橋本市、マイナンバーを含む行政文書を一般の古紙集積所へ搬入 — 推計約320人分、溶解済みで対象者を特定できず

2026/04/14 全容判明重大公共・非営利 #人的ミス

項目	内容
発生日	2026年3月4日（誤った集積所への搬入）
対象組織・業界	和歌山県橋本市（自治体）
攻撃手法	攻撃なし（廃棄手続きの誤り）
情報源	Security NEXT（2026年4月14日）

概要

和歌山県橋本市は、2026年4月14日、個人情報が含まれる一部行政文書が不適切な方法で廃棄されたことを明らかにしました。

2026年3月4日に保存期限を過ぎた行政文書を廃棄した際、本来は個人情報を含む公文書用の集積所へ持ち込む必要があったところ、個人情報を含まない文書を対象とした古紙集積所へ搬入していたものです。

対象となったのは、推計約320人分の個人情報が記載されていた2019年度の重度心身障害者医療費関係書類6冊。氏名、住所、連絡先、生年月日、マイナンバー、振込口座などが含まれます。同月9日、職員が業務整理を行っていた際に問題に気づきました。文書はすでに溶解処理されており、対象者は特定できないとしています。

経緯

2026年3月4日: 保存期限を過ぎた行政文書を廃棄。個人情報を含む公文書用ではなく、一般の古紙集積所へ搬入
2026年3月9日: 職員が業務整理を行っていた際に問題へ気づく
文書はすでに溶解処理済み。対象者は特定できないと説明
2026年4月14日: 公表

原因

直接の原因は、個人情報を含む文書を、個人情報を含まない文書用の集積所へ搬入したことです。搬入時にどの段階で判定を誤ったか（文書の中身を確認しなかったのか、集積所の区分を取り違えたのか）は公表されていません。

考えられる原因（推測）: 保存期限切れの文書廃棄は、年度末に集中して大量に発生する定型作業です。複数の文書を一度に運ぶ過程で、区分の異なる束が混ざるというのが典型的な形で、6冊という単位からも、他の一般文書と一緒に運ばれた可能性が考えられます。また、「重度心身障害者医療費関係書類」という名称からは、それがマイナンバーを含む文書であることが直ちには読み取れません。文書の外形（背表紙・ラベル）に機密区分の表示がなければ、判定は運ぶ人の記憶と知識に依存します。5日後に「業務整理の際に」気づいたという経緯は、廃棄そのものの手順に確認工程が組み込まれていなかったことを示唆します。

対策

組織が学ぶべきこと

1. 廃棄は「作業」ではなく「手続き」として設計する

文書の廃棄は、作成・保管に比べて手順の整備が後回しになりがちです。しかし廃棄の瞬間は、その文書を最後に人が手にする瞬間であり、誤れば取り返しがつきません。廃棄対象の一覧に「個人情報の有無」「マイナンバーの有無」を必須項目として持たせ、搬入前に別の職員が区分を照合する——この一工程で本件は止まります。

2. 機密区分は文書の外側に表示する

中身を開かなければ区分が分からない文書は、必ずどこかで取り違えられます。マイナンバーを含む簿冊には、作成時点で外形上識別できる表示（色分けラベル、専用のファイル）を付ける運用が効きます。判断を運搬時ではなく作成時に済ませておく、という考え方です。

3. 「溶解済みで対象者を特定できない」の重さ

文書はすでに溶解されており、第三者に閲覧された可能性は実務的には低いと考えられます。しかし同時に、誰の情報が入っていたかを組織が特定できないという状態でもあります。マイナンバーと振込口座を含む文書について、対象者への個別通知ができない。これは、被害が起きたかどうか以前に、組織が自らの情報資産の中身を追跡できていなかったことの表れです。廃棄簿に「対象者リスト」ではなく「対象者数の推計」しか残らない設計を、見直す余地があります。

紙文書の運搬経路の誤りであり、ネットワークもシステムも介在していません。効くのは、廃棄手続きの二重確認と、文書の機密区分の可視化です。

ヤグラの視点 — 影響範囲の特定：「約320人分」が推計でしか語れないという事実

本件の公表で最も重いのは、漏えいの規模でも、マイナンバーが含まれていたことでもありません。「対象者は特定できない」という一文です。

インシデント対応の到達点は、被害の大きさを小さくすることではなく、被害の範囲を正確に言えるようになることです。「誰の、どの情報が、どの範囲に出た可能性があるか」——これが言えれば、対象者への通知ができ、二次被害の監視ができ、必要な補償の設計ができます。言えなければ、そのすべてが止まります。

本件では文書が溶解されているため、実害が生じる可能性は低いと考えられます。しかし仮にこれが「持ち去られた可能性がある」事案だったら、市は約320人という推計値だけを持ち、誰に連絡すればよいか分からない状態に置かれていたはずです。影響範囲を特定する能力は、事故が起きてから調達できるものではありません。事故の前に、どこに何があるかを記録しているかどうかで決まります。

紙文書であれば廃棄簿と目録。システム上のデータであれば、アクセスログ・操作ログ・データの所在管理。いずれも平時には価値が見えにくく、真っ先に省略される領域です。そして、事故が起きた瞬間に「記録しておけばよかった」に変わります。

問いは単純です。今この瞬間に情報が外に出たとして、「誰の情報か」を名簿として出せますか。 出せない領域が、そのまま説明できない領域になります。

今後の対応

市は文書が溶解処理済みであることを確認しており、第三者による閲覧の可能性は限定的とみられます。廃棄手続きの見直しと、同種の誤搬入が他の文書で発生していないかの点検結果に関する続報を注視します。

更新履歴

日時	内容
2026-08-07	初稿公開（2026年4月14日公表時点）