2019年8月10日，教育部、中央网信办、工业和信息化部等八部门发布《教育部等八部门关于引导规范教育移动互联网应用有序健康发展的意见》（教技函〔2019〕55号）（以下简称“《意见》”），这是继2018年12月25日的《教育部办公厅关于严禁有害APP进入中小学校园的通知》（教基厅函〔2018〕102号）与2019年7月12日的《教育部等六部门关于规范校外线上培训的实施意见》（教基函〔2019〕8号）（以下简称“《校外线上培训实施意见》”）以来，在国家层面上首次对教育移动互联网应用进行全面规范的政策性文件，覆盖了各学段教育和各类教育移动互联网应用。

《意见》所称“教育移动互联网应用”（以下简称“教育APP”）是指以教职工、学生、家长为主要用户，以教育、学习为主要应用场景，服务于学校教学与管理、学生学习与生活以及家校互动等方面的互联网移动应用。

教育APP提供者作为网络运营者，需要遵循《网络安全法》等法律规定对网络运营者所设定的包括网络安全等级保护、网络安全应急处理、网络数据留存、个人信息及隐私保护在内的各项网络安全保障义务。当教育APP涉及经营电信业务时，比如提供付费线上培训的校外线上培训APP，还应作为电子商务经营者受到《电子商务法》等法律规定的规制。

由于教育行业的特殊性，教育APP提供者在开发和运营教育APP时需着重关注以下问题：

一 及时履行备案义务

《意见》第四条要求教育APP提供者应当在取得ICP备案（涉及经营电信业务的，还应当申请电信业务经营许可）、网络安全等级保护定级备案的证明、等级测评报告后向机构住所地的省级教育行政部门进行教育业务备案，登记单位基本信息和所开发的教育APP信息。已备案的教育APP提供者上线新应用前，应当在备案单位更新相关信息。

教育部科学技术司负责人在9月5日的教育部新闻发布会上介绍，当教育APP提供者为企业时，其需到企业注册地的省级教育行政部门进行备案；当教育APP提供者为学校时，需按照隶属关系到所属教育行政部门备案。[1]

《意见》计划于2019年底完成教育APP备案工作，同时，《校外线上培训实施意见》要求已经开展校外线上培训的机构于2019年10月31日前提交相关材料进行备案。教育APP提供者应及时排查备案情况，准备材料完成未竟备案工作。

二 在APP开发阶段落实个人信息保护理念

《意见》要求教育APP提供者应当建立覆盖个人信息收集、储存、传输、使用等环节的数据保障机制。这一要求与GDPR中的“Data protection by design and by default”相似，个人信息保护应当是始于设计，并贯穿APP生命周期的任务。为降低个人信息滥用风险，教育APP提供者在开发伊始即应将个人信息保护放在重要位置。

第一，在开发阶段考虑未成年用户的个人信息保护特殊要求。《意见》要求收集使用未成年人信息应当取得监护人同意、授权。若教育APP提供者知道或应当知道APP的使用者为未成年人，比如专门面向中小学生开发的教育APP，应在开发阶段即设计专门程序，在未成年用户实际使用APP相关功能之前，能以显著、清晰的方式告知未成年用户监护人，取得监护人的同意为后续对未成年用户个人信息的收集和使用奠定合法性基础。根据于2019年10月1日正式生效的《儿童个人信息网络保护规定》，教育APP提供者知道或应当知道APP的主要使用者为不满十四周岁的儿童的，还需事先设置专门的儿童个人信息保护规则和用户协议，并指定专人负责儿童个人信息保护。

第二，教育APP提供者需事先评估收集使用个人信息范围，严格限制采集个人生物识别信息。教育部科学技术司负责人在前述新闻发布会上指出，采集个人信息应遵循最小化原则，严格限制采集个人生物识别信息。根据《信息安全技术个人信息安全规范》（GB/T 35273—2020），个人生物识别信息包括个人基因、指纹、声纹、掌纹、耳廓、虹膜、面部特征等，属于个人敏感信息。2019年中国药科大学在部分教室试点安装人脸识别系统引起巨大争议，学校本可通过书面签到或调整教学评价方式等对个人信息侵害性较小的方式来达到提高课程质量的目的，面部识别软件的使用与拟实现目的不成比例，涉嫌违反《网络安全法》第四十一条的目的限制和数据最小化原则。教育部科学技术司负责人亦认为教育部对人脸识别技术的应用应当加以限制和管理，学校应非常慎重地使用这些技术软件。[2]

