資格スクールのプライバシーポリシー：名簿・成績・試験動画・未成年の保護者同意

結論：スクールのプライバシーポリシーは「名簿・成績・動画・未成年」の4つの流れから書く

資格スクールや養成講座のプライバシーポリシーは、ホームページ用のひな形をそのまま置いても、肝心なところが抜けます。スクールが扱う情報は、氏名や連絡先だけではありません。受講者名簿、出席や課題の記録、試験の点数と合否、実技試験の提出動画、オンライン試験の監督映像、修了や認定の記録、そして18歳未満の受講者の場合は保護者の情報まで、受講から修了、認定、更新へと続く流れの中で積み上がっていきます。

結論は4つです。第一に、情報を「入口」「受講中」「試験・認定」「修了後」の流れで棚卸しし、利用目的を別々に書くこと。第二に、成績や試験データは、規約で「採点理由は開示しない」と書いても個人情報保護法上の開示の請求は消せないので、請求を受ける前提で保存と開示の線を決めること。第三に、試験動画や認定者名簿の公開は、審査とは別の目的として別の同意で扱うこと。第四に、未成年は、契約の問題（民法）と個人情報の同意の問題を分け、「情報を出したから保護者の同意があったとみなす」と書かないことです。

契約書や規約の側の話は、養成講座の受講契約書と修了と認定試験の規約のページで扱っています。このページは、公開する「プライバシーポリシー」の側に絞ります。

スクールが扱う情報を、受講の流れで棚卸しする

ポリシーを書く前に、どの場面でどんな情報が集まるのかを書き出します。棚卸しをせずに他社のポリシーを写すと、取得していない情報が並び、取得している情報が書かれない食い違いが起きます。

棚卸しの結果は、次のような表にまとめておくと、後の作業が楽になります。

利用目的は、成績の管理・認定・広報を分けて書く

個人情報取扱事業者は、個人情報を取り扱うにあたって、利用目的をできる限り特定しなければなりません（個人情報保護法17条1項）。あらかじめ本人の同意を得ないで、特定した利用目的の達成に必要な範囲を超えて個人情報を取り扱うこともできません（18条1項）。スクールのポリシーでは、この「特定」が甘くなりがちです。「サービスの提供のため」の一言で、成績の管理も、認定の審査も、認定者名簿の公開も、受講者の声の掲載も済ませてしまう書き方です。

特定は、本人が「自分の情報がこういう場面で使われる」と想像できる粒度で行います。スクールの場合、目的を次の三つのまとまりに分けると整理しやすくなります。

本人から直接、契約書や申込みフォームなどの書面（電磁的記録を含みます）に記載された個人情報を取得する場合は、あらかじめ利用目的を本人に明示しなければなりません（21条2項）。申込みフォームの入力欄の近くや送信ボタンの手前に、ポリシーへのリンクと主な利用目的を置く方法が使われます。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は除かれます。利用目的を変えた場合は、変えた後の目的を本人に通知するか公表しなければなりません（21条3項）。変更は、変更前の目的と関連性を有すると合理的に認められる範囲を超えて行えません（17条2項）。

この17条2項の枠が問題になるのは広報目的の追加です。受講の運営のために集めた動画を後から宣伝に加えるのは、関連性の範囲を超えると見られやすいため、取得の時点で広報を別立てで書き、任意の同意を取っておくほうが簡単です。

失効後の記録は見落とされがちです。ポリシーに「認定の事実の確認のために最小限の記録を残す」と書いていなければ、削除を求められたときに何を残してよいか説明できません。手続の側は認定の停止・取消しの手続のページにあります。

成績・試験データ・動画は、開示の請求を受ける前提で扱う

スクールの情報で、もっとも「規約に書けば足りる」と誤解されやすいのが、成績と試験のデータです。たとえば、規約に「不合格の詳細な採点理由は開示しません」と書く運用は、合否の通知の範囲を定める契約上の約束としては成り立ちます。一方で、個人情報保護法は別の層で、本人に権利を与えています。

本人は、個人情報取扱事業者に対し、本人が識別される保有個人データの開示を請求できます（33条1項）。保有個人データとは、事業者が開示、訂正、利用の停止、消去などを行う権限を持つ個人データです（16条4項）。点数、合否、評価のコメント、提出物の添削は、本人が識別される形で管理されていれば、この保有個人データに当たり得ます。請求を受けた事業者は、遅滞なく開示しなければならず、例外として開示しないことができるのは、本人や第三者の権利利益を害するおそれがある場合、事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合、他の法令に違反することとなる場合に限られます（同条2項各号）。開示しない旨の決定をしたときは、本人に遅滞なく通知しなければなりません（同条3項）。

