退会後の個人情報はいつまで保存？削除義務と企業の対策を解説

「退会したお客様の個人情報は、いつまで保存しておいてよいのだろうか」。顧客名簿や申込書、本人確認書類などを扱う企業の社長にとって、一度は確認しておきたい問題です。

2026年10月、タイムズカーの情報漏えい事件を受け、運営グループのパーク24は本人確認書類画像の保管ルールを見直しました。従来は会員期間中に加え、退会後も7年間保管していましたが、今後は会員登録完了後に画像を保有しない運用へ変更し、既存画像も10月末までに削除する方針を発表しています。

では、退会後に顧客情報を保存すること自体が法律違反なのでしょうか。結論からいうと、退会後の保管が一律に禁止されているわけではありません。ただし、保管する必要性がなくなった個人データについては、消去するよう努めることが法律で定められています。

この記事では、タイムズカーの事例をもとに、個人情報の保存期間に関する法律の考え方、保存が必要な場合と不要になる場合、実務での削除手順を整理します。最後に、中小企業の社長が自社で確認できる10項目を紹介します。

1．タイムズカーはなぜ退会後7年間保管していたのか

パーク24は、タイムズカーの会員登録時に提出された運転免許証などの本人確認書類画像を、暗号化した状態で会員期間中および退会後7年間保管していたと説明しています。

その目的として、会員登録時の本人確認に加え、不正利用が疑われる事案への対応、問い合わせ対応、各種本人確認業務などを挙げています。保管期間についても、同社が定めた社内ルールに基づいて運用していたと公表しています。

ただし、退会後7年間保管していたという事実だけで、その運用が直ちに違法だったと判断することはできません。保管の目的や必要性、適用される法令などを個別に確認する必要があります。

出典：パーク24｜情報漏えいに関する第5報（2026年10月23日）

2．2026年10月に保管ルールはどう変わったのか

2026年10月16日、パーク24は本人確認書類画像の保管ルールを見直すと発表しました。従来の会員期間中および退会後7年間の保管から、会員登録完了後は画像を保有しない運用に変更しています。

また、既存の本人確認書類画像についても、本人から削除の申し出があるかどうかにかかわらず、2026年10月末までに削除する方針を示しました。

この見直しは、同社が本人確認書類画像の保有に伴うリスクと管理のあり方を総合的に検討した結果として説明されています。なお、2026年10月27日時点では、10月末までの削除は今後の実施予定であり、すべての削除が完了したと断定することはできません。

出典：パーク24｜本人確認書類画像の保管ルール見直し（2026年10月16日）

3．個人情報の保存期間は法律で決まっているのか

個人情報保護法では、取得した個人情報について、すべての事業者に共通する保存期間や廃棄時期を一律に定めているわけではありません。個人情報保護委員会の公式Q&Aでも、その点が明確に説明されています。

例えば、「退会した顧客の情報は必ず1年で削除する」「個人情報は7年間保存しなければならない」という一般的な決まりはありません。情報の種類や利用目的、他の法令に基づく保存義務などによって判断が異なります。

一次情報：個人情報保護委員会｜個人情報保護法ガイドラインQ&A（Q5-2・Q5-3）

4．個人情報保護法第22条の消去に関する努力義務

個人情報保護法第22条では、個人情報取扱事業者に対して、利用する必要がなくなった個人データを遅滞なく消去するよう努めることを求めています。

ここで重要なのは、法律上の「努力義務」であることです。必要がなくなった情報について適切な消去に努める必要がありますが、すべての情報を一律の期限で必ず削除しなければならないという規定ではありません。

個人情報保護委員会のガイドラインでは、利用目的を達成し、保有する合理的な理由がなくなった場合などが、利用する必要がなくなった例として説明されています。また、法令で保存期間が定められている場合は、その保存義務も考慮する必要があります。

法令：e-Gov法令検索｜個人情報の保護に関する法律

5．退会後も個人情報を保存できる場合とは

退会した顧客の情報であっても、利用目的との関係で合理的な保存の必要性が残っている場合があります。例えば、取引に関する問い合わせや未精算の料金、契約上の紛争への対応などが考えられます。

