PC・HDDの廃棄委託で起きた流出事例から学ぶ、データ消去業者の選び方と確認ポイント
PCやサーバーを処分するとき、データ消去や廃棄を外部の事業者に任せる企業は少なくありません。ところが過去には、廃棄を依頼した記憶装置が消去や破砕をされないまま持ち出され、ネットオークションで売られた事例が公表されています。
この記事では、神奈川県と厚生労働省が公表した資料をもとに、何が起き、何が原因とされたのかを整理します。そのうえで、委託先を選ぶときの確認ポイントと、自社で残しておきたい記録をまとめます。
結論：証明書だけに頼らず、記録で確かめられる委託先を選ぶ
この記事で取り上げる2つの事例は、どちらも、廃棄を依頼した記憶装置が消去や破砕をされないまま、委託先から外部に出ていました。神奈川県は契約でデータ消去証明書の提出を求めていましたが、作業への立会いは求めておらず、機器を返却した後は関与していませんでした。
委託先を選ぶときは、証明書が出るかどうかだけでなく、機器を預けてから消去が終わるまでを1台ずつ記録でたどれるか、誰がどこで作業するのか（再委託の有無を含む）を確かめ、契約で取り決めておくことが大切です。
公表されている2つの事例
神奈川県：リース返却したサーバーのHDDが転売された（2019年）
神奈川県は2019年12月、リース契約の満了に伴ってリース会社へ返却したサーバーから、ハードディスクが盗まれていたと公表しました。リース会社はデータ消去作業（物理破壊）を別の事業者に委託しており、その委託先の事業者の従業員が、消去作業の前にハードディスク18本を盗み、オークションサイトで売却していました。
県は返却する前にデータを初期化していました。しかし、オークションでハードディスクを購入した人がデータ復元ソフトウェアを使ったところ、一部のデータを復元できたとされています。外部に出た18本は、その後すべて回収されています。
国立病院機構の病院：破砕を依頼したHDDが出品された（2026年）
2026年6月には、独立行政法人国立病院機構が運営する病院が、廃棄物処理業者に廃棄を依頼したシステムのハードディスクについて、適切に破砕されないまま、他の業者を経由してネットオークションに出品され、保存されていた個人情報が漏えいしたことが公表されました。厚生労働省はこの事案も踏まえ、2026年6月8日に、医療機関が情報機器を廃棄するときの留意事項をまとめた事務連絡を出しています。
何が原因とされたのか
神奈川県は、盗難の原因を、作業を請け負った委託先の事業者の社員管理・作業管理体制や事故防止対策の不備により、ハードディスクを盗める状態にあったことだとしています。そのうえで、県としてもデータ消去の履行確認が不十分だったとしています。
県が契約していたのはリース会社で、実際の消去作業は、リース会社が委託した事業者が行っていました。県がまとめた再発防止策の資料では、契約内容の不備と履行確認の不備こそが根本的な原因だったとして、次の点を挙げています。
| 分類 | 内容 |
|---|---|
| 契約の内容 | データ消去を誰が行うのか、どの方法で何を対象に消去するのかが明確でなかった |
| 証明書 | データ消去証明書に書く内容が明確でなく、提出期限も決めていなかった |
| 立会い | データ消去の作業に、県の職員が立ち会っていなかった |
| 返却後の確認 | 機器を返却した後は県が関与せず、証明書の提出の督促も不十分だった |
証明書を求めていても、それだけでは確認にならなかった
県はリース契約で、データ消去証明書の提出を求めていました。しかし職員の立会いまでは求めておらず、返却後に提出を督促していた証明書は、最終的に「提出できない」という回答だったとされています。
2026年の事例を受けた厚生労働省の事務連絡も、既存のガイダンスやガイドラインをあらためて示しています。廃棄を委託するときは、委託先から破棄の証明や証跡の提供を求めて確認すること、そして再委託がある場合は、再委託の可否や、事前の報告・承認の手続きを契約で定めておくことが望ましいとしています。
医療機関向けの通知ですが、考え方は一般の企業にもそのまま当てはまります。個人情報保護委員会も、個人データを消去する際は復元できない手段で行い、消去を外部に委託する場合は委託先を必要かつ適切に監督する必要があると注意を促しています。さらに、廃棄を請け負った事業者自身も、再委託先を監督する義務を負うとしています。
信頼できる委託先を選ぶための確認ポイント
事例と公的機関の考え方を踏まえると、委託先を選ぶときは次の点を確認しておくと安心です。見積りや打ち合わせの段階で質問し、答えは書面で受け取っておきましょう。
