美國中小學(xué)生個(gè)人信息法律保護(hù)政策探究

馮愷

（中國政法大學(xué)比較法學(xué)研究院，北京 100088）

云計(jì)算與大數(shù)據(jù)挖掘技術(shù)的適用在廣度和深度上改變了信息的收集與使用模式，并在一些利益攫取者的支配下前所未有地滲透到個(gè)人信息領(lǐng)域。中小學(xué)生正在成為數(shù)字媒體的活躍參與者，他們通過社交傳媒保持日常聯(lián)系，積極體驗(yàn)科技教育新產(chǎn)品，并熱衷于體驗(yàn)手機(jī)小程序或網(wǎng)絡(luò)游戲等具有潛在信息泄露風(fēng)險(xiǎn)的行為。學(xué)校需要收集學(xué)生數(shù)據(jù)以形成教育記錄，但隨著信息普遍以數(shù)字形式存儲(chǔ)，學(xué)校因囿于自身處理信息的能力而日漸依賴于第三方技術(shù)服務(wù)平臺(tái)；第三方得以獲取和存儲(chǔ)大量的學(xué)生個(gè)人信息，包括姓名、身份證號(hào)、家庭信息等一般信息以及通過錄入指紋、刷臉等技術(shù)方式獲取的敏感信息。中小學(xué)生的個(gè)人信息保護(hù)具有特殊性，即主體易受傷害性、信息收集者行為的壟斷性和大規(guī)模性以及損害后果的擴(kuò)張性。相關(guān)個(gè)人信息被泄露或不當(dāng)使用，不僅會(huì)使未成年學(xué)生的現(xiàn)有隱私利益受到損害，而且為其未來的學(xué)習(xí)和生活帶來難以估量的負(fù)面影響——他們可能會(huì)因?yàn)橛字珊鸵粫r(shí)的沖動(dòng)而做出不端行為，而經(jīng)披露的行為問題或?qū)W業(yè)表現(xiàn)等信息，均會(huì)影響到其將來升學(xué)乃至求職時(shí)的評估結(jié)果。在數(shù)字技術(shù)背景下，相關(guān)風(fēng)險(xiǎn)可能會(huì)被無數(shù)倍放大，從而亟待立法上給予特別關(guān)注。美國作為未成年人信息保護(hù)立法的引領(lǐng)者，其針對K-12（特指從幼兒園到高中的階段）學(xué)生的個(gè)人信息設(shè)定了專門的法律規(guī)則，從立法保護(hù)模式、保護(hù)范圍、義務(wù)機(jī)制構(gòu)建以及利益平衡等方面不斷加強(qiáng)和完善對這一特殊信息主體的保護(hù)。

一、K-12學(xué)生個(gè)人信息保護(hù)的立法挑戰(zhàn)及應(yīng)對

美國將K-12學(xué)生從成年人主體中區(qū)分出來，對其施以專門的立法保護(hù)，也即所謂的區(qū)分主義保護(hù)。兒童的自然存在呈現(xiàn)出生物發(fā)展主義的特性，如脆弱、無知、無能力、依賴、非理性、無法自我控制等諸多不同于成人的特征，[1]這使他們對個(gè)人信息處理的風(fēng)險(xiǎn)、后果、保障措施及相關(guān)權(quán)利了解不足，法律上需要為其提供特別的保護(hù)。正如學(xué)者所言，兒童個(gè)人信息權(quán)利如此需要保護(hù)，它應(yīng)該先于其他權(quán)利受到保護(hù)。[2]然而，在對大數(shù)據(jù)依賴度不斷增加的當(dāng)下社會(huì)，兒童和兒童權(quán)利支持者的聲音并沒有獲得足夠重視。[3]K-12學(xué)生大致介于6～18歲之間，是處于高度信息化環(huán)境的兒童群體的主要構(gòu)成部分，對其區(qū)分保護(hù)符合美國社會(huì)珍視兒童利益的一般價(jià)值觀。同時(shí)，美國社會(huì)盛行現(xiàn)實(shí)主義的法律文化觀，發(fā)生何種新問題時(shí)推行何種應(yīng)對性立法，故而難以找到一部規(guī)定個(gè)人信息處理者完整權(quán)利和責(zé)任的全面性隱私法，對個(gè)人信息使用和公開的監(jiān)管側(cè)重于“特定的行業(yè)活動(dòng)”[4]，K-12學(xué)生的個(gè)人信息保護(hù)也歸由專門的法律管轄。可見，美國法中針對K-12學(xué)生推行基于區(qū)分主義的立法保護(hù)模式，是兒童不成熟屬性、本土社會(huì)價(jià)值觀及法律文化觀等多種因素促成的結(jié)果。

（一）舊的法律政策面臨挑戰(zhàn)

