要点
委託先は、破壊の工程で一部の処理が不十分だった可能性があり、HDD は資源リサイクル業者を経てオークションに出たとみている。破砕の前と後の HDD を同じ形の容器で管理していたとも説明した（報道）。気づいたのは HDD が転売された後で、きっかけは落札者の連絡だった。廃棄の委託は、委託先の作業が終わった時点で、委託元には「廃棄済み」として扱われ、1 台ずつ壊されたかが見えなくなる。
実行の前の照合＝廃棄済みとして扱う前に、1 台ずつ壊された記録を、委託した台数と照合し、記録に残すこと。検知＝HDD が外で見つかった後に気づくこと。下の日付は、各者が確認・公表した日で、破砕されなかった時期とは限らない。
回収分に患者約 17.9 万名分の情報
通った操作
- 通った操作
- 委託した HDD の処分の完了。委託先の作業が終わったものとして、そのまま廃棄済みの扱いになった。破砕されなかった HDD が、リサイクル業者を経て、ネットオークションに出た。
- 止まった操作
- 落札者 2 人が、データに気づいて病院に連絡した（2025 年 6 月・報道）。HDD は回収され、機構は委託先を刑事告発した。
- 受け付けた側に届くもの
- 一般に、委託先から届くのは「処理が終わった」という報告で、1 台ずつ壊されたことを示す記録は、求めなければ届かない。破砕の前と後の HDD が同じ形の容器にあれば、外から見て区別できない（委託先の説明・報道）。
- 公表されていないこと
- 委託元が 1 台ずつ壊されたことを確認する手順を持っていたか、発覚から公表まで約 1 年かかった理由、警察の捜査の進み具合、台数・委託の時期（両院の公表にはなく、報道と委託先の文書に拠る）。
実行前の照合
経路を問わず区別できる条件は、廃棄を委託した側が、委託した媒体 1 台ずつについて、壊されたことを示す記録（シリアル番号と、壊した後の写真や消去のログ）を、委託した台数と、廃棄済みとして扱う前に照合することである。
廃棄の委託は、委託先の作業が終わった時点で、委託元には「廃棄済み」として扱われ、1 台ずつ壊されたかが見えなくなる。
- 誰が承認を出すか
- 委託元（病院）。委託した台のシリアル番号の一覧を持ち、委託先の申告ではなく、1 台ずつの記録を受け取って承認する。
- どこで照合するか
- 廃棄済みとして資産の台帳から外す前の一か所。記録がそろわない台は、廃棄済みとせず、委託先に確認する。再委託の有無も、契約の前に確認する。
- 何が残るか
- 台ごとに、誰が、いつ、どう壊したかの記録。委託先の報告とは別に、後から第三者に示せる形で残す。
検知は働いたが、気づいたのは病院でも委託先でもなく、HDD を落札した一般の人だった。同じように、役目を終えた環境に、消すはずの顧客データが残っていた事案に、阿波銀行がある。
Lemma でできること
Lemma は、実行前の照合を、廃棄済みとして扱う側に組み込む。侵入を見つけるのではなく、委託した台数に対して、1 台ずつ壊された記録がそろっているかを、廃棄済みとする前に照合する。
注意したい業界・業務
- 業界医療・ヘルスケア
- 電子カルテの更新などで、患者の情報を含む機器を大量に廃棄する医療機関。病名や検査結果は、漏れたときの影響が大きい。
- 業務機器の廃棄
- パソコンやサーバーの処分を外部に委託する業務。委託先からさらに再委託や転売が起きることがある。
いまの対策と Lemma の違い
今回の経路は 1 列目（委託先の工程で、HDD が壊されないまま残る）である。2 列目は、委託先からさらに再委託や転売に渡る場合で、今回は転売があったと報じられている。3 列目は、写真やログそのものが偽られる場合で、今回そうだったかは公表されていない。
| 対策 | 委託先の工程で壊されないまま残る | 再委託・転売への受け渡し | 写真やログそのものの偽り |
|---|---|---|---|
| 委託契約での破砕の取り決め | 一部 | 関係しない | 関係しない |
| 廃棄への立ち会い | 一部 | 関係しない | 関係しない |
| 院内での物理破壊（再発防止策） | 一部 | 関係しない | 関係しない |
| 落札者などからの連絡 | 関係しない | 一部 | 関係しない |
| Lemma（実行の前の照合） | 効く | 一部 | 効かない |
契約の取り決めは、委託先は破砕を請け負っていたが、一部は壊されなかった。立ち会いは、立ち会った台は確認できるが、数百台のすべてに立ち会うのは難しい。院内での物理破壊は、委託先に頼らずに済むが、誰がどの台を壊したかの記録が無ければ、確認しにくさは残る。落札者などからの連絡は、回収につながったが、HDD はすでに転売されていた。Lemma は、委託した台数に対して、1 台ずつの破壊の記録がそろうまで、廃棄済みとして扱わない。
