱€保法》第六條的“采取對個人權益影響最小的方式”“限于實現處理目的的最小范圍”是必要性原則的具體體現與要求?！皟蓚€最小”可以成為學生工作者的兩把尺子，在不同的學工場景下加以分析與運用。如在貧困生評定中，貧困生的權益主要在于家庭隱私的保護，因此在符合工作要求的情況下讓最少的人參與、最少的人接觸應成為工作的準則，可以采取限定評議小組規模、簽訂保密協議、盲審貧困生書面材料等方式加以督促實現。再如寢室檢查，應從保障寢室衛生安全的目的出發確定檢查頻率與檢查時間，避免一段時間內的重復多次檢查對學生正常寢室活動與休息造成影響。（4）善用“去標識化”。所謂“去標識化”，《個保法》定義為“個人信息經過處理，使其在不借助額外信息的情況下無法識別特定自然人的過程”。采取“去標識化”等安全技術措施是《個保法》第五十一條確立的個人信息處理者的義務之一，也可以成為學生工作者進行信息處理的有效法寶，尤其在成績排名發布、通報批評、警示教育等學工場景下較為實用。常見且便捷的“去標識化”措施包括將學生姓名替換為學號、將學生姓名進行打碼處理等。例如，輔導員得知學校近期有不少學生存放違章電器被處分，則在轉發相關處分信息時將學生的名字隱去，既保護了涉事學生免受不必要的信息公開，也達到了警示目的。