国立病院機構北海道東北グループは2026年6月8日、北海道札幌市にある北海道医療センターと北海道がんセンターの2病院において、患者や職員ら最大で計約51万人分の個人情報が保存されたハードディスクが外部に流出した可能性があると発表しました。古い端末の破砕処分を委託された業者が粉砕作業を行わず、インターネットオークションに出品して転売していたことが原因です。現時点において、情報の不正利用や二次被害は確認されていません。
この事案は、前年6月にオークションの落札者から情報提供があったことで発覚しました。両病院が2024年に電子カルテシステムを更新した際、約2万個の端末の破壊処分を北海道石狩市の廃棄物処理業者へ委託しましたが、破砕の有無に関する区分けなどが適切に行われないまま、未処理のハードディスクが流出しました。
これまでにオークションでの落札などを通じて回収された類似するハードディスク90個のうち、33個が両病院のものと特定されました。回収されたハードディスクからは、実数で約17万人から約18万6千人分の個人情報が確認されています。対象者の内訳は、北海道医療センターが約17万7400人（うち患者17万4000人）、北海道がんセンターが9500人（うち患者8800人）です。データには氏名、患者番号、生年月日、住所、電話番号、病名や検査結果などの診療記録が含まれていますが、大半がログの記録であるため情報が断片化していたり氏名と紐づいていなかったりする状態です。なお、マイナンバーや銀行口座番号、クレジットカード番号といった金銭に直接関わる情報は含まれていません。
国立病院機構北海道東北グループは、委託業者が適切な業務を行っていなかったとして、8日付で廃棄物処理法違反の疑いで北海道警察へ刑事告発を行いました。また、両病院は公式ウェブサイト上で謝罪するとともに、住所が確認できる対象者へ個別に出向いて書面を郵送するなどの対応を進めています。あわせて臨時の専用コールセンター（0120-008-602）を設置し、当面の間は土日を含めて問い合わせに対応しています。今後は再発防止策として、記録媒体の廃棄時に外部委託前において院内で確実に物理的破壊を行うことや、廃棄工程で複数人による確認を必須とすること、委託先の選定および管理体制を厳格化することを表明しました。
さらに北海道は8日、オークションから回収されたハードディスクの中に、北海道環境生活部と後志総合振興局のものが含まれていたと発表しました。内部にはイベントやセミナーの参加者名簿、講師への謝金資料（口座番号）などのデータが残されていました。その後の調査により、これらを含むパソコン9台のデータを消去しないまま廃棄していたことも明らかになっています。
コメント