パソコン廃棄・リース返却前のデータ消去。中小企業が業者任せにしない手順と証明書の確認

Windows 11への入れ替えが一段落して、倉庫の隅に古いパソコンが10台並んでいる。リース会社からは返却の案内が届き、廃棄業者には「データは消しておきますよ」と言われた。本当にそれで大丈夫なのか、自分で何を確認すればいいのか分からない——総務や経理と兼任でパソコンを管理している担当者から、よく聞く状況です。

先に、この記事の答えをまとめます。

• Windowsの初期化やフォーマットだけでは、データが復元できる状態で残る場合があります。社外に出す前は、専用ソフトでの上書き消去、SSD対応の消去機能、物理破壊のいずれかを、機器の種類と状態で選びます
• 業者に頼んでも、消去の責任は自社に残ります。パソコンメーカーの業界団体も、データ消去はユーザーの責任で行うよう案内しています
• 証明書は「もらう」だけでなく、台帳と1台ずつ突き合わせるところまでが自社の仕事です。個人情報保護委員会のガイドラインも、委託先が削除・廃棄したことを証明書等で確認することを挙げています

読み終えたときに、手元の機器ごとに「どの方法で消すか」「業者に何を確認するか」「何を記録に残すか」を決められる状態を目指します。

パソコンを廃棄・返却する前に、何をすればデータ消去になるのか？

「ごみ箱を空にする」「フォーマット」「リカバリーで工場出荷状態に戻す」は、多くの場合データ消去になりません。見えなくなっただけで、専用ソフトで読み出せる可能性が残ります。

パソコンメーカーの業界団体である一般社団法人パソコン3R推進協会（PC3R）は、ごみ箱への移動、削除、ごみ箱を空にする、初期化（フォーマット）、付属のリカバリーで工場出荷状態に戻す、という5つの操作を挙げたうえで、これらは「ハードディスク内に記録されたデータのファイル管理情報が変更されるだけ」の場合があり、データは復元が可能だと説明しています。リカバリーで購入時の状態に戻しても、データを記録していた領域の消去は行っていないとも明記しています。

では何をすれば消去になるのか。同協会が示している方法は次の3種類です。

• データ消去ソフトウェアで消す: 記憶装置全体に無意味なデータを上書きする方法です。上書き後に、作業が正常に終わったかを示すログが取れるソフトが推奨されています
• 専用装置で磁気的に消す: 強い磁気をかけて記録を消す方法です。消した装置は再利用できなくなります。装置が高価なため、通常は消去サービスを提供する会社に依頼します
• 物理的に破壊する: 専用の機器で記憶装置を壊し、読み出せなくする方法です。同協会は、自分でハードディスクを取り出してハンマーで叩くのは危険なのでやめるよう注意しています。最近のハードディスクは記録面の円盤にガラスが使われており、砕けて飛び散るためです

社内で使っていたパソコンの多くには、取引先の連絡先、見積書、給与の計算表、ブラウザに保存されたパスワードが入っています。自社の1台がどの程度の情報を抱えているかを思い浮かべると、初期化で済ませてよいかの判断がしやすくなります。

HDDとSSDで、消し方は同じでよいか？

同じではありません。HDD向けの上書き消去は、SSDではすべての領域に届かない場合があります。SSDは、SSD対応を明記した消去機能か物理破壊を選びます。

2025年9月に改訂された米国国立標準技術研究所（NIST）の媒体消去ガイドライン SP 800-88 Rev.2 は、フラッシュメモリーを使う記憶装置について、予備の領域を持ち、書き込みを分散させる仕組み（ウェアレベリング）があるため、利用者が通常の読み書きの経路で上書きしても過去のデータをすべて消すことは難しいと説明しています。ハードディスク時代の上書き消去をそのままSSDに当てはめると、データが残るリスクがあるという指摘です。

同ガイドラインは消去の水準を3段階に分けています。

中小企業の実務に置き換えると、社外に出す機器にはPurge相当の方法か物理破壊を選ぶのが基本線になります。SSDの場合は、パソコンメーカーが提供する消去ツールや、ドライブ自体が備える消去機能のうち、SSDに対応していると説明されているものを使います。どれが該当するか判断がつかないときは、物理破壊を選びます。

