(網(wǎng)經(jīng)社訊)今年來受新冠肺炎疫情影響，在線教育帶來了井噴式的增長，截至2020年3月，我國在線教育用戶規(guī)模達(dá)4.23億，較2018年底增長110.2%，占網(wǎng)民整體的46.8%。2020年初，全國大中小學(xué)校推遲開學(xué)，2.65億在校生普遍轉(zhuǎn)向線上課程，用戶需求得到充分釋放。同時(shí)，在線教育各類新模式、新技術(shù)、新業(yè)態(tài)紛紛涌現(xiàn)，刷新用戶教育消費(fèi)體驗(yàn)。線上教學(xué)有多種方式，比如個(gè)人直播、錄制授課、慕課(MOOC)授課、專用教室直播等，一些機(jī)構(gòu)將人工智能技術(shù)用到在線教育中，還原線下學(xué)習(xí)體驗(yàn)、提供個(gè)性化評測反饋。并且在線教育企業(yè)也在疫情期間開設(shè)大量課程，好未來（學(xué)而思）、網(wǎng)易有道、作業(yè)幫、猿輔導(dǎo)等在線教育公司爭相推出免費(fèi)直播課，阿里釘釘、騰訊課堂、ClassIn、Zoom等在線教育平臺(tái)和技術(shù)服務(wù)商幫助學(xué)校開設(shè)線上課程，快手、抖音、嗶哩嗶哩、虎牙直播等網(wǎng)絡(luò)平臺(tái)也紛紛著力打造教育板塊。數(shù)以億計(jì)傳統(tǒng)學(xué)校場景中的教師和學(xué)生得以深度體驗(yàn)線上教學(xué)。
“十四五”規(guī)劃已于近期公布，首次提出要發(fā)揮在線教育優(yōu)勢，完善終身學(xué)習(xí)體系，建設(shè)學(xué)習(xí)型社會(huì)，引發(fā)了各界關(guān)注。我國的在線教育迎來發(fā)展的寶貴機(jī)遇的同時(shí)，在線教育領(lǐng)域也出現(xiàn)了很多新問題。特別是在數(shù)據(jù)合規(guī)和個(gè)人信息保護(hù)方面，在線教育遭遇了前所未有的挑戰(zhàn)。數(shù)據(jù)合規(guī)方面，許多教育科技公司在幫助學(xué)校推進(jìn)線上化的同時(shí)，需要收集學(xué)生的個(gè)人信息和學(xué)習(xí)行為數(shù)據(jù)，繼而通過大數(shù)據(jù)分析改進(jìn)產(chǎn)品，而學(xué)校則對讓第三方接觸學(xué)生個(gè)人信息和學(xué)校的教育內(nèi)容資源有很大的顧慮。并且，在線教育行業(yè)所掌握的信息中，未成年人的個(gè)人信息占有很大比重。由于未成年人的特殊性，國內(nèi)外對于未成年人的個(gè)人信息都給予了特殊的保護(hù)。但實(shí)踐中多家線上教育的App、網(wǎng)站，缺乏未成年人隱私保護(hù)條款和設(shè)計(jì)。除此之外，在線教育企業(yè)未在用戶協(xié)議中對客戶提供信息的場景、目的、用途以及信息類型進(jìn)行列明；對學(xué)生提供個(gè)人信息的風(fēng)險(xiǎn)缺乏明確詳細(xì)的提示；缺乏可操作性的防止數(shù)據(jù)泄漏保護(hù)措施。這些無疑都存在巨大的信息安全隱患。
因此在國家不斷加強(qiáng)對個(gè)人信息保護(hù)的背景下，我們對在線教育的相關(guān)法律風(fēng)險(xiǎn)進(jìn)行分析，并提出相關(guān)法律風(fēng)險(xiǎn)防范建議。
一
在線教育企業(yè)網(wǎng)絡(luò)安全和個(gè)人信息保護(hù)的法律風(fēng)險(xiǎn)
從2019年開始，公安部針對個(gè)人信息保護(hù)開始進(jìn)行專項(xiàng)治理，對于侵犯個(gè)人信息的企業(yè)和行為，會(huì)向社會(huì)公示和進(jìn)行相應(yīng)的處罰，甚至一些互聯(lián)網(wǎng)企業(yè)的產(chǎn)品被迫從應(yīng)用市場下架，這對企業(yè)的發(fā)展會(huì)造成嚴(yán)重影響。通常而言，在線教育企業(yè)在網(wǎng)絡(luò)安全和個(gè)人信息保護(hù)方面會(huì)面臨以下法律風(fēng)險(xiǎn)：（一）個(gè)人信息內(nèi)涵的擴(kuò)展
