保存期間・削除不備を初心者でも分かりやすく解説
保存期間・削除不備とは？
保存期間・削除不備とは、個人情報や機密データを必要以上に長く保管し続けたり、適切なタイミングで削除しなかったりすることで生じるセキュリティ上のリスクです。「削除不備」「データ保持期間の不適切な管理」とも呼ばれ、データ・プライバシーを守る上で重要なセキュリティ対策課題となっています。
企業や組織は業務上、顧客の個人情報、従業員データ、取引記録などを日常的に収集・保管しています。しかし、これらの情報を「もしかしたら将来使うかもしれない」という理由だけで漫然と保存し続けると、情報漏洩のリスクが高まります。不要になったデータが放置されていればいるほど、サイバー攻撃や内部不正によってそれらが盗まれる機会が増えるためです。
日本の個人情報保護法では、個人情報の保存期間について明確な規定はありません。ただし、個人情報取扱事業者は利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならないため、利用目的が達成され保有する必要がなくなったにもかかわらず漫然と保有し続けた場合には目的外利用となる恐れがあります。また、改正法では「個人データを利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない」という努力義務が定められています。
一方、EUの一般データ保護規則（GDPR）では、個人には「消去の権利（忘れられる権利）」が認められており、特定の条件下で企業に対して自分の個人データを削除するよう請求できます。日本企業でも、EU域内の顧客を持つ場合はGDPRに従った対応が求められます。
2024年に上場企業とその子会社が公表した個人情報の漏洩・紛失事故は189件に達し、4年連続で過去最多を更新しました。これらの事故の中には、退職した従業員の情報を削除せずに保管していた、業務終了後もデータを削除しなかった、という保存期間・削除不備に起因するケースも含まれています。
保存期間・削除不備を簡単に言うと？
保存期間・削除不備を身近な例えで説明すると、「引っ越した後も前の家の鍵を持ち続ける」ようなものです。
たとえば、あなたが賃貸マンションから引っ越したとします。通常、退去時には部屋の鍵を大家さんに返却しますよね。もし鍵を返却せずに持ち続けていたらどうでしょうか。あなた自身はもうその部屋に用事がないのに、その鍵を財布の中に入れたままにしていると、財布を落としたときに他人がその鍵を使って前の部屋に侵入できてしまいます。しかも、あなたはもう住んでいないので、侵入されても気づかない可能性が高いのです。
保存期間・削除不備も同じです。退職した従業員の個人情報、取引が終了した顧客のデータ、既に目的を達成したプロジェクトの機密資料などを「いつか使うかもしれない」という理由で削除せずに保管し続けると、それらは企業のデータベースやサーバーの中で「忘れられた情報」となります。
問題は、こうした「もう必要ないはずの情報」が、サイバー攻撃や内部不正の標的になることです。攻撃者がシステムに侵入したとき、現在使用中のデータだけでなく、これらの古いデータまで盗み出されてしまいます。しかも、古いデータは管理が不十分になりがちで、セキュリティ対策も手薄なことが多いため、攻撃者にとっては「無防備な宝の山」となってしまうのです。
さらに、本人から「もう私の情報は削除してください」と依頼されても、どこにどのようなデータが保存されているか把握できていない状態では、適切に対応することができません。これは、個人のプライバシー権を侵害することにもつながります。
保存期間・削除不備の現状
保存期間・削除不備の現状は、法的な枠組みと実際の企業運用の間にギャップがある状況です。日本の個人情報保護法では、個人情報の保存期間について明確な数字は定められていません。ただし、個人データを第三者に提供した場合の記録については、原則3年間の保存義務があります。また、労働基準法や国税通則法など他の法律によって、従業員名簿は3年、源泉徴収簿は7年といった具体的な保存期間が定められている書類も存在します。
2024年に上場企業とその子会社が公表した個人情報の漏洩・紛失事故は189件に達し、漏洩した個人情報は1,586万5,611人分に上りました。これは4年連続で過去最多を更新する深刻な状況です。原因別では「ウイルス感染・不正アクセス」が114件と6割以上を占めましたが、「紛失・誤廃棄」も20件発生しており、適切なデータ管理の重要性が浮き彫りになっています。
