(網(wǎng)經(jīng)社訊)今年來(lái)受新冠肺炎疫情影響，在線(xiàn)教育帶來(lái)了井噴式的增長(zhǎng)，截至2020年3月，我國(guó)在線(xiàn)教育用戶(hù)規(guī)模達(dá)4.23億，較2018年底增長(zhǎng)110.2%，占網(wǎng)民整體的46.8%。2020年初，全國(guó)大中小學(xué)校推遲開(kāi)學(xué)，2.65億在校生普遍轉(zhuǎn)向線(xiàn)上課程，用戶(hù)需求得到充分釋放。同時(shí)，在線(xiàn)教育各類(lèi)新模式、新技術(shù)、新業(yè)態(tài)紛紛涌現(xiàn)，刷新用戶(hù)教育消費(fèi)體驗(yàn)。線(xiàn)上教學(xué)有多種方式，比如個(gè)人直播、錄制授課、慕課(MOOC)授課、專(zhuān)用教室直播等，一些機(jī)構(gòu)將人工智能技術(shù)用到在線(xiàn)教育中，還原線(xiàn)下學(xué)習(xí)體驗(yàn)、提供個(gè)性化評(píng)測(cè)反饋。并且在線(xiàn)教育企業(yè)也在疫情期間開(kāi)設(shè)大量課程，好未來(lái)（學(xué)而思）、網(wǎng)易有道、作業(yè)幫、猿輔導(dǎo)等在線(xiàn)教育公司爭(zhēng)相推出免費(fèi)直播課，阿里釘釘、騰訊課堂、ClassIn、Zoom等在線(xiàn)教育平臺(tái)和技術(shù)服務(wù)商幫助學(xué)校開(kāi)設(shè)線(xiàn)上課程，快手、抖音、嗶哩嗶哩、虎牙直播等網(wǎng)絡(luò)平臺(tái)也紛紛著力打造教育板塊。數(shù)以?xún)|計(jì)傳統(tǒng)學(xué)校場(chǎng)景中的教師和學(xué)生得以深度體驗(yàn)線(xiàn)上教學(xué)。
“十四五”規(guī)劃已于近期公布，首次提出要發(fā)揮在線(xiàn)教育優(yōu)勢(shì)，完善終身學(xué)習(xí)體系，建設(shè)學(xué)習(xí)型社會(huì)，引發(fā)了各界關(guān)注。我國(guó)的在線(xiàn)教育迎來(lái)發(fā)展的寶貴機(jī)遇的同時(shí)，在線(xiàn)教育領(lǐng)域也出現(xiàn)了很多新問(wèn)題。特別是在數(shù)據(jù)合規(guī)和個(gè)人信息保護(hù)方面，在線(xiàn)教育遭遇了前所未有的挑戰(zhàn)。數(shù)據(jù)合規(guī)方面，許多教育科技公司在幫助學(xué)校推進(jìn)線(xiàn)上化的同時(shí)，需要收集學(xué)生的個(gè)人信息和學(xué)習(xí)行為數(shù)據(jù)，繼而通過(guò)大數(shù)據(jù)分析改進(jìn)產(chǎn)品，而學(xué)校則對(duì)讓第三方接觸學(xué)生個(gè)人信息和學(xué)校的教育內(nèi)容資源有很大的顧慮。并且，在線(xiàn)教育行業(yè)所掌握的信息中，未成年人的個(gè)人信息占有很大比重。由于未成年人的特殊性，國(guó)內(nèi)外對(duì)于未成年人的個(gè)人信息都給予了特殊的保護(hù)。但實(shí)踐中多家線(xiàn)上教育的App、網(wǎng)站，缺乏未成年人隱私保護(hù)條款和設(shè)計(jì)。除此之外，在線(xiàn)教育企業(yè)未在用戶(hù)協(xié)議中對(duì)客戶(hù)提供信息的場(chǎng)景、目的、用途以及信息類(lèi)型進(jìn)行列明；對(duì)學(xué)生提供個(gè)人信息的風(fēng)險(xiǎn)缺乏明確詳細(xì)的提示；缺乏可操作性的防止數(shù)據(jù)泄漏保護(hù)措施。這些無(wú)疑都存在巨大的信息安全隱患。