ここで、採点の基準や、他の受験者との比較に使う内部資料などが「業務の適正な実施に著しい支障を及ぼすおそれ」に当たるかは、個別の事情で決まります。一律に当たると書けるものではありません。規約の「開示しない」の約束と、法律上の開示の請求は別々に動くと考え、請求が来たときに、どの記録を、どの範囲で、誰が判断するのかを決めておきます。

修了と認定の規約で「審査の専門的判断への異議の制度は設けないが、計算違いなど事務上の誤りの照会は受け付ける」と整えておくと、この訂正の請求ともつながります。規約側の書き方は修了と認定試験のページにまとめています。

実技の提出動画とオンライン試験の監督映像

実技の試験を動画で提出させるスクールや、自宅受験を画面越しに監督するスクールでは、動画や映像が個人情報になります。顔や声が映れば、それだけで特定の個人を識別できることが多いためです。これらは、取得の時点で次の点を決めておきます。

• 目的の線引き。審査と不正の防止のための取得と、宣伝への利用は別の目的です。宣伝に使う場合は、審査の同意とは別の、断ることができる任意の同意にし、断っても認定で不利益に扱わないと書きます。
• 保存期間。再試験や照会に備えて一定期間は残しても、「念のため無期限」は避けます。個人データは、利用する必要がなくなったときは遅滞なく消去するよう努めなければなりません（22条）。
• 閲覧できる人。審査を担当する講師と事務局に限るのか、講師には外部の人がいるのかを決めます。外部の講師が見るなら、講師との契約に秘密保持の条項が必要です（外部講師との業務委託契約書のページ参照）。
• 映り込む第三者。自宅や教室で撮ると、家族や、実技の相手役の生徒が映ることがあります。本人以外の人が映る場合は、本人がその人（未成年なら保護者も）の了解を得てから提出する、と提出の条件に書きます。

未成年の受講者と保護者：契約の同意と個人情報の同意を分けて考える

資格スクールの受講者には、高校生や専門学校、大学に通う年代の人が含まれます。ここで、二つの別の問いが混ざりやすくなります。一つは「受講契約をその本人が単独で有効に結べるか」、もう一つは「個人情報の取得や利用に、保護者の同意が必要か」です。

契約のほうは、民法が定めています。成年は18歳で（民法4条）、未成年者が法律行為をするには法定代理人の同意が必要で、同意なしにした法律行為は取り消すことができます（5条1項・2項）。ただし、単に権利を得、または義務を免れる行為は除かれます。受講料を支払う受講契約は、受講者が義務を負う契約ですから、18歳未満の人が保護者の同意なしに結べば、取り消される可能性があります。したがって、18歳未満の受講者については、受講契約の側で保護者の同意の確認や、保護者の署名を取る設計を置くのが基本です。

個人情報のほうは、個人情報保護法の条文に、保護者の同意が必要な年齢を直接定めた規定は見当たりません（現行の条文）。令和8年7月に個人情報保護法等の改正法が公布されており、本体部分は公布から2年を超えない範囲で政令で定める日に施行されます。子どもの個人情報の扱いに関する見直しが含まれるため、施行の前後で取扱いが変わらないか、個人情報保護委員会の公表資料で確認します。個人情報保護委員会のよくある質問（Q&A）は、同意をしたことによって生ずる結果を判断できる能力を有していない子どもについては法定代理人等から同意を得る必要があるとし、その年齢は対象となる情報や事業の性質などによって個別に判断すべきで、一般的な目安としては12歳から15歳までの年齢以下の子どもと考えられる、という趣旨を示しています。つまり、契約は18歳未満で、個人情報の同意は個別の判断、と基準が重ならないのです。

よく見られる書き方に、「未成年者が個人情報を提供した場合は、保護者の同意を得ているものとみなす」というものがあります。これは、同意の確認を事業者がしないまま、同意があったことにする書き方です。事業者が確認の手続を持たない以上、保護者の同意があったことの根拠にはなりません。また、「保護者の同意なく提供された場合も、当社は一切の責任を負わない」と続ける例もありますが、消費者向けの契約で事業者の責任を全部免除する条項は、無効とされる類型に当たります（消費者契約法8条1項）。

