インドの学校における生徒データプライバシー：実践的な出発点

学校は、子供の名前、写真、住所、健康詳細、Aadhaar番号、家族情報などを保持しています。インドのデータ保護法（2023年デジタル個人データ保護法）は、子供のデータに特別な注意を払い、保護者の同意に関する要件を含めています。この記事は法的助言ではありません。学校リーダーのための実践的な出発点です。特定の義務については、資格のある専門家に助言を求めてください。

1. 何を収集し、なぜ収集するかを知る

入学時および年間を通じて収集する個人データをリストアップし、なぜ各項目が必要なのかを理由付けします。必要なければ、収集しないでください。

2. 同意を適切に取得し、記録する

同意が根拠となる場合（例：写真を公に共有する、APAAR生成）、日付とフォームと共に子供ごとに記録します。拒否を同意と同じくらい簡単にしてください。

3. 見られる人を制限する

教師は自分の生徒の詳細が必要であり、学校全体のものではありません。輸送オフィスは住所が必要であり、健康記録ではありません。データ範囲を持つ役割ベースのアクセスと、Aadhaarのような識別子のマスキングにより、ほとんどの偶発的な露出を防げます。

4. スプレッドシートの共有をやめる

多くの学校で最大のリスクは、すべての生徒の詳細が記載されたスプレッドシートがメールやWhatsAppで送信されることです。アクセス制御と監査証跡のあるシステムにデータを保持してください。

5. ベンダーを慎重に選ぶ

ソフトウェアベンダーに、データがどこでホストされているか、どのように暗号化されているか、バックアップがどのように保護されているか、ベンダーの誰がアクセスできるか、データが広告に使用されるかどうかを尋ねてください。

6. データをどれくらい保持するかを決める

一部の記録（入学台帳、結果）は長期保存が必要ですが、その他（訪問者の写真、CCTV）は一定期間後に削除すべきです。保持ポリシーを書き出してください。

7. インシデントに備える

誰が決定し、誰に通知し、何が起こったかをどうやって見つけるかを知っておいてください。アクセスと変更の監査証跡は、ここで非常に貴重です。

SSMSがどのように学校データを保護するかをお読みください。