GDPR、CCPA、LGDP、CPRA……データ主権に関する規制は、その動向を把握するのが困難です。しかし、それらは倫理的にも重要な意味を持ちます。未成年者である学生は、特に個人情報の盗難の被害を受けやすいため、学校や政府は彼らの情報を保護することに利害関係があるのです。
この記事では、管理者や技術担当者が知っておくべきデータ主権に関する重要な規制について解説します。さらに重要なのは、これらの規制が具体的なプラットフォーム要件にどのように反映されるかを示すことで、次回EdTechソリューションを評価する際に、どのような点に注目すべきかが明確になるようにすることです。ラテンアメリカで学校システムを運営している場合でも、フランスでセキュリティの脆弱性を監視している場合でも、このガイドが日々の業務におけるデータ主権への理解を深める一助となるはずです。
キーテイクアウツ
- データ主権は、単に法的義務を生むだけではありません。それは、貴機関が安全に導入できるプラットフォームの選択肢を狭めることにもなり、その結果、コンプライアンスはあらゆる選定プロセスにおける基本要件となります。
- 学校におけるデータ量の急増により、その重要性はさらに高まっており、データの保存に関する透明性と同意は不可欠なものとなっています。データの保存場所や方法を明確に説明できないプラットフォームは、候補リストから除外すべきです。
- 閉鎖的でブラックボックス的なソリューションでは、コンプライアンス対応が当て推量になってしまいがちですが、オープンなシステムであれば、クラウドプラットフォームにとって不可欠な本格的な監査が可能になります。クラウドベースのツールを評価する際は、アーキテクチャとデータフローを透明化しているプラットフォームを優先的に検討してください。
- GDPRからLGPD、CCPAに至るまで、各地域の規制には多くの点で違いがあります。しかし、いずれもデータ保管場所の設定、監査可能なデータ処理フロー、同意管理、および情報漏洩時の通知を義務付けています。
データ主権：基礎知識
データ主権 特定の領域内で生成または収集されたデータに対する政府の権限を拡大するものです。例えば、欧州連合（EU）には、 一般データ保護規則 （GDPR）など、 のような規則や規制を策定する権限を有しています。
しかし、データ主権はデータプライバシーとは異なります。後者は、個人情報がどのように収集、利用、共有されるかについて、個人が有する権利を指します。通常、これには同意、アクセス、削除の権利が含まれます。一方、データ主権はより広範な概念であり、そもそもどの政府がデータに対して管轄権を持つのか、そしてその結果としてどのプライバシー規則が適用されるのかという問題を扱います。
実際には、あるEdTechプラットフォームが、ある国のプライバシー要件を満たしている一方で、別の国のデータ主権を侵害している可能性があるということです。意思決定者にとっては、ソリューションがデータプライバシーとデータ主権の両方の要件を満たしていることを確認することが重要です。
データ主権がEdTechの動向に与える影響
学校教育の現場では、 適応型テスト、AIによる採点、遠隔学習などにおいてEdTechソリューションを採用する傾向が強まるにつれ、膨大な量のデータが生み出されています。例えば、 『The Data Scientist』誌によると、英国の学校が1日で生成するデータ量は、2000年のインターネット全体が1年間に生成したデータ量よりも多いとのことです。生徒数1,200人の学校1校だけで見ても、1日あたり平均10GBのデータ に相当しますに相当します。
これほど大規模な事業には、重大な責任が伴います。教育機関はデータ規制を遵守しなければならず、また この目的のために設計された が必要です。ここでは、データ主権のコンプライアンスを支援するEdTechソリューションに求められる主要な要件と、プラットフォーム評価の際に確認すべき質問事項をご紹介します。
透明な収納
多くの国では、自国領土内で生成された機密データを国内に保存することを義務付けています。この義務は、 データ・レジデンシーと呼ばれるこの義務付けにより、規制当局は国内法への遵守状況を検証できるようになります。理論上、これは管轄区域をまたぐ保存を許可する場合よりも、個人を特定できる情報（PII）をより安全に保つことにつながります。
データ居住要件への準拠を支援するためには、EdTechソリューションは自社の保存ポリシーについて透明性を確保する必要があります。ソフトウェアベンダーがデータの保存場所や方法について開示しない場合、そのシステムは監査の対象とならず、要件に準拠しているかどうかを判断する手段がなくなります。
確認すべき点： ベンダーは、お客様のデータがホストされている地域を特定できますか？その情報は、文書や独立した監査を通じて確認できますか、それともベンダーの言葉を鵜呑みにするしかありませんか？
