一、高校学生个人信息的概念及特点
高校学生的个人信息是指一切可以识别高校学生本人的信息的总和，包括学生个人基本情况信息，如姓名、性别、年龄、体重、身高、学号、家庭住址、家庭成员、社会关系、寝室号码、宗教信仰、性取向、婚姻状况、电话、电子邮箱、信用卡信息等；学生自身的健康信息，如血型、就诊或者患病记录；学生的学业记录，如平常表现、学术评定、在校期间的奖惩情况、就业单位；学生的消费、购物和上网习惯等。如前所述，通过个人信息可以形成个人的人格形象，学生的个人信息就是其画像，是其人格的组成部分，蕴含着人格尊严，同时也具有资源属性，具有财产价值。因此，对高校学生的个人信息应予以保护。
我国高校学生个人信息具有以下特点：
（1）高校学生个人信息的主体为特殊主体，是我国普通高等学校全日制在校学生，包括本专科学生及研究生。
（2）高校学生个人信息的客体是高校学生的个人信息。包括个人所有的情况，如三围、体重、病历、身体缺陷、经济状况、社会关系、家庭情况、婚恋情况、学习成绩、缺点、心理活动、肖像、个人电话号码、储蓄、档案材料、计算机储存的个人资料、网名、电子邮件地址、IP地址，QQ号码，个人博客等。
（3）高校学生个人信息权的内容是高校学生对个人信息的控制权。由于学校作为国家教育权的实施者，可以依法对学生进行学籍管理、授予学位、依法奖惩等管理，必然要涉及对学生个人信息的管理与控制，因此与学生的个人信息权产生矛盾，这种矛盾的结果是学生的个人信息权受到限制。
二、高校学生个人信息的内容
（一）高校与学生的法律关系
当下，对于高校与学生之间的法律关系的性质，理论界还未尽一致。概而言之，主要有以下几种观点：
第一是契约关系说。日本的室井力教授认为它是民法上的契约关系。高等学校其与学生间法律关系属于一种“在学契约关系”。我国也有学者认同这一观点，指出，高校与学生之间是一种平等的民事合同关系。一方面，学校向学生提供教育、住宿、饮食等一系列的服务出的要约，另一方面，学生选择某一高校，就等于接受了该高校所发出的要约。
第二是行政法律关系说。此说深受法、德等西方国家教育法律制度及理论的影响。该说认为在我国目前的体制下，高校是法律授权的公益性事业单位，依据《中华人民共和国教育法》第二十八、二十九条之规定，高校享有依照章程自主管理的权利，具备行政主体的资格。其与学生之间的关系属于行政法调整的范畴。
第三是内部行政管理关系说，又称为特别权力说。特别权力关系说起源于19世纪末大陆法系国家的行政法理论，这种理论认为在公民与国家之间存在的一般权力关系之外，基于法律上的特别原因(法律的规定或本人的同意等)，为达成公法上的特定目的，在必要的范围之内还存在着一种特别权力关系。在这种特别权力关系当中，一方取得支配他方的权能，他方负有服从、容忍的义务。
特别权力主体可以以内部规则的形式限制相对人的基本权利，由此产生的纠纷不能通过行政诉讼或者民事诉讼的途径予以救济。我国行政法学者借鉴这一理论创设了“内部行政法律关系”，即行政主体基于行政隶属关系针对内部相对人实施行政行为时产生的法律关系。
第四综合说。该说认为，学校是一个公共机构，既不同于民法上的私法人，也不同于公法上的机关法人和公法社团，而是公务法人。作为公务法人的学校与学生之间存在丰富而特殊的法律关系，既包括私法关系即普通的民事法律关系，也包括公法关系即行政法律关系。
第五是教育法律关系说。持这一观点的人认为，高校与学生之间完全是因为一方实施教育行为和另一方接受教育行为形成的法律关系，那么两者之间本质上就是教育法律关系。
笔者认为，高校与学生之间的法律关系，与高校的法律定位是紧密相联的。高校的法律定位决定了高校与学生之间法律关系的确定。在我国，由于没有明确的法律法规规定高等院校的法律性质，因此我国高校与学生之间法律关系的性质也无法确切地被定义。如前所述，关于高校的法律地位有几种不同观点，那么哪种观点更合理呢？
契约关系说的优点是看到高校与学生之间的平等性，突出学生权利。但是高校是由法律授权专门行使教育行政权的组织，当高校作为“法律法规授权的组织”行使教育行政权时，高校具有行政主体资格，所以不能将高校与学生之间的法律关系全部定性为民事法律关系。在一些情况下高校与学生之间的法律关系为行政法律关系，比如高校颁发学位证书。
