師生個人信息保護輿情管理規定

師生個人信息保護輿情管理規定第一章總則第一條目的與依據為深入貫徹落實國家關于網絡安全、數據安全及個人信息保護的法律法規，切實保障全校師生（含教職工、學生、家長及校友）的個人信息合法權益，維護學校聲譽和教育教學秩序，有效防范和妥善處置因個人信息泄露引發的輿情風險，依據《中華人民共和國網絡安全法》《中華人民共和國數據安全法》《中華人民共和國個人信息保護法》《未成年人學校保護規定》等法律法規及相關政策文件，結合本校實際情況，制定本規定。第二條適用范圍本規定適用于學校各級部門、全體教職工、學生、第三方服務提供商以及所有涉及學校師生個人信息處理活動的組織和個人。無論其通過何種方式（包括但不限于紙質、電子、網絡、口頭）獲取、存儲、使用、加工、傳輸、提供、公開、刪除師生個人信息，均需遵守本規定。第三條核心定義本規定所稱“師生個人信息”，是指以電子或者其他方式記錄的與已識別或者可識別的師生個人有關的各種信息，不包括匿名化處理后的信息。具體包括但不限于：姓名、身份證號、學號、工號、家庭住址、電話號碼、生物識別信息（指紋、人臉等）、健康信息、金融賬戶信息、行蹤軌跡、學習成績、家庭狀況、貧困生檔案、心理輔導記錄等。本規定所稱“輿情”，是指因師生個人信息泄露、濫用或非法交易等事件，引發社會公眾、媒體及網絡平臺對學校進行關注、議論、質疑或批評，形成具有一定影響力、傾向性的言論和意見匯總。第四條管理原則（一）合法正當原則：處理師生個人信息必須具有明確、合理的目的，并應當與教育、管理、服務等職責直接相關，采取對個人權益影響最小的方式。（二）知情同意原則：處理個人信息應當遵循公開、透明原則，向個人告知處理信息的規則，并取得個人同意。法律法規規定不需取得同意的除外。（三）最小必要原則：只處理實現目的所必需的最少信息，不得收集與教育教學活動無關的個人信息。（四）全程防控原則：建立覆蓋信息收集、存儲、使用、傳輸、銷毀全生命周期的安全防護體系，同步規劃輿情應對預案。（五）權責一致原則：堅持“誰主管、誰負責；誰使用、誰負責；誰泄露、誰擔責”的原則，明確各部門及個人的信息安全責任。第二章組織架構與職責分工第五條領導機構學校成立網絡安全與信息化工作領導小組（以下簡稱“領導小組”），作為師生個人信息保護與輿情管理的最高決策機構。領導小組由校長任組長，分管信息化、宣傳、學生工作的校領導任副組長，成員包括各職能部門負責人。其主要職責包括：（一）審定學校個人信息保護與輿情管理的規章制度；（二）統籌協調重大個人信息泄露事件的應急處置與輿情引導工作；（三）決策個人信息保護工作的重大投入與資源配置。第六條職能部門職責學校各部門在領導小組指導下，具體履行以下職責：部門/崗位主要職責描述關聯工作內容信息化管理部門技術防護與平臺監管負責校園網、信息系統及數據庫的安全防護；監測數據異常流動；提供技術支持協助溯源。宣傳/輿情部門輿情監測、研判與引導7x24小時監測涉校輿情；制定回應口徑；對接媒體；發布官方通報；引導輿論走向。學生工作部門學生信息管理與權益維護規范學生檔案管理；處理涉及學生信息的投訴；配合開展學生隱私保護教育。人事部門教職工信息管理規范教職工檔案管理；負責教職工入職離職時的信息權限管控與保密協議簽署。安全保衛部門線下安全與違規查處保護紙質檔案物理安全；調查人為泄露行為；協助公安機關開展案件偵查。紀檢監察部門紀律監督與責任追究對造成重大信息泄露事故或輿情危機的部門和人員進行問責；監督制度執行情況。第七條二級單位責任各院（系）、所、中心等二級單位行政負責人是本單位師生個人信息保護的第一責任人。各單位需指定一名信息員（聯絡員），負責本單位日常信息安全管理、風險排查及與學校職能部門的聯絡工作。第三章個人信息分類分級與全生命周期管理第八條信息分類分級根據信息的敏感程度和一旦泄露可能對個人權益、學校聲譽造成的危害程度，將師生個人信息分為以下三級進行管理：級別定義示例管理要求一級（極高敏感）泄露可能導致人身、財產安全受到嚴重威脅，或引發重大社會負面輿情。身份證號、生物識別信息、未公開的行蹤軌跡、貧困生詳細家庭情況、心理疾病診斷記錄、未公開的disciplinary處分記錄。禁止在互聯網傳輸；最高級加密存儲；嚴格審批訪問權限；使用需經校級分管領導批準。二級（高敏感）泄露可能導致個人名譽受損、財產損失，或引發一般性輿情。