●学校には様々な個人情報が存在する。中でも学生情報を大量に保有している。個人情報保護体制を築くには、個々の情報のリスク評価を行って、取り扱いのルールを定める必要がある。
●もっとも、法律違反を恐れるあまりの行き過ぎた対応は、「教育」という学校本来の目的を失わせかねない。適正な取得と利用を心がけたうえでの学生のためになる情報活用こそ、今求められている。
--------------------------------------------------------------------------------
先日、某大学の個人情報保護セミナーで「うちの大学は開校して日が浅く、2000名の在学生しかいないので、『個人情報取扱事業者』にはならないのでしょうか」という質問があった。「5000件を超える個人データを持っていなければ、個人情報取扱事業者にならない」と定められているため、出た質問だった。
個人情報保護法では、「個人」とは「生存する個人に関する情報であって、特定の個人を識別できるものであれば、全て個人情報に該当する」（法２条１項）と定められている。
学校の場合、在学生以外に卒業生のデータを持っていることから、ほとんどの学校は個人情報を5001件以上保有していると考えて間違いない。確かに中には死亡した卒業生も含まれるだろうが、それを割り引いても5001件以上の情報の蓄積があるはずだ。
セミナーでの質問者に、入学志願者からの資料請求への対応を尋ねたら、請求者データをそのまま保有しているとのことだった。つまり、開校して日の浅いこの学校の場合でも、累計すると、難なく個人情報取扱事業者に該当したのである。
■個人情報が学内の至る所に分散
それでは学校には、どのような個人情報データが蓄えられているのだろうか。
大学を例にとって考えると、およそ基本的なものだけで次のような個人データを保有している。
（1）入試資料の請求者情報（学校案内等を請求する高校生・父兄）
（2）志願者情報（調査書、願書等）
（3）在校生（学籍簿、学生証データ、成績原簿等）
（4）保護者（保証人誓約書、奨学金申請書等）
（5）卒業生（卒業生名簿、卒業証明書、寄付者芳名録等）
これ以外に教員、職員の個人情報があり、地元の自治体や企業、取引先関係者などの個人情報を含めると、学校は膨大な個人情報を保有していることになる。
また、在学生に限っては、各部署（入試課／教務課／学生課／就職課）で連携して保有している場合もあるが、多くは各担当部署・課で別個に保有しているデータも多く、どこにどのデータが、どういう状態で管理されているかとなると、はなはだ心もとない、というのが現状である。
一般の企業と違うのは、「教員」の存在である。事務方は諸手続きを所管しており、文書管理が仕事の一つであるから、学生情報の取り扱いには慎重な面もある。ところが、教員の場合、講義と研究が主な仕事だから、学生情報の管理は二義的な問題となりがちだ。学校側が主体的に教員の個人情報管理の指導をしているわけでもなく、事務方とは信頼関係で成り立っているだけという面がある。
一つの例を挙げよう。筆者は某大学で非常勤講師をしているが、学生情報の取り扱いについては、学校側からほぼ「お任せ」の状態である。「出欠カード」がそうだ（この大学では紙のカードで管理するのが基本になっている）。毎回授業で出欠を取り、出席日数が足りない場合、単位を認めない決まりになっている。出欠カードには、担当教官名、科目名、学籍番号、学生の氏名などが記入されているが、このカードの保管・管理は教員に任されている。
教務課に提出するのは、学生の評価情報のみであるため、出席日数や授業態度、レポート提出の有無などは教員個人で記録しておかなければならない。どこに記録を保存するかというと、私物のPCということになる。出欠カードをメールで授業中に取得するなど一部分だけIT化しても、バックヤードがこの状態では、漏えいリスクは高まる一方だ。教育現場はいまだに情報化の「原始時代」にある。
■漏えいのリスクは、低年齢の児童ほど高まる
このように、学校というところは学生を預っている立場にありながら、学生情報の管理については野放し状態だ。先述の出欠カードをもし筆者が落としたら、個人情報の漏えい事件になるが、学校側からは「出欠カードをなくさないようにしてください」という指導は一度もないし、その文書規程もない。
出欠カードはまだリスクレベルが低いが、学校というところは成績表や学生相談票、健康診断書など“センシティブ”な情報を多数保持している。こうした情報が外部に漏れると、悪用されるリスクは格段に高い。
大学を例に見てきたが、学校は幼稚園、小学校、中学校、高等学校とあり、低年齢の児童が通う学校では、特に生徒情報が漏れないように気を配る必要がある。
例えば、幼稚園・小学校などでは、園児、児童が特定できる個人情報の漏えいが、誘拐や監禁など、身体、生命に危害が及ぶ重大な犯罪の原因となる恐れがある。子どもの氏名と住所だけで存在が特定されてしまうし、父兄の勤務状況（例えば共稼ぎであるとか、延長保育記録など）とあわせて情報漏えいが起きると、一層悪用のリスクは高まる。
こうしたことは、ちょっと想像をめぐらせれば誰でも分かることなのだが、その認識が情報管理・運用のルールづくりまでに至っていないのが現状だ。
何度も繰り返しになるが、幼稚園や小中高校など未成年者を抱える学校法人は、生徒が重大な犯罪に巻き込まれないよう、特に生徒情報の取り扱いに注意を払わねばならない。
残念なことにその自覚が学校関係者に薄いのが気にかかる。金融、通信、医療の特定3分野では、より厳しいガイドラインを定めているが、教育分野でも同様に取り組むことが必要だ。もっとも、文部科学省のガイドラインには最低基準のことしか書かれていない。この点については、拙著『学校における個人情報保護Q&A』（田淵、高橋、妹尾共著：NPO法人学校経理研究会発行）に詳しいので、参考にしていただきたい。（田淵 義朗氏／ネット情報セキュリティ研究会代表）
