個人情報は何年保存するのが正解？タイムズカーの免許証画像「7年保管」から考える法律と実務

このニュースから、企業法務の実務に直結する疑問が生じます。

そもそも、個人情報は何年間保存するのが法律上正しいのでしょうか。

企業では、契約書や請求書を7年間保存するというルールが広く採用されています。

そのため、顧客の個人情報も7年間保存しておけば問題ないと考えている担当者がいるかもしれません。

しかし、これは必ずしも正しくありません。

実は、個人情報の保存期間については、法律ごとに異なるルールが存在します。

そして、最も重要なのは、「何年間保存するか」だけでなく、「そもそも、その情報を保存し続ける必要があるのか」という判断です。

今回は、タイムズカーの事例を題材に、個人情報の保存期間に関する法的な考え方と、企業が採用すべき実務上のルールを解説します。

1．個人情報保護法は「7年間保存」を義務付けていない

最初に確認したいのは、個人情報保護法の規定です。

個人情報保護法には、企業が取得した個人情報を一律に何年間保存しなければならないという規定はありません。

この点は、個人情報保護委員会の公式Q&Aでも明確に説明されています。

つまり、個人情報保護法は、企業に対して一律の長期保存を求めているわけではありません。

むしろ、利用する必要がなくなった個人データについては、消去する方向で管理することを求めています。

「遅滞なく消去」とは何日以内なのか

では、利用する必要がなくなった個人データは、何日以内に削除しなければならないのでしょうか。

これについても、一律の期限はありません。

個人情報保護委員会のQ&Aでは、業務上の必要性や保存し続けた場合の影響、事業者のデータ管理のサイクルなどを考慮するとされています。

例えば、本人確認書類の画像を使って本人確認を完了した場合を考えてみましょう。

その後の業務に必要なのが本人確認を実施した事実や確認結果だけであれば、元の画像を保存し続ける必要性は小さくなります。

この場合、画像を短期間で削除し、確認結果だけを保存する方法が考えられます。

ただし、法令上の保存義務や、具体的な不正利用事案に対応するための合理的な必要性が存在する場合には、別途検討が必要です。

2．タイムズカーの「7年間保管」は違法だったのか

今回の問題については、保存期間が7年間だったことだけをもって、直ちに個人情報保護法違反だったと断定することはできません。

同社の2026年10月16日の公式発表によれば、本人確認書類の画像を保存していた目的には、次のようなものがありました。

• 会員登録時の本人確認
• 不正利用が疑われる事案への対応
• 会員からの問い合わせへの対応
• 各種本人確認業務

同社は、社内ルールに基づいて画像を保存していたと説明しています。

これらの目的自体は、事業活動に関連するものです。

例えば、なりすましによる会員登録が疑われた場合には、登録時の情報を確認する必要が生じることもあります。

したがって、画像を本人確認後も一定期間保存することについて、合理的な理由が認められる場合はあります。

しかし、ここで重要なのは、目的が存在することと、7年間保存する必要があることは別問題だという点です。

問い合わせ対応や不正利用対策のために、すべての会員について運転免許証の画像全体を長期間保存する必要があるのでしょうか。

氏名、住所、運転免許証番号、確認日時など、必要な情報だけを記録する方法では対応できないのでしょうか。

特に、退会後も画像を保存する場合には、その必要性を慎重に検討する必要があります。

今回の事案についても、個々の画像の保有目的、必要性、安全管理措置などを確認しなければ、従前の保存方法の適法性について最終的な評価はできません。

ただし、画像を保有し続けるリスクを再評価し、保存しない運用へ変更したことは、データの保有を最小化するという観点から合理的な対応と評価できます。

3．なぜ企業では「7年間保存」というルールが多いのか

企業の文書保存規程では、7年間という保存期間がよく登場します。

その理由の一つが、法人税法に基づく帳簿書類の保存義務です。

国税庁によれば、法人は帳簿や取引に関する一定の書類を、原則として事業年度の確定申告書の提出期限の翌日から7年間保存しなければなりません。

また、青色繰越欠損金が生じた事業年度などでは、10年間の保存が必要となる場合があります。

保存対象には、総勘定元帳、仕訳帳、契約書、領収書などが含まれます。

ここで注意したいのは、税法上保存が必要なのは、法律が対象とする帳簿や取引書類だということです。

税法が7年間の保存を義務付けているからといって、顧客から取得したすべての個人情報を7年間保存しなければならないわけではありません。

実際、今回のタイムズカーの事案について、パーク24はITmedia NEWSの取材に対し、法人税法に基づく取引記録の保存義務を説明する一方、運転免許証画像の保存については同法に根拠がなく、なりすまし対策や問い合わせ対応のためだったと説明しています。