特に注目すべき事例として、2024年1月に株式会社ファーストリテイリング（ユニクロなどを運営）で発覚した個人情報の取り扱い不備があります。本来個人情報の保護を意図していなかった情報システムにおいて、一部のユーザー情報を保存する設定となっており、一定期間一部の委託先事業者がそれらを閲覧できてしまっていました。これは、どのデータをどこに保存すべきか、どのタイミングで削除すべきかという基本的な管理体制に問題があったケースです。
また、2024年に発覚した損害保険大手4社の事例では、保険代理店や出向者を通じて競合他社の契約者情報を共有していたことが明らかになりました。これは「業界慣習」として長年行われてきたもので、本来削除すべき他社の顧客情報を不適切に保持し続けていた典型例です。金融庁から報告命令を受け、不適切な取り扱いで流出した個人情報は大手4社で合計250万人分に及びました。
EUのGDPR（一般データ保護規則）では、第17条で「消去の権利（忘れられる権利）」が明文化されています。個人は以下のような場合に、企業に対して自分の個人データの削除を請求できます：（1）そのデータがもはや収集された目的に必要なくなった場合、（2）個人が同意を撤回した場合、（3）個人がデータ処理に異議を唱えた場合、（4）データが違法に処理されていた場合。企業はこの要請を受けてから1ヶ月以内に対応する義務があります。
日本企業でも、EU域内の顧客を持つ場合や、EU域内でビジネスを展開する場合は、GDPRに従った対応が必要です。2018年のGDPR施行後、実際に日本企業に対して個人データの削除要求や開示の請求が行われているとの情報があり、企業の対応が不十分な場合には、各国の監督当局から問い合わせが来るケースも報告されています。
個人情報保護委員会が2025年に公表した「令和6年度（2024年）年次報告書」によると、個人情報の漏洩や不適切な取り扱いに対する相談・報告件数は過去最多の1万9千件を記録しました。この中には、適切なタイミングでデータを削除しなかったことに起因する事案も含まれています。
保存期間・削除不備で発生する被害は？
保存期間・削除不備が放置されると、企業や組織だけでなく、データの持ち主である個人にも深刻な被害が及びます。不要なデータを保管し続けることは、それ自体がリスクを増大させる行為です。
保存期間・削除不備で発生する直接的被害
情報漏洩リスクの増大
保存期間を超えて不要なデータを保管し続けることは、攻撃の対象となる情報の量を増やすことを意味します。2024年に上場企業で発生した189件の個人情報漏洩・紛失事故のうち、多くのケースで「本来削除すべきだった過去のデータ」まで漏洩していました。東京ガスグループの事例では、子会社ネットワークへの不正アクセスにより416万人分の顧客情報が漏洩しましたが、この中には既に取引が終了した過去の顧客データも含まれていました。攻撃者は、現在使用中のデータだけでなく、古いバックアップやアーカイブに保存された「忘れられたデータ」も標的にします。これらの古いデータは管理が不十分で、セキュリティ対策も手薄なことが多いため、より簡単に盗み出されるリスクがあります。
法的義務違反と行政処分
GDPRでは、個人から削除要請を受けた企業は原則として1ヶ月以内に対応する義務があります。しかし、どこにどのようなデータが保存されているか把握できていない状態では、この義務を果たすことができません。GDPRに違反した場合、企業は全世界年間売上高の4%または2,000万ユーロのいずれか高い方を上限とする制裁金を科される可能性があります。日本の個人情報保護法でも、個人データを利用する必要がなくなった後も漫然と保有し続けることは、目的外利用として法令違反とみなされる恐れがあります。個人情報保護委員会は、違反企業に対して勧告や命令を出す権限を持ち、従わない場合は罰則が科されます。
ストレージコストとシステム負荷
不要なデータを削除せずに保管し続けることは、直接的な経済的損失にもつながります。クラウドストレージの利用料は保存するデータ量に応じて課金されるため、不要なデータを保管し続けるほど無駄なコストが発生します。また、大量の古いデータがシステムに残っていると、バックアップやシステムメンテナンスに余計な時間がかかり、業務効率が低下します。データベースのパフォーマンスも悪化し、必要な情報を検索する際の速度が遅くなるという問題も発生します。
