パソコン廃棄のデータ消去 — 法人の費用相場・方法・証明書の取り方

パソコンのデータ消去とは、廃棄・返却・売却するパソコンやHDD/SSDから、第三者が復元できない状態まで情報を消すことである。結論として、ごみ箱を空にする、ファイルを削除する、初期化するだけでは消去にならない。法人の費用相場は、業者へ依頼する場合で1台あたり約1,000〜5,000円（目安）、出張消去なら出張費1〜3万円が加わる。重要なのは金額よりも、シリアル番号ごとの「データ消去証明書」を受け取って台帳と一緒に保管することである。

Windows 10のサポート終了を受けて、いまPCを入れ替えている中小企業は多い。入れ替えで最も事故が起きやすいのは新しいPCではなく、倉庫に積まれた古いPCや、廃棄業者に渡した古いPCである。顧客名簿、見積書、人事情報、メールの履歴が残ったまま外に出れば、廃棄を委託していても法人側の責任が問われる。この記事では、消去方法の違い、費用の相場、証明書の見方、社内での手順、業者選びのチェックリストを、IT担当者がいない会社でも使えるように整理する。入れ替え全体の進め方は会社のパソコンはいつ買い替えるべきか、期限の判断はWindows 10 ESU 2年目は$122 — 中小企業は使い続けてよいかにまとめている。

個人情報保護法は、個人データを取り扱う事業者に「安全管理措置」を求めている。これはパソコンの利用中だけでなく、廃棄する段階も含むと考えるのが一般的である。個人データの取り扱いを外部に委託した場合も、委託先を適切に監督する義務は委託した側に残る。「業者に渡したから自社の責任ではない」とは言えない点に注意したい。具体的な条文の解釈は、個人情報保護委員会のガイドラインや専門家に確認してほしい。

実際の事故も起きている。2019年には、ある自治体が使っていたHDDが、廃棄を委託された業者の従業員によって持ち出され、インターネットオークションで転売された事案が大きく報じられた。データ消去が確実に行われていなかったため、購入者が情報を読み取れる状態だった。この事案から分かるのは、消去の作業を誰が・どこで・どのように行ったかが追跡できない運用は危ないという点である。証明書や作業記録を求める理由はここにある。

パソコンでファイルを削除したりごみ箱を空にしたりしても、実際には「ここに保存されている」という目次の情報が消えるだけで、データ本体はドライブに残っている。市販の復元ソフトを使えば読み出せるケースが多い。Windowsの「PCのリセット」も、設定によっては目次の初期化に近い処理にとどまる。これはHDDでもSSDでも同じである。

- 削除・ごみ箱を空にする: 目次が消えるだけで、データ本体は残る
- フォルダごと削除・フォーマット（クイック）: 同様に復元できる可能性が高い
- Windowsの「PCのリセット」: 「ドライブをクリーニングする」を選ぶと上書きを伴う処理になるが、SSDでの確実性は機種に依存する。証明書も出ない
- ログインパスワードの設定: データ自体は暗号化されていなければ、ドライブを取り外して別のPCにつなぐと読めてしまう

消去方法はドライブの種類で向き不向きが分かれる。HDDは磁気で記録する円盤なので、上書きや磁気消去が有効である。一方SSDは、書き込みを均等に分散させる仕組み（ウェアレベリング）のために、上書きしたつもりでも元のデータが別の場所に残ることがある。SSDでは単純な上書きは確実とは言えず、暗号化消去、メーカーが提供する消去機能（Secure Erase など）、あるいは物理破壊が基本になる。

SSDの暗号化消去とは、ドライブ内のデータがもともと暗号化されている状態で、その暗号鍵を破棄することでデータを読めなくする方法である。たとえばWindowsのBitLockerで暗号化済みのドライブなら、鍵を失えば中身は意味のない文字列になる。ただし、BitLockerを有効にしたまま運用していたことが前提である。回復キーの扱いはBitLockerの回復キーを求められたらで整理している。なお、暗号化していなかったPCに後から暗号化をかけても、過去に書かれた領域のデータが消えるわけではないため、廃棄直前の対処としては不十分である。

消去の強さの考え方として、米国のNIST SP 800-88が「Clear（通常の操作では読めなくする）」「Purge（研究室レベルの復元も防ぐ）」「Destroy（物理的に壊す）」の3段階を示している。社内で再利用するならClear〜Purge、外部へ出すPCは用途に応じてPurgeまたはDestroyを選ぶ、という整理が分かりやすい。個人情報や取引先の機密を含む業務PCは、外部へ出す前にPurge以上を目安にするとよい。

国内では、データ適正消去実行証明協議会（ADEC）が、データ消去サービスを適切に行える事業者やソフトウェアを認定する制度を運営している。ADECの認定を受けた事業者かどうかは、業者選びで確認しやすい目印の一つである。ただし認定がないことが直ちに不適切という意味ではないため、後述のチェックリストで他の項目も合わせて確認する。

費用は業者・台数・地域・方法で大きく変わる。以下は、一般に見られる範囲の目安であり、実際は必ず複数社から見積りを取ってほしい。

「無料回収」は、パソコンの部品や金属に再資源としての価値があるため、業者が費用を取らずに引き取るしくみである。それ自体は問題ではないが、消去の方法や証明書の扱いが不明確なまま渡してはいけない。無料でも、証明書を発行できるか、作業記録を残すか、再販する場合の消去手順は何かを書面で確認する。

比較的新しいPC（目安として購入から3〜4年以内）は、買取に出せる場合もある。買取の場合も、データ消去を業者が行うのか自社で行うのかを先に決める。買取額と消去費用を相殺して提示する業者もあるが、証明書の発行条件は別に確認したい。また、リース品は所有権がリース会社にあるため、勝手に廃棄・売却できない。返却時のデータ消去の責任がどちらにあるかは契約書に書かれていることが多いので、契約の「返却・データ消去」条項を先に確認する。