税法上必要な取引情報と、本人確認のために取得した画像を区別する必要があるのです。

4．レンタカー事業では「2年間」の保存義務もある

今回の事例では、レンタカー事業に関する規制も確認する必要があります。

国土交通省関東運輸局の自家用自動車の有償貸渡しに関する許可基準では、貸渡簿を備え、貸渡しの終了日から2年間保存することが求められています。

また、貸渡簿に記載する事項には、運転者の氏名、住所、運転免許の種類、運転免許証番号などが含まれます。

運転免許証の写しを添付することで、これらの事項の記載に代えることも認められています。

ここで重要なポイントがあります。

例えば、必要事項を貸渡簿に適切に記録する方法を採用しているのであれば、運転免許証画像を継続して保有する必要があるとは限りません。

一方、画像の添付によって記載事項に代える方法を採用している場合には、その画像が貸渡簿の記録の一部となるため、保存義務との関係を確認する必要があります。

5．本人確認書類を7年間保存しなければならない場合もある

ここまでの説明から、本人確認書類は常に短期間で削除すべきだと考えるかもしれません。

しかし、すべての業種に同じルールが適用されるわけではありません。

代表例が、犯罪による収益の移転防止に関する法律、いわゆる犯罪収益移転防止法です。

同法では、対象となる特定事業者に対し、一定の取引について本人確認などの取引時確認を義務付けています。

また、取引時確認を行った場合には、確認記録を作成し、原則として取引終了日から7年間保存する義務があります。

保存すべき確認記録や添付資料の範囲については、対象となる事業や確認方法などに応じて判断する必要があります。

重要なのは、本人確認を実施したという共通点だけで、すべての事業者に同じ保存期間が適用されるわけではないということです。

6．結局、個人情報は何年間保存すればよいのか

ここまで確認した法令を整理すると、次のようになります。

表は横にスクロールできます →

※同じ情報が複数の法令上の保存対象となる場合には、それぞれの保存義務を満たす必要があります。また、保存期間の起算点は法令ごとに異なります。

このように、正しい保存期間は情報の種類と適用法令によって変わります。

例えば、運転免許証の画像を本人確認のために取得した場合でも、保存すべき情報が氏名や免許証番号などの確認結果で足りるのであれば、画像全体を保存し続ける必要性は小さくなります。

逆に、本人確認書類の画像自体が法令上保存すべき資料に該当する場合や、具体的な不正利用事案の証拠として必要な場合には、その必要性に応じた保存を検討することになります。

7．企業法務が考えるべき「保存期間の正しい決め方」

企業法務の実務では、個人情報を一律に7年間保存するという方法はおすすめできません。

むしろ、情報の種類ごとに保存期間を設計するべきです。

例えば、本人確認書類を取得する業務であれば、次のような流れが考えられます。

取得から削除までの基本フロー

STEP 3・4の判断で個別検討が必要な場合画像自体に法令上の保存義務がある場合や、具体的な紛争・不正利用への対応上保存が必要な場合には、画像を一律に削除せず、その必要性に応じた保存を個別に検討します。

この方法であれば、法令上必要な情報を保存しながら、必要以上の個人情報を保有することを避けられます。

8．本人から削除を求められた場合、企業は拒否できるのか

最後に、本人から個人情報の削除を求められた場合について確認します。

個人情報保護法第35条第5項は、本人が識別される保有個人データについて、事業者が利用する必要がなくなった場合などに、本人が利用停止等を請求できることを定めています。

そして、同条第6項では、請求に理由があると判明した場合、原則として、本人の権利利益の侵害を防止するために必要な限度で、遅滞なく利用停止等を行う義務を定めています。

したがって、本人から削除請求を受けた場合に、企業が「社内規程で7年間保存することになっている」という理由だけで拒否できるとは限りません。

一方、法令上の保存義務や正当な事業活動上の必要性が存在する場合には、直ちに削除することが適切とは限りません。

9．まとめ｜個人情報は「何年保存するか」より「なぜ保存するか」

今回のタイムズカーの事例は、企業の個人情報管理について重要な問題を提起しています。

企業では、帳簿書類などの保存期間に合わせて、個人情報も一律に長期間保管している場合があります。

しかし、法律上の保存義務がある情報と、業務上の判断で保存している情報は区別する必要があります。

また、同じ顧客情報であっても、取引記録として保存が必要な情報と、本人確認のためだけに取得した画像では、保存の必要性が異なります。

個人情報の保存期間を決める際には、「何年間保存しておけば安全か」ではなく、「何のために、どの情報を、いつまで保存する必要があるか」という順序で検討することが重要です。

必要な情報を適切に保存することは、企業の法令遵守に不可欠です。

しかし、不要な個人情報を保有し続けることは、情報漏えいが発生した際の影響を拡大させる要因にもなります。

企業に求められているのは、長期間保存すること自体ではありません。

保存義務を満たしつつ、保有する個人情報を必要最小限にすることです。

今回の事例を契機に、自社の文書保存規程や個人情報管理規程について、保存期間だけでなく、保存対象そのものを見直してみてはいかがでしょうか。