教育パーソナルデータに関するデータ共有ガイドライン（案）

202３年３月３１日

NTT ラーニングシステムズ株式会社

内容
1. 本ガイドラインの概要 ..........................................................................................5
1.1 本ガイドラインの位置付け............................................................................5
1.2 本ガイドラインの対象範囲............................................................................5
1.3 本ガイドラインの構成...................................................................................7
2. スタディ・ログの取得・共有における手続き .......................................................8
2.1 個人情報の取扱いに関する基本的な考え方 ...................................................8
2.2 個人情報として取り扱う範囲 ......................................................................11
2.3 要配慮個人情報として取り扱う範囲 ...........................................................16
2.4 個人関連情報として取り扱う範囲 ...............................................................21
2.5 個人情報取扱事業者等の義務等 ..................................................................23
2.5.1 個人情報の利用目的 ...........................................................................24
2.5.2 不適正利用の禁止 ...............................................................................28
2.5.3 個人情報の取得 ..................................................................................29
2.5.4 個人データの管理 ...............................................................................32
2.5.5 個人データの漏えい等の報告等 ..........................................................33
2.5.6 個人データの第三者への提供 .............................................................34
2.5.7 個人関連情報の第三者提供の制限等 ...................................................39
2.5.8 保有個人データに関する事項の公表等、開示・訂正等・利用停止等 .43
2.5.9 個人情報の取扱いに関する苦情処理 ...................................................45
2.6 行政機関等の義務等 ....................................................................................46
2.6.1 個人情報の利用目的 ...........................................................................47
2.6.2 不適正利用の禁止 ...............................................................................47
2.6.3 個人情報の取得 ..................................................................................48
2.6.4 保有個人情報の管理 ...........................................................................48
2.6.5 保有個人情報の漏えい等の報告等 ......................................................49
2.6.6 保有個人情報の利用及び提供の制限 ...................................................49
2.6.7 個人情報ファイル簿の作成及び公表 ...................................................51
2.6.8 保有個人情報の開示・訂正・利用停止の請求.....................................53
2.6.9 条例による保護措置の許容 .................................................................55
3. スタディ・ログの保管における安全管理措置 .....................................................59
3.1 安全管理措置に関する基本的な考え方 ........................................................59
3.2 組織的安全管理対策 ....................................................................................60
3.3 物理的安全管理対策 ....................................................................................64
3.4 技術的安全管理対策 ....................................................................................662

3.5 人的安全管理対策........................................................................................75
3.6 その他の安全管理対策.................................................................................77
4. 参考資料 .............................................................................................................79
4.1 本人同意書（雛形案）.................................................................................79

3

【凡例】
略称

正式名称

個人情報保護法

個人情報の保護に関する法律（平成 15 年法律第 57 号）

政令

個人情報の保護に関する法律施行令（平成 15 年政令第 507 号）

規則

個人情報の保護に関する法律施行規則（平成 28 年個人情報保護委
員会規則第 3 号）

通則ガイドライン

個人情報の保護に関する法律についてのガイドライン（通則編）（平成 28 年個人情報保護委員会告示第 6 号）

加工ガイドライン

個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）（平成 28 年個人情報保護委員会告示第 9号）

行政機関等ガイドラ

個人情報の保護に関する法律についてのガイドライン（行政機関等

イン編）（令和 4 年個人情報保護委員会告示第 1 号）

独立行政法人個人情

独立行政法人等の保有する個人情報の保護に関する法律（平成 15

報保護法

年法律第 59 号）※ 本ガイドラインにおいては、令和 3 年改正個人情報保護法（令和 3 年 5 月 19 日公布）
（官民を通じた個人情報保護制度の見直し）までの内容を反映している。なお本法律の施行日については、デジタル社会形成整備法第 50 条による改正は令和 4 年 4 月 1 日、第51 条による改正は令和 5 年 4 月 1 日である。

4

1. 本ガイドラインの概要
1.1 本ガイドラインの位置付け
本ガイドラインは、学校内外における学びに関するデータ（スタディ・ログ）を調査研究団
体及び教育機関が取り扱い、子供の学習支援及び学習支援ツールの研究開発等に役立てることを想定し、パーソナルデータの取得・保管・共有等の手続き及び運用ルールについて取りまとめたものである。
本ガイドラインの読者は、調査研究団体（民間事業者・国立大学法人等）及び教育機関（教育委員会・学校法人等）を想定している。
なおスタディ・ログには、学習履歴情報・成績情報等の他に、学習時の生体反応（脳波等）・健康状態等の、機微な個人情報を含むものもある。そのため、個人情報を取り扱う際に求められる義務を、調査研究団体及び教育機関が負うことを踏まえ、個人情報保護制度に沿った手続き等について考慮した書きぶりとしている。

1.2 本ガイドラインの対象範囲
本ガイドラインで想定している、スタディ・ログのパーソナルデータとしての取扱いの流れを図 1.1 に示す。

図 1.1

スタディ・ログ（パーソナルデータ）の取扱いの流れ

5

教育機関等で生成されるスタディ・ログを、調査研究団体が収集・蓄積し、人工知能等を用いて分析したのち、得られた学習改善・教育改善効果のフィードバックを教育機関等に還元する流れとなっており、この過程においてスタディ・ログの取得・保管・共有の手続きが必要となる。
スタディ・ログには個人に関する情報（パーソナルデータ）が含まれており、機微な個人情報を含むものもあるため、個人情報保護制度に沿った個人情報の取扱い及び安全管理措置が必要となる。スタディ・ログとして取り扱うことが想定される情報の具体例を表 1.1 に示す。

表 1.1

スタディ・ログとして取り扱うことが想定される情報の具体例

分類

データの種類情報の具体例

校務データ

属性情報

学習者の属性情報（ユーザ ID、パスワード、学校名、学年、クラス、出席番号、氏名、メールアドレス等）、
教員の属性情報（ユーザ ID、パスワード、学校名、担当
学年、担当クラス、担当教科、氏名、メールアドレス等）

教務情報
指導履歴情報教務手帳、授業情報（コース登録情報）
指導方法に関する情報、実際の指導映像、提示課題

出欠情報

出欠記録

成績情報

採点結果（試験、小テスト、レポート、課題）、試験素
点一覧

学習データ

教材情報

デジタル教材（教科書、問題集、参考書等）、試験問題

学習履歴情報回答結果（小テスト、レポート、課題）、デジタル教材
学習履歴（閲覧時間、マーカー、コメント、ブックマーク）、課題進捗状況、教材を読む速度

生体データ

健康情報

学習者の健康診断の情報（身長、体重）

生体情報

学習者の生体情報（脈拍、体温、ライフログ（睡眠時間等）、脳波（授業中・睡眠中）、MRI、視線情報、発言情
報、動作情報、位置情報等）、
教員の生体情報（ライフログ、動作情報、位置情報等）

分析データ

学習分析情報

学習者の学習分析結果（活動量グラフ、学習履歴グラフ、
学習成果グラフ）、学習分析結果を踏まえた指導計画（学習に対するレコメンド）

学習改善効果情報

学習改善・教育改善の効果を示すエビデンス情報

6

本ガイドラインにおいては、スタディ・ログを「校務データ」「学習データ」「生体データ」「分析データ」の 4 分類に整理している。
「校務データ」「学習データ」「生体データ」の保有者は、主に学習者本人か教育機関である。
調査研究団体は、学習者本人から直接もしくは教育機関を通じて、データを取得することとなる。
具体的な取得方法としては、紙媒体のものを取得する方法、ファイル形式でダウンロードして取得する方法、端末等のログから取得する方法、ウェアラブル端末を用いて取得する方法、映像分
析により取得する方法等、様々なものが考えられるが、どの方法を用いる場合も、個人情報保護制に則った手続きが必要となる。
なお、属性情報・生体情報等については、本ガイドラインでは主に学習者のデータを取得することを想定しているが、必要に応じて教職員のデータを取得することも考えられる。その場合、教職員のデータについても、個人情報保護制に則った手続きが必要となる。
「分析データ」は、調査研究団体において生成される。そのうち学習改善・教育改善効果のフィードバックとして役立つものについては、学習者本人及び教育機関等に還元されることとなる。具体的な還元方法としては、ダッシュボードのような学習支援ツールの提供を通じたフィー
ドバック等が考えられる。その際、学習者本人の個人情報が他者に漏れること等がないよう、利用者に応じてアクセス権限を適切に付与する必要がある。

1.3 本ガイドラインの構成
1 章では、本ガイドラインの概要（位置付け・対象範囲・構成）について記載している。
2 章では、取得及び共有における手続きについて、「個人情報の保護に関する法律」等を参考に、機微な個人情報を含む学習者のスタディ・ログを取得及び他の調査研究団体に共有する際のルール案を、個人情報保護の観点から取りまとめている。
なお、他の調査研究団体への共有について、本書では業務委託・第三者提供・共同利用等における「個人情報」の取扱いについてまとめている。「仮名加工情報」「匿名加工情報」の共有及び取扱いについては、別冊「教育ビッグデータに関する仮名加工・匿名加工ガイドライン」にまとめているため、そちらを参照すること。
3 章では、安全管理措置について、医療におけるパーソナルデータをクラウドサービス事業者
で安全に取り扱うことを定めている「クラウドサービス事業者が医療情報を取り扱う際の安全管理に関するガイドライン第 1 版」等を参考に、学習支援に生かすために教育機関等から取得したスタディ・ログを保管する際のルール案を、安全管理措置の観点から取りまとめている。

7

2. スタディ・ログの取得・共有における手続き
2.1 個人情報の取扱いに関する基本的な考え方
スタディ・ログには機微な個人情報が含まれることがあるため、スタディ・ログを取得する際には、最新版の個人情報保護制度に沿った手続きを行う必要がある。
個人情報保護制度は、令和 3 年に大幅な見直しが行われた。従来の個人情報保護制度の枠組
みと、令和 3 年改正個人情報保護法により見直された枠組みを、図 2.1 に示す。また、本ガイ
ドラインの読者に当たる調査研究団体及び教育機関が対象となる法律について、従来と見直し
後の両方を、表 2.1 に示す。

図 2.1

個人情報保護制度の見直し（出典：「デジタル社会の形成を図るための関係法律の整備に関する法律

概要資料」（個人情報保護委員会）P1 を基に作成、https://www.ppc.go.jp/files/pdf/seibihou_gaiyou.pdf）

8表 2.1
分類
民間事業者

調査研究団体及び教育機関が対象となる法律
従来

法律上の扱い
事業者

（企業）

見直し後

対象となる法律※
個人情報保護法

法律上の扱い事業者（旧 4～7 章）

対象となる法律
個人情報保護法（令和 3 年改正）

学校法人
地方公共団体につい（私立学校）
国立大学法人

独立行政法人等（国立大学）
教育委員会

地方公共団体等

独立行政法人ては、条例による必個人情報保護法

要最小限の独自の保

個人情報保護条例

地方公共団体等護措置を許容（公立学校）※従来は、個人情報の保護に関する基本方針については個人情報保護法（1～3 章）を共通して参照し、個人情報の具体的な取扱い（義務、罰則等）については各団体が対象となる法律をそれぞれ参照していた

これまでは、対象に応じて個人情報の保護に関する法律が 3 本（個人情報保護法、行政機関個人情報保護法、独立行政法人等個人情報保護法）整備されており、所管も総務省・個人情報保護委員会とばらばらであった。また、各地方公共団体（約 1800 の自治体）に応じてそれぞれ個人情報保護条例が存在し、個人情報の取扱いが自治体ごとに異なる状況となっており、所管も各地
方公共団体とばらばらであった。このように、個人情報保護を目的とした法律・条例がばらばらに存在し、規定内容がそれぞれ異なることは、データの流通や利活用の支障となりうることがこれまで大きな社会問題となっていた（2000 個問題）。
そこで、令和 3 年の改正により、個人情報の保護に関する 3 本の法律が、1 本の法律（新個
人情報保護法）に統合されることとなった。また、地方公共団体の個人情報保護制度についても、
新個人情報保護法の中で全国的な共通ルールを規定し、そちらを参照することで 1 本化を図ることとなった。ただし地方公共団体については、法律の範囲内で、条例による必要最小限の独自の保護措置を許容することとしている（条例要配慮個人情報として保護する情報を規定する、必要な場合に限り審議会等からの意見聴取手続を規定する等）。

令和 3 年改正個人情報保護法は、令和 3 年 5 月 19 日に公布されている。施行については、
デジタル社会形成整備法第 50 条による改正（個人情報の保護に関する 3 本の法律に関連する内容、地方公共団体以外に影響）は令和 4 年 4 月 1 日、第 51 条による改正（個人情報保護条例に関連する内容、地方公共団体に影響）は令和 5 年 4 月 1 日である。
よって、本章においては、本ガイドラインの読者に当たる調査研究団体及び教育機関が遵守す9

べき法律等について、個人情報保護制度の見直し後（令和 3 年改正個人情報保護法）の内容を中心に取りまとめた。個人情報の定義については 2.2 章に示す。また、取扱いに特に注意が必要な
要配慮個人情報の定義については 2.3 章、個人関連情報の定義については 2.4 章に示す。個人
情報取扱事業者等（企業、私立学校、国立大学を含む）の義務等については 2.5 章、行政機関等（公立学校を含む）の義務等については 2.6 章に示す。

10

2.2 個人情報として取り扱う範囲
個人情報として取り扱う範囲について、「個人情報」「個人識別符号」の 2 つに分け、以下の（ア）～（イ）に示す。

（ア）個人情報「個人情報の保護に関する法律」（平成 15 年法律第 57 号。以下「個人情報保護法」という。）において、個人情報は以下のように定義されている。
また、「個人情報の保護に関する法律についてのガイドライン（通則編）（平成 28 年個
人情報保護委員会告示第 6 号。以下「通則ガイドライン」という。）」において、個人に関する情報は以下のように記載されている。

個人情報保護法第 2 条（第 1 項）

この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。
(1) 当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録（電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することができな
い方式をいう。次項第 2 号において同じ。）で作られる記録をいう。以下同じ。）に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（個人識別符号を除く。）をいう。以下同じ。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）(2) 個人識別符号が含まれるもの

通則ガイドライン

2-1 個人情報「個人に関する情報」とは、氏名、住所、性別、生年月日、顔画像等個人を識別する情報に限られず、個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表す全ての情報であり、評価情報、公刊物等によって公にされている情報や、映像、音声による情報も含まれ、暗号化等によって秘匿化されているかどうかを問わない。

よって、本ガイドラインが対象とするスタディ・ログの中で、個人情報に該当するものは以下の通りであると考えられる。

11



学習者の属性情報及びそれに紐づく情報であり、特定の個人を識別するに足りるもの



教員の属性情報及びそれに紐づく情報であり、特定の個人を識別するに足りるもの

学習者の生体情報及びそれに紐づく情報であり、特定の個人を識別するに足りるもの



教員の生体情報及びそれに紐づく情報であり、特定の個人を識別するに足りるもの「特定の個人を識別するに足りるもの」とは、他の情報と容易に照合することができ、それによって特定の個人を識別することができるものを含む。属性情報と成績情報を組み合わせた場合の個人情報の例を、イメージ図として図 2.2 に示す。

