情報漏えいのニュースを注意して見ると、原因の定番が繰り返し登場することに気づきます。個人情報入りUSBメモリの紛失。委託先からの流出。廃棄したはずの機器からのデータ復元。誤送付——攻撃による漏えいと同じくらい、「媒体の扱い」による漏えいが起きているのです。
ネットワーク側のセキュリティが強化されるほど、データは物理媒体で動く場面が残ります。バックアップ、システム間の受け渡し、委託先への支給、住民・顧客への交付。そこに個人情報が載る以上、媒体には媒体の管理が要ります。
この記事では、個人情報を含む記録媒体（光ディスク・USBメモリ・HDD・SDカード等）の取り扱いを、作成→保管→持ち出し→受け渡し→廃棄のライフサイクルで整理します。自治体の情報担当・文書担当、企業の総務・情シス、医療や教育・園の現場まで、規程やマニュアルに落とせる粒度で書きました。
前提の確認を一つ。個人情報の保護は法令（個人情報保護法。自治体も現在は同法に一元化されています）と各組織の規程・条例に基づきます。この記事は法解釈ではなく、「規程を媒体の現場でどう実装するか」の整理です。
何が「個人情報を含む媒体」なのか — 範囲の確認から
規程づくりで最初に躓くのが対象範囲です。名簿やデータベースの抽出ファイルは誰でも思い浮かびますが、現場には見落とされがちな媒体が沢山あります。
- 映像・音声: 行事や講座の記録映像、防犯カメラの保存データ、会議録音。顔・声・言動は立派な個人情報で、園や学校の行事映像も、医療の検査画像も同じ扱いです
- 写真データのSDカード: 広報担当のカメラに挿しっぱなしのカード。撮影後に退避せず溜まっている個人の写り込みは、管理外在庫の典型です
- 廃棄予定のPC・複合機: 内蔵ストレージは「媒体」です。リース返却・廃棄時のデータ消去は、媒体廃棄と同じ厳密さで
- バックアップ媒体: システムの定期バックアップに個人情報が含まれるなら、そのテープ・HDD・ディスクは台帳対象です
- 紙との合わせ技: 媒体と帳票が同じ封筒で動くことも多い。物理的な管理（施錠・持ち出し）は紙と媒体をまとめて設計すると、現場のルールが一本化されます
範囲を洗い出す実務は、「個人情報が載る媒体の種類を、各課で10分ブレスト」が一番早い。規程の別表に媒体種の例示を載せておくと、「これって対象ですか」の問い合わせが激減します。
大原則 — 媒体管理は「本数を数えられること」
個々のルールの前に、すべてを貫く原則を一つ。個人情報を含む媒体は、「いま何本存在し、どこにあるか」を常に数えられる状態にする。
漏えい事故の当事者組織が最初に苦しむのは、「何が入っていたか」「何本あったか」が分からないことです。台帳がなければ、紛失に気づくことすらできません。逆に、台帳で本数と所在が追えている組織は、事故のときも「◯月◯日から所在不明の1本、内容は◯◯」と、被害範囲を即日で語れます。
- 作った瞬間に台帳へ: 媒体番号・内容（何の個人情報か・概数）・作成日・作成者・保管場所。公文書の媒体台帳と同じ骨格で、「個人情報の有無」列を足すだけです
- 数えられない媒体を作らない: 「ちょっとUSBにコピーして」が台帳の外で起きる組織は、何本存在するか誰も知りません。個人情報の媒体化は申請・記録とセット——この一点を規程化するだけで、リスクの母数が激減します
作成 — 「作らない」が最初の選択肢
ライフサイクルの起点は、実は「作るかどうか」の判断です。
- 必要最小限の原則: オンラインの安全な受け渡しで済むなら媒体を作らない。作るなら、必要な項目だけを抽出する（全件・全項目のコピーを配る必要が本当にあるか）。漏えいの最大の予防は、存在しないデータは漏れないことです