2019年7月，工信部发布《工业和信息化部关于电信服务质量的通告（2019年第2号）》（工信部信管函〔2019〕176号），学而思网校被曝存在未公示用户个人信息收集、使用规则及未告知查询、更正信息渠道等情况。2019年8月，广东省公安厅曝光7月份“超范围收集用户信息APP”整治结果，有7款教育类APP被曝存在超范围读取用户通话记录、短信内容，收集用户通讯录、位置信息，超权限使用设备麦克风、摄像头等突出安全问题。[3]从上述案例中可以看出，目前个人信息滥用问题在教育APP中显著存在。

以此为鉴，教育APP提供者在开发时应事先评估APP正常运行所必须收集和使用的个人信息范围，不得收集与提供服务无关的个人信息，亦不得以默认、捆绑、停止安装使用等手段变相强迫用户授权，审慎使用人脸识别等与个人生物识别信息密切相关的技术。本团队曾多次撰文详谈APP实际运行中的合规要点，可阅读本团队公众号内《团队原创|个人信息监管收紧下的隐私政策设计要点》《团队原创|个人信息保护新规相继颁布，个人信息保护合规新要点汇总》等文章进行更深入的了解。

三 网络平台内容审核义务

《互联网信息服务管理办法》第十五条规定了九种不得制作、复制、发布、传播的信息类型。《网络安全法》第四十八条要求网络运营者加强对其用户发布的信息的管理，发现法律、行政法规禁止发布或者传输的信息的，应当立即停止传输该信息，采取消除等处置措施，防止信息扩散，保存有关记录，并向有关主管部门报告。本团队于2019年8月8日在公众号内发表的《团队原创|从小红书下架风波探讨网络运营者内容审核管理义务》详细论述了网络运营者的内容审核管理义务，主要包括账号管理、内容审核、人员配置与及时阻止四个方面的要求。教育APP提供者作为互联网信息服务提供者和网络运营者，不仅不得主动发布违法违规信息，亦需承担对平台用户发布内容的审核义务。

同时，由于教育APP主要使用者为学生，教育APP提供者需承担特殊审核义务。根据《意见》第十一条，作为教学、管理工具要求统一使用的教育APP，不得向学生及家长收取任何费用，不得植入商业广告和游戏。推荐使用的教育APP应当遵循自愿原则，不得与教学管理行为绑定，不得与学分、成绩和评优挂钩。结合《校外线上培训实施意见》，校外线上培训机构的培训内容不得包含淫秽、暴力、恐怖、赌博以及与学习无关的网络游戏等内容及链接。因此，非作为教学、管理工具要求统一使用的教育APP可以植入商业广告，但提供者需按照《广告法》《互联网广告管理暂行办法》等法律规定对广告内容进行审核。作为教育、管理工具要求统一使用的以及校外线上培训机构的教育APP不得植入与游戏有关的内容或链接。同时，建议暂未被明令禁止植入游戏的其他教育APP亦尽量避免与学习无关的游戏内容或链接的出现，以提高教育行政部门、学校或家长对该APP的信任度，从而提升市场竞争力。

四 结语

《意见》要求建立推荐机制，省级教育行政部门根据地方实际，会同网信等职能部门探索本地区教育移动应用的条件机制，组织开展教育移动应用的评议，形成推荐名单并向社会公开。省级教育行政部门还将建立教育APP的选用退出机制、负面清单和黑名单制度，推动将黑名单信息纳入全国信用信息共享平台，按有关规定实施联合惩戒。推荐名单体现行政部门对教育APP的合法合规、功能性能、安全保障等方面的肯定，有利于向社会传达其重视个人信息保护和专注教育的企业责任意识和安全保护能力。教育APP提供者需让用户权益保障成为内生需求而不是被动合规，切实履行备案义务，贯彻个人信息保护要求，营造健康向上的网络教育环境。

【参考资料】

[1] 公安三所网络安全法律研究中心.教育部等八部门发布《关于引导规范教育移动互联网应用有序健康发展的意见》，将启动专项行动. (2019-09-06) [2019-09-10]. https://mp.weixin.qq.com/s/z7VFYqTkgd5h9U7DlFuheg.

[2] 共青团中央. 教育部最新回应!人脸识别进课堂?学校使用要慎重. (2019-09-06) [2019-09-10]. https://mp.weixin.qq.com/s/84ccLeZUfW5SEg4br8iQDg.

[3] 共青团中央. 儿童信息保护设“红线”!在线教育平台收集学生信息合规吗. (2019-09-04) [2019-09-11]. https://mp.weixin.qq.com/s/FokMwPAMrLYCezufBadJPA.

作者：吴丹君律师 张振君律师助理

来源：微信公众号“大数据法律研究”