研究报告 · 个人信息保护合规 教培机构个人信息保护研究报告 风险识别、法律后果与专业机构赋能路径（含学龄前托管托育） |
数据安全与合规知识课堂 · 2026年8月 · 面向教培机构运营者及为其服务的专业咨询机构 |
一封微信群里的学生照片、一张老师个人电脑里的成绩表、一本前台纸面登记本——这些看似平常的教培机构日常运营动作，正越来越频繁地成为监管部门处罚乃至刑事追责的"证据"。教培机构（含学龄前托管托育）同时处理学生（未成年人）与家长两类人群的个人信息，触点多、链条长、人员杂，是当前个人信息保护的高风险地带。本报告旨在帮助机构运营者看清风险、认清后果，并指明借助专业咨询机构识别与处置风险的现实路径。
|
一、为什么教培机构是个人信息保护的高风险领域
教培机构（含学龄前托管托育）的个人信息保护风险，根植于其业务属性与监管态势的双重叠加：
1. 处理对象天然包含"双重敏感人群"
教培机构同时处理学生（绝大多数为不满十八周岁未成年人）与家长的个人信息。根据《个人信息保护法》第二十八条，不满十四周岁未成年人的个人信息直接列为敏感个人信息；《未成年人网络保护条例》更对处理未成年人个人信息设置了专门、严苛的保护义务。
2. 处理触点分散，管控难度高
教培机构的个人信息并不集中于一套系统，而是散布在纸面登记本、老师个人微信、微信群、个人电脑、机构电脑、第三方APP、自建系统等七类路径。其中"老师个人微信""纸面登记本"等路径完全游离于机构的信息安全管理边界之外，机构既看不到、也管不住。
3. 监管态势持续收紧
从国家网信办"亮剑浦江"专项执法聚焦少儿培训场景，到教育部将信息安全列为刚性要求，再到要求每年1月底前报送未成年人个人信息保护合规审计情况，监管已从"事后追责"转向"常态化事前预防"。教培行业被监管机关明确列为未成年人个人信息保护的重点辐射行业。
核心判断 对教培机构而言，个人信息保护已不是"可做可不做"的软任务，而是关乎机构能否持续经营的硬约束。而多数中小机构恰恰缺乏识别风险、搭建合规体系的专业能力——这正是专业咨询机构的价值所在。 |
二、教培机构个人信息处理路径全景（风险地图）
要守住个人信息安全底线，第一步是把机构内部所有"个人信息经过的地方"画出来。以下基于大量真实案例与执法实践，梳理出教培机构最常见的七类处理路径及其风险：
|
⚠ 最需要警醒的两类路径 ① 老师个人微信对话：最隐蔽、最失控的风险点。机构既无法审计也无法管控，却要为该老师的行为承担用人单位责任。一旦发生纠纷或泄露，机构"看不见、管不住、难举证"。 ② 纸面登记本：中小机构仍依赖纸面收集信息，常随手摆放、随意复印、废弃不销毁。执法机关一进门就能"当场取证"，江阴培训机构被罚30万元的线索正源于此。 |
三、处理的个人信息类型与敏感性分级
教培机构处理的个人信息可大致分为以下类别，敏感性越高，法律要求越严：
|
关键认知 只要机构"实际处理了"未成年人个人信息——无论是否专门面向未成年人服务——均触发未成年人个人信息保护的全部义务。误收集、偶然收集同样算"处理"。监管关注的是"产品与服务的功能是否指向未成年人"，而非机构主观上"想不想收集"。 |
四、违法违规的法律后果（行政·民事·刑事·信用·行业）
很多机构运营者以为"罚不责众""最多是被提醒"，但现实远比想象严峻：
1. 行政责任（《个保法》第六十六条）
一般违法：责令改正、警告、没收违法所得；拒不改正并处100万元以下罚款。情节严重：没收违法所得 + 5000万元或年营收5%罚款；暂停业务、停业整顿、吊销许可。
2. 刑事责任（侵犯公民个人信息罪）
非法获取、出售或提供公民个人信息，情节严重的处三年以下有期徒刑，特别严重的处三年以上七年以下。教培机构因合法掌握学生家长信息，若用于倒卖恰好落入"从重处罚"区间。
3. 民事公益诉讼
泄露导致损害的需承担停止侵害、赔礼道歉、赔偿损失。大量案件已由检察机关提起刑事附带民事公益诉讼。
4. 信用惩戒
行政处罚纳入国家信用评价体系，直接影响"黑白名单"与参与学校课后服务的资格。
5. 真实案例（触目惊心）
