edtech-privacy-assessment

EdTech のプライバシー評価 — 教育テクノロジーにおける子どものデータ

概要

子どもの個人データを処理する教育テクノロジー（EdTech）プラットフォームは、複数のプライバシー法制度が交わる領域で運用されています。米国では、COPPA の学校例外（16 CFR 312.5(c)(4)）により、教育目的の範囲内で子どものデータを収集する場合、学校が保護者に代わって同意を提供できます。ただし、その目的は学校が承認した教育目的に限られます。連邦政府の資金提供を受ける教育機関または教育機関が管理する教育記録には、家族教育権およびプライバシー法（FERPA、20 U.S.C. Section 1232g）が適用されます。EU では、GDPR が第 8 条（子どもに関する保護者の同意）および前文 38（子どもに対する特別な保護）による強化された保護とともに適用されます。英国では、子どもがアクセスする可能性の高い EdTech サービスに AADC が適用されます。このスキルでは、こうした重複する要件に対応する EdTech プラットフォームのプライバシー評価を実施するためのフレームワークを提供します。

規制の枠組み

COPPA の学校例外 — 16 CFR 312.5(c)(4)

COPPA では、以下の条件を満たす場合、検証可能な保護者の同意を直接取得せずに、学校の利用および利益のために限り、その他の商業目的には使用せずに、事業者が子どもの個人情報を収集することを認めています。

1. 学校が、生徒を代表して個人情報の収集を承認している
2. 収集が、教育の文脈における学校の利用および利益のみを目的としている
3. 事業者が、収集した情報を教育の文脈に関係のない商業目的に使用しない
4. 事業者が、学校以外の第三者に情報を開示しない

重要な制限事項：

• 学校は保護者の代理人として行動しますが、無制限の権限を持つわけではありません
• 学校が同意できるのは、学校が承認した教育活動に必要な情報の収集に限られます
• 事業者がデータを商業目的（広告を含む）で使用する場合、保護者から検証可能な同意を直接取得する必要があります
• FTC は、学校は「教育目的に必要のない情報の収集について、保護者に代わって同意できるべきではない」と述べています（FTC COPPA FAQ J.2）

FERPA — 20 U.S.C. Section 1232g

FERPA は、連邦政府の資金提供を受ける教育機関または教育機関が管理する教育記録を保護します。EdTech プラットフォームは、学校関係者例外に基づく「学校関係者」として教育記録を受け取る場合があります。

主な規定：

• 教育記録：生徒に直接関係し、教育機関または教育機関のために行動する者が管理する、記録、ファイル、文書、その他の資料
• 学校関係者例外（34 CFR 99.31(a)(1)）：教育機関は、機関のサービスまたは機能を外部委託した請負業者、コンサルタント、ボランティア、その他の当事者に教育記録を開示できます。ただし、その当事者が機関のサービスまたは機能を遂行し、機関の直接的な管理下にあり、開示の目的に限って教育記録を使用し、機関の FERPA 年次通知に定められた基準を満たすことが条件です
• 正当な教育上の利益：学校関係者は教育記録について正当な教育上の利益を有している必要があります。つまり、職務上の責任を果たすために記録を確認する必要があります
• ディレクトリ情報の例外（34 CFR 99.37）：保護者に通知し、オプトアウトの機会を与えた場合、学校は同意なしにディレクトリ情報（氏名、住所、電話番号、メールアドレス、生年月日および出生地、受賞歴、活動）を開示できます

FERPA と COPPA の適用関係

シナリオ	FERPA は適用されるか？	COPPA は適用されるか？	結果
学校の指示による EdTech プラットフォームの利用	はい	はい（学校例外が適用可能）	学校が COPPA に基づいて同意し、FERPA の学校職員例外がデータの取り扱いを規定します
生徒が自宅で EdTech を独自に利用する	いいえ（学校が保持していないため）	はい（COPPA が全面的に適用）	事業者は、検証可能な保護者の同意を直接取得する必要があります
EdTech ベンダーが学校から教育記録を受け取る	はい	はい（学校例外）	FERPA と COPPA の両方が適用され、ベンダーは両方を遵守する必要があります
EdTech ベンダーが広告にデータを使用する	FERPA 違反（教育目的以外の利用）	COPPA 違反（学校例外の範囲を超える）	両方の法律に違反しており、学校例外は適用されません

