徳島県がHDD2台を未消去で誤廃棄か、マイナンバー延べ18万件含む個人情報46万件が所在不明に

「住んでいる自治体がHDDを紛失したって、自分のマイナンバーは大丈夫でしゅか？」
「行政機関のデータ廃棄って、ちゃんとした手順でやってるんでしゅよね……？」

チップス

46万件の個人情報が入ったHDDを紛失したって、どういうことでしゅか？

ボス

徳島県が住民基本台帳のバックアップ用HDDを、データを消去しないまま廃棄業者に渡してしまった可能性がある。マイナンバーを含む情報が延べ18万件。行政機関のずさんな記録媒体管理の典型例だ。

2026年8月10日、徳島県は住民基本台帳ネットワークシステムのバックアップ用外付HDD2台がデータ消去されないまま廃棄された可能性があると公表しました。
現物は回収されておらず、物理破砕されたとみられますが確認は取れていません。
行政機関の物理的な情報セキュリティ管理の問題を浮き彫りにした事案です。

この事案から、行政・民間を問わず記録媒体廃棄時のリスクと再発防止策を考えます。

事件の概要——リース終了HDDが消去されずに廃棄ルートへ

徳島県は住民基本台帳ネットワークシステム（住基ネット）の機器更新に伴い、リース期間が終了したHDD2台を機器リース会社へ返却しました。
このHDDはリース会社であるNECキャピタルソリューションへ返却しました。同社施設での保管スペース不足により通常と異なる運用が行われ、誤って廃棄ルートに混入した可能性があることが判明しました。

記録されていたデータと漏洩リスク

紛失したHDDに記録されていたのは住基ネットの情報そのものではなく、アクセスログです。
ただしそのログには個人情報が含まれており、影響範囲は次の通りです。

HDDの現物はリース会社から物理的に破砕処理された可能性が極めて高いとの報告を受けていますが、実際の破砕は確認できていません。
現時点では漏洩した情報が不正利用された事実は確認されていないとのことです。

チップス

物理破砕されたかもしれないってことは、データは読み取れないんでしゅよね？

ボス

その可能性が高いが、確認できていない以上はリスクがゼロとは言えない。問題の本質は、HDDを渡す前にデータ消去を行わなかった点だ。廃棄前の消去確認は基本中の基本だぞ。

発覚経緯と行政の対応

徳島県は2026年8月10日に事案を公表し、個人情報保護委員会への報告と関係機関への連絡を行いました。
県は問い合わせ窓口（0120-325-606）を設置するとともに、再委託が無断で行われたとしてNECキャピタルソリューションへの法的措置も視野に入れています。

記録媒体廃棄の落とし穴と再発防止

今回の事案は行政機関だけの問題ではありません。企業のIT資産管理でも同様のリスクが潜んでいます。

なぜ廃棄時のデータ消去が見落とされやすいのか

記録媒体の廃棄フローには複数の組織が関与することが多く、委託・再委託の連鎖の中で責任の所在があいまいになりがちです。
今回の事案が示す主な落とし穴は以下の通りです。

チップス

会社でも使い終わったパソコンとかHDDってどう処分してるんでしゅかね……

ボス

そこが問題だ。「業者に渡したから大丈夫」では済まない。渡す前のデータ消去、そして廃棄証明書の取得が必須だ。組織規模を問わず、IT資産の廃棄手順を今すぐ確認しておくべきだな。

今すぐ確認すべき記録媒体廃棄の手順

今回のHDD紛失事案を踏まえ、組織として優先して取り組むべき廃棄手順は次の通りです。

まとめ——「業者に渡した」で終わりにしない廃棄管理を

徳島県の今回の事案は、リース機器の返却という日常的な業務の中でデータ消去が抜け落ちたことで発生しました。
「物理破砕されたかもしれない」という不確実な状態のままでは、住民は安心できません。
廃棄前のデータ消去と廃棄証明書の取得——この2点は組織の規模を問わず必須の手順です。
自組織のIT機器廃棄フローに、今すぐ消去確認のステップが組み込まれているかを見直してください。

ボス

行政機関は住民の情報を預かっている以上、廃棄プロセスも厳格に管理する責任がある。委託先任せにしない体制づくりが求められる事案だな。

チップス

うちの会社の古いパソコン、どうやって捨ててるか今すぐ上司に確認してみましゅ！