?編者按
一個機構的下一代數字環境(NGDLE)是否看起來更像是一個精心設計的“花園”，錯落有致的社區地塊，或一地本土花草，保護個人隱私要求互操作性標準有助于確保制度和個人隱私的價值取向。本文將互操作性隱私標準分為五大主題，并在此基礎上進行了擴展。
下一代數字教學環境中的隱私保護
在實體校園中配置的多樣化反映和激發學校社群中多樣化的靈感和合作，也在虛擬教學環境中投出鏡像：快速演化的教育技術和客戶應用組成的一個動態和復雜的聯合體。教師們經常使用學校的教學管理系統(LMS)之外的工具，運用學生喜愛的應用來吸引學生投入學習與此相應，一個學術評議委員會正在爭取發布一個指南，來評估課程申請中的社交媒體運用。研究小組針對一些主題提出了一些考慮，涵蓋的范圍從設備可用性和輔助技術支持到隱私、長期數據控制、所有權和內容管理等。
隨后，在另一場會議中，我們探討了隱私和在線監控問題是如何與院校研究相關的。同時還討論了倫理審查委員會(IRB)和《聯邦教育權利和隱私法(FERPA)》規定的與涉及學生數據的研究相關聯的強制義務，以及以學校名義進行的研究如何在這些保護之下變成了一個特色領域。我們深入思考了從學生身上采集到的諸多不同的數據點，并展望了通過對更多信息進行關聯分析來評價、量化和改進學生體驗的前景。同時，還反復研討了在無處不在的監控對創新教學環境帶來的影響，因為創新教學環境中個人需要有不受威脅地進行實驗的空間，也需要有無須害怕關門帶來的后果的自由。
這些討論預示著教育技術的未來。菲爾·希爾(PhilHill)將當前的教學管理系統描述為“有圍墻的花園”，其中用戶創造的內容和事務數據在學校管控的局面中受到保護。與此相對的是未來的下一代數字教學環境(Next Generation Digital Learning Environment，NGDLE)，他將此描述為“開放式花園”，其中數據在不同來源的應用中自由穿行。教師和學生們將個性化教學工具堆積匯編成為了在線的校園生態，其中通過測量導向的數據標準，我們能夠對互動中的每一點進行測量、關聯和分析。在這樣的情況下，如何才能保護隱私，而不會讓學生和其他人在虛擬的開放花園中過度暴露呢?
互操作性隱私標準
隱私影響評價(PIA)是隱私官員工具包中的一個標準量尺，用來評估潛在系統的隱私風險?！?002年電子政府法》要求在采集可識別個人身份的信息和開發或采購保存個人信息的聯邦系統前，必須要進行PIA。PIA描述的是一個系統性流程，包括明確信息采集的范圍和目的、評價合規性要求，以及分析隱私風險和管控措施。盡管PIA是一個公認的慣例，然而在大部分的高等教育行業中，受資源所限，正式進行PIA并非常規做法而是更加進取的表現。以集中審核流程方式實施PIA尤其不可行，因為學生和教師們構建個性化的教學環境時是從完全未知的來源中匯集應用的。我們需要一種能在運行中審核隱私活動的方法。
NGDLE支持由多元化模塊組成的教學生態，因此互操作性和“不受阻礙的數據交換”被鼓吹為不可或缺的特性。盡管互操作性極好的樂高積木作為塑料玩具是理想的，然而要是以學生隱私和可靠管理為賭注的話，也許電源插頭模型是更恰當的比喻。在低風險場景下為了最大化的互操作性可以接受兩線插頭，不過根據盡職原則，我們還是應該將數據交換建立在獲準的隱私條件下。
不同高等院校在數據的可靠利用方面有不同的文化，遵循不同的規范。2016年，在關于學生數據的可靠利用的第二次阿西洛馬(Asilomar)會議上，提出了創建“一套模板或者廣泛的一系列原則，并可以擴充以涵蓋院校特有的環境/重點”。這個概念可以通過NGDLE互操作性隱私標準的形式加以實現。以互操作性為重、對隱私限制最少的學?？梢赃x用通用模板。其他有更嚴格隱私要求的院?？梢砸蟀凑漳硞€特定隱私標準在互操作對接時進行驗證。
