退会者の個人情報は、何年持つべきか

01 FACTS何が起きたか

出典：運営会社の公表資料、および各社の報道（末尾の一覧を参照）

02 THE QUESTION問われたのは「なぜ7年も持っていたのか」──保存期間は法律で決まっているのか

運営会社は、退会後も情報を保管している理由を、公表したQ&Aで項目ごとに説明しています。

報道の取材に対しては、氏名・住所・生年月日は法人税法で7年の保存が義務付けられていると説明する一方、免許証の画像については社内に取り決めがなく、独自の判断で保存していたと答えたと伝えられています。

同じ「7年」でも、法律にもとづく部分と、会社が自分で決めた部分が混ざっていたことになります。そして、会社が決めた部分である免許証の画像については、すぐに消している同業の会社がある。つまり、持たずに済ませる方法があったということです。

03 WHY IT HAPPENSなぜ持ちすぎてしまうのか

持ちすぎは、この会社だけの問題ではありません。多くの会社で、同じ理由から同じことが起きています。

7年は「最初に決まる数字」

個人情報の保持期間を決める場面には、事業の担当、経理、法務、情報システムが関わります。このとき全員がすぐに合意できる数字が、税務上の帳簿と取引書類の保存年数、7年です。「法律で決まっている」と言える年数は説明が要らず、項目ごとに年数を分ける検討も省けます。その結果、税務とは関係のない項目まで、同じ7年に乗ってしまいます。

消すことは、持ち続けるより難しい

どれも、決めるには手間がかかります。一律に7年持つことは、こうした検討をすべて先送りできる、最も安い選択でした。

免許証の画像を「原本」として残したくなる

申込みで入力された内容と、免許証に書かれた内容は、そもそも一致しないことがあります。

※ 架空の例。字の違い、建物名の省略は、どの会員データにも一定の割合で含まれる。

食い違いがあったとき、どちらが正しいかを確かめる手がかりは画像です。旧姓の使用や改姓などで登録名と免許証の名前が違う人では、両者を結びつける根拠も画像だけになります。だから会社は、画像を「念のため」残したくなります。

ただ、確かめるために必要なのは画像そのものではなく、確かめたという事実です。ここに、減らす糸口があります。

04 HOW TO REDUCE減らす方法はあった

画像の代わりに、「確かめた記録」を残す

本人確認の時点で、入力された内容と免許証を突き合わせ、食い違いを直したうえで、誰が、いつ、どの項目を確かめ、どう直したかを記録します。記録が残れば、画像は消しても、あとから「確認は済んでいた」と示せます。すぐに画像を消している会社は、この考え方に立っていると考えられます。

項目ごとに、持つ意味と流出したときの害を比べる

画像は、使う場面がもっとも少なく、流出したときの害がもっとも大きい項目です。持つ期間をいちばん短くすべきなのは、ここです。個人情報保護法も、利用する必要がなくなった個人データを遅滞なく消去するよう努めることを求めています。

退会の時点で、動かす

法律が求めている部分と、会社が必要だと判断した部分を分けずに「法令上の義務」と説明すると、問題が起きたときに説明が崩れます。会社の判断で持つのであれば、その目的と期間を利用規約に書き、本人に示すのが正面からのやり方です。

05 COUNT FIRST減らす前に、数える

減らすと決めても、多くの会社は最初の一歩でつまずきます。自分たちが何を、何件、どこに持っているのかが分からないからです。10月9日に会員情報の流出を公表したブックオフは、最大約643万件という数字について「会員番号の件数で、実際の人数ではない」と説明しました。同じ人が複数の番号で登録されていると、件数と人数はずれます。何人分のデータを持っているのかを、すぐに答えられる会社は多くありません。

1. 本当は何人分を持っているか会員番号の件数ではなく、同じ人をまとめたあとの人数を答えられるでしょうか。
   確かめ方：氏名の字体や住所の書き方の違いを含めて、同じ人を名寄せしてみる
2. 項目ごとに、理由と年数を言えるか氏名、連絡先、本人確認書類、利用履歴。それぞれについて「何のために、何年、どこに置いているか」を答えられるでしょうか。
   確かめ方：保持期間を定めた社内の文書に、項目ごとの記載があるかを見る
3. 退会・解約した人のデータは、どこにあるか現在の会員と同じデータベース、同じ経路で届く場所に置かれていないでしょうか。
   確かめ方：情報システムに「退会者のデータに、Webサイトから到達できるか」を尋ねる

2026年7月に公布された改正個人情報保護法で設けられた課徴金は、不正な取得や違法な第三者提供などが対象で、攻撃を受けて流出したこと自体は対象ではありません。それでも、流出のたびに問われるのは「なぜ持っていたのか」です。今回は国が業界全体に点検を求めており、同じ問いは同業の各社にも向けられています。

SOURCES出典

• タイムズモビリティ「タイムズカーWebサイトへの不正アクセスに関し よくあるご質問」（2026年10月1日）
• ITmedia NEWS「タイムズカー、退会者の免許証画像も『7年』保存していた理由 パーク24に聞いた」（2026年9月30日）
• 日本経済新聞「タイムズカーの免許証画像流出、退会後も7年保管 同業他社はすぐ削除」（2026年10月6日）
• 共同通信（Yahoo!ニュース掲載）「タイムズカー、情報保護法を軽視 160万件の免許証画像流出」（2026年10月5日）
• 共同通信（デイリースポーツ online 掲載）「情報漏えい対策点検を要請」（2026年10月7日）
• @IT「タイムズ不正アクセス被害 裏で動いていた“20年前のシステム”とは？」（2026年10月8日）
• NHK「『タイムズカー』運転免許証の情報漏えい問題 免許試験場に再交付申請相次ぐ」（2026年10月8日）
• セキュリティ対策Lab「タイムズカーの大規模な情報漏えいで免許証の特例再交付」（2026年10月13日更新、時事通信の報道を含む）
• ITmedia NEWS「ブックオフに不正アクセス、最大約643万件の個人情報流出」（2026年10月9日）
• piyolog「タイムズカーWebサイトへの不正アクセスについてまとめてみた」
• 長瀬総合法律事務所「2026年（令和8年）改正個人情報保護法の全貌と企業実務への影響」（課徴金の対象行為）
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」

※ 本稿は、公表資料と報道にもとづく一般的な解説であり、特定の企業を批判する目的のものではありません。法的な助言でもありません。個別の案件については、貴社の法務部門または弁護士にご確認ください。

関連資料：ホワイトペーパー VOL.3『量より、何を持つか』（漏れたときに負う責任を左右する、顧客データの持ち方）／会員データ実数調査（持っているものを数える調査）