サービス概要 / ブログ / 子どもの障害にかかわる情報は、1件の漏えいでも国への報告が必要になることがあります

実務

子どもの障害にかかわる情報は、1件の漏えいでも国への報告が必要になることがあります

2026年10月28日株式会社KOTOHA

シリーズ「子どもの情報を守る ― 保育・療育の現場から」の第1回です。

こんなことが起きています

2025年5月、堺市立の特別支援学校で、こんなことが起きました。

担当者は、放課後等デイサービスの事業者に6月の利用予定を入力してもらうため、入力用の様式データをメールで送りました。5月19日、ある事業者から「データが入力できない」と連絡があり、担当者は5月20日に再送しました。このとき、他の事業者から集めて名前などが入力済みのデータを、誤って添付してしまいました。気づいたのは5月21日で、送った本人でした。

誤って送られたのは、別の放課後等デイサービスを使う児童生徒64名分の、名前・学年・組・利用事業所名・6月の利用日・バスコースです。

誰にでも起こりうる、ごく小さな手違いです。ここから先は、責めるためではなく、同じことが起きたときに慌てないために、その後の流れを整理します。

何が起きたのか

堺市の公表文によると、原因は次の2つでした。

対応として、学校は送信先の事業者に削除を依頼し、関係する保護者へ概要の説明と謝罪を行いました（5月23日から26日）。再発防止として、メール業務の見直し、研修、添付ファイルを送るときは個人情報の有無にかかわらず管理職の承認を受けること、承認のシステムの導入を進めることを挙げています。

なお、公表文には、相手方の削除が完了したことの確認や、国への報告の有無は書かれていません。

堺市は公的機関で、民間の事業所とは個人情報保護法の規定の細部が異なります。以下は、民間の事業所（個人情報取扱事業者）の場合の説明です。

国への報告が必要になるのは、どんなとき？

個人情報保護委員会（PPC）によると、2022年4月1日から、個人データの漏えいなどが起き、「個人の権利利益を害するおそれがあるとき」には、PPCへの報告と本人への通知が必要です。具体的には、次の4つのどれかにあたる場合です。

  1. 要配慮個人情報が含まれる（含まれるおそれがある場合も）
  2. 不正に使われると財産的な被害が出るおそれがある
  3. 不正の目的で行われた（おそれを含む）
  4. 本人の数が1,000人を超える

ここで大事なのは、1番に人数の条件がないことです。要配慮個人情報が含まれていれば、1人分でも報告の対象です。

要配慮個人情報には、PPCのQ&Aで、「障害（身体障害、知的障害、精神障害等）の事実」が挙げられています。

放課後等デイサービスの利用者の名前と、事業所名・利用日が一緒に漏れた場合は、その子が障害福祉サービスを使っていること、つまり障害の事実がうかがえます。個人情報保護委員会のガイドラインでも、障害福祉サービスを受けていること（障害者総合支援法に基づくサービス）が、要配慮個人情報の例に挙げられています。放課後等デイサービスは児童福祉法に基づくサービスで、この例そのものではありませんが、障害があることがうかがえる情報は要配慮にあたる、という考え方に沿うものです。そのため、要配慮個人情報にあたるものとして動くほうが安全です。あたるかどうかは漏れた情報の中身で決まるので、迷ったときは、早めに自治体の担当窓口や専門家に相談してください。

期限はいつまで？

PPCのページには、次のとおり書かれています。

委託先で起きた事故の場合は、PPCのQ&Aによると、原則として委託元と委託先の両方に報告の義務があります。ただし、委託先が、報告義務を負う委託元に事態を知らせれば、委託先の報告義務は免除されます。委託元は、自分の施設で起きた事故と同じように、迅速に対応することが求められます。

事故が起きた日、施設は何をする？（現場の目安）

次の流れは、公表された事例とPPCの手続きを並べた現場の目安で、法律が定めた手順そのものではありません。

  1. 広げない：誤送信なら、相手に削除を依頼し、削除したという返事までもらう。紛失なら、探す場所と最後に使った日時を確かめる
  2. 事実を書き残す：いつ、誰が、何を、誰に、どの項目を、何人分
  3. 責任者に伝える：気づいた人が一人で抱えない
  4. 速報：PPCの報告窓口へ（3〜5日の目安）
  5. 保護者に伝える：何が起きたか、どの項目か、これから何をするか。お詫びを添える
  6. 確報：30日以内に原因と再発防止策を報告
  7. 再発防止：堺市のように、手順（承認）と道具（ファイル名の付け方、承認の仕組み）の両方を直す

明日からできること

  1. 自分の施設で「要配慮にあたる情報」がどこにあるかを書き出す（障害の事実、診断、支援計画、利用している事業所名など）
  2. 連絡先の一覧を作る：PPCの報告窓口、指定を受けている自治体の担当課、委託先・委託元の担当者。事故の日に探さなくて済むようにする
  3. 誰が報告するか決めておく。気づいた職員が、まず誰に伝えるかも決める
  4. 委託先・システム会社との契約で、事故が起きたときの連絡の期限と窓口が決まっているか確かめる
  5. いま使っている記録・連絡のサービスに、誤送信を防ぐ仕組み（送る前の宛先の確認、外部への共有を制限する設定、送った履歴の確認、送ってしまったあとに共有を取り消せるか、など）があるか確かめる。なければ、運用（送る前の二重確認）で補う
  6. 添付ファイルを送る前の二重確認を決める（次の記事「うっかり」の回でくわしく書きます）

もっと知りたい方へ（出典）

いずれも2026年10月28日に確認しました。

この記事は一般的な情報提供であり、法的な助言ではありません。個別のご事情は、自治体の窓口や専門家にご相談ください。

そだちノートの情報の取り扱いは、情報の取り扱いについてに書いています。

株式会社KOTOHA
放課後等デイ・児童発達支援むけ観察記録アプリ「そだちノート」の運営元です。