准考证发进班级群学校为什么还要赔？2026 年 11 月 7 日，大理融媒转载、网易刊发《准考证发班级群 7 人志愿遭篡改！法院这样判》：乌鲁木齐市新市区人民法院审结的一起案件中，班主任徐某把载有考生账号、初始密码的准考证拍照发到班级群，学生孙某拿到后远程登录招考系统，改动他人志愿，致多人未被目标院校录取。刑事部分，孙某因破坏计算机信息系统罪被判处有期徒刑一年六个月；民事部分，法院判孙某承担七成、约 2.3 万元，学校承担三成、约 1.7 万元，班主任系职务行为不承担赔偿责任。
范围先说清：破坏计算机信息系统罪本身怎么判，见黑客改成绩卖钱，是破坏计算机信息系统罪吗；校园伤害纠纷怎么处理，见学生在校受伤，学校要赔吗。本篇只回答：学校那三成从哪儿来。
三句话说清： ① 准考证上的考生号加初始密码，配合姓名、身份证号就能锁定具体的人，属于受法律保护的个人信息，不是「一张纸」。 ② 学校赔偿的基础是过错——把密码和账号一起拍照外发，等于放弃了加密、权限分级这些法定的安全措施，这个过错与损害之间链条很短。 ③ 这一篇千万不能套校园伤害条款：那一条管的是学生在校「受到人身损害」，本案丢的是升学机会，只能走一般过错责任。
准考证上那串号码，为什么算个人信息
很多人对个人信息的理解停留在身份证号、手机号。准考证看着只是一张印了考场座位的纸，翻到背面往往还印着登录账号和初始密码——这才是要害。
《民法典》第一千零三十四条把个人信息定义为「以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息」，并列举了姓名、出生日期、身份证件号码等。判断标准不是「单独能不能认出你」，而是「结合后能不能认出你」。考生号加姓名，就已经能锁定到一个具体的人；再加初始密码，还能以这个人的身份进入系统。
进入这个射程后，处理行为就要受约束。《民法典》第一千零三十五条要求遵循合法、正当、必要原则，并征得同意；《个人信息保护法》第五十一条则把义务落到具体动作上：制定内部管理制度、对个人信息实行分类管理、采取相应的加密、去标识化等安全技术措施、合理确定操作权限并定期培训、制定应急预案。
对照五项看班主任那一步：账号与密码同框、拍照、发进几十人的群。这不是「保管不慎」的程度问题，而是几项法定措施一项都没做。
学校的过错，不在「没提醒」而在「没设防」
判决给学校的责任比例是三成，这个数字背后是过错的轻重，不是「学生出事学校都要沾一点」。
《民法典》第一千一百六十五条第一款规定，行为人因过错侵害他人民事权益造成损害的，应当承担侵权责任。学校的身份是个人信息处理者，过错有两层。
第一层是信息外发。账号密码属于登录凭证，凭证的作用就是「只让本人进得去」；发进群，等于把钥匙的复制件发给了一圈人。
第二层是连可追溯的痕迹都没留。学校既没有对含凭证材料的分发作出限制，也没有在学生反映志愿异常时第一时间协助核查。两层叠加，法院才会认为学校对损害有独立的、可归责的原因力。
改的是系统里的数据，为什么定这个罪
孙某先获取账号密码，看起来像侵犯公民个人信息；但他真正做的，是登录招考系统，把别人填好的志愿改掉。
《刑法》第二百八十六条第二款规制的正是这个动作：违反国家规定，对计算机信息系统中存储、处理或者传输的数据和应用程序进行删除、修改、增加的操作，后果严重的，依照第一款处罚。它不要求系统瘫痪——系统照常运行，恰恰是这一款的典型情形。获取信息在这里只是手段，评价的重点落在「改数据」上；侵犯公民个人信息罪规制的是获取与提供，不评价修改这一步。入库案例中「拆卸监测设备致数据严重失真」被认定为本罪，机理相通：动的是数据，不是外壳。
