第 3 章 学生数据与儿童保护

学习目标

• 根据“能否与其他信息容易结合并识别出特定个人”来判断学生的文章与记录构成个人信息的条件。
• 说明处理未满 14 周岁儿童的个人信息时，法定代理人同意、确认同意意向以及通俗易懂告知的要件。
• 区分将学生记录用于收集目的之外或向外部提供时所需的依据，以及对学校生活记录的单独限制。
• 分别核实外部 AI 服务在训练使用、保存期限、委托关系、跨境传输、年龄标准方面的要求。
• 在不录入学生信息使用 AI 的方法中，选择符合课堂教学目标与实际情境的方法。

引言

某位班主任在整理学期末咨询记录时感到身心俱疲，便将几页咨询记录粘贴到个人手机上的免费 AI 应用程序中，并输入“请帮我总结”。老师认为既然已经将姓名替换成了首字母缩写，应该就没问题了。然而，摘要中依然原样保留着“因父母失业而开始接受餐费资助的 J”、“去年转学过来的双胞胎中的弟弟”等语句。只要是同班同学，就能立刻猜出是谁。而这些内容，如今已经存放在了不受学校管理的第三方服务服务器上。

学生信息比其他个人信息更需要谨慎对待。学生大多是未成年人，往往难以自主选择是否向学校和教师提供信息，而且学校记录会长期保留并用于升学和未来的职业发展。因此，韩国《个人信息保护法》专门设立了针对儿童的单独条款，韩国《初等·中等教育法》也对向外部提供学校生活记录作出了单独限制。

本章从学生信息构成个人信息的条件切入，依次探讨处理原则与依据、未满 14 周岁儿童的同意、超出目的使用以及学校生活记录的提供限制。接着，系统梳理如何解读外部 AI 服务的数据条件、服务的年龄标准与监护人指引，以及在不录入学生信息的前提下使用 AI 的方法。

核心概念

学生的文章何时属于个人信息

韩国《个人信息保护法》第2条第1项将个人信息定义为有关在世个人的信息，且属于下列各项之一：

• 通过姓名、居民身份证号、影像等能够识别特定个人的信息（a目）
• 即使仅凭该信息无法识别，但与其他信息容易结合即可识别特定个人的信息（b目）。是否容易结合，应综合考量获取其他信息的可能性等识别特定个人所需的时间、费用和技术，进行合理判断。
• 经假名化处理后，无附加信息便无法识别特定个人的信息，即假名信息（c目）

在学生的文章中，关键在于 b 目。即使抹去了姓名和学号，只要仍残留着诸如“父母在某某洞开洗衣店”、“去年转学过来的双胞胎”、“上个月腿部受伤打石膏的经历”等同班或同年级同学一读就能认出是谁的线索，该文章就依然可能属于个人信息。班级是一个小群体，可供结合的“其他信息”往往近在咫尺。

处理原则

韩国《个人信息保护法》第3条规定了处理原则。在使用 AI 时，尤为常用的是以下各项：

“处理”的范围也非常广泛。第2条第2项将收集、生成、存储、持有、加工、编辑、检索、输出、利用、提供、公开、销毁等均视为处理。在粘贴至 AI 服务的瞬间，该信息就已处于被处理的状态。

处理依据与学校

收集和利用个人信息必须具备法律依据。第15条第1款将以下各项列为依据：信息主体的同意、法律的特别规定或法令规定义务、公共机构履行主管业务、合同的签订与履行、危及生命·身体·财产的紧急利益、个人信息处理者的正当利益，以及公众卫生等公共安全。

学校适用何种依据？韩国《个人信息保护法实施令》第2条将依据韩国《初等·中等教育法》、《高等教育法》等设立的各级学校纳入公共机构的范畴。因此，学校可在履行法令所规定主管业务（教育、制作学校生活记录等）所不可避免的范围内处理个人信息。然而，若是主管业务范围之外的新服务，例如学校新引入要求学生直接注册的外部 AI 学习应用程序并处理学生信息时，则可能需要征得同意等其他依据。

征得同意时，依据第15条第2款必须告知以下四项内容：

1. 个人信息的收集与利用目的
2. 拟收集的个人信息项目
3. 个人信息的保存及利用期限
4. 享有拒绝同意权利的事实，以及若因拒绝而存在不利影响时的具体内容

即使在同意书上将应用程序的效果资料或 AI 模型名称写得再详尽，只要遗漏了这四项内容，就不属于符合法律要求的告知。而且，如果以“若不同意则无法评定表现性评价分数”等不利后果相要挟，实质上构成了强迫同意。为不同意的学生提供替代性活动才是恰当的做法。