因此在國(guó)家不斷加強(qiáng)對(duì)個(gè)人信息保護(hù)的背景下，我們對(duì)在線(xiàn)教育的相關(guān)法律風(fēng)險(xiǎn)進(jìn)行分析，并提出相關(guān)法律風(fēng)險(xiǎn)防范建議。
一
在線(xiàn)教育企業(yè)網(wǎng)絡(luò)安全和個(gè)人信息保護(hù)的法律風(fēng)險(xiǎn)
從2019年開(kāi)始，公安部針對(duì)個(gè)人信息保護(hù)開(kāi)始進(jìn)行專(zhuān)項(xiàng)治理，對(duì)于侵犯?jìng)€(gè)人信息的企業(yè)和行為，會(huì)向社會(huì)公示和進(jìn)行相應(yīng)的處罰，甚至一些互聯(lián)網(wǎng)企業(yè)的產(chǎn)品被迫從應(yīng)用市場(chǎng)下架，這對(duì)企業(yè)的發(fā)展會(huì)造成嚴(yán)重影響。通常而言，在線(xiàn)教育企業(yè)在網(wǎng)絡(luò)安全和個(gè)人信息保護(hù)方面會(huì)面臨以下法律風(fēng)險(xiǎn)：（一）個(gè)人信息內(nèi)涵的擴(kuò)展
討論在線(xiàn)教育企業(yè)保護(hù)個(gè)人信息的前提應(yīng)當(dāng)明確個(gè)人信息的內(nèi)涵和定義。目前中國(guó)法律對(duì)“個(gè)人信息”的定義有兩種立法模式，第一種將個(gè)人信息定義為“可識(shí)別的個(gè)人信息”。民法典和《網(wǎng)絡(luò)安全法》采用此種立法模式。根據(jù)民法典第一千零三十四條和《網(wǎng)絡(luò)安全法》第七十六條的規(guī)定，只有“可識(shí)別的個(gè)人信息”才被認(rèn)定為個(gè)人信息。而第二種立法模式采用“識(shí)別+關(guān)聯(lián)”的立法模式，將“可識(shí)別的個(gè)人信息”和“可關(guān)聯(lián)到個(gè)人的信息”均歸入個(gè)人信息的范疇。根據(jù)《個(gè)人信息保護(hù)法（草案）》第四條、《最高人民法院、最高人民檢察院關(guān)于辦理侵犯公民個(gè)人信息刑事案件適用法律若干問(wèn)題的解釋》第一條和《個(gè)人信息安全規(guī)范》第3.1條的規(guī)定，不僅將可識(shí)別出個(gè)人的信息認(rèn)定為個(gè)人信息，并且與其他信息結(jié)合反映自然人活動(dòng)情況的信息也被認(rèn)定在個(gè)人信息的范疇。相對(duì)比第一種立法模式，這種立法模式下“個(gè)人信息”的內(nèi)涵的更加廣泛，更有利于對(duì)個(gè)人信息的保護(hù)。隨著國(guó)家對(duì)個(gè)人信息保護(hù)的不斷加強(qiáng)和對(duì)數(shù)據(jù)合規(guī)要求的不斷提高，結(jié)合即將要出臺(tái)的《個(gè)人信息保護(hù)法》所采取的立法態(tài)度，第二種立法模式可能是未來(lái)的趨勢(shì)，從而對(duì)個(gè)人信息進(jìn)行更加全面的保護(hù)。而對(duì)于在線(xiàn)教育領(lǐng)域，個(gè)人信息的內(nèi)涵就更加具體。在線(xiàn)教育所涉及的個(gè)人信息可分為以下四類(lèi)：注冊(cè)信息、在線(xiàn)教學(xué)信息、系統(tǒng)安全及客服信息以及其他功能所涉信息。注冊(cè)信息是指涵蓋學(xué)生用戶(hù)、教師用戶(hù)、學(xué)校/企業(yè)用戶(hù)的數(shù)據(jù)。