熊本県立学校で卒業生45人の進路情報が流出　公開停止後も1年7か月閲覧可能、アクセス538回

熊本県教育委員会は7月17日、県立学校のホームページ上で、卒業生45人分の氏名や進路先などを記載した一覧表が外部から閲覧できる状態になっていたと発表しました。

一覧表は2024年9月に掲載され、約2か月後に学校側が公開を停止。しかし、元のデータは完全に削除されず、その後も氏名や企業名を検索することで閲覧できる状態が約1年7か月続いていました。

学校名について、県教委は明らかにしていません。

卒業生45人の氏名・学科・進路先を掲載

県教委によると、問題となったのは、2023年度に卒業した生徒45人分の進路先一覧です。

一覧には、卒業生の氏名に加え、在籍していた学科、就職先の企業名、進学先の学校名などが記載されていました。

資料には「取扱注意」と明記されていましたが、ホームページ作成を担当していた教員が、責任者の承認を受けないまま掲載したということです。

担当教員は、学校の進路状況を紹介するために公開したと説明し、過去にも同様の資料を掲載していたと思い込んでいた趣旨の話をしているとされています。

公開停止後もなぜ閲覧できたのか

一覧表は掲載から約2か月後、管理職が問題を指摘し、学校側がホームページ上での公開を停止しました。

しかし、学校はこの時点で熊本県教育委員会に報告していませんでした。

さらに、表面上は公開を止めたものの、元データ自体が削除されず、検索結果などから直接閲覧できる状態が残っていたとみられます。

つまり、ホームページ上からリンクを外しただけで、サーバー上のファイルが消えていなかった可能性があります。これは発表内容から考えられる状況であり、詳しい技術的原因は県教委の検証を待つ必要があります。

保護者が検索して問題に気付く

事態が発覚したのは、公開を止めたとされる時点から約1年7か月後の2026年6月です。

卒業生の保護者が、氏名や企業名をインターネットで検索したところ、進路先一覧を閲覧できることに気付き、熊本県広報課へ問い合わせました。

その後、学校側がデータを削除しました。

県教委によると、最初に掲載されてから削除されるまでの約1年9か月で、一覧表には合計538回のアクセスが確認されたということです。

誰が閲覧したのか、情報が保存・転載された形跡があるのかについては、提供された発表内容では明らかになっていません。

「公開停止」時に県教委へ報告せず

今回の問題では、個人情報を掲載したことだけでなく、管理職が問題を把握した後、県教委へ報告しなかった点も焦点となります。

早い段階で県教委や情報管理の担当部署へ報告していれば、データがサーバー上に残っていないか、検索サイトから到達できないかなどを確認できた可能性があります。

県教委の高校教育課は、県立高校や県立中学校の教育・運営に関する業務を担当しています。今回のような県立学校の情報管理についても、学校単独で終わらせず、教育委員会を含めて対応する体制が必要です。

学校は卒業生や進路先に謝罪

学校は、情報が掲載された卒業生とその家族のほか、一覧に記載されていた企業や学校に謝罪しました。

氏名と進路先が結び付いた情報は、本人の学歴や就職先を第三者が知る手掛かりになります。

掲載された卒業生はすでに学校を離れていますが、卒業後であっても学校が保有する個人情報を適切に管理する責任は変わりません。

また、「進路実績を紹介する」という目的であっても、個人名を掲載する必要があるのか、本人や保護者から同意を得ていたのかを厳しく確認する必要があります。

なぜ学校名を公表しないのか

熊本県教育委員会は、問題が起きた県立学校の名前を公表していません。

学校名を明らかにすると、生徒や卒業生の特定につながる可能性があることなどを考慮したとみられます。

一方で、学校名を非公表とする場合でも、どのような学校種別だったのか、責任者による確認がなぜ機能しなかったのか、公開停止後にどのような作業を行ったのかなど、再発防止に必要な情報は説明する必要があります。

被害者の保護と、行政の説明責任をどう両立するかが問われます。

県立学校の管理職を対象に緊急研修へ

熊本県教育委員会は再発防止のため、7月30日に県立学校の管理職を対象とした緊急研修会を開く方針です。

研修では、個人情報をホームページへ掲載する際の承認手続きや、問題が発覚した場合の報告、データの完全な削除方法などを改めて確認するとみられます。

ただし、研修を一度開くだけでは十分とはいえません。

掲載前の複数人チェック、公開中の定期点検、削除後の検索確認、情報漏えい時の報告手順までを仕組みとして整える必要があります。

編集部コメント

今回、特に重く受け止めるべきなのは、最初の誤掲載だけではありません。

管理職が問題を把握しながら県教委へ報告せず、「公開を止めた」と考えて対応を終えた結果、情報が長期間残り続けました。

個人情報の管理では、画面から見えなくすることと、データを完全に削除することは別です。

学校現場にホームページの更新を任せるのであれば、掲載前の承認、削除後の確認、問題発覚時の報告まで、誰が責任を負うのかを明確にする必要があります。

「教員の思い込み」で片付けず、承認なしで公開できた仕組みそのものを見直すべきです。

---

特記事項：
本記事は、熊本県教育委員会の発表内容および提供された報道情報をもとに、週刊TAKAPI編集部が独自に整理・再構成しました。卒業生のプライバシーに配慮し、個人や学校を推測・特定する行為はお控えください。

情報提供・取材依頼について

学校の個人情報管理、いじめ、教職員不祥事、教育行政などに関するタレコミ・リーク・情報提供は、週刊TAKAPI公式LINEまたは各種SNSのDMからお寄せください。情報提供者の秘密を厳守します。