📊 执行摘要
- 结论：可以做，但合规门槛不低。错题精准推送本身未被法律禁止，但因涉及不满14周岁未成年人的敏感个人信息，必须在「单独监护人同意」「关闭个性化推荐」「数据保护影响评估」三项核心义务上严格合规。
- 最大风险点：未经监护人单独同意即基于错题画像做商业化推送——违反 PIPL 第29条，罚款可达 5000万元 或上年营业额 5%。
- 关键合规路径：「三道同意闸门 + 一个关闭开关 + 一份 DPIA 报告」——详见第六章。
- 建议：在产品立项阶段即纳入合规设计，避免上线后整改的高昂成本。
第一章：产品场景描述
产品背景「智学本」是星火数智面向中小学学生的智能学习产品。其核心功能之一是：
1.1 数据流拆解
| 环节 | 具体行为 | 数据类型 | 法律定性 |
|---|---|---|---|
| ① 错题采集 | 记录学生每道题的作答结果（对/错/未做） | 学生做题记录 | 敏感个人信息（不满14岁） |
| ② 画像分析 | AI 分析错题 → 生成个人知识点掌握度标签 | 学情画像/学习诊断数据 | 敏感个人信息 + 自动化决策 |
| ③ 精准推送 | 根据个人薄弱点定向推送练习/教辅 | 个性化推荐 | 自动化决策 + 营销行为 |
| ④ 付费转化 | 精准推送中嵌入付费内容，引导家长购买 | 商业营销 | 敏感信息商用 |
1.2 目标用户
主要服务对象为小学、初中学生，其中小学生普遍不满14周岁，初中部分学生可能满14周岁。本报告主要针对不满14周岁学生这一最高风险群体进行评估。
第二章：适用法律法规体系
法律框架2.1 核心法律
| 法律 | 生效日期 | 与本项目直接相关的关键条款 |
|---|---|---|
| 《个人信息保护法》（PIPL） | 2021.11.01 | 第6条（目的限制）、第24条（自动化决策）、第28条（敏感信息定义）、第29条（单独同意）、第31条（未成年人保护）、第55条（影响评估）、第66条（处罚） |
| 《未成年人保护法》 | 2021.06.01（修订） | 第72条（网络产品和服务应针对未成年人设置时间管理、权限管理、消费管理等功能） |
| 《网络安全法》 | 2017.06.01 | 第41条（网络运营者收集个人信息应明示目的） |
| 《数据安全法》 | 2021.09.01 | 第21条（数据处理应建立管理制度） |
2.2 配套行政法规和部门规章
| 法规/规章 | 发布机构 | 关键要求 |
|---|---|---|
| 《儿童个人信息网络保护规定》 | 网信办 | 网络运营者应设置专门的儿童个人信息保护规则和用户协议；收集使用不满14岁儿童信息需监护人同意 |
| 《互联网信息服务算法推荐管理规定》 | 网信办等四部门 | 提供个性化推送须提供不针对个人特征的选项或关闭入口；向未成年人提供服务应履行更严格保护义务 |
| 《App违法违规收集使用个人信息行为认定方法》 | 网信办等四部门 | 明确界定哪些行为属于违法收集个人信息，包括未明示收集目的、捆绑授权等 |
| 《常见类型移动互联网应用程序必要个人信息范围规定》 | 网信办等四部门 | 教育类App必要个人信息范围：注册账号、学籍信息等，错题分析是否属于"必要"有待认定 |
第三章：逐项风险判定
核心分析以下逐项分析遵循「数据流 × 法律义务」矩阵：对产品数据流中每个环节，逐一对照相关法律条款，判定合规状态、风险等级和潜在后果。
风险 1：不满14岁 = 敏感个人信息 高风险
PIPL 第28条明确规定：「敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。」
对智学本的影响：
- 学生每次做试卷产生的错题记录、做题时长、正确率等数据，只要学生不满14岁，自动归类为敏感个人信息
- 基于错题生成的「知识薄弱点画像」（如"该生几何薄弱、代数中等"）同样属于敏感个人信息的衍生分析结果
- 敏感个人信息的处理义务远高于普通个人信息
风险 2：敏感信息处理必须取得单独同意 高风险
PIPL 第29条：「处理敏感个人信息的，应当取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。」 PIPL 第31条进一步要求：处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意。
