北海道教育委員会、児童・生徒の個人情報を保存した記憶媒体を無許可で持ち出し紛失した教諭2人を懲戒処分
| 項目 | 内容 |
|---|---|
| 発生日 | 2025年4月（小学校のSDメモリカード）／2025年6月（中学校のUSBメモリ） |
| 公表日 | 2025年12月12日 |
| 対象組織・業界 | 北海道教育委員会（道内の小学校・中学校／教育・研究） |
| 影響件数 | 公表されていない。小学校は児童の個人情報、中学校は生徒の個人情報 |
| 攻撃手法 | 攻撃なし。教諭が校長の許可を得ずに記憶媒体を外部へ持ち出し、紛失した |
| 情報源 | Security NEXT（2025年12月12日） |
北海道教育委員会は2025年12月12日、個人情報が含まれる記憶メディアを紛失した小学校・中学校の教諭に対し、懲戒処分を行ったと公表しました。
小学校の教諭は、2025年4月に児童の個人情報を保存したSDメモリカードを持ち出して紛失しました。校長の許可を得ていませんでした。処分は減給1か月、10分の1です。
中学校の教諭は、2025年6月に生徒の個人情報を保存したUSBメモリを校長の許可を得ずに持ち出して紛失しました。処分は戒告です。
保存されていた情報の項目と件数は公表されていません。
- 2025年4月: 小学校の教諭が、児童の個人情報を保存したSDメモリカードを校長の許可を得ずに持ち出し、紛失
- 2025年6月: 中学校の教諭が、生徒の個人情報を保存したUSBメモリを校長の許可を得ずに持ち出し、紛失
- 2025年12月12日: 北海道教育委員会が、両教諭への懲戒処分（減給1か月10分の1／戒告）を公表
判明している事実: いずれの事案も、校長の許可を得ずに個人情報を保存した記憶媒体を外部へ持ち出したことが公表されています。持ち出しの目的、紛失した場所や状況、記憶媒体が暗号化されていたかは公表されていません。保存されていた情報の項目と件数も公表されていません。
考えられる原因（推測）
Section titled “考えられる原因（推測）”許可を得れば持ち出せるという制度が存在していたことが、公表内容から読み取れます。禁止ではなく許可制であり、その手続きが省略されたという構図です。持ち出しに許可が必要な運用では、申請の手間と業務の緊急性が競合し、日常的に繰り返される持ち出しでは手続きが形骸化しやすくなります。
2つの事案が4月と6月に別々の学校で発生している点は、個人の逸脱ではなく、校務のデータを校外で扱う必要が構造的に存在していることを示唆します。成績処理や評価の作成といった作業は、勤務時間内に校内で完結しない場合があり、その受け皿として記憶媒体が使われます。
暗号化の有無が公表されていない点は注意が必要です。媒体が暗号化されていれば、紛失は情報漏えいには直結しません。公表内容が処分の説明に集中し、情報の内容と件数に触れていないことは、その評価が行われていないか、公表の対象と考えられていないことを示唆します。
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. 許可制は、申請しなくても業務が回る状態では機能しない
Section titled “1. 許可制は、申請しなくても業務が回る状態では機能しない”今回の2件はいずれも「校長の許可を得ずに」持ち出されています。許可制が守られなかったのではなく、許可を得ずに持ち出せる状態が残っていたということです。媒体への書き出し自体を技術的に制限するか、許可の申請を業務フローに組み込んで省略できないようにするかのいずれかが必要です。
2. 持ち出す必要をなくす手段を用意する
Section titled “2. 持ち出す必要をなくす手段を用意する”校務のデータを校外で扱う必要が構造的にあるなら、記憶媒体はその最も安全性の低い実現手段です。校外から安全に校務システムへ接続できる経路を用意することが、持ち出しそのものを不要にします。媒体の持ち出しを禁止するだけでは、業務の必要は残ります。
3. 記憶媒体は暗号化を既定にする
Section titled “3. 記憶媒体は暗号化を既定にする”暗号化された媒体の紛失は、情報漏えいのリスクを大きく下げます。紛失は起こる前提に立ち、起きたときに情報が読めない状態にしておくことが、許可制の運用よりも確実に効きます。
ヤグラの視点 — 説明責任のログ：処分の内容は説明できて、失われた情報の内容は説明されていない
Section titled “ヤグラの視点 — 説明責任のログ：処分の内容は説明できて、失われた情報の内容は説明されていない”この公表内容には、処分の詳細が明確に記されています。小学校教諭は減給1か月10分の1、中学校教諭は戒告。持ち出しに校長の許可がなかったことも明示されています。一方で示されていないのが、失われた記憶媒体に何人分の、どの情報が入っていたかです。児童の個人情報、生徒の個人情報——それ以上の記述がありません。
この非対称は、公表の姿勢の問題として片付けられません。媒体の中身を後から特定するには、書き出した時点の記録が必要です。誰がいつ何のデータをどの媒体に書き出したかを残す仕組みがなければ、紛失後に中身を確定させる手段は本人の記憶しかありません。許可を得ずに持ち出された媒体については、その記録が存在しないのは当然の帰結です。処分の根拠となる「無許可の持ち出しと紛失」という事実は確認できても、被害の範囲は確認できない状態が生まれます。
学校という現場では、この記録の不在がとくに影響します。対象は児童・生徒であり、通知すべき保護者を特定するには件数と対象者の確定が前提になります。誰に謝るべきかが決まらないまま、処分だけが確定しているというのが、この公表内容の姿です。技術的な侵入の有無を問わず、何を持っていて何が出たかを事後に説明できるかどうかは、平常時に記録を取っていたかで決まります（→ ヤグラ AI SOC）。処分は組織内部の説明にはなりますが、情報を預けた側への説明にはなりません。
- 記憶媒体に保存されていた情報の項目と件数の特定
- 媒体の暗号化の有無
- 記憶媒体の持ち出し管理および校外からの校務システム利用を含む再発防止策の公表内容
| 日時 | 内容 |
|---|---|
| 2026-08-12 | 2025年12月12日の公表内容をもとにアーカイブ記事として作成 |