Teams 教育版学校必须做什么？

对于使用 Teams 进行线上教学的学校来说，学生数据隐私是不可回避的责任。FERPA（家庭教育权利和隐私法案）是美国联邦法律，保护学生教育记录的隐私。Teams 本身通过了 FERPA 合规认证，但认证的是微软的基础设施和实践，并不认证你的学校如何使用 Teams。如果教师在启用了来宾访问的公共频道中分享学生成绩，或者家长看到了其他孩子的作业——这就违反了 FERPA。

FERPA 对 Teams 教学的核心要求

FERPA 的基本原则

FERPA 的核心原则是：学生的教育记录必须保密，只有学生本人和具有合法教育利益的学校官员可以访问。在 Teams 的语境下，这意味着：学生的成绩、作业、课堂表现讨论、个人信息等，不能在没有授权的情况下被其他学生、家长或外部人员看到。一个常见的违规场景是：教师在频道中发布了一张包含全班成绩的 Excel 表格，或者学生 A 的作业被错误地上传到了公共区域，导致学生 B 看到了学生 A 的成绩。

成绩发布的特殊规定

FERPA 明确禁止任何形式的“张贴”成绩，即使使用非识别性编号来“掩盖”每个学生也不行。学生只能访问自己的成绩。这意味着：教师不能在 Teams 频道中发布包含多个学生成绩的列表；不能在会议中口头宣读全班成绩；不能将批改后的作业以可被他人查看的方式分享。Teams 的“作业”功能默认符合 FERPA 要求——每个学生只能看到自己的作业和成绩，但教师需要确保在自定义频道中不打破这个隔离。

Teams 中哪些场景最容易违反 FERPA

最容易违反 FERPA 的场景包括：在公共频道中讨论某个学生的表现或行为（应该使用私聊或私密频道）；将包含学生成绩的截图或文件上传到公共文件夹；允许外部来宾（包括未授权家长）访问包含学生数据的频道；在会议录制中提到了学生的全名和成绩，且录制文件被广泛分享；教师使用个人 OneDrive 而非学校管理的 Teams 存储学生作业。

FERPA 合规是过程而非一次性认证

Microsoft Teams 是 FERPA 合规的，但这不代表你的学校“自动”合规。合规认证针对的是微软的基础设施和实践——数据加密、访问控制、审计日志等。而如何使用 Teams 来处理学生数据，完全取决于学校的配置和教师的行为。学校需要制定明确的 Teams 使用政策，培训教师，并定期审计。

Teams 的安全与合规认证

Teams 拥有的合规认证

Microsoft Teams 拥有广泛的合规认证。截至 2026 年 3 月，Teams 获得了 SOC 1 和 SOC 2 Type II 认证，确认微软的数据处理运营控制已经过独立审计。SOC 2 具体涵盖安全性、可用性、处理完整性、机密性和隐私，这些审计每年更新。ISO 27001 认证微软运营的信息安全管理体系（ISMS）符合国际标准。ISO 27018 为个人身份信息（PII）增加了云环境特定的隐私控制。在法规支持方面，Teams 支持 GDPR、HIPAA（需签署 BAA）和 FERPA 合规。

FERPA、FedRAMP 和 CJIS 认证

Teams 拥有的 FERPA、FedRAMP 和 CJIS 认证，使其分别适用于教育机构、美国联邦机构和执法部门。认证针对的是 Microsoft 的基础设施和实践，并不认证你的组织如何使用 Teams。如果你的团队在启用了来宾访问的公共频道中分享患者记录或学生成绩，即使 Teams 本身是合规的，你的使用方式也是不合规的。

Microsoft 365 教育合规功能

Microsoft 365 教育版提供了一系列合规功能，帮助学校满足 FERPA、GDPR 和机构政策的要求。学校可以将内容声明为正式记录，应用法规级保留标签，并管理处置评审。数据丢失防护（DLP）功能可以检测和阻止在 Teams 聊天中分享包含学生身份信息的内容。Microsoft 365 A5 教育版还提供通信合规功能，使用机器学习和关键词检测来自动识别和标记潜在的违规行为。

Microsoft 365 Copilot for Education 的合规性

Microsoft 365 Copilot for Education 在设计中就考虑到了 FERPA 合规性。这意味着学校在使用 Copilot 生成教学内容或辅助批改作业时，学生数据仍然受到保护。但同样，合规取决于学校如何使用，而不是产品本身的认证。

学校管理员的配置责任

禁用来宾访问或严格限制

来宾访问是 Teams 中最容易导致数据泄露的功能之一。如果学校不需要与外部协作者（如临时讲师、供应商）共享 Teams 团队，建议完全禁用来宾访问。如果需要与某些外部人员协作，应将其限制在专门的团队中，并将该团队的敏感度设置为“机密”。来宾访问设置在 Teams 管理中心→“来宾访问”页面。建议将来宾权限设为最低：仅允许聊天和查看文件，禁止创建频道、上传应用、删除消息。

