入会や契約のために受け取った書類。手続きが終わると、共有フォルダーに残したままになっていませんか。
先に結論をお伝えすると、本人確認書類は「残す目的」「見直す時期」「見られる人」を一組で点検することが大切です。タイムズカーの公表には、退会者や入会が完了しなかった人も対象に含まれます。
この記事は9月の発表をもとにした実務の解説で、新たな被害を伝える速報ではありません。同社の保管期間が事故の原因だったと決めつけず、自社の扱いを確認する入口にします。
本人確認書類を集めた後、退会や申込中断時の扱いまで決まっていますか。タイムズカーの公表を入口に、残す目的・見直す時期・見られる人を整理する3手を紹介します。
この記事でわかること
- 公表されたアカウント数と本人確認書類の範囲
- 退会後の書類を一律に消すと決めない理由
- 保管目的・見直す時期・閲覧権限を確認する3手
約660万と約160万は、足さずに読みます
数字の単位と、どの情報の集計かを分けて確認しましょう。
パーク24の9月28日の第二報は、漏えいしたアカウントを約660万件と公表しています。対象はタイムズカーとタイムズビジネスサービスの会員・退会者で、タイムズカーでは入会未完了の人も含まれます。
これは人数と同じとは限りません。漏えい情報も対象者により異なります。
9月29日の第三報では、本人確認書類が漏えいしたアカウントは約160万件としています。免許証画像、現住所確認書類、該当プランの学生証や家族確認書類が挙げられています。
この二つの数字を足して被害人数にはできません。第三報は個別案内の開始も説明していますが、今回の確認では案内完了までは確認していません。
具体的な侵入経路、使われた製品やCVEも、読んだ発表では不明です。自社の特定製品が同じ原因で危険だと推測しないようにしましょう。
退会したら即削除、と一律には決めません
必要な保存と、理由なく残る情報を分けるところから始めます。
保管台帳の項目
書類の状態と、残す理由を分ける
- 1状態申込中・中断・契約中・終了
- 2目的と見直し残す理由・確認日・判断する人
- 3保存場所本体・添付・コピー・バックアップ
個人情報保護委員会のFAQ Q5-2は、個人情報保護法で保存期間や廃棄時期を一律には規定していないと説明しています。一方、利用する必要がなくなった個人データは、遅滞なく消去するよう努める必要があります。
「期間が決まっていないから永久に残せる」という意味ではありません。Q5-3では、その期間は取扱状況によって異なり、業務上の必要性や保管の影響を考え、必要以上に長期としない考え方が示されています。
自社で適用される法令や契約、紛争対応などの必要性は責任者や専門家に確認し、この記事だけで保存年数を決めないでください。たとえば教室の入会書類なら、申込中、入会済み、申込中断、退会済みに分け、「何のために残すか」「いつ見直すか」「誰が判断するか」を記録する方法が考えられます。
これは架空の運用例です。保管庫の棚札を付け直すように、書類の状態を見えるようにします。
元のフォルダーだけでなく、コピーの行き先も確認します
消したつもりの書類が、別の場所に残っていないかを担当者と確かめます。
ここからは自社向けの実務提案です。申込フォームの保存先だけでなく、担当者がダウンロードした端末、メール添付、共有フォルダーにもコピーがないか確認します。
不要と判断したものは承認した方法で処理し、対象の種類、実施日、担当者を残します。記録のために本人確認書類そのものを余分に複製しないことも大切です。
バックアップは、担当者が本番データと一緒に勝手に削除するのではなく、管理会社に保存サイクル、閲覧できる人、期限後の処理を確認します。復元したときに、以前削除対象とした情報が再び通常の業務で使われないかも相談しましょう。
なお、漏えいが疑われる場面のログや証拠の保全は、通常の書類廃棄とは別です。事故に気づいて慌てて消去せず、対応責任者や専門家の指示を確認してください。
保管の整理は、すでに流出した情報を回収する対策ではありません。
目的、見直す時期、見られる人を3手で確認します
パスワードの強さだけでなく、必要な人だけが扱える状態を確かめます。
今日の確認
一種類から点検する3手
- 1書き出す目的・場所・担当者
- 2判断する保存の必要性と見直す日
- 3権限を見る担当変更後の閲覧範囲も確認
一つ目は、書類を一種類だけ選び、集めた目的と保存場所、担当者を書き出すことです。まず退会や申込中断の一件から始めても構いません。
顧客の実名や免許証の画像を、外部のAIや作業用チャットへ貼る必要はありません。二つ目は、責任者が残す必要と見直す時期を確認することです。
「担当者が変わるまで」のような曖昧な期限を避け、確認日と判断した人を記録します。判断できないものは放置せず、誰にいつ確認するかを決めます。
三つ目は、閲覧・ダウンロード・権限変更ができる人を確認することです。個人情報保護委員会Q10-18は、権限の最小化や定期的な権限管理などを手法の例に挙げています。
自社では退職者や担当を外れた人、全員向け共有リンクが残っていないかを点検し、変更後は管理画面の設定と実際の閲覧範囲を担当者が確認しましょう。この3手だけで不正アクセスを防げるわけではありません。
システムの更新や不正な接続への対策なども管理会社と確認します。
まず一種類の書類で、退会後の扱いを確かめませんか
残す理由と見られる人を、手続きの終了後も点検します。
本人確認書類は、集めるときだけでなく、その後の扱いまで決めておくことが大切です。何でも即座に消すのでも、念のため全部残すのでもなく、必要性と管理の仕方を一緒に確認しましょう。
タイムズカーの利用者として自分への影響を知りたい場合は、公式発表と個別案内を確認してください。不審なメールやSMSから認証情報を入力せず、公式窓口を自分で開いて確かめます。
第三報にも、なりすまし連絡への注意が掲載されています。noticaでは、店舗や小さな会社の情報整理と、更新しやすいホームページづくりをお手伝いしています。
専門的な保存義務の判断は担当の専門家と確認しながら、まず一つ、申込をやめた人の書類がどこに残っているか見直してみませんか。情報確認日：2026年10月14日。
9月28日・29日の公表と一般的な点検提案を区別した解説です。