英国教育省は、2023年2月に発表し2026年7月に最新化したEdTech（教育テクノロジー）調達時のデータ保護ガイダンスで、学校が個人情報保護法を遵守しながら教育デジタルツールを導入するための具体的な手順を示しています。
EdTechツールは学習管理、保護者連絡、学習評価を効率化し、アクセシブルで魅力的な学習環境を提供する一方で、生徒、保護者、職員の個人情報を収集・利用するため、データ保護設計と既定値による保護が重要とされています。
ガイダンスは、学校がEdTech導入前に実施すべきデータ保護影響評価（DPIA）を強調しており、高リスク処理（生徒のプロファイリング、大規模な生体認証データ処理など）の場合は必須としています。学校は「データ保護責任者（DPO）」に最初から導入完了まで相談すべきと指示しています。
学校が検討すべき主要事項として、処理する個人情報の内容、健康情報などの特別情報カテゴリーの有無、データ処理の法的根拠の選択、そしてデータの流れの追跡が挙げられています。学校は過度なデータ収集を避け、教育目的に本質的に必要なものに限定する必要があります。
ガイダンスは、サプライヤーとの契約時に確認すべき責任分担に関する明確な記述を求めています。学校が通常はデータ管理者（コントローラー）となりますが、保護者向けの追加機能などでサプライヤーが独立したデータ管理者となるケースも考慮する必要があります。また、サプライヤーが他の組織をサブプロセッサーとして使用する場合、その関係も把握しなければなりません。
特に注目されるのはAI機能を含むツールへの対応です。学校はAIがどのように使用されているか、コンテンツ生成、学習パーソナライズ化、自動意思決定やプロファイリング機能の有無などを検証する必要があります。また、AI訓練用にデータが使用される場合、データの位置、バイアス軽減方法、学校が有する制御権などをサプライヤーに説明させなければなりません。
ガイダンスは具体例を示しており、例えば管理情報システム（MIS）導入時は生徒名、連絡先、出席記録は必須だが、医学情報やSEND（特別な教育的ニーズ）情報を含めるかどうかは慎重に検討し、不要な追加フィールドは無効化する必要があると述べています。また、数学練習用アプリは生徒名、クラス、ログイン詳細のみに限定すべきとしています。
さらに、AI執筆支援ツールの例では、生徒の入力内容が宗教施設訪問や医学的予約などの追加個人情報を含む可能性があり、データが英国外に保存される場合、またはAI機能改善のためにデータが使用される場合、サプライヤーは独立したデータ管理者となり、学校が内部ポリシー要件を満たさない判断をすることもあると説明しています。
英国情報コミッショナーズオフィス（ICO）が直接EdTechプロバイダーと協力してデータ保護慣行を検証した報告書も参考資料として示されており、学校はこの報告書の共通リスク領域を検討すべきとされています。
出典：UK Department for Education, OGL v3.0 – https://www.gov.uk/guidance/data-protection-in-schools/procuring-educational-technology-edtech