私 立 学 校 に お ける 個人 情報の保護 について1

私立学校における個人情報の保護について山

１．はじめに
個人情報保護法は、だれもが安心して IT 社会の便益を享受するための制度的基盤として、平成15年５月に成立し、公布され、17年４月に全面施行さた。この法律は、個人情報の有用性に配慮しながら、個人の権利利益を保護することを目的として、民間事業者の皆様が、個人情報を取り扱う上でのルールを定めている １）２）。
学校教育の現場では、児童生徒の指導に際して個人情報（成績、病歴、家族関係等）を取り扱う事が多いが、個人情報の保護に関しての理解の不足、誤解、過剰反応など、多くの問題点が指摘されている。
本研究では、私立学校における個人情報の保護の対応について整理し、正しい理解と運用についてのまとめと考察を行う。

２．個人情報保護法とはここでは、個人情報保護法を正しく理解するため、基本的事項を整理しておく。
昭和55（1980）年９月に、「プライバシー保護と個人データの国際流通についてのガイドラインに関する OECD 理事会勧告」がなされ、世界的に個人情報保護に関する意識が高まった。この OECD の８原則が、国際的な規準となり、各国が準じて法制化していおり、我が国においても個人情報の保護についての基本的な考え方となっている。従って、個人情報の保護を理解する上で、OECD の８原則は基礎基本であるで、この８原則を紹介する。
①収集制限の原則
適法かつ公正な目的のために収集され、同意を得た個人データのみに限定する。
②データ内容の原則
収集する個人データは利用目的に適合しているものとし、正確、完全かつ最新のものに保つ。
③目的明確化の原則

路進（日本私学教育研究所主任研究員）

データの利用目的は収集時に定められるものとし、またデータの利用はその目的またはその他の適合する理由に限定されるものとする。
④利用制限の原則
個人(データの主体)による承認及び法による権限、下記の場合を除き、データは明確化された目的のみのために開示され、利用されるものとする。
⑤安全保護の原則
データは合理的な安全保護措置によって保護されるものとする。
⑥公開の原則個人情報に関連した開発、慣行、ポリシーおよび連絡先情報を公開する。
⑦個人参加の原則
個人は自己に関するデータが保有されているか否かの確認をすることができる。また保有しているデータを遅滞無く、必要な場合には有料で、わかりやすい方法により、個人に伝えること。個人がデータにアクセスできない場合、その理由を提供することおよび異議の申し立てができること。 意義の申し立てができた場合、個人はデータを削除、修正または変更できるものとする。
⑧責任の原則データ管理者(会社)は上記の諸原則を実施するための措置に従う責任を有する。
表１に示す「個人情報取扱事業者の義務について（OECD ８原則と個人情報取扱事業者の義務規定の対応）」は、個人情報保護の取扱について、OECD ８原則と対比しながら簡潔にまとめてあり、個人情報取扱の全体的な構成を把握するのに役立つ。
次に、「個人情報とは」の定義を整理しておこう。個人情報保護法では「この法律において「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その−5−日 本 私 学教育 研究 所紀要 第43号
2

他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）をいう。」（個人情報の保護に関する法律第２条第１項）としている。
また、文部科学省指針の解説では、個人情報について「例えば、氏名のような、それだけで特定の個人を識別できる情報だけでなく、生年月日、住所、電話番号、電子メールアドレス、印鑑の印、性別、学籍番号、学校の成績、人物評価、科目履修表のような、特定の個人の属性や所有物、関係事実等を表す情報であって、それらの情報とその個人の氏名等とが容易に照合できる結果特定の個人を識別することができる情報はすべてこれに該当します。」と説明されている。

３．個人情報保護と学校学校と個人情報保護の問題を考える場合には、わが国の個人情報保護法の体系と適用法令に注意する必要がある。すなわち、図１のようなわが国の個人情報保護法制の体系を前提として、私立の学校には個人情報保護法の第４章以下、国立大学法人等には独立行政法人等個人情報保護法、小・中・高等の公立の学校の場合には地方公共団体の条例が適用される。
そして、個人情報保護法の基本法的部分（第１章〜第３章）は、すべての学校に適用されるのである。表２には、教育機関の属性と尊守すべき個人情報保護法制を整理した。私立学校は、個人情報保護に関する法律（個人情報保護法）の第４章以下が適用される。