在線(xiàn)教學(xué)信息包括在線(xiàn)課堂信息、作業(yè)信息和考評(píng)成績(jī)信息。系統(tǒng)安全信息及客服信息包括客戶(hù)所使用設(shè)備的各種信息如操作系統(tǒng)、設(shè)備類(lèi)型等。同時(shí)還包括客戶(hù)通信通話(huà)信息等。最后其他功能所涉信息可能包括在線(xiàn)答題信息、云盤(pán)信息等。以上分類(lèi)則是個(gè)人信息具體在在線(xiàn)教育領(lǐng)域內(nèi)的表現(xiàn)形式。（二）在線(xiàn)教育企業(yè)不明確的隱私政策
2020年1月以來(lái)，“App個(gè)人信息舉報(bào)平臺(tái)”關(guān)于疫情期間在線(xiàn)教育類(lèi)收集個(gè)人信息被舉報(bào)的數(shù)量占比超過(guò)了80%，30%左右的App 沒(méi)有公開(kāi)隱私政策等收集使用個(gè)人信息的規(guī)則，另有15%左右的App雖提供了隱私政策，但是屬于格式文本，沒(méi)有詳細(xì)說(shuō)明收集個(gè)人信息的目的、方式、范圍。經(jīng)過(guò)調(diào)查，有些在線(xiàn)教育企業(yè)雖然制定了隱私政策，但隱私政策中并未提及個(gè)人信息保護(hù)的內(nèi)容，或者隱私政策雖然提到了個(gè)人信息保護(hù)，但隱私政策中提及的個(gè)人信息和企業(yè)實(shí)際收集的個(gè)人信息不一致。而隱私政策不明確會(huì)導(dǎo)致在線(xiàn)教育企業(yè)面臨合規(guī)問(wèn)題，對(duì)監(jiān)管部門(mén)來(lái)說(shuō)，這也是其重點(diǎn)關(guān)注和可能進(jìn)行處罰的情形。（三）忽略對(duì)未成年人個(gè)人信息的特別保護(hù)
在線(xiàn)教育企業(yè)所掌握的信息中，未成年的個(gè)人信息占有很大比重。由于未成年人的特殊性，國(guó)內(nèi)外對(duì)于未成年人的個(gè)人信息都給予了特殊的保護(hù)。在我國(guó)，未成年人（尤其是兒童）個(gè)人信息的系統(tǒng)保護(hù)制度正在逐步建立過(guò)程中。實(shí)踐中有的在線(xiàn)教育企業(yè)一味追求所收集信息的數(shù)量而忽略信息的類(lèi)別，因此收集到的信息不僅包括成人客戶(hù)信息，同時(shí)還涵蓋兒童和未成年人的個(gè)人信息，而實(shí)際上兒童和未成年人信息可能對(duì)于該企業(yè)的價(jià)值有限，但企業(yè)收集到的相關(guān)信息可能會(huì)使得企業(yè)面臨更加嚴(yán)格的監(jiān)管和更大的合規(guī)風(fēng)險(xiǎn)。（四）注意數(shù)據(jù)處理過(guò)程中不同類(lèi)別的數(shù)據(jù)處理關(guān)系
在線(xiàn)教育企業(yè)處理個(gè)人信息和數(shù)據(jù)的過(guò)程中，不同的主體擔(dān)任不同的角色，同時(shí)也形成不同的數(shù)據(jù)處理關(guān)系。而不同的數(shù)據(jù)處理關(guān)系中，在線(xiàn)教育企業(yè)對(duì)于企業(yè)數(shù)據(jù)要采取不同的處理方式。一般而言教育機(jī)構(gòu)和平臺(tái)運(yùn)營(yíng)企業(yè)是數(shù)據(jù)處理環(huán)節(jié)中的中心角色，對(duì)數(shù)據(jù)有控制權(quán)，但二者的關(guān)系有多種。