学校赔三成，不是按校园伤害条款
这是本篇最需要说清、也最容易被写反的一点。
《民法典》第一千二百条的原文是：限制民事行为能力人在学校或者其他教育机构学习、生活期间受到人身损害，学校或者其他教育机构未尽到教育、管理职责的，应当承担侵权责任。要件写得很清楚——损害是人身损害。
篡改志愿造成的损失是升学机会的丧失和由此产生的费用，不是人身伤害。所以本案不能直接套第一千二百条，只能回到第一千一百六十五条第一款的一般过错责任，按过错程度分配比例。这也解释了三成这个数字的性质：它是过错比较的结果，不是「校园事故」的固定折扣。
裁判规则……该限制民事行为能力的未成年人以自己系在学校学习、生活期间受到人身损害，学校未尽到教育、管理职责为由，主张学校承担侵权责任的，人民法院应当结合学校运动场地安全状况、学校开展日常安全教育以及应急处理情况等因素，判断学校是否尽到教育、管理职责，进而判断其应否承担侵权责任。
给你的启示这张卡给的是「判断方法」，不是本案结论。 该案是体育活动自甘风险场景，与志愿篡改不同类；但「场地安全、日常教育、应急处理」这三项考察思路，可以迁移到学校信息管理是否到位上。
在人民法院案例库核验 ↗班主任为什么不赔：职务行为这一层
报道提到班主任系职务行为、不承担赔偿责任，依据是《民法典》第一千一百九十一条第一款：工作人员因执行工作任务造成他人损害的，由用人单位承担侵权责任，用人单位担责后可以向有故意或者重大过失的工作人员追偿。班主任发准考证是为了通知考试安排，属执行工作任务，对外由学校担责——家长不必先去分辨「这是老师个人的错还是学校的错」。
这类事有时间窗口：越早申请调取登录日志越好，群聊记录与准考证照片不要清理，刑事报案与民事索赔并行，不要因为「人已经判刑了」就放弃民事。
两个提醒：① 报道中的 2.3 万、1.7 万是个案数字，损失计算方式各异，不能照搬比例；② 本文不推测未公开的判决理由，责任比例以生效裁判为准。
- 《中华人民共和国民法典》第一千一百六十五条第一款行为人因过错侵害他人民事权益造成损害的，应当承担侵权责任。
- 《中华人民共和国民法典》第一千二百条限制民事行为能力人在学校或者其他教育机构学习、生活期间受到人身损害，学校或者其他教育机构未尽到教育、管理职责的，应当承担侵权责任。
- 《中华人民共和国个人信息保护法》第五十一条个人信息处理者应当根据个人信息的处理目的、处理方式、个人信息的种类以及对个人权益的影响、可能存在的安全风险等，采取下列措施确保个人信息处理活动符合法律、行政法规的规定，并防止未经授权的访问以及个人信息泄露、篡改、丢失：（一）制定内部管理制度和操作规程；（二）对个人信息实行分类管理；（三）采取相应的加密、去标识化等安全技术措施；（四）合理确定个人信息处理的操作权限，并定期对从业人员进行安全教育和培训；（五）制定并组织实施个人信息安全事件应急预案；（六）法律、行政法规规定的其他措施。
- 《中华人民共和国刑法》第二百八十六条第二款违反国家规定，对计算机信息系统中存储、处理或者传输的数据和应用程序进行删除、修改、增加的操作，后果严重的，依照前款的规定处罚。
一句话：准考证上印的不只是考场号，还有一把钥匙；把钥匙拍照发出去，学校就得为自己省下的那几道加密措施付账。 敏感信息为什么要单独同意，见体检报告、行踪轨迹、人脸信息：敏感个人信息为什么要单独同意。
作者：赵跃律师（安徽国运律师事务所）｜品牌：律师教你怎么做
免责声明：本文基于公开报道与现行法律进行普法分析，不构成正式法律意见。具体案件请结合证据咨询执业律师。