教会数据隐私：事工团队的实用框架

教会数据隐私意味着负责任地收集、使用、分享、保护、保留和移除个人信息，同时尊重事工的目的及信息所涉及的人。这同样适用于电子表格和纸质档案，也适用于数据库、教会应用、邮件平台、消息工具和云存储。

教会保存一般联系方式，也可能保存祷告请求、牧养备注、家庭关系、儿童资料、志愿者资格审核、出席情况、奉献记录、沟通偏好和人员保护记录。其中有些信息可能暴露个人的信仰、处境、脆弱之处或人际关系。

密码是必需的，却不等于完整的隐私管理方案。善意同样必需，却不能确定访问权限、保留期限、供应商责任或事件应对方式。

本指南为事工团队提供实用框架，属于一般操作指导，并非法律建议。隐私、雇佣、慈善、财务、儿童安全及记录保留要求因国家和地区而异。教会应向合格的当地顾问咨询自己的义务。

教会数据隐私涵盖什么？

教会数据隐私涵盖信息的完整生命周期：

1. 收集：教会询问什么，以及为什么询问
2. 使用：工作人员和事工团队如何据此行动
3. 访问：谁能查看、修改、导出或分享
4. 沟通：如何向人说明处理流程
5. 存储：信息保存在哪里，以及如何保护
6. 分享：哪些服务商、合作方或事工会收到信息
7. 准确性：如何纠正过时或有争议的信息
8. 保留：每种记录应保存多久
9. 处置：如何删除、匿名化或归档记录
10. 应对：信息泄露或被滥用后如何处理

根据 NIST Privacy Framework，隐私是整个组织的风险管理责任。其核心职能包括识别数据处理活动、进行治理、给予人适当的控制权、说明处理方式及保护信息。这种生命周期视角适用于各种规模的教会。

为什么教会数据需要经过认真考虑的边界

教会的运作往往依赖高度信任和分散的服务。工作人员、长老、事工领袖、财务志愿者、小组领袖、祷告团队和临时协调者，都可能需要某些信息才能做好服务。

当访问权限依据善意而不是职责分配时，风险就出现了。

• 小组领袖需要当前小组的联系名单，而非整个成员数据库。
• 财务志愿者可能需要奉献记录，而非牧养关怀备注。
• 祷告团队可能需要获准分享的请求，而非所有私人日记。
• 儿童签到工作人员需要安全接收和接走儿童所必需的信息，而非无关的家庭经历。
• 沟通志愿者需要符合条件的受众及其偏好，而非不受限制的导出权限。

权限应与任务相符，能够接受检查，并在职责结束时终止。

九部分教会数据隐私框架

1. 盘点教会持有的资料

不知道存在的信息，就无法加以保护。

建立一份简单清单，包括：

• 记录类型
• 事工目的
• 所涉及的人
• 数据字段或敏感程度
• 系统或实体存放地点
• 责任人
• 有权访问的人员和角色
• 外部服务商
• 保留规则
• 删除或归档流程

也要涵盖非正式存放处：个人电子表格、导出的 CSV 文件、共享云盘、消息附件、旧笔记本电脑、纸质签到表及过去的事工账户。这些地方往往最容易出现隐私实践与政策不一致的情况。

不要一开始就购买另一个安全产品。先了解教会的信息流向。

2. 收集前确定目的

每种记录都应有能够用普通语言解释的事工或运作目的。

请问：

• 这些信息会帮助我们做什么？
• 这一用途是否合适，并且已向对方说明？
• 对方是否能够合理预期这种使用方式？
• 我们是在满足当前需要，还是为一个将来可能出现的想法而收集？
• 其他可信记录是否已经保存了这些信息？

如果团队无法解释某个字段为何必需，请删除它。更简短的联系卡、志愿服务表单或活动报名表，往往既能提高填写率，也能保护隐私。

在 ICO 的数据保护原则摘要中，列出了用途限制、数据最小化、准确性、存储限制、安全、透明度和问责。即使英国法律不适用，这些问题仍能帮助建立有纪律的操作方式。

3. 对敏感程度分类

并非每种记录都需要相同的处理方式。

实际分类可以是：

• 公开：经批准、可供任何人查看的信息
• 内部：供可信工作人员使用的一般运作信息
• 受限：仅限负责角色访问的个人信息
• 高度受限：牧养、人员保护、儿童、健康、财务、登录凭据或其他敏感信息，需要指定人员访问及更严格的控制

