第3章 生徒データと児童保護
学習目標
- 生徒の文章や記録が個人情報となる条件を、「他の情報と容易に結合して識別できるか」によって判断します。
- 満14歳未満の児童の個人情報処理において、法定代理人の同意、同意の確認、わかりやすい告知の要件を説明します。
- 生徒の記録を収集目的外に利用したり外部に提供したりする際に必要な根拠と、学校生活記録の個別の制限を区別します。
- 外部AIサービスの学習への利用、保管期間、委託関係、国外移転、年齢基準をそれぞれ確認します。
- 生徒情報を入力せずにAIを利用する方法の中から、授業の目標や状況に合ったものを選択します。
はじめに
ある担任教師が学期末の相談日誌を整理するのに疲れ、私物のスマートフォンの無料AIアプリに相談日誌を数ページ貼り付け、「要約して」と入力しました。名前はイニシャルに変えたので大丈夫だと考えたのです。ところが要約には、「親の失業により給食支援を受け始めたJ」、「昨年転校してきた双子のうちの弟」といった文がそのまま残っていました。同じクラスの生徒であれば誰のことかすぐに分かってしまう内容です。そしてその内容は今や、学校が管理していないサービスのサーバー上にあります。
生徒情報は、他の個人情報よりもいっそう慎重に取り扱わなければなりません。生徒は大部分が未成年者であり、学校や教師に情報を提供するかどうかを選択しにくい立場に置かれているうえ、学校の記録は長く残って進学や進路に用いられるからです。そのため、個人情報保護法(韓国)は児童のための個別条項を設けており、初・中等教育法(韓国)は学校生活記録の外部提供を別途制限しています。
本章では、生徒情報が個人情報となる条件から始め、処理の原則と根拠、満14歳未満の児童の同意、目的外利用と学校生活記録の提供制限を順に見ていきます。続いて、外部AIサービスのデータ条件を読み解く方法、サービスの年齢基準と保護者への案内、そして生徒情報を入力せずにAIを活用する方法を整理します。
重要な概念
生徒の文章はいつ個人情報になるのか
個人情報保護法(韓国)第2条第1号は、個人情報を生存する個人に関する情報であって、次のいずれかに該当するものと定義しています。
- 氏名、住民登録番号、映像等を通じて個人を識別できる情報(イ目)
- 当該情報のみでは識別できなくても、他の情報と容易に結合して識別できる情報(ロ目)。容易に結合できるかどうかは、他の情報の入手可能性など、個人の識別に要する時間、費用、技術を合理的に考慮して判断します。
- 仮名処理した情報であって、追加情報なしには識別できない情報、すなわち仮名情報(ハ目)
生徒の文章において重要なのはロ目です。氏名や学籍番号を削除しても、「○○洞でクリーニング店を営む両親」、「昨年転校してきた双子」、「先月足を怪我してギプスをしたこと」のように、同じクラスや同じ学年であれば誰のことか分かる手がかりが残っていれば、その文章は依然として個人情報に該当し得ます。学級は小さなコミュニティであるため、結合できる「他の情報」がすぐ身近にあるからです。
要点
名前を消すことは始まりにすぎません。「この文章を同じクラスの友達が読んだら、誰の文章か分かるだろうか?」と問いかけてみてください。分かるようであれば、手がかりをさらに削除するか、一般化する必要があります。
処理の原則
個人情報保護法第3条は処理の原則を定めています。AIを利用する際に特によく関わってくるものは次のとおりです。
| 項 | 原則 | AI利用における意味 |
|---|---|---|
| 第1項 | 目的を明確にし、目的に必要な最小限のみを収集 | 「何をするためにAIに入力するのか」を先に定め、それに必要な部分だけを入力する |
| 第2項 | 目的の範囲内で処理し、目的外に活用しない | 授業のフィードバック用として提出された文章を他の目的に使用しない |
| 第4項 | 権利侵害の可能性とリスクを考慮して安全に管理 | 学校が管理できる承認されたツールを使用する |
| 第6項 | プライバシー侵害を最小限に抑える方法で処理 | 不要なプライバシー情報は入力しない |
| 第7項 | 匿名で目的を達成できる場合は匿名、不可能な場合は仮名で処理 | 集計統計や手がかりを削除した文章で十分であればそのようにする |