EdTech に対する GDPR の適用

EU には、COPPA の学校例外はありません。EdTech プラットフォームを利用する学校は、以下を遵守する必要があります。

• 第 6 条 適法な根拠：学校は、教育目的に必要な処理について第 6 条第 1 項（e）（公共の利益に関わる業務）を根拠とすることができます。公共の利益に関わる業務が適用されない場合は、第 6 条第 1 項（f）（正当な利益）を根拠とすることができます。
• 第 8 条 保護者の同意：EdTech プラットフォームが子どものデータ処理の適法な根拠として同意に依拠する場合、適用される国内基準年齢に満たない子どもについて、保護者の同意が必要です。
• 第 28 条 処理者契約：学校がデータ管理者で EdTech ベンダーが処理者である場合、第 28 条に準拠したデータ処理契約を締結する必要があります。
• 管理者の判断：教育目的の処理では、通常、学校が管理者で、EdTech ベンダーが処理者です。ただし、ベンダーが独自の目的（製品の改善、分析、広告）でデータを処理する場合、その目的について管理者または共同管理者となります。

学生プライバシー誓約（FPF/SIIA）

Future of Privacy Forum（FPF）とSoftware and Information Industry Association（SIIA）が運営する学生プライバシー誓約は、業界による自主的な取り組みです。署名企業は以下を約束します。

1. 学生の個人情報を販売しない
2. 教育の場で収集したデータを使って、学生を行動ターゲティング広告の対象にしない
3. 学生の広告プロフィールを作成しない
4. 通知と選択の機会を設けずにプライバシーポリシーを変更しない
5. データの保持と削除に厳格な制限を設ける
6. 権限を持つ当事者による学生情報へのアクセスと訂正を支援する
7. 学生データは、認められた教育・学校目的、または保護者／学生の指示に従う場合にのみ使用する
8. 包括的なデータセキュリティプログラムを維持する
9. 正当な教育目的を除き、学生情報を開示しない
10. 以降の受領者にもこれらの誓約を遵守させる

2024 年時点で、400 社を超える EdTech 企業が署名しています。

EdTech プライバシー評価フレームワーク

評価フェーズ 1：プラットフォームの分類

質問	重要性
プラットフォームは 13 歳未満の子どもを対象としていますか？	COPPA が全面的に適用され、年齢確認と保護者の同意が必要です
プラットフォームは学校で利用されていますか？	COPPA の学校例外が適用される場合があり、FERPA が適用される可能性があります
学校は生徒にプラットフォームの利用を指示していますか？	学校例外の適用可能性が高まります
プラットフォームは EU／英国で運営されていますか？	GDPR／UK GDPR が適用され、AADC の遵守が必要です
プラットフォームは永続的識別子を収集しますか？	COPPA の個人情報の基準を満たします
プラットフォームは収集したデータを教育目的以外に使用しますか？	教育目的以外の利用には学校例外が適用されません

評価フェーズ 2：データマッピング

EdTech プラットフォームが収集する各データ要素について：

データ要素	収集方法	教育上の目的	教育以外の用途	保持期間	共有先
生徒の氏名	アカウント作成	教室で生徒を識別する	なし	学年度終了後 30 日まで	教師、保護者
メールアドレス	ログイン認証情報	認証	なし	アカウントの存続期間	なし
学習の進捗状況	自動追跡	適応型コンテンツ、成績評価	製品の改善（集計済み）	学年度終了後 30 日まで	教師、保護者
課題の提出物	生徒によるアップロード	評価、フィードバック	なし	学年度終了後 30 日まで	教師
操作ログ	自動	機能の利用状況分析	製品の改善（集計済み）	90 日	なし（社内のみ）
デバイス識別子	自動	セッション管理	なし	セッション中のみ	なし

評価フェーズ 3：法的根拠の評価

管轄区域	適法な根拠	条件	必要な文書
米国（COPPA）	学校例外に基づく同意	学校が利用を許可していること、データは教育目的に限って使用されること、事業者がデータを商業利用しないこと	学校との書面による契約、事業者の COPPA 準拠プライバシーポリシー
米国（FERPA）	学校関係者例外	事業者が学校の業務を遂行すること、学校の直接的な管理下にあること、記録を許可された目的に限って使用すること	学校の FERPA 年次通知に、事業者を学校関係者として記載すること
EU（GDPR）	第 6 条 1 項（e）公共の任務	学校の教育上の使命が公共の任務に該当すること、その任務の遂行に処理が必要であること	学校の処理活動の記録（第 30 条）、学校とベンダー間の DPA（第 28 条）
英国（GDPR + AADC）	第 6 条 1 項（e）公共の任務、または第 6 条 1 項（f）正当な利益	EU GDPR と同様の条件に加え、AADC の 15 項目すべてに準拠すること	DPIA、AADC 準拠評価