もう一つ、スクールに特有の論点があります。成人した受講者の成績や出席の状況を、受講料を負担している保護者に報告してよいか、という問題です。受講者が18歳以上であれば、保護者も、スクールにとっては第三者です。個人データを第三者に提供するには、原則としてあらかじめ本人の同意が必要ですから（27条1項）、保護者への成績の報告は、本人の同意があって初めて可能になります。この同意は、申込書に保護者の欄を設けるだけでは足りず、「成績・出席の状況を保護者に知らせてよいか」を、項目として分けて確認するのが適切です。同意しないことを理由に、受講を断らない運用にしておけば、任意の同意として説明がつきます。

講師・協会・派遣元の企業・システム会社に渡すときの整理

スクールの情報は、スクールの中だけにとどまりません。講義を担当する外部の講師、試験を実施する協会、受講料を負担して社員を派遣する企業、学習システムや動画配信のサービス、決済の事業者へと渡っていきます。渡し方が、第三者への提供なのか、委託なのか、共同利用なのかによって、必要な手当てが違います。

共同利用は、特定の者との間で共同して利用される個人データを、その特定の者に提供する場合で、あらかじめ、その旨、共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的、管理について責任を有する者の氏名又は名称及び住所（法人にあっては代表者の氏名）を、本人に通知するか、本人が容易に知り得る状態に置いているときに成り立ちます（27条5項3号）。ポリシーに「共同利用する場合があります」とだけ書いて、項目や範囲を空けておく例が見られますが、それでは共同利用の要件を満たしません。協会と関連の会社が運営上一体であるときの個人データの整理は、協会の会員規約と認定資格のページで詳しく扱っています。

企業が社員を派遣する研修は、企業研修の契約書のページのとおり、企業との契約の側でも名簿や成績の扱いを決めます。

外国のサービスを使うときは、もう一つの整理が加わります。外国にある第三者に個人データを提供する場合は、原則としてあらかじめ外国にある第三者への提供を認める旨の本人の同意が必要で（28条1項）、同意を得ようとするときは、その外国における個人情報の保護に関する制度などの情報を本人に提供しなければなりません（同条2項）。ただし、この条には、個人情報保護委員会規則で定める基準に適合する体制を整備している者などの例外があります。どの場合に当たるかは、サービス提供者の体制の確認が前提です。

よくある失敗と直し方

スクールのプライバシーポリシーには、いくつかの典型的な書き間違いがあります。以下は、実務で多く見られる書き方と、その直し方です。

これらの失敗は、規約と並べて読むと気づくものが多いのも特徴です。規約で視聴履歴を修了の判定に使うと書いているのに、ポリシーの利用目的に修了の判定がない、といった食い違いです。規約、申込みフォーム、ポリシーの三つを同じ日に見直すと予防になります。

責任の書き方にも注意が要ります。外部のサービスに起因する漏えいについて、「原因のいかんを問わず一切の責任を負わない」とする例がありますが、消費者向けの契約では、事業者の債務不履行による責任の全部を免除する条項は無効とされます（消費者契約法8条1項1号）。上限を設ける場合は、故意又は重大な過失による場合を除くことを、上限を定めるその一文の中に明示します（同条3項）。

ヒヤリングで確認すること、起きがちなこと

ポリシーを整えるときは、文面を書き始める前に、実際の運営を確認します。次の問いに答えられれば、ポリシーの骨格はほぼ決まります。

認定制度を持つスクールでは、修了や認定の判断に使う情報と広報に使う情報を分け、後者を任意の同意として扱うことが、制度への信頼にもつながります。認定後の更新や年会費の扱いは認定講師規約の有効期間・更新・年会費のページにまとめていますので、継続学習の申告を受け付ける場合の情報の扱いと、あわせて確認してください。

よくあるご質問

あわせて読みたいページ

本ページは一般的な情報提供です。書き方の例として紹介している内容は、一般に見られる書き方を整理した例で、特定の事業者や案件を示すものではありません。条文は e-Gov法令検索で確認しています（最終確認日：2026年10月22日）。参考: e-Gov法令検索 / 特定商取引法ガイド（消費者庁） / フリーランス法特設サイト（公正取引委員会）