视觉中国供图

　　党的十八大以来，以习近平同志为核心的党中央高度重视数据治理。习近平总书记强调，数据基础制度建设事关国家发展和安全大局。在此背景下，智慧教育中数据治理的重要性日益凸显。但在实践中，部分教育平台在校园隐蔽地采集学生数据，使“知情—同意”流于形式；同时，技术过度依赖量化指标，容易造成数字鸿沟或评价偏颇等问题，从而可能剥夺学生的学习自由。此外，科技企业介入教育场域后模糊了数据流转的安全边界，对教育公平的核心价值构成威胁。

　　面对前述智慧教育衍生的数据风险，现行法律暴露出在教育场域的适用局限：其一，《中华人民共和国个人信息保护法》难以实现对学生敏感数据的精准保护；其二，现有规范难以穿透算法黑箱以构建偏见矫正机制，且分散式立法致使实践中归责困难，学生救济途径不畅。故在教育法典编纂之际，亟须将智慧教育数据治理与学生数字权益保护体系化地纳入法典，以回应数字时代教育法治的发展诉求。

　　当前，对教育法典的编纂，学界普遍主张采用“总则—分则”的基本体例，而涉及数字教育、人工智能等内容时主要存在三种立场：第一种主张在总则中创设“在线教育”专章，明确技术应用原则与法律责任；第二种强调应将人工智能规则有机融入法典，总则坚持发展与安全并重，分则按具体教育阶段设计；第三种则提倡系统性的数字教育规范进路，将“数字教育”贯穿法典各编。可见，无论选择何种编纂路径，智慧教育数据治理的内容都须在教育法典中得到系统安排。

　　建立智慧教育数据处理的基本原则

　　智慧教育数据处理应建立四项基本原则，即受教育者利益最大化原则、教育目的限定原则、算法公正与透明原则和数据收集的比例原则。

　　对于受教育者利益最大化原则，有学者曾指出，有必要明确受教育权保护的实质性优先、利益最大化、全生命周期等原则。这就要求在数据收集、使用、共享的全过程中，受教育者的利益应始终处于最高位阶，数据只有在服务于教育核心目的时才具有正当性。

　　教育目的限定原则是指，教育数据应严格限定于教育场域内的使用，学校或科技企业不得将在教学过程中收集的学生学习行为、心理状态等数据，转用于教育培训广告投放、升学咨询营销等非教育场景。

　　建立算法公正与透明原则，是因为当人工智能深度介入学校核心事务时，会由于算法偏见、数据垄断等问题引发教育不公平等危机。这就需通过建立算法的审计与备案制度，防止因算法偏差导致学生在升学推荐、奖学金评定等环节中遭受隐性歧视。

　　数据收集的比例原则是指，智慧教育的数据治理须经妥当性与必要性审查，若存在对学生个人信息权益侵害较轻的替代性方案，则严禁采用具有强侵入性的数据收集。特别是在心理危机干预或校园安全管理等场景中，对学生敏感行为的监测需明确划定时空边界，并建立规范的退出机制。要避免过度依赖技术手段，防止校园演变为全域数字化监控空间，从而在追求教育治理效能与保障学生数字人格尊严之间寻求法理上的动态平衡。

　　明确学校与企业的义务与边界

　　智慧教育数据治理的核心困境在于，学校与相关科技企业作为数据的实际控制者，与学生及其监护人之间存在信息与权力不对称。因此，在教育法典编纂过程中，有必要厘清不同主体的权利义务边界，防止数据控制权被滥用。

　　一方面，学校作为教育的直接组织者，对教育数据的处理行为应负有高于一般数据处理者的注意义务，原因在于学校与学生并非单纯的服务合同关系，而是基于国家教育权形成的特定公法关系。因此，学校需从教育公共性立场出发，履行对学生数据采集的前置审查义务与处理过程中的监督义务，谨防资本逐利对教育公益性的侵蚀。

　　另一方面，相关科技企业在教育数据处理中仅享有有限的使用权，而非所有权，其处理行为须限于辅助教学的初始目的，禁止将学生交互数据用于私有大模型训练等场景，并要求其在合作终止后须将存储的学生相关教育数据进行移交或销毁，不得擅自留存或用于背书。对于违反数据安全管理规定、泄露学生敏感信息的企业，应建立市场退出机制。

　　为防范技术异化催生监控式教育，法典不能让学生沦为被动的“数字客体”。除了重申知情权、查阅权、异议权和更正权外，应赋予其教育数据可携带权，并以《中华人民共和国个人信息保护法》第二十四条等关于自动化决策的规定为参照，进一步充实其数字权利体系。

　　构建教育数据分类分级体系

　　首先，需要构建教育数据的分类标准，依据教育数据在教育活动中的产生过程以及教育数据持有者的不同，对数据进行分类。在此基础上，以“敏感度”为核心，将生理心理类、身份类、学习行为类数据分别归入极高敏数据、高敏数据和中敏数据，并对不同敏感度的数据共享、流转设置差异化条件和审批程序。

　　其次，对于生物识别信息的采集，需要严格控制。欧盟《人工智能法》规定，教育机构使用基于生物识别技术的人工智能系统来推断或识别自然人的情绪，属于被禁止的人工智能应用范畴。教育法典编纂可参考这一思路，明确规定除国家安全或重大校园安全事件处置等必要场景外，一般教育活动中应严格限制人脸、指纹、虹膜等生物特征信息的采集。

　　同时，教育数据安全的保障需要在全生命周期进行动态的全链条监管，在教育法典中需要明确采集环节的“告知—同意”机制、共享环节的数据脱敏机制和终止环节对剩余数据的销毁机制。

　　最后，需要划定生成式教育大模型的数据使用边界。当前教育数据的应用模式已从传统的收集分析，转变为风险更高的语料供给与内容生成，因此，编纂教育法典时需要提前预判并应对人工智能带来的数据不透明问题，确保数据合理使用、隐私严格保护。

　　完善学生数字权益的救济途径

　　2014年，欧盟法院在西班牙谷歌案中确认了“被遗忘权”，强调公民个体在满足某些条件的情况下，有权要求网站删除其网上的个人信息。对于学生在校期间的教育数据，教育法典应引入“被遗忘权”，并妥善处理与《中华人民共和国档案法》《高等学校档案管理办法》等规范之间的张力。在适用被遗忘权时进行数据分层，对于经法定程序认定并记入学籍档案的内容，须恪守档案管理的规定予以长期留存。除此之外，学生在满足一定条件时，有权要求学校和相关平台抹除或封存与其相关的负面行为记录，保障学生不受过往数据的永久羁绊。

　　此外，还应建立算法申诉与人工介入机制。当基于算法的教育评价对学生产生重大不利影响时，可规定学生有权要求对评价进行人工复核，评价决策者应对算法输出承担最终的说明义务和责任。

　　面对快速迭代的数字教育技术，需要强化协同治理。一方面要赋予教育行政部门在数据合规审计中的前置审查权，建立教育、网信、公安的联合执法机制。另一方面有必要构建教育公益诉讼制度。在教育场域中，学生属于数字弱势群体，若出现学生数据大规模泄露等情形，可授权检察机关、教育公益组织提起公益诉讼，以弥补私人诉权的不足，突破个体诉讼维权成本过高的现实困境，激活客观诉讼的监督功能。

　　（作者系西北政法大学行政法学院副教授，本文系2024年教育部人文社科青年基金项目“数字时代高校大学生数字权利的理论证成与法律保护研究”［24YJC880063］阶段性成果）