練馬区の講座、チャットで受講者71人のメールが見える状態に 報告も届かず

練馬区は2026年9月9日、男女共同参画センターの講座の受講者71人の氏名とメールアドレスが、受講者専用のチャットツールで、ほかの受講者と講師から見える状態だったと公表しました。見える状態だったのは7月14日から27日までです。この記事は、区の公式の発表に書かれていることだけをまとめ、書かれていないことは「書かれていない」と記します。

何が起きたか

対象は、男女共同参画センターで開いている「女性のためのデジタルスキル習得プログラム」です。女性の就労や再就職を目的に、オンラインでデジタルスキルを学ぶ講座で、令和7年度から開かれています。コースは、Webマーケティング、CADオペレーター、一般事務の3つです。

受講者はこの講座のために、専用のチャットツールに招待されていました。そのチャットツールの参加者のプロフィール画面を開くと、ほかの受講者のメールアドレスが見える設定になっていた、というのが事故の中身です。見えていたのは氏名とメールアドレスで、見られる相手は、ほかの受講者と講師でした。

不正アクセスなどの攻撃には、発表は触れていません。チャットツールの製品名も書かれていないので、この記事でも、どのツールかは書きません。

区、指定管理者、運営事業者の関係

発表によると、センターの指定管理者は特定非営利活動法人 練馬区障害者福祉推進機構です。指定管理者が講座の運営を委託している事業者が、運営事業者のTRUNK株式会社です。区から見ると、区が指定管理者に任せ、指定管理者が運営事業者に任せる、二段の委託になっています。

チャットツールへの招待メールを送ったのも、設定を直したのも、運営事業者です。受講者から最初に連絡を受けたのも運営事業者でした。区と指定管理者に連絡が届いたのは、そのあとです。

時系列

見える状態だった期間は、招待した7月14日から、設定を直した7月27日までです。運営事業者が7月25日に知ってから、区が知るまでは、7月25日から8月31日まで、約1か月ありました。

原因は何か

区は、原因を2つ挙げています。

1つ目は、本来は指定管理者と運営事業者だけが見るべき情報を、誤って受講者が見られる設定にしていたことです。2つ目は、運営事業者から指定管理者へ、事故の発生に関する報告がなかったことです。

2つ目のために、7月27日に設定が直った後も、区と指定管理者は、8月31日まで事故を知りませんでした。報告がなかった理由は、発表に書かれていません。

区が求めた再発防止策

区は、指定管理者に対して、次の2点を求めました。

• 個人情報に関するシステムの設定時には、誤りがないか、複数人による確認を徹底する。
• 個人情報の漏えいや事故は、直ちに区へ報告することを徹底する。

1つ目は設定の誤りを防ぐ話、2つ目は起きてしまった後の連絡の話です。今回の事故には、この2つの穴がそのまま出ています。

影響する人・会社、しない人・会社

• 影響する: 講座の受講者71人です。氏名とメールアドレスが、ほかの受講者と講師から見える状態でした。区は、対象の方々に事案の発生を報告し、謝罪したと発表しています。
• 影響しない: 講座の受講者以外の区民です。発表は、対象を受講者71人としています。
• 自社に当てはまる会社: セミナー、研修、イベント、コミュニティなどで、社外の人を専用のチャットに招いている会社です。参加者の画面で、何が見えているかを確かめていないと、同じことが起こりえます。
• 自社に当てはまる会社: チャットや会員サイトの運営を、外部の事業者に任せている会社です。区と同じく、事業者から報告が上がってこない可能性があります。
• 自社に当てはまる会社: 取引先、顧客、アルバイトなど、社員ではない人が入るチャットを使っている会社です。

会社・情シスが今日やること

以下は、今回の公表内容から導いた編集部の確認の手順です。区や公式が示した基準ではありません。ただし、手順の2と3は、区が指定管理者に求めた内容に対応しています。

1. 社外の人を招くチャットで、参加者の画面から、何が見えるかを確かめる。 社外の人を招けるチャットツールには、プロフィールに名前やメールアドレスなどを表示できるものがあります。今回のツールがどれかは、区の発表に書かれていません。ですから、自社で使うツールのプロフィールの表示項目を、一般の参加者の権限のアカウントで開いて確かめます。招待する前にやるのが確実です。
2. 設定を、複数人で確かめる。 区の再発防止策と同じです。設定した人とは別の人が、設定の画面と、参加者から見える画面の両方を確かめます。確かめた日付と人を記録しておくと、後から見直せます。
3. 委託先と再委託先に、事故は直ちに報告するよう、契約と運用の両方で決める。 今回は、運営事業者から指定管理者への報告がありませんでした。契約に「個人情報の事故は直ちに報告する」と書き、さらに、誰に、どの手段で連絡するかの窓口を、委託先に伝えておきます。再委託先がある場合は、再委託先にも同じ決めが届いているかを確かめます。
4. 参加者から指摘を受けたときに、委託元まで上げる流れを作る。 今回は、受講者の指摘を受けた運営事業者が設定を直しましたが、その情報が上に伝わりませんでした。問い合わせを受けた人が、直す前でも直した後でも、誰に知らせるかを決めておきます。直して終わりにしない、という約束です。
5. 講座やイベントの受講者の連絡先を、運営側と参加者側で、見える範囲を分けて管理する。 運営だけが持つ名簿と、参加者同士が見られる情報を、はじめから別にします。参加者同士が見られるのは、表示名だけにする、という決め方もあります。

事故が起きたあとの、本人や個人情報保護委員会への報告の進め方は、委託先で個人情報が漏えいしたら?報告3〜5日・30日と本人通知の流れにまとめています。

問い合わせ先と今後

区の発表に書かれている問い合わせ先は、練馬区 人権・男女共同参画課 男女共同参画担当係(電話 03-5984-4518)です。

区は、事故を重く受け止め、再発防止に取り組むとしています。この記事の時点(2026年10月10日)で、これ以上の公表は確認できていません。