文部科学省はこのほど、四月一日から施行されるいわゆる個人情報保護法（「個人情報の保護に関する法律」）に対する私立学校向けの取り扱い指針を公表した。それによると、個人情報保護法の適用対象となるのは、五千人以上の個人データを六カ月以上保有する事業者となっており、当然、卒業生を含む児童・生徒の名簿を多数保有する私立学校はその対象となる。保有している個人データは、パソコン内にデータベース化しているものはもちろん、紙ベースでファイル化しているものも含まれる。

　「学校における生徒等に関する個人情報の適正な取扱いを確保するために事業者が講ずべき措置に関する指針」にもあるとおり、私立学校は義務として、個人データの(1)利用目的の特定・利用目的の制限(2)適正な取得、取得に際しての利用目的の通知等(3)データ内容の正確性の確保(4)安全管理措置、個人データを扱う従業者・委託先の監督(5)個人データの第三者提供の制限(6)公表等、開示、訂正等、利用停止等(7)苦情の処理、などが課される。
　(1)の利用目的の特定・利用目的の制限に関しては、例えば、入学・卒業時に取るアンケートで、「来年度における○○の授業の教育方法を検討する際の参考とするために行う」などと利用目的をはっきり特定し、個人データを集めるのはよいが、「このアンケートは、本学の教育の改善に役立てるために実施する」などと抽象的すぎるものはよくないことになる。つまり事業者（私立学校）は個人情報を集める際に利用する目的を明確にし、本人が、自分の情報がどのように利用されるかを予想できるようにしなければならない。
　(2)適正な取得、取得に際しての利用目的の通知等については、個人情報を集める際に、相手(生徒等）に対して利用目的を通知し、相手が口頭・書面等により承諾することが望ましい。本人が未成年の場合は、その保護者の同意も必要となる。また、その収集した個人情報は、原則として、本人の同意を得ないで、他の事業者などの第三者に提供することは許されていない。同意なく個人情報の提供が行える例外としては、法令に基づくときや、人の生命等にかかわる場合、公衆衛生の向上または児童の健全な育成のために特に必要な場合、同意を取ることが困難なときなどとなっている。
　(4)安全管理措置については、個人データを直接取り扱う従業者(教職員)に対して、生徒に関する個人データの漏えいを防ぐために、個人データを直接取り扱う者とその権限を明確にした上で、その業務を行わせること。個人データ管理責任者を選任すること。業務上知り得た生徒等の個人データは、その内容をみだりに第三者に知らせたり、または不当な目的に使用してはならないこと。その業務に係る職を退いた後も同様とする。生徒等に関する個人データ管理責任者および個人データを取り扱う従業者に対する教育・研修を行うことが求められている。
　(5)の第三者に個人情報を提供するにあたっての制限とは、本人の同意を得てから、第三者に個人データを提供すること。提供された第三者も、その従業者が個人情報を漏らしたり、盗用することのないようにしなければならない。さらに個人データを提供された第三者は、個人データの不必要な複写および複製を禁止するとしている。
　本人から自分の成績評価等を含む「保有個人データ」の開示を求められた場合は、(6)の「公表、開示」することになるが、その場合、教育活動に与える影響を勘案しなければならない。その際、生徒等の法定代理人から本人の情報を求められたときは児童虐待の恐れがあることを想定するよう求めている。
　最後に、個人情報保護法は最低基準であり、地方公共団体の条例等によって、事業者の義務等が追加される場合があり、各自治体の条例や指針にも留意が必要としている。