「処理」の範囲も広範です。第2条第2号は、収集、生成、保存、保有、加工、編集、検索、出力、利用、提供、公開、破棄などをすべて処理とみなしています。AIサービスに貼り付けた瞬間、その情報はすでに処理されていることになります。
処理の根拠と学校
個人情報を収集・利用するには根拠が必要です。第15条第1項は、情報主体の同意、法律の特別な規定または法令上の義務、公共機関の所掌業務の遂行、契約の締結・履行、急迫した生命・身体・財産の利益、個人情報処理者の正当な利益、公衆衛生等の公共の安全を根拠として挙げています。
学校はどのような根拠を用いるのでしょうか。個人情報保護法施行令第2条は、『初・中等教育法』、『高等教育法』等に基づいて設置された各級学校を公共機関の範囲に含めています。そのため、学校は法令で定められた所掌業務(教育、学校生活記録の作成など)のために不可避な範囲で個人情報を処理することができます。しかし、所掌業務の範囲外である新しいサービス、例えば生徒が直接登録・加入する外部AI学習アプリを学校が新たに導入し、生徒情報を処理させるような場合には、同意などの別の根拠が必要となることがあります。
同意を得る際には、第15条第2項に基づき、次の4点を告知しなければなりません。
- 個人情報の収集・利用目的
- 収集しようとする個人情報の項目
- 個人情報の保有および利用期間
- 同意を拒否する権利があるという事実、ならびに拒否に伴う不利益がある場合はその内容
同意書にアプリの効果に関する資料やAIモデル名をいくら詳しく記載したとしても、この4点が含まれていなければ、法律が求めている告知にはなりません。また、「同意しなければ遂行評価(パフォーマンス評価)の点数を付与できない」のように不利益を前面に出すと、事実上同意を強要することになります。同意しない生徒のための代替活動を用意するのが適切です。
満14歳未満の児童
第22条の2は、児童のための3つの規則を定めています。
- 法定代理人の同意と確認(第1項)。 満14歳未満の児童の個人情報を処理するために本法に基づく同意を得なければならないときは、法定代理人の同意を得なければならず、法定代理人が同意したことを確認しなければなりません。
- 最小限の直接収集(第2項)。 法定代理人の同意を得るために必要な最小限の情報、すなわち法定代理人の氏名および連絡先は、法定代理人の同意なしに児童から直接収集することができます(施行令第17条の2第2項)。
- わかりやすい告知(第3項)。 満14歳未満の児童に個人情報の処理に関する事項を告知する際は、理解しやすい様式と明確で平易な言葉を用いなければなりません。
同意の確認方法は、施行令第17条の2第1項で定められています。同意の意思表示を確認した旨を法定代理人の携帯電話のショートメッセージで通知する方法、法定代理人のクレジットカード・デビットカード等のカード情報の提供を受ける方法、携帯電話による本人認証、書面に署名・押印を受ける方法、電子メールで同意の意思を受け取る方法、電話で同意を得る方法、およびこれらに準じる方法です。
次の2点を混同しないでください。第1に、第1項は「同意が必要な場合」に法定代理人の同意を得ることを求めているのであって、満14歳未満のすべての情報処理に同意が必要であるという意味ではありません。他の根拠に基づいて処理する場合もあります。第2に、法定代理人が同意したからといって、児童に対してわかりやすく告知する義務が免除されるわけではありません。大人向けの個人情報処理方針をそのまま貼り付けた案内文は、第3項に適合しません。
目的外利用と提供
第18조제1항は、個人情報を収集根拠の範囲を超えて利用したり、第三者に提供したりすることを禁止しています。第2項には例外が定められています。情報主体の個別の同意、他の法律の特別な規定、急迫した生命・身体・財産の利益などです。一部の例外は公共機関にのみ適用されますが、例えば目的外に利用・提供しなければ他の法律で定められた所掌業務を遂行できない場合であって保護委員会の審議・議決を経た場合、犯罪捜査、裁判業務の遂行などがこれに該当します。個別の同意を得る際には、提供を受ける者、利用目的、項目、保有期間、拒否する権利および不利益を告知しなければなりません(第3項)。