保存期間・削除不備で発生する間接的被害
企業の信頼性とブランド価値の毀損
保存期間・削除不備による情報漏洩が発覚すると、企業の信頼性は大きく損なわれます。特に「削除したはずのデータが実は残っていて漏洩した」という事態は、データ管理能力の欠如を露呈させることになります。2024年のファーストリテイリングの事例では、本来保護すべきでないシステムに個人情報が保存されていたことが発覚し、システム開発段階の仕様や運用段階のモニタリングに問題があったと指摘されました。こうした管理体制の不備は、顧客や取引先からの信頼を失わせ、長期的なビジネスへの影響をもたらします。
個人のプライバシー侵害
本人が「もう削除してほしい」と考えている過去の情報が企業のデータベースに残り続けることは、個人のプライバシー権の侵害となります。特に、退職した従業員の個人情報、取引が終了した顧客のデータ、サービスを解約した利用者の情報などを必要以上に保管することは、本人の意思に反するデータ保持となります。GDPRが「忘れられる権利」を明文化した背景には、過去の情報によって個人が不当に評価されたり、不利益を被ることを防ぐという目的があります。日本国内でも、適切なタイミングでデータを削除しないことは、個人の自己情報コントロール権を侵害する行為として問題視されています。
監査対応とコンプライアンスコスト
保存期間・削除不備の問題が発覚すると、企業は外部監査や当局調査への対応に追われます。どこにどのようなデータが保存されているか把握するための全社的な調査、削除要請への対応、システム改修、社内体制の見直しなど、膨大なコストと時間が必要になります。2024年の損害保険大手4社の事例では、金融庁からの報告命令を受け、全社的なデータ管理体制の見直しを余儀なくされました。こうしたコンプライアンス対応は、本来の事業活動から経営資源を奪い、企業の競争力を低下させる要因となります。
保存期間・削除不備の対策方法
保存期間・削除不備を防ぐためには、組織全体でデータのライフサイクル管理を徹底する必要があります。以下では、具体的なセキュリティ対策の方法を解説します。
データ保持ポリシーの策定
最も重要な対策は、データの種類ごとに明確な保存期間を定めた「データ保持ポリシー」を策定することです。このポリシーでは、顧客情報、従業員データ、取引記録、プロジェクト資料など、各種データについて「どのような目的で収集するか」「どれくらいの期間保存するか」「どのタイミングで削除するか」を明確に定めます。例えば、「取引終了後5年間は会計上の記録として保管し、その後は削除する」「退職した従業員の情報は退職後3年で削除する」といった具体的なルールを設けます。ただし、法律で保存期間が定められているデータ（労働基準法上の従業員記録は3年、国税関連書類は7年など）については、その法定期間を遵守する必要があります。
データインベントリの作成
自社がどのようなデータを、どこに、どれくらい保管しているかを一覧化した「データインベントリ」を作成します。これは、データの棚卸しのようなもので、データベース、ファイルサーバー、クラウドストレージ、バックアップメディアなど、あらゆる保存場所にあるデータを洗い出します。各データについて、「データの種類」「保存場所」「保存開始日」「利用目的」「保存期限」「責任者」を記録します。これにより、削除すべきデータを見落とすリスクが大幅に減少します。また、個人から削除要請があった場合にも、どこを確認すればよいか明確になり、迅速な対応が可能になります。
自動削除システムの導入
データの削除を人手に頼ると、忘れてしまったり、後回しにされたりするリスクがあります。そこで、保存期限が来たデータを自動的に削除するシステムを導入します。多くのクラウドストレージサービスやデータベース管理システムには、「ライフサイクルポリシー」という機能があり、指定した期間が経過したデータを自動的に削除または低コストのアーカイブストレージに移動できます。例えば、Amazon S3では「作成から90日後に自動削除」といった設定が可能です。ただし、自動削除を設定する前に、本当に削除してよいデータかを慎重に確認する必要があります。
定期的なデータレビュー
自動削除システムだけでは対応できないケースもあります。そのため、四半期ごとまたは年次で、保管しているデータを見直す「データレビュー」を実施します。この際、「このデータはまだ必要か」「利用目的は達成されたか」「法定保存期間は過ぎていないか」を確認します。特に、プロジェクトが終了したデータ、退職者や退会者のデータ、古いバックアップなどは、レビューの重点項目です。レビューの結果、不要と判断されたデータは速やかに削除します。
