退会者の個人情報と本人確認書類の保存期間を実務で決める方法

カーシェアやレンタカーなどの会員制サービスで退会者が出たとき、「本人確認で取得した運転免許証画像や会員登録情報を、いつまで、どの項目を保存するか」は、情シスと法務の双方で判断に迷いやすい論点です。本記事は会員制サービスの法務・情報システム担当者を対象に、個人情報保護法と業法を分けて整理し、店舗受付でstera terminalを使ってマイナ免許証を扱う現場に落とし込むまでを扱います。

結論を先に示します。個人情報保護法には「◯年保存しなければならない」という一律の保存期間はなく、個人情報取扱事業者には利用する必要がなくなった個人情報を遅滞なく消去するよう努力する義務 ［アトミテック］があります（個人情報保護法第22条）。一方で、貸渡簿や税務関係の帳簿など、業法・税法で保存期間が決まっているものは別枠で管理します。本人確認書類の画像コピーについては、法令上の保存義務が明記されていない場合が多く、長期保存は漏えいリスクに直結するため、目的が終われば消去するのが原則的な考え方です。［個人情報保護委員会］［アトミテック］

退会者の個人情報の保存期間を調べている事業者の多くは、会員が退会したあとに、氏名・住所・電話番号・本人確認書類の画像をいつ消すべきかを決めたい、という業務課題を抱えています。先に押さえておきたいのは、個人情報保護法に一般的な保存期間の数値基準はない、という点です。個人情報保護法では、個人情報取扱事業者が取得した個人情報の保存期間や削除・消去する時期については定められていません ［個人情報保護委員会］。

その代わりに置かれているのが第22条の努力義務です。条文は、個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない ［lawzilla.jp］と定めています。「遅滞なく」については法律上、明確な期間の規定がありません ［リーガルスケープ］が、合理的な利用目的が失われた時点から社会通念上妥当な範囲で対応する、という解釈が実務の目安です。［lawzilla.jp］［リーガルスケープ］

退会処理に照らすと、「退会＝直ちに全データ消去」ではなく、「退会後に残す必要があるデータ」と「もう目的が消滅したデータ」を項目ごとに切り分け、残す側には根拠と期間を、消す側には削除・消去のタイミングを定義する、という設計になります。

法律上の保存期間が「ない」ことと、業法で「ある」ことの違い

個人情報保護法の努力義務は、保存期間の上限を縛るものではなく、「不要になったら放置しない」という性格のものです。業法や税法で保存が義務づけられる書類は、むしろ一定期間、消してはいけません。会員制の自動車貸渡サービスを例にすると、道路運送法に基づくレンタカー事業では貸出証と貸出簿を作成する必要があります。これらの書類は、2年間しっかりと保管することが義務付けられています ［行政書士吹谷勝己事務所］。［行政書士吹谷勝己事務所］

貸渡簿の項目設計と2年保存の起算点は別記事「免許証コピーの管理と貸渡簿の実務」で詳述しますが、ここでの要点は、業法で保存が義務の書類と、本人確認のために取得した書類画像は別物として管理する、という点です。貸渡簿は帳簿上の記録であって、免許証を全面コピーした画像を2年間抱え込むことまで業法が求めているわけではありません。

本人確認書類の画像コピーに保存義務はあるのか

マイナンバー関係では、個人情報保護委員会のFAQが参考になります。番号法上の本人確認の措置を実施するに当たり、個人番号カード等の本人確認書類のコピーを保管する法令上の義務はありませんが、本人確認の記録を残すためにコピーを保管することはできます。なお、コピーを保管する場合には、安全管理措置を適切に講ずる必要があります ［roumu.com］。［roumu.com］

