広島叡智学園「全生徒にウェアラブル端末、生体データや入退室を管理」で炎上、個人情報取得には何が必要？

瀬戸内海の離島にある広島県大崎上島町に2019年4月、開校される広島県立広島叡智学園。全寮制の中高一貫校で、国際バカロレア・ディプロマ対応と、広島県が鳴り物入りで準備を進めている新設校だが、4月30日に中国新聞が報じた記事をめぐって騒動が起こった。

【関連記事：子連れ夫婦、2人分の料理を注文して「小学生の子ども」とシェア…そんなのアリ？】

記事によると、広島叡智学園では、全生徒にウェアラブル端末を購入してもらい、「心拍数」などのバイタルデータを取得したり、校内売店で電子決済したりすることが想定されているという。取得されたデータは、「インターネット上で管理」され、「情報の一部は教職員や保護者がインターネットで確かめられる仕組みを取り入れる。生徒に異変がある場合には、養護教諭たちに自動で情報が伝わる仕組みの導入も検討している」とされていた。

これに対し、生徒の状態と行動が学校や保護者に常時把握されることから、ネットでは「監獄」「ディストピア」と批判が集中、炎上した。広島叡智学園は5月2日、「導入は検討中」「購入は希望制」「学校がバイタルデータを強制取得することはない」と報道を否定するコメントを公表した。しかし、中国新聞の記事はいまだ読める状態にあり、訂正はされていない。

ウェアラブル端末で得られる生徒の情報だが、報道で明らかになっているのは、「心拍数」「血圧」「歩数」「睡眠時間」「食事の履歴」「入退室の履歴」「購買の履歴」だ 。これらの情報は広島県個人情報保護条例に定める「個人情報」に該当し、その取得や取り扱いには一定の義務が課せられている。

では、広島叡智学園がウェアラブル端末を用いて生徒の個人データを取得、管理、利用するには、どのような手続きや配慮が必要なのだろうか。また、どのような問題点が考えられるのだろうか。個人情報保護法に詳しい板倉陽一郎弁護士に取材した。（弁護士ドットコムニュース編集部・猪谷千香）

●主なポイント

板倉弁護士の見解を要約すると次の通りだ。

・学校や保護者の「リアルタイム把握」には明確な目的が必要

・「生徒の健康管理のため」だけでは利用目的として「不適切」

・同意を得るだけでなく、県個人情報保護審議会に諮問が適切

詳細な見解を以下に掲載する。

●学校や保護者の「リアルタイム把握」には明確な目的が必要

板倉弁護士は報道で明らかになっている範囲から、問題点をこう指摘する。

「県条例では、『実施機関は、個人情報を収集するときは、個人情報を取り扱う事務の目的を明確にし、当該目的を達成するために必要な範囲内で、適法かつ公正な手段により収集しなければならない』（5条1項）とされている（なお、ここで義務を負う「実施機関」は県立高校の場合には教育委員会ということになる。県条例2条1項）。

したがって、『個人情報を取り扱う事務の目的』を明確にしなければならず、学校や保護者のリアルタイム把握ということが、一体どのような目的を持ってなされるのかということが明確にされなければならない。

また、どの程度の強制性を想定していたのかは不明であるが、生徒の自由意思を抑圧して装着させたようなウェアラブルデバイス（端末）での情報の取得は、『適法かつ公正な手段』にあてはまるか相当程度の疑義がある。

県条例5条2項柱書は、『実施機関は、思想、信条及び信教に関する個人情報並びに社会的差別の原因となるおそれのある個人情報を収集してはならない。ただし、次の各号のいずれかに該当するときは、この限りでない。』と定めている。

『心拍数』『血圧』『歩数』『睡眠時間』『食事の履歴』『入退室の履歴』『購買の履歴』といったバイタルデータから持病等が判明することも考えられ、『社会的差別の原因となるおそれ』に該当する可能性も十分にある」

●「生徒の健康管理のため」だけでは利用目的として「不適切」

「生徒の健康管理のため」という利用目的は、取得した時に本人に明示するものとしても、十分に「明確」と言えるのだろうか。

「県条例5条は『個人情報を取り扱う事務の目的を明確にし』と定めており、民間事業者に適用される個人情報保護法が『個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的（以下「利用目的」という。）をできる限り特定しなければならない。』（15条1項）と定めているよりも、強い特定が求められると言える。

