社用PCの返却・廃棄とデータ消去｜退職者からの回収手順、消去方法の選び方、消去証明書の保管
退職者や入替えで戻ってきた社用PCを、そのまま再配布・廃棄すると情報漏えいにつながります。個人情報保護委員会のガイドラインが求める「復元不可能な手段」での削除と記録、回収時のチェック、再利用・廃棄それぞれの消去方法、業者に委託するときの消去証明書の受け取り方、事業系PCの処分ルートを整理します。
- 対象読者
- 情シスを兼任する従業員30〜300名の企業の総務担当者
- 難易度
- 実務
- 所要時間
- 読了8分
- 最終確認日
この記事のポイント
- 個人データを削除し、または記録された機器を廃棄するときは復元不可能な手段で行い、責任ある立場の者が確認する。作業を委託した場合は証明書等で確認することが重要とされている（個人情報保護委員会ガイドライン）
- 回収時は、資産番号・付属品の照合、アカウントの停止、業務データの引継ぎを先に済ませ、消去は「再利用」か「廃棄」かで方法を分ける
- 事業で使ったPCはメーカーの回収や許可業者を通じて処分する。消去の記録と証明書は台帳とひも付けて保管する
退職者のPCを初期化せずに次の人へ渡した、リース返却したPCに顧客リストが残っていた。社用PCの返却・廃棄は、情報漏えいが起きやすい場面のひとつです。
PCには、従業員や取引先の個人データ、社内の機密情報が残っています。この記事では、回収から消去、再利用・廃棄までの手順と、残しておくべき記録を整理します。IT資産全体の管理はIT資産・ライセンス管理を参照してください。
法令・ガイドラインが求めること
個人情報保護法第23条は、個人データの漏えいなどを防ぐ「安全管理措置」を会社に義務づけています。個人情報保護委員会のガイドライン（通則編）は、物理的安全管理措置のひとつとして「個人データの削除及び機器、電子媒体等の廃棄」を挙げ、次のように示しています。
| ガイドラインの内容 | 実務での意味 |
|---|---|
| 個人データを削除し、または記録された機器・電子媒体等を廃棄する場合は、復元不可能な手段で行う | ファイルをごみ箱に入れて消すだけでは足りない |
| 機器を廃棄する場合は、専用のデータ削除ソフトウェアの利用または物理的な破壊等の手段を採用する（手法の例示） | 再利用か廃棄かで方法を選ぶ |
| 削除・廃棄したことを責任ある立場の者が確認する（手法の例示） | 作業者と確認者を分ける |
| 削除・廃棄した記録を保存すること、委託する場合は委託先が確実に削除・廃棄したことを証明書等で確認することも重要 | 消去記録・証明書を台帳と一緒に保管する |
業者に作業を任せる場合は、委託先を監督する義務もあります（法第25条）。業者選びの段階で、作業方法と証明書の内容を確認しておきましょう。
回収するときの手順
退職・異動・機器の入替えでPCが戻ってきたら、消去の前に次の順で進めます。
- 台帳と照合する：資産番号、シリアル番号、付属品（ACアダプタ、マウス、セキュリティキーなど）をIT資産台帳と照合する
- 業務データを引き継ぐ：ローカルに保存されたファイルを共有フォルダへ移す。退職者の場合は最終出社日より前に済ませる（→業務引継書）
- アカウントを止める：メール、クラウドストレージ、各SaaSのアカウントを停止・削除する。PCの消去よりアカウント停止のほうが漏えい防止の効果が大きい
- 私物データの扱いを確認する：私的なデータが残っていないか本人に確認し、消去に同意を得る
- 保管する：消去までの間は、施錠できる場所に保管する
退職時の回収は、退職手続きチェックリストに「PC・スマートフォン・記録媒体の返却」と「アカウント停止」を入れておくと漏れません。退職手続き全体は退職手続きの流れを参照してください。
消去の方法を選ぶ
OSの「ファイル削除」や「ごみ箱を空にする」は、ファイルの場所の情報を消すだけで、専用ソフトで復元できることがあります。用途によって方法を選びます。
| 用途 | 方法の例 | 注意点 |
|---|---|---|
| 社内で再配布する | OSの初期化機能で「ドライブを完全にクリーンアップ」などのデータ消去を伴う方法を選ぶ／管理ツールのリモートワイプ | 初期化の種類によっては消去が不十分なことがある。設定項目を手順書に書く |
| リース返却・売却 | 専用のデータ消去ソフトウェアで上書き消去、または業者による消去 | リース会社の消去サービスの内容と証明書の有無を確認 |
| 廃棄 | 専用ソフトでの消去に加え、記憶装置の物理的な破壊 | 物理破壊は業者に依頼するのが一般的 |
| 故障して起動しない | 記憶装置を取り外して物理破壊、または業者に依頼 | 修理に出す前に、データの扱いを修理業者と確認する |
SSDは、HDDと仕組みが異なり、上書きだけでは消し残りが出ることがあります。SSDに対応した消去方法かどうかを、ソフトや業者に確認しましょう。暗号化（BitLockerなど）を日頃から有効にしておくと、紛失時の対策にもなります。
