英国教育省は2026年10月に、2025年データ利用・アクセス法（DUAA）に基づく学校向けコンプライアンスチェックリストを発表しました。このチェックリストは、DUAAの施行に伴う主要な変更点を学校が理解し、自校のデータ保護体制を適切に整備するための指針です。
DUAAはEU一般データ保護規則（GDPR）、2018年データ保護法、電子商取引およびプライバシー規則（PECR）を更新し、個人データの取扱い、共有、保護に関する要件を強化・精密化するものです。
主な変更点として、情報開示請求（SAR）に関しては、学校は不明瞭な請求について説明を求める際に1ヶ月の対応期限を一時停止できるようになりました。また、網羅的な検索ではなく「合理的かつ均衡の取れた検索」を実施することで足りるとされました。学校は対応手続きを見直し、期限の一時停止プロセス、検索の範囲と実施内容を記録する決定ログの整備が必要です。
データ保護苦情の処理についても新たな要件が追加されました。学校は苦情処理の明確なプロセスを確立し、個人が情報保護局（ICO）に訴える前に学校に苦情を提起する仕組みを整える必要があります。苦情は30日以内に確認応答し、迅速に対処すべきとされています。
自動意思決定とAI利用については、適切なセーフガード措置を講じれば、より広範な自動意思決定の使用が認められるようになりました。学校は個人に対し自動意思決定が行われていることを通知し、決定に異議を唱えたり、人間による再審査を請求できる仕組みを提供する必要があります。プライバシー通知にも自動意思決定の使用方法を記載し、個人が異議申立てや追加情報提出、再審査を請求するプロセスを明確に示す必要があります。
DUAAは「認識された正当な利益（RLI）」という新たな適法根拠を導入しました。これは脆弱層の保護、犯罪防止、緊急事態対応、国家安全保障など、法律で定められた特定の活動に限定されます。学校は独自にRLIを創作することはできず、また公的任務を遂行する場合はRLIではなく「公務」や「法的根拠」を継続して使用すべきとされています。
児童のデータとセーフガーディングについて、DUAAは既存のGDPR要件を強化し、児童データ処理時の特別保護の必要性を再確認しました。学校はセーフガーディング情報共有の手続きを見直し、情報共有の必要性と均衡性を記録し、児童向けのプライバシー情報を分かりやすく作成する必要があります。特にAIツール、教育技術（EdTech）、監視技術を導入する際はデータ保護影響評価（DPIA）の実施を検討すべきとされています。
プライバシー通知は基本的に変更不要ですが、学校は苦情処理手続き、自動意思決定、処理の適法根拠などDUAA関連の新要件を反映させ、平易な言葉で最新情報を提供する必要があります。また、ウェブサイト上のクッキーとオンライン追跡技術については、PECRの改正により低リスククッキーの一部は同意が不要となった場合があり、学校はクッキーポリシーと同意メカニズムを見直すべきとされています。
デジタル認証サービス（DVS）を使用する場合は、提供事業者が公式登録簿に記載されていることを確認し、実装前にデータ保護リスク評価とDPIAを実施し、プライバシー通知と契約を更新する必要があります。
これらの対応を通じ、学校はDUAAの要件を満たしつつ、児童・保護者・職員のデータを適切に保護する体制の構築が求められています。
出典：UK Department for Education, OGL v3.0（2026年10月14日更新）https://www.gov.uk/guidance/data-protection-in-schools/data-use-and-access-act-2025-duaa-compliance-checklist-for-schools
本記事は一次情報をもとにWorldEdu Report編集部が編集しています。編集方針：運営者情報