行政法律关系说和民事法律关系说的缺陷相同，都是把高校与学生之间的一部分法律关系看做高校与学生法律关系的全部。
内部行政管理关系说的问题在于把高校学生当作高校组织内部的组织成员。从教育学的角度看，学生当然是学校内部的组成人员，因为学生是构成教育活动的一个基本要素，是学校内部不可或缺的，如果学校缺少学生，学校教育就无从谈起。但从法律上讲，学生不属于学校组织的成员，高校学生和高校之间没有法律隶属关系。这是因为：学校和学生之间没有劳动合同关系，二者在组织目标上不一致，学生上学是为了自我实现，不是为了从学校获取经济利益，而学校办学是通过对学生施加影响、通过学生在校的社会化和个性化过程为社会培养有用的人才，完成高校教学及为社会服务的职能。此说还有一个缺点，就是把高校与学生的管理关系排除在司法审查之外，使高校的教育管理活动成为法律不可触及的领域，不符合现代社会必须遵循和倡导的法治原则。
对于综合说，我国接受的学者比较多，笔者也较倾向此观点，原因如下：
首先，高校管理权具有行政权力性质。高校管理权有如下一些特征：该项权力属于国家，是普通公民和一般社会组织所不能行使的公共权力，只能由教育行政部门和法律、法规授权的组织行使。该项权力行使的依据是法律和行政法规的规定；该项权力的行使是单方行为，无需征求相对人的意见，更不能与相对人协商。例如高校根据法律、法规授予的教育行政权对学生进行学籍管理、奖励和处分、决定授予或不授予学历或学位证书时，高校可单方面做出上述行为，而不管学生同意与否，具有明显的单方性、强制性、职权性，这时高校与学生间的法律关系应当是行政法律关系。因此，可以认为高校管理权，至少其中一部分权力，应属于教育行政管理权的范畴，具有行政权力的性质。而且我国长期实行单位制度，国家根据单位功能的不同，把其划分为机关单位(社会管理功能)、企业单位(生产经营功能)和事业单位(社会服务功能)。根据官方的分类，公立高校一直以来被视为事业单位。实际中一些被定性为事业单位的某些组织，发挥着行政机关的部分功能。
其次，在某些情况下，高校是作为民事主体参与到社会活动和法律关系中的。近年来，随着市场经济的发展，高等教育领域普遍实行了各种形式的改革，特别是我国加入WTO后，普遍认为教育是一种服务，学生是这种服务的消费者，双方形成了一种类似合同的关系，双方主体是平等主体。如高校的招生宣传相当于向学生发出要约，学生报考志愿相当于接受当时高校列出的条件，这些条件包括学生的资源、规章制度、专业和课程等。学生收到高校的录取通知书就意味着教育服务合同的成立。《教育法》第31条第2款，《高等教育法》第30条第2款的规定即是对教育服务主体的民事主体地位的确认。
（二）高校学生个人信息的内容
在社会生活中，一个人的权利与其身份和法律地位紧密相连，不同身份、不同法律地位的人具有不同的权利。就高校学生而言，他既是一个“社会人”，又是一个“学校人”，他们拥有双重身份。即其权利既具有一般社会公民的共性，又具有自身的特殊性，他享有普通公民所享有的法定权利，又享有作为受教育者应享有的特殊的法定权利。但是，并非一个人的身份越多就享有越多的权利。因不同身份获得的权利之间彼此有一定的限制，比如一个高级官员，有国家公民的身份，有政府官员的身份，政府官员的身份使他在自身职务内享有一定的权利，但也因政府官员的身份使他作为国家公民应当享有的隐私权受到限制，他的学历、出身、行背景、财产状况、个人品德、廉政与勤政的状况等可以无条件公开以满足其他公民的知情权与一般公民上人信息权客体的范围要窄一些。由于高校学生享有教育法律法规规定的一些普通公民所没有的权利，所以也承担普通公民所没有的义务，相应的高校学生作为普通公民的一些权利也因学生身份受到一些限制，即其享有的个人信息权客体的范围较一般公民享有的个人信息权客体的范围要窄一些。
