個人情報の保存期間、法律に決まりなし｜小規模事業者の決め方と消し方

退会したお客様や、不採用になった応募者の情報を、いつまで持っているか答えられるでしょうか。2026年9月下旬には、退会者の情報や、契約を終えた委託先に残っていた応募者の情報が漏えいした事案が相次いで公表されました。この記事では、法律が保存期間をどう扱っているかを確かめたうえで、小規模事業者が自分で進められる点検の順番をまとめます。

保存期間を決めるのは、法律ではなく事業者です

個人情報保護法には、個人情報の保存期間や廃棄の時期についての規定がありません。個人情報保護委員会も、Q&Aでそのように明言しています。

あるのは第22条の、利用する必要がなくなった個人データを、遅滞なく消去するよう努めなければならない、という努力義務です。帳簿のように、別の法令で保存が必要なものは、その法令に従って保存します。ただし、一部の書類に保存の義務があるからといって、顧客情報全体を持ち続けてよいことにはなりません。

つまり、「何を、いつまで持つか」は、事業者が自分で決めて、自分で守るものです。決めていなければ、情報は増え続けます。そして、持っている情報は、漏えいが起きたときにすべて対象になりえます。

そもそも何を集めるか、使わない項目や身分証の画像をどう扱うかは、9月29日の記事「保存している情報が、漏えいの範囲に影響する」で書いています。

9月下旬の漏えいで見えた、情報が残る場所

2026年9月25日から10月1日にかけて、国内の企業が不正アクセスによる個人情報の漏えいを相次いで公表しました。対象には、退会した会員の情報や、契約を終えた委託先に残っていた情報、利用者が削除した画像の記録など、利用者から見ると意外な場所に残っていた情報が含まれていました。

公表した会社	残っていた情報	公表資料が示したこと
タイムズモビリティ（タイムズカー）	退会した会員の情報	退会後7年間保管する理由を、氏名・住所などは税法などに基づき、運転免許の情報と画像はなりすまし対策と問い合わせ対応のため、と項目ごとに説明
吉野家グループ（共同発表）	契約を終えた委託先に残っていたアルバイト応募者の情報	契約終了とともに消去されると認識していたが、委託先の実際の運用は異なっていた
イープラス	約4年にわたる払戻し申請の情報の一部	払戻しを実施するための情報を、そのシステムに保管していた
Helpfeel（Gyazo）	利用者が過去に削除した画像のメタデータ	主に2023年2月以前に削除された画像の記録が残っていた

これらの企業の事案は、それぞれ事情が異なります。それでも、情報が思わぬ場所に残るという構図は、小規模事業者にも当てはまります。退会したお客様の情報、終わった問い合わせのメール、不採用になった応募者の履歴書。消すと決めていなければ、どれも残り続けます。

まず、どこに何を持っているかを書き出します

保管期間を決める前に、個人情報がどこにあるかを洗い出します。小規模事業者の場合、次の7か所を点検の出発点にします。

置き場所	入っている情報の例	見落としやすい点
ホームページの問い合わせフォーム	氏名、連絡先、相談内容	メールに届くだけでなく、サイトの中にも送信内容を保存する設定になっていることがある
メールの受信箱	問い合わせ、見積もり依頼、応募のメール	何年分も検索できる状態で残りやすい
予約・顧客管理のサービス	来店履歴、連絡先、メモ	退会したお客様の情報をどう扱うかは、サービスの設定や規約で決まる
公式LINE	友だちとのトーク、チャットの履歴	個別のやりとりに住所や電話番号が書かれていることがある
採用の応募	履歴書、職務経歴書、面接の記録	不採用になった人の情報が、いつまでも残りやすい
共有ドライブ・表計算	イベント参加者の名簿、アンケートの回答	作った本人が辞めると、存在自体が忘れられる
紙	申込書、アンケート用紙、名刺	鍵のかからない棚に積まれていることがある

このほか、パソコンやスマートフォンにダウンロードした名簿や履歴書、書き出したデータの控え、バックアップも忘れずに確かめます。元のデータを消しても、控えは残り続けるからです。書き出すときは、置き場所ごとに「誰が管理しているか」も一緒に書いておきます。次の段階で期間を決めるとき、相談する相手がはっきりするからです。

