edtech-privacy-assessment

EdTech 隐私评估 — 教育技术中的儿童数据

概述

处理儿童个人数据的教育技术（EdTech）平台处于多个隐私框架的交汇点。在美国，COPPA 的学校例外条款（16 CFR 312.5(c)(4)）允许学校代表家长同意在教育情境中收集儿童数据，但仅限于学校授权的教育目的。《家庭教育权利和隐私法》（FERPA，20 U.S.C. Section 1232g）适用于接受联邦资助的教育机构或院校所维护的教育记录。在欧盟，GDPR 通过第 8 条（儿童的家长同意）和序言第 38 条（对儿童的特别保护）提供更严格的保护。英国 AADC 适用于可能由儿童访问的 EdTech 服务。本技能为评估需要遵循这些重叠要求的 EdTech 平台提供了一个框架。

监管框架

COPPA 学校例外条款 — 16 CFR 312.5(c)(4)

在以下情况下，COPPA 允许运营者为学校的使用和利益收集儿童个人信息，且不得用于其他商业目的，无需直接取得可验证的家长同意：

1. 学校已代表学生授权收集个人信息
2. 收集行为仅用于学校在教育情境中的使用和利益
3. 运营者不会将所收集的信息用于与教育情境无关的任何商业目的
4. 运营者不会向非学校第三方披露信息

关键限制：

• 学校是家长的代理人；学校并不拥有无限权限
• 学校只能同意收集学校授权的教育活动所必需的信息
• 如果运营者希望将数据用于商业目的（包括广告），则必须直接取得家长可验证的同意
• FTC 表示，学校“不应能够代表家长同意收集教育目的所不需要的信息”（FTC COPPA FAQ J.2）

FERPA — 20 U.S.C. Section 1232g

FERPA 保护由接受联邦资助的教育机构或院校维护的教育记录。EdTech 平台可依据学校官员例外条款，以“学校官员”的身份接收教育记录。

主要条款：

• 教育记录：与学生直接相关，并由教育机构或院校维护，或由代表该机构或院校行事的人员维护的记录、档案、文件和其他材料
• 学校官员例外条款（34 CFR 99.31(a)(1)）：教育机构或院校可向承包商、顾问、志愿者或其他受托方披露教育记录，前提是该机构或院校已将机构服务或职能外包给该方；该方须履行机构服务或职能，受该机构或院校的直接控制，仅将教育记录用于披露所依据的目的，并符合该机构或院校 FERPA 年度通知中规定的标准
• 合法教育利益：学校官员必须对教育记录具有合法的教育利益，这意味着该官员需要查阅记录以履行其专业职责
• 目录信息例外条款（34 CFR 99.37）：如果学校已通知家长并给予他们选择退出的机会，则无需征得同意即可披露目录信息（姓名、地址、电话号码、电子邮箱、出生日期和地点、荣誉及活动）

FERPA 与 COPPA 的交互

场景	FERPA 适用？	COPPA 适用？	结果
学校主导使用 EdTech 平台	是	是（可适用学校例外）	学校根据 COPPA 代表学生同意；FERPA 学校官员例外规定数据处理方式
学生在家中独立使用 EdTech	否（学校未维护相关数据）	是（完全适用 COPPA）	运营方必须直接取得可验证的家长同意
EdTech 供应商从学校接收教育记录	是	是（学校例外）	FERPA 和 COPPA 均适用；供应商必须同时遵守两者
EdTech 供应商将数据用于广告	违反 FERPA（用于非教育目的）	违反 COPPA（超出学校例外范围）	两项法律均遭违反；学校例外不适用

GDPR 对 EdTech 的适用

在欧盟，不存在 COPPA 的学校例外。使用 EdTech 平台的学校必须遵守：

• 第 6 条 合法依据：学校可依据第 6(1)(e) 条（公共任务）处理教育目的所必需的数据；若公共任务不适用，也可依据第 6(1)(f) 条（合法利益）
• 第 8 条 家长同意：如果 EdTech 平台以同意作为处理儿童数据的合法依据，则未达到适用国家规定年龄门槛的儿童必须取得家长同意
• 第 28 条 处理者协议：如果学校是数据控制者，而 EdTech 供应商是数据处理者，则必须签订符合要求的第 28 条数据处理协议
• 控制者认定：学校通常是教育数据处理的控制者；EdTech 供应商是处理者。但如果供应商为自身目的（产品改进、分析、广告）处理数据，则会成为这些目的的控制者或联合控制者

学生隐私承诺（FPF/SIIA）

学生隐私承诺由 Future of Privacy Forum（FPF）和 Software and Information Industry Association（SIIA）管理，是一项自愿的行业承诺。签署方承诺：

1. 不出售学生个人信息
2. 不使用来自教育环境的数据对学生进行行为定向广告
3. 不创建学生的广告画像
4. 不在未通知且未提供选择的情况下更改隐私政策
5. 严格限制数据保留和删除
6. 支持授权方访问和更正学生信息
7. 仅将学生数据用于获授权的教育／学校目的，或按家长／学生的指示使用
8. 维护全面的数据安全计划
9. 除合法教育目的外，不披露学生信息
10. 要求下游接收方遵守这些承诺