日経BP社 2005年7月22日
Link
●もっとも、法律違反を恐れるあまりの行き過ぎた対応は、「教育」という学校本来の目的を失わせかねない。適正な取得と利用を心がけたうえでの学生のためになる情報活用こそ、今求められている。
--------------------------------------------------------------------------------
先日、某大学の個人情報保護セミナーで「うちの大学は開校して日が浅く、2000名の在学生しかいないので、『個人情報取扱事業者』にはならないのでしょうか」という質問があった。「5000件を超える個人データを持っていなければ、個人情報取扱事業者にならない」と定められているため、出た質問だった。
個人情報保護法では、「個人」とは「生存する個人に関する情報であって、特定の個人を識別できるものであれば、全て個人情報に該当する」（法２条１項）と定められている。
学校の場合、在学生以外に卒業生のデータを持っていることから、ほとんどの学校は個人情報を5001件以上保有していると考えて間違いない。確かに中には死亡した卒業生も含まれるだろうが、それを割り引いても5001件以上の情報の蓄積があるはずだ。
セミナーでの質問者に、入学志願者からの資料請求への対応を尋ねたら、請求者データをそのまま保有しているとのことだった。つまり、開校して日の浅いこの学校の場合でも、累計すると、難なく個人情報取扱事業者に該当したのである。
■個人情報が学内の至る所に分散
それでは学校には、どのような個人情報データが蓄えられているのだろうか。
大学を例にとって考えると、およそ基本的なものだけで次のような個人データを保有している。
（1）入試資料の請求者情報（学校案内等を請求する高校生・父兄）
（2）志願者情報（調査書、願書等）
（3）在校生（学籍簿、学生証データ、成績原簿等）
（4）保護者（保証人誓約書、奨学金申請書等）
（5）卒業生（卒業生名簿、卒業証明書、寄付者芳名録等）
これ以外に教員、職員の個人情報があり、地元の自治体や企業、取引先関係者などの個人情報を含めると、学校は膨大な個人情報を保有していることになる。
また、在学生に限っては、各部署（入試課／教務課／学生課／就職課）で連携して保有している場合もあるが、多くは各担当部署・課で別個に保有しているデータも多く、どこにどのデータが、どういう状態で管理されているかとなると、はなはだ心もとない、というのが現状である。
一般の企業と違うのは、「教員」の存在である。事務方は諸手続きを所管しており、文書管理が仕事の一つであるから、学生情報の取り扱いには慎重な面もある。ところが、教員の場合、講義と研究が主な仕事だから、学生情報の管理は二義的な問題となりがちだ。学校側が主体的に教員の個人情報管理の指導をしているわけでもなく、事務方とは信頼関係で成り立っているだけという面がある。
一つの例を挙げよう。筆者は某大学で非常勤講師をしているが、学生情報の取り扱いについては、学校側からほぼ「お任せ」の状態である。「出欠カード」がそうだ（この大学では紙のカードで管理するのが基本になっている）。毎回授業で出欠を取り、出席日数が足りない場合、単位を認めない決まりになっている。出欠カードには、担当教官名、科目名、学籍番号、学生の氏名などが記入されているが、このカードの保管・管理は教員に任されている。
教務課に提出するのは、学生の評価情報のみであるため、出席日数や授業態度、レポート提出の有無などは教員個人で記録しておかなければならない。どこに記録を保存するかというと、私物のPCということになる。出欠カードをメールで授業中に取得するなど一部分だけIT化しても、バックヤードがこの状態では、漏えいリスクは高まる一方だ。教育現場はいまだに情報化の「原始時代」にある。
■漏えいのリスクは、低年齢の児童ほど高まる
このように、学校というところは学生を預っている立場にありながら、学生情報の管理については野放し状態だ。先述の出欠カードをもし筆者が落としたら、個人情報の漏えい事件になるが、学校側からは「出欠カードをなくさないようにしてください」という指導は一度もないし、その文書規程もない。
出欠カードはまだリスクレベルが低いが、学校というところは成績表や学生相談票、健康診断書など“センシティブ”な情報を多数保持している。こうした情報が外部に漏れると、悪用されるリスクは格段に高い。
大学を例に見てきたが、学校は幼稚園、小学校、中学校、高等学校とあり、低年齢の児童が通う学校では、特に生徒情報が漏れないように気を配る必要がある。
例えば、幼稚園・小学校などでは、園児、児童が特定できる個人情報の漏えいが、誘拐や監禁など、身体、生命に危害が及ぶ重大な犯罪の原因となる恐れがある。子どもの氏名と住所だけで存在が特定されてしまうし、父兄の勤務状況（例えば共稼ぎであるとか、延長保育記録など）とあわせて情報漏えいが起きると、一層悪用のリスクは高まる。
こうしたことは、ちょっと想像をめぐらせれば誰でも分かることなのだが、その認識が情報管理・運用のルールづくりまでに至っていないのが現状だ。
何度も繰り返しになるが、幼稚園や小中高校など未成年者を抱える学校法人は、生徒が重大な犯罪に巻き込まれないよう、特に生徒情報の取り扱いに注意を払わねばならない。
残念なことにその自覚が学校関係者に薄いのが気にかかる。金融、通信、医療の特定3分野では、より厳しいガイドラインを定めているが、教育分野でも同様に取り組むことが必要だ。もっとも、文部科学省のガイドラインには最低基準のことしか書かれていない。この点については、拙著『学校における個人情報保護Q&A』（田淵、高橋、妹尾共著：NPO法人学校経理研究会発行）に詳しいので、参考にしていただきたい。（田淵 義朗氏／ネット情報セキュリティ研究会代表）
日経BP社 2005年7月22日
Link