図 2.2

個人情報の例（属性情報＋成績情報）

氏名等と採点結果が同テーブルにある場合、それらの情報は個人情報に該当する。また、採点結果を示すデータに ID が付与されており、その ID と学習者の対応を示すデータが別テーブルに存在し、それらを容易に照合することが可能な場合は、採点結果を示すデータも個
人情報に該当する。なお、氏名等を含んでいなかったとしても、出席番号やユーザ ID 等の個人を識別できる「識別子」を含む場合は、個人情報に該当する。また、出身地等の「属性」や、採点結果等の「履歴」を含んでおり、他の情報との照合や組み合わせにより特定の個人を識別できる場合も、個人情報に該当する。

12

よって、「校務データ」「学習データ」「生体データ」「分析データ」のうち、匿名加工の手続きを行っておらず、属性情報に紐づいているものについては、全て個人情報に当たると考えられる。なお仮名加工情報については、個人情報に当たるものと当たらないものがある。詳しくは別冊「教育ビッグデータに関する仮名加工・匿名加工ガイドライン」を参照すること。
なお、容易に照合することができる状態については、通則ガイドラインにおいて以下のように記載されている。

通則ガイドライン

2-1 個人情報「他の情報と容易に照合することができ」るとは、事業者の実態に即して個々の事例ごとに判断されるべきであるが、通常の業務における一般的な方法で、他の情報と容易に照合することができる状態をいい、例えば、他の事業者への照会を要する場合等であって照合が困難な状態は、一般に、容易に照合することができない状態であると解される。

よって、照合することで個人識別が可能となる複数のテーブルが、たとえば別々のデータベースに保存されていたとしても、共通の ID が付与されており、調査研究団体の従業員等がそれぞれのデータベースにアクセスすることでデータを照合できる環境にある場合は、容易に照合できる範囲とみなされる可能性が高い。しかし、データベースごとにアクセス権限が付与されており、通常の業務において情報を照合することが難しい場合は、容易に照合できる状態ではないと判断できる可能性もある。個々の事例に応じて、慎重に判断することが求められる。

（イ）個人識別符号「個人情報保護法」において、個人識別符号は以下のように定義されている。
また、「個人情報の保護に関する法律施行令」（平成 15 年政令第 507 号。以下「政令」という。）において、個人識別符号は以下のように定義されている。
この個人識別符号を含む情報は、「個人情報保護法」第 2 条第 1 項（2）に基づき、個人情報に当たるといえる。

13

個人情報保護法

第 2 条（第 2 項）

この法律において「個人識別符号」とは、次の各号のいずれかに該当する文字、番号、記号その他の符号のうち、政令で定めるものをいう。
(1)

特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字、番号、記号その他の符号であって、当該特定の個人を識別することができるもの(2)個人に提供される役務の利用若しくは個人に販売される商品の購入に関し割り当てられ、又は個人に発行されるカードその他の書類に記載され、若しくは電磁的方式により記録された文字、番号、記号その他の符号であって、その利用者若しくは購入者又は発行を受ける者ごとに異なるものとなるように割り当てられ、又は記載され、若しくは記録されることにより、特定の利用者若しくは購入者又は発行を受ける者を識別することができる
もの

政令

第1条

個人情報の保護に関する法律（以下「法」という。）第 2 条第 2 項の政令で定める文字、番号、記号その他の符号は、次に掲げるものとする。
(1) 次に掲げる身体の特徴のいずれかを電子計算機の用に供するために変換した文字、
番号、記号その他の符号であって、特定の個人を識別するに足りるものとして個人情報保
護委員会規則で定める基準に適合するもの
イ 細胞から採取されたデオキシリボ核酸（別名 DNA）を構成する塩基の配列
ロ 顔の骨格及び皮膚の色並びに目、鼻、口その他の顔の部位の位置及び形状によって定まる容貌
ハ 虹彩の表面の起伏により形成される線状の模様
ニ 発声の際の声帯の振動、声門の開閉並びに声道の形状及びその変化
ホ 歩行の際の姿勢及び両腕の動作、歩幅その他の歩行の態様
ヘ 手のひら又は手の甲若しくは指の皮下の静脈の分岐及び端点によって定まるその静脈の形状
ト 指紋又は掌紋

また、「通則ガイドライン」の「2-2 個人識別符号（法第 2 条第 2 項関係）」において、
政令第 1 条（1）イ～トの項目は「本人を認証することができるようにしたもの」として解説されている。
よって、生体情報を電子計算機の用に供するために変換した符号については、個人識別符14

号に相当するといえる。具体的には、学習支援ツールへのログインに生体認証等（顔認証・指紋認証等）を利用する場合、その本人を認証するために必要となる身体的特徴を変換した
符号は、個人識別符号に当たるといえる。なお、電子計算機の用に供するために変換した符号ではないが、個人識別が可能な生体情報（顔写真等）については、個人識別符号には当たらないが、個人情報には当たるといえる。個人情報と個人識別符号の例を、イメージ図として図 2.3 に示す。

図 2.3

個人情報と個人識別符号の例（顔）152.3 要配慮個人情報として取り扱う範囲「個人情報保護法」及び「政令」において、要配慮個人情報は以下のように定義されている。

個人情報保護法第 2 条（第 3 項）

この法律において「要配慮個人情報」とは、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう。

政令

第2条

法第 2 条第 3 項の政令で定める記述等は、次に掲げる事項のいずれかを内容とする記述等（本人の病歴又は犯罪の経歴に該当するものを除く。）とする。
(1) 身体障害、知的障害、精神障害（発達障害を含む。）その他の個人情報保護委員会
規則で定める心身の機能の障害があること。
(2) 本人に対して医師その他医療に関連する職務に従事する者（次号において「医師等」という。）により行われた疾病の予防及び早期発見のための健康診断その他の検査（同号において「健康診断等」という。）の結果(3) 健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導又は診療若しくは調剤が行われたこと。
(4) 本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が行われたこと。
(5) 本人を少年法（昭和 23 年法律第 168 号）第 3 条第 1 項に規定する少年又はその疑いのある者として、調査、観護の措置、審判、保護処分その他の少年の保護事件に関する手続が行われたこと。

また、「通則ガイドライン」において、要配慮個人情報の定義及び取扱いは以下のように記載されている。

16

通則ガイドライン

2-3 要配慮個人情報（法第 2 条第 3 項関係）

「要配慮個人情報」とは、不当な差別や偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして次の（1）から（11）までの記述等が含まれる個人情報をいう。
要配慮個人情報の取得や第三者提供には、原則として本人の同意が必要であり、法第27 条第 2 項の規定による第三者提供（オプトアウトによる第三者提供）は認められていないので、注意が必要である（3-3-2（要配慮個人情報の取得）、3-6-1（第三者提供の制限の原則）、3-6-2（オプトアウトによる第三者提供）参照）。また、要配慮個人情報が含まれる個人データの漏えい等が発生し、又は発生したおそれがある事態が生じた場合には、個人情報保護委員会に報告しなければならない（3-5-3（個人情報保護委員会への報告）参照）。
なお、次に掲げる情報を推知させる情報にすぎないもの（例：宗教に関する書籍の購買や貸出しに係る情報等）は、要配慮個人情報には含まない。

※以下、(7)(8)(9)のみ一部抜粋して掲載する（7）身体障害、知的障害、精神障害（発達障害を含む。）その他の個人情報保護委員会
規則で定める心身の機能の障害があること（政令第 2 条第 1 号関係）
次の①から④までに掲げる情報をいう。この他、当該障害があること又は過去にあったことを特定させる情報（例：障害者の日常生活及び社会生活を総合的に支援するための法律（平成 17 年法律第 123 号）に基づく障害福祉サービスを受けていること又は過去に受けていたこと）も該当する。（※以下、①～④の解説について、一部省略する）①「身体障害者福祉法（昭和 24 年法律第 283 号）別表に掲げる身体上の障害」があることを特定させる情報②「知的障害者福祉法（昭和 35 年法律第 37 号）にいう知的障害」があることを特定
させる情報

③

「精神保健及び精神障害者福祉に関する法律（昭和 25 年法律第 123 号）にいう精神障害（発達障害者支援法（平成 16 年法律第 167 号）第 2 条第 1 項に規定する発達障害を含み、知的障害者福祉法にいう知的障害を除く。）」があることを特定させる情報④「治療方法が確立していない疾病その他の特殊の疾病であって障害者の日常生活及び社会生活を総合的に支援するための法律第 4 条第 1 項の政令で定めるものによる障17

害の程度が同項の厚生労働大臣が定める程度であるもの」があることを特定させる情報（8）本人に対して医師その他医療に関連する職務に従事する者（次号において「医師等」という。）により行われた疾病の予防及び早期発見のための健康診断その他の検査（同号において「健康診断等」という。）の結果（政令第 2 条第 2 号関係）（※）
疾病の予防や早期発見を目的として行われた健康診査、健康診断、特定健康診査、健康測定、ストレスチェック、遺伝子検査（診療の過程で行われたものを除く。）等、受診者本人の健康状態が判明する検査の結果が該当する。
具体的な事例としては、労働安全衛生法（昭和 47 年法律第 57 号）に基づいて行われた健康診断の結果、同法に基づいて行われたストレスチェックの結果、高齢者の医療の確保に関する法律（昭和 57 年法律第 80 号）に基づいて行われた特定健康診査の結果等が該当する。また、法律に定められた健康診査の結果等に限定されるものではなく、人間ドッ
ク等保険者や事業主が任意で実施又は助成する検査の結果も該当する。さらに、医療機関を介さないで行われた遺伝子検査により得られた本人の遺伝型とその遺伝型の疾患へのか
かりやすさに該当する結果等も含まれる。なお、健康診断等を受診したという事実は該当しない。
なお、身長、体重、血圧、脈拍、体温等の個人の健康に関する情報を、健康診断、診療等の事業及びそれに関する業務とは関係ない方法により知り得た場合は該当しない。

（9）健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導又は診療若しくは調剤が行われたこと（政令第 2 条第 3 号関係）（※）
「健康診断等の結果に基づき、本人に対して医師等により心身の状態の改善のための指導が行われたこと」とは、健康診断等の結果、特に健康の保持に努める必要がある者に対し、医師又は保健師が行う保健指導等の内容が該当する。
指導が行われたことの具体的な事例としては、労働安全衛生法に基づき医師又は保健師により行われた保健指導の内容、同法に基づき医師により行われた面接指導の内容、高齢者の医療の確保に関する法律に基づき医師、保健師、管理栄養士により行われた特定保健指導の内容等が該当する。また、法律に定められた保健指導の内容に限定されるものではなく、保険者や事業主が任意で実施又は助成により受診した保健指導の内容も該当する。

18

なお、保健指導等を受けたという事実も該当する。
健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により診療が行われたこと」とは、病院、診療所、その他の医療を提供する施設
において診療の過程で、患者の身体の状況、病状、治療状況等について、医師、歯科医師、薬剤師、看護師その他の医療従事者が知り得た情報全てを指し、例えば診療記録等がこれに該当する。また、病院等を受診したという事実も該当する。
「健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により調剤が行われたこと」とは、病院、診療所、薬局、その他の医療を提供する施設において調剤の過程で患者の身体の状況、病状、治療状況等について、薬剤師（医師又は歯科医師が自己の処方箋により自ら調剤する場合を含む。
）が知り得た情報全てを指し、調剤録、薬剤服用歴、お薬手帳に記載された情報等が該当する。また、薬局等で調剤を受けたという事実も該当する。
なお、身長、体重、血圧、脈拍、体温等の個人の健康に関する情報を、健康診断、診療等の事業及びそれに関する業務とは関係のない方法により知り得た場合は該当しない。

（※）遺伝子検査により判明する情報の中には、差別、偏見につながり得るもの（例：将来発症し得る可能性のある病気、治療薬の選択に関する情報等）が含まれ得るが、当該情報は、「本人に対して医師その他医療に関連する職務に従事する者により行われた疾病の予防及び早期発見のための健康診断その他の検査の結果」（政令第 2 条第 2 号関係）又は「健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導又は診療若しくは調剤が行われたこと」（政令
第 2 条第 3 号関係）に該当し得る。

よって、生体情報を取得する過程で「心身の機能の障害があること」「受診者本人の健康状態が判明する検査の結果」「差別、偏見につながり得るもの」が明らかになる可能性がある場合、該当する生体情報は要配慮個人情報として取り扱う範囲に含まれると考えられる。
具体的には、ウェアラブルデバイスや映像等により生体情報を取得する場合は、「身長、体重、血圧、脈拍、体温等の個人の健康に関する情報を、健康診断、診療等の事業及びそれに関する業務とは関係ない方法により知り得た場合」に当てはまると考えられるため、要配慮個人情報には該当しないと考えられる。ただし、健康診断等で得られた情報を取得する場
合は「受診者本人の健康状態が判明する検査の結果」の活用に当てはまると考えられるため、要配慮個人情報に該当すると考えられる。

19

また、たとえば宗教的理由等により、食事内容や医療措置に制限がある場合（特定の食物の摂取禁止、輸血禁止等）についても、その情報を教育機関及び調査研究団体側から公的に調査し入手した場合は、要配慮個人情報として取り扱う必要があると考えられる。ただし任意回答で本人から自己申告があった場合は要配慮個人情報には当たらないと考えられる。
個人情報と要配慮個人情報の例を、イメージ図として図 2.4 に示す。

図 2.4

個人情報と要配慮個人情報の例（健康情報）

なお、要配慮個人情報は取得及び第三者提供に原則として「本人の同意」が必要となり、
オプトアウトによる第三者提供は認められないため、取扱いには注意が必要である。詳しくは 2.5 章にて述べる。

20

2.4 個人関連情報として取り扱う範囲「個人情報保護法」及び「通則ガイドライン」において、個人関連情報は以下のように記載されている。

個人情報保護法第 2 条（第 7 項）

この法律において「個人関連情報」とは、生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものをいう。

通則ガイドライン

2-8 個人関連情報（法第 2 条第 7 項関係）

「個人に関する情報」とは、ある個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表す全ての上方である。「個人に関する情報」のうち、氏名、生年月日
その他の記述等により特定の個人を識別することができるものは、個人情報に該当するため、個人関連情報には該当しない。
また、統計情報は、特定の個人との対応関係が排斥されている限りにおいては、「個人に関する情報」に該当するものではないため、個人関連情報にも該当しない。

【個人関連情報に該当する事例（※）】
事例 1）Cookie 等の端末識別子を通じて収集された、ある個人のウェブサイトの閲覧履歴事例 2）特定の個人を識別できないメールアドレス（abc_123@example.com 等のようにメールアドレス単体で、特定の個人のメールアドレスであることが分からないような場合等）に結び付いた、ある個人の年齢・性別・家族構成等
事例 3）ある個人の商品購買履歴・サービス利用履歴
事例 4）ある個人の位置情報
事例 5）ある個人の興味・関心を示す情報（※）個人情報に該当する場合は、個人関連情報に該当しないことになる。例えば、一般的に、ある個人の位置情報それ自体のみでは個人情報には該当しないものではあるが、個人に関する位置情報が連続的に蓄積される等して特定の個人を識別することができる場合には、個人情報に該当し、個人関連情報には該当しないことになる。