從立法發(fā)展來看，美國關(guān)于K-12學(xué)生個(gè)人信息的保護(hù)最早確立于1974年《家庭教育權(quán)和隱私權(quán)法》（Family Educational Rights and Privacy Act）及1998年《兒童在線隱私保護(hù)法》（Children Online Privacy Protection Act）兩部聯(lián)邦法案，兩者長期以來承擔(dān)著對中小學(xué)生這一特殊信息主體的保護(hù)使命。然而，隨著數(shù)字技術(shù)的迅速發(fā)展，兩部立法日漸不能彌合21世紀(jì)以來科技發(fā)展和個(gè)人信息保護(hù)之間的矛盾，其規(guī)范上的漏洞日漸凸顯。美國國家教育政策中心的報(bào)告顯示，根據(jù)《家庭教育權(quán)和隱私權(quán)法》的規(guī)定，只要不將學(xué)生個(gè)人信息披露給其他第三人，教育機(jī)構(gòu)可以不經(jīng)學(xué)生或其家長同意披露教育記錄中的個(gè)人信息；但作為學(xué)校分包人的“合同人、咨詢者、志愿者或其他當(dāng)事人”常因代表學(xué)校的利益而被視為學(xué)校當(dāng)局，當(dāng)學(xué)校將學(xué)生個(gè)人信息提供給這樣的第三方機(jī)構(gòu)時(shí)，并不必然違反法律規(guī)定，從而使濫用相關(guān)信息的組織或個(gè)人逃脫法律的制約。[5]

根據(jù)福德漢姆法學(xué)院法律和信息隱私中心發(fā)布的“公立學(xué)校隱私和云計(jì)算”報(bào)告：（1）被調(diào)查的95%的學(xué)區(qū)依靠云計(jì)算實(shí)現(xiàn)多種功能，包括監(jiān)督學(xué)生表現(xiàn)、為課堂活動(dòng)提供支持、提供信息及指導(dǎo)學(xué)生；（2）只有25%的學(xué)區(qū)就其云服務(wù)使用告知家長；（3）20%的學(xué)區(qū)沒有管理其云服務(wù)使用的政策；（4）在學(xué)區(qū)和云服務(wù)提供者的合同中，只有25%的學(xué)區(qū)就學(xué)生數(shù)據(jù)收集相關(guān)服務(wù)提供者的行為予以審查；（5）不到7%的合同限制買賣學(xué)生信息；（6）只有1份合同要求云服務(wù)提供者在違反數(shù)據(jù)安全時(shí)告知學(xué)校。[6]這表明云計(jì)算已經(jīng)全面滲透到學(xué)校生活中，舊的立法不能充分滿足現(xiàn)實(shí)之需，美國社會(huì)亟待采行新的法律策略。在此背景下，美國近年來在聯(lián)邦和州層面上推動(dòng)新的一輪法律改革，旨在加強(qiáng)對K-12學(xué)生教育信息隱私的保護(hù)。

（二）聯(lián)邦立法動(dòng)向

美國聯(lián)邦層面上的立法政策清楚地指明了強(qiáng)化教育信息隱私保護(hù)的變革方向。2015年以來，關(guān)于K-12學(xué)生信息隱私保護(hù)的國會(huì)議案涉及三種法律改革方案。其一，設(shè)立專門研究委員會(huì)。此方案以S.1177號(hào)議案的補(bǔ)充法案為代表，要求成立“學(xué)生隱私政策委員會(huì)”，研究現(xiàn)有聯(lián)邦法律及其實(shí)施機(jī)制對K-12學(xué)生信息保護(hù)的有效性，如何促進(jìn)和加強(qiáng)聯(lián)邦法律，有無必要提供或更新與學(xué)生隱私有關(guān)概念的標(biāo)準(zhǔn)，確立哪些聯(lián)邦立法需要更新以及合適的聯(lián)邦執(zhí)行機(jī)構(gòu)等。其二，將規(guī)制目標(biāo)指向?yàn)镵-12教育機(jī)構(gòu)提供特定科技服務(wù)的運(yùn)營商。此方案以H.R.2092號(hào)議案，即《學(xué)生數(shù)字隱私和父母權(quán)利法》為代表，禁止運(yùn)營商利用從學(xué)生在線行為、在線使用、移動(dòng)應(yīng)用或相關(guān)信息中獲取的信息向?qū)W生和父母宣傳推廣，向第三方銷售學(xué)生信息、收集學(xué)生信息創(chuàng)建個(gè)人檔案或進(jìn)行與教育目的無關(guān)的使用，并要求運(yùn)營商就未成年學(xué)生信息的告知、刪除、改正和披露等事項(xiàng)承擔(dān)相關(guān)義務(wù)。其三，改良現(xiàn)行法，對既有的《家庭教育權(quán)和隱私權(quán)法》作出修正。相關(guān)主張具體呈現(xiàn)于H.R.3157號(hào)、S.1322號(hào)、S.1341號(hào)等多個(gè)議案中，如H.R.3157號(hào)議案，也即《學(xué)生隱私保護(hù)法》，主張擴(kuò)大父母獲取相關(guān)信息的權(quán)利，使其有權(quán)審查、評論、挑戰(zhàn)和糾正未成年人教育記錄中的個(gè)人信息。該改革方案所代表的修正論成為聯(lián)邦立法關(guān)于K-12學(xué)生個(gè)人信息保護(hù)政策的主流理念。