討論在線教育企業(yè)保護(hù)個(gè)人信息的前提應(yīng)當(dāng)明確個(gè)人信息的內(nèi)涵和定義。目前中國法律對“個(gè)人信息”的定義有兩種立法模式，第一種將個(gè)人信息定義為“可識(shí)別的個(gè)人信息”。民法典和《網(wǎng)絡(luò)安全法》采用此種立法模式。根據(jù)民法典第一千零三十四條和《網(wǎng)絡(luò)安全法》第七十六條的規(guī)定，只有“可識(shí)別的個(gè)人信息”才被認(rèn)定為個(gè)人信息。而第二種立法模式采用“識(shí)別+關(guān)聯(lián)”的立法模式，將“可識(shí)別的個(gè)人信息”和“可關(guān)聯(lián)到個(gè)人的信息”均歸入個(gè)人信息的范疇。根據(jù)《個(gè)人信息保護(hù)法（草案）》第四條、《最高人民法院、最高人民檢察院關(guān)于辦理侵犯公民個(gè)人信息刑事案件適用法律若干問題的解釋》第一條和《個(gè)人信息安全規(guī)范》第3.1條的規(guī)定，不僅將可識(shí)別出個(gè)人的信息認(rèn)定為個(gè)人信息，并且與其他信息結(jié)合反映自然人活動(dòng)情況的信息也被認(rèn)定在個(gè)人信息的范疇。相對比第一種立法模式，這種立法模式下“個(gè)人信息”的內(nèi)涵的更加廣泛，更有利于對個(gè)人信息的保護(hù)。隨著國家對個(gè)人信息保護(hù)的不斷加強(qiáng)和對數(shù)據(jù)合規(guī)要求的不斷提高，結(jié)合即將要出臺(tái)的《個(gè)人信息保護(hù)法》所采取的立法態(tài)度，第二種立法模式可能是未來的趨勢，從而對個(gè)人信息進(jìn)行更加全面的保護(hù)。而對于在線教育領(lǐng)域，個(gè)人信息的內(nèi)涵就更加具體。在線教育所涉及的個(gè)人信息可分為以下四類：注冊信息、在線教學(xué)信息、系統(tǒng)安全及客服信息以及其他功能所涉信息。注冊信息是指涵蓋學(xué)生用戶、教師用戶、學(xué)校/企業(yè)用戶的數(shù)據(jù)。在線教學(xué)信息包括在線課堂信息、作業(yè)信息和考評成績信息。系統(tǒng)安全信息及客服信息包括客戶所使用設(shè)備的各種信息如操作系統(tǒng)、設(shè)備類型等。同時(shí)還包括客戶通信通話信息等。最后其他功能所涉信息可能包括在線答題信息、云盤信息等。以上分類則是個(gè)人信息具體在在線教育領(lǐng)域內(nèi)的表現(xiàn)形式。（二）在線教育企業(yè)不明確的隱私政策
2020年1月以來，“App個(gè)人信息舉報(bào)平臺(tái)”關(guān)于疫情期間在線教育類收集個(gè)人信息被舉報(bào)的數(shù)量占比超過了80%，30%左右的App 沒有公開隱私政策等收集使用個(gè)人信息的規(guī)則，另有15%左右的App雖提供了隱私政策，但是屬于格式文本，沒有詳細(xì)說明收集個(gè)人信息的目的、方式、范圍。經(jīng)過調(diào)查，有些在線教育企業(yè)雖然制定了隱私政策，但隱私政策中并未提及個(gè)人信息保護(hù)的內(nèi)容，或者隱私政策雖然提到了個(gè)人信息保護(hù)，但隱私政策中提及的個(gè)人信息和企業(yè)實(shí)際收集的個(gè)人信息不一致。而隱私政策不明確會(huì)導(dǎo)致在線教育企業(yè)面臨合規(guī)問題，對監(jiān)管部門來說，這也是其重點(diǎn)關(guān)注和可能進(jìn)行處罰的情形。（三）忽略對未成年人個(gè)人信息的特別保護(hù)