教育現場の例を挙げると次のようになります。クラス分けのために取得したレベルテストの結果を用いてAI進路推薦を作成し個人別に通知を送ることや、「学習質問への回答」に使用すると告知していた対話ログを用いて中途脱落のリスクを予測することは、収集目的外の利用に該当します。たとえ善意の目的であっても根拠を用意しなければなりません。「すでに適法に保有している情報である」という事実は、新たな目的の根拠にはならないのです。
学校生活記録と第三者提供
学校生活記録は、個人情報保護法とは別に初・中等教育法でも個別に扱われています。第25条は、学校の長が人的事項、学籍事項、出欠状況、資格証および認証取得状況、教科学習発達状況、行動特性および総合意見等を教育部令の基準に従って作成・管理し、これを教育情報システムによって作成・管理するよう定めています。
第30조의6제1항は、学校の長が学校生活記録および学校保健法に基づく健康検査記録を、当該生徒(未成年者の場合は生徒と保護者)の同意なしに第三者に提供してはならないと定めています。例外としては、監督・監査権限を有する行政機関の業務、上級学校の生徒選抜、統計作成および学術研究目的で当事者を識別できない形態で提供する場合、捜査、裁判、その他関係法律に基づく場合が挙げられます。資料の提供を受けた者は、本来の目的以外に使用することはできません(第3項)。
そのため、外部の研究所やエドテック企業が「AIモデル研究」を理由に学校生活記録の資料を要請してきた場合、生徒・保護者の同意を得るか、当事者を識別できない形態でのみ提供することができます。秘密保持契約を結んで閲覧者を限定することは優れた保護措置ですが、法律が定めた要件の代わりにはなりません。
敏感情報
第23条は、思想・信条、労働組合・政党への加入、政治的見解、健康、性生活等に関する情報、ならびにその他プライバシーを著しく侵害するおそれがある情報として大統領令で定める情報(施行令第18条:遺伝情報、犯罪経歴資料、特定の個人を識別する目的で作成された生体認識情報、人種や民族に関する情報)を敏感情報とみなし、個別の同意や法令の根拠がなければ処理してはならないと定めています。処理する際には安全性確保措置を講じなければなりません(第2項)。
相談記録や生徒自身の体験談作文には、健康や信条のような法定の敏感情報と、家庭環境や情緒状態のようなセンシティブなプライバシー情報が混在していることがよくあります。後者は法定の敏感情報ではなくても、流出した際の被害が大きいため、同等のレベルで慎重に取り扱います。AIで要約や分析を行いたい場合は、まず「この目的にセンシティブな内容が本当に必要なのか」を問い、必要でないなら入力しません。中途脱落予測のように機微な情報が含まれるリスクが高い分析では、健康に関する内容を除外し、結果を不利益ではなく支援のためだけに用いるよう設計します。
外部AIサービスと委託
学校が外部AIサービスに生徒の文章を送信して分析やフィードバックを受ける際、事業者が学校の業務を学校の管理・監督のもとで代行して処理するのであれば、事業者は受託者となります。逆に、事業者が受け取った生徒情報を自社モデルの学習など自らの目的にも利用する場合、委託ではなく第三者提供に該当しないか、そしてそれに見合った個別の根拠があるかを検討しなければなりません。学習への不利用条件を確認する理由もここにあります。第26条は委託に対して次の事項を求めています。
| 項 | 要求事項 |
|---|---|
| 第1項 | 委託業務の目的外処理の禁止、技術的・管理的な保護措置などを盛り込んだ文書による委託 |
| 第2項 | 委託業務の内容および受託者を、情報主体がいつでも容易に確認できるよう公開 |
| 第4項 | 受託者を教育し、処理状況の点検などにより監督 |
| 第5項 | 受託者は委託された業務範囲を超えた利用・提供の禁止 |
| 第6項 | 受託者が再委託するには委託者の同意が必要 |
データ条件(学習への利用、保管期間)を確認したからといって終わりではありません。その条件を委託文書に盛り込み、委託の事実を公開し、遵守されているかを点検しなければなりません。そして万が一事故が発生した場合、委託者である学校が対応の主体となります。
データ条件を読み解く5つの質問
AIサービスの利用規約やデータ処理条件を読む際は、5つの質問を個別に確認します。
- 学習への利用:入力した内容がモデルの学習や改善に使用されるか?デフォルト値はどうなっており、無効化できるか?
