美国高校对个人信息保护的经验与启示.pdfVIP

美国高校对个人信息保护的经验与启示

作者：姜晓川杨建锋戴雅欢

来源：《北京教育·高教版》2020年第03期

摘要：大数据时代，加强对个人信息的保护已经成为摆在各国高校面前一个极具挑战的

问题。事实上，美国在个人信息及隐私权保护方面积累了丰富的立法和实践经验。在分析个人

信息与隐私等概念异同的基础上，依次介绍了美国联邦层面、州层面促进高校对个人信息进行

保护的立法规范，并通过对典型美国高校网络隐私安全政策的文本进行分析，提出了对我国高

等教育机构适时采取措施规范个人信息使用行为的几点启示。

关键词：个人信息;高等教育机构;隐私政策;数据安全

大数据时代，如何加强对个人信息的保护已经成为摆在高校面前一个极具挑战的问题。由

于高校个人信息的收集、存储和利用不再局限于纸质形式，数字和网络的方式已经得到了广泛

的运用，这对个人信息的保护与规制提出了新的要求。考虑到美国在个人信息及隐私权保护方

面丰富的立法和实践经验，本文在分析个人信息与隐私等概念异同的基础上，依次分析美国联

邦层面、州层面的立法以及高校对个人信息的保护政策，以期对我国高等教育机构提供几点有

益的启示。

高校的个人信息及其性质

《中华人民共和国民法总则》第一百一十条规定，自然人的个人信息受法律保护。美国

《隐私权法》就政府机构对个人信息的采集、使用、公开和保密问题作出了详细规定。可见，

中美两国都对自然人的个人信息给予了立法保护。所不同的是，在中国的提法比较多见的是

“个人信息权”，隐私权被包含在人格权中并非一项独立的民事权利;美国则从立法到司法都广

泛运用“隐私权”的概念，而在大数据时代这些隐私权政策大部分内容都是在规范处理个人信息

的行为。毫无疑问，高校在教学管理与科研过程中收集到的数字化个人信息，尤其是“可识别

的个人身份信息”在中美两国都作为法定权利获得保护。

高校大学生的个人信息就是一切识别大学生本人信息的总和。考虑到高校学生绝大多数已

是完全民事行为能力人，他们对于个人信息的保护已经具有一定的自觉性，所以即使是在具有

丰富隐私权立法经验的美国，对高等教育阶段个人信息的保护力度也远不及义务教育阶段。但

是，由于包括云计算在内的各类信息技术手段在高校的日益广泛运用，加强对高校个人信息的

保护已经在业界形成共识并在各州逐步推进。值得注意的是，基于美国的联邦和州平行立法的

特点，我们不仅要了解联邦层面对隐私权的保护，同时还要高度重视各州对高校个人信息的规

制，它们共同指引着各高等教育机构的隐私政策的制定，进而影响高校处理个人信息的行为。

联邦层面：为个人信息保护提供统一规范

在美国，个人信息被认为是“隐私权”的一部分，受到联邦宪法第四修正案的保护。1967

年，美国联邦最高法院在凯茨诉美国（Katzv.UnitedStates）案中适用联邦宪法第四修正案审

理政府侵犯个人隐私权案件时创立了“合理的隐私期待”标准。依据该标准，判定他人是否享有

隐私要分两部分：主观要件，即个人的行为是否表现出他确实享有主观的隐私期待;客观要

件，即社会是否认可他的隐私期待是“合理的”。从该规则诞生至今，在美国该原则已从宪法领

域扩充适用于侵权法领域，并被英国、加拿大、新西兰和欧洲人权法院所吸收、借鉴。[1]

1974年，联邦《家庭教育权利和隐私法案》的通过，标志着美国第一次确立了对学生隐

私权的专门立法保护。该法案前后经过九次修订，最近一次的修改时间是2001年。所有接受

联邦资金资助的学校都受《家庭教育权利和隐私法案》的管辖，它规范了学校从学生“教育记

录”中披露可识别的“个人身份信息”的范围和界限。教育记录，是指由教育机构或院校或由该

等级机构或院校代理人所保存的、载有与学生直接相关的资料的记录，包括学生成绩和纪律记

录等。该法案规定，除学生本人、家长、教师以及学校行政管理者外，其他任何第三人不得获

取学生的教育记录。对于获准查阅信息的人员，该法要求学校记录所有这些曾查阅学生的教育

信息的人员名单以及他们查阅该资料的原因。

之后，美国联邦1996年的《健康保险携带和问责法》规定了为了研究目的，授权机构使

用和披露的受保护的“个人健康信息”所必须满足的条件;1999年，联邦致力于金融服务现代化

的《格雷姆—里奇—比利雷法案》也对高等教育机构如何收集、存储和使用学生财务状况信息

（如学费的支付或资助方式）做出了规定。当然，高校对学生个人信息的保密义务也存在一些

例外。校方在管理各类资助项目、学术研究时，基于合法教育目的，可以使用或共享学生的个