同意
規制は管轄区域によって異なりますが、同意は共通のテーマです。EUのGDPRが施行されて以来、同意チェックボックスはウェブ体験の定番となっています。EdTechも例外ではありません。生徒のデータを保存する前に、法的要件を満たすために同意を得なければなりません。
確認すべき点： 検討中のプラットフォームには、管轄区域の要件に合わせて設定可能な同意取得ワークフローが組み込まれていますか？それとも、チームがそのプロセスを別途追加する必要があるでしょうか？
保護者のアクセス
多くの地域では、保護者は生徒のデータにアクセスし、訂正する権利を有しています。米国では、この権利は 「家族教育権利・プライバシー法」（FERPA）によって法的に定められています。FERPAや同様の世界的な規制に準拠するため、EdTechソリューションは、管理者が保護者（または成人に達した生徒）にデータへのアクセス権を付与することを容易にする必要があります。
確認すべき点： そのプラットフォームには、ベンダーの関与なしに、保護者のアクセス権の付与、取り消し、および監査を簡単に行えるロールベースのアクセス制御機能が備わっていますか？
オープンソースに関する洞察
自社のEdTechプラットフォームの内部構造を「覗き見」できない場合、どのようにコンプライアンスを確認すればよいのでしょうか EdTechプラットフォームの「内部構造」を確認できなければ、コンプライアンスをどのように検証できるでしょうか？ できません。だからこそ、オープンソースソフトウェアは、規制当局の監視下においてもその強靭さが広く認められているのです。オープンソースソリューションはコードベースを公開しているため、組織はライセンスや著作権を気にすることなく、データ規制に準拠するようシステムを監査、修正、進化させることができます。
確認すべき点： プラットフォームのコードベースは公開されており、監査可能ですか？そうでない場合、ベンダーは自社のデータ処理が主張通りであることを証明するために、どのような独立した検証を提供していますか？
データの主権とクラウドプラットフォーム
クラウドインフラは、多くのEdTechツールにおいて標準的な選択肢となっています。しかし、学生情報が商用クラウド環境に投入されるやいなや、次のような疑問が浮上します。データはどのリージョンにホストされているのか？基盤システムへのアクセス権限を持つのは他に誰がいるのか？処理の過程で、どのようなサードパーティのサービスが密かに関与しているのか？
管理者は、1つのワークフローに、複数の管轄区域にまたがって点在するストレージ・バケット、ロギング・ツール、分析サービスが寄せ集めのように組み合わされていることを知って、しばしば驚かされる。
ここで、データ主権に関する法律と、主要なクラウドプラットフォームの実務上の限界が衝突します。プロバイダーが地域ごとのホスティングオプションを提供している場合でも、厳格なデータ保管場所の要件や監査要件を満たすために必要なレベルの制御を、学校側に提供することはほとんどありません。 国境を越えたレプリケーション（サーバー障害に備えて複数の国のサーバーにデータを複製すること）、自動バックアップ手順、および責任分担モデルは、コンプライアンスの遵守を助けるどころか、かえって複雑化させる可能性があります。例えば、あるプラットフォームがプライマリデータを国内に保存しつつ、バックアップを海外の管轄区域に複製している場合、技術的には居住地規則に違反していることになりますが、利用者はその事実を全く知ることがないのです。
残念ながら、すべてのクラウドプラットフォームが厳格な主権要件に対応しているわけではありません。コンプライアンスを検証するには、オープンスタンダードに基づいて構築され、カスタマイズ可能な導入オプションを備えたEdTechシステムが必要です。これにより、自社のクラウドを選択し、データ保管規則を適用し、評価プロセス全体の所有権を維持することが可能になります。
地域別の主要なデータ主権に関する要件
上記の類似点があるとはいえ、データ主権は各管轄区域固有の法制度を反映したものです。しかし、あらゆる規制を網羅的に列挙するよりも、それらの共通点を把握し、調達において重要な相違点に焦点を当てる方が有益です。
GDPRなどの枠組みにおいて、 FERPA、 カリフォルニア州消費者プライバシー法 (CCPA）、 個人情報保護および電子文書法 （PIPEDA）、 ブラジルの一般データ保護法 (LGPD)、および日本の 個人情報保護法 （APPI）において、いくつかの要件は共通しています：
