?编者按

　　一个机构的下一代数字环境(NGDLE)是否看起来更像是一个精心设计的“花园”，错落有致的社区地块，或一地本土花草，保护个人隐私要求互操作性标准有助于确保制度和个人隐私的价值取向。本文将互操作性隐私标准分』为五大主题，并在此基础上进行了扩展。

　　下一代数字教学环境中的隐私保护

　　在实体校园中配置的多样化反映和激发学校社群中多样化的灵感和合作，也在虚拟教学环境中投出镜像：快速演化的教育技术和客户应用组成的一个动态和复杂的联合体。教师们经常使用学校的教学管理系统(LMS)之外的工具，运用学▽生喜爱的应用来吸引学生投入学习与此相应，一个学术评议委员会正在争取发布一个指南，来评估课程申请中的社交媒体运用。研究小组针对一些主题提出了一些考虑，涵盖◎的范围从设备可用性和辅助技术支持到隐私、长期数据控〗制、所有权和内容管理等。

　　随后，在另一场会议中，我们探讨了隐私和在线监控问题是如何与院校研究相关的。同︻时还讨论了伦理审查委员会(IRB)和《联邦教育权利和隐私法(FERPA)》规定的与涉及学生数据的◥研究相关联的强制义务，以及以学校名义进行的研究如何在这些保护之下变成了一个¤特色领域。我们深入思考了从学生身上采集到的诸多不ω　同的数据点，并展望了通过对更多信息进行关联分析来评价、量化和改进学生体验＠的前景。同时，还反复研讨了在无处不在的监控对创新教学环境带来的影响，因为创新教学环境中个人需要有不受威胁地进行实验的空间，也需要有无须害怕关门带来的后果的自由。

　　这些讨论预示着教育技术的未来。菲尔·希尔(PhilHill)将当前的教学管理系统△描述为“有围墙的花园”，其中用户创造的内容和事∮务数据在学校管控的局面中受到保护。与此相对的是未来的下一代数字教学环境(Next Generation Digital Learning Environment，NGDLE)，他将此々描述为“开放式花园”，其中数据在不◎同来源的应用中自由穿行。教师和学生们将个性化教学工具堆积汇编成为了在线的校园生态，其中通过测量导向的数据标准，我们能够对互动中的每▂一点进行测量、关联和分析。在这样的情况下，如何才ㄨ能保护隐私，而不会让学生和其他人在虚拟的开放花园中◥过度暴露呢?

　　互操作性隐私标准

　　隐︾私影响评价(PIA)是隐私官员工具包中的一个标准量尺，用来评估潜在系统的隐私风险。《2002年电子政府法》要求在采集可识别个人身份的信息和开发或采购保存个人信息的联邦系统前，必须要进行PIA。PIA描述的是一个系统性流程，包括明确信息采集的范围和目的、评价合规性要求，以及分析隐々私风险和管控措施。尽管PIA是一个公认的惯例，然而在大部分的高等教育行业中，受资◥源所限，正式进行PIA并非常规做法而是更加进取的表现。以□集中审核流程方式实施PIA尤其不可行，因为学生和教师们构建个性化的教◤学环境时是从完全未知的来源中汇集应用的。我们需要一种能在运行中审核隐私活动的方法。

　　NGDLE支持由多元化模块组成的教学生态，因此互操作性和◥“不受阻碍的数据交换”被鼓吹为不可或缺的特性ぷ。尽管互操作性极好的乐高积木作为塑料玩具是理想的，然而要是以学生隐私和可靠管理←为赌注的话，也许电源插头模型是更恰当的比喻。在低风险场景下为了最█大化的互操作↑性可以接受两线插头，不过根据尽职原则，我们还是应该将数据交换建立在获准的隐私条件下。

　　不同高等院校在数据的可靠利用方面有不同的文化，遵循不同的规范。2016年，在关于学生数据的可靠利用的第二次阿西洛马(Asilomar)会议上，提出了创建◥“一套模板或者广泛的一系列原则，并可以扩充以涵盖院校特有的环境/重点”。这个概念可以通过NGDLE互操作性隐私标准的形式加以实现。以互操作性№为重、对隐私限制最少的学校可以选用通用模板。其他有更严格隐私要求ㄨ的院校可以要求按照某个特定隐私标准在互操作对接时进行验证。

　　IMS全球隐私和安全工作组已经发布了一个“数据使用︼标签”的模型，就像是营养素标签一样，用于按照教学工具互操作性(LTI)标准进行教学工具注册时向系统管理员展示。对这种对接方式加以改进，使之面向更↓广泛的一组隐私标准并根据院校的配置进行自动化的审↘核，就能为分布←式的下一代数字教学环境形成一个进行有效隐私管理的途径。

