概要
医療法人豊和会 新札幌豊和会病院（北海道札幌市厚別区）は2026年7月30日、電子カルテシステムの更新に伴い廃棄した旧パソコンのハードディスク（HDD）が、産業廃棄物処理業者による破砕処分が不十分だったままインターネットオークションで転売され、患者の氏名・生年月日・診療情報などの要配慮個人情報が流出した可能性があると発表しました。
同様の廃棄HDD流出は、国立病院機構 北海道医療センター・北海道がんセンター、さらに北海道庁でも相次いで確認されており、「委託先に任せたから安心」では済まされない廃棄プロセスの落とし穴を示す事案です。情シス担当者としては、自組織の記録媒体廃棄フローを点検するきっかけとして捉えるべきでしょう。
1. 何が起きたか
新札幌豊和会病院では2023年9月頃、電子カルテシステムの更新に伴って使用していたパソコンを入れ替えました。同院は旧パソコンについて、外部の産業廃棄物処理業者にハードディスクの物理的な破砕処分を委託していましたが、ハードディスクが適切に破砕されないまま、他のパソコン部品に組み込まれた状態でインターネットオークションを通じて販売されていたことが判明しました。
| 項目 | 内容 |
|---|---|
| 被害組織 | 医療法人豊和会 新札幌豊和会病院（北海道札幌市厚別区） |
| 廃棄委託時期 | 2023年9月頃（電子カルテシステム更新に伴うPC入替時） |
| 原因 | 委託先の産業廃棄物処理業者によるHDD破砕処分が不十分 |
| 流出経路 | 破砕されなかったHDDが他のPC部品に組み込まれ、インターネットオークションで販売 |
| 公式発表日 | 2026年7月30日 |
2. 漏えいした個人情報と対象範囲
漏えいした可能性のある情報は、患者の氏名・生年月日・診療に関する情報であり、個人情報保護法上の「要配慮個人情報」に該当します。マイナンバーやクレジットカード番号は含まれていません。
- 氏名
- 生年月日
- 診療に関する情報等（電子カルテに記録されていた内容）
同院の公式発表には対象人数の記載がありませんが、北海道新聞の取材報道によれば患者4,721人分が対象とされています。診療情報は病歴・通院歴を含むため、一般的な氏名・住所の漏えいよりも機微性が高く、差別やプライバシー侵害につながるおそれがある点に注意が必要です。
要配慮個人情報とは、人種・信条・病歴・犯罪歴など、本人に対する不当な差別や偏見が生じないよう特に配慮を要する情報を指します。医療機関が扱う診療情報はその典型であり、漏えい時の社会的影響は氏名・連絡先の漏えいよりも大きくなりがちです。
3. 発覚の経緯と廃棄物処理業者の説明
今回の流出は、同院が自ら発見したものではありません。発端は、国立病院機構の北海道医療センターが別件でネットオークション経由のHDD流出を把握し、回収・調査を進めていたところ、回収したHDDの中に新札幌豊和会病院のものと見られるHDDが含まれていたため、北海道医療センターから同院へ通報があったことでした（北海道新聞）。
なお、新札幌豊和会病院が廃棄を委託した産業廃棄物処理業者名は、同院の公式発表には記載されていません。北海道新聞の取材によれば、同院も北海道石狩市の産業廃棄物処理業者にHDDの破砕処理を委託していたとされていますが、これが後述する国立病院機構の事案を担当した業者と同一かどうかは、両病院の公式発表からは確認できません。
参考として、Yahoo!ニュース（テレビ北海道配信、2026年6月8日）の報道によれば、国立病院機構は、委託先の廃棄物処理業者から次のような説明を受けているとしています（新札幌豊和会病院の委託先に関する説明ではありません）。
「破砕前後のハードディスクが同じ形の容器で管理されていた。作業スペースの区分けが不十分だった」
国内のセキュリティインシデントに関する詳細なタイムラインをまとめた記事によれば、実際には作業員が破砕したかどうかを確認しないままHDDを別業者に売却し、購入したリサイクル業者もまた破砕確認をせずに転売していた実態が北海道新聞の取材で報じられています。廃棄物処理法上のマニフェスト（処理完了証明書類）は発行されていたものの、実際の破砕処理は行われていなかったとされ、書類上のコンプライアンスと実態の乖離が被害を広げた要因と報じられています。