对智学本的影响：
- 不能在注册协议里打勾一揽子授权。即使用户勾选了"我同意用户协议和隐私政策"，也不等同于同意平台将其错题数据用于精准推送和商业营销
- 必须单独弹窗，让家长明确看到并勾选类似以下内容：
- 如果没有这个单独同意就做了精准推送 → 直接违法。
风险 3：目的限制原则 — 收集错题的目的 vs. 商业化用途 高风险
PIPL 第6条：「处理个人信息应当具有明确、合理的目的，并与处理目的直接相关。采取对个人权益影响最小的方式。」 第7条：「处理个人信息应当遵循公开、透明原则，公开个人信息处理规则，明示处理的目的、方式、范围。」
对智学本的影响：
- 智学本收集错题的「原始目的」通常是：帮助老师了解学情、帮助学生订正错题、提供学情分析报告
- 基于错题画像做商业化精准推送（推送付费内容引导家长购买），属于变更处理目的
- 变更目的必须：重新告知家长 → 取得单独同意 → 必要时进行个人信息保护影响评估
- 如果原始隐私政策里已经写明了"用于个性化推荐和内容推送"，并且家长注册时已单独同意，则可在原范围内使用。但如果是上线后才增加的商业化用途，则必须追加同意
风险 4：自动化决策与个性化推送的退出权 中高风险
PIPL 第24条：「通过自动化决策方式向个人进行信息推送、营销，应当同时提供不针对其个人特征的选项或者提供便捷的拒绝方式。」 《互联网信息服务算法推荐管理规定》第16条进一步明确，向未成年人提供算法推荐服务应履行更严格保护义务。
对智学本的影响：
- 产品必须提供「关闭个性化推荐」的入口，且路径不能超过3次点击
- 关闭后不能影响基础功能（错题整理、通用练习）
- 关闭后应推送全年级聚合的通用高频易错题，而非"空荡荡的"
风险 5：未成年人专项保护规则 中风险
PIPL 第31条：处理不满14岁未成年人个人信息应制定专门的未成年人个人信息处理规则，并取得监护人同意。该规则应告知监护人：处理的个人信息种类、目的、方式、存储期限、权利行使方式等。
对智学本的影响：
- 需要在隐私政策之外，额外制定一份《未成年人个人信息保护规则》
- 该规则应作为独立的文档向家长公示，不能隐藏在用户协议的某个条款里
- 内容应包括：收集哪些数据、用于什么目的、存储多久、家长如何查询/删除孩子的数据
风险 6：个人信息保护影响评估（DPIA）中风险
PIPL 第55条列明需要进行个人信息保护影响评估的情形，其中与智学本直接相关的有两项：（一）处理敏感个人信息；（二）利用个人信息进行自动化决策。 智学本同时命中这两条。
对智学本的影响：
- 必须在上线精准推送功能前完成 DPIA
- 评估报告内容应包括：处理目的合法性、对个人权益的影响程度、安全风险、保护措施有效性
- 评估记录和处理情况记录应至少保存三年
风险 7：数据共享与第三方传输 高风险
如果错题数据或学情画像需要提供给第三方（如教辅内容供应商、合作学校以外机构），PIPL 要求取得单独同意并明确告知接收方信息。
对智学本的影响：
- 绝对不能把单个学生的错题/薄弱点数据打包卖给或共享给任何第三方机构用于营销
- 如果使用第三方AI模型做错题分析，必须通过委托处理协议（而非共享）的形式，并在隐私政策中明确说明
- 第三方模型服务商不得将数据留存、用于自身训练或其他目的
风险 8：刑事风险 高风险
违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。
对智学本的影响：
- 星火数智内部人员如果将学生错题数据/学情画像提供给外部机构用于营销，直接触犯刑法
- 即使在公司内部做精准推送，只要没有取得监护人同意且数据量较大，也可能被监管部门认定为"非法处理敏感个人信息"
- 建议建立内部数据访问权限控制和审计机制
第四章：违规后果量化
处罚后果| 违规行为 | 法律依据 | 行政责任 | 刑事责任 |
|---|---|---|---|
| 未取得单独同意即处理不满14岁未成年人敏感信息 | PIPL 第66条 | 责令改正+警告；拒不改正处100万以下罚款；直接责任人1-10万罚款 | 情节严重者：5000万或上年营收5%，责令停业整顿，吊销营业执照 |
| 未提供关闭个性化推荐选项 | PIPL 第66条 + 《算法推荐管理规定》 | 责令整改、下架相关功能、限期整改 | — |