　　这些隐私标准包含哪些内容?多种隐私框架提供了构建NGDLE互操作性隐私标准所需的素材。

　　公平信息实践原则(Fair Information Practice Principles，FIPPs)和OECD隐私原则所确定的原则，奠定了数十年来世界范围内隐私法律和政策的基石。近年来，奥巴马政府尝试推动的消费者隐私权利法案(Consumer Privacy Bill of Rights)定义了互联网时代的隐私框架，并承认我们比过去更自由地分享个人隐私。近年来还出现了专门针对学习数据环境的若干框架。国家技术标准研究所第8062号报告(NISTIR8062)中的隐私工』程目标力图弥补高层的隐私原则与其在系统中的具体实现之间→的缺口，明确了实施隐私政策所需的系统能力的类型。

　　表1对每个隐私框架中的多种构成要素进行◢了交叉分析，将这些互不相同的方案中的相关概念归︻纳为五大主题。这些主题为NGDLE互操作性隐私标准建立了基础。某些隐私概★念在所有的方案中都是一致的，尽管不同框架中概念的名称、重点、目标和实现途径各不相¤同。某个框架也∑许在一个主题之中有多个思路，或者将主题的基本概念归为另外一个主题中，或者根本不涉及一个主题。下文各节提供了对这个交叉分析的一个导引。

　　透明和▂可预测性

　　关于数据目的的通知的具体程度，以及数据使用的可预测程度。

　　透明度在所有的隐私方案中都出现了，不过在数据使用的披露方面，不同方案ξ对具体程度的规定有所差别。实现透明的传统做法有：提供关于数据采集目的的通知，给予数据主体是否参与的选择机会，以及根据具体目的而对数据的采集和利用加以限制等。然而，由于通过数据分析可以发现原本不相干的数据点之间的♀显著相关性，随着数据分析的兴起和科研经费资助经常有数据共享的要求，在一些较新的隐私框架中，“特定目的”的原则引人注目地消失了。本来的关注点在于数据采集者有提供特定目的说明的责任，确保数据主体能有依据地做▃出是否参与的选择。一个建议的替≡代方式是，将关注点从数据采集者的责任转移到数据处理者在数◥据使用的具体情境中做出适当决定的责任上。例如，消费者隐私权利法案要求“情境责任”(RespectforContext)，即数据只能以与数据最初采集时相一致的方式使用;如果不一致，则只能在更高的透明度和个人选择参与时使用。这一办法的支持者提出了对未来的数据使用进行预测的困难性，以及几乎没有数据主体会阅Ψ读通知这一事实。其他人则对依赖数据处理者在决定“适当的”数据使■用时将数据主体的最佳利益放在心上心存疑虑，因而要求对数据采集和使用及时通知来提醒◥使用者。国家技术标准研究所(NSIT)的框架则引导系统设计者们找出为满足系统的可预测性目标所需的方法(通知和选择、情景责任或其他)，这样利益相关者们就不会对数据处理表示↘诧异，即使在情境发生变化的情况下。

　　匿名权或选择权

　　数据的匿名化程度，以及个人在是否参与数据采集和使用上▂的选择权的大小。

　　如上文所述，选择㊣这一概念经常是与通知这一概念相关联的。在透明度主题上有大范围的各种方法可供使用一样，在选择是否参与数据采集和是否允许使用他们的数据方面，个人能有的能力也是有大范围的可能性。当数据的使用不可预测而且与数据采集时的情境不一致时，理想状况应当是由主体来选择是否参与。院校「的价值观、特定应用的价值观和情境都决定了个人对自身数据使用的控】制程度。例如，学校是否允许学生选择不参与使用学生学习数据而进行的研究?

　　在这∩个领域中，数据的去身份技术扮演了核心角色。在某些应№用，如学术研究中，我们可以将数据和个人身份解除关联;而在另外一些情况下，数据必须是能识别身份的，例如在为某个学生或者咨询教师提供可操作的信息时。某些数据或许需要在匿名的和关联身份的状态之间反复。例如，法学院考试采用匿名评分＠ 来防止偏见和保▅护残疾学生免受污名伤害。要为院校、应用和个人在选⊙择权的要求和偏好方面指定参数就需要有一套NGDLE互操作性隐私标准;而且这些规范还要嵌入成为数据的属性并随着数据一同传输。

　　访问权、所有权和控制权

　　个人、学校、厂商和公众在数据的访问权和所有权的定义水平。

　　因为数据对于数据主体是有影响的，数据主体有权参与数据采集过程，而且有权获得以可理解的格╲式展示的数据，从而确保数据的准确性。隐私框架中的〗最初描述的访问权就聚焦在这些权∩利上。面临着数据算法的高度复杂性、机器学习决策◆支持和预测分析，访问权目标的重要性被再次重申。欧盟通用数』据保护条例(European Union‘s General Data Protection Regulation，GDPR)要求数据处理者向数据主体提供信息，说明是否有自动决策系统存在，这类系统的处理逻辑以及处理的后果等有用信息。GDPR是大范围实施的，因而预测会对全世界的院校产生影响。如果新的信息通过人类逻辑难以理解的复杂算法而产生，那么数据在通过NGDLE交换时，对算法模型中的最重要因素的着重解释也要嵌入到数据中一同交换。