個人情報保護法の解釈としても、『単に「事業活動」、「お客様のサービスの向上」等のように抽象的、一般的な内容を利用目的とすることは、できる限り具体的に特定したことにはならない』とされており（個人情報の保護に関する法律についてのガイドライン（通則編）（平成29年3月最終改正版）3−1−1 ）、これと比しても、『生徒の健康管理のため』というだけでは抽象的であり不適切であろう。

また、教職員や養護教諭は学校の職員と考えられるが、保護者に情報を提供するとすれば明らかな外部への提供であり、原則として保護者への提供それ自体が目的として掲げられる必要があると考えられる」

●生徒が自らのデータを親に見せたくない場合は、拒否できる？

当事者の生徒にとって、中には保護者に見られたくないデータもあると考えられる。そうしたデータについて、生徒本人が取得に同意していないものの、保護者は同意している場合、どちらの意向が優先されるのだろうか。

「保有個人情報の提供に関する同意（県条例6条1項2号）が何歳から有効に行えるかについては条例に定めがなく、個人情報保護法等においても定められていない。

この点、欧州一般データ保護規則においては、『情報社会サービスの提供』に関し、16歳以上の場合には単独で同意ができることが定められており、各加盟国はこれを13歳以上まで下げることができる（欧州一般データ保護規則8条1項）。

我が国においても、高校生（15歳以上）ともなれば、単独で有効な同意が行えるものと考えるべきではないか。その場合、保護者は同意権者ではないので、本人たる高校生の同意の有無が尊重されることになる」

●生徒のデータを保護者が閲覧、県個人情報保護審議会に諮問が適切

では、生徒の同意を得ずに保護者が閲覧できるケースはあるのだろうか。

個人情報保護法では、児童の健全育成推進のために特に必要であり、かつ本人からの同意を取るのが困難な場合には、同意なく第三者への個人データの提供が可能となる（第23条第1項三号）。ところが、広島県個人情報保護条例ではその例外が定められていない（第6条第1項）。すると、生徒から取得したデータを、生徒からの同意なく保護者が閲覧できる状況をどう判断すればよい？

「前述の通り、『生徒の健康管理のため』という目的の定め方は適切ではないが、更に特定した上で、保護者への提供を含んだ目的を定めることは（取得前であれば）可能である。

また、保護者への提供そのものを目的として定めなくとも、目的の範囲内であれば、外部である保護者に提供することは可能である（県条例6条1項柱書）。もっとも、どのような利用目的を定めても自由ということではなく、実施機関たる教育委員会の所掌の範囲内である必要があるし、生徒のプライバシーを過度に侵害するような目的の定め方は（仮に所掌の範囲内であっても）それ自体が憲法13条に反して無効ということも考えられる。

また、県条例6条1項8号により、『広島県個人情報保護審議会の意見を聴いた上で、相当な理由があることを実施機関が認めて利用し、又は提供するとき』であれば、本人の同意なしに保護者に提供することも可能である。実務的には、生徒の同意を得るとしても、その同意は真意に基づいたものであるか疑問があり、県個人情報保護審議会に諮問し、答申を経ることが適切であろう」

●留学生の個人情報には国内法が適用される

広島叡智学園では、高校一学年60人のうち、20人を海外からの留学生の枠とすることを公表している。外国籍の留学生に対しても、国内法や県の個人情報保護条例が適用されるのだろうか？

「国内法が適用される。

外国籍であるからといって、当該外国のデータ保護法が常に域外適用されるものではない。例えば本件で欧州国籍の生徒がいたとしても、一般データ保護規則が適用される余地はない。

もっとも、域外適用をどのように定めるかは当該外国の法令によるのであるから、全く適用されないことは保証できないが、万が一域外適用されるとしても、当該外国からみて主権の及ばない範囲である日本における取扱いに対して強制力のある手段を行使することは出来ない。また、域外適用されるとしても，国内法の適用は排除されない」

透明性を保持し、適切な手続きが求められるウェアラブル端末の導入。弁護士ドットコムニュース編集部では、導入の経緯説明などを求めて取材を申し込んだが、県教委は発表コメントを繰り返すだけで、送付した質問には一切、回答はなかった。

（弁護士ドットコムニュース）

【取材協力弁護士】
板倉 陽一郎（いたくら・よういちろう）弁護士
2007年慶應義塾大学法務研究科（法科大学院）修了。2008年弁護士（ひかり総合法律事務所）。2016年4月よりパートナー弁護士。2010年4月より2012年12月まで消費者庁に出向。2017年6月より日本弁護士連合会消費者問題対策委員会副委員長（電子商取引・通信ネットワーク部会長）。

事務所名：ひかり総合法律事務所
事務所URL：http://www.hikari-law.com/