未满 14 周岁儿童

第22条之2为儿童设立了三项规则：

1. 法定代理人同意与确认（第1款）。 为处理未满 14 周岁儿童的个人信息而需依据本法获得同意时，必须取得法定代理人的同意，并确认法定代理人是否已同意。
2. 直接收集最少必要信息（第2款）。 为取得法定代理人同意所需的最低限度信息，即法定代理人的姓名与联系方式，无需取得法定代理人同意即可直接向儿童收集（实施令第17条之2第2款）。
3. 通俗易懂的告知（第3款）。 向未满 14 周岁儿童告知个人信息处理相关事项时，必须采用通俗易懂的格式以及明确易懂的语言。

实施令第17条之2第1款规定了确认同意的方法：通过法定代理人的手机短信告知已确认其同意标识的方法、获取法定代理人的信用卡或借记卡等卡片信息的方法、手机本人认证、在书面材料上签名盖章的方法、通过电子邮件接收同意意向的方法、通过电话获得同意的方法，以及符合上述标准的相应方法。

请勿混淆以下两点：第一，第1款是指“在需要同意时”应取得法定代理人的同意，并不意味着处理未满 14 周岁儿童的所有信息都需要取得同意。在某些情况下也可以依据其他法律依据进行处理。第二，法定代理人作出同意并不能免除以通俗易懂的方式告知儿童的义务。直接照搬成年人适用的个人信息处理方针而制作的告知单，不符合第3款的要求。

超出目的使用与提供

第18条第1款禁止超出收集依据的范围使用个人信息或向第三方提供。第2款规定了例外情形：信息主体的单独同意、其他法律的特别规定、危及生命·身体·财产的紧急利益等。部分例外仅适用于公共机构，例如不进行目的外利用或提供便无法履行其他法律规定的主管业务且经个人信息保护委员会审议表决的情形、犯罪侦查、法院审判业务履行等。在取得单独同意时，必须告知接收方、利用目的、信息项目、保存期限、拒绝权利以及不利后果（第3款）。

以教育现场为例：利用为分班而收集的摸底测试结果生成 AI 升学就业推荐并向个人发送通知、利用原本告知用于“解答学习疑问”的对话日志来预测学生中途辍学风险，这些都属于超出收集目的的使用。即便是出于良好目的，也必须具备法律依据。“已经合法持有的信息”这一事实，并不能成为用于新目的的合法依据。

学校生活记录与向第三方提供

除韩国《个人信息保护法》外，韩国《初等·中等教育法》也对学校生活记录作出了单独规定。第25条规定，学校校长须根据教育部令的标准制作并管理个人基本情况、学籍情况、出勤情况、资格证及认证取得情况、学科学习发展情况、行为特征及综合评语等，并通过教育信息系统进行制作与管理。

第30条之6第1款规定，未经该学生（未成年人则为学生及其监护人）的同意，学校校长不得向第三方提供学校生活记录以及依据《学校保健法》制定的健康检查记录。例外情形包括：拥有监督与审计权限的行政机关业务、高一级学校招生选拔、出于统计编制及学术研究目的而以无法识别特定当事人的形式提供的情形、侦查、审判以及符合其他相关法律规定的情形。接收资料者不得将其用于原始目的之外（第3款）。

因此，若外部研究所或教育科技企业以“AI 模型研究”为由索取学生档案资料，只能在取得学生及监护人同意的前提下提供，或者仅以无法识别特定当事人的形式提供。签订保密协议、限制查阅人员固然是良好的保护措施，但并不能替代法定要件。

敏感信息

第23条将有关思想与信念、加入工会或政党、政治见解、健康、性生活等的信息，以及总统令规定的其他可能严重侵犯私生活的信息（实施令第18条：基因信息、犯罪经历资料、为识别特定个人而生成的生物识别信息、有关人种或民族的信息）认定为敏感信息，规定除非取得单独同意或有法律依据，否则不得进行处理。进行处理时，必须采取安全性保障措施（第2款）。

咨询记录和学生自我倾诉的文章中，往往同时包含健康或信仰等法定敏感信息，以及家庭情况或情绪状态等敏感的私生活信息。后者即使不属于法定敏感信息，一旦泄露也会造成巨大伤害，因此应保持同等级别的谨慎。若想使用 AI 进行总结或分析，首先应问自己“实现该目的必须包含敏感内容吗”，若非必要则坚决不输入。对于预测中途辍学等极易卷入敏感信息的分析，应剔除与健康相关的内容，并在机制设计上确保分析结果仅用于提供帮扶支持，而非施加不利处分。