在線教育企業(yè)所掌握的信息中，未成年的個(gè)人信息占有很大比重。由于未成年人的特殊性，國內(nèi)外對于未成年人的個(gè)人信息都給予了特殊的保護(hù)。在我國，未成年人（尤其是兒童）個(gè)人信息的系統(tǒng)保護(hù)制度正在逐步建立過程中。實(shí)踐中有的在線教育企業(yè)一味追求所收集信息的數(shù)量而忽略信息的類別，因此收集到的信息不僅包括成人客戶信息，同時(shí)還涵蓋兒童和未成年人的個(gè)人信息，而實(shí)際上兒童和未成年人信息可能對于該企業(yè)的價(jià)值有限，但企業(yè)收集到的相關(guān)信息可能會(huì)使得企業(yè)面臨更加嚴(yán)格的監(jiān)管和更大的合規(guī)風(fēng)險(xiǎn)。（四）注意數(shù)據(jù)處理過程中不同類別的數(shù)據(jù)處理關(guān)系
在線教育企業(yè)處理個(gè)人信息和數(shù)據(jù)的過程中，不同的主體擔(dān)任不同的角色，同時(shí)也形成不同的數(shù)據(jù)處理關(guān)系。而不同的數(shù)據(jù)處理關(guān)系中，在線教育企業(yè)對于企業(yè)數(shù)據(jù)要采取不同的處理方式。一般而言教育機(jī)構(gòu)和平臺(tái)運(yùn)營企業(yè)是數(shù)據(jù)處理環(huán)節(jié)中的中心角色，對數(shù)據(jù)有控制權(quán)，但二者的關(guān)系有多種。對于使用自有技術(shù)平臺(tái)提供在線教育服務(wù)的教育機(jī)構(gòu)而言，其本身就是數(shù)據(jù)處理過程中唯一的控制者，其可以依照法律規(guī)定自行處理客戶信息。而有的教育機(jī)構(gòu)無法自行建立技術(shù)平臺(tái)，只能通過與其他技術(shù)平臺(tái)合作才能提供在線教育服務(wù)。在這種模式下，就存在不同的數(shù)據(jù)處理關(guān)系。對于注冊信息，平臺(tái)一般傾向于單獨(dú)收集，積累屬于自己的用戶。但對于在線教育過程中產(chǎn)生的信息，如學(xué)生的學(xué)習(xí)記錄，設(shè)備的狀態(tài)信息等，則可能是教育機(jī)構(gòu)單獨(dú)控制，委托平臺(tái)處理，或者教育機(jī)構(gòu)收集后共享給平臺(tái)，或者教育機(jī)構(gòu)與平臺(tái)共同控制。不同模式下，各方的權(quán)利、義務(wù)和責(zé)任是不同的。因此在線教育企業(yè)是扮演數(shù)據(jù)控制者獨(dú)立擁有個(gè)人信息數(shù)據(jù)，還是與其他企業(yè)共享客戶信息，或只是委托其他企業(yè)特定時(shí)期內(nèi)使用數(shù)據(jù)，不同模式對于在線教育企業(yè)的數(shù)據(jù)合規(guī)要求也是不同的。（五）網(wǎng)絡(luò)安全
總體上而言，網(wǎng)絡(luò)安全依然是國家監(jiān)控的重點(diǎn)。據(jù)統(tǒng)計(jì)數(shù)據(jù)，僅2020年上半年，網(wǎng)宿云安全平臺(tái)共檢測并攔截Web應(yīng)用共計(jì)42.24億次，為2019年同期的9倍，攻擊數(shù)量呈爆發(fā)式增長。而在線教育企業(yè)數(shù)據(jù)安全和個(gè)人信息保護(hù)則是網(wǎng)絡(luò)數(shù)據(jù)安全框架下重要的組成部分。因此無論是從國家層面保護(hù)公民個(gè)人信息安全，還是從企業(yè)角度，網(wǎng)絡(luò)安全都是在線教育企業(yè)發(fā)展所需要關(guān)注的重點(diǎn)問題。二
