まず結論は?
会社のIT機器を処分するときに一番大事なのは、「データを確実に消し、その証拠を残すこと」です。 法人が使ったパソコンは、多くの自治体で産業廃棄物として扱われ、許可を持つ業者への委託と書類(マニフェスト)が必要です。データ消去は業者任せにせず、会社自身の責任として「どの方法で消したか」「どの機器を消したか」を記録した証明書を受け取ります。使える部品は、消去を済ませてから買取に出すと、処分費用の一部を取り戻せることがあります。
ITADとは?
ITADは「IT Asset Disposition(IT資産の処分)」の略です。使い終わったパソコンやサーバーを回収し、データを消し、使えるものは売り、使えないものはリサイクルする、という一連の作業をまとめて指します。日本では「データ消去・買取・リサイクル」を一括で請け負う業者のサービス名として使われることが多いです。
法律ではどう扱われる?
- 産業廃棄物になる。 横浜市は、事業所で使ったパソコンなどの小型電子機器は産業廃棄物になり、小型家電リサイクル法の認定事業者か産業廃棄物の許可業者に委託し、委託契約書とマニフェスト(産業廃棄物管理票。廃棄物がどこへ運ばれ、どう処理されたかを追う伝票)が必要だと案内しています。扱いは自治体ごとに確認してください。
- メーカーによる回収もある。 2001年4月施行の改正法(資源有効利用促進法)で、法人が使ったパソコンの回収と再資源化はメーカーの義務になりました。たとえばレノボは、2010年10月からパソコン3R推進協会に回収を委ねています。
- データ消去は使う側の責任。 レノボの案内では、リサイクルの工程でも消去作業は行うものの、データ消去を保証するものではなく、利用者が自らの責任で消すよう求めています。
実際にどんな事故が起きた?
2019年、神奈川県が使っていたサーバーのハードディスク18台(1台3TB)が、ネットオークションで売られる事件が起きました。リース会社が委託した廃棄業者の社員が、壊すはずのディスクを持ち出したものです。報道では、県が返却前に「初期化」しかしていなかったこと、リース会社が破壊の証明書を求めていなかったことなどが原因として挙げられています。
この事件から分かるのは、「業者に渡した」だけでは安全とは言えないということです。
データ消去にはどんな方法がある?
米国の国立標準技術研究所(NIST)が2025年9月に改訂した指針「SP 800-88 Rev.2」は、消去を3段階に分けています。
| 段階 | 内容 | 機器のその後 |
|---|---|---|
| Clear(クリア) | 上書きなどで、簡単な方法では読み出せなくする | 再利用できる |
| Purge(パージ) | 研究所レベルの方法でも復元できなくする | 再利用できる |
| Destroy(破壊) | 物理的に壊して使えなくする | 再利用できない |
Rev.2では、できるときはClearよりPurgeを使うこと、磁気で消す「消磁」は破壊の方法とは見なさないことなどが示されました。具体的な手順は、IEEE 2883(記憶装置の消去方法を定めた国際規格)など最新の規格を参照するよう求めています。
SSDは注意が必要です。 SSDは利用者から見えない予備の領域(オーバープロビジョニング)を持つため、上書きだけではデータが残ることがあります。暗号化消去(データを暗号化する鍵を消して読めなくする方法)は速くて確実ですが、すべてのデータが最初から暗号化されていること、鍵の控えが別の場所に無いことが条件です。
消去証明書では何を確認する?
NISTの指針では、消去を記録する証明書に、メーカー・型番・シリアル番号・消去方法などを書くこととされています。Rev.2は、「作業が終わったことの確認」と「データが本当に消えたことの確認」を分けて求めています。
日本では、データ適正消去実行証明協議会(ADEC)が、消去ソフトなどの技術を審査して認証し、その方法で消した場合に第三者として消去証明書を出す仕組みを運営しています。業者を選ぶときは、証明書に1台ごとのシリアル番号が載るかを確認すると、どの機器が消されたかを後から照合できます。
処分する前に、売れる部品はある?(セミコンチャートのデータ)
サーバー用のメモリや企業向けSSD、CPUは、消去・動作確認を済ませれば買取の対象になることがあります。下の表で、買取の目安と中古の出品価格を確認できます。
売るときに気をつけることは?
- 買い手が古物商の許可を持っているか確認する。 中古品を仕事として売買するには、都道府県公安委員会の許可が必要です(古物営業法第3条)。
- データ消去が先、売却が後。 消去証明書を受け取ってから引き渡します。
- 台帳と照合する。 引き渡した台数・シリアル番号が、証明書と一致するかを確認します。
FAQ
Q1. パソコンを初期化すれば、データは消える? 消えません。初期化は「データの場所を忘れさせる」だけのことが多く、専用ソフトで読み出せる場合があります。神奈川県の事件でも、返却前の初期化だけでは不十分でした。
Q2. ハードディスクに穴を開ければ安全? 物理的に壊す方法は、壊れて動かないディスクにも使えます。ただしSSDはチップが基板のあちこちにあるため、チップごとに壊れているか確認が必要です。
Q3. リースで借りている機器はどうする? 返却前に誰がどの方法で消すかを、契約で決めておきます。消去への立ち会いや証明書の提出を条件にする方法もあります。
Q4. 消去証明書は何年保管すればいい? 法律で一律の年数は決まっていません。社内の情報管理の規程に合わせて、機器の台帳と一緒に保管してください。
Q5. 古いサーバー用メモリにも値段は付く? 付くことがあります。古いサーバーから外したDDR4のチップが、再利用されて市場に出回っているとTrendForceが2023年に報告しています。相場は上の表で確認できます。
出典
- 横浜市 よくある質問(事業所で使用したパソコン等の処分) https://www.city.yokohama.lg.jp/faq/kukyoku/shigen/jigyo-haiki/20211020100046762.html
- レノボ・ジャパン パソコンリサイクルの案内 https://www.lenovo.com/jp/ja/services-warranty/recycle/pcrecycle
- IT Leaders 神奈川県のHDD流出事件の解説記事(2019年12月13日) https://it.impress.co.jp/articles/-/19011
- NIST「SP 800-88 Rev. 2, Guidelines for Media Sanitization」(2025年9月) https://csrc.nist.gov/pubs/sp/800/88/r2/final
- Blancco NIST 800-88 Rev. 2 の解説記事 https://blancco.com/resources/blog-nist-800-88-rev-2-updated-standard/
- BitRaser NIST 800-88 R2 の解説記事 https://www.bitraser.com/article/nist-800-88-r2-media-sanitization-guidelines.php
- パナソニック プレスリリース(ADEC消去技術認証の取得、2020年2月12日) https://news.panasonic.com/jp/press/jn200212-1
- ScanNetSecurity「総務省ガイドライン準拠のデータ消去を行い第三者機関ADECの消去証明書を発行するサービス開始」(2022年7月11日) https://scan.netsecurity.ne.jp/article/2022/07/11/47874.html
- 奈良県警察「古物営業法(条文抜粋)」 https://www.police.pref.nara.jp/cmsfiles/contents/0000005/5387/2kobutsueigyouhou.pdf
- Yahoo! Tech(Tom's Hardware転載、TrendForce報告)「Used DDR4 RAM Chips Are Being Snuck Into New RAM Kits and Devices」(2023年8月1日) https://tech.yahoo.com/general/articles/used-ddr4-ram-chips-being-182346492.html