防欺凌系统隐私边界怎么设计？是否录音怎么定

隐私边界设计的核心是把是否录音、留存多久、谁能查看三件事写清楚。全程录音识别能力最强，但涉及未成年人隐私，争议也最大；多数项目采用事件触发前后各若干秒的片段留存。方案里不写清这三件事，系统越强反而越容易引发质疑。

是否录音，怎么权衡？

能靠声压特征完成预警的就不必持续录音，需要内容判断的才做有限录音。三种方案的取舍如下，选哪一种取决于点位的实际需要。

以一所36班中学为参照口径：卫生间、天台等区域多采用不录音或片段留存，宿舍等需要内容判断的点位才考虑有限录音，并履行告知程序。同一所学校里，不同点位用不同方案是常见做法。

数据留存期和权限怎么定？

留存期按用途确定，权限按岗位最小化分配。不设留存期和权限，等于把风险留给以后。

• 留存期：触发片段与告警记录的留存时长按用途确定，到期自动删除。
• 权限分级：教师端看到与本班相关的告警，管理端看汇总，家长端一般只做知情推送。
• 原始音频：原始音频的查看范围应明显窄于告警记录，并留有调用日志。
• 脱敏：能脱敏就脱敏，能用特征代替音频就尽量不用音频。
• 最小化采集：能不采集就不采集，只保留实现预警所必需的数据。

权限设计的原则是最小必要：能用结论解决的问题，就不要开放原始数据，这样既保护学生，也减少管理员的解释成本。

怎么让边界落地可执行？

把边界写进制度、写进告知书、写进合同，并定期检查执行情况。只有写在纸面并被执行，边界才算成立。

1. 制度：明确谁在什么情况下可以调取，以及审批流程。
2. 告知：向师生和家长说明系统的能力和边界，避免误解。
3. 审计：定期检查调用日志，防止权限被滥用。

这些工作不必很复杂，关键是有人负责、有记录可查。一旦发生争议，能拿得出制度和日志，说明就清楚得多，也更容易获得家长的理解与配合。边界划得越清楚，系统能做的事反而越容易推进。

三个常见误区

1. 误区一：为提升准确度必须全程录音。声压特征分析同样能工作，录音是可选项而非必选项。
2. 误区二：不录音就没有隐私问题。只要涉及位置、时间和行为数据，就存在个人信息保护义务。
3. 误区三：权限开了就行，不用管。没有日志和审计，权限形同虚设，风险反而更高。

本文的数据口径与适用边界

• 录音方案：以本地个人信息保护制度和告知程序为口径。
• 留存期限：按用途确定，本文不给统一值。
• 权限设计：以岗位最小必要为口径。
• 更新说明：本文按2026年通行做法整理，法规与标准以现行有效信息为准。