- 保管期間:入力内容や対話履歴はどのくらいの期間保管され、いつ削除されるか?学習に使用されなくても保管される可能性はあります。
- アカウント種別:個人アカウントと教育機関契約アカウントの条件は同じか?同じ会社の同じモデルであっても、契約によって条件が異なる場合があります。
- 処理関係と所在地:事業者が学校に代わって処理しているか(委託)?データが国外で処理・保管されているか?
- 年齢基準:サービスが利用を許可している最低年齢と、保護者の同意要件はどのようになっているか?
国外移転は禁止ではなく要件の問題です。第28条の8第1項は、個人情報の国外への提供・処理委託・保管を原則として禁止しつつ、例外を定めています。情報主体の個別の同意、法律・条約の特別な規定、情報主体との契約の締結・履行に必要な処理委託・保管であって移転事項を処理方針で公開または告知している場合、移転を受ける者が保護委員会の告示した認証を取得し、安全措置・権利保障措置および移転先の国において認証事項を履行するための措置をすべて講じている場合、保護水準が実質的に同等であると認められた国へ移転する場合です。学校と事業者との間の契約だけで3番目の例外が満たされるわけではありません。「サーバーが国外にあれば無条件で駄目だ」というのも、「国外であっても何の問題もない」というのも誤りです。
宣伝文句や認証マークは、この5つの質問に対する答えではありません。答えは契約書、データ処理付属書、個人情報処理方針といった文書の中にあります。
年齢基準と保護者への案内
サービスの利用規約における年齢基準は、法令とは別に学校が遵守しなければならない利用条件です。例えばOpenAIの教育関係者向けガイダンスでは、利用者は満13歳以上である必要があり、13歳から18歳までの利用者は親または保護者の許可が必要であると説明されています。UNESCOは2023年に生成AIの教育・研究に関する指針を発表し、教室でAIツールを使用する年齢基準として13歳を提示するとともに、データプライバシーの保護と年齢に応じたアプローチを強調しました。
これらを踏まえて生徒の学習活動を設計すると、次のようになります。
| 状況 | 運用方法 |
|---|---|
| 生徒が利用規約の最低年齢に満たない | 生徒のアカウントは作成しない。教師が実演し、生徒は質問の設計と結果の検討に参加する |
| 生徒が最低年齢以上であるが規約が保護者の許可を要求 | 保護者にサービスとデータ条件を案内して許可を得て、許可を得た生徒のみ参加させる。残りの生徒には代替活動を提供する |
| 学校が機関契約によりデータ条件を確認済み | 機関用アカウントを使用させ、確認した条件を生徒に案内する |
クラス共通の共有アカウント1つを使い回す方法は、年齢基準や保護者の許可要件を潜脱するだけでなく、誰が何を入力したのかを管理することも不可能にしてしまいます。満14歳以上であれば個人情報の処理に自ら同意できるという事実も、利用規約上の保護者の許可要件を消滅させるものではありません。
生徒情報を入れずにAIを使う方法
多くの場合、生徒情報を一切入力しなくてもAIのサポートを受けることができます。
| 方法 | 適した状況 | 限界 |
|---|---|---|
| 教師の実演 | 生徒が年齢基準に満たない、またはアカウントがないとき | 生徒個人の実習機会が減る |
| 一般化した質問 | 相談日誌の要約、学年協議資料のように教師が共通テーマを抽出できるとき | 教師が事前に整理しなければならない |
| 識別情報と手がかりの削除 | 生徒の文章に対するフィードバックのように文章自体が必要なとき | 手がかりを入念に削除しなければならず、承認されたツールを使用しなければならない |
| 集計統計 | 設問別の正答率、誤り類型の分布のように個人単位が不要なとき | 個別の指導には使えない |