外部 AI 服务与委托

当学校将学生的文章发送给外部 AI 服务以获取分析或反馈时，如果企业在学校的管理与监督下代为处理学校的业务，则该企业属于受托人。反之，如果企业将收到的学生信息用于自身目的（例如训练其自研模型），则必须审查这是否属于向第三方提供而非委托，并核查是否具备相应的单独依据。这也是为什么要核实“不用作训练”条件的原因所在。第26条对委托提出了以下要求：

仅核实数据条件（训练使用、保存期限）并不意味着大功告成。还必须将这些条件写入委托合同文件中，公开委托事实，并检查是否得到严格遵守。而且一旦发生事故，作为委托人的学校是应对处置的责任主体。

解读数据条件的五个问题

在阅读 AI 服务的服务条款和数据处理条件时，应分别核实以下五个问题：

1. 训练使用：输入的内容是否用于模型训练或改进？默认设置是什么，是否可以关闭？
2. 保存期限：输入内容和对话记录会保存多久，何时删除？即使不用作训练，也可能被保存。
3. 账号类型：个人账号与机构合同账号的条件是否一致？同一家公司的同一个模型，根据合同类型不同，条款也可能存在差异。
4. 处理关系与位置：企业是否代表学校代为处理（委托关系）？数据是否在境外被处理或保存？
5. 年龄标准：该服务允许使用的最低年龄以及监护人许可的要求是什么？

跨境传输不是一律禁止的问题，而是是否符合法定要件的问题。第28条之8第1款原则上禁止个人信息的境外提供、处理委托及保存，但规定了例外情形：信息主体的单独同意、法律或条约的特别规定、因签订与履行与信息主体之间的合同所必需的处理委托及保存且已在处理方针中公开或告知转移事项的情形、接收方已获得个人信息保护委员会告示的认证并采取了全部安全措施、权利保障措施及在接收国履行认证事项的措施的情形，以及向保护水平被认定为实质等同的国家进行转移的情形。仅凭学校与企业之间的合同，并不能直接满足第三项例外。因此，“服务器在境外就绝对不行”与“即便在境外也完全没问题”，这两种说法都是错误的。

宣传文案和认证标志并不是这五个问题的真正答案。真正的答案存在于合同、数据处理附录以及个人信息处理方针等正式文件中。

年龄标准与监护人指引

服务条款中的年龄标准是学校除法律法规外必须遵守的使用条件。例如，OpenAI 的教育工作者使用指南说明中指出，使用者必须年满 13 周岁，13 周岁至 18 周岁之间的使用者必须取得父母或监护人的许可。联合国教科文组织（UNESCO）于 2023 年发布了《教育与研究领域生成式人工智能应用指南》，提出了在课堂中使用 AI 工具的年龄门槛为 13 岁，并强调了数据隐私保护以及适龄使用的重要性。

以此为基准设计学生活动，具体如下：

使用一个班级公用账号轮流使用的方法，不仅绕过了年龄标准与监护人许可要件，还会导致根本无法监管是谁输入了何种内容。年满 14 周岁即可自主同意个人信息处理这一事实，也并不能免除服务条款中关于监护人许可的要求。

不录入学生信息使用 AI 的方法

在许多情况下，即使完全不录入学生信息，也能借助 AI 获得帮助。

仅因学校批准的工具缺乏所需功能，就转而使用个人账号的免费 AI，绝不是解决之道。即便替换为姓名首字母或关闭了模型训练设置，通过内容识别出学生的风险以及数据被保存在不受学校管控之地的风险依然存在。

处理的终点：销毁与事故应对

超出保存期限或已达成目的从而不再需要的信息，必须毫不拖延地予以销毁（第21条第1款）。但根据其他法律法规必须保存的信息属于例外，此时应与其他个人信息分开隔离保存（第3款）。像学校生活记录这类由法律法规明确规定必须保存的记录，绝不能仅因达成目的就直接删除。使用 AI 工具时，应将上传的文件、工具内的对话记录乃至下载的生成结果均纳入销毁对象。在处理期间，应根据第29条落实内部管理计划、保存访问记录等安全性保障措施。

韩国《个人信息保护法》将遗失、被盗、泄露、伪造、变造、毁损统称为“泄露等”（第23条第2款）。知悉发生泄露等情况时，必须依据第34条毫不拖延地告知信息主体发生泄露等的项目、时间及经过、减轻损害的方法、应对措施及权利救济程序、受理申报的负责部门，以及损害赔偿·纠纷调解等法定权利与行使途径。在知悉存在总统令规定的泄露等可能性的情况下，也必须向相应信息主体告知用于减轻损害的信息等（第2款），采取追回、删除等防止损害扩散的措施（第3款），若符合实施令规定的标准，还必须向个人信息保护委员会或专门机构报告（第4款）。在学校中，第一时间向个人信息保护负责人报告便是首要步骤（第 5 章）。