- 匿名化・仮名化の検討: 分析や検証が目的なら、氏名等を落とした加工データで足りることが多い。加工済みかどうかも台帳に記録します
- 媒体の選択: 受け渡し・配布用途では、追記型光ディスクに独特の利点があります。書き換えができないため改ざん・上書き事故がなく、「配った枚数＝存在する枚数」が崩れない。USBメモリは紛失しやすく、返却されても中身の完全消去の確認が難しい——「行って戻る」媒体より「渡し切り・回収して破壊」の媒体のほうが、管理は単純になります
- ラベリング: 盤面・ラベルに媒体番号と取扱区分（例:「取扱注意・複製禁止」）を明記。盤面印刷なら管理番号入りで作れます。中身が分からない無印の媒体こそ、放置と誤廃棄の温床です
保管 — 施錠・台帳・棚卸しの三点セット
- 施錠保管: 個人情報を含む媒体は、施錠できる保管庫・キャビネットへ。鍵の管理者を決め、貸出は記録します
- 保管環境: セキュリティと媒体の寿命は別の要求です。施錠庫が高温多湿（サーバー室の熱だまり、窓際）では、守った媒体が読めなくなります。両方を満たす場所を
- 定期棚卸し: 年1回以上、台帳と現物の突合を。棚卸しの実施記録自体も残します。「台帳上あるはずの媒体がない」を発見するのは、事故報道ではなく棚卸しであるべきです
- アクセスの限定: 誰でも開けられる引き出しの「とりあえずの1枚」が一番危ない。保管場所は集約し、例外を作らないことが、結局いちばん現場を楽にします
持ち出し・受け渡し — 事故の最多発地帯
紛失・誤送付は、媒体が動くときに起きます。ルールは「動きを記録し、動きを減らす」の二方向で。
- 持ち出しの承認と記録: 誰が・何を・どこへ・いつ戻すか。上長承認＋持ち出し簿が基本形です。「戻すべき媒体が戻っていない」を検知できるのは持ち出し簿だけです
- 移動中の扱い: 肌身から離さない（車内放置・網棚が事故の定番）、寄り道をしない、公共交通での作業をしない。鞄は媒体単独ではなく書類と一体で管理
- 受け渡しの方法: 手渡し（受領書付き）が原則。郵送する場合は追跡できる方法（書留・セキュリティ便等）で、宛先の二重確認を——誤送付は「送る」場面の事故です。封筒の宛名と中身の照合を、二人目の目で
- 暗号化の判断: 移動する媒体のデータ暗号化は有効な保険です。ただし公文書編で書いたとおり、鍵・パスワードの管理と伝達という新しい管理対象が生まれます。パスワードを同じ封筒に入れる・同じメールで送るのは、鍵を錠前にぶら下げる行為。別経路で伝える運用までセットで初めて意味を持ちます
- 「渡す枚数」の設計: 受け渡しは、渡すものが少ないほど安全です。全件データを渡して先方に絞ってもらうのではなく、こちらで必要分に絞ってから渡す。定例の受け渡しなら「毎回全量」を「差分だけ」に変えられないか——事故が起きたときの被害件数は、この設計の段階でほぼ決まっています
- 返却よりも「渡し切り＋破壊証明」: 往復する媒体は、往路と復路の両方で事故のチャンスがあります。可能な業務では「渡し切り、利用後は先方で破壊し証明書を送付」に設計を変えると、動きが半分になり、管理も片道で済みます
- 受け取った側の義務も決める: 受領の連絡、目的外利用の禁止、利用後の返却または破壊。受け渡しは「渡して終わり」ではなく、相手先での扱いの約束までが受け渡しです
現場別の適用 — 同じ原則が、違う顔で効く
ライフサイクルの原則を、代表的な現場に翻訳してみます。自組織に近いものから読み替えてください。
- 自治体の窓口・事務: 住民データの抽出媒体が主戦場。作成時の申請制と、システム部門による媒体化の一元化（各課で勝手に焼かない）が効きます。マイナンバーを含む特定個人情報は、さらに厳格な取り扱いが制度で求められる領域——一般の個人情報と区分し、台帳の区分列にも反映を
