学生信息泄露！这事儿到底有多大？丨案例

回复关键词或相应的序号即可获取相关文章！

校园安全

大学生群体近年来已成电信诈骗受害“重灾区”，要避免“徐玉玉式悲剧”再现，必须多管齐下，综合施策。完善学生信息保密工作是第一步！ 

文丨胡馨月（本科毕业于复旦大学，同时也是哈佛大学教育学硕士，波士顿大学高等教育管理硕士。曾在麦可思任高校咨询顾问。在波士顿大学期间，担任教育学院研究生招生办公室助理。）

在

招生办公室的第一天，除了熟悉环境、了解职责之外，本文作者还签字画押了一份文件——法律要求的关于学生信息保密的承诺。这事儿到底有多大呢？

每年的4月对美国人来说，不仅是全民报税的季节，更是学生们翘首盼望学校录取信的日子。随着教育学院开始陆续寄出学生录取或者拒绝信，招生办公室的电话便很少间断。这不，我又接起一个电话，是一位男士打来的，自称是申请者的丈夫，因为妻子在国外工作，不方便联系，所以帮忙电话询问申请结果。正当我打开系统帮他查询时，我的主管叫住了我：“是学生本人打来的吗，馨月？”我摇摇头。她赶紧提醒我：“还记得FERPA吗？告诉他，我们不能告知他申请结果。请他妻子自己查询邮件，或者亲自来电询问。”我这才一身冷汗——原来我差点就违反了美国高等教育的一项重要法案——FERPA（Family Educational Rights and Privacy Act，《家庭教育权利与隐私法案》）。

学生保密信息绝非小事

　

记得在招生办公室的第一天，除了熟悉环境、了解职责之外，我还签字画押了一份文件——FERPA要求的关于学生信息保密的承诺。简单说来，作为一个处理所有学生申请材料的工作人员，我掌握了大量的学生信息：个人信息、联系方式、教育背景、考试成绩、推荐信、申请结果，等等。所以我必须承诺和保证自己不会将接触到的任何学生信息外传，不与办公室以外的任何人指名道姓地讨论某个学生或申请者的信息。

大致从20世纪50年代开始，美国中小学经常对学生进行敏感的个人问卷调查，比如问学生有没有想过离家出走，有没有过犯法行为等，这些调查往往都没有事先征得家长的同意，而且有的学校还不对家长公开这些调查结果。家长们的不满情绪已经溢于言表。

就是在这样的社会背景下，FERPA于1974年签署生效。它旨在保护个人对于自己教育信息的知情权，并赋予每个人选择哪些信息可以被公开的控制权。FERPA规定，一旦你进入大学或年满18岁，对自己教育信息的掌控权就完全移交到你的手中。如果没有你的同意，就连父母也无法取得你的教育信息，比如成绩单、在校违反纪律的记录等。同时，FERPA对拥有学生档案的教育机构也提出了严格的要求，如有违反，学校就会丧失来自国家的财政投入！

说到这里，也许你会觉得，美国很多大学都是私立的，而且本身富可敌国，根本就不需要国家的财政投入吧？用财政投入来对高校进行监督，有用吗？

殊不知，美国政府监督高校最有力的两大法宝就是立法和资金。有关违反高等教育各项法案的惩罚中，几乎都能找到“停止联邦财政支持”“学生不能享受政府资助”的字眼。比如，有关高校必须公开校园安全数据的《克莱瑞法案》（Clery Act）中也提到，不贯彻执行此法案的高校会被教育部暂停联邦助学金项目。没有政府的助学金，直接后果就是将有很多学生因为无法支付高昂的学费而不能入学，高校就会失去大量生源。没有哪个学校愿意面对这样的局面。因此，每一位高校工作者都必须对自己的行为慎之又慎——因为你难免接触到学生信息。教授手里有学生的课业成绩，招生办公室的档案里有学生的所有申请材料，教务处那儿有学生的荣誉以及惩罚信息，校医院有健康状况记录。稍不留神，就可能惹来大麻烦。

这些情况可以放宽限制

纵观美国高校的发展史，有太多因为学生信息的泄露引发的官司，更有因为过度保密信息而导致的惨剧。比如2007年发生的骇人听闻的弗吉尼亚理工大学校园枪杀案。根据枪杀案后的调查报告显示，学校心理咨询中心以及其他办公室其实早就知晓该学生凶手在纪律和心理上的问题。可是，因为害怕违反FERPA，各办公室没有做到及时互相沟通和协商，因而没有尽早发现该学生已经对校园安全构成了巨大威胁，最终惨案发生。又如纠缠了麻省理工学院6年的一场官司，韩裔女生伊丽莎白·申的父母状告学校失职，既没有及时和家长沟通女儿极度抑郁的心理状态和自杀倾向，也没有采取措施密切关注女儿的行为，最终优秀的女儿死于宿舍。学校这一系列的疏忽行为，究其原因，也是担心沟通和讨论关于学生的个人信息会触犯FERPA。于是犹犹豫豫间，含苞待放的生命就此消失。

说到这里，熟悉美国高校的你也许会问，美国的大学由于成本控制、人员缺乏、第三方的技术优势和良好的服务，会将很多学生服务的项目外包，如毕业证书或学位证书的打印，国际学生的资质评估，开成绩单，校友调研，等等。难道将学生个人信息透露给这些第三方服务机构不是违反FERPA的规定吗？

FERPA法案的提议者当然早已对此有所考虑，同时由于担心违反FERPA而引起的悲剧时有发生，FERPA的新规定对不太敏感的个人和通讯信息，如学生证号、电子邮箱等，放宽了限制。FERPA明确提出，为了达到必要、合理的教育目的（FERPA对此也有非常详细的规定和说明），以下几类群体可以在不经过学生本人同意的情况下，使用学生的个人教育信息：

1.学校正式工作人员（作者注：比如教务处的人可以接触学生成绩，招生办可接触学生申请材料）；

2.与学校签署了协议的人或公司，如律师、审计人员、调研机构；

3.校董会成员；

4.学校正式的委员会中的学生成员，如纪律委员会、不良学术行为委员会；

5.帮助学校正式工作人员完成工作的学生雇员。

这些能接触到学生信息的第三方，都必须和学校签署正式的协议，对于数据的保密和用途做出详细的说明，比如承诺不得对外泄露学生个人信息，数据只能用于此份协议，不得滥用数据等。如果第三方被发现违反相关协议条款，学校则有权禁止该方至少5 年不得接触到学生个人教育信息。这一点，美国教育部也有专门的办公室——家庭政策执行办公室来进行监督和管理。

说回那通让我差点儿在FERPA里翻船的电话，我事后和主管聊起，觉得就是告知一下申请结果，应该还不至于引起校园枪杀案之类的后果吧。她笑了笑说，嗯，是啊，但总要防患于未然，万一是个心怀不轨的人冒充学生家人查询结果，得知她被录取了，然后知道她会来参加学校的迎新生活动，就策划个谋杀案什么的呢？我大笑她想象力太丰富，可以去当编剧。可这事儿谁能说得清呢，就算没有谋杀案，也得防范学生投诉我们未经同意而泄露个人教育信息，招来一堆麻烦，不是吗？