深入阅读

去除姓名的文章属于匿名吗

韩国《个人信息保护法》第58条之2规定，在合理考虑时间、费用、技术等因素的前提下，即使结合使用其他信息也无法再识别出特定个人的信息，不适用本法。这就是通常所说的匿名信息。要在学生的文章中达到这一标准，比想象中更加困难。在班级和年级这种较小的群体中，文章的主题、家庭琐事、特殊经历，甚至是行文风格都会成为线索。

因此在实际工作中，通常不会武断认定其为“匿名”，而是采用双重保护机制：“尽可能去除可识别出学生的线索，且仅在学校批准并管理的工具中处理该文章”。由于第一层保护（删除线索）可能不够完善，因此设置了第二层保护（经过批准的工具、委托合同、保存期限）。反之，也不能因为使用了经过批准的工具就省略第一层保护。最小化处理是一项与使用何种工具无关的基本原则。

服务条款年龄与法定年龄不一致时

韩国《个人信息保护法》的基准年龄是满14周岁，而许多AI服务的条款则以13岁和18岁为基准。这两项标准回答的是不同的问题。法律规定的是“谁的同意才有效”，而条款规定的是“谁可以使用该服务以及需要满足何种条件”。

因此，必须同时满足这两个标准。满15周岁的学生根据韩国《个人信息保护法》可以自行同意个人信息处理，但如果条款要求未满18周岁者须获得监护人许可，则仍需取得监护人许可。对于满12周岁的学生，即便监护人同意，但若条款禁止未满13周岁者使用，也无法使用该服务。当考试题目中同时出现学生年龄与条款条件时，请分别代入这两个标准进行对照。

开通学生账号，还是由教师演示

让学生亲自上手使用AI，在AI素养教育中具有重要价值。因为学生可以通过不断调整提问，亲手验证输出结果的变化，以及AI会在何时出现错误。但是，开通学生账号会随之带来年龄门槛、监护人许可、数据条件以及账号管理等成本。

教师演示则无需承担这些成本，便能达成相当一部分教学目标。如果采取由学生设计提问、教师代为输入、大家共同对结果进行审视评价的方式，就能够培养提问设计与结果验证这两项核心能力。另一方面，如果属于要求学生各自在屏幕前亲自经历试错的实操练习（例如解读编程错误），仅靠演示就远远不够了。在做出选择时，必须综合考量“学生应通过该活动学到什么”以及“是否具备开通学生账号的各项条件”。

工作场景

野花小学：AI阅读App与同意书

野花小学计划面向四年级的96名学生（满9~10周岁）引入一款AI阅读App。该App会阅读学生撰写的读后感并提出问题，同时保存阅读记录。厂商发来了宣传资料，宣称该App是“专为教育用途安全设计的应用”，并附带了阅读量有所增加的其他学校案例。

负责教师起初拟定的同意书草案中，包含了该App的效果资料、AI模型名称，以及“若不同意则无法参加阅读表现评价”的语句。信息部长对该草案进行了三处修改。第一，将第15条第2款所要求的四项内容（目的、项目、保存期限、拒绝权及不利影响）整理为表格。第二，删除了拒绝时的不利影响语句，替换为“若不同意，将使用纸质阅读记录本开展相同活动”的替代活动说明。第三，将效果资料和模型名称单列为参考资料。

由于学生均未满14周岁，因此须向法定代理人征得同意，并决定在《实施令》第17条之2规定的方法中，采用学校家校通系统的本人身份认证方式进行核实。针对学生，则另外制作了附带插图的单页说明，用通俗浅显的语言解释了“该App会在何处、保存多长时间我的读后感”。

在签约过程中，确认了厂商将代学校存储和分析学生的读后感，因此学校在委托合同中注明了禁止超目的处理以及保存期限（学年末删除），并在学校网站的个人信息处理方针中公示了受托人。被放弃的备选方案是“轻信厂商宣传资料直接引入”以及“不征得同意，仅以校长名义统一通知代之”。

山脊高中：个人账号事故后的整改

山脊高中的一名教师将20余条生涯咨询记录输入个人账号AI进行摘要，后因同事提出质疑而被发现。尽管该教师声称“已经去除了姓名”，但记录中却包含了学生的健康问题和家庭情况。

学校的个人信息保护负责人首先核实了事实关系。梳理了具体输入了哪些记录、在何种服务中、于何时输入，该服务的保存条件是什么，以及是否可以删除对话记录，并在可行范围内要求删除了对话记录。随后按照法律规定履行程序，判定该事件是否构成泄露等情形，以及是否需要通知信息主体并进行申报。