截至 2024 年，已有 400 多家 EdTech 公司签署该承诺。

EdTech 隐私评估框架

评估阶段 1：平台分类

问题	重要性
平台是否面向 13 岁以下儿童？	COPPA 完全适用；必须设置年龄门槛并取得家长同意
平台是否在学校环境中使用？	可能适用 COPPA 学校例外；也可能适用 FERPA
学校是否指示学生使用该平台？	这会增强学校例外适用的可能性
平台是否在欧盟／英国运营？	适用 GDPR／UK GDPR；必须遵守 AADC
平台是否收集持久标识符？	达到 COPPA 个人信息门槛
平台是否将收集的数据用于非教育目的？	学校例外不适用于非教育用途

评估阶段 2：数据映射

对于 EdTech 平台收集的每项数据：

数据元素	收集方式	教育用途	非教育用途	保留期限	共享对象
学生姓名	创建账户	在课堂中识别学生	无	学年结束后 30 天	教师、家长
电子邮件地址	登录凭据	身份验证	无	账户存续期间	无
学习进度	自动跟踪	自适应内容、评分	产品改进（汇总数据）	学年结束后 30 天	教师、家长
作业提交内容	学生上传	评估、反馈	无	学年结束后 30 天	教师
互动日志	自动收集	功能使用分析	产品改进（汇总数据）	90 天	无（仅供内部使用）
设备标识符	自动收集	会话管理	无	仅限会话期间	无

评估阶段 3：法律依据评估

管辖区	合法依据	条件	所需文件
美国（COPPA）	学校例外情形下的同意	学校已授权使用；数据仅用于教育目的；运营方不得将数据用于商业用途	与学校签订的书面协议；运营方符合 COPPA 要求的隐私政策
美国（FERPA）	学校官员例外情形	运营方提供机构服务；受学校直接控制；仅将记录用于获准用途	学校的 FERPA 年度通知将运营方列为学校官员
欧盟（GDPR）	第 6(1)(e) 条公共任务	学校的教育使命符合公共任务；处理对于履行该任务是必要的	学校的处理活动记录（第 30 条）；学校与供应商之间的数据处理协议（第 28 条）
英国（GDPR + AADC）	第 6(1)(e) 条公共任务，或第 6(1)(f) 条合法利益	与欧盟 GDPR 相同，另须符合 AADC 的全部 15 项标准	DPIA；AADC 符合性评估

评估阶段 4：合同要求

学校与 EdTech 供应商之间的协议必须涵盖：

1. 数据处理范围：具体的数据元素、用途和保留期限
2. 禁止商业用途：供应商不得将学生数据用于广告、营销或非教育类产品开发
3. 子处理方限制：供应商必须披露所有子处理方，并确保其遵守同等限制
4. 数据删除义务：供应商必须根据学校要求，并在合同期结束时删除所有学生数据
5. 学年结束时删除：除非学校明确授权保留，否则供应商必须在每个学年结束时删除或返还所有学生数据
6. 安全要求：具体的技术和组织安全措施
7. 违规通知：发生影响学生数据的数据泄露后，供应商必须在 24-72 小时内通知学校
8. 审计权：学校有权审计供应商对协议的遵守情况
9. FERPA 合规（美国）：供应商被确认为学校官员；数据仅用于正当的教育利益
10. COPPA 合规（美国）：供应商承认学校例外情形的限制；不得将数据用于非教育类商业用途

评估阶段 5：年末数据生命周期

学年结束是 EdTech 平台数据生命周期中的关键事件。必须实施以下流程：

学年结束前 60 天：

1. 通知学校管理员，即将启动年末数据生命周期流程
2. 提供数据导出选项：学校可以下载所有学生数据，格式包括 CSV、JSON、SIF
3. 确认学校是否授权将任何数据保留至下一学年

学年结束前 30 天：

1. 通知教师，学生数据将被归档
2. 生成年末学生进度报告，供学校留存
3. 将学生创建的内容（作业、项目）导出至学校指定的存储位置

学年结束时（学年最后一天）：

1. 停用与本学年相关的所有学生账户
2. 将学生数据归档至待删除队列（不立即删除，以便处理学校的临时请求）

学年结束后 30 天：

1. 执行删除待删除队列中的所有学生数据，除非学校已授权保留
2. 删除范围：主数据库、搜索索引、分析数据库、缓存、日志
3. 为学校生成删除证明

学年结束后 60 天：

1. 清除包含已删除学生数据的归档备份
2. 向学校提供最终删除确认
3. 仅保留删除证明和学校协议（不含学生个人数据）

BrightPath Learning Inc. — EdTech 隐私评估

平台概况

BrightPath Learning Inc. 运营一个教育游戏平台，部署于学校并面向美国、英国和欧盟的家庭用户开放。该平台服务于 5 至 15 岁的儿童。

评估结果

分类：

• 面向 13 岁以下儿童：是
• 在学校场景中使用：是（部署于 2,400 所学校）
• 也可供家庭（非学校）使用：是
• 在美国、英国、欧盟运营：是

双轨合规：

• 学校部署：学校主导的使用适用 COPPA 学校例外；适用 FERPA 学校官员例外；在欧盟依据 GDPR 第 6(1)(e) 条执行公共任务
• 家庭使用：全面适用 COPPA（通过信用卡验证获得家长同意）；在欧盟须依据 GDPR 第 8 条获得家长同意