削除の記録管理
データを削除した際には、「いつ、誰が、どのデータを削除したか」を記録として残します。これは、後で「そのデータはどうなったのか」と問われた際に、適切に削除したことを証明するために重要です。また、万が一誤って必要なデータを削除してしまった場合にも、記録があれば原因を特定し、再発防止策を立てやすくなります。削除記録には、削除日時、削除したデータの種類と件数、削除理由、承認者、実行者などを含めます。
従業員教育とガバナンス体制
技術的な対策だけでなく、従業員への教育も不可欠です。「なぜデータの削除が重要なのか」「保存期間を守らないとどのようなリスクがあるのか」を定期的に研修で伝えます。また、データ管理の責任者を明確にし、組織全体でデータのライフサイクル管理を徹底するガバナンス体制を構築します。特に、個人情報保護法やGDPRなど、法令遵守の観点からも、経営層がデータ管理の重要性を理解し、適切なリソース配分を行う必要があります。
削除要請への対応プロセス
個人から「自分のデータを削除してほしい」という要請（GDPRでいう消去の権利の行使）があった場合の対応プロセスを事前に整備します。要請を受け付ける窓口、確認すべき本人確認方法、削除の可否を判断する基準、削除実行の手順、回答期限（GDPRでは原則1ヶ月）などを明確にします。特に、法令上削除できない場合（会計記録など法定保存期間が定められているもの）には、その理由を丁寧に説明する必要があります。
保存期間・削除不備の対策を簡単に言うと？
保存期間・削除不備の対策を身近な例えで説明すると、「冷蔵庫の整理整頓と賞味期限管理」に似ています。
冷蔵庫に食材を詰め込みすぎて、奥に何があるか分からなくなった経験はありませんか？賞味期限が切れた食材を放置していると、カビが生えたり腐敗したりして、他の新鮮な食材まで傷めてしまいます。また、必要な食材を探すのに時間がかかり、電気代も余計にかかります。
データ管理も同じです。「いつか使うかもしれない」という理由で古いデータを保管し続けると、どこに何があるか分からなくなり、本当に必要なデータを見つけにくくなります。また、古いデータが攻撃者に盗まれると、新しいデータまで危険にさらされます。
冷蔵庫を適切に管理するには、以下のような習慣が必要です：
- 買い物リストを作る：何を買うか計画的に決める（データ収集時に利用目的を明確にする）
- 賞味期限をチェックする：定期的に冷蔵庫の中を確認し、期限が近い食材から使う（データレビューの実施）
- 期限切れは捨てる：賞味期限が過ぎた食材は速やかに処分する（保存期限が過ぎたデータの削除）
- 整理整頓する：どこに何があるか分かるように配置する（データインベントリの作成）
- 家族でルールを共有する：家族全員が同じルールで冷蔵庫を使う（組織全体でのデータ管理ポリシーの共有）
データ管理においても、これと同じアプローチが有効です。計画的にデータを収集し、定期的に見直し、不要になったものは速やかに削除し、どこに何があるか把握し、組織全体でルールを共有する。この基本的な習慣を徹底することが、保存期間・削除不備を防ぐ最も確実な方法なのです。
保存期間・削除不備に関連した攻撃手法
保存期間・削除不備は単独で問題となるだけでなく、他のセキュリティリスクと組み合わさることで、より深刻な被害をもたらします。ここでは、保存期間・削除不備と関連性の高い攻撃手法を3つ紹介します。
データ漏洩との関連
保存期間・削除不備は、データ漏洩の被害を拡大させる最大の要因です。データ漏洩とは、企業や組織が保有する機密情報や個人情報が、意図せず外部に流出することを指します。攻撃者がシステムに侵入した際、本来削除されているべき古いデータが残っていると、それらも一緒に盗み出されてしまいます。
2024年に上場企業で発生した189件の個人情報漏洩・紛失事故では、多くのケースで「現在使用しているデータ」だけでなく「過去のデータ」も漏洩していました。東京ガスグループの事例では416万人分、三菱電機ホーム機器の事例では231万人分の顧客情報が漏洩しましたが、これらには既に取引が終了した過去の顧客データも含まれていました。
