违法。
根据《未成年人学校保护规定》第十条 学校采集学生个人信息，应当告知学生及其家长，并对所获得的学生及其家庭信息负有管理、保密义务，不得毁弃以及非法删除、泄露、公开、买卖。
学校在奖励、资助、申请贫困救助等工作中，不得泄露学生个人及其家庭隐私；学生的考试成绩、名次等学业信息，学校应当便利学生本人和家长知晓，但不得公开，不得宣传升学情况；除因法定事由，不得查阅学生的信件、日记、电子邮件或者其他网络通讯内容。
法律依据
《未成年人学校保护规定》第十条 学校采集学生个人信息，应当告知学生及其家长，并对所获得的学生及其家庭信息负有管理、保密义务，不得毁弃以及非法删除、泄露、公开、买卖。学校在奖励、资助、申请贫困救助等工作中，不得泄露学生个人及其家庭隐私；学生的考试成绩、名次等学业信息，学校应当便利学生本人和家长知晓，但不得公开，不得宣传升学情况；除因法定事由，不得查阅学生的信件、日记、电子邮件或者其他网络通讯内容。