ただし、「いつか使うかもしれない」という理由だけで、無期限に保存してよいと考えることは適切ではありません。何のために必要なのか、いつまで必要なのかを具体的に整理する必要があります。

この表は判断のための例であり、各情報について保存が必ず認められることを意味しません。自社の利用目的や契約、適用法令を確認して決める必要があります。

6．法律上の保存義務がある書類はどうするのか

個人情報が含まれる書類であっても、税務、会計、労務、契約関係など、別の法令によって一定期間の保存が求められる場合があります。そのような書類は、個人情報を含むという理由だけで直ちに廃棄してよいわけではありません。

例えば、請求書や帳簿などは、事業者の区分や適用される税法、会社法などによって保存期間が異なります。また、電子帳簿保存法の対象となる電子取引データなどは、保存方法にも注意が必要です。

重要なのは、「取引記録を保存する必要がある」ことと、「顧客の本人確認書類画像をすべて保存する必要がある」ことを混同しないことです。必要な記録を適切に残しながら、不要な情報を減らせる場合もあります。

7．免許証など本人確認書類の画像はいつ削除するのか

運転免許証や本人確認書類の画像には、氏名、住所、生年月日、顔写真など、本人を識別できる情報が含まれます。事業者は、取得する必要性だけでなく、画像を保存し続ける必要性についても確認することが重要です。

タイムズカーは今回の情報漏えいを受け、会員登録完了後は画像を保有しない運用に変更しました。ただし、これは同社の見直し後の社内ルールであり、すべての業種や事業者に一律に適用される法律上の保存期限ではありません。

業種や取引によっては、本人確認記録や本人確認書類の保存について、別の法令や規制が関係する場合があります。自社の業務で何を保存する必要があるのか、画像そのものが必要なのかを確認しましょう。

本人確認書類について確認したいこと

1. 本人確認書類を取得する目的は明確か
2. 画像そのものを保存する必要があるか
3. 保存する場合、いつまで必要か
4. 誰が閲覧できるか
5. 保存期間終了後にどう削除するか

8．古い顧客情報を残すと何が問題になるのか

利用しなくなった顧客情報を長期間保管すると、情報漏えいが発生した場合に、影響を受ける情報の範囲が広がる可能性があります。また、古い情報の保存場所や管理担当者が分からなくなると、事故調査や顧客への説明が難しくなる場合もあります。

例えば、退職者のパソコン、共有フォルダー、過去のメール添付ファイル、クラウドストレージなどに、古い顧客名簿や本人確認書類の画像が残っていることがあります。現在の業務で使用していない情報でも、アクセス可能な状態であれば管理上の確認が必要です。

ただし、保存期間を短くすればすべてのリスクがなくなるわけではありません。アクセス権限、暗号化、システムの更新、バックアップ管理などと組み合わせて対策することが大切です。

9．個人情報を安全に削除する方法

個人情報を削除する際は、単に画面上でファイルを見えなくするだけで十分とは限りません。保存媒体やシステムによっては、削除後もデータが復元できる場合があります。

個人情報保護委員会は、利用する必要がなくなった個人データを消去する際、復元不可能な手段で消去する必要があると注意喚起しています。また、外部事業者に消去や廃棄を委託する場合は、委託先の適切な監督も必要です。

実務で確認したい削除対象

• 顧客管理システムの不要なデータ
• パソコンや共有フォルダー内の古いファイル
• クラウドストレージに残る不要な画像や書類
• メールの添付ファイルとして残る個人情報
• 紙の顧客名簿や本人確認書類のコピー
• バックアップや外部委託先に残るデータ

ただし、バックアップについてはシステムの仕様や復旧要件によって対応が異なります。削除対象の範囲、バックアップの保存期間、復元時の再削除手順などを管理会社と確認することが大切です。