對(duì)于使用自有技術(shù)平臺(tái)提供在線(xiàn)教育服務(wù)的教育機(jī)構(gòu)而言，其本身就是數(shù)據(jù)處理過(guò)程中唯一的控制者，其可以依照法律規(guī)定自行處理客戶(hù)信息。而有的教育機(jī)構(gòu)無(wú)法自行建立技術(shù)平臺(tái)，只能通過(guò)與其他技術(shù)平臺(tái)合作才能提供在線(xiàn)教育服務(wù)。在這種模式下，就存在不同的數(shù)據(jù)處理關(guān)系。對(duì)于注冊(cè)信息，平臺(tái)一般傾向于單獨(dú)收集，積累屬于自己的用戶(hù)。但對(duì)于在線(xiàn)教育過(guò)程中產(chǎn)生的信息，如學(xué)生的學(xué)習(xí)記錄，設(shè)備的狀態(tài)信息等，則可能是教育機(jī)構(gòu)單獨(dú)控制，委托平臺(tái)處理，或者教育機(jī)構(gòu)收集后共享給平臺(tái)，或者教育機(jī)構(gòu)與平臺(tái)共同控制。不同模式下，各方的權(quán)利、義務(wù)和責(zé)任是不同的。因此在線(xiàn)教育企業(yè)是扮演數(shù)據(jù)控制者獨(dú)立擁有個(gè)人信息數(shù)據(jù)，還是與其他企業(yè)共享客戶(hù)信息，或只是委托其他企業(yè)特定時(shí)期內(nèi)使用數(shù)據(jù)，不同模式對(duì)于在線(xiàn)教育企業(yè)的數(shù)據(jù)合規(guī)要求也是不同的。（五）網(wǎng)絡(luò)安全
總體上而言，網(wǎng)絡(luò)安全依然是國(guó)家監(jiān)控的重點(diǎn)。據(jù)統(tǒng)計(jì)數(shù)據(jù)，僅2020年上半年，網(wǎng)宿云安全平臺(tái)共檢測(cè)并攔截Web應(yīng)用共計(jì)42.24億次，為2019年同期的9倍，攻擊數(shù)量呈爆發(fā)式增長(zhǎng)。而在線(xiàn)教育企業(yè)數(shù)據(jù)安全和個(gè)人信息保護(hù)則是網(wǎng)絡(luò)數(shù)據(jù)安全框架下重要的組成部分。因此無(wú)論是從國(guó)家層面保護(hù)公民個(gè)人信息安全，還是從企業(yè)角度，網(wǎng)絡(luò)安全都是在線(xiàn)教育企業(yè)發(fā)展所需要關(guān)注的重點(diǎn)問(wèn)題。二
在線(xiàn)教育企業(yè)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)管控和個(gè)人信息保護(hù)的建議
根據(jù)上述討論，針對(duì)在線(xiàn)教育企業(yè)數(shù)據(jù)風(fēng)險(xiǎn)管控和個(gè)人信息保護(hù)，我們提出如下建議。（一）加強(qiáng)對(duì)在線(xiàn)教育企業(yè)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)管控
對(duì)于在線(xiàn)教育企業(yè)數(shù)據(jù)風(fēng)險(xiǎn)的管控，主要可以從服務(wù)器端、客戶(hù)端、數(shù)據(jù)傳輸以及備份及恢復(fù)四個(gè)方面進(jìn)行。其中，需要重點(diǎn)強(qiáng)調(diào)的是服務(wù)器端，除了建議利用具備安全管控的云服務(wù)器提高硬件設(shè)備水平，還應(yīng)當(dāng)對(duì)數(shù)據(jù)進(jìn)行加密處理。同時(shí)還應(yīng)當(dāng)重視對(duì)數(shù)據(jù)的備份和恢復(fù)方案，防止因服務(wù)器或者數(shù)據(jù)損壞后造成的嚴(yán)重后果。（二）落實(shí)在線(xiàn)教育企業(yè)的內(nèi)部治理