特に問題なのは、古いデータは「もう使っていないから」という理由で、セキュリティ対策が不十分になりがちなことです。現在使用中のシステムには最新のセキュリティパッチが適用されていても、古いバックアップデータや廃止されたサーバーに残っているデータは、脆弱性が放置されたままになっているケースがあります。攻撃者はこうした「管理の手薄な古いデータ」を狙います。
保存期間・削除不備とデータ漏洩の関係を断ち切るには、不要なデータを定期的に削除し、保管するデータの量を必要最小限に抑えることが重要です。「漏洩するデータがそもそも存在しない」状態を作ることが、最も確実なデータ漏洩対策となります。
個人情報（PII）漏洩との関連
保存期間・削除不備は、個人情報（PII：Personally Identifiable Information）漏洩のリスクを直接的に高めます。個人情報漏洩とは、氏名、住所、電話番号、メールアドレス、マイナンバーなど、特定の個人を識別できる情報が外部に流出することです。
企業が保管する個人情報の中には、「現在も関係が続いている顧客や従業員のデータ」と「過去に関係があった人々のデータ」の両方が含まれます。問題は、後者、つまり退職した従業員、契約が終了した顧客、サービスを解約した利用者のデータが、適切に削除されずに残り続けることです。
2024年のファーストリテイリングの事例では、本来個人情報を保存すべきでなかったシステムに一部のユーザー情報が保存されており、委託先事業者がそれらを閲覧できてしまっていました。これは、どのデータをどこに保存し、いつ削除すべきかという管理体制の不備が原因です。
また、損害保険大手4社の事例では、保険代理店や出向者を通じて競合他社の契約者情報を共有していたことが発覚し、合計250万人分の個人情報が不適切に取り扱われていました。これらの情報は、業務終了後も削除されず、「業界慣習」として長年保管され続けていたものです。
個人情報は、個人情報保護法やGDPRによって厳格な保護が求められています。特にGDPRでは、個人は「忘れられる権利」を持ち、企業に対して自分のデータの削除を請求できます。企業は、この要請に原則1ヶ月以内に応じる義務があります。もし適切に対応できない場合、多額の制裁金を科される可能性があります。
保存期間・削除不備を防ぐことは、個人のプライバシー権を守り、法令遵守を実現するために不可欠です。特に、個人から削除要請があった場合に迅速に対応できるよう、どこにどのような個人情報が保存されているかを常に把握しておく必要があります。
媒体・機器の不適切廃棄との関連
保存期間・削除不備は、媒体・機器の不適切廃棄と組み合わさることで、重大なセキュリティインシデントに発展します。媒体・機器の不適切廃棄とは、ハードディスク、USB メモリ、CD/DVD、紙の書類、パソコン、サーバーなど、データが保存された媒体や機器を、データを完全に消去せずに廃棄することです。
企業がデータの保存期間を適切に管理せず、不要なデータを削除しないまま放置していると、廃棄時に大きな問題が発生します。例えば、古くなったパソコンやサーバーを処分する際、「もう使っていないから」という理由で、データを完全に消去せずに廃棄業者に引き渡してしまうケースがあります。しかし、そのハードディスクには、過去の顧客情報、従業員データ、財務記録などが残っている可能性があります。
2024年の「紛失・誤廃棄」による情報漏洩事故は20件発生しました。これらの中には、廃棄予定の機器やメディアから情報が流出したケースも含まれています。特に危険なのは、「削除したつもりが実は削除されていない」という状況です。Windowsのゴミ箱から削除したファイルや、フォーマットしたハードディスクでも、専用のツールを使えばデータを復元できることがあります。
保存期間・削除不備と媒体・機器の不適切廃棄の問題を解決するには、以下の対策が必要です：
- データの削除：廃棄前に、保管されている全てのデータを確認し、必要なものはバックアップを取り、不要なものは完全に削除します。
- 物理的破壊：ハードディスクやSSDは、データ消去ソフトウェアで複数回上書きするか、物理的に破壊します。専門業者による破砕サービスを利用することも有効です。
- 廃棄証明書の取得：廃棄業者からデータ消去証明書や破壊証明書を取得し、適切に処分されたことを記録として残します。
保存期間・削除不備を放置したまま機器を廃棄すると、データ漏洩のリスクが一気に高まります。「不要なデータは速やかに削除する」という基本原則を守ることで、廃棄時のリスクも大幅に低減できます。
保存期間・削除不備のよくある質問