- 学校・園: 名簿・成績・行事の写真映像。教職員の私物端末・私物媒体を経由させない支給体制が第一歩です。卒業アルバム業者・写真販売業者への支給データは、委託の特記事項と消去確認の対象
- 医療・福祉: 患者提供用ディスクは「本人交付」なので受け渡しの本人確認が核心。施設内のカンファレンス用データ・実習生への提供は、匿名化と回収・破壊のルールを
- 中小企業: 顧客名簿・給与データ・採用応募書類。専任の情シスがいない規模でも、「台帳1ファイル・施錠引き出し1つ・年1回の棚卸し・廃棄はシュレッダーと穴あけ」の最小構成で原則は全部満たせます。仕組みの大小より、例外を作らないことです
どの現場でも、破られ方は同じです。「急いでいたから」「1回だけだから」「すぐ戻すから」。例外の言い訳が定型なら、対策も定型でいい——申請の手間を数分に軽くし、正規の道を最短にしておくことが、例外の発生率を下げる唯一の方法です。
委託 — 「特記事項」と消去証明で監督する
データの処理・印刷・複製などを外部に委託する場合、委託元には委託先を監督する責任があります。実装は仕様書・契約書の条項です。
- 個人情報取扱特記事項: 自治体には標準様式があり、企業も同等の条項を契約に。核は①目的外利用・複製の禁止、②作業場所と作業者の限定、③再委託の制限（事前承諾制）、④事故時の即時報告、⑤作業完了後のデータ消去と証明書の提出
- 消去証明の実務: 「消去しました」の一文ではなく、対象データ・消去方法・実施日・実施者を記した報告書を受け取り、台帳に綴じます。ここまでが委託の完了です
- 支給データの管理: 委託先へ渡した媒体も持ち出し簿・台帳の管理下に。返却されたら破壊まで見届けるか、委託先での破壊を証明書で確認するか、どちらかに倒します
- 委託先の選定: 価格だけでなく、機密案件の作業体制を答えられる事業者を。仕様書の書き方の⑨機密の項目に対して、具体的な運用（作業場所・人の限定・消去手順）が返ってくるかが見極めどころです。当店も機密案件の取り扱い条件はお見積もり時にご説明しています
廃棄 — 「消したつもり」を物理で終わらせる
ライフサイクルの終点、そして事故の第二の多発地帯が廃棄です。
- 論理削除は削除ではない: ファイルをゴミ箱に入れても、フォーマットしても、データ本体は媒体上に残り、復元ツールで戻ることがあります。「消したつもりのHDD・USBの中古流通」は、繰り返し報道されてきた定番の事故です
- 媒体別の廃棄方法: 光ディスクは裁断・破砕（家庭用でもディスク対応シュレッダーがあります。業務では破砕・溶融処理）。HDDは物理破壊または専用の消去処理（穴あけ・破砕、またはデータ消去ソフトでの複数回上書き＋記録）。USB・SDも物理破壊が確実です
- 廃棄の記録: 台帳に廃棄日・方法・実施者（委託なら証明書）を記入して、その媒体のライフサイクルが完結します。台帳の行が「廃棄済み」で閉じているか、現物があるか——この二択以外の状態を作らないのが管理の完成形です
- 廃棄も委託できる: 大量の媒体・機器の廃棄は、破壊証明書を発行する専門業者があります。廃棄委託にも前章の特記事項の考え方を
- 「破壊待ち」の置き場を作る: 廃棄予定の媒体が普通の引き出しに混ざるのは危険信号です。施錠できる「破壊待ちボックス」を1つ用意し、月1回まとめて破壊・記録——回収と破壊の間の宙ぶらりんを、物理的になくします。事故は移行状態で起きるので、移行状態の置き場こそ設計が要るのです
そのまま使える様式2点 — 媒体台帳と持ち出し簿
規程の言葉を現場の紙（またはファイル）に落とした形を示します。列をそのまま流用してください。
個人情報媒体台帳
