厚木市の小中学校がPTAに児童生徒の名簿を同意なく提供、2年度で延べ5,400人超

事案の概要データ

図解：この事故の構造

何が起きたのか

厚木市は、市内の複数の小中学校で、児童生徒や保護者の個人情報を本人の同意なくPTAへ提供していたことを明らかにしたと報じられました。

報道によれば、対象となった情報は「児童生徒の名簿や保護者の氏名、連絡先など」。人数は2025年度が小学校10校で2,713人・中学校3校で409人、2026年度が小学校5校で2,029人・中学校2校で313人とされています。

きっかけは、2026年2月頃に、PTAからの依頼で名簿を閲覧させたことが判明したこと。その後、2026年4月下旬から5月にかけて保護者から市教育委員会へ問い合わせがあり、問題が判明しました。市は対象校への聞き取りを行い、全市立小中学校の状況を調べています。

対応として、書面で保護者に経緯を説明して謝罪し、個人情報保護委員会へ報告を行っているとされています。いつから続いていたかは報じられておらず、確認できるのは2025年度分からです。

なお、本記事の時点では市自身の公表文を確認できていません。内容は報道にもとづきます。

これは「漏えい」ではない

この事案は、このサイトで扱ってきた他の事案と性格が違います。攻撃者はいません。システムも破られていません。情報は外部に流出していません。

起きたのは、学校が持っている名簿を、PTAという別の団体に見せた、ということです。

ではなぜ問題なのか。PTAは学校とは別の組織だからです。任意加入の団体であり、法人格を持つ場合もあります。学校がPTAに名簿を渡すことは、法律上は「第三者提供」にあたります。

個人情報保護法では、個人データを第三者に提供するには、原則として本人の同意が必要です（例外もありますが、保護者名簿をPTAに渡すことは通常その例外にあたりません）。同意を取らずに渡していたなら、法令違反になります。

ここが分かりにくいところです。関係者だから渡していい、ではありません。 PTAは学校に協力する団体で、保護者自身が会員です。「同じ学校の関係者なのに、なぜ同意がいるのか」と感じるのは自然です。

しかし法律は、組織が別なら別と見ます。実質的に親しいかどうかではなく、誰が個人情報を管理する主体かで判断されます。

中小企業でも、まったく同じことが起きている

「学校とPTAの話でしょう」と思うかもしれません。しかし、この構造は中小企業の日常にあります。

・取引先に、自社の顧客リストを見せる（共同でDMを送るため、キャンペーンを一緒にやるため）

・同業者の団体や組合に、会員企業の担当者名簿を提出する

・グループ会社に、従業員や顧客の名簿を渡す（親会社だから、子会社だから、で渡していないか）

・商工会議所や業界団体に、取引先リストを提供する

・イベントの共催先に、申込者名簿を渡す

・保険代理店や福利厚生の業者に、従業員の名簿を渡す

どれも「関係者だから」「協力しているから」で行われがちです。しかし、別の法人・別の団体なら第三者提供です。

特に注意したいのがグループ会社です。資本関係があっても、法人が別なら第三者です。「同じグループだから大丈夫」は成り立ちません。

渡していいケースと、手続き

では、どうすれば渡せるのか。中小企業の実務では、次のどれかになります。

①本人の同意を取る。 いちばん確実です。申込書やアンケートに「○○（団体名）に提供することがあります」と書いて、チェックを入れてもらう。入会時や採用時にまとめて取っておくのが現実的です。

②委託として渡す。 自社の業務を代わりにやってもらうために渡すなら、第三者提供ではなく「委託」になり、同意は不要です。ただし、委託先を監督する義務が発生します。契約書に、目的外利用の禁止、再委託の制限、終了時の返却・消去を書いてください。発送代行やシステム会社はこれにあたります。

③共同利用として渡す。 あらかじめ本人に、共同利用する旨、項目、範囲、目的、管理責任者を知らせておけば、同意なしで共有できます。グループ会社間でよく使われる方法です。プライバシーポリシーに書いておきます。

④匿名にして渡す。 個人が特定できない形（氏名を外し、集計した数字だけ）にすれば、個人情報ではなくなります。「何人参加した」で足りるなら、名簿を渡す必要はありません。

本件のPTAの場合、現実的な解決は①か③です。入学時の書類に「PTA活動のため、氏名と連絡先をPTAに提供します。同意しない場合はこちらにチェック」と入れておけば済んだ話です。

そして今日できることは1つ。自社から外に出している名簿を、紙に書き出してください。 誰に、何を、何のために、どういう根拠（同意・委託・共同利用）で渡しているか。4列です。根拠の欄が空いているものが、本件と同じ状態です。

「気づかれなかった」のはなぜか

本件が判明したのは、保護者からの問い合わせでした。市が自主点検で見つけたのではありません。

この種の問題は、内部からは見えにくいです。悪意がなく、業務として自然に行われ、誰も困っていないように見えるからです。学校の先生も、PTAの役員も、「今までどおり」にやっているだけです。

だから、ルールを知っている人が外から指摘するまで続きます。本件も、2026年2月に1件が判明し、4〜5月の保護者からの問い合わせで本格的に調べることになりました。

中小企業でも同じです。長年の慣習で名簿をやり取りしていて、誰も疑問を持たない。そのまま何年も続く。そして、たまたま詳しい人が入社したときや、取引先から指摘されたときに発覚します。

予防する方法は、年1回、名簿のやり取りを見直す機会を作ることです。個人情報保護の研修をやるなら、そこで「外に出している名簿」の棚卸をしてください。事故が起きてから調べるより、はるかに簡単です。

時系列で見る経過

• （開始時期は不明）市内の複数の小中学校が、児童生徒・保護者の個人情報を本人の同意なくPTAへ提供
• 2026年2月頃PTAからの依頼で名簿を閲覧させたことが判明
• 2026年4月下旬〜5月保護者から市教育委員会へ問い合わせがあり、問題が判明
• （その後）市が対象校への聞き取りを行い、全市立小中学校の状況を調査
• 2026年10月26日2025年度・2026年度の対象人数が報じられる。書面で保護者へ経緯を説明し謝罪、個人情報保護委員会へ報告

中小企業が学ぶべきポイント

1. これは漏えいではなく「同意のない第三者提供」。攻撃者がいなくても個人情報の事故になる。
2. 組織が別なら第三者。実質的に親しいかどうかではなく、誰が管理する主体かで判断される。
3. グループ会社も第三者。資本関係があっても法人が別なら同意がいる。
4. 渡す方法は4つ。①本人の同意 ②委託（監督義務あり）③共同利用（事前に知らせる）④匿名化・集計。
5. 委託として渡すなら、契約書に目的外利用の禁止・再委託の制限・終了時の返却と消去を書く。
6. 共同利用にするなら、項目・範囲・目的・管理責任者をプライバシーポリシーに書いておく。
7. 「何人参加したか」で足りるなら、名簿を渡さず集計値だけ渡す。
8. 自社から外に出している名簿を、誰に／何を／何のために／どういう根拠で、の4列で書き出す。
9. この種の問題は内部からは見えない。年1回、名簿のやり取りを見直す機会を作る。

出典・参考

• 小中学校がPTAに生徒の個人情報を同意なしに提供 - 厚木市（Security NEXT）
• 厚木市