同時(shí)，美國參議員愛德華·馬基（Edward Markey）與喬?！せ衾↗osh Hawley）于2019年3月12日提起關(guān)于《兒童在線隱私保護(hù)法》的修訂法案，以加強(qiáng)對兒童個(gè)人信息的在線收集、使用和披露及其他目的的保護(hù)。該修訂法案提出擴(kuò)大原法的主體適用范圍，以涵蓋13～15歲兒童；在兒童個(gè)人信息收集方面設(shè)立新限制；重新界定運(yùn)營商的義務(wù)標(biāo)準(zhǔn)以及禁止針對兒童推送營銷廣告等主張。[7]其后不久，美國聯(lián)邦貿(mào)易委員會(huì)（Federal Trade Commission）啟動(dòng)對《兒童在線隱私保護(hù)法》的第二次修訂，就該法的有效性、是否需要作出修訂、通知和家長同意及其例外、安全港條款等問題向社會(huì)公眾征求意見，以確保該法更好地適應(yīng)自2013年修訂以來所發(fā)生的市場、技術(shù)和商業(yè)模式變化。[8]這一立法活動(dòng)將對K-12學(xué)生個(gè)人信息保護(hù)產(chǎn)生重要影響。

（三）州立法舉措

美國在州法層面上不斷強(qiáng)化對K-12學(xué)生個(gè)人信息的保護(hù)。多個(gè)州的立法議會(huì)先后制定了專門的K-12學(xué)生信息隱私法，著力于“禁止特定數(shù)據(jù)的收集”或“要求州和學(xué)區(qū)強(qiáng)化其監(jiān)管設(shè)施與程序”。[9]例如，被譽(yù)為美國教育信息隱私法律改革重要里程碑的加利福尼亞州參議院1177號(hào)法案，即引發(fā)公眾矚目的《學(xué)生在線個(gè)人信息保護(hù)法》（Student Online Personal Information Protection Act）的立法摘要中指出，應(yīng)為委托第三方收集與分析K-12學(xué)生信息的學(xué)區(qū)制定隱私標(biāo)準(zhǔn)，針對運(yùn)營商施加更多限制，禁止網(wǎng)絡(luò)運(yùn)營或服務(wù)商以營銷或宣傳某種產(chǎn)品或服務(wù)為目的，而故意使用、披露、編輯或者允許第三人使用、披露或編輯未成年學(xué)生的個(gè)人信息隱私，并在保護(hù)范圍上作出擴(kuò)張性解釋。該法作為首個(gè)將規(guī)制目標(biāo)指向?qū)?shù)據(jù)風(fēng)險(xiǎn)具有控制能力的運(yùn)營商的州立法，被認(rèn)為是“美國保護(hù)K-12學(xué)生在線信息的最嚴(yán)厲法律”和“第一部真正全面的學(xué)生信息隱私立法”。其他一些州在此基礎(chǔ)上相繼確立了專門的學(xué)生個(gè)人信息保護(hù)法。

此外，包括人臉識(shí)別等新型基因信息在內(nèi)的生物識(shí)別信息具有特定的敏感性，美國一些州亦針對中小學(xué)生的此類信息著手制定專門的保護(hù)性立法。例如，根據(jù)路易斯安那州律例注釋第100條相關(guān)學(xué)生生物識(shí)別信息收集和使用的規(guī)定：每一個(gè)負(fù)責(zé)從學(xué)生那里收集生物識(shí)別信息的公立中學(xué)和小學(xué)，應(yīng)該設(shè)立、采取和實(shí)施規(guī)范收集與使用該種信息的政策，至少應(yīng)該包含一個(gè)關(guān)于何種類型的生物識(shí)別信息可以被收集、如何被收集和儲(chǔ)存以及該信息使用目的的完整解釋；須獲得書面許可；相關(guān)個(gè)人信息僅用于身份識(shí)別或者防止欺詐的目的等。佛羅里達(dá)州律例注釋第1002條明確禁止教育機(jī)構(gòu)收集、獲取或保存學(xué)生及其父母、兄弟姐妹的生物識(shí)別信息及其他個(gè)人信息。通過對K-12學(xué)生個(gè)人信息保護(hù)立法的持續(xù)更新和補(bǔ)充，美國在技術(shù)變化發(fā)展的背景下得以有效應(yīng)對不斷涌現(xiàn)的新問題。

二、法律保護(hù)的范圍呈擴(kuò)張化趨向

立法上如何界定個(gè)人信息受保護(hù)的范圍，反映出一個(gè)法域針對某個(gè)特定主體提供何種水平的保護(hù)。對于“法律應(yīng)當(dāng)在多大范圍上保護(hù)K-12學(xué)生信息主體”這一問題的解讀，又常常取決于對其“個(gè)人信息”的內(nèi)涵作出何種界定。如果某個(gè)信息無法與特定個(gè)體的人格身份發(fā)生聯(lián)系，就無法想象對這一信息的使用如何對該個(gè)體產(chǎn)生不良影響，這一客觀事實(shí)促成了當(dāng)前立法的重要觀念，即將“可識(shí)別”確定為個(gè)人信息的核心要素，法律上僅保護(hù)“可識(shí)別”的個(gè)人信息(Personally Identifiable Information，PII)。同時(shí)，對“可識(shí)別”作限縮主義還是擴(kuò)張主義的理解，也關(guān)系到K-12學(xué)生個(gè)人信息能夠在多大程度上獲得立法的保護(hù)。