自社のパソコンがHDDかSSDかは、Windowsの「デフラグと最適化」の画面（ドライブの最適化）で、メディアの種類として表示されます。台数が多い場合は、IT資産管理の台帳に記憶装置の種類の列を1つ足しておくと、廃棄のたびに調べ直さずに済みます。

機器の状態ごとに、どの方法を選べばよいか？

動くかどうか、自社の持ち物かリース物件か、HDDかSSDかの3点で、選べる方法が決まります。

PC3Rは、パソコンとハードディスクの状態に応じた消去方法の例を示しています。これに、リース物件とSSDの条件を加えて整理すると次のようになります。

見落としやすいのが「故障したパソコン」です。PC3Rは、本体が故障していてもハードディスクは生きている場合があり、データ流出の危険があると注意しています。電源が入らないから中身も読めない、とは限りません。

サーバーやNASも同様で、PC3Rは、接続形態によって市販の消去ソフトに制限があったり対応していなかったりする場合があるとして、メーカーや販売店の消去サービスの利用を勧めています。社内サーバーを入れ替えるときは、新しいサーバーの見積もりと一緒に、古いサーバーの消去方法と費用も出してもらうと、後から別の業者を探す手間が省けます。

パソコン以外にも、記憶装置を持つ機器はあります。社用スマートフォンはMDM（モバイルデバイス管理）の遠隔消去や初期化の扱いを含めて社用スマホの管理（MDM）入門で整理しています。USBメモリーや外付けハードディスク、記憶装置を内蔵した複合機も、機種によって消去機能の有無が異なるため、廃棄やリース返却の前にメーカーの案内を確認してください。

リース返却のパソコンは、誰が消すのか？

リース物件の所有者はリース会社です。消去を自社で行うのか、リース会社側の手順で行うのかは、契約書と返却の案内で確認します。自社判断で記憶装置を取り外したり壊したりしないでください。

リース満了で返却するパソコンは、自社の資産ではありません。記憶装置を勝手に抜いたり破壊したりすると、契約上の問題になる場合があります。一方で、返却後の消去をリース会社や、その委託先がどこまで行うのかは、契約によって違います。

返却の案内が届いたら、次の3点をリース会社に確認してください。

• 返却前に、利用者側でデータ消去を行う必要があるか
• リース会社側で消去する場合、どの方法で行い、証明書は1台ずつ特定できる形で発行されるか
• 返却前に、利用者側で消去ソフトを使ってよいか

リース会社側で消去する契約であっても、返却までの保管と、引き渡した台数・製造番号の記録は自社の仕事として残ります。

業者に依頼するとき、何を確認すればよいか？

業者に任せても、消去の責任は自社に残ります。確認したいのは「どの方法で」「誰が、どこで」「何台分の証明が出るか」の3点です。

PC3Rは、データ自体は使用者のものであり、使用者の責任で消去してほしいという考えを示しています。個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン（通則編）」も、個人データが記録された機器を廃棄する場合は復元不可能な手段で行わなければならないとし、作業を委託する場合には、委託先が確実に削除・廃棄したことを証明書等で確認することが重要だとしています。

業者に丸ごと任せたつもりでも、手順のどこかに穴があれば情報は流出します。2019年には、神奈川県庁のサーバーで使われていたハードディスク18本が、廃棄処理を請け負った会社の従業員に持ち出され、ネットオークションで転売されました。処理会社のブロードリンクは、従業員による持ち出し・転売を公表し、懲戒解雇と再発防止策の実施を明らかにしています。業者が消去を約束していても、消去の前に機器が持ち出されれば意味がありません。

見積もりや依頼の段階で、次の点を確認してください。

事業で使ったパソコンを処分する場合、PC3Rは、事業系PC小口回収スキームに参加する約30社のパソコンメーカーに代わって、業務用パソコンを回収しています。環境省の産業廃棄物広域認定を受けており、手順の中で「データ消去」はお客様が行う工程として示されています。回収後は再資源化施設で物理的に破壊され、完了報告と廃棄証明として「資産滅却報告書」が発行される仕組みです。メーカー回収を使う場合も、消去は自社で済ませてから梱包する前提になる点を押さえておいてください。