为防止类似事件再次发生，学校做出了两项改进。一是在教师用AI使用指南中，以表格形式列出了各类学生信息的处理方法。规定不得将咨询记录与健康信息输入AI；学生的文章须在隐去线索后仅在经过批准的工具中处理；对于试题统计等无法识别特定个人的资料，则允许自由分析。另一项改进是针对一线教师反映批准工具缺乏摘要功能的问题，在培训中演示了仅由教师输入泛化后的主题清单来进行整理的方法。学校放弃的备选方案是“全面禁止使用AI”。因为学校认为，若一味禁止，反而存在促使教师在更隐蔽之处使用的风险。

易错点

1. “删除了姓名和学号，就不是个人信息了。” 删除了容易去除的内容固然让人感到放心，但文章内容中的线索仍然能让同班同学认出是谁。只要能与其他信息轻松结合并识别出特定个人，就属于个人信息。
2. “只要关闭训练设置，就可以输入到个人账号中。” 不用于训练与不予保存是两回事，而且将数据转移到学校管辖之外的地方这一问题依然存在。
3. “监护人既然已经同意，就无需另外告知孩子。” 法定代理人的同意与向儿童提供通俗易懂告知的义务是各自独立的。
4. “满14周岁以上，无论条款如何，仅凭本人同意就足够了。” 法定同意年龄与服务条款中的监护人许可要求回答的是不同层面的问题。两者都必须遵守。
5. “既然是已有信息，只要目的良好就可以使用。” 超出收集目的的使用，必须具备单独同意等合法依据。
6. “只要签订保密协议，就可以提供学生档案。” 向第三方提供学生在校生活记录，必须取得学生及监护人的同意，或具备法定例外情形（若是学术研究，须为无法识别个人的形式）。
7. “服务器在境外就绝对不行。” 只要符合法定要件，跨境传输就是允许的处理方式。无条件排斥或无条件允许都是错误的。
8. “轮流使用公共账号就可以避开年龄问题。” 这属于规避年龄标准和监护人许可要求的行为，而且也会导致无法对输入内容进行有效管理。

要点速览

查阅官方文档

• 韩国国家法令信息中心 — 《个人信息保护法》第2条 — 请查阅个人信息、假名信息、处理定义的原文。
• 韩国国家法令信息中心 — 《个人信息保护法》第3条 — 请阅读八项处理原则。
• 韩国国家法令信息中心 — 《个人信息保护法》第22条之2 — 儿童个人信息保护的四个款项。
• 韩国国家法令信息中心 — 《个人信息保护法实施令》第17条之2 — 请查阅法定代理人同意的核实方法。
• 韩国国家法令信息中心 — 《个人信息保护法》第26条 — 请查阅委托合同文本、公示及监督义务。
• 韩国国家法令信息中心 — 《初等中等教育法》第30条之6 — 请阅读向第三方提供学生在校生活记录的限制与例外情形。
• OpenAI Help — How can educators respond to students presenting AI-generated content as their own? — 记载了使用年龄及监护人许可要求的教育工作者指南。
• UNESCO — Governments must quickly regulate Generative AI in schools — 请查阅课堂AI工具的年龄标准（13岁）以及敦促开展教师培训的相关内容。

自测

3-1. 写出韩国《个人信息保护法》在判断“与其他信息容易结合而能够识别个人的信息”时要求考量的要素，并说明为什么班级这一环境会使这种判断更加严格。

3-2. 选出韩国《个人信息保护法》第3条各项原则中在决定向AI输入哪些内容时直接适用的三项原则，并各用一行进行阐述。

3-3. 写出关于未满14周岁儿童的第22条之2中的三项规则，并从施行令中列举确认法定代理人是否同意的两种方法。

3-4. 写出同意书中必须告知的四项内容，并说明不得对不同意的学生给予不利待遇，而应当准备什么。

3-5. 准确写出向外部提供学校生活记录的各项例外中与研究相关的规定，并说明保密协议为何不能替代该规定。

3-6. 写出查阅AI服务的数据条款时需要确认的五个问题，并选出一个仅凭“不用于模型训练”这一表述无法回答的问题。

3-7. 举例说明“法定同意年龄（满14周岁）与服务条款中的年龄标准回答的是彼此不同的问题”这句话的含义。

3-8. （设计任务）在你们学校中选择三个可能涉及学生信息的AI应用场景，分别写出各场景将采用“去除学生信息并使用AI的方法”表格中的哪种方法，并说明理由。

实操练习