| 媒体番号 | 種別 | 内容の概要 | 件数概数 | 個人情報区分 | 作成日/作成者 | 保管場所 | 状態 | 廃棄日/方法 |
|---|---|---|---|---|---|---|---|---|
| M-2026-014 | BD-R | ◯◯業務 対象者データ | 約1,200件 | あり | 7/10 佐藤 | 施錠庫A | 保管中 | — |
| M-2026-015 | DVD-R | ◯◯講座 記録映像 | 受講者映像 | あり(映像) | 7/12 田中 | 施錠庫A | 廃棄済 | 8/1 裁断 |
持ち出し・受け渡し簿
| 日付 | 媒体番号 | 持出者 | 目的/行先 | 承認者 | 返却予定 | 返却確認/受領書 |
|---|---|---|---|---|---|---|
| 7/15 | M-2026-014 | 佐藤 | ◯◯機関へ手渡し | 課長 | 当日 | 受領書受領・原本ファイルへ |
運用のコツは3つ。「状態」列は「保管中／持出中／委託先／廃棄済」の4値に限定する（自由記述にすると崩れます）。映像・写真も個人情報区分「あり」で扱う（顔が写った映像の重みは名簿と同じです）。そして台帳の行を消さない——廃棄済みの行は、管理が完結した証拠として残します。
ケーススタディ — 三つの組織の転機
「棚卸しで1本見つからなかった」自治体の課。 年次棚卸しで、台帳上あるはずのCD-R1本の所在不明が発覚。持ち出し簿を遡ると、前年度の委託先への支給後、返却確認の欄が空白でした。委託先に照会したところ現物が保管されており、回収・破壊で完結。ヒヤリで済んだこの一件は、「返却確認の空白」を許さない運用（月次で空白行を点検する係を設置）に繋がりました。事故は起きなかったのに、体制は一段強くなった——棚卸しの理想的な働き方です。
「私物USB禁止」が定着した企業。 禁止令だけが出て形骸化していた製造業の事務部門。情シスが各課の「私物を使う理由」を聞き取ると、大半は「支給ストレージが遅い」「外部と大容量をやりとりする公式手段がない」の2つでした。授受システムの導入と、配布物のディスク化（渡し切り・回収不要）への切り替えで理由を潰したところ、私物利用は自然に消滅。ルールは、理由を潰した分しか効かないという教科書的な事例です。
「廃棄の証明」で入札条件を満たした事業者側の話。 ある複製業務の入札で、消去証明書の発行体制が参加条件になりました。日頃から作業データの消去手順と記録を整えていた事業者はそのまま参加でき、整えていなかった事業者は見送りに。発注側の要求水準が上がるほど、受注側の管理体制は営業資産になる——委託の連鎖の中で、媒体管理は発注側・受注側の共通言語になりつつあります。
事故が起きたら — 初動の型を平時に決めておく
どれだけ整えても、事故の確率はゼロになりません。被害を分けるのは初動です。
- 発覚したら即、定められた窓口へ報告（担当者が一人で探し続けて半日、が最悪の初動です）
- 事実の確定: 台帳・持ち出し簿から、対象媒体・内容・件数・最後の所在を特定
- 制度上の報告: 個人情報保護委員会への報告や本人通知が必要となる類型が定められています。組織の規程・法務と連携して判断
- 並行して捜索・回収、以後の再発防止へ
この4手順が規程に書いてあり、訓練で一度なぞってあること。災害対応のクロノロジーと同じで、様式と手順は平時にしか作れません。
初動でもう一つ大事なのは、報告した人を責めない文化です。紛失に気づいた職員が報告をためらう組織では、発覚が半日、1日と遅れ、その間に被害の芽が育ちます。「早い報告は手柄」と管理職が繰り返し言うこと——精神論に聞こえますが、報告の速度は事故対応の質のほぼ全てなので、これは規程と同格の対策です。事故の記録は、災害の記録と同じく再発防止の教材として残し、個人名ではなく手順の穴として振り返ります。