在線教育企業(yè)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)管控和個(gè)人信息保護(hù)的建議
根據(jù)上述討論，針對在線教育企業(yè)數(shù)據(jù)風(fēng)險(xiǎn)管控和個(gè)人信息保護(hù)，我們提出如下建議。（一）加強(qiáng)對在線教育企業(yè)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)管控
對于在線教育企業(yè)數(shù)據(jù)風(fēng)險(xiǎn)的管控，主要可以從服務(wù)器端、客戶端、數(shù)據(jù)傳輸以及備份及恢復(fù)四個(gè)方面進(jìn)行。其中，需要重點(diǎn)強(qiáng)調(diào)的是服務(wù)器端，除了建議利用具備安全管控的云服務(wù)器提高硬件設(shè)備水平，還應(yīng)當(dāng)對數(shù)據(jù)進(jìn)行加密處理。同時(shí)還應(yīng)當(dāng)重視對數(shù)據(jù)的備份和恢復(fù)方案，防止因服務(wù)器或者數(shù)據(jù)損壞后造成的嚴(yán)重后果。（二）落實(shí)在線教育企業(yè)的內(nèi)部治理
針對落實(shí)在線教育企業(yè)內(nèi)部治理，實(shí)踐中不同在線教育企業(yè)內(nèi)部治理框架差異巨大。有的在線教育企業(yè)屬于初創(chuàng)企業(yè)，沒有設(shè)立個(gè)人信息保護(hù)的職能部門。有的在線教育企業(yè)只設(shè)立了網(wǎng)絡(luò)安全部門，但沒有設(shè)立針對個(gè)人信息保護(hù)的職能機(jī)構(gòu)。為了落實(shí)在線教育企業(yè)對于個(gè)人信息的保護(hù)，建議IT/網(wǎng)絡(luò)安全部門與法務(wù)/合規(guī)部門共同承擔(dān)個(gè)人信息保護(hù)職責(zé)。具體而言，可以由合規(guī)部門總監(jiān)或IT部門總監(jiān)擔(dān)任個(gè)人信息保護(hù)部門的負(fù)責(zé)人，同時(shí)外加外部律師進(jìn)行協(xié)作。在線教育企業(yè)成立了專門針對個(gè)人信息保護(hù)的合規(guī)部門之后，該部門主要負(fù)責(zé)以下工作：1.跟蹤個(gè)人信息保護(hù)的最新立法和司法情況；2.向公司管理層提供針對個(gè)人信息保護(hù)的合規(guī)建議；3.對公司產(chǎn)品進(jìn)行合規(guī)評審；4.制定企業(yè)數(shù)據(jù)安全的應(yīng)急預(yù)案。（三）遵守個(gè)人信息處理各個(gè)環(huán)節(jié)的法律要求
除了落實(shí)內(nèi)部治理，在線教育企業(yè)也要遵守個(gè)人信息處理各個(gè)環(huán)節(jié)的法律要求。首先，在個(gè)人信息的收集階段，在線教育企業(yè)應(yīng)當(dāng)遵守合法性原則，最少必要原則。如果企業(yè)涉及多項(xiàng)業(yè)務(wù)功能，則要進(jìn)行拆分。并且要落實(shí)用戶授權(quán)，保證隱私政策的有效性。其次在個(gè)人信息的存儲(chǔ)階段，要注意信息的存儲(chǔ)期限，對于注冊信息可以長期保留，但對于課程學(xué)習(xí)過程中產(chǎn)生的信息要確定存儲(chǔ)期限。特別注意的是，教育行業(yè)對于個(gè)人信息的存儲(chǔ)有著特殊的要求。一方面法律規(guī)定在線教育企業(yè)不能無限期保留個(gè)人信息，但另一方面法律也規(guī)定特定的個(gè)人數(shù)據(jù)在特定時(shí)間內(nèi)要保存，如涉及培訓(xùn)內(nèi)容和培訓(xùn)數(shù)據(jù)的信息，法律規(guī)定要留存一年以上，以便于主管部門進(jìn)行核查。