FERPA準拠
学生データ抽出：入試担当者向けガイド

FERPAに基づき、学生の文書が「教育記録」となる条件

判断の出発点となるのは、学生記録を作成する意図があるかどうかではなく、処理対象の文書がすでにFERPAの定義を満たしているかどうかです。34 CFR § 99.3に基づき、教育記録とは、(1) 特定の学生に直接関連し、(2) 教育機関または団体 — あるいはその機関・団体に代わって行動する当事者 — によって保持されている記録を指します。この最後の条項こそが、第三者による文書抽出ツールをFERPAの適用範囲に含める理由です。

文書が「直接関連する」とみなされるのは、学生の氏名、ID番号、その他の識別子によって学生が明示的に特定される場合、または文書の内容と他の合理的に入手可能な情報を組み合わせることで学生の身元が推定できる場合です。学生の正式な氏名、生年月日、住所が記載された入学願書は、機関が保持する記録の一部となった時点で明らかに教育記録です。成績証明書も同様です。学生の氏名が記載された教師の推薦状も教育記録です。

では、最終的に入学しなかった学生の願書はどうでしょうか。FERPAの定義は、学生が最終的に在籍するかどうかではなく、記録が機関によって保持されているかどうかに基づいています。入試担当部署が志願者のファイルをスキャンして保存した場合、入学の成否にかかわらず、それらの文書は§ 99.3に基づく教育記録となります。次年度の入試サイクルに繰り越された保留願書についても同様です。

文書に学生の氏名が記載され、担当部署がそれを物理的、サーバー上、またはクラウドアプリケーションで保存している場合、それはほぼ間違いなく§ 99.3に基づく教育記録です。形式は問いません。この規制は明示的に「手書き、印刷物、コンピュータメディア、ビデオテープ、オーディオテープ、フィルム、マイクロフィルム、マイクロフィッシュ」を対象としています。手書きの入学書類をスキャンしたPDFは、原本の紙文書と同じ規制上の重みを持ちます。

教育記録に該当しない文書には、個人が保持し他者と共有しない個人専用メモ、法執行機関の記録、学生従業員の従業員としての雇用記録、医療専門家による治療記録（34 CFR § 99.3(b)）が含まれます。これらの除外事項のいずれも、入試担当部署が日常的に扱う入学願書、成績証明書、推薦状、奨学金申請書類には適用されません。

FERPAとその他の規制が教育現場の文書ワークフローにどのような影響を与えるかについてのより広い視点については、教育向けOCRガイドをご覧ください。このガイドでは、学校記録のスキャンとデジタル化に関する運用上の考慮事項とともにFERPAについて解説しています。

アップロードした瞬間 — 自動抽出が「開示」となる理由

FERPAの§ 99.30に基づく中核的なルールは明確です。教育機関は、保護者または対象となる学生の事前の書面による同意なしに、学生の教育記録から個人を特定できる情報（PII）を開示してはなりません。§ 99.3における開示の定義は、「口頭、書面、電子的手段を問わず、いかなる手段によっても、教育記録に含まれる個人を特定できる情報へのアクセスを許可すること、またはその情報を第三者に提供、転送、その他の方法で伝達すること」を意味します。

学生文書を第三者のAI抽出ツールにアップロードすることは、この定義のすべての要素に該当します。文書は教育機関からプロバイダーへ電子的に送信されます。プロバイダーのクラウドインフラストラクチャはファイルを受信します。プロバイダーのAIモデルはデータを抽出するためにコンテンツを処理します。これらの各ステップは、最後のステップだけでなく、すべてFERPAに基づく開示となります。送信、保存、推論 — これらはすべて、法的根拠を必要とする処理操作です。

これは理論上の懸念ではありません。r/k12sysadminでの2021年6月の議論は、この実際的な問題を正確に捉えています。ある学区は、外部に送信される生徒データについてFERPA要件を満たすファイル共有ソリューションを求めていました。そのスレッドの中心的な問い — 「このプロバイダーは当方の管理下で行動しているのか、それとも独立して行動しているのか？」— は、まさにすべての入試担当部署が、いかなるクラウドツールに学生文書を1件でもアップロードする前に答えなければならない問いです。