|
给运营者的一句话 多数机构的"起点"只是"想多招几个学生"——买几条信息、拍几张车牌、在群里发几张照片。但一旦越过红线，轻则罚款、重则入刑，机构声誉与经营资格同时受损。合规不是成本，是避免灭顶之灾的护栏。 |
五、合规义务要点与《小型规定》的衔接
1. 是否适用《小型规定》？
若机构处理不满10万人个人信息，原则上适用简化措施——处理规则可简化、告知可简化、合规审计可用自查表。但须注意：涉及未成年人个人信息的合规审计不得套用"五年一次"的简化频率。
2. 未成年人信息的"刚性义务"（不可简化）
• 专门处理规则：处理不满十四周岁儿童信息须制定专门规则• 监护人同意：处理前须取得父母或其他监护人同意• 影响评估：处理前须开展个人信息保护影响评估• 年度合规审计 + 报送：每年一次审计，每年1月底前报送（通过 grxxbh.cacdtsc.cn）• 最小授权：工作人员访问须经审批、记录，严格控制知悉范围• 应急与通知：发生泄露须立即启动应急预案并通知监护人
3. 通用义务
公开个人信息处理规则（线下张贴公告）；遵循"最小必要"原则；采取加密、去标识化等技术措施；建立内部管理制度与应急预案；向全国平台真实准确填报信息。
简化 ≠ 免责 《小型规定》的简化只针对"操作形式"，绝不降低"保护标准"与"法律底线"。核心安全义务（加密、应急、通知、未成年人专项要求）一律不可豁免。切勿误读为"可以放松"。 |
六、如何借助专业咨询机构识别与处置风险
绝大多数中小教培机构并不具备自建合规体系的能力——缺法律知识、缺技术工具、更缺"从机构视角画出风险地图"的方法。这正是专业咨询机构可以发挥价值的环节。目的不是"替机构背锅"，而是辅导和协助机构"看得见风险、管得住风险、出得了证明"。
① 现状诊断与数据资产盘点
逐一走查机构内部所有个人信息处理路径——从纸面登记本、个人微信、微信群到电脑、APP、自建系统，把"信息从哪来、到哪去、谁经手、存哪、怎么删"完整画出来。
② 合规差距分析
对照《个保法》《未成年人网络保护条例》《小型规定》及教育部全国平台要求，逐项评估差距，形成问题清单与整改优先级。
③ 制度体系搭建
辅导建立个人信息处理规则（含未成年人专门规则）、内部管理制度与操作规程、安全事件应急预案、员工保密制度（特别针对老师个人微信、纸面登记等管控盲区制定明确红线）。
④ 影响评估与合规审计辅导
协助完成影响评估（可用简化表），并重点辅导未成年人年度合规审计与1月报送——这是教培机构最容易"踩空"的刚性义务。
⑤ 技术整改建议
针对纸面登记、个人电脑、自建系统等高风险路径给出可落地的技术建议：电子化与销毁流程、加密与去标识化、权限分级、第三方APP协议审查等。
⑥ 全员培训
面向教师、前台、招生人员开展场景化培训：哪些信息不能收、不能用个人微信谈隐私、群消息怎么发才安全。
⑦ 应急响应与持续陪伴
一旦发生泄露协助启动应急预案、固定证据、依法通知与报告；提供年度审计、监管动态跟踪等常态化服务。
为什么应该"借外力"而不是"自己硬扛" ① 法律风险专业性强，自己摸索极易疏漏；② 监管检查有固定流程与时限，专业机构可避免逾期；③ 一旦发生事件，有专业机构处置远胜临时慌乱；④ 把有限精力放回教学主业，合规交给专业的人。 |
七、机构运营者分步落地路线图
若您是教培机构运营者，可参照以下五阶段推进。前两阶段"止血"动作可立即启动；后续阶段建议引入专业咨询机构协助。
|
八、专业咨询机构服务清单
以下为面向教培机构的典型服务模块，可作为方法论沉淀与对外交付框架：
|
结语 教培机构的个人信息保护，本质上是在"招生成效"与"法律红线"之间找到平衡。风险并不可怕，可怕的是"看不见风险、不识后果、不知求助"。把风险画出来、把义务理清楚、把专业的事交给专业的人，机构才能在守住未成年人保护底线的同时，轻装上阵、安心经营。 |
数据安全与合规知识课堂 教培机构个人信息保护研究报告 本文基于《个人信息保护法》《未成年人网络保护条例》《小型个人信息处理者规定》及收集公开执法案例撰写，仅供合规参考，不构成法律意见。 |