表２

主務大臣
分野ごとの措置独立行政法人等

地方公共団体等

法律

法律

条例

（各種ガイドライン）
民間部門

注２ 注３
公的部門

注４

国立大学法人

独立行政法人等の保有する個人独立行政法人

情報保護に関する法律

国立教育機関行政機関の保有する個人情報保各地方公共団体の個人情報保護条例

私立学校

個人情報保護に関する法律（個人情報保護法）

さらに、学校における個人情報保護について
は、「学校における生徒等に関する個人情報の適正な取扱いを確保するために事業者が講ずべき措置に関する指針」（文部科学省告示第161号：平成16年11月11日制定、同18年２月１日改定）があり、公表されている。この指針は、教育分野における個人情報保護法の運用指針という位置付けができるものである3)4)。
この法律では、個人情報取扱事業者に対して以下の６項目を義務づけている。
（１）あらかじめ利用目的をできる限り特定し、その利用目的の達成に必要な範囲のみで個人情報を取り扱うこと（２）個人情報は、適切な方法で取得し、取得時に本人に対して利用目的の明示、通知、公表等を行うこと。
（３）個人データについては、正確・最新の内容に保つように努め、安全管理措置を講じ、従業者・委託先を監督すること。
（４）あらかじめ本人の同意を得なければ、第三者に個人データを提供してはいけない。
（５）保有個人データについては、利用目的などを知り得る状態に置き、本人の求めに応じて、開示・訂正・利用停止等を行うこと。
（６）苦情の処理に努め、そのための体制を整備すること。

４．学校関係争訟と対策

注１ 個人情報の庇護に関する法律
注２ 行政機関の保有する個人情報の庇護に関する法律
注３ 独立行政法人の保有する個人情報の庇護に関する法律
注４ 各地方公共団体において制定される個人情報保護条例

図１ 個人情報保護に関する法体系イメージ

尊守すべき個人情報保護法制

公立学校

国及び地方公共団体の責務・施策基本方針の策定 等（第１章から第３章）
国の行政機関教育機関の属性護に関する法律

基本法制

個人情報取扱事業者の義務（第４章から第６章）
注１

教育機関の属性と尊守すべき個人情報保護法制

学校では、個人情報保護の開示・訂正等の争いが起きる可能性は高いと思われるが、個人情報（成績、病歴、家族関係等）が日常的に扱われ、安全管理規定等の整備は他の組織より遅れ−6−

私 立 学 校 に お ける 個人 情報の保護 について3ているのが現状のである。個人情報保護に係わる学校関係争訟は、調査書・指導要録等に係る事案、体罰・事故等の報告書に係る事案等（作文関係も含む）、入試関係の各分野が想定される。
各学校ごとに、個人情報保護の対応を検討し、教職員の意識向上と対応策についての整備をしておく事が求められている。
個人情報保護の対応の整備について、以下にまとめる。
４.１ 校務分掌の対応（委員会等の組織）
個々の教員に任せるのは問題が多い。安全管理のための組織（校務分掌）が欠かせないが、個人情報管理委員会等を構成する事が適切であろう。この組織が受け持つ安全管理措置として整備すべき内容を示す。
・教職員の役割、責任の明確化
・個人情報保護管理者の設置・個人情報を取り扱う作業者の限定
・各担当部門の役割と責任の明確化
・代表者への報告連絡体制の整備
・相談窓口と危機管理体制の構築、運用等
４.２ ルールづくり（方針、規定）
方針は、学外に対しても Web 等で表記し、個人情報の収集、利用、提供、開示、訂正、削除に関することや、個人情報の適性管理に関する事など基本要件について学校の方針を示し、「所定の規定に基づき、適切に取り扱います」といった抽象的な範囲にとどめる。
規定は、学内に対して、用語の定義から体制、責任権限、個人情報の管理など、日常的な個人情報の取り扱い全般について網羅する必要があり、全教職員に周知徹底するものである。
４.３ 日常的な取り組み
各学校の教職員は、常に個人情報の取り扱いに適切な対応をとることが求められている。その対策として、組織づくり、方針の策定、規定やマニュアル化等の整備を行っても、日常的な運用が行われなければ、規定類から外れた運用が行われる可能性が高い。「たぶん」「だろう」
で判断して運用されかねず、その判断が習慣化
すると、規定とは異なる暗黙のルールが形成されてしまう恐れがある。
そこで、個人情報の取り扱いに際しては、以下の６つの事項について確認の上、日常業務を進め、管理者はこの事項が形骸化することがないように定期的なチェックを怠らない事が肝心である。
①現在、どのような個人情報を取り扱っているかを把握していること。
②その個人情報の利用目的が特定されており、本人にその利用目的が伝わっていること。
③個人情報にかかわる各種手続きを理解していること。
④個人情報の漏洩や損失等がないよう管理体制がとれていること。
⑤外部からの苦情等に対応できるような管理体制がとれていること。
⑥上記の事項が常に確認でき、各人が個人情報保護の意識を持って業務が行われていること。
４.４ 事例が起きたときの対応
全校的に個人情報保護対策に取り組んでいても、不幸にして流失等の事故は起こりえる。流
失事故が起これば、安全管理措置義務に違反したことになり、信用失墜にもなり、損害賠償を求められる可能性もある。だからと言って、流失の事実を隠そうとすれば、なおさら事態を深刻化させることになる。流失が起きてしまった
場合、まずは学内の詳細な調査を実施し、①影響のある個人に知らせるとともに所轄機関に届ける、②社会に対して公表し説明する、③二次被害や再発防止を含め今後の対応を明確化する、などの対応が重要である。