保管期間は、項目ごとに「目的」と「根拠」を分けて決めます

期間を決めるときは、情報をひとまとめにせず、項目ごとに「なぜ持つのか」を書き出します。目的がはっきりすれば、いつ要らなくなるかを判断しやすくなります。

お手本になるのが、タイムズモビリティが10月1日に公開した説明です。同じ退会者の情報でも、氏名や住所などは税法などに基づいて、運転免許の情報と画像はなりすまし対策や問い合わせ対応のために保管する、と根拠を分けて示しました。法令で持つ義務があるものと、事業の都合で持つものを分けると、説明しやすくなります。期間の長さは事業によって違うため、参考にしたいのは7年という数字ではなく、根拠を分けて示す書き方です。

小規模事業者なら、たとえば次のような表になります。期間の欄は、それぞれの事業で決めて書き入れてください。

情報	持つ目的	根拠	期間	消し方
問い合わせの内容	返信と、その後の対応のため	事業上の必要	対応が終わってから◯か月	メールとフォームの保存分を削除
請求書・領収書の控え	取引の記録のため	税法などの法令	法令が定める期間	期間が過ぎたら、読み取れない方法で廃棄
不採用になった応募者の情報	選考と、選考後の問い合わせや再応募への対応のため	事業上の必要	選考が終わってから◯か月	履歴書を返却または廃棄し、データを削除
退会したお客様の連絡先	退会後の問い合わせに答えるため	事業上の必要	退会から◯か月	予約・顧客管理のサービスで削除
イベント参加者の名簿	当日の受付と、事後の連絡のため	事業上の必要	開催から◯か月	共有ドライブから削除し、ごみ箱も空にする

法令で保存期間が決まっている書類は、業種や取引の内容によって変わります。迷うものは、税理士や社会保険労務士に確認してから決めてください。期間を決めたら、毎月や四半期ごとなど、実際に点検して消すタイミングと担当者も決めておきます。決めた期間は、運用が伴って初めて意味を持ちます。

外部のサービスに預けた情報は、契約を終えるときに消えたか確かめます

予約システム、求人の応募管理、ホームページのサーバー。外部のサービスに預けた情報は、自分の手元にないため、点検から漏れやすくなります。

吉野家グループの事案では、委託先との契約が終わったあとも、応募者の情報が委託先のデータベースに残っていました。同グループは、規約どおり消去されると認識していたと説明しています。「消えるはず」と「消えた」は別のことです。

さらに同グループは、委託先から、調査の記録を残す必要などから、残っていた情報を直ちには消去できないと説明を受けています。事故の後は、調査や本人への案内のため、すぐに消去できない場合もあります。確かめるなら、何も起きていない今のうちです。

個人情報保護法は、個人データの取扱いを委託する場合、委託先を必要かつ適切に監督することを事業者に求めています（第25条）。ただし、外部サービスの利用がすべて「委託」に当たるわけではありません。サービスの提供者が個人データを取り扱わないクラウドサービスの場合も、自社として安全に管理する必要があります。契約内容と実際の取扱いを確かめたうえで、次の4つを点検します。

• 契約する前に、解約したときにデータがいつ、どのように消えるかを規約で確かめる
• 解約するときは、手元に必要なデータを書き出してから、削除を依頼する
• 削除が終わったら、終わったことを連絡してもらう（メールなど、記録が残る形で）
• 使わなくなったサービスのアカウントや、制作会社・元担当者に渡していた管理者権限を整理する

削除を確かめるときは、対象のデータ、削除の方法、終わった時期を記録しておきます。サービスによっては、通常の削除ではごみ箱に移るだけのものもあります。書き出した控えや複製、ごみ箱、バックアップに残る情報の扱いも確かめます。紙の書類は、中身を読み取れない方法で廃棄します。

決めた期間は、お客様に説明できる形にしておきます

期間を決めたら、プライバシーポリシーやよくある質問に書いておきます。個人情報保護法では、保存期間を書くこと自体は義務ではありません。それでも、「この情報は、この目的のために、この期間だけ持っています」と書いてあれば、お客様は安心して情報を預けられます。書いた期間と、社内で実際に消している時期は、そろえておきます。

