【論評】保存はリスクを伴うタイムズカー漏洩事故を考える

個人情報の保存はリスクと背中合わせであることを改めて思い知らされる漏洩事故が報道された。

報道各社によると、カーシェアリングサービスのタイムズカーの運営事業体であるタイムズモビリティ株式会社（以下「本件事業者」）は、9月28日、業務システムが不正アクセスを受け、現会員、退会した元会員など（以下「会員等」）の個人情報約660万件が漏えいしたと発表(*)した。

*本件事業者の発表：https://share.timescar.jp/news/2026/0928/1815.html

漏洩した個人情報は、会員等の氏名、住所、生年月日、電話番号、メールアドレス、運転免許証画像などの本人確認情報などであるという。パスワードは復元できない形（おそらくハッシュ値だろう）に加工されているとのことで、本件事業者によればこれを用いて会員等のアカウントが不正に利用されることはないという。

本件事故で特に大きな問題は、運転免許証画像その他の本人確認書類約160万件が漏洩したことだろう。運転免許証番号それ自体が個人情報保護法及び同施行令で定義された個人識別符号であり、さらに、そこに氏名、生年月日、住所、顔写真、免許種別、有効期限等が集約されるなど、運転免許証画像は機微性が高く、オンラインサービスにおける本人確認情報として広く用いられ、悪用のリスクがきわめて高い個人情報である。

本件事業者のFAQ（https://share.timescar.jp/faq/other/09.html）によれば、「退会後約7年間、弊社にて適切に保管させていただき、その後責任をもって消去いたします（法令上、取引記録の保管義務があるため）。」とのことだが、本来の利用目的である本人確認が終了すれば即時に廃棄すべき運転免許証画像を7年間保存する必要はあるだろうか？

タイムズカーの事業形態は、レンタカー型カーシェアリング事業として、道路運送法に基づいて規制されている。国土交通省による同事業に関する基本通達である「貸渡人を自動車の使用者として行う自家用自動車の貸渡し（レンタカー）の取扱いについて」（平成7年6月13日付自旅第138号）によれば、本件事業者は、貸渡簿に、借受人・運転者の氏名等、運転免許情報などを記録し、これを貸渡し終了日から2年間保存することが求められている。同通達は、運転免許証番号など、運転者を特定するために必要なデータの保存は求めている一方、運転免許証画像の保存は求めていない。

運転免許証画像の7年保存の根拠として、本件事業者は、法人税法に基づく帳簿書類保存義務の年限である7年を援用する可能性がある。しかし、法人税法施行規則に基づき、本件事業者が保管を義務づけられるのは、契約書、注文書、領収書など、取引内容とその金額を証明するための書類であって、本人確認のために一時的に取得した運転免許証画像を当然に7年間保存すべきであるとは到底考えられない。

以上の事情を考慮すれば、今回の漏洩事故は、以下に引用する個人情報保護法第22条の消去努力義務との関係が問題となる。また、第23条の安全管理措置義務との関係では、利用しなくなった個人情報を消去努力義務に反して保持し続けたことにより不必要にリスクを増大させ、結果として漏洩させたことについては、より重い遵守責任が問われると考えられる。

（データ内容の正確性の確保等）

第二十二条　個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。

（安全管理措置）

第二十三条　個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。

本件事故は、重要な教訓を含む。弊社のコンサルティング業務においても、取引関係が断絶した後の顧客情報について、後日のマーケティングのために保持しておきたい事業者のご要望をたびたび伺うことがある。しかし、個人情報を保存するということは、それ自体が安全管理という側面から見ればリスクにほかならないことを改めて考えてみる必要があるだろう。とくに利用目的との関係で保持が正当化できない個人情報を保持し続けることは、リスクベースの安全管理措置との関係で大きな問題をはらむことを銘記しなければならない。本件事故は、もしEU域内で起こっていたとすれば、重大な法違反として相当多額の制裁金を課されるケースであろう。

また、本件事故は、取締役／取締役会の責任という面から考えても、重大なリスクをはらむケースと考えられる。会社法362条4項は取締役会の重要な業務執行の一つとして、いわゆる「内部統制体制を整備する義務」を明示する。会社法施行規則では、このような内部統制体制の構成要素として、グループ企業を含むグループ全体の法遵守体制、いわゆるコンプライアンス体制の整備が明示されている。本件事故がもし日本企業のEU域内グループ法人で発生し、巨額の制裁金を課せられたとすれば、本社の取締役もこの責任を果たしていないことを問われ、株主代表訴訟で巨額の損害賠償を請求される可能性が相当程度あると考えられる。

顧客の個人データを取り扱う企業は、早々に業務オペレーションの必要に照らし、不要なデータを保存していないかどうか、チェックすべきだ。