（一）保護(hù)范圍上的局限性

在美國傳統(tǒng)教育立法中，學(xué)生個(gè)人信息的保護(hù)受到一定限制。一方面，盡管美國國會(huì)并未通過成文法直接規(guī)定個(gè)人信息須“可識(shí)別”，但《家庭教育權(quán)和隱私權(quán)法》在描述“教育記錄”時(shí)使用了這一用語，聲明受保護(hù)的學(xué)生個(gè)人信息并非指所有的教育記錄①根據(jù)《家庭教育權(quán)和隱私權(quán)法》[20 U.S.C. §1232g(a)(4)(A), (b)(2)]的規(guī)定，教育記錄是由教育機(jī)構(gòu)、教育協(xié)會(huì)或其代理人保存的履歷、文檔、證明以及其他與學(xué)生直接相關(guān)的信息資料，包含了以各種記錄形式保存的學(xué)生數(shù)據(jù)。，而是教育記錄中與學(xué)生直接相關(guān)、“可識(shí)別”學(xué)生身份的信息。另一方面，判例法實(shí)踐中往往拒絕對《家庭教育權(quán)和隱私權(quán)法》確立的“教育記錄”作出擴(kuò)張解釋和適用。美國聯(lián)邦最高法院在法爾沃（Falvo）案判決中即認(rèn)為，該案涉及的學(xué)生相互打分行為（peer grading）不應(yīng)作為教育記錄受到保護(hù)，作出這一判定的原因有兩個(gè)。第一，教育記錄的“持有”必須符合“中心保管”原則的要求，即只有存放于學(xué)校檔案室或安保數(shù)據(jù)庫中的材料才是法律所指的“教育記錄”，學(xué)生在課堂上相互批改的作業(yè)或試卷并未進(jìn)入學(xué)校檔案室或數(shù)據(jù)庫中，因此“持有”要件未能得到滿足；第二，教育記錄的持有人只能是教育機(jī)構(gòu)或代理其行為的學(xué)校工作人員、校方助理、教師或者其他學(xué)校雇員等，作業(yè)或試卷的持有人卻只是聽從教師安排參與相互打分活動(dòng)的同學(xué)，這一活動(dòng)在實(shí)質(zhì)上仍然是教學(xué)內(nèi)容的一部分，學(xué)生并不能被視為學(xué)校的代理人，“教育記錄持有人”的要件也不能得到滿足。①長期以來，法爾沃案（Owasso independent school district v. Falvo, 534 U.S. 2002: 42）代表了司法實(shí)踐中限制性解釋“教育記錄”的一個(gè)基本立場。此外，由于教育記錄將“源自學(xué)生的直接個(gè)人體驗(yàn)而形成的認(rèn)知”排除在外，當(dāng)教育機(jī)構(gòu)的員工“私下發(fā)現(xiàn)某個(gè)學(xué)生從事反常和具有威脅性的行為時(shí)”，則可以將相關(guān)信息與他人分享。[10]顯然，對“可識(shí)別”個(gè)人信息與“教育記錄”的限縮性解釋，使得受保護(hù)的K-12學(xué)生個(gè)人信息的范圍相應(yīng)縮小。

（二）局限克服：對“可識(shí)別”的擴(kuò)張解釋

在數(shù)字技術(shù)背景下，《家庭教育權(quán)和隱私權(quán)法》的適用限制使一部分學(xué)生個(gè)人信息被排除在法律保護(hù)范圍之外。例如，未與教育機(jī)構(gòu)締結(jié)合同的第三方通過在線工具從學(xué)生或教師那里直接獲取的學(xué)生信息，以及學(xué)生在校接受問卷調(diào)查或標(biāo)準(zhǔn)考試時(shí)產(chǎn)生的可交易文件，均無法獲得該法的保護(hù)。[11]為了解決這一困境，美國聯(lián)邦立法趨向于對學(xué)生“可識(shí)別”個(gè)人信息的內(nèi)涵作出擴(kuò)張解釋，以期將包括一個(gè)學(xué)生的項(xiàng)目、地址和社會(huì)安全號(hào)及其他間接識(shí)別符等在內(nèi)的更多個(gè)人信息類型納入法律保護(hù)范圍。一些州立法也試圖采用更具包容性和彈性的方法來解釋K-12學(xué)生個(gè)人信息的概念。以加利福尼亞州《學(xué)生在線個(gè)人信息保護(hù)法》（Student Online Personal Information Protection Act）為例，它通過“一般定義+特別列舉”的方法，將受保護(hù)的K-12學(xué)生個(gè)人信息界定為“個(gè)人身份可識(shí)別的信息或數(shù)據(jù)”，并補(bǔ)充列舉了相關(guān)信息或數(shù)據(jù)被儲(chǔ)存的特定媒介形式。如此，未受《家庭教育權(quán)和隱私權(quán)法》保護(hù)的學(xué)生個(gè)人信息得以納入法律的保護(hù)框架，從而在一定程度上擴(kuò)大了原有立法的保護(hù)范圍。