電話號碼、家庭住址、銀行卡號、健康狀況、學業成績、獎學金評定明細。強加密存儲；限制內部訪問范圍；導出需審批；對外提供需脫敏。三級（一般敏感）泄露可能對個人造成輕微干擾，或影響正常生活秩序。姓名、學號/工號、公開的院系班級信息、公開的獲獎信息。基礎防護措施；按需授權；對外公示需遵循公示規范。第九條收集環節規范（一）必要性審查：各部門在開展各類統計、調查、活動報名前，必須進行必要性審查。不得強制要求師生提供與目的無關的信息（如：收集宿舍門牌號時不得要求提供房產證信息）。（二）告知義務：收集信息前，必須明確告知收集目的、方式、范圍及存儲期限。對于未成年學生信息收集，應當取得其監護人的同意。（三）渠道管控：嚴禁通過不具備安全保障的社交軟件（如微信群、QQ群）直接收集身份證號、銀行卡號等敏感信息。必須使用學校官方認證的表單工具或教務系統進行收集。第十條存儲與傳輸規范（一）存儲介質：師生個人信息原則上應存儲于學校內部服務器或云平臺。嚴禁將涉及個人信息的文檔上傳至公共網盤、筆記軟件或個人電腦。（二）加密要求：一級、二級信息必須采取加密措施存儲。存儲在移動介質（U盤、移動硬盤）中的敏感信息，必須進行加密處理并專人保管。（三）傳輸限制：嚴禁通過互聯網電子郵件明文傳輸師生個人信息。確需向校外傳輸數據的，必須經過審批并使用加密通道或安全傳輸工具。第十一條使用與加工規范（一）權限控制：嚴格執行“最小權限”原則，僅開放工作人員履行職責所需的最低權限。系統管理員應定期審計賬號權限，及時回收離職、轉崗人員的訪問權限。（二）批量導出限制：嚴禁批量導出全校或全院師生名單用于非工作用途。因工作需要批量導出的，須經部門負責人審批并備案，導出數據使用完畢后應立即刪除或徹底粉碎。（三）打印與復印：打印含敏感個人信息的紙質材料，應在涉密打印機或指定打印機操作，并做到“即打即取”，廢紙應送至碎紙機處理，嚴禁隨意丟棄在廢紙簍。第十二條公開與披露規范（一）公示脫敏：在學校官網、公眾號、公告欄等公開場合公示名單（如評獎評優、擬錄取名單、黨團發展名單）時，必須對姓名、身份證號、手機號等關鍵信息進行脫敏處理。例如：姓名隱去中間字（張*三），手機號隱去中間四位（138****1234）。（二）媒體對接：接受媒體采訪或向媒體提供素材時，嚴禁提供未公開的學生個人信息。如需使用學生案例，必須獲得學生本人及監護人的書面授權，并對可識別信息進行模糊化處理。（三）第三方共享：向第三方（如上級部門、合作企業、實習單位）提供師生信息時，必須簽訂數據保密協議，明確數據使用范圍和期限，并對提供過程進行記錄留痕。第四章輿情風險監測與預警機制第十三條監測范圍與內容建立“人防+技防”相結合的輿情監測體系。監測范圍包括但不限于：微博、微信、知乎、抖音、快手、百度貼吧、本地論壇、校園BBS等。重點監測內容：（一）關鍵詞監測：包含“學校名稱+泄露”、“學校名稱+隱私”、“學校名稱+名單”、“學校名稱+電話”、“學校名稱+詐騙”等組合關鍵詞。（二）事件監測：涉及師生個人信息被倒賣、被公開人肉搜索、因信息管理不善導致學生受騙等事件。（三）暗網與深網監測：關注是否有校內數據在非法交易平臺進行售賣。第十四條預警分級根據師生個人信息泄露事件的傳播范圍、危害程度及社會影響，將輿情風險劃分為四個等級，并實行分級響應：風險等級判定標準響應級別響應時限要求Ⅰ級（特別重大）涉及大量（500人以上）敏感信息泄露；被中央級媒體曝光；引發全國性關注；嚴重損害學校聲譽。紅色預警立即啟動，30分鐘內上報領導小組，1小時內擬定初步口徑。Ⅱ級（重大）涉及較大量（100-500人）信息泄露；被省級媒體或網絡大V關注；引發區域性負面輿論；出現群體性投訴。橙色預警立即啟動，1小時內上報，2小時內發布聲明。Ⅲ級（較大）涉及少量（10-100人）信息泄露；在本地網絡論壇形成熱點；出現一定規模的傳播和負面評論。黃色預警2小時內上報，4小時內處置完畢。Ⅳ級（一般）個別人員信息泄露；僅在特定小范圍群組傳播；未引起廣泛媒體關注。藍色預警24小時內處置完畢，形成報告。第十五條預警流程（一）發現與報告：監測人員或教職工發現疑似個人信息泄露輿情后，應立即截圖、錄屏保留證據，并在第一時間向宣傳部門和保衛部門報告。（二）研判與核實：宣傳部門會同信息化管理部門、相關業務部門，迅速核實信息的真偽、泄露源頭、涉及范圍及敏感程度。