教育業界の案件で気をつけたい規制とセキュリティのルール｜教育情報セキュリティポリシーと児童生徒の個人情報

教育の案件では、文部科学省の「教育情報セキュリティポリシーに関するガイドライン」（2026年10月時点の最新は令和7年3月版）と、それを参考に各教育委員会が定める教育情報セキュリティポリシー、そして個人情報保護法がルールの土台です。児童生徒の成績や健康、指導の記録は、ガイドラインで最も重い分類に入るものがあり、委託先で働く人にも契約を通じて同じ水準の扱いが求められます。

フリーランスが現場で直接従うのは、契約先が示す規程や手順です。ただ、その元になっている基準を知っていると、決まりの理由が分かり、設計の提案もしやすくなります。この記事では2026年10月時点の公式資料をもとに整理します。自治体全般のセキュリティの決まり（総務省のガイドライン、三層の対策、ISMAPなど）は公共・官公庁の規制とセキュリティの記事で扱っているので、ここでは教育に固有の点に絞ります。

教育の案件のルールは3層

ガイドラインは、教育現場には児童生徒や保護者がいるなど、自治体の他の行政事務とは違う特徴があるとして、自治体の情報セキュリティポリシーとは別に教育情報セキュリティポリシーを定めることを求めています。一方で、ガイドラインによると、2024年度時点で教育委員会独自のポリシーを定めている割合は約5割にとどまっています。参画先にどんなポリシーがあるかは、案件ごとに確かめる必要があります。

ガイドラインの最新版と改訂の流れ

ガイドラインは2017年10月に策定され、2019年12月（GIGAスクール構想の始動への対応）、2021年5月（クラウドの活用を前提としたネットワーク構成など）、2022年3月（ネットワーク分離による対策とアクセス制御による対策を明確に記述）、2024年1月（次世代校務DXを見据えた考え方）と改訂されてきました。

2025年3月の改訂は、教育現場のクラウド活用が進んだことを踏まえ、情報資産の分類・仕分け・管理方法の見直しと、次世代校務DX環境への移行に必要な対策の記載の見直しを主な目的としています。主な点は次のとおりです。

• 情報資産の例示を、誰がアクセスするかにもとづく分類に見直した。要配慮個人情報を含む情報は最も重い分類Ⅰに仕分ける
• パブリッククラウドで重要性分類Ⅱ以上の情報を扱うときは、多要素認証を含む強固なアクセス制御を講じる。ただし児童生徒や保護者が本人の情報だけにアクセスする場合は、本人確認を厳格にする前提でIDとパスワードによる認証を許容する
• オンプレミスとクラウドが並んで動く移行期は、それぞれの環境に応じた対策を講じる
• シャドーIT（組織が把握していないクラウドサービスや個人アカウントの業務利用）の懸念と対策を加えた

情報資産の重要性分類

ガイドラインは、学校の情報を、侵害されたときの影響の大きさで4段階に分けています。

作業者にとって大事なのは、システムの設計書や設定書がⅠ、ID管理台帳がⅡに例示されていることです。児童生徒の情報だけでなく、自分が作る設計の資料やアカウントの一覧も、重く扱う対象になります。

ガイドラインの例文では、重要性分類Ⅱ以上の情報を外部に持ち出すときは、アクセス制限や暗号化をしたうえで個別の許可を得て記録をつけること、メールや外部ストレージは教育委員会や学校が提供する公式のサービスだけを使い、私的に契約したサービスを使わないことが示されています。

外部委託に求められること

ガイドラインは、システムの運用・保守などを外部に委託するときに、次のような情報セキュリティの要件を契約に明記することを示しています（主なものを抜き出しています）。

• 教育情報セキュリティポリシーと実施手順の遵守
• 委託先の責任者、作業者、作業場所の特定
• 委託先にアクセスを許可する情報の種類と範囲、アクセス方法
• 提供された情報の目的外利用と第三者への提供の禁止、守秘義務
• 再委託に関する制限
• 委託終了時の情報資産の返還・廃棄、定期報告と緊急時の報告

再委託について、ガイドラインは再委託先のセキュリティ水準が下がる懸念から原則禁止とし、例外的に認める場合は委託先と同等の水準であることを確かめたうえで許可するとしています。また、委託先から再委託を受ける事業者も含めて、守るべき内容を説明することとしています。

フリーランスが受注事業者の協力会社として参画する場合、この再委託の決まりにかかわることがあります。作業者として名前の届け出や承認が必要になる場合もあるため、参画の経路と手続きを契約先に確かめてください。

児童生徒の個人情報と個人情報保護法

公立か、私立・企業かで適用される規定が違う

個人情報保護法では、地方公共団体の機関は「行政機関等」に含まれます（第2条第11項）。公立学校や教育委員会の案件では、行政機関等の安全管理措置（第66条第1項）が土台になり、同条第2項は、行政機関等から個人情報の取扱いの委託を受けた者に、二以上の段階にわたる委託を受けた者も含めてこれを準用しています。第67条は、こうした業務に従事している者・していた者が、業務で知り得た個人情報をみだりに他人に知らせたり不当な目的に使ったりしてはならないとしています。