針對(duì)落實(shí)在線(xiàn)教育企業(yè)內(nèi)部治理，實(shí)踐中不同在線(xiàn)教育企業(yè)內(nèi)部治理框架差異巨大。有的在線(xiàn)教育企業(yè)屬于初創(chuàng)企業(yè)，沒(méi)有設(shè)立個(gè)人信息保護(hù)的職能部門(mén)。有的在線(xiàn)教育企業(yè)只設(shè)立了網(wǎng)絡(luò)安全部門(mén)，但沒(méi)有設(shè)立針對(duì)個(gè)人信息保護(hù)的職能機(jī)構(gòu)。為了落實(shí)在線(xiàn)教育企業(yè)對(duì)于個(gè)人信息的保護(hù)，建議IT/網(wǎng)絡(luò)安全部門(mén)與法務(wù)/合規(guī)部門(mén)共同承擔(dān)個(gè)人信息保護(hù)職責(zé)。具體而言，可以由合規(guī)部門(mén)總監(jiān)或IT部門(mén)總監(jiān)擔(dān)任個(gè)人信息保護(hù)部門(mén)的負(fù)責(zé)人，同時(shí)外加外部律師進(jìn)行協(xié)作。在線(xiàn)教育企業(yè)成立了專(zhuān)門(mén)針對(duì)個(gè)人信息保護(hù)的合規(guī)部門(mén)之后，該部門(mén)主要負(fù)責(zé)以下工作：1.跟蹤個(gè)人信息保護(hù)的最新立法和司法情況；2.向公司管理層提供針對(duì)個(gè)人信息保護(hù)的合規(guī)建議；3.對(duì)公司產(chǎn)品進(jìn)行合規(guī)評(píng)審；4.制定企業(yè)數(shù)據(jù)安全的應(yīng)急預(yù)案。（三）遵守個(gè)人信息處理各個(gè)環(huán)節(jié)的法律要求
除了落實(shí)內(nèi)部治理，在線(xiàn)教育企業(yè)也要遵守個(gè)人信息處理各個(gè)環(huán)節(jié)的法律要求。首先，在個(gè)人信息的收集階段，在線(xiàn)教育企業(yè)應(yīng)當(dāng)遵守合法性原則，最少必要原則。如果企業(yè)涉及多項(xiàng)業(yè)務(wù)功能，則要進(jìn)行拆分。并且要落實(shí)用戶(hù)授權(quán)，保證隱私政策的有效性。其次在個(gè)人信息的存儲(chǔ)階段，要注意信息的存儲(chǔ)期限，對(duì)于注冊(cè)信息可以長(zhǎng)期保留，但對(duì)于課程學(xué)習(xí)過(guò)程中產(chǎn)生的信息要確定存儲(chǔ)期限。特別注意的是，教育行業(yè)對(duì)于個(gè)人信息的存儲(chǔ)有著特殊的要求。一方面法律規(guī)定在線(xiàn)教育企業(yè)不能無(wú)限期保留個(gè)人信息，但另一方面法律也規(guī)定特定的個(gè)人數(shù)據(jù)在特定時(shí)間內(nèi)要保存，如涉及培訓(xùn)內(nèi)容和培訓(xùn)數(shù)據(jù)的信息，法律規(guī)定要留存一年以上，以便于主管部門(mén)進(jìn)行核查。直播教學(xué)影像要保留6個(gè)月，用戶(hù)的行為日志要保留一年以上等。 對(duì)于個(gè)人數(shù)據(jù)的使用，注意使用者要在數(shù)據(jù)原始范圍進(jìn)行使用。如果數(shù)據(jù)需要提供給其他主體對(duì)外使用，則要注意授權(quán)問(wèn)題，以及數(shù)據(jù)提供者要對(duì)下游數(shù)據(jù)接收方進(jìn)行監(jiān)管。