評価フェーズ 4：契約上の要件

学校と EdTech ベンダーとの契約では、以下に対処する必要があります：

1. データ処理の範囲：具体的なデータ要素、目的、保持期間
2. 商業利用の禁止：ベンダーは、生徒のデータを広告、マーケティング、または教育以外の製品開発に使用してはなりません
3. サブプロセッサーに関する制限：ベンダーは、すべてのサブプロセッサーを開示し、同等の制限を遵守させる必要があります
4. データ削除の義務：ベンダーは、学校からの要請時および契約期間の終了時に、すべての生徒データを削除する必要があります
5. 年度末の削除：学校が保持を明示的に許可しない限り、ベンダーは各学年度の終了時にすべての生徒データを削除または返却する必要があります
6. セキュリティ要件：具体的な技術的および組織的なセキュリティ対策
7. 侵害の通知：ベンダーは、生徒データに影響するデータ侵害の発生から 24～72 時間以内に学校へ通知する必要があります
8. 監査権：学校は、ベンダーが契約を遵守しているか監査する権利を有します
9. FERPA への準拠（米国）：ベンダーを学校関係者として認め、正当な教育上の利益に限ってデータを使用すること
10. COPPA への準拠（米国）：ベンダーが学校例外の制限を認識し、データを教育以外の商業目的に使用しないこと

評価フェーズ 5：年度末のデータライフサイクル

学年度末は、EdTech プラットフォームにとって重要なデータライフサイクル上のイベントです。以下のプロトコルを実施する必要があります。

年度末の60日前：

1. 年度末のデータライフサイクルプロセスを開始することを学校管理者に通知します
2. データのエクスポート方法を提示します。学校は、すべての生徒データを標準形式（CSV、JSON、SIF）でダウンロードできます
3. 次の学年度に向けたデータ保持を学校が承認するかどうかを確認します

年度末の30日前：

1. 生徒データがアーカイブされることを教師に通知します
2. 学校の記録用に年度末の生徒進捗レポートを作成します
3. 生徒が作成したコンテンツ（課題、プロジェクト）を学校指定のストレージにエクスポートします

年度末（学年度の最終日）：

1. 終了する学年度に関連付けられたすべての生徒アカウントを無効化します
2. 生徒データを削除キューにアーカイブします（学校からの直前の要請に対応できるよう、すぐには削除しません）

年度末の30日後：

1. 学校が保持を承認していない限り、削除キュー内のすべての生徒データを削除します
2. 削除対象：プライマリデータベース、検索インデックス、分析データベース、キャッシュ、ログ
3. 学校向けに削除証明書を作成します

年度末の60日後：

1. 削除済みの生徒データを含むアーカイブ済みバックアップを消去します
2. 最終的な削除確認を学校に提供します
3. 削除証明書と学校との契約書のみを保持します（生徒の個人データは保持しません）

BrightPath Learning Inc. — EdTech プライバシー評価

プラットフォームの概要

BrightPath Learning Inc. は、米国、英国、EU の学校に導入され、家庭でも利用できる教育用ゲームプラットフォームを運営しています。このプラットフォームは、5～15歳の子どもを対象としています。

評価結果

分類：

• 13歳未満の子どもを対象としている：はい
• 学校で利用されている：はい（2,400校に導入）
• 家庭での利用（学校以外）にも対応している：はい
• 米国、英国、EU で運営している：はい

2つの利用形態に応じたコンプライアンス：

• 学校での導入：学校の指示に基づく利用には COPPA の学校例外が適用されます。FERPA の学校職員例外も適用されます。EU では GDPR 第6条1項(e)の公共の利益に基づく任務が適用されます
• 家庭での利用：COPPA の全要件が適用されます（クレジットカードによる確認可能な保護者の同意）。EU では GDPR 第8条に基づく保護者の同意が必要です

データ取り扱いの評価：

取り扱い	状態	備考
データは教育目的にのみ使用	合格	広告、行動プロファイリング、商業目的での使用はありません
生徒データを販売しない	合格	書面によるポリシーで禁止し、学校との契約でも確約しています
生徒を対象とした行動ターゲティング広告	該当なし	プラットフォームは広告なしで、広告インフラもありません
データ保持期間を学年度内に限定	合格	年度末から30日後に自動削除します。学校はより早い削除を要請できます
サブプロセッサーの一覧を学校に開示	合格	AWS（ホスティング）、SendGrid（保護者への通知）。いずれも DPA の対象です
学校との契約に必要なすべての条項を含む	合格	年次レビューを実施し、COPPA、FERPA、GDPR、セキュリティ、削除を網羅しています
情報漏えい通知手順	合格	学校には24時間以内、DPA には72時間以内に通知します（GDPR）
保護者のアクセス手段（家庭での利用）	合格	データの閲覧、ダウンロード、削除ができる保護者用ダッシュボード
Student Privacy Pledge への署名	はい	2024年に署名済み。年次コンプライアンス認証を実施