つまり、開示自体は違法ではありません — ただし、FERPAの例外のいずれかが適用される場合に限り合法です。文書抽出に関して重要となる例外は、学校関係者の例外です。それがなければ、そのアップロードは無許可の開示であり — 定義上、教育記録の無許可の開示はFERPA違反となります。

コンプライアンス上の問いは、自動抽出を合法的に行えるかどうかではありません — 選択した特定のプロバイダーが学校関係者の例外の基準を満たしているかどうかです。アップロード自体が開示義務を生み出し、例外がそれを満たすのです。

学校関係者例外 — § 99.31(a)(1)に基づくコンプライアンス経路

34 CFR § 99.31(a)(1)(i)(B)に基づき、クラウドベースの文書抽出プロバイダーを含む外部委託業者は、3つの条件がすべて満たされる場合に限り、事前の学生同意なしに教育記録を受領できる「学校関係者」とみなされます。各条件はコンプライアンスの関門です。いずれか1つでも満たされない場合、例外は適用されず、開示は無許可となります。

PTACが2014年2月に発表したガイダンス文書「オンライン教育サービス利用時の生徒プライバシー保護」では、FERPAが厳密には要求していない場合でも学校は書面による契約を使用すべきであり、契約にはデータの所有権（提供者ではなく学校）、処理の目的、契約終了時のデータの返却または破棄を明記すべきとされています。PTACが2016年3月に公開したモデル利用規約文書には、これらの各条項に対応する具体的な契約文言が記載されています。

運用上の注意点として、学校関係者とみなされる者を決定するのは提供者ではなく教育機関です。§ 99.7(a)(3)(iii)に基づき、教育機関が生徒に送付する年次FERPA通知には、学校関係者とみなされる者の基準および正当な教育上の利益の構成要件を明記しなければなりません。貴機関の通知が外部の文書処理提供者を学校関係者として想定していない場合は、アップロード前に通知を更新してください。

ディレクトリ情報と完全な教育記録 — なぜこの例外が入学フォームをカバーしないのか

入試担当チームの中には、入学フォームのデータをディレクトリ情報として扱い、学校関係者の例外を完全に回避できるかと質問する方もいます。その答えは、FERPAがディレクトリ情報として実際に定義しているものと、定義していないものにかかっています。

34 CFR § 99.3に基づき、ディレクトリ情報とは「開示された場合に一般的に有害またはプライバシー侵害とみなされないであろう、生徒の教育記録に含まれる情報」と定義されています。これには、生徒の氏名、住所、電話番号、メールアドレス、写真、生年月日および出生地、専攻分野、学年、在籍状況、在籍期間、公認活動への参加、学位および受賞歴、直近の在籍教育機関が含まれます。§ 99.31(a)(11)および§ 99.37に基づき、ディレクトリ情報は同意なしに開示できます — ただし、教育機関が指定したカテゴリを保護者および対象生徒に通知し、オプトアウトの機会を提供していることが条件です。

したがって、生徒の氏名と住所だけを単独で見れば、ディレクトリ情報として公開できる可能性があります。しかし、これらの項目に加えて生徒の社会保障番号、生年月日、医療情報、懲戒歴、試験スコア、家庭での使用言語、無料・割引昼食の受給資格、または移民ステータスを含む入学フォームは — これらの追加項目はいずれもディレクトリ情報の定義から外れます。入学フォームは、抽出ツールにアップロードする際に「ディレクトリ」と「非ディレクトリ」のカテゴリに分離できる独立したデータポイントの集合ではありません。文書全体に保護対象フィールドが含まれており、文書全体の開示がFERPAの適用を引き起こします — 抽出する予定のフィールドがどれであるかは関係ありません。

さらに、FERPAは、ディレクトリ情報の定義（§ 99.3 定義のパラグラフ(c)）から、学生の社会保障番号と特定の学生ID番号を明示的に除外しています。入学フォームでSSNを収集している場合（多くのフォームが奨学金確認のために収集しています）、ディレクトリ情報の例外はフォーム全体には適用できません。学校関係者例外は、学生入学フォーム抽出のように通常一部のフィールドのみを抽出する場合でも、正しい対応手段であり続けます。これは、名前、住所、緊急連絡先などの特定の列を対象とし、SISインポートに不要なフィールドは無視する方法です。これらの識別子は学生IDカードにも記載されているため、カードスキャンのワークフローも同じ審査の対象となります。

