LiA 學生數據保護補充條款

LiA 學生數據保護補充條款

1. 目的與範圍

本補充文件將《Malvern International GDPR 資料保護政策》適用於「Language in Action」（LiA）的 18 歲以下服務項目。其涵蓋與兒童工作相關的特定資料類別、由誰代表學生行使資料權利，以及資料保護法與兒童保護措施之間的相互關係。 本補充文件適用於所有 LiA 員工、承包商及代理合作夥伴，並應與集團政策一併參閱。資料保護專員（gdpr@malvernplc.com）仍是處理所有請求、投訴及資料外洩事件的聯絡窗口。.

2. 特殊類別數據我們處理

在為十八歲以下人士提供計劃時，LiA 例行處理英國通用數據保護條例（UK GDPR）第 9 條所述的特殊類別數據，包括：健康數據（過敏、病症、處方藥、急救和醫療事件記錄）、可能揭示宗教信仰的飲食要求、監護和福利記錄，以及學生的圖像。.

此數據是根據維護兒童和高風險人士的重大利益（《2018 年數據保護法》附表 1，第 2 部分）的條件，以及在緊急情況下保護學生生命權益的條件下進行處理的。透過入學流程在抵達前收集的健康資訊，僅與為確保學生安全而需要該資訊的員工共享（例如，中心管理人員和處理過敏事宜的人員）。僅在必要時使用可見的過敏原識別標識，以保護學生的安全。.

3. 18歲以下學生的數據權利

學生因身為兒童而不會喪失其資料權利，父母亦不會自動獲得這些權利。任何關於學生資料的要求——無論是學生本人、父母或監護人，或其代理人提出的——都必須立即轉交資料保護主任處理，由其核實請求者的身分和權限後再作出回應。一般而言，父母或監護人會代表年幼子女行使權利，而足夠成熟的較年長學生則可自行行使權利；資料保護主任會根據具體情況逐案評估。根據法律要求，請求會在一個月內得到答覆。.

4. 資訊共享以保障安全

數據保護法並不阻止為保障兒童安全而分享資訊。根據 2025 年《學校兒童安全指引》(KCSIE)，對違反英國通用數據保護條例 (UK GDPR) 的擔憂絕不能阻礙舉報或升級安全問題。.

關於保護披露——向 DSL 鏈、當地學務官 (LADO)、警方、法定服務機構，或學生的父母和監護人披露——必須遵守集團保護與預防政策及 LiA 保護與預防操作實施附錄，並且不需要數據主體同意。此類披露是基於「需要知道」的原則進行，並按照附錄的要求進行記錄。.

5. 實用操作規則

• 依據「個別知曉」原則：學生個人資料僅提供給因職責所需之教職員工使用，遵循集團「最小權限」原則。.
• 學生圖像和感言僅在抵達前已收集的家長同意書的基礎上用於宣傳；任何撤銷同意的請求將立即處理。.
• 保障與福利記錄的保留期限為至少七年，或直至學生年滿25歲，以較晚者為準；其他學生記錄則遵循集團保留時間表。.
• 學生數據絕不能儲存在個人裝置上，或透過個人帳號或管道分享。.
• 任何涉及學生數據的可疑洩密事件都應立即報告給 gdpr@malvernplc.com，並且在可能影響到監護安全的情況下，應同時報告給 LiA DSL。.

6. 相關文件

• Malvern International 《一般資料保護條例》（GDPR）資料保護政策
• 集團安全保障與預防政策及「學習與行動」安全保障與預防操作實施附加協議
• 隱私權政策 (網站)
• 學生投訴政策與程序（主體查詢請求，第 4 節）
• 電子安全與網絡欺凌政策及程序（網上個人資料）