數(shù)字科技使得非識(shí)別性個(gè)人信息可以與個(gè)人關(guān)聯(lián)起來，經(jīng)滌除的個(gè)人信息能夠被重新識(shí)別，某個(gè)時(shí)間被認(rèn)為非識(shí)別的信息也會(huì)在以后的某個(gè)時(shí)間轉(zhuǎn)化為可識(shí)別性信息。在一般個(gè)人信息保護(hù)法律實(shí)踐中，法院亦往往針對“可識(shí)別”采取限縮性解釋的方法，強(qiáng)調(diào)PII中的“I”為“已識(shí)別”（identified），即基于當(dāng)前的技術(shù)水平能夠被識(shí)別。[12]受制于個(gè)人信息“可識(shí)別”這一核心概念的限縮解釋立場，受保護(hù)的K-12學(xué)生個(gè)人信息同樣被限定于“已識(shí)別”的信息部分。這意味著，諸如個(gè)人數(shù)據(jù)痕跡之類的新生信息類型難以被納入既有的法律保護(hù)框架，運(yùn)營商仍然能夠保存和使用“身份識(shí)別信息被滌除”（de-identified）或“匿名”(anonymous)的學(xué)生個(gè)人信息來拓展教育產(chǎn)品和服務(wù)?！爱?dāng)技術(shù)變化使得法律的文義變得模糊時(shí)，必須根據(jù)法律的基本目的作出解釋?！雹谠撜擖c(diǎn)出自 21世紀(jì)音樂公司訴艾肯案（Twentieth Century Music Corp. v. Aiken, 422 U.S. 1975:156），其積極應(yīng)對技術(shù)變更的主張為許多案件提供了指引?；贙-12學(xué)生個(gè)人信息的特別保護(hù)目的，對“可識(shí)別”這一范疇作出寬泛界定，使更多個(gè)人信息類型被納入法律的保護(hù)框架之下，具有重要的現(xiàn)實(shí)意義。[13]正因如此，“可識(shí)別”的內(nèi)涵隨著技術(shù)的快速發(fā)展在美國法律實(shí)踐中不斷擴(kuò)大，以至于保羅·奧姆（Paul Ohm）感嘆“最高法院和立法者都趕不上其發(fā)展進(jìn)程”[14]。這一擴(kuò)張趨向在一定程度上也填補(bǔ)了原有法律對K-12學(xué)生個(gè)人信息保護(hù)的漏洞。

三、重視法律義務(wù)機(jī)制的構(gòu)建

根據(jù)一般兒童權(quán)利觀念，兒童的基本權(quán)利應(yīng)當(dāng)建立在更為廣泛的基本義務(wù)之上，這些基本義務(wù)能夠被用于有效踐行具有正當(dāng)性的權(quán)利。從美國相關(guān)立法發(fā)展來看，在前期，關(guān)于K-12學(xué)生個(gè)人信息的立法保護(hù)以權(quán)利為本位，強(qiáng)調(diào)對學(xué)生及其監(jiān)護(hù)人信息權(quán)利的賦予；在后期，立法者普遍接受實(shí)際風(fēng)險(xiǎn)控制者擔(dān)責(zé)理論，立法保護(hù)的重心日漸轉(zhuǎn)向注重學(xué)校、運(yùn)營商以及其他社會(huì)組織的義務(wù)承擔(dān)。在數(shù)字技術(shù)背景下，K-12學(xué)生個(gè)人信息的立法規(guī)制目標(biāo)從傳統(tǒng)上掌管其日常生活的學(xué)校、家庭進(jìn)而轉(zhuǎn)向掌握新技術(shù)密碼的運(yùn)營商；保護(hù)方法上更側(cè)重于義務(wù)機(jī)制的構(gòu)建，令數(shù)據(jù)的采集者和使用者對數(shù)據(jù)的管理及其可能產(chǎn)生的危害負(fù)責(zé)，不再狹隘地將其責(zé)任局限于是否通過正常途徑采集數(shù)據(jù)。概而言之，美國K-12學(xué)生個(gè)人信息保護(hù)的立法重心從最初的權(quán)利本位日漸趨向于義務(wù)本位。以學(xué)校和運(yùn)營商這對具有風(fēng)險(xiǎn)控制能力的義務(wù)主體為重心，構(gòu)建學(xué)生個(gè)人信息保護(hù)的義務(wù)機(jī)制，尤其是突出數(shù)字技術(shù)背景下運(yùn)營商的特定義務(wù)承擔(dān)，這與既有的授權(quán)保護(hù)模式相呼應(yīng)，有力地保障了中小學(xué)生的個(gè)人信息利益。

