「なぜ漏れたか」の前に「なぜ使い道のない情報まで持っていたか」…誰もわかっていない「個人情報漏洩」問題のキホン

　約660万アカウントに及んだ、パーク24のタイムズカーをめぐる個人情報漏えい。対象には現会員だけでなく、すでに退会した人や入会手続きを終えていない申込者まで含まれていた。なぜ、利用を終えた人の情報まで長く残されていたのか。侵入経路やセキュリティ対策だけでは見えにくい、企業が「何を、何のために、いつまで持つのか」という個人情報管理の問題を考える。

みんかぶプレミアム連載「小倉健一の新保守宣言」

「退会後7年」まで個人情報を残す必要はあるのか

「退会後約7年間」。

　タイムズカーの「よくある質問」にある、個人情報の保管期間だ。法令上、取引記録を残す義務があるため保管し、その後に消去するという。これだけ読むと、残していた情報には法律上の保存義務があったと受け取る。ところが、情報漏えいの事故についてまとめた別の質問と回答には、違う理由も書かれていた。

　氏名、住所、生年月日は法人税法等に基づいて7年間。運転免許情報と画像は「なりすまし対策やお問い合わせ対応のため」に7年間。会社自身が、情報の種類によって理由を書き分けている。免許証画像の保存について挙げているのは、業務上の都合だ。ならば、その業務に7年分の画像が必要だと判断した根拠も、会社が説明する話になる。7年という数字は、不正な申込みを防いだ実績から決めたのか。退会から長い年月が過ぎた人の画像を使う仕事がどれだけあるのかを調べれば、期間を短くする余地も見えてくる。問い合わせへの備えという説明も、画像を必要とする問い合わせの内容まで示してほしい。目的を挙げたところで説明を終えてしまうと、5年では足りず、7年なら足りる理由が見えない。

　パーク24が2026年9月28日に発表した漏えいは、約660万アカウントに及ぶ。同社グループのサービスを使う現会員だけでなく、退会者と入会手続きを終えていない申込者も含まれる。すでに会社との付き合いを終えた人や、利用を始める前の人まで、保存されていた情報を通じて被害に巻き込まれた。

　侵入経路の調査とともに、ここまでの情報を持ち続けた判断も調べてもらいたいものだ。

「法律で必要な7年」と「会社が決めた7年」は同じではない

　集めたときには必要でも、使い道がなくなる情報はある。退会した人や申込みの途中で離れた人について、保存するものを選び直していたのか。今回の発表では、サービスを現在利用している人の枠を超えて被害が広がっている。防御の強化だけで話を終えれば、これまでの保管方針はそのまま残ってしまう。

　料金の精算や税務のために取引記録を残すことは、国税庁の説明からも確認できる。法人の帳簿や取引関係書類は、原則7年間の保存が必要だ。その義務を果たすために残す書類と、なりすましを調べるための画像を、それぞれの用途に沿って管理すればよい。会社の説明にある2つの保存理由を、同じ「法律で必要な情報」として扱ってしまうのは誤りだ。例えば、未払い料金を請求するために記録を残すなら、その相手と請求に必要な情報を特定できる。解決していない紛争についても同じだ。こうした個別の事情と、退会者の情報を広く残す方針は区別して検討できる。特定の案件で必要な情報があるというだけで、他の人の情報まで同じ期間抱え込む根拠にはならない。

　入会手続きを終えなかった人の扱いも、利用中の会員とは区切って説明してもらいたい。申込みの確認を続ける間は必要でも、手続きが終わる見込みがなくなれば、保有する理由を見直す時期が来る。どの段階で申込みを終了と扱い、その後はどの情報を残すのか。今回の対象に入っていた以上、この人たちの保存期間と削除のルールも明らかにしてほしい。