21

よって、本ガイドラインが対象とするスタディ・ログの中で、個人関連情報に該当するものは以下の通りであると考えられる。たとえば、学習者の端末から収集された学習履歴で特定の個人を識別することはできないものや、特定の個人を識別できない学習者のメールアド
レス等が、個人関連情報に当たると考えられる。

ある学習者に関する情報であり、特定の個人を識別することはできないもの

ある教員に関する情報であり、特定の個人を識別することはできないもの

その情報単体では特定の個人を識別することはできなくても、その個人に関する情報が連続的に蓄積される等して、特定の個人を識別することができる場合には、個人関連情報ではなく個人情報に該当するため、注意が必要である。

個人関連情報については、第三者提供の制限等が個人情報保護法にて定められているため、取扱いには注意が必要である。詳しくは 2.5 章にて述べる。
なお仮名加工情報・匿名加工情報については、別冊「教育ビッグデータに関する仮名加
工・匿名加工ガイドライン」にて述べる。

22

2.5 個人情報取扱事業者等の義務等「個人情報保護法」の 4 章には、個人情報取扱事業者等（個人情報取扱事業者及び個人関連情報取扱事業者）の義務等が定められている。スタディ・ログを取り扱う事業者は、個人情報取扱事業者及び個人関連情報取扱事業者として、「個人情報保護法」の 4 章で定められている義務（16～59 条）を遵守する必要がある。この事業者には、企業、私立学校、国立大学等が含まれる。
このうち国立大学については、従来は独立行政法人等に該当し、「独立行政法人個人情報保護法」を別途参照することとなっていた。しかし、令和 3 年改正個人情報保護法により、独立行政法人等のうち、民間のカウンターパートとの間でデータを利用した共同作業を継続的に行うもの等については、民間事業者と同じ規律を適用することとなった。具体的には、「個人情報保護法」別表第二に記載されている「国立大学法人」「国立研究開発法人」「大学共同利用機関法人」
等は、個人情報取扱事業者等の義務等を遵守することとなった。ただし、学術研究機関等（大学・学会・国立研究開発法人等）が関わる学術研究については、一部の義務が除外となっている。また、保有個人データの開示等や匿名加工情報取扱事業者としての義務等については、行政機関等と同じ義務を遵守することとなっている。

個人情報取扱事業者等の義務等について、「通則ガイドライン」の 3 章の見出しを基に、以下の 9 つの観点で整理した。なお、仮名加工情報取扱事業者・匿名加工情報取扱事業者の義務については、別冊「教育ビッグデータに関する仮名加工・匿名加工ガイドライン」を参照すること。

①

個人情報の利用目的②

不適正利用の禁止③

個人情報の取得④

個人データの管理⑤

個人データの漏えい等の報告等⑥

個人データの第三者への提供⑦

個人関連情報の第三者提供の制限等⑧

保有個人データに関する事項の公表等、開示・訂正等・利用停止等⑨

個人情報の取扱いに関する苦情処理

上記の観点に関連する「個人情報保護法」の主な条文等及び必要な対応について、2.5.1 章

23

～2.5.9 章にそれぞれ示す。詳しくは「個人情報保護法」4 章と、「通則ガイドライン」3 章を参照すること。

2.5.1 個人情報の利用目的【利用目的の特定について】
個人情報保護法第 17 条（第 1 項）

個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的（以下「利用目的」という。）をできる限り特定しなければならない。

個人情報保護法第 17 条（第 2 項）

個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。

通則ガイドライン

3-1-1 利用目的の特定（法第 17 条第 1 項関係）

個人情報取扱事業者は、個人情報を取り扱うに当たっては、利用目的をできる限り具体的に特定しなければならないが、利用目的の特定に当たっては、利用目的を単に抽象的、一般的に特定するのではなく、個人情報が個人情報取扱事業者において、最終的にどのような事業の用に供され、どのような目的で個人情報を利用されるのかが、本人にとって一
般的かつ合理的に想定できる程度に具体的に特定することが望ましい（※1）（※2）。
なお、あらかじめ、個人情報を第三者に提供することを想定している場合には、利用目的の特定に当たっては、その旨が明確に分かるよう特定しなければならない（3-6-1（第三者提供の制限の原則）参照）。

【具体的に利用目的を特定している事例】
事例）事業者が商品の販売に伴い、個人から氏名・住所・メールアドレス等を取得するに当たり、「○○事業における商品の発送、関連するアフターサービス、新商品・サー
ビスに関する情報のお知らせのために利用いたします。」等の利用目的を明示している
場合【具体的に利用目的を特定していない事例】
事例 1）「事業活動に用いるため」

24

事例 2）「マーケティング活動に用いるため」（※1）「利用目的の特定」の趣旨は、個人情報を取り扱う者が、個人情報がどのような事業の用に供され、どのような目的で利用されるかについて明確な認識を持ち、できるだけ具体的に明確にすることにより、個人情報が取り扱われる範囲を確定するとともに、本人の予測を可能とすることである。
本人が、自らの個人情報がどのように取り扱われることとなるか、利用目的から合理的に予測・想定できないような場合は、この趣旨に沿ってできる限り利用目的を特定したことにはならない。
例えば、本人から得た情報から、本人に関する行動・関心等の情報を分析する場合、個人情報取扱事業者は、どのような取扱いが行われているかを本人が予測・想定できる程度に利用目的を特定しなければならない。

【本人から得た情報から、行動・関心等の情報を分析する場合に具体的に利用目的を特定している事例】
事例 1）「取得した閲覧履歴や購買履歴等の情報を分析して、趣味・嗜好に応じた新商品・サービスに関する広告のために利用いたします。」
事例 2）「取得した行動履歴等の情報を分析し、結果をスコア化した上で、当該スコアを第三者へ提供いたします。」（※2）定款等に規定されている事業の内容に照らして、個人情報によって識別される
本人からみて、自分の個人情報が利用される範囲が合理的に予想できる程度に特定されている場合や業種を明示することで利用目的の範囲が想定される場合には、これで足りるとされることもあり得るが、多くの場合、業種の明示だけでは利用目的をできる限り
具体的に特定したことにはならないと解される。なお、利用目的の特定に当たり「○○事業」のように事業を明示する場合についても、社会通念上、本人からみてその特定に資すると認められる範囲に特定することが望ましい。
また、単に「事業活動」、「お客様のサービスの向上」等のように抽象的、一般的な内容を利用目的とすることは、できる限り具体的に特定したことにはならないと解される。

よって、個人情報を取り扱う際には、その利用目的をできる限り具体的に特定する必要がある。

25たとえば、学習履歴情報と成績情報を取得する際は、その利用目的として「学習活動と成績の相関関係を示すダッシュボードを開発し、それを児童生徒が閲覧できるようにすることで、児童生徒の学習活動の振り返りを支援いたします」等、具体的に特定する必要がある。「スタディ・ロ
グに関する調査研究を行うため」「学習支援を行うため」等、あいまいな特定をしないよう注意
しなければならない。
また、個人情報を第三者に提供することを想定している場合には、その旨が明確に分かるよう特定する必要がある（詳しくは 2.5.6 章参照）。最終的にどのような事業の用に供され、どのような目的で個人情報を利用されるのか、その個人情報を利用したい理由に応じて具体的に特定しなければならない。

【利用目的による制限について】
個人情報保護法第 18 条（第 1 項）

個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。

個人情報保護法第 18 条（第 2 項）

個人情報取扱事業者は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。

個人情報保護法第 18 条（第３項）

前二項の規定は、次に掲げる場合については、適用しない。
(1) 法令（条例を含む。以下この章において同じ。）に基づく場合(2) 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
(3) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
(4) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
(5) 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人情報を学

26

術研究の用に供する目的（以下この章において「学術研究目的」という。）で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
(6)学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場
合を除く。）

よって、個人情報を取り扱う際には、あらかじめ本人の同意を得ないで、利用目的の達成に必要な範囲を超えて、個人情報を取り扱わないように注意する必要がある。
ただし、学術研究機関等が学術研究目的で個人情報を取り扱う場合等で、個人の権利利益を不当に侵害するおそれがない場合については、例外となっている。

「学術研究機関等」及び「学術研究」については、「通則ガイドライン」において、以下のように記載されている。
通則ガイドライン

2-18「学術研究機関等」（法第 16 条第 8 項関係）

「学術研究機関等（※1）」とは、大学その他の学術研究（※2）を目的とする機関若し
くは団体又はそれらに属する者をいう。
「大学その他の学術研究を目的とする機関若しくは団体」とは、国立・私立大学、公益法人等の研究所等の学術研究を主たる目的として活動する機関や「学会」をいい、「それらに属する者」とは、国立・私立大学の教員、公益法人等の研究所の研究員、学会の会員等をいう。
なお、民間団体付属の研究機関等における研究活動についても、当該機関が学術研究を主たる目的とするものである場合には、「学術研究機関等」に該当する。
一方で、当該機関が単に製品開発を目的としている場合は「学術研究を目的とする機関
又は団体」には該当しないが、製品開発と学術研究の目的が併存している場合には、主たる目的により判断する。
（※1）国立の大学等、法別表第 2 に掲げる法人のうち、学術研究機関等にも該当する
ものについては、原則として私立の大学、民間の学術研究機関等と同等の規律が適用される。
（※2）「学術研究」については、2－19（学術研究目的）を参照のこと。

27

通則ガイドライン

2-19「学術研究目的」「学術」とは、人文・社会科学及び自然科学並びにそれらの応用の研究であり、あらゆ
る学問分野における研究活動及びその所産としての知識・方法の体系をいい、具体的活動としての「学術研究」としては、新しい法則や原理の発見、分析や方法論の確立、新しい知識やその応用法の体系化、先端的な学問領域の開拓などをいう。
なお、製品開発を目的として個人情報を取り扱う場合は、当該活動は、学術研究目的とは解されない。

よって、学術研究機関等には、大学や学会等だけではなく、民間団体付属の研究機関等も含まれる。ただし、当該機関が単に製品開発を目的としている場合は、学術研究目的とはいえず、学術研究機関等に該当しないことに留意する必要がある。

2.5.2 不適正利用の禁止
個人情報保護法第 19 条

個人情報取扱事業者は、違法又は不当な行為を助長し、又は誘発するおそれがある方法
により個人情報を利用してはならない。

通則ガイドライン

3-2 不適正利用の禁止（法第 19 条関係）

【個人情報取扱事業者が違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用している事例】
事例 4）個人情報を提供した場合、提供先において法第 27 条第 1 項に違反する第三者
提供がなされることを予見できるにもかかわらず、当該提供先に対して、個人情報を提供する場合

よって、個人情報を利用する場合には、不適正な利用とならないよう注意する必要がある。特に個人情報を第三者に提供する際には、個人情報保護法で定めらえた条文に違反しないか注意
しつつ提供先に提供する必要がある（詳しくは 2.5.6 章及び 2.5.7 章）参照）。

28

2.5.3 個人情報の取得【要配慮個人情報の取得及び本人同意について】
個人情報保護法第 20 条（第 2 項）

個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。
(1) 法令に基づく場合(2) 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
(3) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
(4) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
(5) 当該個人情報取扱事業者が学術研究機関等である場合であって、当該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
(6)学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個人
情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場
合に限る。）(7) 当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、第 57
条第 1 項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されている
場合(8) その他前各号に掲げる場合に準ずるものとして政令で定める場合

よって、要配慮個人情報を取得する際には、あらかじめ本人の同意を得なければいけない。
ただし、学術研究機関等が学術研究目的で要配慮個人情報を取り扱う場合や、学術研究機関等
から学術研究目的で要配慮個人情報を取得する場合（その個人情報取扱事業者と学術研究機関等が共同して学術研究を行う場合に限る）等で、個人の権利利益を不当に侵害するおそれがない
場合については、例外となっている。

29

なお「本人の同意」については、「通則ガイドライン」において、以下のように記載されている。

通則ガイドライン

2-16「本人の同意」「本人の同意」とは、本人の個人情報が、個人情報取扱事業者によって示された取扱方
法で取り扱われることを承諾する旨の当該本人の意思表示をいう（当該本人であることを確認できていることが前提となる。）。
また、「本人の同意を得（る）」とは、本人の承諾する旨の意思表示を当該個人情報取扱事業者が認識することをいい、事業の性質及び個人情報の取扱状況に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法によらなければならない。
なお、個人情報の取扱いに関して同意したことによって生ずる結果について、未成年者、成年被後見人、被保佐人及び被補助人が判断できる能力を有していない等の場合は、親権者や法定代理人等から同意を得る必要がある。

【本人の同意を得ている事例】
事例 1）本人からの同意する旨の口頭による意思表示
事例 2）本人からの同意する旨の書面（電磁的記録を含む。）の受領
事例 3）本人からの同意する旨のメールの受信事例 4）本人による同意する旨の確認欄へのチェック
事例 5）本人による同意する旨のホームページ上のボタンのクリック
事例 6）本人による同意する旨の音声入力、タッチパネルへのタッチ、ボタンやスイッチ等による入力

よって、児童生徒から本人の同意を得る際、その生徒が未成年者に当たる場合は、親権者や法定代理人等（保護者）から同意を得る必要がある。
なお未成年者の定義については、民法の成年年齢を 20 歳から 18 歳に引き下げること等を内容とする民法の一部を改正する法律が、令和 4 年 4 月 1 日から施行されている。そのため民法に沿う形であれば、本人から同意を得るケースと、親権者や法定代理人等（保護者）から同意を得るケースが、高校 3 年生などにおいて混在することに留意すること。

30

【個人情報取得時の利用目的の通知・公表について】
個人情報保護法第 21 条（第 1 項）

個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。

個人情報保護法第 21 条（第 2 項）

個人情報取扱事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電磁的記録を含む。以下この項において同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。

よって、個人情報を取得した場合は、その利用目的を本人（保護者）に通知または公表する必要がある。なお「本人に通知」及び「公表」については、「通則ガイドライン」において、以下のように記載されている。

通則ガイドライン2-14「本人に通知」「本人に通知」とは、本人に直接知らしめることをいい、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならない。

【本人への通知に該当する事例】
事例 1）ちらし等の文書を直接渡すことにより知らせること。
事例 2）口頭又は自動応答装置等で知らせること。
事例 3）電子メール、FAX 等により送信し、又は文書を郵便等で送付することにより知らせること。

通則ガイドライン

2-15

「公表」

「公表」とは、広く一般に自己の意思を知らせること（不特定多数の人々が知ることができるように発表すること）をいい、公表に当たっては、事業の性質及び個人情報の取扱状況に応じ、合理的かつ適切な方法によらなければならない。

31

【公表に該当する事例】
事例 1）自社のホームページのトップページから 1 回程度の操作で到達できる場所への掲載
事例 2）自社の店舗や事務所等、顧客が訪れることが想定される場所におけるポスター
等の掲示、パンフレット等の備置き・配布
事例 3）（通信販売の場合）通信販売用のパンフレット・カタログ等への掲載