州の生徒プライバシー法

米国の複数の州では、EdTech ベンダーに追加要件を課す生徒プライバシー法が制定されています。

州	法律	主な要件
カリフォルニア州	Student Online Personal Information Protection Act（SOPIPA、2014年）	生徒データを教育以外の広告に使用することを禁止し、生徒データの販売を禁止します。不要になったデータの削除を義務付けています
ニューヨーク州	Education Law Section 2-d（2014年、2020年改正）	データプライバシーおよびセキュリティ計画の策定、第三者によるアクセスに関する保護者への通知、侵害通知、データの暗号化を義務付けています
コロラド州	Student Data Transparency and Security Act（2016年）	学校との契約にデータ項目、利用目的、セキュリティを明記することを義務付け、生徒を対象としたターゲティング広告を禁止しています
コネチカット州	Student Data Privacy Act（PA 16-189、2016年）	生徒データをターゲティング広告に使用することを禁止し、運営者に対して、請求から30日以内にデータを削除することを義務付けています
イリノイ州	Student Online Personal Protection Act（SOPPA、2021年）	保護者への通知を義務付け、ターゲティング広告、生徒の商業プロフィールの作成、生徒データの販売を禁止し、データ侵害の通知を義務付けています
バージニア州	Student Data Governance Plan（2015年）	学校にデータガバナンス計画の採用を義務付け、ベンダーに学校のデータガバナンスポリシーの遵守を義務付けています
テキサス州	SCOPE Act（2017年）	対象となる情報を教育以外の目的で使用することを禁止し、セキュリティ基準の適用およびデータの削除を義務付けています
メリーランド州	Student Data Privacy Act（2015年）	生徒データを広告に使用することを禁止し、データセキュリティの確保および契約終了時のデータ削除を義務付けています

よくあるコンプライアンス違反

1. 学校向け例外の範囲を超えること：COPPA の学校向け例外に基づいて収集したデータを、別途保護者の同意を得ずに、製品の改善、広告、その他の商業目的に使用すること
2. 年度末に削除しないこと：教育上の目的が終了した後も、生徒データを無期限に保持すること
3. 学校との契約が不十分であること：サブプロセッサーの開示、削除義務、監査権、侵害通知の期限など、重要な契約条項が欠けていること
4. すべての収集を学校の承認済みとみなすこと：生徒が学校以外の目的で自宅から EdTech プラットフォームを利用する場合、学校向け例外は適用されず、運営者は保護者から直接同意を得る必要があります
5. FERPA に準拠していないこと：ベンダーが学校職員として指定されていることを確認しないこと、または正当な教育的利益を超える目的で教育記録を使用すること
6. 教育以外の機能について個別の同意がないこと：教育機能への同意に、別途同意が必要なオプション機能（ゲーミフィケーションの報酬、ソーシャル機能）への同意を含めること

執行事例

• Edmodo（FTC、2023年）：学校主導の EdTech プラットフォームとして運営する中で、COPPA の学校向け例外の範囲を超え、広告目的で子どもの個人情報を収集・使用したことに対し、600万米ドルの制裁金が科されました。
• Google/YouTube（FTC、2019年）：1億7000万米ドルの制裁金の対象には、教育の場面で利用され、広告目的で永続的識別子が収集されていたチャンネルが含まれていました。
• InBloom（州による執行、2014年）：データ集約プラットフォームは、生徒データの一元保管におけるセキュリティとアクセス制御が不十分だとして、ニューヨーク州、ルイジアナ州などが FERPA およびプライバシー上の懸念を示した後、閉鎖されました。
• Chegg（FTC、2023年）：4件の侵害により数百万人の生徒と従業員の個人情報が流出したことを受け、FTC は Chegg に包括的なデータセキュリティプログラムの導入を命じました。

統合ポイント

• COPPA への準拠：学校向けの例外は、COPPA の一般要件に対する限定的な適用除外です。それ以外のすべての COPPA 要件（通知、セキュリティ、データ最小化）は引き続き適用されます
• 子どものデータ最小化：EdTech プラットフォームは、教育目的に必要なデータのみを収集する必要があります。データ最小化は、COPPA と GDPR の両方で求められています
• 子どものデータ削除請求：学校が指示する状況でも、保護者は子どものデータの削除を請求する権利を保持します。学校も FERPA に基づいて削除を請求できます
• GDPR における保護者の同意：EU には学校向けの例外はありません。学校は Art. 6(1)(e) の公共の利益に基づく業務に依拠するか、Art. 8 に基づいて保護者の同意を得る必要があります
• 子どものプライバシー通知：EdTech プラットフォームは、学校（意思決定者として）と保護者（権利者として）の両方にプライバシー通知を提供する必要があります