よくある質問
Q. 個人情報「を含むかもしれない」媒体が大量にあります。どこから手をつければ？
A. 全数調査の前に、まず「今日から作る媒体」に台帳とルールを適用してください（流入を止める）。既存分は保管場所を1箇所に集約し、棚卸しを兼ねて中身確認・台帳化・不要分の破壊を計画的に。過去の山より、今日の蛇口です。
Q. パスワード付きZIPで渡せば安全ですか？
A. 「ないよりまし」程度と考えてください。強度の問題に加え、パスワードを同経路で送る運用が定着しやすく、形式だけの保護になりがちです。渡す相手・頻度が決まっているなら、安全な受け渡し方法（専用のファイル授受システムや手渡し）を整えるほうが本質的です。
Q. 職員の私物USBメモリの使用を禁止したいのですが、現場が回らないと言われます。
A. 禁止だけでは回りません。代替手段（組織支給の管理された媒体・共有ストレージ・授受システム）とセットで禁止するのが定石です。「私物を使う理由」を聞き取り、その用途ごとに公式の道を用意する——遠回りに見えて、これが唯一定着する道です。
Q. 光ディスクで交付した個人情報入りデータを、相手が紛失したら当方の責任ですか？
A. 交付後の管理は原則として受け取った側の責任ですが、交付時に取扱上の注意を伝えていたかは問われ得ます。交付物に「取扱注意」の表示と簡単な注意書きを添える、受領書をもらう——この二つで、交付側の説明責任はかなり果たせます。
Q. 台帳そのものが個人情報の塊になりませんか？
A. 台帳には「◯◯業務の対象者データ・約◯件」のような概要を書き、個人名は書かないのが作法です。台帳は「何がどこにあるか」を示す地図であって、中身の複製ではありません。地図自体も施錠管理・アクセス限定の対象にはなります。
Q. クラウド全盛の時代に、媒体の規程を今から整える意味はありますか？
A. あります。理由は二つ。第一に、クラウド化が進んでも媒体は残ります——バックアップの最終層、システム間の受け渡し、住民・患者・保護者への交付、オフライン保管。むしろ「残った媒体」は例外的な存在になるぶん、管理の目が届きにくくなります。第二に、媒体の規程はクラウドの規程より単純で、組織の情報管理の訓練台として優秀です。数えて、記録して、証明して終わる——この筋肉は、あらゆる情報管理に転移します。
Q. 誤廃棄（まだ要るものを破壊してしまう）が怖いのですが。
A. いい質問です。破壊は不可逆なので、廃棄のワークフローに「二人目の確認」を一段入れてください。台帳の保存年限と突合し、廃棄予定リストを作り、別の人が承認してから破壊する。公文書の保存年限管理と接続していれば、「消してよいか」は台帳が答えてくれます。怖さの正体は、たいてい台帳の不備です。
Q. 監査や検査で媒体管理は何を見られますか？
A. 定番は「台帳と現物の一致」「持ち出し記録の運用実態」「委託契約の特記事項と消去証明の有無」「廃棄記録」の4点です。つまりこの記事のライフサイクルがそのまま監査項目になっています。日常の運用が回っていれば、監査対応は「台帳をお見せする」だけで終わります——監査のための準備が要らない状態こそ、いちばん安上がりな監査対策です。
媒体の管理は、派手なセキュリティ投資と比べると地味な世界です。台帳、施錠、持ち出し簿、破壊の記録。しかし報道される事故の顔ぶれを見れば、破られているのはいつも、この地味な基本ばかりです。数えられること、動きが記録されること、終わりが証明されること——この三つが揃った組織の媒体は、漏れません。規程の見直しの機会に、この記事をチェックリストとして使ってください。