廃棄処分されたHDDのネットオークション流出についてまとめてみた

2026年6月8日、独立行政法人国立病院機構は、北海道医療センターと北海道がんセンターが廃棄処分を委託していたハードディスク(HDD)の一部が適切に破砕されないままインターネットオークションに流出し、患者・職員の個人情報が外部に漏えいした可能性があると公表しました。同日、機構は廃棄物処理業者を刑事告発したことも明らかにしています。ここでは関連する情報をまとめます。

発覚まで1年、廃棄HDDがネットオークションに流出

北海道医療センターは2024年3月、電子カルテの更新に伴い、旧端末に内蔵されていたHDD約750台の破砕・廃棄処分を石狩市の廃棄物処理業者「リプロワーク」に委託した(出典: 7, 10)。北海道がんセンターも2024年11月、同じ業者にHDD約570台の破砕・廃棄処分を委託した(出典: 7, 10)*1。

2025年6月、ネットオークションでHDDを含む情報記録装置を落札した人物から北海道医療センターへ「同センターのものと思われるデータが保存されている」と連絡があり、流出が発覚した(出典: 5, 6, 7, 8)*2。同7月、回収したHDDを調査した結果、患者・職員の個人情報が含まれていることが判明した(出典: 8)。この発覚から公表までの経緯は、公式発表には記載がなく、約1年を要した理由も明らかにされていない。

国立病院機構は情報漏えいの拡大防止のため、インターネット上に出品されていたHDD90個を回収したが、このすべてを同じ廃棄物処理業者が破砕・処理していたわけではなかった(出典: 7)。回収したHDDのうち、電子カルテシステムの情報を記録していたことが確認されたのは33個(北海道医療センター31個、北海道がんセンター2個)で、外部に流通したHDDの全数は明らかになっていない(出典: 6, 12, 13)。残る57個の内容や、当初の委託台数(約750台+約570台)との関係は公表されていない。

最大51万人に影響可能性

国立病院機構は2026年6月8日、両病院の公式サイトで「個人情報の取扱いに関するお詫びとご報告」を公表するとともに、道庁内で記者会見を開いて謝罪した。公表・報道された人数には性質の異なる複数の系統があり、混同できない。

まず公式Q&Aは、回収したHDD全体に記録されていた実数(実際に個人情報の記録が確認された人数)として、北海道医療センターで約17万人(のべ約176万件、1人分の情報が複数の記録に該当する場合を含む)、北海道がんセンターで約8,800人(のべ約25,000件)の情報が記録されていたと説明している(出典: 1, 2)。

一方、NHKが伝えるところでは、電子カルテシステムの情報を記録していたと確認された33個のHDDに、少なくとも18万6,900人分の個人情報が記録されていたという(出典: 6)。この18万6,900人という数値は、共同通信が伝える「患者や職員計約18万6千人分」(出典: 5)、北海道新聞が伝える「患者約18万2,800人、職員約4,100人」(出典: 8)ともおおむね整合する*3。

これらの「確認済み実数」とは別に、旧電子カルテに登録されていた患者ID数を基にした「想定上の最大範囲」として、北海道医療センター最大23万人・北海道がんセンター最大28万人、合計最大約51万人という数値も示されている(出典: 5, 6, 7, 8, 12)。公式Q&Aは、この想定最大範囲について「実際にすべての方の情報が保存されていた、または漏えいしたということではありません」「可能性として考え得る最大の範囲をお伝えしています」と明記しており(出典: 1, 2)、最大約51万人がそのまま漏えいしたことを意味するものではない。

漏えいしたおそれのある個人情報の項目は次の通り(出典: 1, 2)。

氏名
患者番号
生年月日
住所
電話番号
診療日
診療科
入院に関する情報
病名
検査結果
アレルギー情報
看護記録の一部

マイナンバー、銀行口座番号、クレジットカード番号などの情報は含まれていない(出典: 1, 2, 13)。保存されていた情報の内容や量は患者ごとに異なり、すべての患者にこれらの情報がすべて含まれていたわけではない(出典: 1, 2)。

