ユタ州の学校で使われている教育テクノロジー(EdTech)アプリを対象とした2年間にわたる調査により、多くのアプリがプライバシーに関する約束事と食い違う形で生徒データを収集・共有していたことが明らかになりました。
EdTechは巨大な商業産業であり、実証された学習効果よりも利益、拡張性の高いソフトウェア、ユーザーデータの収集を優先するという点で、従来のビッグテックと同様の仕組みで動いていると指摘する声もあります。
ユタ州教育委員会がブリガムヤング大学およびInternet Safety Labsと共同で公表したこの調査プロジェクトでは、2023年から2025年にかけて100個のEdTechアプリのネットワークトラフィックを調べました。プライバシーポリシーやベンダー側の説明だけに頼るのではなく、研究者たちはアプリが実際の使用中に何を送信しているのかを検証しています。
その結果は憂慮すべきものでした。関連するデータプライバシー契約を結んでいた85個のテスト対象アプリのうち、52%が契約で許可されていない生徒データ要素を少なくとも1つ収集していたと報告されています。テストしたアプリ全体で見ると、61%が第三者とデータを共有し、36%が広告主にデータを送信していたことも判明しました。
学区がEdTechプロバイダーとの間でデータプライバシー契約を締結し、企業が収集できる情報の範囲、利用目的、共有先を明記している場合もあります。しかし、契約上の約束が実際のアプリの挙動に反映されているとは限りません。アプリには第三者の分析ソフトウェアや広告関連サービス、その他の組み込みコンポーネントが含まれていることがあり、学校や学区がその情報の転送先を正確に把握できないまま、データが外部へ送信されてしまうケースがあるのです。
これは、実際のネットワークトラフィックの検証を含む技術的なテストが、書面上の評価だけでは見落とされてしまう挙動を明らかにできることを示しています。報告書は、こうした調査によって、従来のレビュープロセスでは発見できない潜在的な契約違反を明らかにできる可能性があると結論付けています。
ユタ州の対応は、調査結果の公表にとどまりませんでした。問題の可能性が指摘されたベンダーには、説明や是正を求めました。懸念事項に対処した企業については公開報告書での社名を伏せることができる仕組みとし、是正措置を促す一方で、対応しなかったベンダーには責任を問う姿勢を取っています。
この調査を受けて、ユタ州ではH.B. 55「教育テクノロジーベンダーのプライバシーコンプライアンスに関する法律(2026年)」が成立し、2026年7月1日に施行されました。この法律はUtah Code § 53E-9-309を改正するもので、教育機関に対し、指定された生徒データ保護規定をベンダー契約に盛り込むこと、生徒データの不正利用をベンダーに通知すること、通知後もベンダーが確認済みのプライバシー侵害を是正しない場合は契約を解除することなどを義務付けています。
誰もがユタ州に住んでいるわけではありませんが、すべての学校システムにとってより重要な問いは共通しています。あなたの学校で使われているアプリは、実際にどう振る舞っているでしょうか?
生徒データを保護するには、プライバシーポリシーを信用するだけでは不十分です。学校側には、使用しているツールの正確な棚卸し、契約上の明確な制限、そしてその制限が守られているかを検証できる技術的な専門知識へのアクセスが必要です。
ところで、Malwarebytes Student Protectionプログラムをご存知でしょうか。
