ユタ州の学校で使用されている教育テクノロジー（EdTech）アプリに関する2年間の調査の結果、多くのアプリがプライバシーに関する約束と矛盾すると思われる方法で生徒のデータを収集・共有していることが判明した。
EdTechは巨大な商業産業であり、利益、拡張性の高いソフトウェア、ユーザーデータの収集を、実証済みの学習成果よりも優先するという点で、従来の巨大テクノロジー企業とよく似た機能を果たしていると主張する人もいる。
このプロジェクトは、ユタ州教育委員会がブリガムヤング大学およびインターネット安全委員会と提携して発表したものです。 Labs研究者らは、2023年から2025年にかけて100の教育テクノロジーアプリから発信されたネットワークトラフィックを調査した。プライバシーポリシーやベンダーの保証だけに頼るのではなく、アプリが実際に使用中に送信した内容を調べた。
調査の結果は憂慮すべきものだった。関連するデータプライバシー契約を締結している85のアプリのうち、52%が契約で許可されていない学生データ要素を少なくとも1つ収集していたことが判明した。調査対象となったすべてのアプリにおいて、61%が第三者とデータを共有し、36%が広告主にデータを送信していたことも明らかになった。
学区は、教育テクノロジープロバイダーとデータプライバシーに関する契約を締結し、企業が収集できる情報、その利用目的、および共有相手を明記している場合があります。しかし、契約上の約束が必ずしもアプリの動作に反映されるとは限りません。アプリには、サードパーティの分析ソフトウェア、広告関連サービス、またはその他の組み込みコンポーネントが含まれている場合があり、学校や学区がこれらの情報転送を明確に把握できないまま、情報が外部に送信されることがあります。
これは、実際のネットワークトラフィックの分析を含む技術的なテストによって、紙ベースの評価では見落とされるような挙動が明らかになることを示している。報告書は、このような調査によって、従来のレビュープロセスでは発見できない潜在的な法令違反が明らかになる可能性があると結論付けている。
州の対応は調査結果の公表にとどまらなかった。潜在的な問題が指摘された業者には、その説明または是正を求めた。懸念事項に対応した企業は、公表される報告書の中で社名が伏せられる可能性があり、これは是正措置を促す一方で、対応しなかった業者には責任を負わせることを目的とした措置だった。
調査の結果、ユタ州は教育技術ベンダーのPrivacy遵守に関する法律（HB 55、2026年）を可決し、7月1日に施行された。この法律はユタ州法典§ 53E-9-309を改正するものである。その他の変更点として、教育機関はベンダーとの契約に学生データの保護に関する規定を含めること、学生データの不正使用をベンダーに通知すること、通知を受けた後もベンダーがプライバシー侵害を是正しない場合は契約を解除することが義務付けられている。
私たちは皆ユタ州に住んでいるわけではないので、どの学校システムにとってもより重要な問題は、 「アプリの動作はどうか？」ということです。
学生データの保護には、プライバシーポリシーを信頼するだけでは不十分です。学校は、使用しているツールの正確な一覧、明確な契約上の制限、そしてそれらの制限が遵守されているかどうかをテストするために必要な技術的専門知識へのアクセスを確保する必要があります。
ところで、 Malwarebytes Student Protectionプログラムをご存知ですか？