　　NGDLE源自＠ 于对外部供应商的依赖，而且高等教育机构的利益也需要保护，这两个因素共同催生了访问权和所有权问题的新的一个方面。因为教学数据关系到教学的核心使命，为了确保教育机构对教学数据的访问，在所有即插即用系统的互操作对接中必须要将数据所有权的相关安排结合进去。

　　数据共享的权利要通过NGDLE互∮操作性隐私标准在学校、教师和学生之间』进行合理稳定的分配，才能支持多校间的合作;支持公共经费资助的研究要求的数据分享;支持基于能力(competency-based)的课程学分模型，让学√生可以在其中保存整个学术生涯和职业生活进行学习的证明。NGDLE必须〓要能根据知识产权的细粒度规定，支持学生在个人实现空间、有限合作模式和公共思想交流之间切换。

　　符合伦理的使用、管※理和治理责任

　　隐私只是教学数据的符合伦理使用中的一个方面。信息化应用为教学和指导带来的益处(例如能加强师生关系等)可以支持学生取得成就▃，为每个学生创造未来的可能机会，并平衡教学数据共享带来→的各种风险。如果应用提供商能够在坚持道德原则的治理流程和持续责任方面提出证据和论述的话，那么各方之间的信任程度就会提高，从而允许更敏感的数据参与到交换之中。

　　安全和技术标准

　　隐私标准决定了在个人数据的授权使用中哪些被当作合理的，安全标准通过保护系统和数据免于非授权的使用而为▲其提供支持。认证、授权和加密规范都是保护数据的重要安〇全机制。Caliper和xAPI等开放标准在一定程度上解决了技术和安全标准问题，而安全模型的健壮性是NGDLE互操作性隐私标准保持强健的核心。

　　基础和扩▲展

　　正如市政规划师为新城市的各种设施和网格进行布局一样，NGDLE互操作性隐私标准的构建者们可以在下列五个主题上确定基础规范和可选扩展：

　　1.透明和可预Ψ 测性

　　2.匿名权或选择权

　　3.访问权、所有权和控制权

　　4.符合伦理的使用、管理和治理责任

　　5.安全和技术标准

　　例如，NGDLE互操作性隐私标准

　　1“透明和可预测性”的最低判断规则是“采集到的数据的使用或者披露的目的必须与教学方法或学生成就相一致。如果数据的用途与教学方法或学生成就无关，数据主体能够选择退出”。又如，可选的扩展可以是：(1)关于数据采集、保留、使用和共享实践方面的通用信息将会以发布▓隐私声明的方式让所有用户获取;(2)只有在取得△积极(选择加入)知情同意的情况下才可以将数据＠用于与教学方法和学生成就无关的用途;(3)数据访问和使用要及时通知用户。

　　在允许数据交换前，不同应用和Ψ学校之间可以在运行时互相评估隐私合规性，根据每个隐々私主题中确定的标准来对比对方的合规性声明。可能学校A认为没有必要进行“透明和可预测性”检验并无〓差别地接受所有插件;可能学校B认为基础标准和任何扩展都是可接受的;可能学校C只接受符合标准1(2)“二次使㊣　用的选择加入”和标准1(3)“及时通知”两项要求的应用插件。

　　有进取心的学校和学生将承担起↘验证应用的合规性声明的工作。标准机构将承担起收集和发布应ξ　用程序列表的职责，并按照其声明是否符合或不符合合规要求而分为黑名单、白名单和灰名单。学校也会根据其风险容忍度而将这纳入其隐私要求的考虑中。这种低成本的模型允许学校参与到NGDLE生态中，而不论他们在严格的隐私要求和“不受阻碍的数据交换”之间站在什么〓立场上。

　　照料“花园”

　　一所学校的NGDLE看起来像是精♀心设计的“花坛”，或是植物群落的拼凑╲，还是天然花草覆盖的田地，都可以根据数据互操作性标准设计隐私要求，让我们获得一种工具，确保在透◆明度、选择权、所有权、治理和安全方面的实践活动能够和学校及个人的隐私价值观保持一致。

　　通过制定NGDLE互操作性隐私标准，能够提升教学数据的管理水平，从而能在下一代的学生培育自◇己的数字教学环境的时候为其提供更全面的支持。

　　(本文译自EDUCUASEREVIEW;翻译：陈强清华大学信息化工作办公室)