契約に含めるべき内容 — 「直接管理」を文書化する

学校関係者例外では、プロバイダーが教育機関の「直接管理下」にあることが求められます。独立した会社は教育機関の組織階層内にはないため、直接管理を確立する唯一のメカニズムは書面による契約です。以下は、PTACのガイダンスと機関のベストプラクティスが、その契約で扱うべきとしている事項です。

構造上の重要なポイントとして、ウェブサイト上のプロバイダーの標準的な利用規約をクリックして同意しただけでは、契約要件を満たさないことを強調しておきます。利用規約は通常、受け入れるか拒否するかの二者択一で提示され、FERPAが要求する具体的なデータ取扱い制限が含まれることはほとんどありません。専用の機関向け契約書 — 単独の契約書、データ処理契約書（DPA）、またはFERPA固有の条項を添付した発注書のいずれであっても — が、コンプライアンスを重視する教育機関における実務の標準です。これは同等の規制が適用される業界でも同様の枠組みです — 法務文書抽出ガイドでは、クライアントの守秘義務が同等の管理要件を生み出す法律事務所の文脈における、第三者データ取扱い契約について解説しています。

データ保持、削除、およびモデル学習に関する論点

自動抽出に関する入試担当者の議論では、必ず3つの運用上の質問が浮上します：プロバイダーは私たちのドキュメントをどのくらいの期間保持するのか？ 完了したら削除してもらえるのか？ そして — コンプライアンス対応ツールと非対応ツールを分ける質問ですが — 学生のドキュメントがプロバイダーのAIの学習に使用されるのか？

保持期間：数ヶ月ではなく数分

FERPAは、スクールオフィシャルが保持するデータの最大保持期間を定めていません。しかし、PTACのモデル利用規約ガイダンスでは、プロバイダーが契約終了時に教育記録を返却または破棄すること、そしてベストプラクティスとして、契約したサービスを提供するために必要な期間のみデータを保持することを推奨しています。ドキュメント抽出の場合、契約したサービスは通常、ファイルがアップロードされて処理されてから数分以内に完了します。抽出後にアップロードされたドキュメントを数日、数週間、または無期限に保持するプロバイダーは、もはや許可された目的のためにデータを保持しているとは言えません — そして、処理完了から削除までのこのギャップこそ、コンプライアンスリスクが蓄積する場所です。

ここではアーキテクチャが重要です。一時処理用に設計されたツール — ドキュメントがアップロードされ、AIがデータを抽出し、結果が返され、原稿が定義された期間内に削除される — は、システムレベルで保持原則を満たします。ドキュメントを無期限にキャッシュしたり、将来の実行のために推論パイプラインに保持したり、分析や製品改善のために保存したりするツールは、その保持を文書化し正当化する対応する義務を生み出します。保持期間が短く、明確に定義されているほど、規制上のリスク領域は小さくなります。

削除：書面で取得する

FERPA規制の下では、プロバイダーがデータを保持しているという理由だけで、教育機関のコンプライアンス上の立場が損なわれるわけではありません。しかし、保護者または対象となる学生が削除を請求する権利を行使した場合、または契約が終了した場合、プロバイダーは実行できなければなりません。一般的な文言ではなく、アップロードしたファイルを対象とした具体的な確認書である、削除の書面による確認を要求してください。その確認書をコンプライアンス文書に記録してください。プロバイダーが要求に応じてそれを提示できない場合、§ 99.31(a)(1)(i)(B)(2)に基づく直接管理要件が疑問視されます。

モデルトレーニング：譲れない一線

ここが、曖昧さが許されない問題です。抽出プロバイダーがアップロードされた学生のドキュメントを自社のAIモデルのトレーニングに使用する場合、それは承認された処理目的を超えた使用に該当します。PTACのガイダンスは、明示的に承認されない限り、プロバイダーが学生データを「製品改善」や「データマイニング」に使用することを特に警告しています。学生の入学フォームをAIモデルの改善に使用することは、データが開示された機関の機能ではありません。これは、個別の承認を必要とする二次的な使用です。