よって、通知及び公表を行う際は、「通則ガイドライン」に示されているような事例に則り、
紙文書・口頭・電子媒体等を用いて、合理的かつ適切な方法で行う必要がある。

2.5.4 個人データの管理
個人情報保護法第 22 条

個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。

個人情報保護法第 23 条

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。

個人情報保護法第 24 条

個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。

個人情報保護法第 25 条

個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

32よって、個人データを取り扱う際には、適切な安全管理措置、従業者の監督、委託先の監督の義務を果たす必要がある。これについては 3 章にて具体的に述べる。
なお、個人データとは「個人情報データベース等を構成する個人情報」のことを指す。（「個人情報保護法」第 16 条第 3 項参照）

2.5.5 個人データの漏えい等の報告等
個人情報保護法第 26 条

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。ただし、当該個人情報取扱事業者が、他の個人情報取扱事業又は行政機関等から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知したときは、この限りでない。

規則

第7条

法第 26 条第 1 項本文の個人の権利利益を害するおそれが大きいものとして個人情報保
護委員会規則で定めるものは、次の各号のいずれかに該当するものとする。
(1)要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下この条及び次条第 1 項において同じ。）の漏えい、滅失若しくは毀損（以下「漏えい等」という。）が発生し、又は発生したおそれがある事態(2)不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態(3)不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態(4)個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態

よって、万が一、個人データの漏えい、滅失、毀損等が起こり、上記規則で定められた個人の33

権利利益を害するおそれが大きい事態が発生してしまった場合は、個人情報保護委員会に報告する必要がある。たとえば、2.3 章で示したような要配慮個人情報がスタディ・ログに含まれており、その個人データが漏えい、滅失、毀損してしまった場合等が、これに該当する。

2.5.6 個人データの第三者への提供
個人情報保護法第 27 条（第 1 項）

個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
(1) 法令に基づく場合(2) 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
(3) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
(4) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
(5) 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。）。
(6) 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データを学術研究目的で提供する必要があるとき（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該第三者が共同して学術研究を行う場合に限る。）。
(7) 当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

よって、個人データを第三者に提供する際は、あらかじめ本人の同意（保護者の同意）を得る
必要がある。
本人の同意については、個人情報提供の任意性について、厳しく問われる可能性がある。具体34

的には、学校と児童生徒（保護者）の立場や力関係を考えると、一律の情報提供に協力せよといった形で同意を取得してしまうと、その同意自体が無効になる可能性がある。よって、「個人情報の提供は、あくまでも任意であること」を強調し、「個人情報を提供しない場合も、児童生徒に不利益は生じないことを示す必要がある」旨も、合わせて記載することが望ましい。
なお「本人の同意」の手続きについては 2.5.3 章に前述している。また、2.5.1 章に前述した通り、個人情報を第三者に提供することを想定している場合には、その旨が明確に分かるよう利用目的を特定する必要がある。

このように、個人データを第三者に提供する際は、あらかじめ本人の同意を得ることが原則となっているが、学術研究機関等が学術研究の成果の公表・教授のためにやむを得ず提供する場合
や、提供元が学術研究機関等でありかつ提供先と共同研究を行っている場合、提供先が学術研究機関等である場合で、個人の権利利益を不当に侵害するおそれがない場合については、例外となっている。
また、「個人情報保護法」第 27 条第 1 項（1）～（7）は、第三者提供に当たるものの、あらかじめ本人の同意を得なくて良い例外事項であるが、以下に示す第 27 条第 5 項（1）～（3）のように、そもそも第三者に該当しないため、あらかじめ本人の同意を得なくて良い事例もある。

個人情報保護法第 27 条（第 5 項）

次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用については、第三者に該当しないものとする。
(1) 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合(2) 合併その他の事由による事業の承継に伴って個人データが提供される場合(3) 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範
囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。

スタディ・ログを用いた調査研究においては、(1)委託 (3)共同利用 に該当しうるケースも考えられる。なお「委託」及び「共同利用」については、「通則ガイドライン」において、以下のように記載されている。

35

通則ガイドライン

3-6-3

第三者に該当しない場合（法第 27 条第 5 項・第 6 項関係）

(1)委託（法第 27 条第 5 項第 1 号関係）
利用目的の達成に必要な範囲内において、個人データの取扱いに関する業務の全部又は一部を委託することに伴い、当該個人データが提供される場合は、当該提供先は第三者に該当しない。この場合、当該提供先は、委託された業務の範囲内でのみ、本人との関係において提供主体である個人情報取扱事業者と一体のものとして取り扱われることに合理性があるため、委託された業務以外に当該個人データを取り扱うことはできない。
なお、個人情報取扱事業者には、法第 25 条により、委託先に対する監督責任が課される（3-4-4（委託先の監督）参照）。

事例 1）データの打ち込み等、情報処理を委託するために個人データを提供する場合
事例 2）百貨店が注文を受けた商品の発送のために、宅配業者に個人データを提供する
場合

通則ガイドライン

3-6-3

第三者に該当しない場合（法第 27 条第 5 項・第 6 項関係）

(3)共同利用（法第 27 条第 5 項第 3 号関係）
特定の者との間で共同して利用される個人データを当該特定の者に提供する場合であって、次の①から⑤までの情報を、提供に当たりあらかじめ本人に通知し、又は本人が容易に知り得る状態に置いているときには、当該提供先は、本人から見て、当該個人データを当初提供した事業者と一体のものとして取り扱われることに合理性があると考えられることから、第三者に該当しない。
（一部省略）
また、既に特定の事業者が取得している個人データを他の事業者と共同して利用する場
合には、当該共同利用は、社会通念上、共同して利用する者の範囲や利用目的等が当該個人データの本人が通常予期し得ると客観的に認められる範囲内である必要がある。その上で、当該個人データの内容や性質等に応じて共同利用の是非を判断し、既に取得している事業者が法第 17 条第 1 項の規定により特定した利用目的の範囲で共同して利用しなければならない。

①共同利用をする旨②共同して利用される個人データの項目
事例 1）氏名、住所、電話番号、年齢36

事例 2）氏名、商品購入履歴③共同して利用する者の範囲「共同利用の趣旨」は、本人から見て、当該個人データを提供する事業者と一体のものとして取り扱われることに合理性がある範囲で、当該個人データを共同して利用することである。したがって、共同利用者の範囲については、本人がどの事業者まで将来利用されるか判断できる程度に明確にする必要がある。なお、当該範囲が明確である限りにおいては、必ずしも事業者の名称等を個別に全て列挙する必要はないが、本人がどの事業者まで利用されるか判断できるようにしなければならない。
④利用する者の利用目的
共同して利用する個人データについて、その利用目的を全て、本人に通知し、又は本人が容易に知り得る状態に置いていなければならない。なお、利用目的が個人データの項目
によって異なる場合には、当該個人データの項目ごとに利用目的を区別して記載することが望ましい。
⑤当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあたっては、その代表者の氏名「個人データの管理について責任を有する者」とは、開示等の請求及び苦情を受け付け、その処理に尽力するとともに、個人データの内容等について、開示、訂正、利用停止等の権限を有し、安全管理等個人データの管理について責任を有する者をいう。なお、ここでいう「責任を有する者」とは、共同して利用する全ての事業者の中で、第一次的に苦情の受付・処理、開示・訂正等を行う権限を有する者をいい、共同利用者のうち一事業者の内部の担当責任者をいうものではない。また、個人データの管理について責任を有する者は、利用目的の達成に必要な範囲内において、共同利用者間で利用している個人データを正確かつ最新の内容に保つよう努めなければならない（3-4-1（データ内容の正確性の確保等）参照）。

よって、利用目的の達成に必要な範囲内において業務を委託する場合や、必要な情報をあらか
じめ本人に通知し又は本人が容易に知り得る状態に置いて共同利用を行う場合は、提供先の事
業者は第三者に該当しない（提供元である個人情報取扱事業者と一体のものとして扱われる）ため、あらかじめ本人の同意を得る必要はないと考えられる。
しかし、共同利用は「社会通念上、共同して利用する者の範囲や利用目的等が当該個人データの本人が通常予期し得ると客観的に認められる範囲内である必要がある」という制約があり、認められるかどうかの判断が難しい場面もあると考えられる。共同利用として認められる範囲内

37

かどうか判断が難しい場合は、第三者提供として本人の同意をあらかじめ取得することで、安全に個人情報を取り扱うことが望ましい。
なお、以下に示す「個人情報保護法」第 27 条第 2 項の手続きに従い、オプトアウトによる第三者提供の方法を選ぶことにより、あらかじめ本人の同意を得ることなく、個人データを第三者に提供することも可能である。その代わり、第三者提供に関する情報（「個人情報保護法」第 27条第 2 項にて定められている項目）をあらかじめ本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出ることが必要であり、かつ要配慮個人情報等についてはオプトアウトによる第三者提供は認められないため、注意が必要である。

個人情報保護法第 27 条（第 2 項）

個人情報取扱事業者は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。ただし、第三者に提供される個人データが要配慮個人情報又は第 20 条第 1 項の規定に違反して取得されたもの若しくは他の個人情報取扱事業者からこの項本文の規定により提供されたもの（その全部又は一部を複製し、又は加工したものを含む。）である場
合は、この限りでない。
(1) 第三者への提供を行う個人情報取扱事業者の氏名又は名称及び住所並びに法人にあたっては、その代表者（法人ではない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人。以下この条、第 30 条第 1 項第 1 号及び第 32 条第 1 項第 1号において同じ。）の氏名(2) 第三者への提供を利用目的とすること。
(3) 第三者に提供される個人データの項目(4) 第三者に提供される個人データの取得の方法(5) 第三者への提供の方法(6) 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。
(7) 本人の求めを受け付ける方法(8) その他個人の権利利益を保護するために必要なものとして個人情報委員会規則で定める事項

38なお教育機関は、児童生徒の個人データを収集し、適切に管理する立場にある。そのため、たとえ本人の同意を得られたとしても、例外事項に当たるとしても、学校の外部に児童生徒の個人データを提供する場合は、それが児童生徒本人の利益に該当するかどうかという観点から、慎重に検討する必要があることに留意したい。

2.5.7 個人関連情報の第三者提供の制限等
個人情報保護法第 31 条（第 1 項）

個人関連情報取扱事業者は、第三者が個人関連情報（個人関連情報データベース等を構成するものに限る。以下この章及び第六章において同じ。）を個人データとして取得することが想定されるときは、第 27 条第 1 項各号に掲げる場合を除くほか、次に掲げる事項
について、あらかじめ個人情報保護委員会規則で定めるところにより確認することをしな
いで、当該個人関連情報を当該第三者に提供してはならない。
(1) 当該第三者が個人関連情報取扱事業者から個人関連情報の提供を受けて本人が識別される個人データとして取得することを認める旨の当該本人の同意が得られていること。
(2) 外国にある第三者への提供にあっては、前号の本人の同意を得ようとする場合において、個人情報保護委員会規則で定めるところにより、あらかじめ、当該外国における個
人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報が当該本人に提供されていること。

通則ガイドライン

3-7-1

法第 31 条の適用の有無について

法第 31 条第 1 項は、個人関連情報取扱事業者による個人関連情報の第三者提供一般に適用されるものではなく、提供先の第三者が個人関連情報を「個人データとして取得することが想定されるとき」に適用されるものである。そのため、個人関連情報の提供を行う
個人関連情報取扱事業者は、提供先の第三者との間で、提供を行う個人関連情報の項目
や、提供先の第三者における個人関連情報の取扱い等を踏まえたうえで、それに基づいて
法第 31 条第 1 項の適用の有無を判断する。

よって、提供元では個人関連情報（特定の個人を識別することができない情報）に該当するものの、提供先において個人データ（特定の個人を識別することができるデータ）となることが想定される情報の第三者提供については、あらかじめ本人の同意（保護者の同意）を得る必要があ39

る。そのため、個人関連情報の提供を行う際には、提供元は、提供する個人関連情報の項目や、提供先における個人関連情報の取扱い等を踏まえたうえで、本人の同意を取るべきか否か（提供先で個人データとなることが想定されるか否か）を判断しなければならない。
なお、個人データとして取得することが想定される具体的な事例については、以下が考えられる。ID 等を用いて他の個人データ等と紐づけることで個人の識別を行う場合などが該当する。

通則ガイドライン

3-7-1-2 「想定される」について(1)「個人データとして取得する」ことを現に想定している場合
提供元の個人関連情報取扱事業者が、提供先の第三者において個人データとして取得することを現に認識している場合をいう。

【現に想定している場合に該当する例】
事例 1）提供元の個人関連情報取扱事業者が、顧客情報等の個人データを保有する提供先の第三者に対し、ID 等を用いることで個人関連情報を個人データと紐付けて取得することが可能であることを説明している場合
事例 2）提供元の個人関連情報取扱事業者が、提供先の第三者から、個人関連情報を受領した後に個人データと紐付けて取得することを告げられている場合(2)「個人データとして取得する」ことを通常想定できる場合
提供元の個人関連情報取扱事業者において現に想定していない場合であっても、提供先の第三者との取引状況等の客観的事情に照らし、一般人の認識を基準に通常想定できる場合には、「想定される」に該当する。

【通常想定できる場合】
事例）個人関連情報を提供する際、提供先の第三者において当該個人関連情報を氏名等と紐づけて利用することを念頭に、そのために用いる ID 等も併せて提供する場合（※）ここでいう「一般人の認識」とは、同種の事業を営む事業者の一般的な判断力・理解力を前提とする認識をいう。

また、個人関連情報を個人データとして取得することを想定した場合の、「本人の同意」の取得方法及びその確認方法については、以下のように定められている。

40

通則ガイドライン

3-7-2-2 同意を取得する主体

法第 31 条第 1 項第 1 号の「本人の同意」を取得する主体は、本人と接点を持ち、情報を利用する主体となる提供先の第三者であるが、同等の本人の権利利益の保護が図られる
ことを前提に、同意取得を提供元の個人関連情報取扱事業者が代行することも認められる。
提供先の第三者による同意取得の場合であっても、提供元の個人関連情報取扱事業者による同意取得の代行の場合であっても、個人関連情報の提供を受けて個人データとして取得する主体、対象となる個人関連情報の項目、個人関連情報の提供を受けて個人データとして取得した後の利用目的等について、本人が認識できるようにする必要がある。

規則

第 26 条（第 1 項）

法第 31 条第 1 項の規定による同項第 1 号に掲げる事項の確認を行う方法は、個人関連情報の提供を受ける第三者から申告を受ける方法その他の適切な方法とする。

よって、「本人の同意」の取得は、個人データを取り扱う提供先の事業者が行うか、もしくは提供元の個人関連情報取扱事業者が代行することが認められる。「本人の同意」の取得の具体的なフローについては、提供先で同意取得する場合と、提供元で同意取得する場合について、それぞれ通則ガイドラインに、次のように図示されている。

41

通則ガイドライン【付録】個人関連情報の第三者提供につき、提供先で同意取得する場合の一般的なフロー

通則ガイドライン【付録】個人関連情報の第三者提供につき、提供元で同意取得する場合の一般的なフロー

42

2.5.8 保有個人データに関する事項の公表等、開示・訂正等・利用停止等
個人情報保護法第 32 条（第 1 項）

個人情報取扱事業者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。
(1) 当該個人情報取扱事業者の氏名又は名称(2) 全ての保有個人データの利用目的（第 21 条第 4 項第 1 号から第 3 号までに該当する場合を除く。）(3) 次項の規定による求め又は次条第 1 項（同条第 5 項において準用する場合を含
む。）、第 34 条第 1 項若しくは第 35 条第 1 項、第 3 項若しくは第 5 項の規定による請求に応じる手続（第 38 条第 2 項の規定により手数料の額を定めたときは、その手数料の額を含む。）(4) 前三号に掲げるもののほか、保有個人データの適正な取扱いの確保に関し必要な事項として政令で定めるもの