并且原則上個(gè)人信息不能公開(kāi)披露，如果在特定情形下需要公開(kāi)披露，則要限定在最小范圍，并且進(jìn)行去標(biāo)識(shí)化的技術(shù)處理?？紤]到教育行業(yè)數(shù)據(jù)的敏感性，原則上相關(guān)數(shù)據(jù)應(yīng)在境內(nèi)存儲(chǔ)和處理，不宜傳輸出境。如果國(guó)內(nèi)教育企業(yè)在海外拓展業(yè)務(wù)時(shí)留存了國(guó)外個(gè)人數(shù)據(jù)，則教育企業(yè)要遵守當(dāng)?shù)貒?guó)家或組織有關(guān)個(gè)人數(shù)據(jù)保護(hù)的法律要求。（四）保證未成年人個(gè)人信息的告知同意
針對(duì)14周歲以下用戶(hù)，法律規(guī)定在線(xiàn)教育企業(yè)在獲取個(gè)人信息時(shí)要征求監(jiān)護(hù)人同意，并且要提示監(jiān)護(hù)人閱讀相關(guān)隱私政策。在線(xiàn)教育企業(yè)在收集未成年人信息的過(guò)程中，要避免收集未成年人精確的身份證信息，可以利用模糊選項(xiàng)確定對(duì)方年齡階段。根據(jù)《個(gè)人信息保護(hù)安全規(guī)范》第5.5條，“收集年滿(mǎn)14的未成年人的個(gè)人信息前，應(yīng)征得未成年人或其監(jiān)護(hù)人的明示同意，不滿(mǎn)14周歲的，應(yīng)征得其監(jiān)護(hù)人的明示同意”。2019年6月，國(guó)家網(wǎng)信辦發(fā)布了《兒童個(gè)人信息網(wǎng)絡(luò)保護(hù)規(guī)定（征求意見(jiàn)稿）》，其中提到了設(shè)置專(zhuān)門(mén)的兒童個(gè)人信息保護(hù)規(guī)則和用戶(hù)協(xié)議；設(shè)立個(gè)人信息保護(hù)專(zhuān)員或者指定專(zhuān)人負(fù)責(zé)兒童個(gè)人信息保護(hù)；超出目的和范圍使用時(shí)，應(yīng)當(dāng)再次征得兒童監(jiān)護(hù)人的明示同意的制度；緊急預(yù)案制度等?！秱€(gè)人信息保護(hù)法（草案）》第十五條規(guī)定“個(gè)人信息處理者知道或者應(yīng)當(dāng)知道其處理的個(gè)人信息為不滿(mǎn)十四周歲未成年人個(gè)人信息的, 應(yīng)當(dāng)取得其監(jiān)護(hù)人的同意?！北M管目前我國(guó)對(duì)于未成年人個(gè)人信息保護(hù)的法規(guī)仍待完善，但是可以預(yù)見(jiàn)，對(duì)于掌握大量未成年人個(gè)人信息的在線(xiàn)教育企業(yè)而言，加強(qiáng)對(duì)未成年人個(gè)人信息的保護(hù)是企業(yè)需要重點(diǎn)關(guān)注的問(wèn)題。（五）明確在線(xiàn)教育企業(yè)數(shù)據(jù)處理關(guān)系中的定位
明確不同主體在在數(shù)據(jù)處理關(guān)系中扮演的不同角色，有助于企業(yè)實(shí)現(xiàn)不同的合規(guī)要求。數(shù)據(jù)控制者是數(shù)據(jù)保護(hù)的主要義務(wù)承載主體，在處理個(gè)人信息的過(guò)程中需要嚴(yán)格遵守各項(xiàng)數(shù)據(jù)保護(hù)規(guī)則。如果定位為受托處理者，則要采取適當(dāng)技術(shù)手段保證數(shù)據(jù)安全，并履行以下三點(diǎn)主要義務(wù)：第一，不能超出約定范圍處理數(shù)據(jù)；第二，合同終止后要?jiǎng)h除相關(guān)信息數(shù)據(jù)；第三，不得擅自轉(zhuǎn)委托。