マイナンバー文脈の整理ですが、「本人確認書類の写しを保存すること自体に法令上の義務があるとは限らず、保存する以上は安全管理措置と目的の説明責任が発生する」という考え方は、カーシェア会員登録時に取得する運転免許証画像の扱いにも応用できます。個人情報保護委員会は注意情報として、コピーを保管する場合は、安全管理措置を適切に講ずる必要があり、また、個人番号関係事務の処理に必要がなくなったら、その段階で速やかに破棄しましょう ［個人情報保護委員会］と示しています。［個人情報保護委員会］

実務的な結論は次の通りです。免許証コピーを「とりあえず全件、長期保存」する運用は、法令で義務づけられていない以上、保存する積極的根拠と期間の説明が必要になります。退会時には、業法・税法で残すべき帳簿記録と、本人確認が終わった画像ファイルを分け、画像は原則として目的消滅時点で削除する設計が無難です。

退会者データを項目ごとに保存期間へ割り当てる

退会処理の設計では、「人」単位でまとめて消すのではなく、項目単位で保存期間を定めるのが実務的です。整理の切り口は次の3つです。

第一に、業法・税法で保存期間が決まっている記録。貸渡簿、税務関係の帳簿書類、運行や点検の記録簿などは、各法令の年数に従います。たとえば点検整備記録簿の保存期間はその自動車が対象となる定期点検の周期によって1年または2年に分かれます ［J-Carnet］というように、同じ業界内でも書類ごとに期間が異なります。［J-Carnet］

第二に、契約・会計・紛争対応のために「退会後も一定期間は残す合理的理由がある」データ。利用料金の請求や事故対応に備えた最小限の属性（氏名・連絡先・契約期間・利用履歴）は、消滅時効や社内の紛争対応期間を参考に期間を定めます。

第三に、「退会した時点で利用目的が消滅する」データ。マーケティング用の嗜好情報、販促同意に紐づくプロフィール、本人確認用に取得した書類画像などは、第22条の努力義務に照らして遅滞なく消去する対象になります。利用停止や削除の請求を受ける場合もあるため、消去までの運用時間を社内の手順書に落としておきます。

本人からの申し出が入るケースも想定しておきます。個人情報の本人は、不要になった個人情報や違法に取得・利用されている個人情報の消去・利用停止を請求することが可能です ［アトミテック］。退会手続きとは別に、第三者提供停止や削除請求が来ることもあり得ます。［アトミテック］

対応手順としては、本人確認の方法、受付窓口、回答期限、社内の判断フロー、記録の残し方を文書化しておきます。業法で保存義務のある項目については、「法令上の保存義務があるため、当該期間が経過するまでは当該目的に限って保管します」と説明できる状態にしておくと、請求対応時の摩擦を減らせます。

本人確認の運用そのものも、2027年に転換点を迎えます。2027年4月1日から、「犯罪による収益の移転防止に関する法律（以下、犯収法）」に基づく本人確認方法が変更されます。対面取引では、ICチップ付き・顔写真付き本人確認書類について、券面の目視確認だけでなく、ICチップ情報の読み取りと画面表示が原則として必要になります ［サイバートラスト］。［サイバートラスト］

この改正は犯収法上の特定事業者を対象としたルールで、レンタカー事業者そのものに新たな義務が課されたという意味ではありません。もっとも、本人確認書類の画像を送受信して本人確認を済ませる方式は非対面でも本人確認書類の画像を送信してもらう方法は廃止となる予定です ［ネクスウェイ］という方向で縮小が進んでおり、業界全体として「画像を保存して突き合わせる」運用から「ICチップを読み取って即時に照合する」運用へ重心が移りつつあります。［ネクスウェイ］

近年、本人確認書類の画像を含む個人情報の漏えいが相次いで報じられています。画像を長期間ためこむほど被害想定が大きくなるため、本人確認は「取得する項目を減らす」「読み取り結果の必要な部分だけを保持する」設計が、保存期間の短縮にも直結します。