政令第 10 条

法第 32 条第 1 項第 4 号の政令で定めるものは、次に掲げるものとする。
(1) 法第 23 条の規定により保有個人データの安全管理のために講じた措置（本人の知りえる状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。）(2) 当該個人情報取扱事業者が行う保有個人データの取扱いに関する苦情の申出先(3) 当該個人情報取扱事業者が認定個人情報保護団体の対象事業者である場合にあっては、当該認定個人情報保護団体の名称及び苦情の解決の申出先

個人情報保護法第 33 条（第 1 項）

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの開示を請求することができる。

個人情報保護法第 34 条（第 1 項）

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの内容が事実でないときは、当該保有個人データの内容の訂正、追加又は削除（以下この条において「訂正等」という。）を請求することができる。

43

個人情報保護法

第 35 条（第 1 項）

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第 18 条
若しくは第 19 条の規定に違反して取り扱われているとき、又は第 20 条の規定に違反して取得されたものであるときは、当該保有個人データの利用の停止又は消去（以下この条において「利用停止等」という。）を請求することができる。

よって、保有個人データの利用目的及びその取扱いに関する苦情の申出先等について、本人の知り得る状態に置く必要がある。また、本人から保有個人データ開示・訂正等・利用停止等を求められた際は、「個人情報保護法」第 33 条～第 35 条の第 2 項以降の条文等に従い、それぞれ適切な対応を行う必要がある。
なお、保有個人データとは「個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの
以外のもの」のことを指す。（「個人情報保護法」第 16 条第 4 項参照）

ただし、「個人情報保護法」別表第二に記載されている「国立大学法人」「国立研究開発法人」「大学共同利用機関法人」等は、本 2.5.8 章で示した義務等については適用されない旨が、第
58 条第 1 項にて以下の通り示されている。保有個人データの開示等に関する義務については、
国立大学法人等は、行政機関等と同じ規律を適用されることとなる。詳しくは 2.6.8 章を参照すること。

個人情報保護法第 58 条（第 1 項）

個人情報取扱事業者又は匿名加工情報取扱事業者のうち次に掲げる者については、第32 条から第 39 条まで及び第 4 節の規定は、適用しない。
(1)別表第二に掲げる法人(2)地方独立行政法人のうち地方独立行政法人法第 21 条第 1 号に掲げる業務を主たる目的とするもの又は同条第 2 号若しくは第 3 号（チに係る部分に限る。）に掲げる業務を目的とするもの44

2.5.9 個人情報の取扱いに関する苦情処理
個人情報保護法第 40 条1. 個人情報取扱事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。
2. 個人情報取扱事業者は、前項の目的を達成するために必要な体制の整備に努めなければならない。

よって、個人情報の取扱いに関する苦情を本人（保護者）から受けた際、その適切かつ迅速な処理を行うための体制の整備を行う必要がある。

45

2.6 行政機関等の義務等「個人情報保護法」の 5 章には、行政機関等の義務等が定められている。スタディ・ログを取り扱う行政機関等は、「個人情報保護法」の 5 章で定められている義務（60～129 条）を遵守する必要がある。この行政機関等には、地方公共団体の機関（議会を除く）が含まれており、すなわち各自治体の教育委員会及びそれに属する公立学校が含まれる。
地方公共団体については、従来は自治体ごとの「個人情報保護条例」を別途参照することとなっていた。しかし令和 3 年改正個人情報保護法により、地方公共団体についても「個人情報保護法」を適用することとなった。ただし、条例による必要最小限の独自の保護措置は許容する形となっている。

行政機関等（地方公共団体（各自治体の教育委員会及びそれに属する公立学校）を含む）の義務等について、以下の 9 つの観点で整理した。なお、仮名加工情報の取扱いに係る義務、及び行
政機関等匿名加工情報の提供等に係る義務については、別冊「教育ビッグデータに関する仮名加
工・匿名加工ガイドライン」を参照すること。

①

個人情報の利用目的②

不適正利用の禁止③

個人情報の取得④

保有個人情報の管理⑤

保有個人情報の漏えい等の報告等⑥

保有個人情報の利用及び提供の制限⑦

個人情報ファイル簿の作成及び公表⑧

保有個人情報の開示・訂正・利用停止の請求⑨

条例による保護措置の許容

上記の観点に関連する「個人情報保護法」の主な条文等及び必要な対応について、2.6.1 章～2.6.9 章にそれぞれ示す。詳しくは「個人情報保護法」5 章と、「行政機関等ガイドライン」4 章、9 章、11 章を参照すること。

46

2.6.1 個人情報の利用目的
個人情報保護法第 61 条（第 1 項）

行政機関等は、個人情報を保有するに当たっては、法令（条例を含む。第 66 条第 2 項
第 3 号及び第 4 号、第 69 条第 2 項第 2 号及び第 3 号並びに第 4 号において同じ。）の定める所掌事務又は業務を遂行するために必要な場合に限り、かつ、その利用目的をできる限り特定しなければならない。

個人情報保護法第 61 条（第 2 項）

行政機関等は、前項の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を保有してはならない。

個人情報保護法第 61 条（第 3 項）

行政機関等は、利用目的を変更する場合には、変更前の利用目的と相当の関連性を有す
ると合理的に認められる範囲を超えて行ってはならない。

よって、個人情報を保有する際には、法令（条例を含む）で定められた業務等を遂行するために必要な場合に限り、かつその利用目的をできる限り具体的に特定する必要がある。

2.6.2 不適正利用の禁止
個人情報保護法第 63 条

行政機関の長（第 2 条第 8 項第 4 号及び第 5 号の政令で定める機関にあっては、その機関ごとに政令で定める者をいう。以下この章及び第 174 条において同じ。）、地方公共団体の機関、独立行政法人等及び地方独立行政法人（以下この章及び次章において「行政機関の長等」という。）は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。

よって、個人情報を利用する場合には、違法または不当な行為を助長・誘発するおそれがある方法で利用しないよう注意する必要がある。

47

2.6.3 個人情報の取得
個人情報保護法第 62 条

行政機関等は、本人から直接書面（電磁的記録を含む。）に記録された当該本人の個人情報を取得するときは、次に掲げる場合を除き、あらかじめ、本人に対し、その利用目的を明示しなければならない。
(1) 人の生命、身体又は財産の保護のために緊急に必要があるとき。
(2) 利用目的を本人に明示することにより、本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがあるとき。
(3) 利用目的を本人に明示することにより、国の機関、独立行政法人等、地方公共団体
又は地方独立行政法人が行う事務又は事業の適正な遂行に支障を及ぼすおそれがあるとき。
(4) 取得の状況からみて利用目的が明らかであると認められるとき。

個人情報保護法第 64 条

行政機関の長等は、偽りその他不正の手段により個人情報を取得してはならない。

よって、個人情報を直接書面（電磁的記録を含む。）から取得する際には、あらかじめ本人
に対して利用目的を明示する必要がある。ただし、取得の状況からみて利用目的が明らかであると認められるときなどについては、例外となっている。
なお、不正の手段により個人情報を取得することは禁止されている。

2.6.4 保有個人情報の管理
個人情報保護法第 66 条（第 1 項）

行政機関の長等は、保有個人情報の漏えい、滅失又は毀損の防止その他の保有個人情報の安全管理のために必要かつ適切な措置を講じなければならない。

個人情報保護法第 67 条

個人情報の取扱いに従事する行政機関等の職員若しくは職員であった者、前条第二項各号に定める業務に従事している者若しくは従事していた者又は行政機関等において個人情報の取扱いに従事している派遣労働者（労働者派遣事業の適正な運営の確保及び派遣労働者の保護等に関する法律（昭和 60 年法律第 88 号）第 2 条第 2 号に規定する派遣労働者

48をいう。以下この章及び第 176 条において同じ。）若しくは従事していた派遣労働者
は、その業務に関して知り得た個人情報の内容をみだりに他人に知らせ、又は不当な目的に利用してはならない。

よって、保有個人情報を取り扱う際には、適切な安全管理措置を行うと共に、従業者に秘密保持の義務を守らせる必要がある。これについては 3 章にて具体的に述べる。
なお、保有個人情報とは、「行政機関等の職員が職務上作成し、又は取得した個人情報であって、当該行政機関等の職員が組織的に利用するものとして、当該行政機関等が保有しているもの（ただし行政文書、法人文書、地方公共団体等行政文書に記録されているものに限る）」のことを指す。（「個人情報保護法」第 60 条第 1 項参照）

2.6.5 保有個人情報の漏えい等の報告等
個人情報保護法第 68 条（第 1 項）

行政機関の長等は、保有個人情報の漏えい、滅失又は毀損の防止その他の保有個人情報の安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。

よって、万が一、保有個人情報の漏えい、滅失、毀損等が起こり、個人の権利利益を害するおそれが大きい事態が発生してしまった場合は、個人情報保護委員会に報告する必要がある。

2.6.6 保有個人情報の利用及び提供の制限【利用及び提供について】
個人情報保護法第 69 条（第 1 項）

行政機関の長等は、法令に基づく場合を除き、利用目的以外の目的のために保有個人情報を自ら利用し、又は提供してはならない。

個人情報保護法第 69 条（第 2 項）

前項の規定にかかわらず、行政機関の長等は、次の各号のいずれかに該当すると認める
ときは、利用目的以外の目的のために保有個人情報を自ら利用し、又は提供することがで49

きる。ただし、保有個人情報を利用目的以外の目的のために自ら利用し、又は提供することによって、本人又は第三者の権利利益を不当に侵害するおそれがあると認められるときは、この限りでない。
(1) 本人の同意があるとき、又は本人に提供するとき。
(2) 行政機関等が法令の定める所掌事務又は業務の遂行に必要な限度で保有個人情報を内部で利用する場合であって、当該保有個人情報を利用することについて相当の理由があるとき。
(3) 他の行政機関、独立行政法人等、地方公共団体の機関又は地方独立行政法人に保有
個人情報を提供する場合において、保有個人情報の提供を受ける者が、法令の定める事務又は業務の遂行に必要な限度で提供に係る個人情報を利用し、かつ、当該個人情報を利用することについて相当の理由があるとき。
(4) 第 3 号に掲げる場合のほか、専ら統計の作成または学術研究の目的のために保有個人情報を提供するとき、本人以外の者に提供することが明らかに本人の利益になるとき、その他保有個人情報を提供することについて特別の理由があるとき。

よって、法令（条例を含む）に基づく場合以外で、利用目的以外の目的のために、保有個人情報を自ら利用または提供しないよう注意する必要がある。
ただし、本人の同意（保護者の同意）がある場合や本人に提供する場合、行政機関等が業務等に必要な限度で内部利用しかつ相当の理由がある場合、そのような用途で利用する他の行政機関等に提供する場合、統計作成や学術研究のために提供する場合、本人以外の者に提供することが明らかに本人の利益になる場合、その他特別の理由がある場合については、例外となっている。

【利用及び提供の条件について】
個人情報保護法第 69 条（第 3 項）

前項の規定は、保有個人情報の利用又は提供を制限する他の法令の規定の適用を妨げる
ものではない。

個人情報保護法第 69 条（第 4 項）

行政機関の長等は、個人の権利利益を保護するため特に必要があると認めるときは、保有個人情報の利用目的以外の目的のための行政機関等の内部における利用を特定の部局若
しくは機関又は職員に限るものとする。

50よって、保有個人情報の利用又は提供については、他の法令の規定を適用することができる。
また、個人の権利利益を保護するため、必要に応じて利用者を制限することができる。

【提供先における適切な管理について】
個人情報保護法第 70 条

行政機関の長等は、利用目的のために又は前条第 2 項第 3 号若しくは第 4 号の規定に基づき、保有個人情報を提供する場合において、必要があると認めるときは、保有個人情報の提供を受ける者に対し、提供に係る個人情報について、その利用の目的若しくは方法の制限その他必要な制限を付し、又はその漏えいの防止その他の個人情報の適切な管理のために必要な措置を講ずることを求めるものとする。

個人情報保護法第 72 条

行政機関の長等は、第三者に個人関連情報を提供する場合（当該第三者が当該個人関連情報を個人情報として取得することが想定される場合に限る。）において、必要があると認めるときは、当該第三者に対し、提供に係る個人関連情報について、その利用の目的若
しくは方法の制限その他必要な制限を付し、又はその漏えいの防止その他の個人関連情報の適切な管理のために必要な措置を講ずることを求めるものとする。

よって、保有個人情報を提供する際は、必要に応じて、提供先に対して利用目的・方法等の制限を付すことや、漏えい防止等の適切な管理のために必要な措置を講ずることを求めることができる。
また、提供元では個人関連情報（特定の個人を識別することが出来ない情報）に該当する情報が、提供先では個人情報（特定の個人を識別することができる情報）として取得されることが想定される場合についても、提供先に対して同様の措置を講ずることを求めることができる。

2.6.7 個人情報ファイル簿の作成及び公表
個人情報保護法第 60 条（第 2 項）

この章及び第 8 章において「個人情報ファイル」とは、保有個人情報を含む情報の集合物であって、次に掲げる者をいう。
(1)一定の事務の目的を達成するために特定の保有個人情報を電子計算機を用いて検索

51

することができるように体系的に構成したもの(2)前号に掲げるもののほか、一定の事務の目的を達成するために氏名、生年月日、その他の記述等により特定の保有個人情報を容易に検索することができるように体系的に構成したもの

個人情報保護法第 74 条（第１項）

行政機関（会計検査院を除く。以下この条において同じ。）が個人情報ファイルを保有しようとするときは、当該行政機関の長は、あらかじめ、個人情報保護委員会に対し、次に掲げる事項を通知しなければならない。通知した事項を変更しようとするときも、同様とする。
(1)個人情報ファイルの名称(2)当該機関の名称及び個人情報ファイルが利用に供される事務をつかさどる組織の名
称(3)個人情報ファイルの利用目的(4)個人情報ファイルに記録される項目（以下この節において「記録項目」という。）
及び本人（他の個人の氏名、生年月日その他の記述等によらないで検索し得る者に限る。
次項第九号において同じ。）として個人情報ファイルに記録される個人の範囲（以下この節において「記録範囲」という。）(5)個人情報ファイルに記録される個人情報（以下この節において「記録情報」という。）の収集方法(6)記録情報に要配慮個人情報が含まれるときは、その旨(7)記録情報を当該機関以外の者に経常的に提供する場合には、その提供先(8)次条第 3 項の規定に基づき、記録項目の一部若しくは第五号若しくは前号に掲げる事項を次条第一項に規定する個人情報ファイル簿に記載しないこととするとき、又は個人情報ファイルを同項に規定する個人情報ファイル簿に掲載しないこととするときは、その旨(9)第 76 条第 1 項、第 90 条第 1 項又は第 98 条第 1 項の規定による請求を受理する組織の名称及び所在地(10)第 90 条第 1 項ただし書又は第 98 条第 1 項ただし書に該当するときは、その旨(11)その他政令で定める事項