あわせて、退会と情報の消去は別の手続きであることも意識しておきます。退会の手続きを済ませても、帳簿の控えや問い合わせの履歴は残ることがあります。退会したあと何が、いつまで残るのかを、よくある質問で答えられるようにしておくと、問い合わせへの対応も楽になります。

もう1つ、本人から利用停止や消去を求められたときの窓口も決めておきます。2022年4月1日に施行された改正個人情報保護法により、本人が識別される保有個人データについて、事業者が利用する必要がなくなった場合や、個人情報保護委員会への報告の対象となる漏えいなどが起きた場合にも、利用停止や消去を請求できる場合が広がりました。請求に理由があるときは、原則として、本人の権利利益を守るために必要な範囲で、遅滞なく利用停止や消去を行う必要があります。

窓口には、問い合わせフォームやメールアドレスを使えます。受け付けたあとは、本人であることや請求の内容を確かめ、法令による保存の必要性も踏まえて対応を判断します。誰が確認し、誰が対応し、誰が結果を本人に知らせるかまで決めておきます。最初に書き出した置き場所の一覧は、対象のデータを探すときの手がかりになります。

研修で扱うなら、3つの問いで組み立てます

商工会や公的機関の研修で個人情報の扱いを取り上げる場合、条文の説明から入ると、参加者は自分の仕事に引き寄せにくくなります。9月下旬の事案は、身近なサービスばかりなので、導入の教材として使いやすい題材です。

組み立ては、参加者に次の3つの問いを順に考えてもらう形が向いています。

1. 何を持っているか：自分の事業で個人情報がある場所を、7か所の一覧を見ながら書き出す
2. なぜ持っているか：それぞれについて、目的と根拠（法令か、事業上の必要か）を書く
3. いつ消すか：目的が終わる時点を決め、誰が消すかを書く

3つ目の問いで手が止まる項目があれば、そこが、その事業でまだ決まっていないところです。研修の終わりに、手が止まった項目を持ち帰ってもらえば、職場での点検につながります。

まとめ：書き出す、目的を書く、消す日を決める

個人情報の保管期間は、法律が決めてくれるものではありません。点検の順番は次の3つです。

1. 個人情報がある場所を、7か所の一覧で書き出す
2. 項目ごとに、持つ目的と根拠（法令か、事業上の必要か）を書く
3. 目的が終わる時点で消す日を決め、外部のサービスに預けたものは、消えたことまで確かめる

ホームページの問い合わせフォームが送信内容をどこに保存しているか分からない、というところからでも構いません。デジタルの窓口では、ホームページの制作と保守のご相談を受けています。ご相談とお見積もりは無料です。

お問い合わせはこちら

この記事は、2026年10月2日時点の制度に基づいています。個人情報保護法は2026年7月に改正法が成立しており、施行に向けた整備が進められています。

参考にした資料

• 取得した個人情報は、いつ廃棄しなければなりませんか。（個人情報保護委員会 Q&A 5-2）
• 個人情報の保護に関する法律についてのガイドライン（通則編）（個人情報保護委員会）
• 個人情報保護委員会 Q&A 7-53（クラウドサービスと委託先の監督）
• データの消去に関する注意喚起（個人情報保護委員会）
• 令和2年 改正個人情報保護法について（個人情報保護委員会）
• タイムズカーWebサイトへの不正アクセスに関しよくあるご質問（タイムズモビリティ、2026年10月1日）
• ApplyNow採用管理プラットフォームへの不正アクセスによる個人情報漏えいに関するお知らせとお詫び（吉野家ホールディングスほか、2026年9月30日）
• 弊社システムに対する不正アクセスの発生および個人情報漏えいに関するお詫びとお知らせ（イープラス、2026年9月29日）
• 「Gyazo」への不正アクセスによる情報漏えいに関するお知らせとお詫び（第二報）（Helpfeel、2026年9月25日）
• 【解説】タイムズカーやGyazo、退会・削除後の個人情報も漏えい｜残っていた情報の行方（innovaTopia）