廃棄業者が破砕を確認せず転売、道内外を経由して流通

北海道新聞が廃棄物処理業者「リプロワーク」へ独自取材したところによると、同社は作業員が実際に破砕したかを確認しないまま別の業者にHDDを売却し、購入した道内のリサイクル業者も破砕されているかを確認しないまま道外の業者に転売していた(出典: 10)。同社は国立病院機構に対し「破砕前後のハードディスクが同じ形の容器で管理されていた。作業スペースの区分けが不十分だった」と説明しているという(出典: 7)。

同社は廃棄物処理法上の「マニュフェスト」(廃棄処理を終えたことを示す書類)を国立病院機構に発行していたが、記載された破砕処理は実際には行われていなかった(出典: 7)。

リプロワークは6月9日、お取引先・関係者向けに自社サイトで「個人情報の取扱いに関するご報告とお詫び」を公表した。同社はこの中で「弊社の破壊工程において一部の処理が不十分であった可能性があり、その結果、当該ハードディスクが資源リサイクル業者を経由してネットオークションに出品されたものと考えております」と説明し、「弊社が意図的にハードディスクを未破壊のまま流通させた事実は一切ございません」としている(出典: 4)*4。

国立病院機構が業者を刑事告発

国立病院機構は2026年6月8日、廃棄物処理法違反容疑で道警にリプロワークを刑事告発した(出典: 5, 6)。国立病院機構北海道東北グループの総括長は道庁内での記者会見で「本来確実に破砕されるべき個人情報を含むハードディスクの一部が、外部への流出に至った点を重く受け止めている」「患者や関係者に不安を感じさせることになり、深くおわび申し上げます。こうした事案が再び発生することがないよう、再発防止に努めていきたい」と述べた(出典: 6, 9)。

国立病院機構は6月9日から、情報流出が判明した患者への個別の文書通知を開始し、専用の問い合わせ窓口を開設した(出典: 7)。通知が届かなかった場合に対象外と判断してよいかなど、対象範囲の確定方法の詳細は公表されていない。

両病院は現時点で個人情報が不正に利用された事実や二次的な被害が生じたとの報告は確認されていないとしている(出典: 1, 2, 5, 6, 7)。

再発防止策として、個人情報を含む記録媒体の院内での確実な物理的破壊を原則化し、廃棄工程における複数人での確認の必須化、外部委託先の選定・管理体制の厳格化を挙げている(出典: 1, 2)。

厚労省が医療機関に注意喚起

厚生労働省医政局総務課・医療情報担当参事官室は2026年6月8日、本事案を契機として、各都道府県衛生主管部局宛てに「情報機器等の廃棄時における個人情報漏えいの防止策の徹底について」の事務連絡を発出した。廃棄時に医療機関担当者が立ち会うことや、記録媒体が破壊された写真・ソフトウェア消去に係るログの提出を求めて確認すること、委託契約前に委託先の廃棄手順や再委託の内容を確認すること等の留意事項を示した(出典: 3)。官房長官は6月9日の記者会見で本事案について「誠に遺憾だ」と述べ、厚生労働省が全国の医療機関に対し個人情報を適切に扱うよう注意喚起したことを明らかにした(出典: 11)。

北海道庁の廃棄HDD2台も同じ90台に含まれ、697人分が流出

本事案とは別に、北海道庁自身も廃棄HDDからの個人情報流出を公表している。北海道は2026年6月8日、庁内で使用後に廃棄したパソコンのHDDが、氏名や口座番号など少なくとも計697人分の個人情報を含む状態で流出していたと発表した(出典: 14)。

UHBの報道によれば、この697人分の情報が入っていた2台は、国立病院機構が回収した90台のHDDの中に含まれていたものだった(出典: 7, 14)。具体的にどのような経緯で発見されたか(同一の出品からの発見であったかなど)は明らかにされていない。1台には道民生活課がまとめたイベント出席者の氏名・講師の謝費など98人分、もう1台には後志総合振興局がまとめた市町村・商工会関係者の名簿やセミナー参加者などの名簿599人分のデータが入っていたという(出典: 7)。