注：Lemma の照合が働くのは、廃棄済みとして扱う手続きに照合を組み込み、委託した台のシリアル番号の一覧を委託元の側で管理している場合に限る。写真やログそのものを偽られれば、この照合も通ってしまう。台数が多いほど、1 台ずつ確認する手間は大きくなる。再委託と転売は、記録の受け取りでは止まらず、契約の前に確認する手順が別に要る。表は何を照合しているかの比較で、今回の事案で止まったかどうかを示すものではない。Lemma は、侵入を検出・防止するものではない。
機器の廃棄について、組織で確認する 3 項目
- 廃棄を委託した機器を、1 台ずつシリアル番号で言えるか。
- その 1 台ずつについて、壊した写真や消去のログを受け取っているか。
- 委託先が再委託や転売をしていないかを、契約の前に確認しているか。
事実と時系列
- 当事者
- 国立病院機構（NHO）の北海道医療センターと北海道がんセンター（札幌市）。
- 委託
- 電子カルテの更新に伴い、使わなくなった端末の処分を外部の廃棄処理業者に委託した。報道によれば、北海道医療センターは 2024 年 3 月に約 750 台、北海道がんセンターは 2024 年 11 月に約 570 台の HDD を、石狩市の同じ業者（リプロワーク）に委ねた。
- 流通
- HDD の一部が、適切に破砕されないまま外部に流通した（両院）。委託先は、破壊の工程で一部の処理が不十分だった可能性があり、資源リサイクル業者を経てネットオークションに出たとみている。意図して流通させた事実は無いとする（同社）。
- 発覚
- 2025 年 6 月、ネットオークションで HDD を落札した 2 人から、北海道医療センターのものと思われるデータがあると連絡があった（報道）。
- 規模
- 機構はネットに出品された 90 台を回収し、うち 33 台に電子カルテのデータがあった（報道）。回収した HDD には、北海道医療センターで実数約 17 万名、北海道がんセンターで約 8,800 名の患者の情報が記録されていた（両院）。両院は、旧電子カルテの患者 ID の総数をもとにした想定上の最大範囲も示し（報道では約 51 万人）、全員分が漏れたということではないとしている。
- データ
- 氏名、患者番号、生年月日、住所、電話番号、診療日、診療科、入院の情報、病名、検査結果、アレルギー、看護記録の一部など。マイナンバー、口座番号、カード番号は含まない。
- 不正利用
- 不正利用や二次被害の報告は確認されていない（両院）。
用語メモ
電子カルテ — 患者の診療記録を電子的に保存する仕組み。病名や検査結果など、特に機微な情報を含む。
物理破壊（破砕） — HDD を砕いたり穴を開けたりして、データを読めなくすること。消去ソフトによる消去とは別の方法。
時系列
- 北海道医療センターが、HDD 約 750 台の処分を委託（報道）。
- 北海道がんセンターが、約 570 台の処分を同じ業者に委託（報道）。
- ネットオークションの落札者 2 人から、病院のものと思われるデータがあると連絡（報道）。
- 両院が公表。機構は廃棄物処理法違反の疑いで、委託先を北海道警察に刑事告発した（報道）。同じ日、厚生労働省が都道府県に、情報機器の廃棄時の漏えい防止策の徹底を求める事務連絡を出した。
- 委託先が、処理が不十分だった可能性を認める文書を公表。
- 回収された HDD から、札幌市の別の病院（新札幌豊和会病院）の患者 4,721 人分の情報も見つかったと報じられた。
両院の公表（一次）は、委託の時期と台数、委託先の名前、発覚の経緯、回収の台数、刑事告発に触れていない。これらは報道と委託先の文書に拠る。報道の「約 18 万 6,900 人」（患者と職員）と両院の公表の患者数は一致せず、差は説明されていない。発覚から公表まで約 1 年かかった理由も説明されていない。2026 年 10 月の時点で、警察の捜査の進み具合は公表されていない。公表されていないことは、対策が無かったことを意味しない。
公表後の対応
- 両院: 院内で確実に物理的に壊すことを原則とし、複数人での確認を必須にし、委託先の選び方と管理を厳しくするとした。
- 厚生労働省: 医療機関に、廃棄への立ち会いや、壊した写真・消去のログの提出を求めるよう示した。再委託の有無も、契約の前に確認するよう求めた。
Sources
- 一次・当事者の公表北海道医療センター「個人情報の取扱いに関するお詫びとご報告」
- 一次・当事者の公表北海道がんセンター「個人情報の取扱いに関するお詫びとご報告」
- 一次・委託先の公表リプロワーク 両院から受託した HDD の処理についての文書
- 一次・事務連絡厚生労働省「情報機器等の廃棄時における個人情報漏えいの防止策の徹底について」
報道・解析 5 件
- 報道UHB「【個人情報流出】破砕依頼したはずのHDDがネットオークションに…患者や職員など最大51万人分被害か」
- 報道NHK「北海道医療センターなど個人情報流出か 最大約51万人分おそれ」
- 報道・京都新聞に配信共同通信「患者ら１８万６千人分の情報流出」
- 報道・委託先への取材北海道新聞「HDD破砕確認せず売却 産廃業者『不注意でミス』」
- 報道北海道新聞「患者情報含むHDD流出、新札幌豊和会病院でも4721人分」