私立学校や教育サービス企業は、多くの場合「個人情報取扱事業者」として、安全管理措置（第23条）、委託先の監督（第25条）、漏えい等の報告（第26条）などの規定が適用されます。病歴や犯罪の経歴などの要配慮個人情報（第2条第3項）は、法令に基づく場合などを除き、あらかじめ本人の同意を得ないで取得してはならないとされています（第20条第2項）。大学は設置者によって適用される規定の組み合わせが異なるため、個別に確かめる必要があります。

学習用ソフトウェアは「委託」で扱うのが基本

文部科学省の「教育データの利活用に係る留意事項」（公立学校編は2026年4月に第4版、国立学校編・私立学校編も同月作成）は、授業など児童生徒が一律に参加する教育活動で学習用ソフトウェアを使って取得される個人情報について、教育委員会・学校が責任を持って扱う必要があるとしています。そのため、民間事業者に個人情報の取扱いを委託する形が一般的で望ましいとし、契約書に、秘密保持や目的外利用の禁止、再委託の条件、複製の制限、漏えい時の対応、委託終了時の消去などを明記するよう示しています。

学習系サービスの事業者側で働く場合、自社が学校から委託を受けて児童生徒の情報を扱っている立場だと理解しておくと、データの持ち方や消去の要件の意味が分かりやすくなります。

2026年の改正で16歳未満の規律が新設された

2026年7月10日に「個人情報の保護に関する法律等の一部を改正する法律」が成立し、7月17日に公布されました。個人情報保護委員会の資料によると、16歳未満の者が本人である場合、同意の取得や通知などについて法定代理人を対象とすることを明文化し、利用停止等の請求の要件を緩和するとともに、未成年者の個人情報の取扱いで本人の最善の利益を優先して考慮すべき旨の責務規定を設けるとしています。行政機関等についても、法定代理人の関与と責務規定について同様の改正を行うとされています。

施行は原則として公布の日から2年を超えない範囲内とされ、政令・規則・ガイドラインの整備が2026年10月時点で進められています。児童生徒向けのサービスの設計では、同意の画面や利用停止の手続きに影響する可能性があります。具体的な対応は、施行に向けて公表される政令やガイドラインを確かめ、個別の判断は専門家にご相談ください。

生成AIを使うとき

文部科学省は「初等中等教育段階における生成AIの利活用に関するガイドライン」（Ver.2.0、2024年12月26日）を公表しています。学校や教育委員会は、これを参考に生成AIの使い方を決めます。作業者として生成AIを使う場合は、教育委員会のポリシーと契約の条項が優先です。児童生徒の情報や設計書を、許可されていない生成AIのサービスに入力しないでください。契約上の扱いは生成AIの利用に関する契約条項の記事で解説しています。

作業者として確かめておくこと

• 参画先の教育情報セキュリティポリシーと実施手順のうち、自分の作業に関わる部分
• 扱う情報の重要性分類と、保管先・持ち出しの手順
• 使ってよい端末、クラウドサービス、生成AIのサービス
• 作業場所と、学校や教育委員会に出向く場合の決まり
• 再委託の承認の手続きと、秘密保持・個人情報の条項
• 事故や漏えいの疑いがあったときの報告先

取引先の規程に従う必要があるかの考え方は取引先のセキュリティ規程の記事、個人情報を扱う委託契約の条項の見方は個人情報を扱う業務の記事、自宅で作業する場合の対策は自宅の情報セキュリティの記事で扱います。

よくある質問

教育情報セキュリティポリシーは、どの教育委員会でも同じですか？

同じではありません。文部科学省のガイドラインは参考として示されたもので、各教育委員会が実態に合わせてポリシーを定めます。ガイドラインによると、2024年度時点で独自のポリシーを定めている教育委員会は約5割です。参画先ごとに、適用されるポリシーと手順を確かめてください。

学習アプリの開発会社で働く場合も、教育情報セキュリティポリシーは関係しますか？

関係することがあります。学校や教育委員会がサービスを使う際、委託契約や利用の条件としてポリシーに沿った対策を事業者に求めることがあるためです。また、自社が個人情報取扱事業者として負う安全管理措置や委託先の監督の義務もあります。どの要件が自分の作業に関わるかは、所属先や契約先にご確認ください。

2026年の個人情報保護法の改正は、もう施行されていますか？

2026年10月時点では、改正法は公布済みで、施行は原則として公布の日（2026年7月17日）から2年を超えない範囲内とされています。個人情報保護委員会が政令・規則・ガイドラインの整備を進めているため、施行日や具体的な対応は、委員会の公表資料で最新の情報を確かめてください。