PowerSchool、Navianceの生徒追跡を巡る1725万ドルの和解

PowerSchool、Navianceの生徒追跡を巡る1725万ドルの和解

PowerSchoolに対する1725万ドルの集団訴訟和解は、多くの家庭が存在すら知らなかった慣行に改めて注目を集めている。学校が使用を割り当てるまさにそのプラットフォームを通じて、生徒たちが静かに、継続的に監視されているという事実だ。訴訟の中心となったのは、大学・キャリア準備ツールとして広く利用されているNavianceで、このプラットフォームがサードパーティ製の追跡ソフトウェアを埋め込み、2021年から2026年まで、生徒のキーストローク、クリック、個人間の通信を同意なく収集していたと主張されている。この訴訟は、生徒データ追跡とedtechのプライバシー侵害が、誰かが責任を問われるまで何年も続きうることを示す、これまでで最も明確な事例の一つである。

Navianceが実際に収集していたもの — そしてその期間

Navianceはニッチなツールではない。全米の何百万人もの高校生が利用しており、大学出願の進捗管理、キャリア評価、学習計画の中心的ハブとして機能している。学校が使用を課すため、生徒や家庭には通常、利用以外の選択肢はない。

訴訟によると、Navianceに埋め込まれた追跡は標準的な分析の範囲をはるかに超えていた。サードパーティのソフトウェアは、キーストロークレベルのデータを取得していたとされており、つまり生徒が入力したすべての文字が記録され得たことになる。クリック、ナビゲーションのパターン、非公開の通信も収集されていたと報告されている。この種のデータ収集は受動的なものではない。粒度が細かく、行動に根差し、多くの場合、単純なログイン記録よりもはるかに多くの情報を明らかにする。

おそらく最も印象的なのは、その期間だ。疑惑の追跡は2021年から2026年までの5年間に及び、その間に何百万人もの生徒の機密情報が、本人や保護者の知らないうちに収集された可能性がある。同意は一切得られていなかった。明確な開示もなかった。監視は、設計上、不可視のものだったのだ。

学校が導入するプラットフォームが生徒のプライバシーにとって盲点となる理由

企業が消費者向けアプリを販売し、トラッカーを埋め込む場合、少なくとも理論上はユーザーが拒否するという選択肢がある。学校がプラットフォームを義務付けると、その選択肢は消える。生徒は課題を完了したり、出願を提出したり、リソースにアクセスしたりするために、そのツールを使わざるを得ない。これが、既存の法律が十分に対処しきれていない根本的な同意の問題を生み出している。

FERPA（家庭教育権利とプライバシー法）やCOPPA（児童オンラインプライバシー保護法）といった連邦法の枠組みは、基本的な保護をいくつか提供しているが、現代のedtechエコシステムの複雑さを想定して設計されてはいない。学校はベンダーと契約できる。そのベンダーはサードパーティのコードを埋め込める。それらのサードパーティがデータを収集できる。各段階が技術的には既存の規則に準拠しているように見えても、結果として生徒のデータは、家庭が聞いたこともない事業体へと流れていく可能性がある。

この力学こそが、PowerSchoolのケースを金額以上の意味で重要にしている。これは、法的なコンプライアンスと真の透明性との間にあるギャップを文書化した実例だ。疑惑の追跡が、公に知られることなく5年間も続いていたという事実は、保護者や生徒が学校のプラットフォームが実際に何をしているのかについて、通常どれほど可視性を持っていないかを浮き彫りにしている。

この問題は受動的な追跡にとどまらない。CanvasへのShinyHuntersの侵害が示したように、生徒データの露出は、秘密の監視と積極的なサイバー攻撃の両方に及んでいる。このインシデントで約2億7500万件の生徒記録が危険にさらされたことは、edtechセクターが同時に複数の方向から脆弱性に直面していることを改めて示した。

隠れたキーストロークと通信の追跡の仕組み

技術的な仕組みに詳しくない読者のために、この種の追跡が実際にどのように動作するのかを理解しておく価値がある。サードパーティの追跡スクリプトは、通常、プラットフォームの開発者がビルドプロセス中に埋め込む。ユーザーがページを読み込むと、それらのスクリプトはバックグラウンドで自動的に実行される。ユーザーの見た目には何も異常はない。

キーストロークロギングスクリプトは、リアルタイムで入力を記録し、誰かが送信ボタンを押す前に入力した内容を取得できる。セッションリプレイツールは、マウスの動き、スクロールの動作、クリックパターンを記録し、ユーザーがセッション中に行ったことを正確に再構築できる。通信の傍受は、プラットフォームの内部システムを通じて送信されたメッセージが、宛先に到達する前にサードパーティのインフラストラクチャを通過する際に発生しうる。

これらはいずれも、デバイスへの特別なアクセスを必要としない。ブラウザ内部で、プラットフォーム自体の中で起こる。標準的なアンチウイルスソフトウェアはこれを検知しない。ペアレンタルコントロールもブロックしない。プライバシー重視のブラウザ拡張機能でさえ、スクリプトがプラットフォームの独自コードに深く統合されている場合は検出できない可能性がある。

これが、学校とベンダー間の契約レベルでの同意と開示が非常に重要である理由だ。生徒がNavianceを開く時点で、データパイプラインはすでに確立されているのだ。

家族がEdtechによる監視を制限するためにできること

PowerSchoolの和解が最後のケースにはならないだろう。Edtechの導入は拡大し続けており、行動データを収益化しようとする金銭的インセンティブは依然として強い。とはいえ、家族に全く手段がないわけではない。

データの棚卸しを依頼する。 FERPAの下では、18歳未満の生徒の保護者は教育記録へのアクセスを要求する権利がある。学校はまた、生徒データを共有しているサードパーティベンダーのリストを提供できるはずだ。このリストを要求することで、家庭が注意を払っていることを学校に知らせることができる。

学校のテクノロジーポリシーを毎年確認する。 多くの学区では、毎年度の初めに利用規定とデータプライバシーポリシーを更新している。これらの文書を、概要レベルでも読むことで、どのプラットフォームが使用され、どのようなデータ処理が開示されているかが明らかになる。

可能な限りブラウザレベルの保護を使用する。 家族が学校指定のプラットフォームからオプトアウトできるとは限らないが、学校の課題に個人のデバイスを使う生徒は、プライバシー重視のブラウザや拡張機能の恩恵を受けることができる。それらは、必要なプラットフォームの機能を妨げない範囲で、サードパーティスクリプトの実行を制限する。

教育委員会や管理者に関与する。 最も効果的な長期的保護は、組織的な説明責任から生まれる。教育委員会の会合で、保護者がベンダー契約やデータ監査について質問することで、より強力な監視への圧力が生まれる。

Edtechのインシデントに関する情報を常に入手する。 PowerSchoolのケースとShinyHuntersによるCanvasの侵害は、より広範なパターンの一部である。生徒データ侵害と監視が、一度限りの出来事ではなく、繰り返し発生する問題であることを理解することが、より良い保護を要求するための基盤となる。

PowerSchoolに対する1725万ドルの和解は意味のある結果だが、真の重要性は、これが標準的な業界慣行について明らかにした点にある。何百万人もの生徒が5年間使用したプラットフォームが、開示されていない追跡ソフトウェアを埋め込むことができたのなら、問うべき問いは、Navianceが何をしていたかだけではない。他のEdtechプラットフォームが今まさに何をしているかということだ。家族、教育者、政策立案者は皆、次の和解の後ではなく、その前に答えを求める役割を担っている。