使用敏感度标签保护学生数据

敏感度标签是保护 Teams 团队中数据的重要工具。学校可以创建“学生数据”标签，配置加密和访问限制。当教师将某团队标记为“学生数据”时，系统会自动应用相应的保护措施。2026 年 4 月 9 日，敏感度标签功能在 OneDrive、SharePoint 和 Teams 中全面可用。管理员可以在 Microsoft Purview 合规门户中创建和发布敏感度标签。

配置数据丢失防护（DLP）策略

Teams 的 DLP 策略可以自动检测和阻止在聊天或频道中分享敏感信息。学校可以创建自定义的敏感信息类型，例如“学生 ID”、“成绩单”等。当教师在 Teams 中尝试发送包含这些信息的消息时，DLP 可以：显示警告提示但仍允许发送（教育模式）；阻止发送并通知合规官（强制执行）；或自动将消息替换为标准合规声明。建议从“仅报告”模式开始，观察一周后再决定是否强制执行。

启用审计日志与保留策略

在 Microsoft Purview 合规中心启用审计日志，记录所有 Teams 中的关键操作，包括谁创建了团队、谁添加了来宾、谁下载了文件等。审计日志默认保留 90 天，高级审计许可证可延长至一年。同时，为 Teams 频道消息和私聊消息设置保留策略（如保留 7 年），确保学生数据不会被意外删除。这对于应对家长或监管机构的查询非常重要。

教育 IT 面临的合规挑战

教育 IT 团队必须在复杂的监管环境中导航。这包括 FERPA（学生教育记录隐私）、COPPA（13 岁以下用户数据保护）、各州学生数据隐私法（因司法管辖区而异），以及越来越多的 CMMC 要求（对于从事国防相关研究的机构）。Teams 提供了工具来应对这些挑战，但最终的合规责任在于学校。

2026 年 Teams 教育版隐私更新

照片位置数据自动移除

2026 年 2 月至 3 月，微软在 Teams 中推出了一个重要的隐私增强功能。当用户在聊天或频道中分享照片时，Teams 会自动移除照片中隐藏的图像元数据（EXIF 数据），包括 GPS 位置、相机型号、设备信息等。照片的可见内容不会改变，只有隐藏的元数据被移除。这一更新有助于防止学生无意中泄露位置信息。对于需要保留 EXIF 元数据的教学场景（如地理课、田野调查），建议使用 OneDrive 链接分享照片。

奥地利数据保护机构对追踪 Cookie 的裁决

2026 年 1 月底，奥地利数据保护机构（DSB）对微软发出了一项严厉裁决。监管机构发现 Microsoft 365 教育版在学生设备上放置了追踪 Cookie，且没有有效的法律依据，命令微软在四周内停止该处理。这一裁决提醒学校：即使使用微软的合规平台，也需要关注第三方追踪和数据收集的问题。建议学校 IT 管理员审查 Microsoft 365 教育版中的隐私设置，确保所有非必要的追踪已关闭。

Teams 移除分享照片中的位置数据

这是微软推出的一项主动隐私保护措施。当用户在 Teams 聊天或频道中粘贴或上传图片时，系统会自动剥离 EXIF 元数据，包括 GPS 位置、相机型号、设备信息等。如果你确实需要保留 EXIF 元数据用于合法的学术或研究目的，请使用 OneDrive 链接或其他批准的文件共享方式分享图片，而不是直接在 Teams 中粘贴或上传附件。

教育 IT 最佳实践与培训

教师培训：从“知道”到“做到”

技术配置只是第一步。最重要的环节是教师培训。建议每学期开学前组织一次 Teams 数据隐私培训，涵盖以下内容：FERPA 的基本原则和在 Teams 中的具体应用；哪些操作是允许的（如通过“作业”功能发布成绩），哪些是被禁止的（如在频道中发布成绩表）；如何处理特殊情况（如需要与家长沟通学生问题，应使用私聊而非公共频道）；遇到疑似数据泄露时的报告流程。培训记录应保存，作为合规审计的证据。

学生数据访问的生命周期管理

当学生毕业、转学或退学时，其对 Teams 中数据的访问权限需要及时撤销。建议：与学校的学生信息系统（SIS）集成，自动同步学生状态变化；为毕业生创建一个“归档”流程，将其作业和记录导出后移除其对活跃团队的访问；制定学生数据保留政策，明确哪些数据可以删除、哪些需要长期保存。这既是隐私合规的要求，也是数据治理的最佳实践。

家长访问与同意管理

对于 K-12 学校，家长访问学生数据需要明确的同意机制。Teams 的“家长连接”功能可以帮助教师与家长沟通，但家长只能看到自己孩子的信息。学校应制定书面的家长同意政策，并在启用家长连接前获得家长的明确同意。对于 COPPA 合规，13 岁以下学生使用 Teams 需要家长同意。建议在学年开始时收集同意书。

定期审计与合规检查

建议每学期进行一次 Teams 合规审计。审计内容包括：检查所有团队的来宾成员列表，移除不再需要访问的外部用户；审查公共频道中是否有包含学生成绩或个人信息的内容；检查 Teams 的共享链接，确保没有意外公开的学生数据；查看审计日志，识别异常的访问模式（如大量文件下载、夜间访问等）。审计报告应存档，供内部审查和监管查询。