新生入学被要求必填父母收入等信息？合规不能等舆论倒逼

【文/ 夏曼波】

据南方日报报道，近日，有网友发帖吐槽浙江师范大学研一新生网上报到系统强制采集父母信息。“父亲信息”“母亲信息”两栏各需填写12项，包括姓名、身份证件号、宗教信仰、民族、联系电话、政治面貌、健康状况、工作单位、单位地址、职业、单位邮箱以及平均月收入，每一项都是必填，无法跳过。页面引发“查户口”质疑，南都记者致电该校核实，未获回应。

该吐槽帖发布后不久，便有网友跟帖评论，称学校后续已将信息采集页面中家长的工作单位地址、月收入等信息栏修改为选填项。

这并非孤例，今年6月，山东东营第一中学因“新生信息采集表”登上热搜。表中不仅要求填学生父母的工作单位、职务，还要填写家庭是否有车、品牌型号、购置价格及家庭负债情况等。

《个人信息保护法》第六条给出了采集信息的第一道门槛：

处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。

收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。

开头提到的12项信息，有几项与读研这件事直接相关？

研究生绝大多数已经成年，学业管理针对的是学生本人，学校与学生家长之间并不存在管理关系。奖学金评定看学生的表现，贫困生认定以自愿申请为起点，没有哪个教育环节需要普查父母的收入、单位、健康状况乃至宗教信仰。

这种信息采集，既谈不上与处理目的直接相关，也谈不上最小范围。

宗教信仰要单独拿出来说，《个人信息保护法》第二十八条把宗教信仰列为敏感个人信息：

敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。

只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。

父母的宗教信仰，与一名成年研究生的报到注册之间，找不出任何特定的目的关联，更谈不上充分的必要性。

把宗教信仰设为必填，很难过第二十八条。学校得回答，这些信息究竟为什么是完成研究生报到所必需的？

需要注意的是，这些信息不是学生本人的信息，就算学生在报到系统里“同意”填写，也不能当然替代父母本人对其敏感个人信息作出的单独同意。《个人信息保护法》第二十九条规定：

处理敏感个人信息应当取得个人的单独同意。

“改成选填”这个动作也值得一谈，页面既然能在被吐槽之后改，就说明它在上线之前本可以改。

做出决定的时候不觉得有问题，在网上被点名了就低调改动。记者两次致电，校方没有回应，其修改的手速与应对媒体时的沉默，已经很能说明问题。

还有一组对照，教育部2022年印发的通知写明，义务教育入学报名“严禁采集学生家长职务和收入信息”，并确立了材料非必要不提供、信息非必要不采集的原则。相关工作教育行政部门四年前就在做了，只是这份通知管不到高校。

教育部门对义务教育阶段的禁令，是否说明“非必要不采集”应成为教育领域的基本共识，而不是只管到中小学？

高校的相关行为很难找到合法性基础，也暴露了合规审查的缺位。更关键的是，改成选填只是纠错的第一步，此前强制收集的信息是否已删除？涉及父母宗教信仰、健康状况等敏感个人信息的处理，是否依法开展了个人信息保护影响评估？如果没有，改页面不等于免责。

作为高等教育的重要组成部分，高校应当带头守法，把“最小必要”写进系统设计，不应等到舆论倒逼，才手忙脚乱改字段。