Q1: 個人情報保護法では、個人情報の保存期間は何年と定められていますか？
A1: 実は、日本の個人情報保護法では、個人情報の保存期間について明確な年数は定められていません。法律上は、個人情報取扱事業者は「個人データを利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない」という努力義務が課されているだけです。
ただし、個人データを第三者に提供した場合の記録については、原則3年間の保存義務があります。また、労働基準法では従業員名簿や出勤簿は3年、国税通則法では源泉徴収簿や給与所得者の扶養控除申請書は7年といった、他の法律で保存期間が定められているものもあります。
重要なのは、「利用目的が達成され保有する必要がなくなったにもかかわらず漫然と保有し続けた場合には目的外利用となる恐れがある」という点です。つまり、明確な数字はないものの、必要がなくなったデータは速やかに削除することが求められています。企業は、自社の業務内容や法的要件に応じて、適切な保存期間を自ら設定し、それを遵守する必要があります。
Q2: 顧客や従業員から「私のデータを削除してください」と言われたら、必ず削除しなければいけませんか？
A2: 必ずしもすべてのケースで削除する必要はありません。削除要請への対応は、法的義務や業務上の必要性によって異なります。
日本の個人情報保護法では、本人から個人データの利用停止や消去の請求があった場合、違法な取得や目的外利用などの問題がある場合に限り、企業は対応する義務があります。単に「削除してほしい」という理由だけでは、必ずしも応じる法的義務はありません。
ただし、EUのGDPR（一般データ保護規則）が適用される場合は、より厳格です。GDPRでは、個人には「消去の権利（忘れられる権利）」があり、以下のような場合には企業は原則として削除に応じる必要があります：（1）そのデータがもはや収集された目的に必要なくなった場合、（2）個人が同意を撤回した場合、（3）個人がデータ処理に異議を唱えた場合、（4）データが違法に処理されていた場合。
ただし、GDPRでも例外があります。以下の場合は削除に応じる必要がありません：（1）表現の自由や情報の自由の行使に必要な場合、（2）法的義務の遵守に必要な場合、（3）公共の利益のために必要な場合、（4）法的主張の立証、行使、防御に必要な場合。例えば、会計記録として法定保存期間中の取引データは、削除要請があっても保管し続ける必要があります。
企業としては、削除要請を受けた場合、まず「削除できるケースか、できないケースか」を判断し、できない場合はその理由を丁寧に説明することが重要です。
Q3: データを削除したつもりでも、実は残っていることはありますか？
A3: はい、非常によくあります。多くの人が考える「削除」と、技術的に完全な「削除」には大きな違いがあります。
例えば、Windowsでファイルを削除してゴミ箱を空にしても、実際にはハードディスク上にデータが残っています。削除されるのは「どこにファイルがあるか」という情報だけで、実際のデータ本体はそのまま残っており、専用のツールを使えば復元できることがあります。また、データベースで「削除」操作を行っても、システムによっては「削除フラグ」が立つだけで、実データは残り続けることもあります。
さらに問題なのは、バックアップです。本番環境でデータを削除しても、定期的に作成されているバックアップにはそのデータが残っている可能性があります。クラウドストレージやメールシステムでも、「ゴミ箱」や「アーカイブ」に一定期間データが保持される設定になっていることが多く、完全な削除には追加の操作が必要です。
また、データが複数の場所に分散して保存されていることも珍しくありません。データベース、ファイルサーバー、従業員の個人PC、クラウドストレージ、バックアップメディアなど、様々な場所にコピーが存在する可能性があります。
完全にデータを削除するには、（1）すべての保存場所を特定する、（2）本番環境だけでなくバックアップも含めて削除する、（3）ハードディスクを廃棄する場合は、データ消去ソフトウェアで複数回上書きするか、物理的に破壊する、といった徹底した対応が必要です。
Q4: 「念のため」データを保管しておくことの何が問題なのですか？
A4: 「念のため」という理由でデータを保管し続けることは、複数の重大なリスクを生みます。