数据实践评估：

实践	状态	备注
数据仅用于教育目的	通过	无广告、无行为画像分析、无商业用途
不出售学生数据	通过	书面政策禁止；与学校签订合同予以承诺
向学生投放行为广告	不适用	平台无广告；没有广告基础设施
数据保留时间限制在学年内	通过	学年结束后 30 天自动删除；学校可申请提前删除
向学校披露子处理方名单	通过	AWS（托管）、SendGrid（家长通知）；双方均受 DPA 约束
学校协议包含所有必要条款	通过	每年审核；涵盖 COPPA、FERPA、GDPR、安全和删除
数据泄露通知流程	通过	24 小时内通知学校；72 小时内通知 DPA（GDPR）
家长访问机制（家庭使用）	通过	家长控制面板支持查看、下载和删除数据
学生隐私承诺签署方	是	于 2024 年签署；每年进行合规认证

各州学生隐私法律

美国多个州已颁布学生隐私法律，对 EdTech 供应商提出了额外要求：

州	法律	主要要求
加利福尼亚州	《学生在线个人信息保护法》（SOPIPA，2014 年）	禁止将学生数据用于非教育广告；禁止出售学生数据；要求在不再需要数据时将其删除
纽约州	《教育法》第 2-d 节（2014 年，2020 年修订）	要求制定数据隐私与安全计划；通知家长第三方访问情况；发生泄露时通知；对数据进行加密
科罗拉多州	《学生数据透明度与安全法》（2016 年）	要求学校合同明确数据元素、用途和安全措施；禁止针对学生投放定向广告
康涅狄格州	《学生数据隐私法》（PA 16-189，2016 年）	禁止将学生数据用于定向广告；要求运营方在收到请求后 30 天内删除数据
伊利诺伊州	《学生在线个人信息保护法》（SOPPA，2021 年）	要求通知家长；禁止定向广告、建立商业档案和出售学生数据；强制要求通知数据泄露事件
弗吉尼亚州	《学生数据治理计划》（2015 年）	要求学校采纳数据治理计划；供应商必须遵守学校的数据治理政策
得克萨斯州	《SCOPE 法案》（2017 年）	禁止将受涵盖信息用于非教育用途；要求遵守安全标准；强制要求删除数据
马里兰州	《学生数据隐私法》（2015 年）	禁止将学生数据用于广告；要求保障数据安全；合同结束时必须删除数据

常见合规失误

1. 超出学校例外范围：未经家长另行同意，将依据 COPPA 学校例外收集的数据用于改进产品、广告或其他商业目的
2. 年末未删除数据：教育用途到期后，仍无限期保留学生数据
3. 学校协议不完善：合同缺少分处理方披露、删除义务、审计权或泄露通知时限等关键条款
4. 将所有数据收集都视为经学校授权：学生在家中将 EdTech 平台用于非学校用途时，学校例外不适用，运营方必须直接取得家长同意
5. 不符合 FERPA 要求：未确保供应商被指定为学校官员，或将教育记录用于超出合法教育利益范围的用途
6. 非教育功能未单独征求同意：将教育功能的同意与需要另行征求同意的可选功能（游戏化奖励、社交功能）捆绑

执法案例

• Edmodo（FTC，2023 年）：因作为面向学校的 EdTech 平台运营期间收集并将儿童个人信息用于广告，超出 COPPA 学校例外范围，被处以 600 万美元罚款。
• Google/YouTube（FTC，2019 年）：1.7 亿美元罚款涵盖了在教育场景中使用、收集持久性标识符用于广告的频道。
• InBloom（州级执法，2014 年）：这家学生记录数据聚合平台在纽约州、路易斯安那州等州对集中存储学生数据时安全和访问控制不足提出 FERPA 与隐私方面的担忧后关闭。
• Chegg（FTC，2023 年）：在四起泄露事件暴露数百万学生和员工的个人信息后，FTC 命令 Chegg 实施全面的数据安全计划。

集成要点

• COPPA 合规性：学校例外是对 COPPA 一般要求的狭义豁免；其他所有 COPPA 要求（告知、安全、数据最小化）仍然适用
• 儿童数据最小化：教育科技平台只能收集实现教育目的所必需的数据；数据最小化既是 COPPA 的要求，也是 GDPR 的要求
• 儿童数据删除请求：即使在由学校主导的情境中，家长仍有权请求删除其子女的数据；学校也可以依据 FERPA 请求删除数据
• GDPR 家长同意：在欧盟，学校例外并不存在；学校必须依据第 6(1)(e) 条公共任务处理，或根据第 8 条取得家长同意
• 儿童隐私声明：教育科技平台必须向学校（作为决策方）和家长（作为权利持有人）提供隐私声明