- 同意と通知： ほぼすべての法域において、個人データの収集前にはインフォームド・コンセントが求められており、また、データ漏洩が発生した際には個人への通知が義務付けられています。設定可能な同意ワークフローや自動化された漏洩通知機能を備えていないプラットフォームは、事実上これらすべての市場においてリスク要因となります。
- アクセス権および訂正権： 生徒および／または保護者は、ほぼ常に自身の記録を閲覧、訂正し、多くの場合、削除する権利を有しています。つまり、プラットフォームは役割ベースのアクセス制御とセルフサービス型のデータ管理をサポートする必要があります。
- 監査可能性： 世界中の規制当局は、組織に対し、コンプライアンスを単に主張するだけでなく、それを実証することを求めています。これには、監査可能なデータフロー、明確な文書化、そして理想的には、独立した検証を容易にするオープンなコードベースが必要です。
地域ごとの規則
中国やEUを含む一部の法域では、データが管轄区域内に留まることが義務付けられています。一方、日本などの法域では国境を越えたデータ転送が認められていますが、転送先の国が一定の最低品質基準を満たしている必要があります。したがって、プラットフォームが複数の地域に対応する場合、設定可能なデプロイメントオプションが必要となります。
法執行の状況は地域によって大きく異なります。GDPRは積極的な法執行と多額の罰金で知られていますが、ラテンアメリカや南アジアの規制当局は対応能力が低いのが実情です。とはいえ、ブラジルのLGPDやインドの デジタル個人データ保護法 はいずれもより厳格な監督を求めているため、プラットフォームはこれらの地域においてより高い基準を満たせることを示す必要があります。
最後に、米国やカナダのような連邦制を採用している国では、州と国の規制が重層的に存在することが多い。カリフォルニア州のCCPAやアルバータ州の 個人情報保護法 （PIPA）は、連邦の規則に加えてさらなる要件を課しています。つまり、国家レベルの基準のみを満たしているプラットフォームは、州レベルの規制においては不十分となる可能性があります。
結論
データ主権に関する規制が拡大するにつれ、プラットフォームの選定はガバナンス上の課題となりつつあります。データの保管場所、アクセス権限、および情報漏洩の報告方法などが規制によって定められる中、選択したプラットフォームは、今後数年にわたる保護者や規制当局との関わり方の基調を決定づけることになるでしょう。
長期的なコンプライアンスを確保するためには、調達担当者は、従来の教育機能に加え、プライバシー、透明性、および管理機能を優先させなければなりません。規制は絶えず変化しており、ある程度予測不可能なため、最も正当性を主張しやすい選択肢は、オープンスタンダードに基づいて構築されたプラットフォームです。これは、新たな規制要件が導入されても柔軟に対応できる十分な柔軟性を備えているからです。
オープンスタンダードに基づくプラットフォームが、さまざまな規制環境においてデータ主権をいかに支援できるかを探るには、TAOが提供する以下の役立つリソースをご覧ください：
- 学校や政府がオープンソースの評価ソフトウェアに注目する理由
- デジタル評価ソフトウェアの未来：オープンソースが勝つ理由
- K-12スクールがテストのセキュリティとデータプライバシーを改善するための3つの方法
オープンソースのEdTechがコンプライアンス強化にどう役立つかをご覧ください
ここまでお読みいただいた方なら、データ主権をめぐる議論が単なる机上の空論ではないことはお分かりでしょう。これは、組織に導入するツールに関するあらゆる意思決定に影響を及ぼします。誰かの言葉を鵜呑みにするのではなく、デモをご予約いただき、TAOが評価データを外部サービスの複雑なネットワークに委ねることなく、どのように管理しているかをご確認ください。短いデモセッション一つで、何十もの宣伝文句よりも多くのことがお分かりいただけるはずです。 今すぐデモをご予約ください。
よくある質問
教育におけるデータ主権とは何ですか？
データ主権とは、学習者のデータが、そのデータが収集または保存された国の法律の適用を受けることを意味します。学校やベンダーは、プラットフォームが都合が良いと考える基準ではなく、その地域の規則に従わなければなりません。
EdTechにおいて、データの保管場所がなぜ重要なのでしょうか？
一部の管轄区域では、学生情報の国内保管が義務付けられています。プラットフォームが保存場所を保証できない場合、教育機関はコンプライアンス違反のリスクを負い、学生記録へのアクセス権を失う可能性があります。
教育機関は、EdTechプラットフォームがコンプライアンスを満たしていることをどのように確認すればよいでしょうか？
文書が明確であることを確認し、システムが監査可能であることを確認し、データがどこに、どのように保存されているかについて、完全な可視性と管理権限を確保してください。
