学校が個人情報をクラウドに預けるときに確かめること

学校が扱う個人情報と要配慮個人情報

権限と閲覧の記録

• 役割ごとに、見られる記録と変えられる記録を分けられるか。
• 担任や教科担当が、自分の担当以外の学生の記録を見られないようにできるか。
• 住所や健康の情報など、特に慎重に扱う情報の表示を制限できるか。
• 誰が、いつ、どの記録を見たり変えたりしたかが記録され、後から確かめられるか。
• 職員が異動・退職したときに、すぐに権限を外せるか。

契約終了時のデータ

• 契約が終わるとき、どのデータを、どの形式（CSVなど）で受け取れるか。
• 受け取れる期限と、費用がかかるか。
• 受け取ったあと、提供会社の環境からデータをいつ、どう消すか。消したことを確かめる方法。
• バックアップに残ったデータの扱い。

確認リスト

候補ごとに、次の項目の回答を書面でもらいます。印刷して使えます。

1. 1要配慮個人情報を含めて、扱う情報の区分を整理したか。
2. 2委託先の安全管理措置の内容を、資料で確かめたか。
3. 3契約に、安全管理、再委託、事故の報告、契約終了時の扱いが入っているか。
4. 4役割ごとの権限と、担当以外の学生を見られない設定ができるか。
5. 5閲覧と変更の記録を、学校が確かめられるか。
6. 6データの保管場所（国・地域）が分かるか。
7. 7どの機能で、どの情報が、どの外部サービスに送られるかが分かるか。
8. 8契約終了時のデータの受け取りと消去の方法が決まっているか。

よくある質問

クラウドのサービスに預けることは、第三者提供になりますか？

利用目的の達成に必要な範囲で個人データの取扱いを委託する場合、委託先は第三者に当たらないとされています（個人情報保護法第27条第5項第1号）。そのかわり、委託先の監督が必要です。