消去した記録は、何を残せばよいか？

台帳の該当行に、消去日・方法・作業者・確認者・証明書の番号を書き込めば足ります。証明書は、台帳の製造番号と1台ずつ照合してから保管します。

個人情報保護委員会のガイドラインは、削除や廃棄をした場合にその記録を保存することを重要としています。手法の例として、削除・廃棄したことを責任ある立場の者が確認することも挙げられています。NIST SP 800-88 Rev.2 も、消去した記憶装置ごとに消去証明を残すことを求めており、紙でも電子記録でもよいとしています。

新しく記録簿を作る必要はありません。すでにIT資産の台帳があれば、廃棄する機器の行に次の列を足すだけで済みます。

台帳がまだない場合は、中小企業のIT資産管理の始め方で最初に作る列を紹介しています。廃棄のたびに状態を「廃棄済み」に変えておかないと、次の棚卸しで実在しない機器を探すことになります。

消去の前に、やっておくことはあるか？

あります。消してしまうと戻せないため、「残すべきデータの退避」と「アカウント・ライセンスの切り離し」を先に済ませます。

消去は取り消せない作業です。次の順番で準備してから消去に進むと、後で「あのファイルがない」「ライセンスが1台分足りない」という事態を避けられます。

1. 業務データの退避: デスクトップやドキュメントに置かれたままのファイル、メールソフトのローカル保存分を、共有フォルダーやクラウドに移します。退避したことを使用者本人に確認してもらいます
2. ライセンスの解除: インストールできる台数に上限があるソフトは、古いパソコンの認証を解除しておくと、新しいパソコンに枠を回せます。解除の手順は販売元の案内を確認します
3. アカウントの整理: 退職者が使っていたパソコンなら、アカウント側の削除も同時に進めます。手順は退職者アカウントの削除漏れを防ぐチェックリストにまとめています
4. 管理ツールからの登録解除: ウイルス対策ソフトや資産管理ツールの管理画面から、廃棄する端末を外します。台数で課金する契約では、残したままだと廃棄済みの端末まで数えられる場合があります

ここまで終えてから消去に進みます。消去したあとに「退避していなかった」と気づいても、取り戻す手段はありません。

Windows 10からの入れ替えで、廃棄が一度に来るときは？

入れ替えの計画と廃棄の計画を1つの表で管理し、古いパソコンは新しいパソコンへの移行が終わった順に消去へ回します。

Windows 10の通常サポートは2025年10月14日に終わり、法人向けの延長セキュリティ更新（ESU）は年単位の契約のため、2026年10月に1年目の区切りを迎えます。同じ2026年10月13日にはOffice 2021とWindows Server 2012/2012 R2のESUも終わるため、この時期は古いパソコンやサーバーの入れ替えと廃棄が重なりやすくなります。期限の整理はOffice 2021・Windows Server 2012・Windows 10 ESUの期限と対応順で解説しています。

入れ替えが続く時期は、使い終わったパソコンが倉庫や会議室の隅に積み上がりがちです。消去前の機器がまとめて置かれている状態は、持ち出しや紛失が起きても気づきにくくなります。施錠できる場所に保管し、保管台数を台帳の件数と合わせておくと、1台なくなったときに気づけます。

業者にまとめて依頼するために台数がそろうのを待つと、そのぶん保管期間が延びます。保管できる台数と期間の上限を先に決めておき、どちらかに達したら依頼する、という運用にすると判断に迷いません。

まとめ：「消した」と説明できる状態にする

パソコンの廃棄やリース返却で押さえたいのは、次の3点です。

• 初期化やフォーマットはデータ消去ではない。HDDは消去ソフトか物理破壊、SSDはSSD対応の消去機能か物理破壊を選ぶ
• 業者やリース会社に任せても、消去方法・作業場所・証明書の単位を確認するのは自社の仕事
• 台帳の行に消去日・方法・作業者・確認者・証明書番号を残し、証明書と製造番号を照合してから保管する

まずは倉庫や会議室に置かれている廃棄予定のパソコンの台数を数え、台帳の件数と合っているかを確かめてください。合っていれば、次は1台ずつHDDかSSDかを確認し、この記事の表で消し方を決める段階に進めます。情報の持ち出しや廃棄を含めた社内ルール全体は、中小企業のセキュリティ対策、最低限やるべき10項目で確認できます。