プロバイダーに直接確認してください：貴機関がアップロードしたドキュメントを、貴社のAIモデルのトレーニング、ファインチューニング、または改善に使用しますか？答えが「はい」または曖昧な場合、学校関係者の例外はその使用をカバーしません。書面による確約を取得してください。FERPAコンプライアンスの観点から防御可能な答えは、明確な「いいえ」です。

一部のプロバイダーは、この問題を回避するために専用インフラストラクチャまたはゼロ保持処理を提供しています。コンプライアンス上の利点は構造的なものです。ツールが一時的に処理し、抽出ウィンドウを超えてドキュメントを保持しない場合、データに対するモデルトレーニングは、契約上禁止されているだけでなく、構造的に不可能です。これは契約上の約束だけよりも強力な立場であり、監査人やコンプライアンス担当者はその違いを認識しています。高度に規制された環境で抽出ツールがドキュメントをどのように処理するかについてのより広範な説明は、OCR for education guideで、さまざまな機関のワークフローにおけるデータ処理アーキテクチャを取り上げています。

SISにすでに保存されている入試ファイルへの影響

多くの入試オフィスでは、新規申請書、検証済みの入学手続き書類、学生情報システムにすでに保存されている記録の3つのカテゴリの書類を処理しています。FERPAの分析はこれらのカテゴリ間で微妙に異なり、その違いは抽出プロバイダーと交渉する契約にとって重要です。

新規申請書。外部から届く書類（Common Appの提出物、郵送された成績証明書、メールで送られた推薦状など）は、機関がそれらを「保持」した時点で教育記録となります。入試オフィスが郵送された成績証明書をスキャンして処理前に保存した場合、そのスキャン行為が教育記録を作成します。オフィスが内部コピーを先に作成せずに直接抽出ツールにアップロードした場合、抽出プロバイダーへの送信が最初の保持行為となり、同時に学校関係者の例外を必要とする開示となります。

検証済みの入学手続き書類。すでに検証されSIS（PowerSchool、Infinite Campus、Skyward、Banner）に入力された書類は、間違いなく教育記録です。これらの書類から追加のフィールドを抽出すること（SISレコードに新しいデータを補足すること）は、同じ学校関係者の例外を必要とする処理操作です。このツールは、機関が自社スタッフで行うであろう機能を実行しています。

SISにすでに保存されている記録。SISから学生データをエクスポートし、抽出ツールに取り込んで補完、重複排除、または相互参照を行うことは、SISから抽出プロバイダーへの開示です。SISエクスポートが提供元であり、抽出ツールが受信者です。保管の連鎖が重要です。どの記録が、どのプロバイダーに、どの目的で、どの契約権限の下でエクスポートされたかを文書化してください。

このデータフロー（紙から抽出ツールへ、そしてSISへ）は教育分野に固有のものではありません。不動産管理会社も、リース契約をデジタル化する際に同じ保管の連鎖に関する問題に直面します。これについてはリース契約抽出の大規模化ガイドで説明されています。規制の枠組みは異なりますが（不動産法とFERPA）、運用パターン（紙の入力、契約管理、構造化データの出力）は入試オフィスのワークフローと同じです。

FERPA準拠のための実践的チェックリスト（自動文書処理向け）

以下の各ステップは特定の規制参照に対応しています。ファイルをアップロードする前に、コンプライアンスを文書化できます。

よくある質問

ディレクトリ情報のみを抽出すれば、FERPAの適用を完全に回避できますか？

理論上は可能です。文書にディレクトリ情報のみが含まれている場合に限ります。しかし実際には、入学願書、成績証明書、推薦状などのほとんどの入学関連文書には、少なくとも1つ以上の非ディレクトリ情報（氏名・住所に加えて生年月日、奨学金申請書の社会保障番号、成績証明書のテストスコアなど）が含まれています。アップロード時に開示されるのは個々のフィールドではなく文書全体です。文書内のいずれかのフィールドがディレクトリ情報の定義から外れる場合、その開示はFERPAの保護対象となります。実務上は、すべての入学関連文書に「学校関係者」例外の適用を想定してください。抽出ワークフローにおいてディレクトリ情報の例外が十分に機能することは稀です。