| 架空の例示 | 誤り類型を説明する授業資料のように実際の生徒の文章が不要なとき | 実際の生徒の特性を反映できない |
学校が承認したツールに希望する機能がないからといって、個人アカウントの無料AIに切り替えることは解決策になりません。イニシャルに変えたり学習設定をオフにしたりしても、記述内容から生徒が特定されてしまうリスクや、学校が管理していない場所に保管されるリスクが残るからです。
処理の終了:破棄と事故対応
保有期間が経過したり、目的を達成して不要となった情報は、遅滞なく破棄しなければなりません(第21条第1項)。ただし、他の法令に基づいて保存しなければならない情報は例外であり、この場合は他の個人情報と分離して保管します(第3項)。学校生活記録のように法令で保存が定められている記録を、目的を達成したからといって消去してはなりません。AIツールを利用する際は、アップロードしたファイル、ツール内の対話履歴、ダウンロードした成果物まで破棄の対象に含めてください。処理を行っている間は、第29条に基づき、内部管理計画の策定やアクセスログ(接続記録)の保管といった安全性確保措置を講じます。
個人情報保護法は、紛失・盗難・漏えい・偽造・変造・毀損を総称して「漏えい等」と呼んでいます(第23条第2項)。漏えい等を知ったときは、第34条に基づき、遅滞なく情報主体に対して漏えい等が生じた項目、時期と経緯、被害を軽減するための方法、対応措置と被害救済手順、申告を受け付ける担当部署、損害賠償・紛争調停といった法的権利と行使方法などを告知しなければなりません。大統領令で定める漏えい等の可能性を知った場合にも、当該情報主体に対して被害を軽減するための情報などを告知しなければならず(第2項)、回収・削除などの被害拡大防止措置を講じる必要があり(第3項)、施行令で定める要件に該当する場合は保護委員会や専門機関へ申告しなければなりません(第4項)。学校においては、個人情報保護責任者に直ちに報告することが第一歩となります(第5章)。
さらに深く
名前を消した文章は匿名なのか
個人情報保護法(韓国)第58条の2は、時間・費用・技術などを合理的に考慮した際、他の情報を用いてももはや個人を識別できなくなった情報には、同法を適用しないと定めています。一般に匿名情報と呼ばれる情報です。生徒の書いた文章において、この基準を満たすことは想像以上に困難です。学級や学年といった小さな集団においては、文章のテーマ、家族の話、特別な体験、さらには文体までもが手がかりとなるためです。
そのため実務では、「匿名」と断定するのではなく、「生徒を特定できる手がかりを最大限に消去した文章を、学校が承認・管理するツールでのみ処理する」という二重の保護策を用います。1層目(手がかりの削除)が完璧でない可能性があるため、2層目(承認されたツール、委託契約、保管期間)を設けるのです。逆に、承認されたツールだからといって1層目を省略してよい理由にもなりません。最小限の処理は、ツールに関係なく適用される原則です。
利用規約の年齢と法定年齢が異なるとき
個人情報保護法(韓国)の基準年齢は満14歳であり、多くのAIサービスの利用規約は13歳と18歳を基準としています。この2つの基準は、それぞれ異なる問いに答えるものです。法律は「誰の同意が有効か」を定め、利用規約は「誰がそのサービスを利用でき、どのような条件が必要か」を定めています。
したがって、両方の基準を満たす必要があります。満15歳の生徒は、個人情報保護法(韓国)上、個人情報の処理に対して自ら同意できますが、利用規約が18歳未満に保護者の許可を求めている場合は保護者の許可が必要です。満12歳の生徒は、保護者が同意したとしても、利用規約が13歳未満の利用を禁じている場合は利用できません。試験問題で生徒の年齢と利用規約の条件が共に出題された場合は、2つの基準を個別に当てはめてみてください。
生徒のアカウントを作成するか、教員が実演するか
