英国教育省(DfE)は2023年2月に発表し、2026年7月に更新したデータ保護ガイダンスの中で、2025年データ使用・アクセス法(Data Use and Access Act 2025、以下DUAA)の施行について学校に周知しました。
同法は、英国GDPR(一般データ保護規則)、2018年データ保護法、電子通信プライバシー規則といった既存の個人データ保護法制に置き換わるものではなく、これらを修正・強化するものです。学校における児童、職員、保護者の個人データの取扱い方法について、より厳格な基準を導入します。
DUAAの主な変更点は以下の通りです。まず、個人データの使用はすべて適法で、透明性があり、安全でなければならず、適切な保護措置と明確な説明責任体制の構築が必須となります。次に、新たに「認識された正当な利益」という適法な根拠が導入され、個人のデータアクセスと利用に関する権利と期待がより明確化されました。また、自動意思決定システムの利用範囲が拡大されています。
さらに重要な変更として、個人データに関する苦情処理プロセスの強化が挙げられます。学校は個人が懸念事項を提起するための明確でアクセス可能な手続きを用意し、これらを迅速かつ効果的に処理することが法的に要求されるようになりました。
教育省は学校に対して、既存のデータ保護手続きを見直し、更新された要件に確実に適合させるよう促しています。具体的には、①個人データの収集、共有、アクセス方法、②データ処理に使用される適法な根拠、③職員のデータ保護責任と義務に関する認識、④個人データ処理に関する苦情の取扱い方法について、各学校が検討する必要があります。
DfEは今後、詳細な情報提供を予定しており、実践的な支援については、英国情報保護庁(ICO)が提供する最新のアドバイスとリソースへの参照を推奨しています。ICOは組織がDUAAに適合するための包括的なガイダンスと実用的サポートを提供しています。
出典：UK Department for Education, OGL v3.0
https://www.gov.uk/guidance/data-protection-in-schools/the-data-use-and-access-act-2025