抽出プロバイダーが署名済み契約書ではなく、クリック同意型の利用規約を提示する場合は？

クリック同意型の規約は、§ 99.31(a)(1)(i)(B)(2)が求める直接管理の要件を満たしません。理由は2つあります。第一に、通常これらは交渉の余地がなく、教育機関がFERPAで要求される特定の制限を課すことができません。第二に、PTACガイダンスは交渉済み契約とプロバイダーの標準規約を明確に区別し、前者を推奨しています。プロバイダーがFERPA固有のデータ取扱条項を含む署名済みの機関契約を提供できない場合、コンプライアンスの欠陥は契約上の問題ではなく構造上の問題です。

入学審査担当者による志願書へのメモは教育記録に該当しますか？

§ 99.3(b)(1)に基づく「単独保管記録」に該当する場合は該当しません。すなわち、作成者の単独保管下にあり、個人的な記憶補助としてのみ使用され、一時的な代行者以外の誰にもアクセス・開示されない記録です。しかし、それらのメモが入学審査委員会と共有されたり、共有システムに入力されたり、外部ツールに開示された瞬間に、単独保管記録としての地位を失い、教育記録となります。入学審査担当者のメモをデジタル化するために抽出ツールを使用する場合、デジタル化されたバージョンを教育記録として扱い、「学校関係者」例外を適用する必要があります。

抽出プロバイダーを切り替える場合、生徒データはどうなりますか？

移行元プロバイダーは、契約の終了条項に基づき、すべての教育記録を返却または破棄しなければなりません。必要な抽出データの文書化されたエクスポートを要求し、その後、削除の書面による確認を受け取ってください。その確認は保管しておきます。移行元プロバイダーがAI推論にサブプロセッサーを使用していた場合は、そのサブプロセッサーのコピーも削除されていることを確認してください。これはFERPAのコンプライアンス問題ではなく、契約の執行の問題です。ただし、記録を開示した教育機関は、関係終了後も適切な取り扱いを確保する責任を負い続けます。

非準拠の抽出ツールを使用した場合の罰則は何ですか？

FERPAは教育機関に直接的な金銭的罰則を課しません。執行メカニズムは、米国教育省からの連邦資金の喪失です。タイトルIV資金を受けている教育機関にとって、これは存続に関わる結果です。教育省の学生プライバシー政策局（SPPO）は苦情を調査し、是正措置を要求できます。規制メカニズムに加えて、生徒の教育記録の不正開示は、風評リスク、州法上の責任の可能性（多くの州には別途罰則を伴う独自の生徒データプライバシー法があります）、および義務付けられた侵害通知の運用負担をもたらします。非準拠の抽出ツールの場合、最も可能性の高い執行経路は、保護者または対象生徒からの苦情がSPPOの調査を引き起こすことです。そして調査官が最初に尋ねる質問は、学校職員の例外が適切に適用されたかどうかです。

州の生徒データプライバシー法はFERPAを超える要件を追加しますか？

はい。そしてその差異は顕著です。カリフォルニア州のAB 1584は、学校とテクノロジーベンダー間のすべての契約に対し、データ所有権、広告制限、削除要件を含む9つの特定の契約条項を要求しています。20以上の州が、教育テクノロジープロバイダーによる生徒データの使用方法を制限するSOPIPAスタイルの法律を可決しています。ニューヨーク州の教育法§ 2-dは、FERPAの基準を超える侵害通知の期限とデータセキュリティ要件を課しています。貴機関がカリフォルニア州、ニューヨーク州、イリノイ州、コロラド州、コネチカット州、または包括的な生徒データプライバシー法を持つ州のいずれかに所在する場合、プロバイダー契約はFERPAと州法の両方を満たさなければなりません。FERPAコンプライアンスは最低基準であり、上限ではありません。

保護者は、抽出ツールで作成された子どものデータにアクセスできますか？

はい。20 U.S.C. § 1232g(a)(1)(A) および 34 CFR § 99.10 に基づき、保護者および対象となる学生は、教育記録を閲覧・確認する権利を有します。入学申込書や成績証明書から抽出されたデータは、学生の教育記録の一部です。保護者は、元の紙の書類と同様に、構造化されたスプレッドシートデータにもアクセスする権利があります。抽出ワークフローでは、要求に応じて完全な記録を提供できるようにしておく必要があります。抽出データがSISに統合された場合、保護者からのアクセス要求についてはSISが正式な情報源となります。