| 向第三方出售/提供学生学情数据 | PIPL 第66条 + 刑法第253条之一 | 同上，加重处罚 | 侵犯公民个人信息罪：3年以下或3-7年有期徒刑 + 罚金 |
| 捆绑授权/强制同意 | PIPL 第66条 + App违法违规认定方法 | 责令整改，App下架 | — |
第五章：合规路径设计
具体方案以下合规路径旨在让智学本在法律框架内实现「错题精准推送 → 付费转化」的商业模式。核心思路：用合规机制把商业模式"包住"，而不是放弃商业模式。
5.1 三道同意闸门
精准推送功能的开启，需要经过三道渐进式同意：
🔑 闸门一：注册时 — 基础数据收集同意
家长注册账号时，在隐私政策中明确告知将收集学生的做题记录用于「学情诊断、错题整理、个性化练习推荐」。此处的同意是基础服务层面的。
关键：隐私政策里必须明确写到"个性化推荐"和"基于学情数据的精准练习推送"，不能只写"改善学习体验"这种模糊表述。
🔑 闸门二：首次推送前 — 商业化用途的单独同意
在平台第一次准备向某学生推送基于错题画像的付费内容之前，弹出专门的授权弹窗。
弹窗要求：
- ✅ 单独弹窗，不能打包在注册协议里
- ✅ 明确说明推送内容包含"可能需要付费购买的针对性练习和教辅"
- ✅ 提供「同意」和「只看免费通用内容」两个选项
- ✅ 家长可以随时在设置中修改此授权
法律依据：PIPL 第29条（敏感信息单独同意）+ PIPL 第24条（自动化决策退出权）
🔑 闸门三：付费购买时 — 确认知情同意
当家长点击购买某个基于孩子薄弱点的付费训练包时，在支付确认页显示：
目的：形成完整的同意证据链，在监管检查时能证明每个环节都有知情同意。
5.2 关闭开关设计
🔄 个性化推荐开关
产品设置页中必须有一个明确的开关：
产品逻辑：
- 开关默认状态建议为 OFF（更保守，降低投诉风险），首次使用时引导开启并弹出闸门二
- 关闭后 → 精准推送停止 → 改推年级通用高频易错题（聚合数据，无个人画像）
- 关闭后 → 基础功能（错题本、学情报告）完全不受影响
- 关闭路径不超过 3 次点击
5.3 DPIA（数据保护影响评估）
📝 个人信息保护影响评估报告
根据 PIPL 第55条，智学本同时命中「处理敏感个人信息」和「利用个人信息进行自动化决策」两个必须做 DPIA 的情形。评估报告应包含：
| 评估维度 | 评估内容 | 应得结论 |
|---|---|---|
| 处理目的合法性 | 收集错题数据用于个性化学习推荐是否合法、正当、必要？ | 在取得监护人单独同意的前提下合法 |
| 对个人权益的影响 | 精准推送对学生的隐私、学习自主性、心理有什么影响？ | 影响可控：有关闭机制、有通用内容替代 |
| 安全风险 | 数据泄露、滥用、越权访问的可能性及防护措施 | 风险可控：加密存储、权限控制、审计日志 |
| 保护措施有效性 | 技术措施（加密、脱敏）和管理措施（制度、培训）是否到位 | 需列明具体措施并持续改进 |
保存要求：评估记录和处理情况记录至少保存三年。
5.4 未成年人专属隐私规则
📋 《未成年人个人信息保护规则》
需要单独制定并向家长公示的规则文档，至少应包含：
- 收集范围：收集哪些数据（错题记录、做题时长、正确率、知识点掌握度等）
- 使用目的：用于学情诊断、错题整理、个性化练习推荐（含可能的付费内容推荐）
- 存储地点和期限：存储在境内服务器，存储期限（如学生毕业后1年自动删除）
- 共享情况：是否会与第三方共享（如使用第三方AI模型需说明），以及共享的范围和目的
- 家长权利：如何查询、更正、删除孩子的数据
- 联系方式：个人信息保护负责人的联系方式
- 第三方接入：如果使用第三方AI模型（如通义千问、文心一言等），需在规则中披露
5.5 技术架构合规要求
| 合规领域 | 技术要求 | 优先级 |
|---|---|---|
| 数据存储 | 学生数据必须存储在境内服务器（如阿里云/腾讯云国内区域） | P0 |
| 数据加密 | 传输加密（TLS 1.2+）+ 存储加密（AES-256） | P0 |
| 访问控制 | 严格的角色权限：只有授权人员可访问个人学情数据，操作留痕 | P0 |
| 同意记录 | 记录每次家长同意的时间、IP、版本号、内容快照 | P0 |
