独立行政法人国立病院機構は2026年6月8日、傘下の北海道医療センターおよび北海道がんセンター（いずれも北海道）で、廃棄処分を委託した記録媒体（ハードディスク）の一部が適切に破砕処理されないまま外部に流通し、患者の個人情報が外部の第三者に接触した可能性があると公表した。
両施設は電子カルテの更新等に伴い、旧端末に内蔵されていたハードディスクの破砕・廃棄処分を、石狩市の廃棄物処理業者「リプロワーク」に委託していた。北海道医療センターは2024年3月に約750台、北海道がんセンターは2024年11月に約570台の廃棄を依頼したが、同社は作業スペースの区分けが不十分だったなどとして、実際には破砕処理を行わずに別の業者へ売却していた。
2025年6月、インターネットオークションで当該ハードディスクを落札した人物から北海道医療センターに「病院のデータが保存されている」との連絡があり、調査の結果、両施設の患者情報が記録されていたことが判明した。回収されたハードディスクには、北海道医療センターで実数約17万人（延べ約176万件）、北海道がんセンターで実数約8,800人（延べ約2万5,000件）分の患者情報が記録されていた。含まれていた情報は氏名、患者番号、生年月日、住所、電話番号、診療日、診療科、入院に関する情報、病名、検査結果、アレルギー情報、看護記録の一部など。マイナンバー、銀行口座番号、クレジットカード番号は含まれていない。
機構は2026年6月8日、両施設の対象患者への個別連絡を開始するとともに、廃棄物処理法違反の疑いでリプロワークを北海道警察に刑事告発したことを明らかにした。公表時点で、漏えいした情報の不正利用等の被害は確認されていないという。再発防止策として、外部委託時の委託先選定・管理体制の厳格化に加え、院内での物理破壊の実施と複数人による確認体制の構築を進めるとしている。