（一）學(xué)校義務(wù)承擔(dān)模式

美國立法始終強(qiáng)調(diào)學(xué)校對K-12學(xué)生個(gè)人信息保護(hù)的義務(wù)承擔(dān)。學(xué)校掌控著未成年學(xué)生的教育記錄，在信息風(fēng)險(xiǎn)的控制鏈條中居于關(guān)鍵位置；學(xué)生的權(quán)利客觀上也需要通過學(xué)校義務(wù)的具體履行得以實(shí)現(xiàn)。因此，學(xué)校義務(wù)承擔(dān)模式早在美國最初的立法文件中，就被視為一種有效的保護(hù)方法。以《家庭教育權(quán)和隱私權(quán)法》為范例，該法在突出保護(hù)學(xué)生及其家長的信息權(quán)利的同時(shí)，又詳盡地列舉了學(xué)校的法定義務(wù)，包括公開K-12學(xué)生個(gè)人信息應(yīng)獲取其家長同意、告知家長及學(xué)生相關(guān)信息權(quán)利、提供聽證機(jī)會(huì)和確保教育記錄的正確性以及糾正錯(cuò)誤與刪除不當(dāng)內(nèi)容等。對學(xué)校義務(wù)承擔(dān)模式的堅(jiān)持，也進(jìn)一步呈現(xiàn)于近年來的州立法活動(dòng)中。譬如，加利福尼亞州《教育法典》第49073.6(c)節(jié)即確立了詳盡的義務(wù)條款，要求學(xué)校承擔(dān)將擬收集或保存的數(shù)據(jù)項(xiàng)目情況告知未成年學(xué)生及其家長、僅能收集或保有與學(xué)?；?qū)W生安全直接相關(guān)的數(shù)據(jù)內(nèi)容等具體義務(wù)。這表明，學(xué)校義務(wù)承擔(dān)模式仍然被視為美國法中K-12學(xué)生個(gè)人信息保護(hù)的一個(gè)基本規(guī)制方法。

（二）運(yùn)營商義務(wù)承擔(dān)模式

運(yùn)營商義務(wù)承擔(dān)模式在相關(guān)K-12學(xué)生個(gè)人信息的立法中獲得更為廣泛的采納。受利益的驅(qū)使，掌握新技術(shù)密碼的運(yùn)營商會(huì)毫無節(jié)制地收集和使用未成年學(xué)生的個(gè)人信息。美國聯(lián)邦貿(mào)易委員會(huì)在制定《兒童在線隱私保護(hù)法》前夕，對一個(gè)以1400個(gè)流行網(wǎng)站為對象的調(diào)查顯示，高達(dá)85%的網(wǎng)站存在收集個(gè)人信息的行為，大多數(shù)面向兒童的網(wǎng)站會(huì)收集兒童個(gè)人信息，僅有極個(gè)別網(wǎng)站張貼了充分的隱私政策。[15]顯然，運(yùn)營商需要承擔(dān)起更大的社會(huì)責(zé)任，證明自己的產(chǎn)品不會(huì)引發(fā)問題，以及在應(yīng)用程序中增加防護(hù)措施而非只顧從市場中牟利。[16]

據(jù)此，美國聯(lián)邦立法《兒童在線隱私保護(hù)法》明確規(guī)定網(wǎng)站或網(wǎng)絡(luò)服務(wù)商對包括K-12在內(nèi)的兒童負(fù)有特定義務(wù)，要求其收集、使用或披露13歲以下兒童的個(gè)人信息時(shí)，須制定清晰的隱私政策，合理解釋收集兒童信息的行為，明確說明正在收集何種信息以及如何使用該信息，并應(yīng)獲得家長同意和提供合理途徑、方法，以便于家長檢查、刪除被收集的數(shù)據(jù)。許多州立法也日漸突出運(yùn)營商對K-12學(xué)生個(gè)人信息保護(hù)的義務(wù)承擔(dān)。例如，加利福尼亞州《學(xué)生在線個(gè)人信息保護(hù)法》第22584條通過兩個(gè)重要舉措，強(qiáng)化數(shù)字技術(shù)背景下運(yùn)營商對學(xué)生個(gè)人信息的保護(hù)義務(wù)。一是重新詮釋“運(yùn)營商”的內(nèi)涵，使義務(wù)主體的范圍擴(kuò)展至幾乎囊括所有可能收集和使用K-12學(xué)生個(gè)人信息的主體；二是細(xì)化運(yùn)營商義務(wù)的內(nèi)容，包括運(yùn)營商不得在網(wǎng)站、服務(wù)或應(yīng)用中進(jìn)行有針對性的廣告宣傳或基于獲取的信息策劃廣告，不得違反教育目的利用所收集的信息形成學(xué)生檔案，不得銷售或披露法律所涵蓋的學(xué)生信息，還要保護(hù)該信息免受未經(jīng)授權(quán)的獲取、破壞、使用、修正或披露等。特拉華等其他多個(gè)州的學(xué)生信息隱私保護(hù)法也作出了類似規(guī)定。美國立法通過明確運(yùn)營商對K-12學(xué)生信息主體的法定保護(hù)義務(wù)，令其信息隱私安全獲得更大保障。