生徒が直接AIを使ってみる体験は、AIリテラシー教育において大きな価値があります。質問を変えながら結果がどう変わるか、AIがいつ間違うかを実際に手で確かめられるからです。しかし、生徒用アカウントの運用には、年齢基準、保護者の許可、データ条件、アカウント管理といったコストが伴います。
教員の実演であれば、こうしたコストをかけることなく学習目標の大部分を達成できます。生徒が質問を設計し、教員が代わりに入力して、その結果を一緒に検討・批評する方式をとれば、質問の設計や結果の検証という重要な資質・能力を育むことができます。一方で、生徒各自が画面上で直接試行錯誤を重ねる必要のある実習(例えばプログラミングのエラー解析など)であれば、実演だけでは不十分です。選択にあたっては、「生徒がこの活動で何を学ぶべきか」と「生徒用アカウントを作成・付与する条件が整っているか」の双方を総合的に判断する必要があります。
実務の場面
野の花小学校:AI読書アプリと同意書
野の花小学校は、4年生の児童96名(満9〜10歳)を対象にAI読書アプリを導入しようとしました。このアプリは、児童が書いた感想文を読み取って質問を投げかけ、読書記録を保存します。事業者からは「教育用に安全に設計されたアプリ」という宣伝資料とともに、読書量が増加したという他校の事例が送られてきました。
担当教員が最初に作成した同意書の草案には、アプリの効果に関する資料やAIモデル名、そして「同意しない場合、読書の遂行評価(パフォーマンス評価)に参加できません」という文言が含まれていました。情報部長はこの草案において、3つの点を修正しました。第1に、第15条第2項が義務付ける4つの項目(目的、項目、保有期間、拒否権および不利益)を表として整理しました。第2に、拒否時の不利益に関する文言を削除し、「同意しない場合は紙の読書記録帳で同様の活動を行います」という代替活動の案内に差し替えました。第3に、効果に関する資料やモデル名は参考資料として別枠に分けました。
児童は全員が満14歳未満であるため、同意は法定代理人から取得することとし、施行令第17条の2に定める方法の中から学校の家庭通信システムの本人認証方式によって確認することにしました。児童に対しては別途、イラストを入れた1ページの案内文を作成し、「アプリが自分の感想文をどこに、どれくらいの期間保管するのか」を分かりやすい言葉で説明しました。
契約の過程において、事業者が学校に代わって児童の感想文を保管・分析することが確認されたため、学校は委託書類に目的外処理の禁止と保管期間(学年末に削除)を明記し、学校ウェブサイトの個人情報処理方針に受託者を公開しました。不採用とした選択肢は、「事業者の宣伝資料を信用してそのまま導入する」ことと、「同意取得の代わりに校長名義の一括案内で済ませる」ことでした。
山嶺高等学校:個人アカウント事故後の体制再整備
山嶺高等学校のある教員が、進路相談記録20数件を個人アカウントのAIに入力して要約させていた事実が、同僚からの問題提起によって発覚しました。教員は「名前は消した」と説明しましたが、記録には生徒の健康上の問題や家庭の事情が含まれていました。
学校の個人情報保護責任者は、まず事実関係の確認を行いました。どのような記録が、どのサービスに、いつ入力されたのか、そのサービスの保管条件はどうなっているか、対話履歴を削除できるかを整理し、可能な範囲で対話履歴を削除させました。そして、この事案が漏えい等に該当するか、情報主体への通知や申告が必要かどうかを法律に基づいて判断する手続きを進めました。
再発防止に向けて、学校は2つの点を改めました。1つは、教員用AI利用ガイドラインに生徒情報の種類別の取り扱い方法を表として盛り込んだことです。相談記録や健康情報はAIに入力せず、生徒の書いた文章は手がかりを消去した上で承認されたツールでのみ扱い、設問の統計のように個人を特定できない資料は自由に分析できるようにしました。もう1つは、承認されたツールに要約機能がないという現場の不満を踏まえ、教員が一般化したテーマ一覧のみを入力して整理する方法を研修で実演したことです。学校が不採用とした選択肢は、「AIの利用を全面禁止する」ことでした。禁止するだけでは、教員たちがより見えない場所で利用してしまうリスクがあると判断したためです。