4. 広がる同種被害 ― 国立病院機構・北海道庁のケース
今回の新札幌豊和会病院の事案は、単独のインシデントではなく、同一の廃棄プロセスの弱点に起因するより大規模な流出事案の一部であることが分かっています。
| 組織 | 委託時期 | 委託台数（目安） |
|---|---|---|
| 国立病院機構 北海道医療センター（札幌市西区） | 2024年3月 | 約750台 |
| 国立病院機構 北海道がんセンター（札幌市白石区） | 2024年11月 | 約570台 |
| 新札幌豊和会病院（札幌市厚別区） | 2023年9月頃 | 記載なし |
国立病院機構の発表を報じたYahoo!ニュースによれば、同機構はオークションに出品されていたHDD等90個を回収しています。前出のタイムラインまとめ記事によれば、回収したうち33個で電子カルテ情報が確認され、同機構は2026年6月8日、廃棄物処理法違反の疑いで委託先業者を北海道警察に刑事告発しました。同日には北海道庁も、別ルートで廃棄したHDD2台（697人分の個人情報）の流出を発表しています（同まとめ記事より）。
事態を受け、厚生労働省は全国の都道府県衛生主管部局に対し「廃棄時における個人情報漏えいの防止策の徹底について」の事務連絡を発出し、医療機関に記録媒体廃棄プロセスの再点検を促しました。国立病院機構の事案では、同一の廃棄物処理業者が複数の医療機関のHDD処分を担っていたと報じられており、それが被害拡大の一因になったと考えられています（この点は新札幌豊和会病院の事案に直接当てはまるかどうかは公式に確認されていません）。
5. 情シス担当者が取るべき教訓・対応
1. 廃棄委託先の「破砕証明」を鵜呑みにしない
マニフェスト（処理完了証明書類）が発行されていても、実際の破砕処理が行われているとは限らないことが今回の事案で明らかになりました。委託先に破砕作業の写真・動画記録の提出を求める、抜き打ちで立ち会い確認を行うなど、書類だけに頼らない検証手段を持つことをお勧めします。
2. 可能な限り「自組織内での物理破壊」を原則にする
外部委託は再委託・転売のリスクを常に伴います。予算・体制が許す範囲で、HDDシュレッダーなど院内・社内での物理破壊を優先し、外部委託が避けられない場合は信頼性の高い業者を厳選してください。
3. 廃棄前のデータ消去（論理的な消去）を併用する
物理破壊に加えて、廃棄前に専用ソフトウェアでのデータ消去（ワイピング）や暗号化を行っておけば、万一HDDが破砕を免れて流出しても、記録された情報を読み取られるリスクを大幅に下げられます。「物理破壊」と「データ消去」の二重の備えが有効です。
4. 委託契約時に再委託の可否・条件を明記する
今回は委託先が別業者へ転売し、その業者がさらに転売するという多段階の委託・売却が確認されています。委託契約書に再委託の禁止または事前承認を明記し、委託先の管理体制を契約段階で確認することが再発防止につながります。
5. 自組織で同種の廃棄物処理業者を利用していないか確認する
今回の事案は特定の業者に起因するものですが、同種のリスクは業界全体に存在します。自社・自組織がPC・HDDの廃棄処分を委託している業者の実態（再委託の有無、破砕確認プロセス）を今一度確認することをお勧めします。
6. まとめ
新札幌豊和会病院の事案は、サイバー攻撃によるものではなく、廃棄物処理という「委託業務の管理」の不備によって要配慮個人情報が流出した点に特徴があります。同種の被害が国立病院機構や北海道庁でも確認されており、記録媒体の廃棄プロセスは医療機関に限らずあらゆる組織にとって共通のリスクであることが分かります。
自社のセキュリティ対応状況を確認したい、記録媒体の廃棄フローや委託先管理の仕組み作りを相談したい場合は、Microsoftパートナー企業のYJKにお気軽にお問い合わせください。
記録媒体の廃棄は「委託して終わり」にせず、破砕証明の実効性確認やデータ消去との併用など、複数の防御層を組み合わせることが重要です。YJKでは、廃棄プロセスを含む情報資産のライフサイクル管理の見直しや、委託先選定における確認項目の整備をご支援できますので、自組織の廃棄フローに不安がある場合はお気軽にご相談ください。