（三）采取“二元制”的規(guī)制路徑

學(xué)校和運(yùn)營商對K-12學(xué)生個(gè)人信息保護(hù)的義務(wù)承擔(dān)，在美國法中主要通過“二元制”的規(guī)制路徑得以實(shí)現(xiàn)。一是立法者施加特定義務(wù)于學(xué)校，相關(guān)內(nèi)容納入教育類法律，由對學(xué)校具有控制權(quán)力的教育主管部門監(jiān)督實(shí)施；二是立法者施加特定義務(wù)于運(yùn)營商，相關(guān)內(nèi)容納入貿(mào)易和行業(yè)類立法，由對運(yùn)營商具有控制權(quán)力的聯(lián)邦貿(mào)易委員會(huì)監(jiān)督實(shí)施。此種規(guī)制路徑將學(xué)校和運(yùn)營商承載義務(wù)的實(shí)踐使命，交由對其具有實(shí)質(zhì)控制和影響力的主管部門，責(zé)任界分清晰，而非泛泛地要求“各部門聯(lián)合執(zhí)行”，這在很大程度上促進(jìn)了義務(wù)內(nèi)容的有效實(shí)現(xiàn)。

四、平衡K-12學(xué)生個(gè)人信息保護(hù)與其他利益的沖突

根據(jù)現(xiàn)代法的觀念，一部法律的好壞標(biāo)準(zhǔn)還在于它能否成功維持所在社會(huì)秩序的良性運(yùn)行。隨著信息保護(hù)理論研究的深入，人們?nèi)諠u意識(shí)到維持個(gè)人信息保護(hù)及其沖突性利益平衡的重要性。美國德茂欣（Duane Morris）律師事務(wù)所的報(bào)告顯示，盡管信息隱私是一個(gè)持久不斷的熱門話題，圍繞學(xué)生個(gè)人信息保護(hù)的恰當(dāng)使用或?yàn)E用的對話趨向并非側(cè)重于信息隱私本身，而是側(cè)重于商家和消費(fèi)者之間的相互作用，以及如何使教育產(chǎn)品和服務(wù)提供者獲取技術(shù)進(jìn)步。[17]K-12學(xué)生個(gè)人信息的法律保護(hù)同樣面臨與技術(shù)進(jìn)步、經(jīng)濟(jì)發(fā)展及國家安全等利益的沖突和平衡。例如，基于打擊恐怖主義和維護(hù)國家安全的需要，美國《愛國者法》（USA Patriot Act）允許調(diào)查機(jī)關(guān)在涉及恐怖主義的事件中不經(jīng)通知或許可程序秘密調(diào)取學(xué)生的教育記錄。[18]不過，就K-12學(xué)生這一特定信息主體而言，更為突出的問題是如何平衡其與公共教育、家庭監(jiān)管及教育科技應(yīng)用等利益之間的沖突。在根植于務(wù)實(shí)主義文化土壤的美國法中，K-12學(xué)生個(gè)人信息保護(hù)與其他受保護(hù)利益之間的平衡，主要是通過免責(zé)、限制適用與排除等例外性規(guī)定以及彈性的個(gè)案判決得以實(shí)現(xiàn)的。

（一）立法平衡

在立法層面上，美國《家庭教育權(quán)和隱私權(quán)法》規(guī)定了不經(jīng)書面同意獲得教育記錄的“例外”情況，包括基于“合法教育利益”原則將學(xué)生的教育記錄透露給學(xué)校管理者，或者為了保護(hù)學(xué)生與他人的健康和安全將教育記錄透露給合適的人；如果父母、其他監(jiān)護(hù)人或有資格的學(xué)生沒有選擇退出，學(xué)校也有權(quán)將包括姓名、地址、電話號(hào)碼、生日、出勤日期、學(xué)歷和獎(jiǎng)勵(lì)等在內(nèi)的學(xué)生“目錄信息”（directory information）透露給公眾。作為具有代表性的州立法，加利福尼亞州《學(xué)生在線個(gè)人信息保護(hù)法》采用了免責(zé)、限制適用及排除等具體平衡方法。首先，在遵循該法22584條（b）分項(xiàng)包括的（1）—（3）項(xiàng)未被違反的前提下，披露K-12學(xué)生個(gè)人信息的“免責(zé)”情形包括：根據(jù)其他聯(lián)邦或州法律規(guī)定的要求披露；以合法研究為目的；基于K-12學(xué)校教育目的、根據(jù)州或聯(lián)邦法律許可使用；運(yùn)營商所使用的學(xué)生數(shù)據(jù)并不能識(shí)別身份等。其次，限制適用的情形包括：不得將（b）分項(xiàng)解釋為禁止運(yùn)營商使用信息以維護(hù)、發(fā)展、支持、促進(jìn)或診斷其網(wǎng)站、服務(wù)或其應(yīng)用；不得通過解釋以限制法律執(zhí)行機(jī)構(gòu)根據(jù)法律授權(quán)或有資格的司法法院的命令從運(yùn)營商那里獲取任何內(nèi)容或信息；不得限制運(yùn)營商基于自我適應(yīng)性學(xué)習(xí)或基于學(xué)生量身定做的目的而使用學(xué)生數(shù)據(jù)的能力。再次，該法22584條也列出了排除適用的情形：主體為一般的網(wǎng)站、在線服務(wù)、在線應(yīng)用或移動(dòng)應(yīng)用的一般愛好者，網(wǎng)絡(luò)服務(wù)提供者為學(xué)校、學(xué)生或其家庭提供網(wǎng)絡(luò)鏈接，網(wǎng)站、在線服務(wù)、應(yīng)用或移動(dòng)應(yīng)用的運(yùn)營商不以使用受保護(hù)信息為目的向家長推銷產(chǎn)品。通過此類具體平衡規(guī)則的適用，立法者鼓勵(lì)教育者和立法者攜手共進(jìn)，在K-12學(xué)生個(gè)人信息保護(hù)、技術(shù)創(chuàng)新和其他需求之間獲取利益平衡。