公的資料：個人情報保護委員会｜データの消去に関する注意喚起

10．顧客から削除を求められた場合の対応

顧客から「退会したので個人情報を削除してほしい」と依頼された場合、企業はまず対象となる情報と削除を求める理由を確認する必要があります。

個人情報保護法では、一定の要件に該当する場合に、本人が保有個人データの利用停止や消去などを請求できる制度があります。ただし、本人から削除の依頼があれば、すべての情報を無条件に削除しなければならないという意味ではありません。

企業としては、本人確認を適切に行い、対象データの保存目的、法令上の義務、請求の法的要件などを確認したうえで対応を判断します。削除できない情報がある場合は、その理由を適切に説明することが重要です。

11．中小企業が作るべき保管・削除ルール

中小企業では、大がかりなシステムを導入する前に、どのような個人情報を保管しているかを整理することが重要です。顧客情報の種類、利用目的、保存場所、保管期間、削除担当者を一覧にすると、見直しを進めやすくなります。

保存期間は、すべての情報を同じ年数にする必要はありません。法令上の保存義務がある記録と、業務上の必要性がなくなった本人確認書類画像などを分けて考えることが大切です。

建設業・製造業でも確認したい情報

建設業では、過去の工事契約書、協力会社の担当者情報、現場入場者名簿、本人確認書類などが保管されている場合があります。製造業でも、取引先担当者の情報、来訪者記録、採用応募者の書類などを管理していることがあります。

それぞれの書類について、法令や契約に基づく保存義務、業務上の必要性、個人情報の管理方法を確認しましょう。書類の種類によって保存期間が異なる可能性があるため、一律に削除することは避ける必要があります。

12．社長が確認したい10項目

今回のタイムズカーの保管ルール見直しをきっかけに、自社の顧客情報を確認してみてください。すべての項目にすぐ対応できなくても、まず未確認の項目を把握することが重要です。

1. 自社が保管している個人情報の種類を把握している
2. 退会・取引終了後の顧客情報の保存場所が分かる
3. それぞれの情報の利用目的を説明できる
4. 法令上の保存義務がある書類を区別している
5. 本人確認書類画像を保存する必要性を確認している
6. 情報の種類ごとに保存期間を決めている
7. 不要な個人情報の削除担当者を決めている
8. クラウドやバックアップに残る情報を把握している
9. 顧客からの削除請求に対応する手順がある
10. 削除した対象や実施状況を確認できる

13．まとめ｜不要な個人情報を残さない

タイムズカーの情報漏えい事件では、パーク24が本人確認書類画像の保管ルールを見直し、従来の会員期間中および退会後7年間の保管から、会員登録完了後は画像を保有しない運用へ変更しました。また、既存画像についても2026年10月末までに削除する方針を示しています。

ただし、退会後7年間の保管が一律に違法だったという意味ではありません。個人情報保護法には、すべての顧客情報に共通する保存期間はなく、利用目的や法令上の保存義務などを踏まえて判断する必要があります。

中小企業の社長が今回の事件から学びたいのは、「個人情報をどれだけ長く保存できるか」ではなく、「その情報を今も保存する必要があるか」という視点です。必要な情報を適切に保管し、不要になった情報を安全に消去することが、情報漏えいリスクを減らすための基本になります。

まずは、退会した顧客の情報、古い本人確認書類、共有フォルダーに残る過去の顧客名簿を確認してみてください。その一つの行動が、自社の情報管理を見直す第一歩になります。

参考にした一次情報

• パーク24｜情報漏えいに関する第5報（2026年10月23日）
• パーク24｜本人確認書類画像の保管ルール見直し（2026年10月16日）
• 個人情報保護委員会｜個人情報保護法ガイドライン（通則編）
• 個人情報保護委員会｜個人情報保護法ガイドラインQ&A
• 個人情報保護委員会｜データの消去に関する注意喚起
• e-Gov法令検索｜個人情報の保護に関する法律

※2026年10月27日時点の公表情報に基づく解説です。パーク24の既存画像削除は10月末までの実施予定として公表されたものです。個人情報の保存期間や消去義務は、情報の種類、利用目的、適用法令、個別の事情によって異なります。本記事は特定の事業者の法令違反の有無を判断するものではありません。