間違えやすいポイント
- 「名前と学籍番号を消したから個人情報ではない。」 消しやすいものを消したことで安心しがちですが、内容に含まれる手がかりから同じクラスの生徒なら誰のことか分かってしまいます。他の情報と容易に照合して個人を特定できるのであれば、個人情報に該当します。
- 「学習設定をオフにすれば個人アカウントに入力してもよい。」 学習に利用されないことと保管されないこととは別であり、学校の管理が及ばない場所へデータを移動させてしまう問題も残ります。
- 「保護者が同意したのだから、子どもに別途知らせる必要はない。」 法定代理人の同意と、子どもに対して分かりやすく告知する義務とは別個のものです。
- 「満14歳以上であれば、利用規約に関わらず本人の同意だけで十分である。」 法定の同意年齢と、サービス利用規約が定める保護者の許可要件とは異なる問いに答えるものです。双方を遵守しなければなりません。
- 「すでに保有している情報なのだから、良い目的であれば使ってもよい。」 収集目的の範囲外での利用には、別途の同意といった法的な根拠が必要です。
- 「秘密保持契約を締結すれば学校生活記録を渡してもよい。」 学校生活記録の第三者提供には、生徒・保護者の同意、または法律が定める例外(学術研究目的であれば個人を識別できない形態)が必要です。
- 「サーバーが国外にあるなら絶対に許可されない。」 国外移転は要件を満たせば可能な処理です。無条件の排除も、無条件の許容も誤りです。
- 「共有アカウントを使い回せば年齢問題を回避できる。」 年齢基準や保護者の許可要件を潜脱(迂回)することになり、入力内容の管理も不可能になります。
ひと目でわかるまとめ
| 問い | 押さえておくべき点 |
|---|---|
| 生徒の文章は個人情報か | 他の情報と容易に照合して個人を特定できる場合は個人情報(第2条第1号ロ目) |
| 何をどれだけ入力するか | 目的に必要な最小限、プライバシー侵害の最小化、匿名 → 仮名化の順(第3条) |
| 学校の法的地位 | 各級学校は個人情報保護法(韓国)上の公共機関(施行令第2条第5号) |
| 同意取得時に告知すべき事項 | 目的、項目、保有期間、拒否権および不利益(第15条第2項) |
| 満14歳未満 | 同意が必要な場合は法定代理人の同意と確認、子どもへの分かりやすい告知(第22条の2) |
| 収集目的外の利用 | 別途の同意などの根拠が必要(第18条) |
| 学校生活記録の外部提供 | 生徒・保護者の同意、または学術研究なら個人を識別できない形態(初・中等教育法(韓国)第30条の6) |
| 機微情報(センシティブ情報) | 別途の同意または法令の根拠がなければ処理禁止(第23条) |
| 事業者による処理代行 | 委託書類、公開、教育・監督(第26条) |
| データの条件 | 学習利用、保管期間、アカウント種別、処理関係・所在地、年齢基準を個別に確認 |
| 年齢 | 利用規約の最低年齢未満なら生徒アカウントなしで実演、保護者許可要件なら許可を得て参加 |
| 終了時 | 不要となった場合は遅滞なく破棄(他の法令上の保存義務がある場合を除く、第21条)、漏えい等が発生した場合は通知、要件に該当する場合は申告(報告)(第34条) |
公式ドキュメントで確認する
- 国家法令情報センター — 個人情報保護法第2条 — 個人情報、仮名情報、処理の定義を原文で確認してください。
- 国家法令情報センター — 個人情報保護法第3条 — 処理原則の8つの項をお読みください。