52

個人情報保護法

第 75 条（第 1 項）

行政機関の長等は、政令で定めるところにより、当該行政機関の長等の属する行政機関等が保有している個人情報ファイルについて、それぞれ前条第 1 項第 1 号から第 7 号まで、第 9 号及び第 10 号に掲げる事項その他政令で定める事項を記載した帳簿（以下この章において「個人情報ファイル簿」という。）を作成し、公表しなければならない。

個人情報保護法第 75 条（第 4 項）

地方公共団体の機関又は地方独立行政法人についての第 1 項の規定の適用については、
同項中「定める事項」とあるのは、「定める事項並びに記録情報に条例要配慮個人情報が含まれている時は、その旨」とする。

個人情報保護法第 75 条（第 5 項）

前各項の規定は、地方公共団体の機関又は地方独立行政法人が、条例で定めるところにより、個人情報ファイル簿とは別の個人情報の保有の状況に関する事項を記載した帳簿を作成し、公表することを妨げるものではない。

よって、行政機関等は、個人情報ファイルを保有するときはあらかじめ個人情報保護委員会に通知するとともに、必要な事項を記載した帳簿（個人情報ファイル簿）を作成し公表しなければならない。
なお、個人情報ファイル簿に記載する事項については、条例要配慮個人情報を含むときはその旨を追記することが含まれる。また、条例で定めるところにより、個人情報ファイル簿とは別の帳簿を作成し公表することも可能となっている。条例による保護措置については、詳しくは
2.6.9 章にて述べる。

2.6.8 保有個人情報の開示・訂正・利用停止の請求
個人情報保護法第 76 条（第 1 項）

何人も、この法律の定めるところにより、行政機関の長等に対し、当該行政機関の長等の属する行政機関等の保有する自己を本人とする保有個人情報の開示を請求することができる。

53

個人情報保護法

第 90 条（第 1 項）

何人も、自己を本人とする保有個人情報（次に掲げるものに限る。第 98 条第 1 項において同じ。）の内容が事実でないと思料するときは、この法律の定めるところにより、当該保有個人情報を保有する行政機関の長等に対し、当該保有個人情報の訂正（追加又は削除を含む。以下この節において同じ。）を請求することができる。ただし、当該保有個人情報の訂正に関して他の法律又はこれに基づく命令の規定により特別の手続きが定められている時は、この限りでない。
(1)開示決定に基づき開示を受けた保有個人情報(2)開示決定に係る保有個人情報で合って、第 88 条第 1 項の他の法令の規定により開示を受けたもの

個人情報保護法第 98 条（第 1 項）

何人も、自己を本人とする保有個人情報が次の各号のいずれかに該当すると思料するときは、この法律の定めるところにより、当該保有個人情報を保有する行政機関の長等に対し、当該各号に定める措置を請求することができる。ただし、当該保有個人情報の利用の停止、消去又は提供の停止（以下この節において「利用停止」という。）に関して他の法律又はこれに基づく命令の規定により特別の手続きが定められていると気は、この限りでない。
(1)第 61 条第 2 項の規定に違反して保有されているとき、第 63 条の規定に違反して取り扱われているとき、第 64 条の規定に違反して取得されたものであるとき、又は第 69
条第 1 項及び第 2 項の規定に違反して利用されている時、当該保有個人情報の利用の停止又は消去(2)第 69 条第 1 項及び第 2 項又は第 71 条第 1 項の規定に違反して提供されているとき、当該保有個人情報の提供の停止

よって、行政機関等は、本人から保有個人情報の開示・訂正・利用停止等を求められた際は、「個人情報保護法」第 76 条～第 103 条の各条文等に従い、それぞれ適切な対応を行う必要がある。
また、「個人情報保護法」別表第二に記載されている「国立大学法人」「国立研究開発法人」「大学共同利用機関法人」等についても、保有個人情報の開示等については、行政機関等と同じ義務等が適用される。

54

2.6.9 条例による保護措置の許容【条例要配慮個人情報】
個人情報保護法第 60 条（第 5 項）

この章において、「条例要配慮個人情報」とは、地方公共団体の機関又は地方独立行政法人が保有する個人情報（要配慮個人情報を除く。）のうち、地域の特性その他の事情に応じて、本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして地方公共団体が条例で定める記述等が含まれる個人情報をいう。

行政機関等ガイドライン

4-2-6 条例要配慮個人情報

地方公共団体の機関又は地方独立行政法人についても、法第 2 条第 3 項に規定する要配慮個人情報の定義及び関係する規律が適用されるが、これとは別に、条例において上記の記述等を規定することができる。
なお、条例において上記の記述等を規定する場合には、委員会に事前に相談することが望ましい。
（一部省略）
なお、条例要配慮個人情報となる記述等を条例で規定する場合であっても、当該条例要配慮個人情報に係る条例の規定は、当該条例を定めた地方公共団体及び当該地方公共団体が設立する地方独立行政法人が保有する個人情報にのみ適用されることとなる。
また、条例要配慮個人情報について、法に基づく規律を超えて地方公共団体による取得や提供等に関する固有のルールを付加したり、個人情報取扱事業者等における取扱いに固有のルールを設けることは、法の趣旨に照らしできない。

よって、地方公共団体等が保護する独自の情報として、「条例要配慮個人情報」を条例で定めることができる。
ただし規定にあたっては、地方公共団体等から個人情報保護委員会に事前に相談することが推奨されている点や、法に基づく規律を超えて固有のルールを付加したり、個人情報取扱事業者
等における取扱いに固有のルールを設けることは、法の趣旨に照らしできないと定められていることに留意すること。
なお、個人情報ファイルに「条例要配慮個人情報」を含むときは、個人情報ファイル簿にその旨を追記することが、個人情報保護法第 75 条第 4 項にて求められている。

55

【審議会等への諮問】
個人情報保護法第 129 条地方公共団体の機関は、条例で定めるところにより、第 3 章第 3 節の施策を講ずる場
合その他の場合において、個人情報の適正な取り扱いを確保するため専門的な知見に基づく意見を聴くことが特に必要であると認めるときは、審議会その他の合議制の機関に諮問することができる。

行政機関等ガイドライン

9-4 地方公共団体に置く審議会等への諮問「特に必要な場合」とは、個人情報保護制度の運用やその在り方についてサイバーセキ
ュリティに関する知見等の専門的知見を有する者の意見も踏まえた審議が必要であると合理的に判断される場合をいう。

この点、個人情報の取得、利用、提供、オンライン結合等について、類型的に審議会等への諮問を要件とする条例を定めてはならない。
令和 3 年改正法では、社会全体のデジタル化に対応した個人情報の保護とデータ流通の両立の要請を踏まえて、地方公共団体の個人情報保護制度についても、法の規律を適用して解釈を委員会が一元的に担う仕組みが確立されたところ、地方公共団体の機関において、個別の事案の法に照らした適否の判断について審議会等への諮問を行うことは、法の規律と解釈の一元化という令和３年改正法の趣旨に反するものである。
なお、法及びガイドライン等の適正な運用をもって個人情報の保護が図られることとな
ることに加え、地方公共団体は、法第 166 条の規定に基づき、専門性を有する委員会に助言を求めることも可能であることから、個別の事案について重ねて審議会等の意見を聴くことが必要となる場面は少なくなると考えられる。

なお、令和 3 年改正法の施行前の条例に基づく審議会等による答申を根拠とした運用については、令和 3 年改正法の施行後においては、改正後の法に則ったものであるか否かにつき再整理した上で、法の規定に従い適切な取扱いを確保する必要がある。

よって、個人情報の適正な取り扱いの確保のため、審議会その他の合議制の機関に諮問することは可能であるが、専門的な知見（サイバーセキュリティに関する知見等）に基づく意見を聴くことが特に必要である場合のみに限られている。加えて、個人情報の取得、利用、提供、オンラ
イン結合等について、類型的に審議会等への諮問を要件とする条例を定めてはならないと述べ

56

られており、個別の事案について審議会等への諮問を行うことは、令和 3 年改正法の趣旨に違反する、と述べられている。そのため、令和 3 年改正法の施行前は、個人情報保護条例に基づき審議会等に諮問していた事項も、今後は諮問する機会は少なくなり、令和 3 年改正法の基準に統一されることに留意する必要がある。

【条例への委任規定が設けられている事項】
行政機関等ガイドライン

11 条例との関係

令和 3 年改正法は、活発化する官民や地域の枠を超えたデータ利活用に対応するため、別個の法律や条例による規律により生じていた旧法制の不均衡・不整合を是正し、個人情報等の適正な取扱いのために必要な全国的な共通ルールを法律で設定することを目的としている。
こうした令和 3 年改正法の趣旨を踏まえて、法においては、条例で定めることが想定される次の事項について、委任規定が設けられている。
・開示等請求における手数料（法第 89 条第 2 項）
・行政機関等匿名加工情報の利用に関する契約における手数料（法第 119 条第 3 項及び第 4 項）

また、条例による独自の保護措置に関する規定である法第 60 条第 5 項（条例要配慮個人情報）を含む次の規定において、一定の事項について条例で定めることが許容されている。
・「条例要配慮個人情報」の内容（同項）・個人情報取扱事務登録簿の作成・公表に係る事項（法第 75 条第 5 項）・開示等請求における不開示情報の範囲（法第 78 条第 2 項）
・開示請求等の手続（法第 107 条第 2 項及び第 108 条）
・個人情報の適正な取扱いを確保するため専門的な知見に基づく意見を聴くことが特に必要があると認めるときの審議会等への諮問（法第 129 条）

一方、個人情報保護やデータ流通について直接影響を与えるような事項であって、法に委任規定が置かれていないもの（例：オンライン結合に特別の制限を設ける規定、個人情報の取得を本人からの直接取得に限定する規定）について、条例で独自の規定を定めることは許容されない。
ただし、単なる内部の手続に関する規律にすぎない事項など、個人情報保護やデータ流57通に直接影響を与えない事項については、条例で独自の規定を置くことも考えられる。
また、法と重複する内容の規定を条例で定めることは、同一の取扱いについて適用されるべき規定が法と条例とに重複して存在することとなるため、法の解釈運用を委員会が一元的に担うこととした令和 3 年改正法の趣旨に照らし、許容されない。

法第 167 条第 1 項の規定により、地方公共団体の長は、個人情報の保護に関する条例を定めたときは、遅滞なく、その旨及びその内容を委員会に届け出なければならない。委員会への届出が必要な条例については、10‐5（条例の届出）も参照のこと。

よって、条例要配慮個人情報の内容や、特に必要があると認めるときの審議会等への諮問等については、条例への委任規定が設けられているものや、一定の事項について条例で定めることが許容されているものもある。そのため、地方公共団体は、個人情報保護法の義務を遵守することを前提としつつ、条例についても独自で定められている規定等がないか、合わせて確認することが望ましい。
なお、個人情報保護やデータ流通について直接影響を与えるような事項であって法に委任規定が置かれていないものや、法と重複する内容の規定を、条例で定めることは許容されていない。
また、地方公共団体等が、個人情報の保護に関する条例を定めたときは、遅滞なく、その旨及びその内容を委員会に届け出なければならない点に留意する必要がある。

58

3. スタディ・ログの保管における安全管理措置
3.1 安全管理措置に関する基本的な考え方
調査研究団体が他の調査研究団体にスタディ・ログを提供して共に調査研究を行う場合に、データ提供及び契約の形として想定される主なパターンを、図 3.1 に示す。このような手続きで取得したスタディ・ログを保管するに当たり、調査研究団体及び教育機関には、適切な安全管理措置が求められる。特に個人情報取扱事業者は、2.5.4 章で述べた通り、適切な安全管
理措置、従業者の監督、委託先の監督の義務を果たす必要がある（個人情報保護法第 23 条、
24 条、25 条参照）。

図 3.1

スタディ・ログを共有して調査研究を行う場合の主なパターン

本章では、スタディ・ログとして生体データ（健康情報・生体情報）も取り扱うことを想定しているため、医療におけるパーソナルデータをクラウドサービス事業者で安全に取り扱うことを定めている「クラウドサービス事業者が医療情報を取り扱う際の安全管理に関するガイドライン第 1 版」（総務省、平成 30 年 7 月）※等の先行事例を参考にして、調査研究
団体（本章ではクラウドサービス事業者等の民間企業を主に想定）が行うべき、主な安全管

59

理対策を取りまとめた。具体的な対策について、組織的・物理的・技術的・人的・その他の
5 つの観点に基づき、3.2 章～3.6 章に記載する。
なお、教育機関が行うべき安全管理対策については、各教育委員会・学校における教育情報セキュリティ対策基準及び実施手順を参照することが望ましい。主な安全管理対策については、「教育情報セキュリティポリシーに関するガイドライン」（文部科学省、令和 4 年 3月改訂版）を参照すると良い。
また、仮名加工情報・匿名加工情報を取り扱う場合については、別冊「教育ビッグデータ
に関する仮名加工・匿名加工ガイドライン」を参照すること。

※「クラウドサービス事業者が医療情報を取り扱う際の安全管理に関するガイドライン第1 版」（総務省、平成 30 年 7 月）については、「医療情報を取り扱う情報システム・サー
ビスの提供事業者における安全管理ガイドライン」へと改訂されたものが令和 2 年 8 月に公表されたため、そちらについても参考とした。また、「通則ガイドライン」に掲載されている「（別添）講ずべき安全管理措置の内容」についても参考とした。加えて、教育機関がク
ラウドサービスを利用する際のクラウド利用者及びクラウド事業者の安全管理措置等について記載されている「教育情報セキュリティポリシーに関するガイドライン」（文部科学省、
令和 4 年 3 月改訂版）や、ISMS 認証（JISQ27017）についても参考とした。

3.2 組織的安全管理対策
組織的安全管理対策においては、以下の 3 つの観点に基づく対応が、調査研究団体に求められると考えられる。
●組織･体制の整備●運用管理規程の整備●運用管理規程に基づく文書類の整備
上記の観点に基づく具体的な要求事項について、以下の（ア）～（エ）に示す。

(ア) 組織･体制の整備についての要求事項<1>組織・体制の整備①

調査研究に関わるサービスの提供についての管理責任を有する責任者を設置する。

②

情報システムについての管理責任を負い、これについて十分な技術的能力及び経験を有する責任者（システム管理者）を60

設置する。
※十分な技術的能力及び経験には、例えば情報処理安全確保支援士等の情報セキュリティに関する資格を有し、情報セキ
ュリティに係る技術的対策の実務を一定年数以上経験していること等が想定される。
③

サービスの提供に係る情報システムの運用に関する事務を統括する責任者を設置する。

④①から③に掲げた責任者の任命･解任等のルールを策定する。

(イ) クラウドサービスの提供契約についての要求事項<1>守秘義務①

サービスに係る情報及び受託した情報に関する守秘義務について、サービス提供に係る契約に含める。契約には、守秘義務に違反したクラウドサービス事業者にはペナルティが課されること、及び委託した情報の取扱いに対する教育機関等による監督に関する内容を含める<2>運用規程等の遵守①

