熊本県立の学校のウェブサイトで、卒業生の個人情報が外部から閲覧できる状態になり、氏名や進路など計45人分が漏えいしていたことが明らかになった。熊本県教育委員会によると、担当教員が本来は校内向けの資料を一般に公開してしまったことが原因で、「過去にも同じ資料を掲載していたと勘違いした」ことによる誤操作だったと説明している。
事案の詳細
報道によると、熊本県立校のウェブサイト上に、2023年度の卒業生のうち45人分の個人情報が記載された校内資料が掲載され、第三者が閲覧可能な状態となっていた。この資料には、卒業生45人分の氏名、学科、進路先の企業名や学校名などが含まれており、「取扱注意」と明記されていたにもかかわらず一般公開の状態になっていた。
県教育委員会によると、2024年9月に担当教員がこの資料をウェブサイト上に掲載した。掲載後、約2カ月が経過した同年11月に学校の管理職が不適切な公開であると判断し、サイト上で「公開停止」の操作を行った。しかし、この時点では県への報告は行われておらず、さらに資料データ自体はサーバー上に残存していたため、検索エンジン経由で閲覧できる状態が2026年6月末まで約1年9カ月にわたり継続していた。
2026年6月、卒業生の保護者から「検索で閲覧できる」と県に連絡があり、県がサイト運営事業者に確認したところ、サーバー上に資料が残されていたことが判明し、データは削除された。県教委によると、この間の資料の閲覧数は538件だったとされている。現時点で、卒業生や保護者などから具体的な被害の報告や、他の生徒側からの苦情は確認されていない。担当教員は、過去にも同種の資料を掲載したことがあると勘違いし、県の規定で定められた上司の決裁を得ないまま掲載したと説明している。
今回の事案は、外部から不正アクセスを受けて情報が奪取されたものではなく、サイト運用上の公開設定の誤りや、公開停止後もサーバー上にデータが残存していたことにより、長期間にわたって情報が露出したケースとして報じられている。資料がどの検索語で閲覧されたのか、閲覧した第三者による二次的な拡散があったかどうかといった詳細は、現時点で公表されている情報からは不明である。
影響と背景
学校が保有する個人情報には、氏名や学科といった基本情報に加え、進路先の企業名や学校名など、本人にとってセンシティブになり得る内容が含まれる。今回のように、校内資料として「取扱注意」とされた情報がウェブサイトを通じて第三者から長期間閲覧できる状態になると、本人や保護者の不安につながるだけでなく、学校および設置者である教育委員会に対する信頼にも影響を及ぼし得る。
報道では、担当教員の「勘違い」による誤った公開に加え、公開停止後もサーバー上のデータが残っていたこと、学校が不適切な公開を把握した時点で県に報告していなかったことなど、組織としての情報公開手順や確認・報告体制の不備も浮き彫りになっている。県教育委員会は、個人情報の適切な取り扱いについて、学校に対する指導と周知を一層徹底する方針を示している。
対策・今後の展望
同種の漏えいは、システムの脆弱性だけでなく、運用上の設定ミスや、公開停止後のデータ削除手順の不備などによっても発生し得る。学校サイトでの情報取り扱いにおいては、公開前の確認や権限管理に加え、公開停止後のデータの削除や検索結果からの除外が確実に行われているかどうかを確認するなど、運用面での対策が求められる。
- 公開前チェックの徹底：掲載担当者だけでなく、管理職を含む複数人で公開範囲や内容を確認し、校内資料や「取扱注意」の記載がある文書は原則として一般公開しないことを再確認する。
- 権限設定とワークフローの見直し：公開作業が可能なアカウントや機能を必要最小限にし、公開前に上司の決裁を必須とするなど、誤操作や独断での公開が起きにくい手順にする。また、公開停止後にはサーバー上のデータ削除や検索エンジンのキャッシュ対策までを含めた一連の手順を明確化する。
- 個人情報の掲載判断：氏名や学科、進路先の企業・学校名など、閲覧者を限定すべき情報は、原則として一般公開の場に置かず、認証がかかった校内向けシステムや配布資料などで扱う運用を徹底する。
- 教職員への周知と教育：サイト更新時のルールや注意点、公開停止後の削除手順を共有し、担当者が交代しても一貫した運用が維持されるよう、定期的な研修やマニュアル整備を行う。
今回の事案は、担当教員の誤った公開に加え、その後の確認や報告、データ削除のプロセスに課題があったことが、長期間にわたる漏えいの一因となったとされている。再発防止には、個人の注意喚起にとどまらず、公開作業が誤りにくい技術的・組織的な仕組みと、公開前後の点検および報告を組み込んだ運用体制の整備が重要となる。