พระราชบัญญัติการศึกษาแห่งชาติ พ.ศ.2542 ให้นิยามของ “สถานศึกษา” ว่าหมายถึง หน่วยงานของรัฐหรือของเอกชนที่มีอำนาจหน้าที่หรือมีวัตถุประสงค์ในการจัดการศึกษา ดังนั้น ไม่ว่าจะเป็นโรงเรียนระดับอนุบาล ประถม มัธยม วิทยาลัย มหาวิทยาลัย หรือแม้แต่บรรดาสถาบันกวดวิชา สถาบันสอนอาชีพ สถาบันสอนทักษะเฉพาะทาง หรือสถานทำการในทำนองเดียวกัน ก็เข้าข่ายเป็นสถานศึกษาด้วยเช่นกัน

โดยหากลองพิจารณาอย่างถี่ถ้วน จะพบว่าสถานศึกษาแต่ละแห่งล้วนแล้วแต่เป็นสถานที่ที่มีข้อมูลส่วนบุคคลไหลเวียนอยู่ไม่น้อยเลย โดยส่วนใหญ่จะพบว่าเป็นข้อมูลส่วนบุคคลของนักเรียน พ่อแม่ผู้ปกครอง บุคลากรภายใน ตลอดจนคู่ค้า (Partner) ของโรงเรียนในหลาย ๆ ด้าน ยกตัวอย่างข้อมูลส่วนบุคคล เช่น ประวัติส่วนตัวของนักเรียนและบุคลากร เลขทะเบียนประจำตัวนักเรียน ผลการสอบ บันทึกผลการเรียน ข้อมูลสุขภาพของนักเรียนและบุคลากร (เพื่อผลประโยชน์ด้านสวัสดิการ/บริการสุขภาพ) รายละเอียดติดต่อของผู้ปกครอง รายละเอียดติดต่อของ Outsource/Supplier เป็นต้น