| 数据删除 | 支持家长发起数据删除请求，30天内完成删除 | P1 |
| 账号注销 | 支持家长为孩子注销账号，注销后删除个人信息 | P1 |
| 数据导出 | 支持家长导出孩子的学情数据 | P2 |
| 第三方模型 | 如调用第三方大模型分析错题，通过API调用（不传输原始数据给模型厂商训练），签署数据处理协议 | P0 |
第六章：产品合规实施清单
落地执行以下是智学本上线精准推送+付费功能前必须完成的合规任务，按优先级排序：
6.1 上线前必须完成（P0，缺一不可）
- 隐私政策更新：明确写入"基于学情数据进行个性化练习推荐"和"推送内容可能包含付费项目"
- 单独同意弹窗开发：首次推送付费内容前弹出，支持"同意"和"使用通用内容"两个选项
- 关闭开关开发：设置页提供「关闭个性化推荐」开关，关闭后推送通用内容，不影响基础功能
- 未成年人隐私规则：制定独立的《未成年人个人信息保护规则》并在产品中公示
- DPIA 完成：完成个人信息保护影响评估，报告存档，保存三年
- 数据存储合规确认：确认所有学生数据存储在境内，传输和存储均有加密
- 同意记录系统：记录每次家长同意的时间、内容版本、操作IP
- 第三方模型协议：如使用第三方AI模型，签署数据处理协议，确认数据不被留存
6.2 上线后3个月内完成（P1）
- 家长数据权利接口：支持查询、导出、删除孩子数据的功能入口
- 账号注销功能：支持家长注销孩子账号并清除数据
- 内部数据管理制度：制定员工数据访问权限规范和违规处罚制度
- 数据安全培训：对产品、开发、运营团队进行数据合规培训
6.3 持续维护（P2）
- 定期合规审查：每季度检查合规状态，法规更新后及时调整
- 隐私政策更新机制：隐私政策重大修改时通知家长并重新取得同意
- 投诉处理机制：建立家长关于隐私问题的投诉渠道和处理流程
第七章：风险等级总览
风险矩阵| 风险项 | 等级 | 合规前后果 | 合规后状态 |
|---|---|---|---|
| 无监护人单独同意即推送 | 严重 | PIPL第66条：罚款最高5000万/营收5% | 已解决 |
| 无个性化推荐关闭入口 | 严重 | PIPL第24条：责令整改、下架功能 | 已解决 |
| 关闭后限制基础功能 | 高 | 变相强制同意，PIPL违规 | 已解决 |
| 数据提供给第三方 | 严重 | PIPL第66条 + 刑法第253条之一 | 禁止 |
| 无未成年人隐私规则 | 高 | PIPL第31条：责令改正 | 已解决 |
| 未做DPIA评估 | 中高 | PIPL第55条：行政处罚 | 已解决 |
| 数据出境 | 高 | PIPL第38-43条：安全评估+处罚 | 不存在（数据全在境内） |
第八章：最终结论与建议
结论✅ 最终结论：可以做，合规路径清晰
「错题精准推送 → 引导家长付费」这个商业模式本身不违法。法律限制的不是"做什么"，而是"怎么做的过程是否合规"。
合规的关键在于：三道同意闸门 + 一个关闭开关 + 一份DPIA报告。只要在产品设计阶段就把这些合规机制内置进去，商业模式完全可以合法运行。
向老板汇报时的三条核心信息
- 「能做，但要合规做。」— 错题精准推送不是法律禁区，但必须满足 PIPL 对不满14岁未成年人敏感信息的处理要求。核心是家长单独同意 + 关闭开关。
- 「成本可控，不影响商业逻辑。」— 合规措施主要是产品设计层面的（弹窗、开关、隐私政策），不会改变"基于错题画像精准推送 → 付费转化"的商业模式。用户体验影响较小。
- 「不做合规的风险远大于做合规的成本。」— 单次处罚最高5000万或营收5%。相比之下，开发一个弹窗和开关的成本微乎其微。建议在产品立项阶段即纳入，避免上线后整改的代价。
建议下一步行动
- 本周：产品团队确认合规方案可行性，评估开发工作量（预计弹窗+开关+同意记录系统约 2-3 个开发日）
- 下周：咨询公司法务或外部律师，审核隐私政策文本和未成年人保护规则
- 两周内：完成 DPIA 报告初稿
- 一个月内：合规功能开发完成，随精准推送功能一起上线
- 持续：每季度做一次合规状态检查
星火数智 · 智学本产品合规风险评估报告
生成日期：2026-06-25 | 版本：v1.0
本报告由 AI 辅助生成，仅供参考，不构成正式法律意见。