问题：学校掌握着最敏感的”数据宝库”：儿童个人信息——姓名、出生日期、住址、健康、影像、教室监控。简要回答：自2026年1月1日起，适用框架是91/2025/QH15号法律和356/2025/ND-CP号法令——13/2023/ND-CP号法令已被废止（356/2025号法令第42.2条）。学校作为数据控制者/处理者须全面履行义务，违规罚款最高达营收5%。
法律过渡说明（重要）
许多旧文件、合同仍引用13/2023/ND-CP号个人信息保护法令。注意：该法令已被废止，由356/2025/ND-CP号法令（2025年12月31日颁布，2026年1月1日生效）取代——后者是91/2025/QH15号个人信息保护法的实施细则。学校所有引用13/2023号的隐私政策、合同条款、合规文件都要审查更新到新框架。
哪些学生数据受保护？
- 一般个人信息：姓名、出生日期、性别、住址、家长电话、邮箱。
- 敏感数据：学生健康、病史信息；生物识别数据（指纹考勤、人脸识别）——受更高级别保护。
- 影像视频：肖像、教室监控、活动视频——收集发布须有法律依据（儿童须经家长/监护人同意）。
学校的义务
- 告知与同意：明确告知处理目的、范围、方式；学生为儿童的，须经家长/监护人同意。
- 安全保障：采取技术和管理措施；权限分级（不是每个老师都能看全部学生档案）。
- 留存与删除：仅在告知目的所需期限内留存；无需要或有合法要求时删除/销毁。
- 事件应对：发生泄露、丢失（如学生名单外传）时，须评估、补救并按规定通报。
处罚：最高达营收5%
违反个人信息保护规定可被处营收5%的罚款——足以让任何私立学校重视。除罚款外，还有家长学生的索赔和难以估量的声誉损失。
常见问题
1. 13/2023号个人信息保护法令还有效吗？
无效。13/2023/ND-CP号法令已被356/2025/ND-CP号法令第42.2条废止（2026年1月1日生效）。现行框架是91/2025/QH15号法律和356/2025号法令。
2. 学校收集学生数据要谁同意？
学生为儿童的，须经家长/监护人同意。学校须明确告知处理目的和范围。
3. 教室装监控违规吗？
不自动违规，但学校须告知安装情况、使用目的，保障录像数据安全，只用于已告知目的。
4. 学生名单泄露怎么罚？
可按新框架处营收5%的行政罚款，另加对受影响人的赔偿责任。
5. 学校要从13/2023更新到356/2025做什么？
审查全部隐私政策、合同条款、同意书模板、事件应对流程——更新引用和义务到新框架。
本文已通过 FLAW AI Legal Council 质量审核。