サービス提供に係る契約において、次項(ウ)<1>に定める運用管理規程等の内容、その他最新の関連法令等（当該サービスに関係する日本国外の法令を含む）を遵守し、安全管理措置を実施する旨を明らかにする。

(ウ) 運用管理規程についての要求事項<1>基本方針と管理目①

的の表明※組織的安全管理対策

調査研究団体は、自団体における個人情報保護指針、プラ
イバシーポリシー等について明確にする。

②①の指針等には個人情報保護法及び個人情報保護委員会のを行うにあたり、前提

ガイドラインに定める安全管理措置等を実施する旨を含めとして要求される事項

る。

に当たる

③

情報セキュリティに関する基本方針、運用管理規程等の情報セキュリティポリシーを策定する。

④

情報セキュリティポリシーの遵守を担保する組織体制の構
築とその文書化を行う。

⑤

情報セキュリティポリシーについて、教育機関等と合意す61

る。なお、教育機関等を対象とした情報セキュリティポリ
シーが各自治体において策定されている場合は、その内容と整合性を図ることに留意する必要がある。
<2>サービス提供先の①体制

サービスの提供に係る体制を、緊急時の対応も含めて明確にする。

②

サービスの提供に係る体制等に関する情報（再委託による体制に関する情報を含む）の開示等について、教育機関等と合意する。

<3>契約書・マニュア①

ル等の文書の管理

情報セキュリティに関する基本方針や運用管理規程等、重要な文書の作成や管理に関する規程を策定し、これに基づき文書の管理を行う。

②

サービスの運用や資源管理に関して、適切に文書化を行い、セキュリティ情報として管理する。

③

サービスの運用等に係るマニュアル等の文書管理に関して、開示可能範囲、開示に必要な条件等について、教育機関等と合意する。

④

スタディ・ログの管理状況に関係する資料の提供について、教育機関等と合意する。

<4>リスクの発現の予①

防、発生時の対応の方
法

サービスに係るリスクの分析を行い、必要な対応措置等を講じる旨を定める。

②

サービスに係るリスク分析の結果、対応措置及び事故等の発生時の対応等について、教育機関等と合意する。

<5>機器を用いる場合①

機器等の管理方法について、文書化を行う。

の機器等の管理②

機器等について、台帳管理等により所在確認等を行う旨を定める。

③

機器等の管理等に関する自団体の運用規程について、教育機関等と合意する。

<6>個人情報の記録媒①

体の管理方法個人情報を記録した媒体の管理等に関する運用規程を策定する。

②

個人情報を記録した媒体の管理等に関する運用規程について、教育機関等と合意する。

<7>本人（保護者）へ①

教育機関等で本人（保護者）への説明及び同意を得る際の62

の説明と同意を得る方

調査研究団体の情報提供に関して、その提供範囲や調査研

法究団体が担う役割等について、教育機関等と合意する。

※個人情報保護に関する手続きに当たる<8>監査①

サービスを提供する情報システム、組織体制、運用等に関する監査の方針、内容等について明文化を行う。

②

第三者が提供するクラウドサービスを利用する場合については、これに対する監査又は代替する対応についての方
針、内容を明確にする。

③

監査実施について記録し、当該記録の保存･管理方法を明確にする。

④

調査研究団体において実施する情報システム監査等について、教育機関等と合意する。

⑤

教育機関等に開示する監査記録等の範囲･条件等について、教育機関等と合意する。

<9>苦情･質問の受け付①

け窓口の設置※個人情報保護に関す教育機関等の管理者からの問合せ窓口を設ける。また受付の時間帯等について、教育機関等と合意する。

②

る手続きに当たる

調査研究団体で契約した第三者が提供するクラウドサービ
スを利用してサービスを提供する場合でも、教育機関等からの問合せ窓口を一元化する。

(エ) 運用管理規程に基づく文書類の整備についての要求事項<1>アクセス管理規程①の策定

調査研究団体における情報システムへのアクセス権限、
アカウント管理、認証及びアクセス等に対する記録の収集と保存、並びにアクセス管理の運用状況に関する定期的なレビューの実施等を内容とするアクセス管理規程を
策定する。

②

サービスの提供に係るアクセス記録（外部からのアクセス、利用者によるアクセス等を含む）の保存、記録の定期的なレビューと改善を実施する旨を内容とするアクセス管理規程を策定する。

<2>運用規程等の遵守①

スタディ・ログの取扱いに関する委託契約に、以下の内63

容を含める。
●個人情報に関して、他の情報と区別して適切に管理を行う。

3.3 物理的安全管理対策
物理的安全管理対策においては、以下の 3 つの観点に基づく対応が、調査研究団体に求められると考えられる。
●サービスに供する機器、媒体等の設置場所等における対策●個人情報が参照可能な運用端末等の設置場所等における対策●個人情報が格納されている機器や媒体に対する対策
上記の観点に基づく具体的な要求事項について、以下の（ア）～（ウ）に示す。

(ア) サービスに供する機器、媒体等の設置場所等における物理的安全管理対策としての要求事
項<1>施錠管理①

サービスに供する機器、媒体等の設置場所等のセキュリ
ティ境界について、施錠管理を行う。

※調査研究団体がサー②

バを自ら運用する場合を想定

サービスに供するサーバ等を格納するラック等について、施錠管理を行う。

③

サービスに供する媒体等を格納するキャビネット等について、施錠管理を行う。

<2>アクセス制御①

サービスに供する機器や媒体の設置場所については、許可された者のみが入退できるように制限する。

②

サービスに供する機器や媒体の設置場所への入退状況の管理（入退記録のレビュー含む）は定期的に行う。

③

サービスに供する機器や媒体の設置場所等のセキュリティ境界への入退管理については、個人認証システム等による制御に基づいて行い、入退者の特定ができるようにする。これによることが難しい場合には、例えば、入退に必要な暗証番号等の変更を週単位で行う等、入退者を特定しうる方策を講じる。

④

サービスに供する機器や媒体の設置場所への不明者の入64

退を発見するために、入退者に名札等の着用を義務付ける。
⑤

サービスに供する機器や媒体の設置場所には、業務遂行に関係のない個人的所有物の持ち込みを制限する。

⑥

サービスに供する機器や媒体の保存場所（ラック、保管庫含む）の外部から、取り扱う情報の種類、システムの機能等が識別できるような情報が見えないようにする。

<3>サービスに供する⑦①～⑥につき、運用管理規程等に規定する。

①

サービスに供する機器や媒体を物理的に保存するための機器や媒体を保存する

施設は、災害（地震、水害、落雷、火災等並びにそれに施設

伴う停電等）に耐えうる機能･構造を備え、災害による障
害（結露等）について対策が講じられている建築物に設置する。

<4>カメラによる監視②①の施設を設置する建築物は、教育機関等と合意する。

①

サービスに供する機器等が保存されている建物、部屋への不正な侵入を防ぐため、防犯カメラ、自動侵入監視装置等を設置する。

②

防犯カメラ等の監視映像は記録し、期間を定めて管理を行い、必要に応じて事後参照できる措置を講じる。

③

サービスに供する機器、媒体等が物理的に保存されている場所に、監視カメラ等を設置し、その記録を保存し、状況を確認することで、不正な入退者がないことを確認する。

(イ) 個人情報が参照可能な運用端末等に対する物理的安全管理対策としての要求事項<1>覗き見等の防止①

個人情報の表示中の覗き見を予防するために、運用端末に覗き見対策のシートを貼る等の対策を行う。

②

運用中の画面が、運用者以外の者の視野に入らないような対応等を行う。

(ウ) 個人情報が格納されている機器、媒体に対する物理的安全管理対策としての要求事項<1>機器･媒体等の盗①

個人情報が物理的に保存されている機器や媒体は、サー65

難･紛失防止ビスの提供及び運用上、必要最低限とし、定期的に所在確認や棚卸し等を行う。
②

個人情報が存在する PC 等の重要な機器には、盗難防止用チェーンを取り付ける。

③

受託する個人情報を運用や保守に用いる端末に保存しない旨、調査研究団体の運用管理規程等に定める。

3.4 技術的安全管理対策
技術的安全管理対策においては、以下の 8 つの観点に基づく対応が、調査研究団体に求められると考えられる。
●利用者の識別及び認証●情報の区分管理とアクセス権限の管理●アクセスの記録（アクセスログ）●不正ソフトウェア対策●サービス利用に係る機器等（無線 LAN、IoT 機器）のセキュリティ対策●ソフトウェア･機器の品質管理●応答時間に関する対応●スタディ・ログ等の保存
上記の観点に基づく具体的な要求事項について、以下の（ア）～（ケ）に示す。

(ア) 利用者の識別及び認証に対する要求事項<1>利用者の識別①

情報システムの利用者を特定し識別できるように、アカウ
ントの発行を行う（複数の利用者による ID の共同利用は行わない。ただし当該情報システムが他の情報システムを利用するための ID（non interactive ID）は除く）。

②

利用者のなりすまし等を防止するための認証を行う。

③

利用者には、教育機関等においてサービスを利用する者のほか、情報システムの運用若しくは開発に従事する者又は管理者権限を有する者も含める。

④

情報システムの運用若しくは開発に従事する者又は管理者権限を有する者に対する ID の発行は必要最小限とし、定66

期的な棚卸しを行う。
<2>複数要素認証への①

対応

情報システムの運用若しくは開発に従事する者又は管理者権限を有する者の情報システム利用に係る認証は、2 要素
認証以上の認証強度のある方法による。

②

利用者の認証で採用する認証方式について、教育機関等と
合意する。

③

利用者の認証において、固定式の ID･パスワードによる認証方式を採用している場合には、固定式の ID･パスワード
のみに頼らない認証方式の採用に対応しうる機能を備えるよう努める。

④

利用者の認証に際して、何らかの物理的な媒体･身体情報等を必要とする場合に、例外的にそれらの媒体等がなくても一時的に認証するための代替的手段･手順を事前に定める。

⑤

代替的手段･手順を用いるケースにおいては、本来の利用者の認証方法による場合とのリスクの差が最小となるようにする。

⑥

代替的手段･手順により、情報システム利用を行った場合でも、事後の追跡を可能とする記録を行い、これを管理する。

⑤

その他、一時的な利用者の認証方法について、教育機関等と合意する。

<3>本人識別のために①

本人の識別･認証に、ユーザ ID とパスワードを組み合わせ

パスワードを設定するて用いる場合には、それらを、本人しか知り得ない状態に時のルール保つよう対策を行う。具体的には以下のような対策を行う。
●利用者に対して初期パスワードを発行した場合、最初の利用時にそのパスワードを変更しないと情報システムにア
クセスできないにようにする。
●初期パスワード以外のパスワードは、利用者本人に設定させるとともに、利用者本人しか知りえない内容を設定するよう求める。
●パスワードの設定に際しては、複数の文字種（英数字･大67

文字･小文字･記号等）を用い、また、8 文字以上等、十分に安全な長さの文字列等から構成されるルールとする。
②

パスワード認証に係る以下のルールを実現する措置を講じる。
●パスワード入力が不成功に終わった場合の再入力に対して一定の不応時間を設定する。
●パスワード再入力の失敗が一定回数を超えた場合は再入力を一定期間受け付けない仕組みとする。

③

パスワードには十分な安全性を満たす有効期間を設定する。ただし、利用者が教職員及び生徒である場合には、他のサービスで利用しているパスワードを使わないよう特に促すだけでなく、サービス提供側から教職員及び生徒に対して定期的なパスワードの変更を要求しないようにする。

④

認証に際して ID 及びパスワードによらない場合でも、上記と同等以上の安全性を確保する。

<4>パスワードの管理①

利用者のパスワードは、ハッシュ値での保存を行う等、暗号化して管理する。

②

サービスを提供する製品等の導入に際しては、初期パスワードを変更するだけでなく、アカウントの棚卸しを行い、不要なものについては削除を行う。

③

利用者が ID やパスワードを失念した場合には、予め策定した手順（本人確認を含む）に則り、本人への通知又は再発行を行う。

④

パスワード等の情報の漏えいが生じた場合（不正な第三者からの攻撃による場合を含む）には、直ちに当該 ID を無効化し、予め策定した手順に基づき、新規のログイン情報の再発行を行い、利用者に速やかに通知する。

⑤

パスワード等の情報の漏えいのおそれがある場合、利用者本人にその事実を通知した上で、当該パスワードを無効化
し、変更できるような対応を講じる。

⑥

利用者が設定するパスワードについては、第三者から容易に推定されにくい内容を含む品質基準を策定し、これに基68

づく運用を行う。
⑦

利用者のパスワードの世代管理を行い、パスワード変更に際して、安全性を確保するために必要な範囲で、過去に設定したパスワードを設定できないような運用を行う。

⑧

利用者のパスワードポリシーについて、教育機関等と合意する。

(イ) 情報の区分管理とアクセス権限の管理に対する要求事項<1>情報管理区分①

スタディ・ログとそれ以外の情報を区分できる措置を講じる。

②

スタディ・ログについては、情報区分に従ってアクセス制
御を行えるようにする。

③

仮想化技術を用いた資源をサービスに供する場合には、論理的に区分管理を行えることを保証できる措置を講じる。

④

教育機関等による情報資産の区分の設定や、これに対するアクセス制御の設定の対応について、サービス仕様適合開示書に基づき、教育機関等と合意する。

<2>権限設定①

サービスには、調査研究従事者、関係職種ごとにアクセス
権限･範囲等のアクセス制御が可能な機能を含める。

②

教育機関等の利用者の職種等に応じたアクセス制御の設定について教育機関等に示し、教育機関等と必要な協議を行い、実際に設定する作業に関する役割分担も含めて合意する。なお、アクセス制御に係る情報の提供について、教育機関等と合意する。

③

運用管理規程に従い、アクセス管理に関する運用を行い、教育機関等の求めに応じて資料を提出できるようにする。
資料の提供に係る条件等については、教育機関等と合意する。

<3>アクセス対象の設定①

サービスには、受託するスタディ・ログを教職員及び学習者ごとに管理できる機能を含める。

(ウ) アクセス記録（アクセスログ）に対する要求事項

69

<1>アクセス記録の取①

情報システムへのアクセスを記録し、一定期間保存する。

得②

アクセス記録には、アクセスした ID、アクセス時刻、アクセス時間、アクセス対象（情報主体単位）等を含める。

③

アクセス記録の機能を有しない場合には、教育機関等と合意する。

④

取り扱うスタディ・ログに法定保存年限が設けられている
場合、アクセス記録又はこれに代わる記録について、当該法定年限以上の保存期間を設ける。

⑤④で定める法定保存年限が経過したスタディ・ログ及び法
定保存年限が設けられていないスタディ・ログの保存期間について、サービス仕様適合開示書に基づき、教育機関等と合意する。なお、本項におけるアクセス記録の管理方法
については、保存期間を設けた場合には、原則として法定保存年限があるスタディ・ログに準じて取り扱う。

