英国教育省は、学校がUK一般データ保護規則（UK GDPR）およびデータ保護法2018に準拠するためのデータ保護ポリシーと手続きに関するガイダンスを公開しています。このガイダンスは、学校が個人データを適切に管理し、法令遵守を証明するために必要な具体的な手順を示しています。
【処理活動記録の作成】
ガイダンスは、学校が保有するすべての個人データを把握し、「処理活動記録」を作成することを求めています。学校は、管理情報システム、通信システム、セーフガーディング（児童保護）技術、カリキュラム管理ソフトウェア、仮想学習環境、給食システムなど、複数のシステムに保存されたデータを特定する必要があります。処理活動記録には、学校の名前と連絡先、データ保護責任者の情報、個人データの処理目的、処理する個人データの種類、データ共有先の組織カテゴリー、各データの保持期間、技術的・組織的セキュリティ対策の説明などの必須情報を含める必要があります。
【データ保護影響評価（DPIA）】
ガイダンスは、個人データの処理が個人の権利と自由に対する「高リスク」をもたらす可能性がある場合、データ保護影響評価（DPIA）の実施を義務付けています。特に、児童を含む脆弱なデータ主体についての個人データ、バイオメトリクスなどの革新的技術を用いた処理、監視システムを含むセーフガーディング機器に関するデータについてDPIAを検討すべきとしています。DPIAは1回限りではなく、学校のデータ処理方法に重大な変更がある場合や新しいセキュリティの脅威が特定される場合は定期的に見直す必要があります。
【プライバシー通知】
すべての学校は、個人データを取り扱う者に対してプライバシー通知を自由にアクセス可能な形で提供しなければなりません。プライバシー通知には、学校が個人データ収集を必要とする理由、その使用目的、保持期間、他の組織との共有有無を明確に説明する必要があります。通知は理解しやすく、アクセス可能な形式である必要があり、年1回以上の見直し、および個人データの処理方法に重大な変更がある場合の更新が求められています。保護者、生徒、職員といったデータ主体には、重大な変更について通知される権利があります。
ガイダンスは、学校のリーダーシップチームと理事会または受託者に対し、処理活動記録を共有し、学校が必要なデータのみを保持していることを確認する責任があると強調しています。このガイダンスは2023年2月に初版が発表され、2026年6月に最終更新されています。
出典：UK Department for Education, OGL v3.0 https://www.gov.uk/guidance/data-protection-in-schools/data-protection-policies-and-procedures