MEXCBTのロゴ

最近、ネット上で、文科省の学校CBTシステム(eラーニングシステム)の「MEXCBT」(メクビット)は生徒の個人情報を取り扱っていないというのは本当なのか?とちょっとした話題になっています。

このMEXCBTは文科省サイトによると、「児童生徒が学校や家庭において、国や地方自治体等の公的機関等が作成した問題を活用し、オンライン上で学習やアセスメントができる公的CBT(Computer Based Testing)プラットフォームである「文部科学省CBTシステム(MEXCBT:メクビット)」の開発・展開を進めています。」というもので、要するにeラーニングのシステムのようです。
・文部科学省CBTシステム(MEXCBT:メクビット)について|文科省

メクビットの概要
(文科省「MEXCBTについて」より)

ところで文科省サイトの解説ページのQAをみると・・・

Q1-8. MEXCBT を活用する際の児童生徒の個人情報の取り扱いはどうなっていますか。
A. MEXCBT は児童生徒の氏名等の個人情報は扱いません。詳細は利用申込フォームの「<留意事項>●MEXCBTにおける情報の取扱いについて」をご参照ください。
メクビットQA1-8
(文科省サイトの解説ページのQAより)

と、「MEXCBTでは児童生徒の個人情報は取り扱わない」と説明されています。

また、「文部科学省CBTシステム運用支援サイト」のQAも、「MEXCBTは、児童生徒の氏名等の個人情報は扱いません。」としています。

メクビットは個人情報を取り扱っていますか
(文部科学省CBTシステム運用支援サイトより)

しかしこの「MEXCBTは個人情報を取り扱っていますか」のページをざっと読んでも、MEXCBTは生徒に「児童生徒0001」などの一人一アカウントを割り振って管理を行っていること、また生徒の答案や解答、成績などのデータを収集・保存・利用・分析等することが書かれています。

このブログでは何度も取り上げているように、個人情報とは「個人に関する情報」であって、氏名、住所・・・「その他の記述により特定の個人を識別できるもの」です。そして容易に参照できる場合にも個人情報に含まれます。(個人情報保護法2条1項1号。)ここでいう「特定の個人を識別できる」とは、当該個人の氏名などが不明でも構わないものであり、「あの人、この人」と個人を識別できれば要件を満たします。

つまり、MEXCBTは仮に生徒の氏名・住所などは登録・管理していないとしても、アカウントで生徒個人を管理しており、さらにそれぞれの生徒の解答や成績などのデータを収集・保存などしているのですから、それらのデータは「個人に関する情報」であって、かつそれらのデータにより「あの人、この人」と特定の個人を識別できるので、やはりMEXCBTは個人情報・個人データを取り扱っていると考えるのが自然なのではないでしょうか。

(あえて言えば、生徒の氏名等を管理していないので「仮名加工情報」的に個人情報・個人データを取り扱っているといえますが、しかし仮名加工情報も個人情報・個人データに含まれます(法2条5項)。)

MEXCBTが個人情報・個人データを扱っているということになれば、第一に当該システムの運営主体である文部科学省は生徒や保護者などに対してプライバシーポリシーを作成して個人情報の利用目的などを通知・公表する義務を負います(法62条)。そうでなければ「偽りその他不正の手段による個人情報の収集」として違法となる可能性があります(法64項)。また、文科省が必要最小限の個人情報を持つことを規律するために、利用目的はできるだけ特定されなくてはなりません。「GIGAスクール構想のため」などの漠然とした利用目的は違法のおそれがあります(法61条1項)。

第二に、文科省はMEXCBTで収集した個人データで生徒をプロファイリングして不当に差別・選別等することは不適正利用の禁止に抵触して違法となるおそれがあります(法63条)。加えて、文科省はこのMEXCBTについて個人データが滅失・棄損・漏洩などが発生しないように安全管理措置を講じる義務を負い、システムの運用等を民間企業等に委託する場合には委託先の監督も義務付けられます(法66条)。

第三に、文科省は生徒や保護者等から生徒の個人データの開示請求・訂正・利用停止請求などがあった場合にはこれに応じる義務があるので、その手続き等についてもプライバシーポリシーに明示が必要です(法76条以下)。あわせて文科省はMEXCBTで収集した個人データについて、原則として生徒や保護者の同意のない目的外利用や第三者提供は禁止されます(法69条)。

第四に、2022年の個人情報保護法改正で、個人情報保護委員会は行政機関等に対しても個人情報の取扱いに関して報告徴求や立入検査、行政指導などを実施することができるようになりました(法153条、154条)。そのため、個人情報保護委員会は、MEXCBTやGIGAスクール構想、「行政の保有する子どもの個人データの共有プラットフォーム構想」などにおける個人情報の取扱いに関して、文科省やデジタル庁、子ども家庭庁などに対して、報告徴求や立入検査などを実施し、行政指導などを行うべきではないでしょうか。

このブログ記事が面白かったらブックマークやシェアをお願いします!

■参考文献
・岡村久道『個人情報保護法 第4版』624頁、457頁

■関連する記事
・デジタル庁「教育データ利活用ロードマップ」は個人情報保護法・憲法的に大丈夫なのか?
・文科省が小中学生の成績等をマイナンバーカードで一元管理することを考える-ビッグデータ・AIによる「教育の個別最適化」
・小中学校のタブレットの操作ログの分析により児童を評価することを個人情報保護法・憲法から考えた



[広告]