- 国家法令情報センター — 個人情報保護法第22条の2 — 児童の個人情報保護に関する4つの項です。
- 国家法令情報センター — 個人情報保護法施行令第17条の2 — 法定代理人の同意確認方法を確認してください。
- 国家法令情報センター — 個人情報保護法第26条 — 委託書類、公開、監督義務を確認してください。
- 国家法令情報センター — 初・中等教育法第30条の6 — 学校生活記録の第三者提供の制限と例外をお読みください。
- OpenAI Help — How can educators respond to students presenting AI-generated content as their own? — 利用年齢と保護者の許可要件が記載された教育者向けガイドです。
- UNESCO — Governments must quickly regulate Generative AI in schools — 教室でのAIツールの年齢基準(13歳)と教員研修の要請を確認してください。
セルフチェック
3-1. 個人情報保護法(韓国)が「他の情報と容易に結合して識別できる情報」を判断する際に考慮するよう定めた要素を記述し、学級という環境がなぜこの判断をより厳格なものにするのかを説明してください。
3-2. 個人情報保護法(韓国)第3条の原則のうち、AIに何を入力するかを決める際に直接適用される3つを選び、それぞれ1行ずつ説明してください。
3-3. 満14歳未満の児童に関する第22条の2の3つの規則を挙げ、法定代理人から同意の有無を確認する方法を施行令から2つ挙げてください。
3-4. 同意書で必ず告知しなければならない4つの事項を挙げ、同意しない生徒に不利益を与える代わりに何を用意すべきか述べてください。
3-5. 学校生活記録を外部に提供できる例外のうち、研究に関連するものを正確に記述し、秘密保持契約がその代わりにならない理由を説明してください。
3-6. AIサービスのデータ利用条件を確認する際にチェックすべき5つの問いを挙げ、「学習に使用しない」という文言だけでは答えられない問いを1つ選んでください。
3-7. 法定同意年齢(満14歳)とサービス利用規約の年齢基準が互いに異なる問いに答えているという意味について、例を挙げて説明してください。
3-8. (設計課題)皆さんの学校で生徒情報が含まれる可能性のあるAI活用場面を3つ選び、それぞれ「生徒情報を除外してAIを活用する方法」の表にあるどの方法を用いるかと、その理由を記述してください。
実習課題
実習
実習 3-A. 生徒情報分類表と処理基準(40分) 皆さんが業務で取り扱う生徒情報を10種類以上挙げます(例:記述式答案、出欠、相談記録、健康情報、設問ごとの正答率)。それぞれについて「個人情報か否か」「要配慮個人情報(機微情報)か否か」「AIに入力できる条件」(入力しない、手がかりを削除したうえで承認ツールを使用、集計のみ、自由)を記入し、根拠条文を1行ずつ付記します。 完了基準: 10行以上の表があり、すべての行に処理条件と根拠条文が記載されており、相談記録と健康情報の行が含まれていること。
実習
実習 3-B. AIサービスデータ条件点検表(50分) 皆さんや学校が利用している、または導入を検討しているAIサービスを1つ選び、公式の利用規約・個人情報処理方針・データ処理条件に関する文書を自ら探して読みます。本章の5つの問い(学習への利用、保管期間、アカウント種別、処理関係・所在地、年齢基準)に対する回答と、その回答が記載されている文書の該当箇所、確認日を表に整理します。文書から答えが見つからなかった質問については「確認不可」と記入し、事業者に問い合わせる質問事項を記載します。 完了基準: 5つの問いすべてに回答、または「確認不可」と追加の質問事項が記載されており、すべての回答に文書の該当箇所と確認日が付記されていること。