データ消去証明書は、消去が実施されたことを第三者に説明するための記録である。個人情報の漏えいが疑われた場合や取引先から監査を受けた場合に、「確かに消去した」と示す根拠になる。受け取る証明書には、次の項目が含まれているかを確認する。

- 機器の特定情報: PCやドライブのシリアル番号ごとの記録（「PC一式でまとめて」では追跡できない）
- 消去方法: 上書き回数、暗号化消去、物理破壊などの具体的な方法と、準拠する基準
- 日時と場所: 作業した日付、作業場所
- 作業者・責任者: 作業した人または会社名、確認者
- 結果: 成功したか、失敗した場合の対応
- 写真や作業ログ: 破壊の場合は破壊後の写真、ソフト消去の場合は消去ログ

受け取った証明書は、廃棄したPCの記録と一緒に保管する。IT資産管理台帳に「廃棄日」「消去方法」「証明書の保管場所」の列を追加しておくと、後から探す手間が減る。台帳の作り方はPC・アカウント・ライセンスのIT資産管理で説明している。保管期間に法的な定めがあるとは限らないが、機器の廃棄から数年間は残しておく運用が無難である。

社内で段取りを決めておくと、業者に渡す直前に慌てずに済む。次の順番で進める。

1. 台帳で対象を確認する: 廃棄・返却するPCを一覧にして、シリアル番号・利用者・保存データの有無を確認する
2. データを移行・バックアップする: 必要なファイルを新しいPCやクラウドへ移し、移行できたことを利用者に確認してもらう
3. アカウント・ライセンスを解除する: Microsoft 365のサインアウトとライセンスの解除、Intuneなどの端末管理(MDM)からの削除、BitLocker回復キーの記録の整理を行う
4. 消去方法を決める: HDDかSSDか、再利用するか、機密性はどの程度かで方法を選ぶ（前述の比較表を参照）
5. 業者を選ぶ: 後述のチェックリストで2〜3社を比較する。見積りは台数と方法を明記してもらう
6. 消去を実施し、証明書を受け取る: 持込・回収・出張のいずれでも、台数と引き渡し記録を残す。証明書の記載内容を現物と照合する
7. 台帳を更新する: 廃棄日、方法、証明書の保管場所を記録し、ライセンスの台数も見直す

ステップ3は見落とされやすい。解除せずに廃棄すると、ライセンスの台数枠が埋まったままになり、管理画面にも古い端末が残る。端末管理から外し忘れた端末は、後で棚卸しが合わなくなる原因になる。

パソコンだけを消去して安心してしまう会社は少なくない。ほかにも、次の機器の中にデータが残っている。入れ替えや廃棄の対象に入れ忘れないよう、棚卸しの段階でリスト化しておく。

- スマートフォン・タブレット: 端末の初期化に加えて、管理者側でのアカウント解除（MDM）を行う
- 複合機・コピー機: 内部にHDDやSSDがあり、読み取った書類や送受信の履歴が残る。リース返却前にデータ消去を依頼する（詳しくは複合機のリース費用も参照）
- NAS・サーバー: 共有フォルダの全データを保持している。内部のドライブの取り扱いを明確にする
- 外付けHDD・USBメモリ: 個人が持ち込んでいるものも含め、社内に何があるかを確認する
- ノートPCのSDカードなど、取り外せる記録媒体: 取り外し忘れにも注意する

家庭向けの小型家電リサイクル法やPCリサイクルの仕組みは、基本的に家庭から出るものが対象である。会社で使ったパソコンは事業活動で出る産業廃棄物として扱うのが一般的で、自治体の粗大ごみには出せない場合が多い。許可を持つ産業廃棄物の処理業者、メーカーの法人向け回収、または認定された事業者に依頼する形になる。地域や自治体で扱いが異なることがあるため、具体的な運用は業者や自治体の窓口に確認してほしい。

産業廃棄物の場合、排出事業者は処理を委託した先まで責任を持つ。委託の際は、委託契約書を結び、処理が終わったことを確認する書類（マニフェスト）の取り扱いも発生することがある。この点も、データ消去とあわせて業者に相談するのが現実的である。

- データ消去の方法を、HDDとSSDそれぞれで具体的に説明できるか
- シリアル番号ごとの消去証明書を発行できるか
- 作業を行う場所はどこか（自社施設か、他社に再委託しないか）
- 回収時の輸送が施錠されているか、引き渡し記録を残すか
- 産業廃棄物の収集運搬・処分に必要な許可を持っているか
- ADEC認定などの第三者の評価、またはプライバシーマーク・ISMSなどの取得状況
- 出張消去や立ち会いの対応が可能か
- 見積りに、台数・消去方法・証明書・運搬費・出張費が明記されているか
- 消去に失敗した場合や、ドライブを破壊した場合の扱いが決まっているか
- 再販する場合の消去手順が説明され、再販可否を自社で選べるか

価格だけで選ぶと、証明書が出ない、再委託先が不明、といった問題が起きやすい。1台あたり数百円の差よりも、事故が起きたときに説明できる記録があるかを優先したい。

- 使っていない予備機の放置: 倉庫や引き出しに古いPCがたまり、台帳にも載っていない。年1回の棚卸しで洗い出す
- 消去前のライセンス解除漏れ: サインアウトを忘れ、アカウント側にデバイスが残る
- 退職者のPCの再利用: 前任者のデータが残ったまま次の人に渡す。再割り当て前にも初期化を行う
- 証明書を受け取らない: 口頭で「消しました」と言われただけで、記録がない
- リース返却で消去を確認しない: 返却先で自動的に消えると思い込む