一昨日6日、神奈川県庁は同庁の行政文書が保存されたHDDを処分する過程で、個人情報などが流出したと謝罪しました。同庁は、機器レンタルを手掛ける富士通リース（東京都千代田区）からレンタルしていたファイルサーバのハード-ディスク-ドライブ（HDD）を2019年春にメンテナンスで交換。両者はHDDの処分方法について「データが読み出せないように処分し、完了後は報告書を作成する」とする契約を結んでいました。その後、この業務を請け負った富士通リースはHDDの処分を下請けのブロードリンクに外注。ブロードリンクはほとんどのHDDを物理的に破壊処分したのですが、従業員の1人が一部のHDDを破壊せずに横領。ネットオークションで転売し、個人情報を含むデータが流出しました。転売されたHDDは計18台で、総容量は54TB（※注）に上る。9台はすでに神奈川県庁が回収しましたが、残りの9台の行方は不明。現在、警察が捜査を進めています。
（※注）TB（テラ）は10の12乗ですが、コンピューターでは2進数を使うので、テラバイトは2の40乗バイト（1024ギガバイト）を意味します。

　社内研修等による従業員の教育・指導・相談などの労働環境の整備が望まれるところです。ブロードリンクの経営陣はこれを契機として新しいニーズに気づいて革新的進歩（innovative advance）を遂げてもらいたいと思います。また、富士通リースからのブロードリンクへの「必要かつ適切な監督」も当然のことながら、望まれるところです。個人情報取扱事業者である両者には、社会の公器としての自覚を持ち、プライバシー（人間の尊厳）を守るガヴァナンス（能力）を身に着けてほしいと思いました。
　同庁とブロードリンクの間には直接的な契約はなかったと考えて、県庁職員は破壊の現場には立ち会っていませんでした。委託元である神奈川県庁は、再委託先であるブロードリンクに対し間接的な監督義務を負っていますが、「再委託先に対しても監督責任があること」に無知であったようです。innovative advance の要諦は知ることです。

委託先が再委託をしている場合には、再委託先においても、委託元と同等の安全管理措置を講ずることが求められ、委託元は、委託先の監督を通じて、再委託先において適切な安全管理措置が講じられているかを監督する必要がある。このように、委託元は、再委託先に対する間接的な監督義務を負っており、再委託先で漏えい等が生じた場合には、委託元の監督責任が問われることとなる。（平成31年3月個人情報保護委員会事務局）https://www.ppc.go.jp/files/pdf/itaku_kanntoku.pdfより引用

ブロードリンク「確実な完全データ消去」　ＨＰで強調
（朝日 12/6(金) 11:32配信）
　個人情報を含む神奈川県庁の行政文書が蓄積されたハードディスク（ＨＤＤ）が外部に流出した問題で、ＨＤＤの処分を委託されていたブロードリンク（東京都中央区）は、ホームページ（ＨＰ）で自社の取り組みについて「確実な完全データ消去」「世界標準規格に準拠」とアピールしていた。
　同社は情報機器の再生事業を手がけており、ＨＰで「累計６５０万台以上の実績で大手金融機関・防衛省・裁判所などからも多数受託している」と強調。「事業内容」として、ＨＤＤの破壊や磁力による内容の消去などを紹介し、データの消去証明書の発行も可能と説明している。さらに「データ消去は有資格者のみ」と記載するなど、厳格な管理もうたっていた。
　今回のデータ流出問題を受け、同社と取引していた防衛省などが処理に問題なかったどうか、調査に乗り出している。

世界最大規模の情報流出…神奈川県民の怒り、県に厳しい声も
（女性自身2019/12/08 17:33）
　神奈川県庁の行政文書を蓄積した18個ものハードディスク（以下・HDD）が、ネットオークションを通じて転売されていたと12月6日に発表された。朝日新聞によるとHDD18個で保存できるデータの総容量は54テラバイト。画像を添付したメール1通を3メガバイトとして換算すると、1800万通分となる。世界最大規模の情報流出ともいわれており、ネットでは怒りの声や管理の杜撰さを指摘する声が相次いでいる。
　同紙によると、転売されたHDDは神奈川県が富士通リースから借りたサーバーに使われていたもの。富士通リースが県との契約に基づきデータを復元不可能な状態にすべく、情報機器の再生事業を手がけるブロードリンクに委託した。
　富士通リースは破壊して作動しないようにしてから廃棄するか、もしくはデータを完全に消去するよう指示。しかし、データ消去作業の担当者が持ち出して転売していた。落札者が使用前に中身を確認したところ、データの存在を発見。復元ソフトを使うと、神奈川県の公文書とみられる大量のファイルが見つかったという。
　世界でも稀にみるほどの情報流出が発覚した神奈川県。県民はTwitterで《神奈川県民としてはやばい》《HDDにドリルしなかったせいで神奈川県民の情報大放出セールですわ》といった怒りの声が。また他県民からは《私は神奈川県民ではないが、納税記録流出とか、心底嫌な流出だなと思う》《これ県民すべてが自治体とこのリース会社に賠償請求できるんじゃないか？》といった声が上がっている。
　いっぽう県に対して《神奈川県も気の毒だよな。整った制度を使って適切に破棄したのに》《契約上、県に責任は無いのだろうが大事な情報が保存されているのでもう少し慎重になるべきだったのでは》といった声も上がるが、厳しい意見も相次いでいる。
　6日の産経新聞によると県はHDDを富士通リースに返却した後、データ消去証明書を受け取ることになっていた。しかし流出が確認された18個を含む504個のHDDに対しては、消去の証明書を提出してもらえなかった。さらに県の担当者は、ブロードリンクの名前すら把握していなかったという。
　また7日の日本経済新聞によると、HDDには不正閲覧を防ぐための暗号化がはされていなかった。14年に富士通リースとリース契約を結んだ当時、大量の保存データを暗号化する装置がなかったと県は説明。セキュリティー対策を万全にしていれば、情報を閲覧することはできなかった可能性が高いという。
　6日に開かれた会見で、黒岩祐治県知事（65）は「県としてもデータ消去の履行確認が不十分だった。結果として県民に不安を与え、県への信頼を揺るがせた。深くおわびする」と謝罪した。しかし、その杜撰さからこんな声が上がっている。
　《神奈川県庁も加害者だよ。サーバーのファイルをOSレベルで暗号化してなかったからこうなった。いくらHDDが流出しようがデーターの初期化が甘かろうが、暗号を施してあれば問題なかった》
　《今回の世界最悪級の流出、確かに一番悪いのはブロードリンクだけど機密情報を一切暗号化せずにHDDに書き込む神奈川県側もどうかと思うぞ》
　《どんなに技術が進んでも結局、人間が原因でインシデントが発生する。神奈川県は業者の責任を問う前に、県民に対して自らの責任を果たすべき》