⑥

情報システムの運用若しくは開発に従事する者又は管理者権限を有する者によるアクセスの記録については、定期的なレビューを行い、不正なアクセス等がないことを確認する。

⑦⑥に関する情報の教育機関等への提供について、教育機関等と合意する。

<2>アクセス記録の保①

全のための要件

アクセス記録が保存されている資源に対して、アクセス制
限を行い、不正なアクセスを防止する。

②

アクセス記録の保存に必要な容量を十分確保し、可用性、完全性の確保を図る。

③

アクセス記録を暗号化する、あるいは定期的に追記不能な媒体への記録を行う等、改ざん防止の措置を講じる。

<3>時刻の設定①

アクセス記録の時刻の信頼性を確保するために、情報シス
テムの時刻と、信頼できる機関が提供する標準時刻あるいは同等の時刻情報との同期を日次又はそれよりも多い頻度で行う。

(エ) 端末等に表示されるスタディ・ログの漏えいに対する要求事項

70<1>端末表示からの漏

①

えい対策

サービスの運用･保守端末等に、クリアスクリーン等の防止策を講じることを運用管理規程等に定める。

②

サービスの運用･保守端末等を設置している区域は監視カメ
ラ等により適切に監視を行う。

③

教育機関等に設置されているスタディ・ログの参照等が可
能な利用者端末等に対するクリアスクリーン等の情報漏えい防止策について、教育機関等と合意する。

④

端末又はセッションの乗っ取りのリスクを低減するため、利用者のログオン後に一定の使用中断時間が経過したセッ
ションを遮断する、あるいは強制ログオフを行うことができるようにする。

⑤

教育機関等における利用者端末への④の措置の具体的な適用について、教育機関等と合意する。

(オ) 情報漏えい対策等に対する要求事項<1>ウイルスやマルウ①

ェア等への対策

情報システムの構築に際しては、ウイルスやマルウェア等の混入が生じないようにするための手順を策定し、これに則って構築する。

②

ウイルス対策ソフトのパターン定義ファイルを常に最新のものに更新する。

③

情報システムの構築に際して、外部からプログラムを媒体で持ち込んだりダウンロードしたりする必要がある場合には、必ず事前に最新のウイルス対策ソフト等の導入を行う。また情報システムへの影響度を勘案して、最新のセキュリティパッチの適用を行う。

④

サービス利用環境がウイルス等による攻撃を受けた場合に、サービス提供に係る影響について、速やかに教育機関等に周知し、必要な対応等を求める。

⑤

情報システムの脆弱性に関する情報は、JPCERT コーディ
ネーションセンター（JPCERT/CC）、内閣サイバーセキュ
リティセンター（NISC）、独立行政法人情報処理推進機構（IPA）等の情報源から、定期的及び必要なタイミングで71取得し、確認する。
<2>外部からの攻撃等

①

への対策

外部のネットワークとスタディ・ログを格納する機器との接続に際しては、セキュリティゲートウェイ（ネットワー
ク境界に設置したファイアウォール、ルータ等）を設置して、接続先の限定、接続時間の限定等、確立されたポリシーに基づいて各ネットワークインタフェースのアクセス制
御を行う。

②

教育機関等との接続ネットワーク境界には、侵入検知シス
テム（IDS）、侵入防止システム（IPS）等を導入してネッ
トワーク上の不正なイベントを検出する、あるいは不正な
トラフィックの遮断を行う等の措置を講じる。

③

侵入検知システム等が、常に最新の攻撃･不正アクセスに対応可能なように、シグネチャ･検知ルール等の更新、ソフト
ウェアのセキュリティパッチの適用等を行う。

④

ホスティングの利用時等、ネットワーク境界に装置を設置できない場合は、個々の情報処理装置にて、同様の制御を行う。

(カ) 応答時間に関する要求事項<1>応答時間①

教育機関等がサービスを利用する際の、応答時間（一般的な表示速度、検索結果の表示時間等）について、教育機関等と合意する。

(キ) スタディ・ログ等の保存に対する要求事項<1>保存管理①

各教育機関等が利用可能な、保存可能資源の残量について
は、随時提供できる措置を講じる。

②

教育機関等がサービスを利用する際に、利用可能な資源に係る情報（保存可能容量、利用可能期間、リスク、バック
アップ頻度、バックアップ方法等）について、教育機関等と合意する。

③

情報システムが情報を保存する場所（内部、可搬媒体）、
その場所ごとの保存可能容量、保存可能期間、リスク等を72

運用管理規程等に含める。
④③において、他の事業者が提供するクラウドサービスを利用する場合においても、同様の情報を収集して、対応する。仮想化技術によるクラウドサービスを利用する場合には、クラウドサービス事業者が他の事業者との契約上利用可能な資源に関する情報を確認する。

⑤③により運用管理規程に定める管理方法に関する教育を調査研究従事者等に対して行う。

⑥

サービスに係る委託先に対しても、③の運用管理規程に定める管理方法への対応等を求める。

<2>バックアップルー①

ル

リスク分析結果に基づき情報システムのバックアップを取得する。バックアップの取得対象、取得頻度、保存方法･媒体、管理方法等を定め、その内容を運用管理規程等に含める。

②①に従い取得するバックアップについて、その記録媒体の管理方法に応じて必要な定期的な検査等をおこない、記録
内容の改ざん･破壊等がないことを確認する。

③

記録媒体に格納するバックアップについては、その媒体の特性（テープ／ディスクの別、容量等）を踏まえたバック
アップ内容、使用開始日、使用終了日を明らかにして管理する。

④③の対象となるバックアップの記録媒体につき、使用終了
日が近づいた場合には、終了日以前に、別の媒体等にその内容を複写する。

⑤①～④の手順を運用管理規程等に含め、従業員等及び再委託業者に対して必要な教育を行う。

⑥

バックアップに係る情報の提供について、教育機関等と合意する。

<3>冗長化措置①

情報システム、ネットワーク等に関し、通常の業務等に影響が生じないようサービスの継続に必要な冗長化対策を講じる。

②

診療録等の情報をハードディスク等の記録機器に保存する

73

場合、RAID-1 又は RAID-6 相当以上のディスク障害対策を講じる。
③①を踏まえて、障害等が生じた場合のサービスの継続性を保証する水準について、教育機関等と合意する。

④

障害時等でも業務等が継続できるようにするための教育機
関等の側の代替措置等について、教育機関等と合意する。

<4>毀損した情報の取①

扱い

情報が毀損した場合、速やかに回復するための措置を講じ、その内容･手順等について、運用管理規程等に含める。

②①に示す措置によっても毀損された情報の回復が困難となる場合を想定した対応について、運用管理規程等に含める。

③②で示す場合の、毀損した情報に関する責任の範囲、免責条件等について、教育機関等と合意する。

(ク) ソフトウェア・機器等の品質管理に対する要求事項<1>情報システムに関①するドキュメント作成

情報システムにおける機器及びソフトウェアの構成図を作成する。

②

情報システムのネットワーク構成図を作成する。

③①、②で作成する各構成図に含まれる機器等について、シ
ステム要件等の説明を付した資料を作成する。

④

情報システムを構成する機器及びソフトウェア等の更新の仕様等に関する資料並びにその更新履歴を作成する。

⑤①～④で策定した資料等を教育機関等の求めに応じて提出することについて、開示内容、範囲、条件等を教育機関等と合意する。

<2>品質管理に関する①

運用

サービスに供する機器及びソフトウェアの品質管理に関す
る対応、手順等を運用管理規程等に含める。

②

サービスに供する機器及びソフトウェアの品質管理に関する教育を調査研究従事者等に対して行う。

③

サービスに係る委託先に対して、自社が本ガイドラインの要求事項に対応するために行う品質管理への対応等を求め
る。

74

④

システム構成やソフトウェアの動作状況に関する内部監査の内容、手順等を運用管理規程等に含める。

(ケ) 無線 LAN・IoT 機器の利用に対する要求事項<1>教育機関等におけ①る無線 LAN の利用

スタディ・ログを取り扱うサービスの利用に際して、教育機関等が無線 LAN を利用する場合に必要なセキュリティ対策について、クラウドサービス事業者の役割分担等について、教育機関等と合意する。

<2>IoT 機器を利用し①たサービス提供時

IoT 機器の利用を含むサービスを提供する場合、教育機関等との責任分界について、教育機関等と合意する。

②

IoT 機器の利用を含むサービスを提供する場合、IoT 機器によるスタディ・ログシステムへのアクセス状況を記録し、不正なアクセスがないことを定期的に監視する。

③

IoT 機器の利用を含むサービスを提供する場合、利用が想定される IoT 機器に対する脆弱性に関する情報を定期的に収集し、必要な対策を講じる。

(コ) 機器設定の変更等の制限に関する要求事項<1>機器構成の変更の①

制限

サービスの運用・保守端末等のハードウェアに対し、機器の改造及び増設・交換を、調査研究従事者等が無断で行わないよう、必要な対策を講じる。

<2>無許可ソフトウェ
アの導入等の禁止①

サービスの運用･保守端末等に、調査研究従事者等が無断でソフトウェアを導入することのないよう、また不正にコピーしたソフトウェアを利用することのないよう、必要な対策を講じる。

3.5 人的安全管理対策
人的安全管理対策においては、以下の 2 つの観点に基づく対応が、調査研究団体に求められると考えられる。
●クラウドサービス事業者の調査研究従事者等に対する措置（守秘義務等）●再委託事業者に対する措置

75上記の観点に基づく具体的な要求事項について、以下の（ア）～（イ）に示す。

(ア) 従業者等に対する守秘義務等に関する対応<1>就業開始時におけ①る対応

本調査研究及びそれに関するサービスの提供に従事する要員（被用者、派遣従業者等）については、守秘義務に関する内容を、雇用契約又は派遣契約に含めるか、就業規則等に含める。

<2>就業時における教①

育等<3>退職後の守秘義務

サービスの提供に従事する要員に対して、個人情報保護ポ
リシー及び個人情報の安全管理に関する教育･訓練を行う。

②

この教育･訓練は就業開始時及び就業後定期的に行う。

①

サービスの提供に従事する要員が退職した場合の、就業中等に取り扱った個人情報に関する守秘義務等について、雇用契約又は派遣契約に含めるか、就業規則等に含める。
②

サービスの提供に従事する要員が業務上管理していた個人
情報については、離職時（内部の異動含む）に返却を求め、システム管理者が返却されたことを確認する。

③

サービスの提供に従事する要員の退職時又は契約終了時以降の守秘義務について、上記<2>における教育･訓練に含める。

<4>守秘義務違反者へ

①

の対応措置

上記<1>～<3>に違反した被用者、派遣事業者等に対して、適切なペナルティを課すことを、雇用契約又は派遣契約に含めるか、就業規則等に含める<5>従業者等への教育①

本調査研究及びそれに関するサービスの提供に従事する要状況・守秘義務等の状員に対する教育･訓練の実施状況や、守秘義務等への対応状

況

況等に関する資料の提供について、教育機関等と合意する。

(イ) 再委託先に対する人的安全管理措置<1>委託契約に含める

①

べき事項

情報システム等に関する再委託を行う場合には、事前に教育機関等の管理者に対して説明を行い、当該再委託に係る契約において体制を明確にする。

②

再委託先には、自団体と同等の個人情報保護指針等を遵守

76

させる。
③

再委託に係る契約に、委託業務に係る守秘義務を含める。

④

再委託先に対して、委託先要員に自団体と同等の守秘義務があることを確認する。

⑤

再委託先が、本ルール案に規定する安全管理対策を行っていることを確認する

3.6 その他の安全管理対策
その他の安全管理対策として、以下の観点に基づく対応が、調査研究団体に求められると考えられる。
●情報の破棄に関する安全管理対策
上記の観点に基づく具体的な要求事項について、以下の（ア）に示す。

(ア) 情報の破棄に関する安全管理対策<1>情報の破棄の保証①

サービスに供する情報を格納する機器、媒体等を破棄する
手順に、不可逆的な破壊・抹消等により元のデータを復元できなくする措置を含める。

②

情報の破棄を実施した場合に、教育機関等の求めに応じて、実施担当者及び情報の削除方法（電磁記録媒体の消磁・物理的破壊等）を含む実施内容を教育機関等に対して報告し、破棄記録等を提出する。

③①で講じる措置及び②の資料を提供するのに必要な条件等について、教育機関等と合意する。

<2>情報破棄手順の文
書化①

運用管理規程に以下の内容を定める。
・管理する個人情報又はこれを格納する媒体等について、
サービス提供上の要否の確認を定期的に行うこと。
・サービス提供上不要とされた個人情報及びこれを格納す
る媒体についての破棄手順。
・サービス提供上不要とされた個人情報及びこれを格納する媒体の破棄に際して、教育機関等が不足の損害を被らないようにするための措置（事前に破棄の基準等を告知する

77

等）。
②

情報の破棄手順について、教育機関等と合意する。

78

4. 参考資料
4.1 本人同意書（雛形案）「本人の同意」を取得する際に利用可能な、本人同意書（雛形案）を、下記に掲載する。
個人情報の収集のみであれば「本人に通知」で良いが、要配慮個人情報を取得する場合や個
人データを第三者に提供する場合は、「本人の同意」が必要となるため、本雛形を活用することが望ましい。
なお第三者提供における「本人の同意」の取得においては、学術研究機関等に関して例外規定が定められている。例外規定のケースに当てはまらない場合には、「本人の同意」の取得が必要となる。そのため、学術研究機関等にて学術研究を行う際は、今回のケースが例外規定に当たるかどうか必ず確認いただき、判断が難しい場合には、「本人の同意」を取得いただくことが望ましい。
詳しくは、本ガイドライン 2.5.3 章、2.5.6 章等を参照すること。

---------------------------------------

以下、雛形案---------------------------------------●年●月●日
保護者各位
●●学校

校長

●●

「●●（個人情報の取得団体名）」における研究開発への参加及び個人情報の収集・提供に関するご協力のお願いについて●●（研究目的・研究概要及び、システムを活用して個人情報を収集・提供することについて、同意書の提出をお願いしたい旨を記載。また、同意しない場合も、児童生徒に不利益は講じない
旨、第三者に提供する際は個人が特定されないよう匿名加工を行う旨を記載）。

記
1.

研究開発名：●●

2.

研究目的：●●（本研究開発の趣旨）（個人情報の利用目的）

3.

研究概要：●●（実施手順）

79

4.

研究期間：●●

5.

研究責任者名：●●（所属・職・氏名）

6.

本研究において個人情報を利用する目的：●●

7.

収集する個人情報の具体的なデータ項目：●●8.

個人情報を収集するシステム名：●●

9.

個人情報を収集するシステムにおいて講じる安全管理措置：●●（アクセス権範囲）

10. 第三者提供に関する留意点：●●（匿名加工を行う旨を明記。匿名加工を行わず、個人情報として提供したい場合は、第三者提供範囲及び利用目的について明記）
11. 個人情報の保管期間：●●（期間が終了次第すみやかに削除する旨及び廃棄方法を明記）
12. その他：●●（同意しない場合も不利益を被らない旨を明記）
13. 問合せ先：●●（事業者及び学校への問合せ先）

─────────────────キリトリ────────────────────

同意書

●●学校

校長 ●●

●● 宛

私は、●●（研究開発名）において、同システムの利用に関連して収集された個人情報を研究利用されることについて、同意します。
記入日：
児童生徒名：

年

月

日.

所属：

●年

保護者名：

80

●組

.
印.