IMS全球隱私和安全工作組已經發布了一個“數據使用標簽”的模型，就像是營養素標簽一樣，用于按照教學工具互操作性(LTI)標準進行教學工具注冊時向系統管理員展示。對這種對接方式加以改進，使之面向更廣泛的一組隱私標準并根據院校的配置進行自動化的審核，就能為分布式的下一代數字教學環境形成一個進行有效隱私管理的途徑。
這些隱私標準包含哪些內容?多種隱私框架提供了構建NGDLE互操作性隱私標準所需的素材。
公平信息實踐原則(Fair Information Practice Principles，FIPPs)和OECD隱私原則所確定的原則，奠定了數十年來世界范圍內隱私法律和政策的基石。近年來，奧巴馬政府嘗試推動的消費者隱私權利法案(Consumer Privacy Bill of Rights)定義了互聯網時代的隱私框架，并承認我們比過去更自由地分享個人隱私。近年來還出現了專門針對學習數據環境的若干框架。國家技術標準研究所第8062號報告(NISTIR8062)中的隱私工程目標力圖彌補高層的隱私原則與其在系統中的具體實現之間的缺口，明確了實施隱私政策所需的系統能力的類型。
表1對每個隱私框架中的多種構成要素進行了交叉分析，將這些互不相同的方案中的相關概念歸納為五大主題。這些主題為NGDLE互操作性隱私標準建立了基礎。某些隱私概念在所有的方案中都是一致的，盡管不同框架中概念的名稱、重點、目標和實現途徑各不相同。某個框架也許在一個主題之中有多個思路，或者將主題的基本概念歸為另外一個主題中，或者根本不涉及一個主題。下文各節提供了對這個交叉分析的一個導引。
透明和可預測性
關于數據目的的通知的具體程度，以及數據使用的可預測程度。
透明度在所有的隱私方案中都出現了，不過在數據使用的披露方面，不同方案對具體程度的規定有所差別。實現透明的傳統做法有：提供關于數據采集目的的通知，給予數據主體是否參與的選擇機會，以及根據具體目的而對數據的采集和利用加以限制等。然而，由于通過數據分析可以發現原本不相干的數據點之間的顯著相關性，隨著數據分析的興起和科研經費資助經常有數據共享的要求，在一些較新的隱私框架中，“特定目的”的原則引人注目地消失了。本來的關注點在于數據采集者有提供特定目的說明的責任，確保數據主體能有依據地做出是否參與的選擇。一個建議的替代方式是，將關注點從數據采集者的責任轉移到數據處理者在數據使用的具體情境中做出適當決定的責任上。例如，消費者隱私權利法案要求“情境責任”(RespectforContext)，即數據只能以與數據最初采集時相一致的方式使用;如果不一致，則只能在更高的透明度和個人選擇參與時使用。這一辦法的支持者提出了對未來的數據使用進行預測的困難性，以及幾乎沒有數據主體會閱讀通知這一事實。其他人則對依賴數據處理者在決定“適當的”數據使用時將數據主體的最佳利益放在心上心存疑慮，因而要求對數據采集和使用及時通知來提醒使用者。國家技術標準研究所(NSIT)的框架則引導系統設計者們找出為滿足系統的可預測性目標所需的方法(通知和選擇、情景責任或其他)，這樣利益相關者們就不會對數據處理表示詫異，即使在情境發生變化的情況下。
匿名權或選擇權
數據的匿名化程度，以及個人在是否參與數據采集和使用上的選擇權的大小。
如上文所述，選擇這一概念經常是與通知這一概念相關聯的。在透明度主題上有大范圍的各種方法可供使用一樣，在選擇是否參與數據采集和是否允許使用他們的數據方面，個人能有的能力也是有大范圍的可能性。當數據的使用不可預測而且與數據采集時的情境不一致時，理想狀況應當是由主體來選擇是否參與。院校的價值觀、特定應用的價值觀和情境都決定了個人對自身數據使用的控制程度。例如，學校是否允許學生選擇不參與使用學生學習數據而進行的研究?