直播教學(xué)影像要保留6個(gè)月，用戶的行為日志要保留一年以上等。 對于個(gè)人數(shù)據(jù)的使用，注意使用者要在數(shù)據(jù)原始范圍進(jìn)行使用。如果數(shù)據(jù)需要提供給其他主體對外使用，則要注意授權(quán)問題，以及數(shù)據(jù)提供者要對下游數(shù)據(jù)接收方進(jìn)行監(jiān)管。并且原則上個(gè)人信息不能公開披露，如果在特定情形下需要公開披露，則要限定在最小范圍，并且進(jìn)行去標(biāo)識(shí)化的技術(shù)處理?？紤]到教育行業(yè)數(shù)據(jù)的敏感性，原則上相關(guān)數(shù)據(jù)應(yīng)在境內(nèi)存儲(chǔ)和處理，不宜傳輸出境。如果國內(nèi)教育企業(yè)在海外拓展業(yè)務(wù)時(shí)留存了國外個(gè)人數(shù)據(jù)，則教育企業(yè)要遵守當(dāng)?shù)貒一蚪M織有關(guān)個(gè)人數(shù)據(jù)保護(hù)的法律要求。（四）保證未成年人個(gè)人信息的告知同意
針對14周歲以下用戶，法律規(guī)定在線教育企業(yè)在獲取個(gè)人信息時(shí)要征求監(jiān)護(hù)人同意，并且要提示監(jiān)護(hù)人閱讀相關(guān)隱私政策。在線教育企業(yè)在收集未成年人信息的過程中，要避免收集未成年人精確的身份證信息，可以利用模糊選項(xiàng)確定對方年齡階段。根據(jù)《個(gè)人信息保護(hù)安全規(guī)范》第5.5條，“收集年滿14的未成年人的個(gè)人信息前，應(yīng)征得未成年人或其監(jiān)護(hù)人的明示同意，不滿14周歲的，應(yīng)征得其監(jiān)護(hù)人的明示同意”。2019年6月，國家網(wǎng)信辦發(fā)布了《兒童個(gè)人信息網(wǎng)絡(luò)保護(hù)規(guī)定（征求意見稿）》，其中提到了設(shè)置專門的兒童個(gè)人信息保護(hù)規(guī)則和用戶協(xié)議；設(shè)立個(gè)人信息保護(hù)專員或者指定專人負(fù)責(zé)兒童個(gè)人信息保護(hù)；超出目的和范圍使用時(shí)，應(yīng)當(dāng)再次征得兒童監(jiān)護(hù)人的明示同意的制度；緊急預(yù)案制度等?！秱€(gè)人信息保護(hù)法（草案）》第十五條規(guī)定“個(gè)人信息處理者知道或者應(yīng)當(dāng)知道其處理的個(gè)人信息為不滿十四周歲未成年人個(gè)人信息的, 應(yīng)當(dāng)取得其監(jiān)護(hù)人的同意?！北M管目前我國對于未成年人個(gè)人信息保護(hù)的法規(guī)仍待完善，但是可以預(yù)見，對于掌握大量未成年人個(gè)人信息的在線教育企業(yè)而言，加強(qiáng)對未成年人個(gè)人信息的保護(hù)是企業(yè)需要重點(diǎn)關(guān)注的問題。（五）明確在線教育企業(yè)數(shù)據(jù)處理關(guān)系中的定位
明確不同主體在在數(shù)據(jù)處理關(guān)系中扮演的不同角色，有助于企業(yè)實(shí)現(xiàn)不同的合規(guī)要求。數(shù)據(jù)控制者是數(shù)據(jù)保護(hù)的主要義務(wù)承載主體，在處理個(gè)人信息的過程中需要嚴(yán)格遵守各項(xiàng)數(shù)據(jù)保護(hù)規(guī)則。如果定位為受托處理者，則要采取適當(dāng)技術(shù)手段保證數(shù)據(jù)安全，并履行以下三點(diǎn)主要義務(wù)：第一，不能超出約定范圍處理數(shù)據(jù)；第二，合同終止后要?jiǎng)h除相關(guān)信息數(shù)據(jù)；第三，不得擅自轉(zhuǎn)委托。
