河南舞钢某学校智慧刷卡系统未健全数据分类分级保护制度致学生信息泄露案

【案件背景】
2025年3月，公安机关网安部门在工作中发现，不法分子在境外网站上兜售舞钢市某学校的学生个人信息数据。经溯源调查，数据泄露源头为该学校部署的智慧刷卡计费系统——该系统用于学生在校内的餐饮消费、门禁通行和考勤管理，收集了大量学生姓名、班级、学号、消费记录和家长联系方式等个人信息。

【违法事实】
经河南公安机关网安部门查明，该学校存在以下违法事实：一是系统存在高危漏洞且数据未采取加密存储措施，相当于将学生信息'明文'存放在不设防的服务器上；二是系统未设置访问控制、安全认证等技术措施，未按照网络安全等级保护制度进行定级备案；三是该校未健全数据分类分级保护制度——未对收集的学生个人信息进行分级评估，也未针对不同敏感级别的数据实施差异化的安全防护；四是该校在委托第三方公司处理业务数据和个人信息时，未在合同中明确接收方的数据安全保护义务并监督其履约，导致供应链安全管理存在重大缺口。最终系统数据被犯罪嫌疑人通过网络攻击窃取。

【处罚决定】
当地公安机关依法对该校予以行政处罚并责令限期改正。要求该校在整改期内：对信息系统进行网络安全等级保护定级和备案；建立覆盖数据采集、存储、传输、使用全流程的数据分类分级管理制度；对所有第三方数据处理合作方进行安全评估并补签数据安全责任协议。对实施攻击窃取数据的犯罪嫌疑人已依法另案处理。

【典型意义】
本案是'护网-2025'专项行动期间公布的学校数据安全典型案例，凸显了教育机构在数字化转型过程中的数据安全风险。一是学校等教育机构收集处理的个人信息数量大且高度敏感——一旦泄露可能被不法分子用于诈骗、非法信贷等违法犯罪活动，严重威胁学生群体财产和人身安全。二是公安机关在安全提示中明确要求学校'健全数据分类分级保护制度'——这说明分类分级已成为监管部门对教育行业的刚性合规要求。三是供应链安全管理不可忽视——学校不能以'外包'为由推卸数据安全主体责任，必须在合同中明确约定受托方的安全义务并持续监督。