教育数据与隐私：谁来保管记录
采集的理由通常很具体，但数据一旦留存，用途就会慢慢远离最初的理由。本文把问题拆成采集、使用、留存销毁三个环节，引学习分析伦理框架与学生数据治理的讨论，给出本院处理学生数据的三条底线，并说明这是治理问题而非技术问题。
本文性质： 模型 + 假设（Model / Hypothesis） 证据标签： 观察 Observation／模型 Model／假设 Hypothesis／实证 Evidence
本篇涉及的证据类型：观察 Observation／模型 Model／假设 Hypothesis。凡属本院课堂观察与教学模型的部分，均不作效果承诺。
一个学生在校期间会产生大量记录：出勤、作业、测评、行为观察、设备上的学习轨迹。这些记录分散在不同系统里，每一项都有明确的采集理由，但没有哪一项会回答「这些加起来意味着什么」。
01记录越来越多，保管规则没跟上
本院在整理学习记录时注意到一个容易被忽略的落差：采集的理由通常很具体，比如为了跟踪某一次练习的完成情况；而数据一旦留存，它的用途就会慢慢远离最初的理由。一份为诊断某道错题而留的作答记录，几年后可能被用来解释一个学生「一贯的表现」。用途的漂移很少是一次决定，它往往只是一次又一次地「顺便也用一下」。
02数据在三个环节上出问题
教育数据伦理的讨论通常把问题拆成三个环节。第一是采集：有没有必要采、采到多细、粒度越细的记录越容易间接识别出具体个人。第二是使用：原始用途之外的使用是否需要重新取得同意，以及由谁来批准。第三是留存与销毁：记录存多久、由谁负责删除、删除之后能否证明确实删掉了。Slade 与 Prinsloo 在 2013 年提出过一个学习分析的伦理框架，主张把透明度、责任归属与学生的知情参与作为前提条件，而不是事后的补充条款。Zeide 在 2017 年讨论学生数据时注意到，教育机构常常同时扮演采集者、使用者与监管者三个角色，这种角色重叠使得内部约束天然偏弱。这两项讨论提出的都是框架与主张，并非已经被普遍执行的实践标准。
03本院处理学生数据的三条底线
本院处理学生数据时守三条底线。第一，采集前先问这个记录将改变哪一个决定，如果答不出来，就不采。第二，用途发生变化时重新说明，不在原有同意范围内偷偷扩大范围。第三，保留期限先定，到期主动处理，而不是等到有人提出要求。三条都是原则性约定，具体执行依赖本地条件，本院不主张它是唯一正确的做法。
04这不是技术问题
边界有三。第一，这是治理与伦理问题，不是技术问题，单纯加密或加权限解决不了用途漂移。第二，不同地区的法律法规差异很大，本文不提供法律意见，也不针对任何具体产品或机构作评价。第三，保护隐私与利用数据改进教学之间存在真实的取舍，本院不主张任何一端可以完全让位于另一端，只主张取舍过程应当可见、可追问、有人负责。