必要時聯系網信部門或公安機關協助核查。（三）啟動預案：根據研判結果，對照預警分級標準，由領導小組決定啟動相應級別的應急響應。第五章應急處置與輿情應對流程第十六條快速響應機制一旦發生個人信息泄露引發輿情，必須遵循“黃金4小時”原則，迅速開展以下工作：（一）切斷源頭：信息化管理部門應立即采取措施，關閉相關泄露渠道（如關停涉事網頁、凍結涉事賬號、修補系統漏洞），防止信息進一步擴散。（二）控制事態：涉事部門應立即停止相關信息的處理活動，封存相關設備和資料，保護現場，配合調查。第十七條調查與取證（一）成立專項調查組，由紀檢監察、保衛、信息化及涉事部門組成。（二）通過技術手段（日志分析、流量溯源）和人工排查，確定泄露的具體原因（是黑客攻擊、內部人員違規還是操作失誤）。（三）鎖定責任人，固定違法證據，形成詳細的調查報告。第十八條輿情引導與回應策略（一）回應口徑：堅持“實事求是、真誠負責”的原則。由宣傳部門牽頭，統一擬定對外回應口徑。口徑應包含：事件基本情況、已采取的補救措施、對受影響師生的安撫方案、對責任人的處理態度及承諾。（二）發聲渠道：通過學校官方微博、微信公眾號、官網等渠道發布通報。對于重大輿情，應主動聯系主流媒體，通過權威媒體發布消息，掌握輿論主動權。（三）動態更新：應急處置期間，應根據調查進展和事態發展，分階段發布信息，避免“靜默”導致謠言滋生。對于不實信息，要及時辟謠。第十九條善后與安撫（一）受害者關懷：立即聯系受影響的師生，告知風險情況，提供必要的法律援助和心理疏導。建議并協助受影響師生修改密碼、掛失證件或凍結賬戶。（二）整改提升：針對暴露出的問題，立即開展全校范圍內的數據安全大檢查，修補管理漏洞，升級技術防護設施。（三）法律追責：對于因外部攻擊造成的泄露，配合公安機關嚴厲打擊黑客犯罪；對于因內部人員倒賣、違規泄露造成嚴重后果的，移交司法機關處理。第六章第三方合作與外包服務管理第二十條準入審查學校委托第三方（如軟件開發商、數據運營商、研學機構、后勤服務商）處理師生個人信息時，必須對其進行嚴格的安全資質審查。審查內容包括但不限于：數據安全等級保護認證、保密承諾、過往業績及是否存在不良記錄。第二十一條保密協議與第三方合作必須簽署具有法律效力的《數據安全與保密協議》。協議中必須明確以下條款：（一）數據的范圍、性質和處理目的；（二）第三方必須采取的安全技術措施和管理措施；（三）禁止第三方轉授權、再委托或留存數據；（四）數據泄露后的通知義務與違約責任；（五）服務終止后，第三方必須徹底刪除所有相關數據，并出具銷毀證明。第二十二條過程監督業務主管部門作為第三方管理的責任主體，應對第三方的數據使用情況進行全過程監督。定期開展安全審計，嚴禁第三方違規超范圍使用數據。發現第三方存在違規行為，應立即終止合作，凍結其訪問權限，并啟動追責程序。第七章教育培訓與演練第二十三條宣傳教育（一）將個人信息保護納入教職工入職培訓、師德師風教育及學生安全教育體系。（二）每年定期開展“網絡安全宣傳周”、“個人信息保護日”等活動，通過講座、海報、案例警示等形式，普及信息安全知識，提高全員隱私保護意識。第二十四條技能培訓針對數據管理員、輔導員、行政秘書等重點崗位人員，定期開展專業技能培訓。培訓內容包括：數據脫敏技術、加密軟件使用、常見網絡詐騙識別、應急操作流程等。第二十五條應急演練每年至少組織一次師生個人信息泄露輿情應急演練。演練應模擬真實場景（如黑客攻擊數據庫導致學生信息泄露），檢驗監測預警、應急處置、部門協同、輿情引導等各環節的銜接有效性，并根據演練結果修訂完善應急預案。第八章監督檢查與責任追究第二十六條日常監督學校網絡安全與信息化工作領導小組辦公室定期組織對各部門個人信息保護制度落實情況進行檢查。檢查方式包括：系統日志審計、現場查看、臺賬核查等。檢查結果納入部門年度績效考核。第二十七條違規處理對違反本規定，造成師生個人信息泄露或引發輿情事件的，視情節輕重，給予以下處理：違規情形處罰措施輕微違規未造成信息實質泄露，但存在操作不規范（如未加密存儲、隨意在群內傳名單）。責令立即整改；通報批評；取消當年度評優資格。一般違規造成少量信息泄露或引發輕微輿情（Ⅳ級、Ⅲ級）。給予責任人行政警告或記過處分；扣發績效獎金；部門負責人作書面檢查。嚴重違規造成大量信息泄露或