此外，就学校在教育中所处的地位来说，学生作为受教育者，学校采取的一些教育方法和手段都会涉及到他们的个人信息。教育是一项特殊的活动，它只有在了解受教育者的一定信息的基础上实施教育才能达到比较好的效果。根据《教育法》、《高等教育法》规定，学生到高校接受教育，要接受学校的管理，而学生到学校报道已经默示同意学校及与之有直接联系的教师对其部分个人信息的收集、使用和处理权。如高校学生入学时要登记学生的基本信息和家庭信息，要进行体检，记录其健康信息，而学校为学生统一办理银行卡时，可能会收集学生的身份证件，或复印件，这在一定程度上使学生的个人信息的使用权让渡于学校。高校运用公权力进行统一管理时必然与法律赋予个体公民所享有的私权利存在矛盾，这种矛盾冲突的结果是私权利的行使受到限制，表现在高校学生个人信息方面，就是权利客体范围变窄。例如，按照教育法规定，高校拥有管理学生的权利，这种管理表现为对高校学生宿舍的卫生进行检查、对宿舍用电、用水及安全进行管理等，而这些管理使高校学生私人空间变窄。但是，这种让与不是无限度和无根据的，高校在学生管理中任何对高校学生个人信息的搜集和使用都要遵循一定的原则，防止任意扩大权力导致学生个人权利受损。
综上，学生个人信息权的内容较普通公民个人信息权的内容要窄一些。我国目前尚无学生个人信息权的相关规定。从国外立法来看，许多国家对个人信息资料保护的范围与内容都作了明确的规定。这些规定对了解学生个人信息资料保护的范围与内容、减少侵害以及采取救济措施等都具有重要意义。就目前来看，笔者认为我国高校学生个人信息资料的保护至少应包括以下内容：(1)学生的身份证号码、家庭地址、家庭电话、家长姓名和职业；学生的寝室地址、寝室电话、学生的移动电话、学生的成绩、品行状况和健康状况(包括学生的心理健康状况)等个人资料。(2)给学生发放奖学金和学生缴纳学费的信用卡卡号和密码等。(3)学生的E-mail地址，QQ号码，MSN等。(4)学生的班主任姓名、家庭地址和电话，以及其他与学生有关的个人信息。
学生的个人信息权利内容主要包括以下几点：
（1）个人信息决定权。它是指信息主体本人得以直接控制与支配其个人信息，并决定其个人信息是否被收集、处理、利用以及以何种方式、目的、在什么范围内被收集、处理、利用的权利。由于学生要接受学校的统一管理，因此必须在入学时即填写个人基本信息，提交个人档案，因此，学生在学校管理之下，对此部分个人信息的收集、处理、利用的权利必然部分让渡于学校，受到学校管理权的限制，但学校对学生个人信息决定权的行使应来源于学生对此部分权利的让渡，即必须在学生明确将此部分信息的决定权转让给学校的情况下，学校才可以行使，学校应将收集使用的目的、范围明确告知学生。未征得学生同意即对学生的信息随意利用处理属侵权行为。
（2）个人信息安全权。指信息主体本人得以请求信息处理主体保持信息隐秘性并不被他人非法搜集、公开、篡改的权利。如果出现可能危及信息安全的法定或约定事由，本人享有请求信息处理主体采取及时有效防范措施的权利，并采取措施防止损害后果的扩大。高校虽然基于其管理需要可以对学生的个人信息进行收集、利用，但也因此而负有保证学生个人信息安全的义务。如果学校将收集的个人信息公开或不法利用或未采取有效的措施保证收集信息的安全，学生有权要求学校对其行为予以纠正，造成学生损失的，学生有权要求赔偿。
（3）个人信息知情权。是指信息主体本人得以了解、查询其个人信息及其有关的处理情况，并要求答复的权利。学校可以对学生个人信息进行收集、支配与控制，但必须让学生知道被收集、处理和利用的个人信息的范围，尤其是在此过程中信息是否被保持完整、正确、适时。也就是说，学校负有告知学生哪些个人信息被收集以及如何被处理和利用的义务。知情权是信息主体非常重要的权利，除非因公益的需要并依据法律规定，任何机关和个人不得随意剥夺。高校应设置相应的制度保障学生的个人信息知情权。
（4）个人信息请求权。信息请求权包括报酬请求权和赔偿请求权。报酬请求权是指本人因其个人信息被商业性利用而得以向信息处理主体请求支付对价的权利。在现代市场经济社会，毫无利益的信息已不复存在。赔偿请求权是指在公务机关、商业组织、自然人非法收集、处理、传输和公开而损害信息主体利益的情形下，本人得以请求财产或精神赔偿的权利。学校作为公务机关，在利用学生个人信息的过程中造成损失的，学生有权要求赔偿。