北海道の内規では産業廃棄物として業者に渡す前に道側が破砕処分することになっていたが、今回はこの作業を怠っていたといい、原因は病院側(業者が破砕を確認しないまま流通させた)とは異なる(出典: 7, 14)。北海道は「情報セキュリティ基準の認識に不足があった」とコメントし、過去5年間の同種事案を点検した結果、697人分の2台のほかに7台の廃棄状況が確認できなかったことも明らかにした(出典: 7)。

北海道庁に続き新札幌豊和会病院でも判明

北海道医療センターが先行して流出を覚知しネットオークションから回収したHDDの中には、新札幌豊和会病院(札幌市厚別区、医療法人豊和会が運営する民間病院。国立病院機構とは別法人)(出典: 16)のものとみられるHDDも含まれていた。同病院が石狩市の産業廃棄物処理業者に破砕処理を委託していたHDDから、患者4,721人分の個人情報が流出していたことが2026年6月29日、同病院などへの取材で判明した(出典: 15)。北海道医療センターが回収したHDDの中に同病院のものとみられるHDDが含まれていたことから同病院に通報し、発覚したという(出典: 15)。

日時	出来事
2024年3月	北海道医療センターが電子カルテ更新に伴い、HDD約750台の廃棄処分を石狩市の廃棄物処理業者「リプロワーク」に委託*5
2024年11月	北海道がんセンターがHDD約570台の廃棄処分を同業者に委託
2025年6月	ネットオークションでHDDを落札した人物から北海道医療センターへ連絡があり流出が発覚
2025年7月	回収したHDDの調査で患者・職員の個人情報が含まれていることが判明
2026年6月8日	北海道がんセンター・北海道医療センターが公式サイトで「個人情報の取扱いに関するお詫びとご報告」を公表
同日	国立病院機構が廃棄物処理法違反容疑で道警にリプロワークを刑事告発
同日	北海道が庁内廃棄HDD2台に697人分の個人情報が含まれていたと発表(周辺事案)
同日	厚生労働省が全国の都道府県衛生主管部局宛てに廃棄時の個人情報漏えい防止を求める事務連絡を発出
2026年6月9日	国立病院機構が対象患者への個別文書通知と専用問い合わせ窓口の運用を開始
同日	リプロワークが自社サイトでお詫びを公表、「破壊工程の一部が不十分であった可能性」と説明し意図的な未破壊流通を否定
2026年6月29日	新札幌豊和会病院(民間病院)でも患者情報を含むHDDが流出していたことが判明(北海道医療センターが回収したHDDの中から発覚)

*1:テレビ北海道(Yahoo!ニュース配信)は「2024年に約2万個の破砕処分を委託」と伝えており、桁が大きく異なる(出典: 12)。公式発表にHDD台数の記載はなく、いずれの数値も確認できていない。本文ではUHBの台数を採用した。

*2:連絡した落札者の人数について、UHBと共同通信は「2人」と伝えている(出典: 5, 7)。

*3:この数値は電子カルテ情報の記録が確認された33個のHDDを母数とする一方、公式Q&A(出典: 1, 2)が示す実数は回収したHDD全体を母数とする集計であり、後者の単純合算(約17万人+約8,800人≒約17.9万人)を、部分集合であるはずの前者が上回るという一見矛盾する関係になっている。この食い違いの理由(母数の取り方の詳細等)は公表されていない。

*4:北海道新聞の独自取材は、作業員が実際に破砕したか確認しないまま別の業者に売却していたと報じ(出典: 10)、UHBは、廃棄物処理法上のマニュフェストに書かれた廃棄処理が実際には行われていなかったと伝えている(出典: 7)。いずれも要約であり原文の逐語ではない。当事者(原因企業)の説明と報道機関の取材内容が一致しておらず、いずれが正確かは本稿執筆時点で確定していない。

*5:テレビ北海道(Yahoo!ニュース配信)は「2024年に約2万個の破砕処分を委託」と伝えており、桁が大きく異なる(出典: 12)。公式発表にHDD台数の記載はなく、いずれの数値も確認できていない。本文ではUHBの台数を採用した。