第一に、情報漏洩のリスクが増大します。保管しているデータの量が多ければ多いほど、サイバー攻撃や内部不正によって盗まれる可能性が高まります。特に、「念のため」保管されているデータは、日常的に使われていないため、セキュリティ対策が不十分になりがちです。攻撃者にとっては「無防備な宝の山」です。
第二に、法的リスクがあります。個人情報保護法では、利用目的が達成された後も漫然とデータを保有し続けることは、目的外利用として違法とみなされる恐れがあります。また、GDPRでは、データを保持する正当な理由がない限り、個人から削除要請があれば応じる義務があります。「念のため」という理由は、法的に正当化されません。
第三に、経済的コストです。クラウドストレージの利用料はデータ量に応じて課金されるため、不要なデータを保管し続けるほど無駄なコストが発生します。また、バックアップやシステムメンテナンスにも余計な時間とコストがかかります。
第四に、業務効率の低下です。大量の古いデータがシステムに残っていると、必要な情報を検索する際の速度が遅くなり、業務効率が低下します。
「念のため」保管するのではなく、「明確な理由と期限を持って」保管することが重要です。もし将来本当に必要になる可能性があるなら、その理由と保管期限を明確にし、データ保持ポリシーに記載すべきです。理由が明確でないデータは、速やかに削除することがベストプラクティスです。
Q5: 退職した従業員の個人情報は、いつまで保管してよいのですか？
A5: 退職した従業員の個人情報の保管期間は、その情報の種類と利用目的によって異なります。
労働基準法では、労働者名簿、賃金台帳、出勤簿などは、退職日から3年間の保存義務があります。また、雇用保険や社会保険の手続きに関する書類も、一定期間の保存が必要です。これらの法定保存期間中は、削除することができません。
しかし、法定保存期間を過ぎた後は、速やかに削除することが推奨されます。個人情報保護法の観点からは、利用目的が達成された（つまり、法的義務を果たした）後は、「遅滞なく消去するよう努めなければならない」とされています。
実務的には、多くの企業が「退職後3年から5年」を保管期間として設定しています。これは、労働関係の訴訟時効（3年）や、未払い賃金請求権の時効（3年、当分の間は5年）を考慮した期間です。
ただし、すべての個人情報を一律に扱う必要はありません。例えば、緊急連絡先として保管していた家族の電話番号や、社員旅行で撮影した写真などは、退職後に保管し続ける正当な理由がないため、退職時または退職後速やかに削除すべきです。
重要なのは、「なぜその情報を保管するのか」という明確な理由を持つことです。理由がない情報は、退職後速やかに削除することで、情報漏洩リスクを低減し、個人のプライバシー権を守ることができます。
Q6: GDPRの「忘れられる権利」は、日本企業にも関係ありますか？
A6: はい、EU域内の個人のデータを扱う日本企業は、GDPRの「忘れられる権利」に対応する必要があります。
GDPRは、EU域内に拠点を持つ企業だけでなく、EU域外の企業であっても、以下の場合に適用されます：（1）EU域内の個人に商品やサービスを提供する場合、（2）EU域内の個人の行動を監視する場合。つまり、日本企業でも、EU域内に顧客を持つ場合や、EU域内でビジネスを展開する場合は、GDPRに従う必要があります。
GDPRの第17条では「消去の権利（忘れられる権利）」が明文化されており、個人は一定の条件下で、企業に対して自分の個人データの削除を請求できます。企業はこの要請を受けてから原則1ヶ月以内に対応する義務があります。
もし適切に対応しない場合、企業は全世界年間売上高の4%または2,000万ユーロのいずれか高い方を上限とする制裁金を科される可能性があります。実際に、2018年のGDPR施行後、日本企業に対しても個人データの削除要求や開示の請求が行われており、企業の対応が不十分な場合には、各国の監督当局から問い合わせが来るケースも報告されています。
日本企業としては、EU域内の顧客を持つ場合、以下の対応が必要です：（1）どこにどのような個人データが保存されているかを把握する（データインベントリの作成）、（2）削除要請を受け付ける窓口と対応プロセスを整備する、（3）バックアップを含めて完全にデータを削除できる仕組みを構築する、（4）削除できない場合（法定保存期間中など）の理由を説明できるようにする。
GDPRへの対応は、単なる法令遵守だけでなく、国際的なビジネスを展開する上での信頼性を示すことにもつながります。
更新履歴
- 初稿公開
