個人情報の第三者提供と同意─小田原市1万件問題の落とし穴

法令・ガイドライン
2026.06.20

【更新 2026-07-11】本記事を見直し、修正しました。主な修正点：個人情報保護委員会が公表した「公立学校とＰＴＡの間で個人情報のやり取りをするためのポイント」（令和8年3月）への参照を、本件に直接関わる一次情報として追記しました。本文の論旨・事実関係に変更はありません。

【更新 2026-08-04】本記事を見直し、修正しました。主な修正点：(1) 公立学校（行政機関等）に適用されるのは個人情報保護法第27条ではなく第5章の公的規律（法第69条）であるため、学校からPTAへの提供に関する法的な整理を一次情報（個人情報保護委員会の資料および法令）に合わせて訂正しました。(2)「原因や再発防止策は公開情報が限定的」としていた記述を、報道で公表されている市の説明・対応（個人情報保護委員会への報告書提出など）に差し替えました。

神奈川県小田原市が、市立の幼稚園・保育所・小中学校で園児や児童生徒の個人情報を、保護者の同意を得ないままPTAへ提供していたと公表しました。提供は2年間で1万件を超えます。学校の話のように見えますが、本質は「別の組織へ個人データを渡すときには、根拠と手続きが要る」という個人情報保護法の基本原則であり、社員会・健保組合・労働組合・OB会などへ従業員データを渡す企業にとっても他人事ではありません。

この記事でわかること

  • 小田原市で何が起きたのか（提供された情報の範囲と件数）
  • なぜ「同意なき提供」が法律上問題になるのか
  • 企業・団体の情シスが自社で確認すべき「データの外部流出経路」
  • 第三者提供・委託・共同利用の違いと、よくある落とし穴

何が起きたのか

小田原市は2026年6月、市立の幼稚園・保育所・小中学校において、園児・児童生徒の個人情報を記載した名簿を、保護者の同意を得ずにPTA役員らへ提供していたと明らかにしました。提供された情報はPTA会費の集金時の確認などに使われていたとされます。報道によれば提供件数は2年間で1万件を超えます。

公表された提供範囲の概要は次のとおりです（施設により項目は異なります）。

施設区分 2025年度 2026年度
幼稚園 5園 約140件 4園 約125件
小中学校 25校 約7,700件 8校 約2,200件
市立保育園 5園 約340件 5園 約310件

提供された項目には、氏名・学年・学級・出席番号・性別のほか、兄弟姉妹の氏名、保護者氏名、電話番号、地域イベントの参加意向などが含まれていたとされます。単なる名前の一覧ではなく、家族構成や連絡先を含む粒度の高い個人情報です。

提供に至った原因について、市は「役員の選出や会費の集金などPTA活動を目的として、個人情報の提供が慣例的に行われてきたため、提供時に手続きが必要となる認識がなかった」と説明しています。今回の調査自体、2025年度に問い合わせを受けたことと、個人情報保護委員会が公立学校における個人情報の取り扱いに関する解説を公表したことを踏まえて実施されたものです。市は個人情報保護委員会へ報告書を提出し、関連する施設に再発防止を求めたほか、各施設から保護者へ経緯の説明と謝罪が行われています（いずれも報道による。市の公式サイトには本件の公表ページは見当たりません）。

なぜ「同意なき提供」が問題なのか

結論から言うと、個人データを第三者へ渡すには、原則としてあらかじめ本人（未成年なら保護者）の同意が必要だからです。個人情報保護法第27条は、個人情報取扱事業者が個人データを第三者に提供する場合、原則として本人の同意を得なければならないと定めています（いわゆるオプトイン原則）。

ここで見落とされがちなのが、学校・自治体とPTAは「別の主体」だという点です。同じ建物で活動し、長年協力関係にあっても、PTAは法的には独立した任意団体です（個人情報保護委員会も「ＰＴＡは学校とは別組織です」と明記しています）。「ずっとそうしてきたから」「学校行事に必要だから」は、手続きを省略してよい理由にはなりません。

ただし、公立学校に適用されるのは第27条ではありません。自治体（行政機関等）については、2023年4月に全面施行された改正個人情報保護法により、民間と同じ個人情報保護委員会（PPC）の所管へ一元化されたうえで、同法第5章の「公的規律」が適用されます。公立学校がPTAへ保有個人情報を提供する場合、あらかじめ特定した「利用目的」の範囲内であれば法第69条第1項に基づき本人の同意なしに提供でき、利用目的以外の目的で提供するときに、原則として本人の同意（法第69条第2項第1号）などが必要になります（個人情報保護委員会「公立学校とＰＴＡの間で個人情報のやり取りをするためのポイント」）。つまり公立学校の場合の要点は「同意さえあればよい」ではなく、その提供を業務の「利用目的」として特定・整理できていたかにあります。今回の件も、この「外部提供のルール」が運用面で守られていなかった事例と整理できます。

慰めにならない事実：違反の多くは「悪意」ではなく「慣行」から起きる

注意したいのは、この種の問題が不正アクセスや内部不正のような派手な事件ではなく、「昔から続く善意の運用」から生まれる点です。会費集金のため、連絡網のため──目的そのものは業務上もっともらしい。だからこそ誰も立ち止まらず、同意取得や提供ルールの確認が抜け落ちたまま長年続いてしまう。情シスにとって最も厄介なタイプのリスクです。