| 確認ポイント | 委託先に聞くこと | 確認する理由 |
|---|---|---|
| 受け渡しから消去までの記録 | 受け取った時点で全数を検品し、1台ごとに記録するか。消去までの間、どこで誰が管理しているかを示せるか | 神奈川県の事例では、消去作業の前に持ち出されていた。消去の結果だけでなく、その前の管理も確かめる |
| 事前の機器リスト照合 | 受け取った後に、本体と記憶装置のシリアル番号を載せた機器リストを出してもらえるか | 預けた台数・個体と、受け取られた台数・個体のずれに早く気づくため |
| 消去方法の説明 | ソフトウェア消去か物理破壊か。消去できなかった記憶装置をどう扱うか | 初期化だけではデータを復元できる場合がある。依頼どおりの方法で処理されたかを確かめるため |
| 立会い・写真・証明書の内容 | 証明書に機器ごとの明細が付くか。消去のログや破壊後の写真を出せるか。立会いはできるか | 台数だけの証明書では、どの機器が処理されたかを後から確かめられない |
| 再委託の有無 | 作業の一部を他社に任せるか。任せる場合は、どの作業をどこに任せ、事前に報告や承認を求められるか | 記憶装置がどこを通るのかを、再委託先まで含めて把握するため |
| 保管場所とセキュリティ | 消去までどこに保管し、作業場所への出入りをどう管理しているか。契約前に作業の手順や現場を確認できるか | 持ち出しを防ぐ体制があるかを確かめるため |
| 契約での取り決め | 消去を行う者、方法、対象、証明書の記載内容と提出期限、再委託の条件を契約書や仕様書に書けるか | 神奈川県が原因に挙げた「契約内容の不備」を防ぐため |
| 認証や団体への加盟 | 取得している認証や、加盟している団体 | 判断材料の一つにはなるが、個々の作業の確かさまでは分からない。ほかの項目とあわせて確認する |
消去方法の違いと選び方は、ソフトウェア消去と物理破壊の違いで解説しています。
認証や加盟は、入口の確認と考える
認証の取得や業界団体への加盟は、一定の体制を整えていることを知る手がかりになります。ただし、自社の機器がどのように扱われるかまでを示すものではありません。具体的な手順と記録を、自社の目で確かめることが大切です。
自社で残しておきたい記録
委託先が記録を残していても、自社の側に照合の元になる記録がなければ確認はできません。少なくとも次の3つは、自社で保管しておきましょう。
- 機器の台帳：預ける前に、対象機器のメーカー・型番・シリアル番号と、中の記憶装置の情報を一覧にしておきます。委託先から届く機器リストや証明書と照合する元になります。
- 消去証明書と明細：機器ごとの明細が付いた証明書を、台帳と照合してから保管します。記載項目と確認のしかたは、データ消去証明書とは？で解説しています。
- 契約書と受け渡しの記録：契約書や仕様書、再委託についての取り決めに加えて、機器を引き渡した日時と台数がわかる書類（受領書など）を残しておきます。
「渡した後は委託先任せ」にしない
神奈川県は再発防止策として、記憶装置のシリアル番号の一覧を作って照合すること、職員が複数名で立ち会って確認すること、処理の結果を写真で記録すること、引き渡しを記録に残すことなどを定めました。すべてを同じようにする必要はありませんが、引き渡した後も記録で確かめられる仕組みを作ることは、どの企業にも参考になります。
REER JAPAN にご相談いただけること
- 受領後すぐに全数を検品：受け取った機器はすぐに全数を検品・入庫登録し、機器リストをお送りします。ご承認をいただいてから消去を始めます。（法人向けPCデータ消去）
- 1台ずつ記録：ソフトウェア消去または物理破壊で消去し、1台ずつ記録します。進み具合はオンラインで確認できます。
- 費用：買取する機器のデータ消去は無料です。消去のみのご依頼や消去証明書の発行は、お見積りでご案内します。
- 回収：関東圏は訪問回収、関東圏以外は宅配便で受け付けます（事前のお見積りが必要です）。（法人向けPC回収）
- 体制：一般社団法人日本ITAD協会の正会員で、古物商許可を取得しています。
委託先を比べている段階で、この記事のチェックリストの項目についてご質問いただくだけでもかまいません。台数と機種をお知らせいただければ、進め方とあわせてご案内します。お見積りは無料です。無料お見積りからご相談ください。
文：株式会社REER JAPAN
参考
古いPCの回収・データ消去のご相談
台数が決まっていない段階でもかまいません。お見積りは無料です。