标准简介
《家庭教育权利和隐私法》（FERPA，又称巴克利修正案）是美国于 1974 年 8 月通过的联邦法律（20 U.S.C. § 1232g），保护学生教育记录的隐私。该法适用于所有接受美国教育部资金的教育机构，从幼儿园到大学（K-12 和高等教育机构）。FERPA 赋予家长（学生 18 岁或进入高等教育后权利转移给学生本人）查阅和审查子女教育记录、请求修正不准确记录的权利，以及控制个人身份信息披露的权利。
FERPA 要求教育机构在未经同意的情况下不得披露学生的教育记录中的个人身份信息，但存在特定豁免情况，包括：向具有合法教育利益的学校官员披露、向学生转学的学校披露、出于审计或评估目的、为执行经济援助条件、以及遵守法院命令或合法传票。目录信息（如姓名、地址、出生日期、出席日期）可在给予家长选择退出机会后披露。违反 FERPA 的主要执行机制是联邦资金的终止，由学生隐私政策办公室（SPPO）调查投诉。近年来 FERPA 在数字化教育环境中面临新挑战，包括教育技术公司的数据收集、云端学生记录管理和远程学习中的隐私保护。
学生档案隐私
保护所有接受联邦教育资助的公立及私立学校学生教育档案的隐私。
家长与学生权利
赋予家长(以及 18 岁以上学生)访问、查阅及请求修改教育档案的权利。
披露管控
披露教育档案中的可识别个人信息前须获得书面同意,针对学校官员及紧急情况设有特定例外。
list_alt FERPA 核心条款
- 查阅和审查教育档案的权利
- 请求更正不准确档案的权利
- 披露前须取得书面同意
- 名录信息的选择退出权
- 18 岁时权利转移至学生(合格学生)
- 对具有正当利益的学校官员的例外
- 对家长/学生的年度通知要求
谁需要合规？
任何接受美国教育部管理的任何项目资助的公立或私立教育机构(K-12 及高等教育)。这实际上涵盖了所有公立学校及大多数学院和大学。
关键要求
年度通知
学校必须每年告知家长和合格学生其在 FERPA 下的权利,包括查阅档案、请求修改、同意披露及提出申诉的权利。
披露前的书面同意
学校必须在披露教育档案中的可识别个人信息前,取得家长或合格学生签署的书面同意,并明确所涉档案、披露对象及披露目的。
档案访问权
学校必须在收到请求后 45 天内向家长或合格学生提供教育档案的访问权。学校必须回应对档案作出合理解释和说明的请求。
修改流程
学校必须考虑针对被认为不准确或具有误导性档案的修改请求。若学校拒绝,须告知请求人有权申请正式听证。
实施路线图
准备范围、责任和监管背景
围绕教育记录、目录信息、学校官员、供应商、家长、合格学生、披露和同意例外定义学生教育记录隐私项目范围。指定责任人，识别适用法律、客户、认证或市场准入驱动因素，并在整改前约定证据模型。
差距分析和基于风险的计划
依据 FERPA 期望和风险背景评估当前实践。审查年度权利通知、访问和更正权、披露同意、目录信息退出、学校官员控制、记录保存、数据安全和投诉处理，并按法律暴露、客户影响、安全或隐私风险以及审核或提交准备度排列差距优先级。
实施控制、文档和证据
部署所需流程、控制、评审、培训、供应商控制和成文信息。围绕年度通知、同意表、披露日志、目录信息通知、供应商协议、访问请求记录、更正决定、培训记录和安全流程建立可追溯证据。
评审、审核并维护合规
在内部隐私审查或监管问询前完成内部评审、准备度检查和纠正措施。产品、供应商、法律、客户、事件或运营变化后保持项目更新。
合规检查清单
checklist 范围与问责
checklist 控制与记录
checklist 监控与改进
处罚与执行
最终处罚是失去全部联邦教育资助。实际上,教育部从未实施过此项处罚;执法通过学生隐私政策办公室经由调查、合规审查及整改行动计划来处理。
常见问题解答
谁需要 FERPA？
expand_more
FERPA 适用于活动落入教育记录、目录信息、学校官员、供应商、家长、合格学生、披露和同意例外的组织。采用动因通常来自监管、客户、采购要求、市场准入，或证明组织能纪律化控制高影响风险的需要。
FERPA 的核心目的是什么？
expand_more
核心目的是为年度权利通知、访问和更正权、披露同意、目录信息退出、学校官员控制、记录保存、数据安全和投诉处理建立可重复运行的项目。不同领域细节不同，但实践目标都是让义务可见、分配责任、运行控制并保持证据最新。
首先应做什么？
expand_more
先确认范围和所有权。许多失败源于边界不清、缺少责任人，或证据与实际产品、服务、系统或数据流不匹配。
实施需要多长时间？
expand_more
聚焦实施通常需要数月。周期取决于成熟度、产品或场所数量、供应商参与度、技术复杂度、测试证据以及外部审查深度。
哪些证据最有用？
expand_more
有用证据包括年度通知、同意表、披露日志、目录信息通知、供应商协议、访问请求记录、更正决定、培训记录和安全流程。审核员、监管机构、客户或审评人员通常期望看到控制正在运行，而不仅是政策存在。
应如何管理供应商？
expand_more
供应商责任应通过合同和运行流程明确。高风险供应商需要尽职调查、下传要求、证据请求、绩效监控以及针对发现项或事件的升级路径。
项目应多久评审一次？
expand_more
评审频率应跟随风险和变化。年度评审很常见，但产品发布、事件、监管变化、客户要求、重大供应商或审核发现应更早触发专项评审。
可以与其他合规项目整合吗？
expand_more
可以。FERPA 通常可以与相关标准共享治理、培训、供应商管理、文件控制、问题跟踪、内部审核和管理评审，同时保留自身特定法律或技术证据。