在這個領域中，數據的去身份技術扮演了核心角色。在某些應用，如學術研究中，我們可以將數據和個人身份解除關聯;而在另外一些情況下，數據必須是能識別身份的，例如在為某個學生或者咨詢教師提供可操作的信息時。某些數據或許需要在匿名的和關聯身份的狀態之間反復。例如，法學院考試采用匿名評分來防止偏見和保護殘疾學生免受污名傷害。要為院校、應用和個人在選擇權的要求和偏好方面指定參數就需要有一套NGDLE互操作性隱私標準;而且這些規范還要嵌入成為數據的屬性并隨著數據一同傳輸。
訪問權、所有權和控制權
個人、學校、廠商和公眾在數據的訪問權和所有權的定義水平。
因為數據對于數據主體是有影響的，數據主體有權參與數據采集過程，而且有權獲得以可理解的格式展示的數據，從而確保數據的準確性。隱私框架中的最初描述的訪問權就聚焦在這些權利上。面臨著數據算法的高度復雜性、機器學習決策支持和預測分析，訪問權目標的重要性被再次重申。歐盟通用數據保護條例(European Union‘s General Data Protection Regulation，GDPR)要求數據處理者向數據主體提供信息，說明是否有自動決策系統存在，這類系統的處理邏輯以及處理的后果等有用信息。GDPR是大范圍實施的，因而預測會對全世界的院校產生影響。如果新的信息通過人類邏輯難以理解的復雜算法而產生，那么數據在通過NGDLE交換時，對算法模型中的最重要因素的著重解釋也要嵌入到數據中一同交換。
NGDLE源自于對外部供應商的依賴，而且高等教育機構的利益也需要保護，這兩個因素共同催生了訪問權和所有權問題的新的一個方面。因為教學數據關系到教學的核心使命，為了確保教育機構對教學數據的訪問，在所有即插即用系統的互操作對接中必須要將數據所有權的相關安排結合進去。
數據共享的權利要通過NGDLE互操作性隱私標準在學校、教師和學生之間進行合理穩定的分配，才能支持多校間的合作;支持公共經費資助的研究要求的數據分享;支持基于能力(competency-based)的課程學分模型，讓學生可以在其中保存整個學術生涯和職業生活進行學習的證明。NGDLE必須要能根據知識產權的細粒度規定，支持學生在個人實現空間、有限合作模式和公共思想交流之間切換。
符合倫理的使用、管理和治理責任
隱私只是教學數據的符合倫理使用中的一個方面。信息化應用為教學和指導帶來的益處(例如能加強師生關系等)可以支持學生取得成就，為每個學生創造未來的可能機會，并平衡教學數據共享帶來的各種風險。如果應用提供商能夠在堅持道德原則的治理流程和持續責任方面提出證據和論述的話，那么各方之間的信任程度就會提高，從而允許更敏感的數據參與到交換之中。
安全和技術標準
隱私標準決定了在個人數據的授權使用中哪些被當作合理的，安全標準通過保護系統和數據免于非授權的使用而為其提供支持。認證、授權和加密規范都是保護數據的重要安全機制。Caliper和xAPI等開放標準在一定程度上解決了技術和安全標準問題，而安全模型的健壯性是NGDLE互操作性隱私標準保持強健的核心。
基礎和擴展
正如市政規劃師為新城市的各種設施和網格進行布局一樣，NGDLE互操作性隱私標準的構建者們可以在下列五個主題上確定基礎規范和可選擴展：
1.透明和可預測性
2.匿名權或選擇權
3.訪問權、所有權和控制權
4.符合倫理的使用、管理和治理責任
5.安全和技術標準
例如，NGDLE互操作性隱私標準
1“透明和可預測性”的最低判斷規則是“采集到的數據的使用或者披露的目的必須與教學方法或學生成就相一致。如果數據的用途與教學方法或學生成就無關，數據主體能夠選擇退出”。又如，可選的擴展可以是：(1)關于數據采集、保留、使用和共享實踐方面的通用信息將會以發布隱私聲明的方式讓所有用戶獲取;(2)只有在取得積極(選擇加入)知情同意的情況下才可以將數據用于與教學方法和學生成就無關的用途;(3)數據訪問和使用要及時通知用戶。
在允許數據交換前，不同應用和學校之間可以在運行時互相評估隱私合規性，根據每個隱私主題中確定的標準來對比對方的合規性聲明?？赡軐W校A認為沒有必要進行“透明和可預測性”檢驗并無差別地接受所有插件;可能學校B認為基礎標準和任何擴展都是可接受的;可能學校C只接受符合標準1(2)“二次使用的選擇加入”和標準1(3)“及時通知”兩項要求的應用插件。
有進取心的學校和學生將承擔起驗證應用的合規性聲明的工作。標準機構將承擔起收集和發布應用程序列表的職責，并按照其聲明是否符合或不符合合規要求而分為黑名單、白名單和灰名單。學校也會根據其風險容忍度而將這納入其隱私要求的考慮中。這種低成本的模型允許學校參與到NGDLE生態中，而不論他們在嚴格的隱私要求和“不受阻礙的數據交換”之間站在什么立場上。
照料“花園”
一所學校的NGDLE看起來像是精心設計的“花壇”，或是植物群落的拼湊，還是天然花草覆蓋的田地，都可以根據數據互操作性標準設計隱私要求，讓我們獲得一種工具，確保在透明度、選擇權、所有權、治理和安全方面的實踐活動能夠和學校及個人的隱私價值觀保持一致。
通過制定NGDLE互操作性隱私標準，能夠提升教學數據的管理水平，從而能在下一代的學生培育自己的數字教學環境的時候為其提供更全面的支持。
(本文譯自EDUCUASEREVIEW;翻譯：陳強清華大學信息化工作辦公室)