５．まとめ
学校では、個人情報保護の開示・訂正等の争いが起きる可能性は高いと思われるが、まだ教職員の意識も低く、対策や運用に関する対策や整備も遅れているのが現状である。本研究所では、個人情報保護の対応も学校の危機管理の一つと考え、学校安全危機管理研修会等において、「私立学校における個人情報の保護と対応」をテーマとして取り上げ、問題意識の向上・基本的知識の把握・運用と対策等について研修し、今回の研究成果を私立学校に還元していく予定である。

６．参考文献１）文部科学省告示161号「学校における生徒等に関する個人情報の適正な取扱いを確保するために事業者が構ずべき措置に関する指針」（平成16年11月11日公示）−7−

日 本 私 学教育 研究 所紀要 第43号
4２）文部科学省大臣官房総務課「『学校における生徒等に関する個人情報の適正な取扱いを確保するために事業者が構ずべき措置に関する指針』解説」（平成17年１月）
３）瀬戸川浩、「個人情報保護法と教育分野におけるガイドライン」、月刊高校教育2005年８月号、pp36‑43

表１４）「学校における生徒等に関する個人情報の適正な取扱いを確保するために事業者が講ずべき措置に関する指針」（文部科学省告示第161号：平成16年11月11日制定、同18年２月１日改定）は、下記の文部科学省の Web に掲載されている。
http://www.mext.go.jp/b menu/houdou/16/11/04111602.htm

OECD ８原則と個人情報取扱事業者の義務規定の対応

OECD ８原則

個人情報取扱事業者の義務○目的明確化の原則
収集目的を明確にし、データ利用は収集目的に合致するべき○利用制限の原則
データ主体の同意がある場合、法律の規定による場合以外に使用してはならない○利用目的をできる限り特定しなければならな
い（第15条）○利用目的の達成に必要な範囲を超えて取り扱ってはならない（第16条）○本人の同意を得ずに第三者に提供してはならない（第23条）○収集制限の原則
適法・公正な手段により、かつ情報主体に同意を得て収集されるべき○偽りその他不正の手段により収集してはならない（第17条）○データ内容の原則○正確かつ最新の内容に保つよう努めなければ利用目的に沿ったもので、かつ、正確、完全、 ならない（第19条）
最新であるべき○安全保護の原則
合理的安全保障措置により、紛失・使用・修正・開示等から保護されるべき○安全管理のために必要な措置を講じなければならない（第20条）○従業者・委託先に対する必要な措置を講じなければならない（第21条、第22条）○公開の原則
データ収集の実施方針等を公開し、データの存在、利用目的、管理等を明示するべき○自己参加の原則
自己に関するデータの所在及び内容を確認させ、または意義申し立てを保証すべき○取得したときは利用目的を通知又は公表しなければならない（第18条）○利用目的等を本人の知り得る状態に置かなければならない（第24条）○本人の求めに応じて保有する個人データを開示しなければならない（第25条）○本人の求めに応じて訂正等を行わなければならない（第26条）○本人の求めに応じて利用停止等を行わなければならない（第27条）○責任の原則管理者は諸原則実施の責任を有する○苦情の適切かつ迅速な処理に努めなければならない（第31条）

注）各義務規定には適宜除外事由あり。
−8−