英国教育省は、学校・アカデミー・トラストを対象とした包括的なデータ保護ガイダンスを提供しています。このガイダンスは2023年2月に最初に公開され、2026年6月に最新版が更新されました。
本ガイダンスの目的は、教育機関がデータ保護法（UK GDPR およびデータ保護法2018）に適合し、個人データを適切に保護するための方法を説明することです。学校における全職員が果たすべき責任と、データ保護責任者などの役割が明記されています。
ガイダンスの主要な内容は以下の通りです。まず「データ保護の基本」では、職員全員が個人データの保護、適切な個人情報の取扱い、問題が発生した場合の対応方法について理解すべきことが述べられています。
次に「法的根拠」として、学校が個人データ、特別カテゴリーデータ、犯罪関連データを合法的にアクセス・収集・保存・利用するための根拠が説明されています。
「責任体制」の項目では、学校内でデータを安全に処理する責任者の役割が定められています。特にデータ保護責任者（DPO）とデータ保護リーダーには、コンプライアンスの監督と学校・トラストを通じた適切な実践の推進という追加的責任があります。
さらに「データ共有」の項では、個人データの共有先や必要な同意について述べられており、試験結果の公表や予防接種プログラムなど具体的な事例が含まれています。
「写真・動画・CCTV」の項では、学校で撮影・使用する際のデータ保護上の考慮事項が説明されています。
「主体的アクセス要求（SAR）」への対応方法では、個人がそれぞれについて保有される個人データのコピーにアクセスするための手続きが規定されています。
「データ侵害管理」では、個人データ侵害の予防、認識、効果的な対応方法についての推奨実践が示されています。
特に注目される項目として、「生成AI とデータ保護」があります。学校における生成AIの利用に伴うデータ保護上のリスクに対応する方法についての新しいガイダンスが提供されています。
2025年に施行される「データ利用アクセス法 2025」についても、その変更点と教育省からのサポートが説明されています。
ガイダンスの実装を支援するため、ポスター、テンプレート、学習教材などのリソースがダウンロード可能な形で提供されています。職員が不確実な点がある場合は、学校の方針と手続きに従うか、直属の管理者またはDPOに助言を求めるよう促されています。
出典：UK Department for Education, https://www.gov.uk/guidance/data-protection-in-schools