これは企業の情シスにとっても他人事ではない

「学校とPTAの話」と片づけてしまうと、自社の足元を見落とします。企業でも、従業員や顧客の個人データが『身内のような外部団体』へ同意なく流れている構図は珍しくありません。たとえば次のようなケースです。

  • 社員会・親睦会・互助会へ従業員名簿（氏名・所属・連絡先・家族構成など）を渡す
  • 健康保険組合・企業年金基金・労働組合・共済会への従業員データの提供
  • OB会・同窓会・社外サークルへの連絡先リストの共有
  • 親会社・グループ会社への従業員情報の横展開
  • 取引先・委託先への顧客リストの受け渡し

これらの多くは「社内の延長」という感覚で運用されがちですが、法的には別法人・別団体への第三者提供にあたる可能性があります。小田原市の件は、こうした「同意の確認が形骸化したデータの外部流出経路」を自社で洗い出す、よいきっかけになります。

第三者提供・委託・共同利用はどう違うのか

本人同意が「必要か」を判断する前に、その提供がどの類型にあたるかの整理が欠かせません。同意の要否や手続きが変わるためです（以下は民間事業者に適用される個人情報保護法第4章のルールです。公立学校など行政機関等は前述の第5章のルールに従います）。

類型 本人同意 典型例 主な留意点
第三者提供（原則） 原則必要 別団体・別法人へデータを渡す あらかじめ同意を取得。記録義務にも注意
委託 不要（同意不要） 給与計算・クラウド保管などの外部委託 利用目的の範囲内に限る。委託先の監督義務が発生
共同利用 不要（同意不要） グループ内での共同利用 利用目的・項目・管理責任者などを事前に本人へ通知・公表

ポイントは、「委託」や「共同利用」に当てはまれば同意は不要だが、それぞれ別の要件（委託先監督、事前の通知・公表など）が課されることです。「同意を取っていないから違法」とも、「身内だから自由」とも単純には言えません。自社の運用がどの類型なのかを、まず正確に当てはめる必要があります。

現場目線の所感

正直に言えば、この手の「外部団体へのデータ提供」は、情シスにとって最も見えにくい領域のひとつです。サーバーやクラウドの設定なら台帳で追えますが、総務が紙の名簿を社員会に渡す、人事が労組へファイルをメールする──こうした業務フローはシステムの外で動いており、情シスの監視が届きにくい。「いつの間にか慣行になっていた」データの流れを、限られた人員ですべて把握するのは現実的に難しいのが本音です。

だからこそ、技術的な対策よりも先に「個人データがどこから外へ出ているか」を業務部門と一緒に棚卸しする地道な作業が効きます。今回のような事案は、その棚卸しを社内で提案する格好の説明材料になります。「他自治体で1万件規模の同意なき提供が問題になった。自社は大丈夫か」という問いは、経営層にも刺さります。

情シスはどうすべきか

自前で長大なチェックリストを作るより、まずは公的機関の指針を起点にするのが確実です。第三者提供・委託・共同利用の考え方は、個人情報保護委員会（PPC）のガイドラインに体系的にまとまっています。

  • 個人情報保護委員会 ガイドライン（通則編・第三者提供時の確認記録義務編）を起点に、自社の提供類型を確認する：https://www.ppc.go.jp/personalinfo/legal/
  • 公立学校・自治体のケースに直接該当する公式資料として、個人情報保護委員会「公立学校とＰＴＡの間で個人情報のやり取りをするためのポイント（令和8年3月）」も参照する：https://www.ppc.go.jp/files/pdf/202603_school_pta_pd_point.pdf（PDF）
  • 個人データの外部提供経路の棚卸し（誰が・どの団体へ・どの項目を・どの根拠で渡しているか）を業務部門横断で実施する
  • 同意なき提供が見つかった場合は、止める／同意を取り直す／委託・共同利用として整理し直す、のいずれかを法務と判断する

あわせて、現場の総務・人事・各部署への啓発も欠かせません。「身内の団体でも、データを渡す前に一度情シス・法務に相談する」という文化を地道に作ることが、結局は最も効果的な再発防止策になります。中小規模の組織であれば、IPAの「中小企業の情報セキュリティ対策ガイドライン」（https://www.ipa.go.jp/security/guide/sme/index.html）も、社内ルール整備の出発点として有用です。

まとめ

  • 別団体へデータを渡すには根拠と手続きが要る。民間事業者は第三者提供に原則として本人の同意が必要（法第27条）。公立学校など行政機関等は、特定した利用目的の範囲内なら同意なしに提供でき（法第69条第1項）、利用目的以外の提供には本人の同意等が必要（同条第2項）。同じ敷地・長年の協力関係でも、手続きを省略してよい理由にはならない。
  • 違反の多くは悪意ではなく「昔からの慣行」から生まれる。会費集金・連絡網など、目的が業務上もっともらしいほど見落とされやすい。
  • 企業も同じ構図を抱えている。社員会・健保・労組・OB会・グループ会社への従業員データ提供を棚卸しし、第三者提供／委託／共同利用のどれにあたるかを正確に整理することが第一歩。

出典

タイトルとURLをコピーしました