ここからは、店舗受付でマイナ免許証を扱う前提に話を移します。マイナ免許証は従来の運転免許証と異なり、免許情報がICチップに記録されることから、運転免許の有効期限や免許の種類等がマイナンバーカードの券面上で確認できません ［police.pref.saitama.lg.jp］。目視だけでは免許の有効性を確認できず、ICチップを読み取る仕組みが必要になります。［police.pref.saitama.lg.jp］

警察庁は一般向けのマイナ免許証のICチップに記録された免許情報を確認することができます ［警察庁］アプリを無償で提供しています。ただし、来店客に自分のスマートフォンで読み取ってもらう受付運用は、端末の個体差や通信状況に左右され、無人・有人を問わず詰まりやすいという課題があります。店舗側で読み取りを完結させる場合、暗証番号の入力は本人が端末画面上で行うのが原則で、スタッフが聞き取ったり記録したりしてはいけません。［警察庁］

項目設計は、受付に必要な最小限から考えます。氏名・住所・生年月日・免許証番号・免許の種類・有効期限など、受付と貸渡し判断に本当に使う項目だけを基幹システムに連携し、暗証番号(PIN)、14桁の補助入力値、APDU rawデータ、カード内部の未加工バイナリ、顔写真画像などは標準運用で外部送信しない設計にします。顔写真はICチップ内のデータを端末画面に出し、本人との目視確認に使うだけで、画像ファイルとして基幹システムに保持しない運用が、保存期間の短縮という観点でも合理的です。

なお、ICチップの読み取りと暗証番号(PIN)照合を伴うため、券面だけを偽造したカード、コピー、どこかから漏れた本人確認書類の画像は、この経路での受付を通りません。だからといって「ICチップで読み取れば漏えいしない」と言い切れるわけではないので、安全管理措置と保存期間の短縮を並行して進めることが前提です。

ICチップで読み取った項目を会員管理や予約基幹に流す場合、連携設計そのものが保存期間の実効性を左右します。実務で合意しておきたい論点は次の通りです。

まず、送信チャネルはHTTPS POSTとし、mTLS・OAuth2・HMAC署名のいずれかによる認証を前提にします。再送時の二重登録を避けるため、冪等キーをリクエスト単位で発行し、同一キーの再送信は同じ結果を返す設計にしておきます。ログは「誰が・いつ・どの端末で・どの会員の・どの項目を取得したか」を残し、生体情報やカード内部データは残さないようにします。これは、退会時に該当会員の個人データを特定して削除・利用停止の対象から外さないためにも重要です。

次に、合意した項目以外は送らないことをAPI設計書に書き下します。基幹システム側のスキーマから「送らない項目」が見えるようにしておけば、情シスの監査でも説明がつけやすく、将来の個人情報保護法の改正や社内規程の変更にも追随しやすくなります。

社内の規程に落とすときは、次の順序で検討すると実装までの距離が短くなります。

本人確認書類の種類と選び方は別記事「本人確認書類の種類と選び方」で詳しくまとめています。

ここで、ICチップ読み取りの仕組みをstera terminal上で動かす選択肢として「マイナドライブID」を紹介します。stera端末でマイナ免許証のICチップを読み取り、4桁の暗証番号(PIN)で本人の照合を行い、合意した業務項目だけをHTTPS POSTで基幹システムへ送る設計です。マイナンバー12桁、暗証番号(PIN)、APDU rawデータ、カード内部の未加工バイナリ、標準運用での顔写真画像は、基幹システムへ送信しません。顔写真はstera terminalの画面でスタッフが本人と目視確認するために表示します。

できないことも併記します。マイナドライブIDは貸渡可否の法的判断を代替しません。すべての受付例外を自動解決するものでもなく、券面偽造以外の不正利用、暗証番号(PIN)忘れによる受付不可、法改正への自動追従までを保証するものではありません。導入によって個人情報保護法や業法上の対応がすべて完了する、という性質のサービスでもない点はご理解ください。項目設計や保存期間の運用レビューを含めた相談を希望される場合は、デモをご案内しています。

デモ・連携相談のお申し込み