小田原市、保護者の同意なく子どもの個人情報をPTAへ提供 — 幼稚園・小中学校・保育園で計約1万件

項目	内容
発生期間	2025年度・2026年度（具体的な発生日は非公表）
公表日	2026年6月19日
対象組織・業界	神奈川県小田原市（自治体）
事象	本人（保護者）の同意を得ない第三者提供
影響件数	計約1万800件（下記内訳）
情報源	Security NEXT（2026年6月19日）

概要

神奈川県小田原市は2026年6月19日、保護者の同意を得ないまま、子どもの個人情報をPTAへ提供していたことを公表しました。

対象は幼稚園、小中学校、市立保育園に及び、公表された内訳は次のとおりです。

施設種別	2025年度	2026年度
幼稚園	5園・約140件	4園・約125件
小中学校	25校・約7700件	8校・約2200件
市立保育園	5園・約340件	5園・約310件

提供された情報項目は施設によって異なりますが、氏名、学年、学級、出席番号、性別、兄弟姉妹の氏名、保護者氏名、電話番号、地域イベントの参加意向などが含まれます。

経緯

• 2025年度: 幼稚園5園・小中学校25校・市立保育園5園で、保護者の同意を得ないまま個人情報をPTAへ提供
• 2026年度: 幼稚園4園・小中学校8校・市立保育園5園で同様の提供が継続
• 2026年6月19日: 公表。発覚の契機・具体的な発生日は公表されていない

原因

保護者からの同意を取得せずにPTAへ個人情報を提供していたことが原因です。同意取得の手順が定められていなかったのか、定められていたが運用されていなかったのかは公表されていません。

考えられる原因（推測）: 学校・園とPTAの間の名簿共有は、多くの自治体で長年の慣行として存在してきた業務です。PTAは学校の外部組織（任意団体）であり、法制度上は個人情報の第三者提供にあたるため本人（保護者）の同意が必要ですが、「学校の一部のような存在」という運用感覚が残っていると、提供行為が第三者提供として認識されないまま続きます。

本件の特徴は、2025年度と2026年度の2年度にわたり、複数の施設種別で同時に発生していた点です。特定の担当者の判断ミスではなく、市全体として同意取得の手順が確立されていなかった、あるいは手順の周知が各施設に到達していなかった可能性が考えられます。なお、2026年度の対象施設数が2025年度より減少している（小中学校25校→8校）ことは、途中で見直しが進んでいた可能性を示唆しますが、その経緯は公表されていません。

対策

組織が学ぶべきこと

1. 「長年やってきた業務」が最も点検されない

新規のシステム導入やデータ連携には稟議とチェックが入りますが、何年も続いてきた紙・名簿ベースの受け渡しには、誰も改めて問いを立てません。本件の対象が幼稚園・小中学校・保育園と施設種別を横断していることは、この業務が「制度」ではなく「慣行」として存在していたことを示しています。個人情報を扱う業務の棚卸しは、システム台帳ではなく業務フロー単位で行わないと、こうした慣行は棚卸表に現れません。

2. 外部団体との情報共有は「関係の近さ」で判断できない

PTA、同窓会、地域自治会、後援会、指定管理者——いずれも組織にとって「身内に近い外部」です。この距離感が、法制度上の線引き（第三者かどうか）を曖昧にします。判断基準は関係の親密さではなく、法人格が別であるか、目的外利用にあたらないかであり、そこに感覚を持ち込むと本件のような状態が長期化します。

3. 「同意を取っていない」ことに気づける記録設計

同意取得の運用が実効的であるためには、「誰から・いつ・何の提供について同意を得たか」が記録として残る必要があります。記録が残らない運用は、実施されているかどうかを事後に確認できません。本件で2年度分の件数を積み上げて公表できていることは記録が一定あったことを示しますが、同意の有無を管理する台帳があれば、提供の時点で欠落に気づけたはずです。

ヤグラの視点 — 攻撃者のいないインシデント：外部組織との共有が「業務」の顔をして通ってしまう

不正アクセスもマルウェアも介在せず、攻撃者は存在しません。情報を提供したのは正規の権限を持つ職員であり、送り先も正規の相手（PTA）です。技術的には、すべてが「正常な業務」として通ります。

セキュリティの議論は攻撃者の存在を前提に組み立てられますが、実際の個人情報インシデントの相当な割合は、攻撃者のいない露出です。設定不備による誤公開、権限設定の誤り、そして本件のような同意なき第三者提供。これらに共通するのは、どの操作も個別には正当に見え、監視ログにも異常として現れないことです。約1万800件という規模が2年度にわたって積み上がったのは、この「異常として見えない」性質の帰結です。

だからこの領域の対策は、検知ではなく判断の設計にあります。誰が、どの外部組織に、どのデータを、何を根拠に渡せるのか。この判断を現場の感覚に委ねると、関係の近い外部組織との共有が最も先に例外化します。逆に言えば、判断基準と記録の様式を先に定めておけば、担当者が変わっても慣行に流れません。ヤグラの製品群が扱うのは主に「攻撃者がいる侵害」の領域であり、本件のような制度設計の欠落は、技術ではなく組織のルール設計でしか埋められない領域です。

今後の対応

同市の再発防止策の内容は公表されていません。同意取得手順の整備状況、既に提供済みの情報の取り扱い（PTA側での廃棄・返却の要否）、他の外部団体への提供の点検結果について、続報を注視します。

更新履歴

日時	内容
2026-08-03	初稿公開（2026年6月19日公表時点の情報）