（二）司法平衡

在司法層面上，美國聯(lián)邦最高法院通過一系列判例實(shí)踐限制了《家庭教育權(quán)和隱私權(quán)法》的適用。例如，法爾沃案審理法院對教育記錄的保護(hù)范圍作出限縮性解釋，不久后，多伊（Doe）案則確立了個(gè)人不得以該法為依據(jù)提起訴訟的先例，要求完全由教育部家庭政策合規(guī)辦公室（Department of Education's Family Policy Compliance Oきce）負(fù)責(zé)相關(guān)訴訟①通過多伊案（Gonzaga University v. Doe. 536 U.S. 2002: 273）確立的這一先例，美國司法上進(jìn)一步提高了《家庭教育權(quán)和隱私權(quán)法》相關(guān)訴訟的門檻。。除遏制針對學(xué)校的濫訟行為外，聯(lián)邦最高法院相關(guān)判例的核心要旨還在于：在個(gè)人信息隱私代表的私人利益與維護(hù)公立院校良好運(yùn)營的公共利益之間尋求一個(gè)平衡點(diǎn)，尊重K-12學(xué)生個(gè)人信息的同時(shí)確保公共教育秩序的良好運(yùn)行。

五、結(jié)語

在數(shù)字技術(shù)背景下，如何應(yīng)對新的挑戰(zhàn)和合理保護(hù)中小學(xué)生個(gè)人信息成為一個(gè)重要的法律命題，美國近年來的法律改革正是對這一命題的積極回應(yīng)。兒童的不成熟屬性、本土社會(huì)價(jià)值觀及其法律文化觀等因素，促使美國針對K-12學(xué)生采取區(qū)分主義的立法保護(hù)模式?？陀^上看，以信息處理為核心的行業(yè)本身情況千差萬別，這就要求依據(jù)相關(guān)行業(yè)和領(lǐng)域的特殊性及社會(huì)發(fā)展的需要擬制特別的規(guī)范。[19]中小學(xué)生的個(gè)人信息保護(hù)在信息類型、權(quán)利行使、訴訟主體等問題上呈現(xiàn)出獨(dú)有的特征，針對他們制定專門的保護(hù)規(guī)則，進(jìn)行產(chǎn)業(yè)合規(guī)及法律個(gè)案判斷時(shí)也更為準(zhǔn)確。

美國法律改革旨在從不同層面上為K-12學(xué)生的個(gè)人信息提供保護(hù)。一是保護(hù)范圍上趨向擴(kuò)張?，F(xiàn)代技術(shù)軌跡正在轉(zhuǎn)向采集、使用和儲(chǔ)存對個(gè)人沒有直接聯(lián)系的信息，如果對中小學(xué)生個(gè)人信息的“可識(shí)別”采行限縮主義的解釋方法，新生的信息類型將難以納入法律的保護(hù)范圍。對個(gè)人信息的“可識(shí)別”作擴(kuò)張化解釋，使受保護(hù)信息既包括“目前”可識(shí)別的信息，也包括“將來”可識(shí)別的信息，更有助于中小學(xué)生信息利益的全面保護(hù)。二是重視義務(wù)機(jī)制的建構(gòu)。為了有效實(shí)現(xiàn)中小學(xué)生個(gè)人信息的保護(hù)目標(biāo)，美國進(jìn)一步明確了學(xué)校的法定義務(wù)，強(qiáng)調(diào)運(yùn)營商的特定義務(wù)承擔(dān)，并力圖確立更為具體可行的義務(wù)內(nèi)容和歸責(zé)方案。三是采用免責(zé)、限制適用及例外等限制性條款的方式平衡不同利益之間的沖突，保護(hù)中小學(xué)生個(gè)人信息的同時(shí)，為公共教育和科技創(chuàng)新保留一定的發(fā)展空間。此外，基于數(shù)字技術(shù)的復(fù)雜性，允許法官在處理相關(guān)訴訟時(shí)基于社會(huì)情勢、個(gè)案事實(shí)及其在同類案件中的審判經(jīng)驗(yàn)作出權(quán)衡。