近日有新闻报道，上海嘉定、靜安、松江、金山、黃浦、奉贤、长宁、普陀、徐汇、杨浦、闵行等 12 个区教育局公告拟斥资 1.4 亿元人民币为中小学生统一配备运动手环，相关公告披露后，引起了不少家长对学生个人信息安全的质疑。

笔者在上海政府采购网查阅到了相关政府采购意向公告，证实了上述新闻内容。其中，根据嘉定区的公告披露，此举是为了落实上海市教卫工作党委、上海市教育委员会印发的《深化时代中小学体育工作高质量发展的若干措施》（下称 "《深化措施》"），运动手环将用于对体育课上的运动心率进行监测。有意思的是，在众多的意向采购公告中，金山区教育局一马当先，于 2025 年 8 月 26 日已经公告采购学生运动手环以及中小学体育运动健康大数据管理平台的招标，但又在 2025 年 9 月 1 日公告终止招标，理由是 " 因重大变故采购任务取消 "。招标终止的时间恰好在相关新闻报道后，也许与质疑学生个人信息安全的社会舆论有关。

笔者查看了《深化措施》的内容，其中有两点与上海各区教育局的采购意向相关。

" 科学设置运动负荷。体育课应落实国家课程标准关于平均运动负荷心率、全课运动密度等要求，使运动达到一定强度和效果。以人工智能技术建立体育活动常态化监测机制，为所有学生配置运动手环，提升锻炼实效，防范安全风险 "

" 搭建市、区、校三级学生体育活动与体质健康监测服务平台，建立学生运动与健康画像，开展个性化、成长性分析，定期向家长反馈，合力促进学生健康成长 "

从上述内容来看，为学生配置运动手环的核心目的是通过监测运动数据实现科学设置运动，提高学生身体素质。结合相关规划及各区教育局的采购动向，笔者首先关注的合规问题是：学校和教育局处理学生个人的运动健康数据的合法性基础是什么？

《中华人民共和国个人信息保护法》第十三条提供了七种合法处理个人信息的情形，其中最常用的应当是 " 取得个人的同意 "。如果是基于 " 同意 " 进行处理，在为学生配置运动手环的场景下，由于中小学生大部分都是十四周岁以下的未成年人，还需要依法取得未成年人的父母或者其他监护人的同意。但从舆情反映来看，家长们事先可能并不知情。可能对执行者而言，" 取得同意 " 的节点尚未成就，采购完成并制定相应的设备使用细则后，学校会负责寻求家长的同意。那么，教育局有没有可能适用其他合法性基础？在笔者看来，其余六种合法性基础中，教育局有可能适用的是 " 为履行法定职责或者法定义务所必需 "。然而，《深化措施》本身的性质是地方政府部门联合发布的政策性指导文件，其制定依据是中共中央国务院印发的《教育强国建设规划纲要（2024-2035 年）》，二者虽具有较强的政策指引性，但本身并非法律或行政法规。因此，如果要作为前述处理学生运动健康数据的合法性基础，还需结合相关上位法（如《中华人民共和国体育法》、《中华人民共和国教育法》）进一步论证其正当性。

为什么家长会质疑运动手环背后的学生个人信息安全？运动手环的配置涉及一个典型的 " 可穿戴设备 + 未成年人数据 + 健康数据 " 合规场景。笔者不知道上海各区教育局采购的运动手环是否会定制功能，从而限制对学生数据的收集 / 处理。但闵行区的公告披露，" 该设备支持实时上传心率数据，可存储不少于 48 小时数据，可拓展至校外体育活动及赛事，配套完整数据管理服务；具备心率预警等功能，防护等级高；具备 4G 数据采集上传及分析等功能 "。

结合前述公告和《深化措施》的信息，参考市面上现有的运动手环的基本功能，可能涉及的学生的数据类别包括：

上述数据中，有些数据是产品制造商为了实现运动手环的各项功能而必须收集 / 处理的，比如健康生理信息、设备信息、运动轨迹，而有些数据是学校和教育局为了《深化措施》涉及的科学设置运动等目的必须收集 / 处理的。那么，产品制造商和教育局之间如何界定各自的数据处理权限和责任？二者是独立处理关系、共同处理关系，还是委托处理关系？笔者在运动手环的配置和采购相关的公开信息中未能查阅到相关说明，不知道在目前已终止的金山区教育局的招投标文件中是否包含明确的法律文件或合同条款。

与上海学生家长的质疑相对的是部分网友的以下疑问：即使没有学校配置的运动手环，实际上大部分中小学生本身也有佩戴儿童手表、运动手环的习惯，为什么学校免费配置反而遭到家长质疑？笔者认为，可能是家长对数据处理权利和风险的不确定性感到担忧。

当家长自己为孩子采购穿戴型智能设备时，家长可以预见到：

设备制造商会基于提供设备各项功能的目的收集、处理孩子在使用设备过程中产生的数据

一旦出现数据泄露或者数据被用于超出预期的使用场景，家长知道可以通过投诉、索赔等途径维权

也就是说，家长了解可能存在的风险，并且在知情的前提下，自愿接受并承担使用产品可能伴随的风险。然而，当学校统一为学生配置运动手环时，家长可能事实上被剥夺了作为法定监护人的选择权和同意权。孩子的个人信息的收集范围、处理目的与使用方式都取决于教育局的规划和决定，家长无法像在自主采购场景中一样就具体的数据处理场景进行知情选择。在这种情况下，家长所面临的不确定性显著增加，他们既不清楚数据的使用边界，也无法确定如何保障自身与孩子的合法权益。比如：

除了制造商，还有哪些机构可能掌握学生的数据？

这些机构之间的数据处理权利和责任如何划分？

这些数据是否可能被用于升学、考评或其他影响学生发展的决策？

是否存在因数据使用而导致不公平待遇风险？

如果发生数据泄露，是制造商、学校还是教育局来承担责任？

除此之外，家长可能也存在对统一配置运动手环背后的监管与安全能力存在顾虑：

教育局在决定为学生配置运动手环前是否开展过充分的数据安全风险评估和论证？

学校和教育局是否具备充分的安全保障能力来保护这些敏感个人数据？

最后，笔者认为，家长质疑的根本原因，并非反对学校和教育局的运动和健康管理本身，而是担心责任主体不清、数据用途不透明、数据安全保障能力不足，从而导致孩子的个人数据和权益面临不确定的风险。上海各区教育局的运动手环配置计划本身是对学生运动方式和健康管理的一种积极改革，相信最终仍会落地实施。但在此之前，相关政府部门有必要对该计划所涉及的学生数据权益进行系统性论证，并向学生家长充分公开说明数据收集范围、收集目的、处理方式、必要性、责任划分以及安全保障措施等信息，确保能够在透明和合规的基础上执行。