分类应影响表单设置、导出、通知、屏幕可见内容、保留期限和事件响应。如果信息仍出现在广泛发送的邮件通知或可下载文件中，仅贴上“私密”标签并不足够。

4. 只提供最低必要权限

只给予每个人履行当前职责所需的最小权限。

使用实名个人账户，避免共享登录。将管理员、财务、牧养关怀、儿童、沟通、小组领导、志愿者排班和报表等角色分开。除了查看谁能浏览页面，也要检查谁能导出记录或更改权限。

建立定期检查访问权限的节奏：

• 有人开始担任一个角色时
• 职责发生变化时
• 一段志愿服务期结束时
• 工作人员离职时
• 在预定的季度或半年检查中
• 发生安全或隐私疑虑之后

及时移除权限。一个人已经不再承担职责时，不要等到年度清理才处理。

5. 沟通始终遵循同意与偏好

拥有电话号码并不自动代表获准发送所有消息。在需要时记录同意的来源和范围，提供明确的偏好修改方式，并尊重退出选择。

可行时将沟通类别分开。有人可能希望收到紧急更新和志愿服务提醒，却不想收到每场推广活动。尊重免打扰时段和合理的发送频率限制。

紧急沟通可能需要特殊规则，但紧急性不能成为扩大受众或凭空认定已有许可的理由。

6. 制定保留规则

永久保存一切可能让人觉得安全，因为没有资料丢失。但实际上，无限期保留会增加暴露风险、造成混乱，并可能违反法律义务。

针对每种记录类型，确定：

• 保留的目的
• 保留期从哪个事件开始计算
• 适用法律或政策规定的最短或最长期限
• 应删除、匿名化、转移还是归档
• 谁批准处置
• 应保留哪些处置流程证据

根据 Church of England 的记录与信息管理指南，教会可使用专门的记录保留资源；纸质和数字记录可能有不同的法律、合同、人员保护及历史保存要求。其他地区的教会应采用适合当地司法辖区和宗派的指引。

不要为所有类别使用同一个保留期限。人员保护、财务、雇佣、出席、牧养、沟通同意及一般咨询记录的要求可能差别很大。

7. 检查供应商与集成

列出所有接收教会信息的外部服务：

• 教会管理平台
• 邮件及短信服务商
• 支付处理商
• 云存储
• 会计工具
• 直播及媒体服务
• 表单构建器
• 分析平台
• 背景调查服务商
• 自动化及人工智能服务

针对每个服务商，询问：

• 会收到哪些数据？
• 用于什么目的？
• 在哪里处理或存储？
• 谁能访问？
• 适用哪些合同或数据处理条款？
• 合作结束时如何返还或删除？
• 集成是否申请了超出实际需要的权限？
• 教会能否查看日志或撤销凭据？

除非教会已建立合适、合法且安全的流程，否则不要把牧养、人员保护或私人灵命塑造内容复制到通用人工智能工具、分析系统、日志或支持工单中。

8. 准备应对事件

隐私事件可能包括设备被盗、账户被入侵、邮件误发、电子表格暴露、权限过大、未经授权导出、公开链接或不恰当的内部访问。

在事件发生之前制定响应计划：

1. 确定负责决策的人。
2. 在不破坏证据的情况下停止或限制暴露。
3. 记录发生了什么及发生时间。
4. 确定受影响的系统、信息和人员。
5. 保留相关日志。
6. 咨询教会的法律、保险、人员保护及技术顾问。
7. 履行适用的通知要求。
8. 在需要或适当时，向受影响的人诚实说明情况。
9. 纠正控制措施，而不只是处理眼前症状。