モバイル端末は社用携帯・スマートフォンの管理、端末管理ツールはMDMツールの選び方も参考にしてください。
処分のルートと証明書
事業で使用したPCは、家庭ごみとして出すことはできません。事業系パソコンは、資源有効利用促進法に基づきメーカーが自主回収・再資源化する仕組みがあり、家庭系パソコンとは回収の仕組みが異なります（パソコン3R推進協会のQ&Aでは、回収対象は参加メーカーの製品とされています）。データの消去は、出す側の責任で行うのが基本です。主な処分ルートは次のとおりです。
| ルート | 確認すること |
|---|---|
| メーカーの回収 | 対象機種、データ消去を回収側が行うか、料金 |
| リース会社への返却 | 契約上の消去の範囲、証明書の発行 |
| 産業廃棄物処理業者・リユース業者 | 許可の有無、消去方法、証明書の記載内容（→オフィスのごみの出し方） |
消去証明書で確認する項目
- 対象機器の特定情報（型番、シリアル番号、資産番号）
- 消去・破壊の方法と実施日
- 作業場所（出張作業か持ち帰りか）
- 作業者・責任者の署名
証明書は、IT資産台帳の該当行に「消去日・方法・証明書番号」を記入し、ひも付けて保管します。
社内ルールにしておくこと
- PCの貸与・返却のルールをPC貸与誓約書で本人に示す
- 消去の作業者と確認者を分け、確認者は総務責任者などにする
- 消去手順（初期化の設定項目、使うソフト）を1枚の手順書にする
- 個人情報の取扱規程に「機器の廃棄・消去」の項目を入れる（→個人情報の管理）
- 年1回、台帳と実物を照合し、所在不明のPCがないか確認する
万一、消去前のPCを紛失した場合は、個人情報漏えい時の対応に沿って報告の要否を判断します。
よくある質問
退職者が私物のデータを残したままにしていたら
返却後に私的なファイルが見つかった場合は、本人に連絡して扱いを確認します。返却前に「私物データは退職日までに削除する」「残っていたものは会社が消去する」と書面で伝えておくと、トラブルを防げます。
テレワークで自宅にあるPCを回収するには
最終出社日に持参してもらうか、宅配便で返送してもらいます。宅配の場合は、梱包材と送り状を会社で用意し、追跡できる方法で送ってもらいます。到着後、台帳との照合を行うまでは消去作業に進まないようにします（→テレワーク規程）。
私物端末で業務をしていた場合は
私物のスマートフォンやPCで業務をしていた場合（BYOD）は、会社が端末を回収できません。業務アプリのアカウント停止や、管理ツールによる業務データの削除で対応します。ルールはBYODの社内ルールを参照してください。
まとめ
- 個人データが残るPCは、復元不可能な手段で消去し、責任者が確認して記録を残す
- 回収時は台帳照合・業務データの引継ぎ・アカウント停止を先に行う
- 再利用・返却・廃棄で消去方法を分け、SSDは対応した方法を選ぶ
- 業者に委託したら消去証明書を受け取り、IT資産台帳とひも付けて保管する
この記事で使えるテンプレート
総務 IT資産・SaaSアカウント管理台帳 PC・スマートフォンなどの端末と、会社で契約しているSaaS（クラウドサービス）のアカウントを1つの台帳で管理するシートです。利用者、管理者権限、多要素認証、契約更新日、月額費用、退職時の返却・削除日を記録し、退職者アカウントの消し忘れや不要な契約の放置を防ぎます。 総務 貸与PC・スマートフォン 利用誓約書 会社が貸与するパソコン・スマートフォンの利用ルールを従業員に確認してもらう誓約書です。業務目的外利用の禁止、パスワード管理、紛失時の報告、社外持出し、生成AIへの情報入力、モニタリング、返却までを定めています。 人事 退職手続きチェックリスト 社会保険の資格喪失届、雇用保険の資格喪失届・離職証明書、源泉徴収票、住民税の異動届、貸与品の回収、アカウント停止まで、退職手続きを期限つきで確認できるチェックリストです。この記事に出てくる用語
- 安全管理措置
- 個人データの漏えい・滅失・毀損を防ぐために会社が講じる措置です。基本方針の策定、規律の整備、組織的・人的・物理的・技術的な措置などがあり、規模にかかわらずすべての会社に義務づけられています。
- 個人データ
- 検索できるように体系的に整理された個人情報の集まり（個人情報データベース等）を構成する個人情報のことです。社員名簿や顧客台帳、名刺管理ソフトの中の情報などが該当します。
- 産業廃棄物
- 事業活動に伴って出るごみのうち、廃棄物処理法で定められた20種類のものです。廃プラスチック類や金属くず、ガラスくずなどは業種を問わず産業廃棄物になり、許可業者に委託して処理します。
- BYOD
- 「Bring Your Own Device」の略で、従業員が私物のスマートフォンやパソコンを業務に使うことです。端末費用を抑えられる一方、情報漏えいのリスクや通信費の負担のルールを決める必要があります。