標準簡介
《家庭教育權利與隱私法》（FERPA）是 1974 年頒布的聯邦法律，又稱巴克利修正案，旨在保護學生教育記錄的隱私。該法律適用於所有接受美國教育部所管轄計畫經費的教育機構，幾乎涵蓋美國每一所公立學校及大多數大專院校。
FERPA 賦予家長查閱子女教育記錄、要求更正不準確資訊以及控制個人可識別資訊揭露的權利。當學生年滿 18 歲或進入高等教育時，這些權利轉移給學生本人。學校在發布教育記錄前必須取得書面同意，但學校官員、助學金、認證及健康安全緊急狀況等例外情形除外。執法由教育部學生隱私政策辦公室負責。
學生檔案隱私
保護所有接受聯邦教育補助的公立及私立學校學生教育檔案的隱私。
家長與學生權利
賦予家長(以及 18 歲以上學生)存取、查閱及請求修改教育檔案的權利。
揭露管控
揭露教育檔案中的可識別個人資訊前須取得書面同意,針對學校人員及緊急情況設有特定例外。
list_alt FERPA 核心條款
- 查閱和審查教育檔案的權利
- 請求更正不正確檔案的權利
- 揭露前須取得書面同意
- 名錄資訊的選擇退出權
- 18 歲時權利轉移至學生(合格學生)
- 對具有正當利益的學校人員的例外
- 對家長/學生的年度通知要求
誰需要合規？
任何接受美國教育部管理的任何專案補助的公立或私立教育機構(K-12 及高等教育)。這實際上涵蓋了所有公立學校及大多數學院和大學。
關鍵要求
年度通知
學校必須每年告知家長和合格學生其在 FERPA 下的權利,包括查閱檔案、請求修改、同意揭露及提出申訴的權利。
揭露前的書面同意
學校必須在揭露教育檔案中的可識別個人資訊前,取得家長或合格學生簽署的書面同意,並明確所涉檔案、揭露對象及揭露目的。
檔案存取權
學校必須在收到請求後 45 天內向家長或合格學生提供教育檔案的存取權。學校必須回應對檔案作出合理解釋和說明的請求。
修改流程
學校必須考慮針對被認為不正確或具有誤導性檔案的修改請求。若學校拒絕,須告知請求人有權申請正式聽證。
實施路線圖
准备範圍、責任和監管背景
圍繞教育記錄、目錄資訊、學校官員、供應商、家長、合格學生、揭露和同意例外定義学生教育記錄隱私專案範圍。指定責任人，識別適用法律、客戶、認證或市場准入驅動因素，并在整改前約定證據模型。
差距分析和基於風險的計畫
依据 FERPA 期望和風險背景評估目前實務。審查年度權利通知、存取和更正权、揭露同意、目錄資訊退出、學校官員控制、記錄保存、資料安全和申訴处理，并按法律暴露、客戶影響、安全或隱私風險以及稽核或提交準備度排列差距優先順序。
實施控制、文件和證據
部署所需流程、控制、審查、訓練、供應商控制和文件化資訊。圍繞年度通知、同意表、揭露日誌、目錄資訊通知、供應商协议、存取請求記錄、更正决定、訓練記錄和安全流程建立可追溯證據。
審查、稽核并維護合規
在內部隱私審查或監管问询前完成內部審查、準備度檢查和矯正措施。產品、供應商、法律、客戶、事件或營運變化后保持專案更新。
合規檢查清單
checklist 範圍与問責
checklist 控制与記錄
checklist 監控与改进
處罰與執行
最終處罰是失去全部聯邦教育補助。實際上,教育部從未實施過此項處罰;執法透過學生隱私政策辦公室經由調查、合規審查及改正行動計畫來處理。
常見問題解答
谁需要 FERPA？
expand_more
FERPA 適用于活動落入教育記錄、目錄資訊、學校官員、供應商、家長、合格學生、揭露和同意例外的組織。採用动因通常来自監管、客戶、採購要求、市場准入，或證明組織能紀律化控制高影響風險的需要。
FERPA 的核心目的是什么？
expand_more
核心目的是为年度權利通知、存取和更正权、揭露同意、目錄資訊退出、學校官員控制、記錄保存、資料安全和申訴处理建立可重複執行的專案。不同領域细节不同，但實務目标都是让義務可见、分配責任、執行控制并保持證據最新。
首先应做什么？
expand_more
先確認範圍和所有權。许多失敗源于邊界不清、缺少責任人，或證據与實際產品、服务、系統或資料流不匹配。
實施需要多长時間？
expand_more
聚焦實施通常需要數月。週期取決於成熟度、產品或場所數量、供應商參與度、技術複雜度、測試證據以及外部審查深度。
哪些證據最有用？
expand_more
有用證據包括年度通知、同意表、揭露日誌、目錄資訊通知、供應商协议、存取請求記錄、更正决定、訓練記錄和安全流程。稽核员、監管機構、客戶或審評人員通常期望看到控制正在執行，而不仅是政策存在。
应如何管理供應商？
expand_more
供應商責任应通过合約和執行流程明確。高風險供應商需要盡職調查、下傳要求、證據請求、績效監控以及针对發現項或事件的升級路徑。
專案应多久審查一次？
expand_more
審查频率应跟随風險和變化。年度審查很常見，但產品發布、事件、監管變化、客戶要求、重大供應商或稽核发现应更早觸發專項審查。
可以与其他合規專案整合吗？
expand_more
可以。FERPA 通常可以与相关標準共享治理、訓練、供應商管理、文件控制、問題追蹤、內部稽核和管理審查，同时保留自身特定法律或技術證據。