不要为了维护教会声誉而隐瞒事件。明确承担责任才能建立信任。

9. 培训判断力，而非只会勾选清单

隐私决策发生在日常小事中：导出名单、转发请求、拍摄签到表、将人加入聊天群、分享密码，或让笔记本电脑保持未锁定状态。

使用工作人员和志愿者实际岗位中的例子进行培训。让人在分享之前能够方便地询问，解释边界为何存在，并说明情况不符合政策时应联系谁。

定期重复、针对岗位的简短交流，比一份无人能够运用的庞大政策文件更有用。

实用教会数据地图

TheFaithApp 如何支持注重隐私的事工

在 TheFaithApp 教会管理工作区中，人员、活动、志愿者、沟通、祷告、奉献和关怀均采用与角色相符的访问权限。敏感工作可以留在负责人员手中，而非自动向广泛的管理人员开放。

TheFaithApp Forms 支持公开、可识别成员、仅限成员、仅限受邀者及受限访问。教会可以设置敏感程度、隐私说明、确认文本和指定管理人员。无权限的工作人员看到的敏感答案会被隐藏或遮盖；建议修改的成员档案需要审核，而不会自动覆盖已保存的信息。

沟通流程遵循受众资格、已记录的同意、偏好、免打扰时段和退出选择。私人灵命塑造工具将工作人员可见的进度，与成员私人的目标、日记和反思分开。具有审计记录意识的数据设计保留重要历史，同时允许适当的生命周期操作。

技术仍然依赖教会的治理。请谨慎配置角色、检查访问权限、培训用户、保护设备，并遵循当地适用要求。阅读 TheFaithApp 隐私政策以了解平台自身的数据处理方式。

教会数据隐私审查清单

了解信息

• [ ] 我们维护纸质及数字记录清单。
• [ ] 每种记录都有明确用途和负责人。
• [ ] 我们知道哪些外部服务会收到信息。
• [ ] 我们对敏感及高度受限记录进行分类。

控制访问

• [ ] 工作人员和志愿者使用实名个人账户。
• [ ] 访问权限与当前职责一致。
• [ ] 导出和权限变更受到限制。
• [ ] 角色结束后会及时移除权限。
• [ ] 我们按固定时间检查访问权限。

尊重人

• [ ] 表单只收集必需信息。
• [ ] 隐私说明与实际做法一致。
• [ ] 沟通同意及偏好得到记录和尊重。
• [ ] 人们可以通过明确流程要求纠正信息。
• [ ] 私人牧养和灵命塑造信息有明确边界。

管理生命周期

• [ ] 各类记录都有适当保留规则。
• [ ] 处置和归档有指定负责人。
• [ ] 备份、导出文件及纸质副本均纳入管理。
• [ ] 供应商有终止合作和删除流程。
• [ ] 事件响应计划已经记录并演练。

常见问题

教会应该有隐私政策吗？

需要。政策应以清楚的语言说明教会实际的数据处理方式，并与访问权限、保留、请求、供应商、事件、人员保护及适用法律义务的内部程序共同运作。

哪些教会信息应被视为敏感信息？

敏感程度取决于信息本身、背景、可能造成的伤害及当地法律。牧养关怀、祷告、人员保护、儿童、健康、奉献、凭据、私人灵命塑造和详细家庭资料，通常比公开活动信息需要更严格的边界。

谁应获准访问教会成员数据？

仅限当前职责需要这些信息的人，而且只开放所需字段和操作。使用基于角色、指定个人的访问权限，并在职责变更时检查。

成员记录应保存多久？

不存在适用于所有记录或司法辖区的统一期限。应根据用途、法律和宗派要求、人员保护义务、财务规定、历史价值及所涉及人员的需要制定保留期限，并获取合格的当地建议。

网络安全与数据隐私是否相同？

不相同。网络安全帮助保护信息，避免未经授权的访问或中断。隐私还要问：这些信息是否应该收集、如何使用、谁可收到、保留多久，以及人应拥有怎样的控制权或透明度。

先作一次诚实盘点

选择一个事工领域，追踪其信息从收集到处置的全过程。包括表单、消息、导出、个人设备、供应商和纸质记录。询问每一步由谁负责，以及现有权限是否仍然合理。

不要只追求看起来完全合规，而要建立能够重复执行的实践，及时发现风险、尊重人，并在教会获得新认识时继续改进。

“我们是一家人”这句话本身不能保护信任。只有教会能够解释自己保存了什么、为何保存、谁能使用，以及发生问题后如何行动，信任才能得到保护。