個人情報を適切に取り扱う義務があるのは「当たり前」と財務相
カーシェア最大手「タイムズカー」などで知られるパーク24（西川光一社長）から、約660万件のアカウント情報が漏洩し、約160万件分の運転免許証など本人確認書類の画像も漏洩しました。この事案の調査は途上ですが、同社は個人情報の保管を「税法上必要」と説明しながら、新規会員の受付を途切れさせることなく続けています。漏洩後の会員の個人情報はどうなるのでしょうか。
タイムズのカーシェアのイメージ（乗りものニュース編集部撮影）
パーク24によると、タイムズカーの会員は約414万件（2026年8月末）です。漏洩した約660万件はこれを大きく上回り、退会者や会員になっていない申込者の情報も含まれます。同社はこれらの保持を、法人税法に基づく措置だと説明しています。パーク24コーポレートコミュニケーション部は次のように話します。
「法人税法の対象データは、氏名、住所、生年月日です。保存期間は7年です」
同社の説明どおりなら、個人情報は会員期間だけでなく、退会後も7年間保持されることになります。一方、個人情報保護法22条は、個人データを利用する必要がなくなったときは、遅滞なく消去するよう努めることを事業者に求めています。
努力義務ですが、個人情報保護委員会（PPC）は、不要になった個人データの適切な消去が漏洩防止に極めて重要だと、重ねて注意喚起しています。
この両者の関係について、片山さつき財務相は2026年10月6日の閣議後会見で、記者から「税法は個人情報保護法に優越する情報保持を求めているのか」と問われ、一般論として次のように述べました。
「事後的に取引や申告内容を検証できるように、事業者は帳簿を備え付けてその取引を記録するとともに、その帳簿と取引等に関して作成または受領した資料を一定期間、これは基本7年間ですが、保存しなければならないこととされておりまして、これは全ての業界、全てのものについて同じでございます」
片山財務相は、取引や申告内容の検証に必要な場合には、取引相手の氏名や住所などの個人情報の記録が求められているとの認識を示しました。
その上で、保持していても事業者に個人情報保護法にのっとって適切に取り扱う義務があるのは「当たり前」だと強調し、次のように述べました。
「税法が個人情報保護法にその点で優越するということはなくて、税法によって保護が妨げられるのではなくて、（中略）個人情報保護は法律に基づいてきっちりと守っていかなければならない」
「電話番号・メールアドレス・運転免許情報なども保存しております」
パーク24は、生年月日も税法上必要なデータだと説明しています。記者が「小売りなら購入者も生年月日も分からない」と指摘したうえで、生年月日を記録しておく必要があるのかとただすと、片山氏はこう答えました。
10月6日の会見でパーク24の個人情報流出に言及した片山さつき財務相（中島みなみ撮影）
「あくまでも事業者の判断ではないかと思います。私どもの方でそのような細かいことを言っているということはないです」
パーク24は情報漏洩の発覚後、「9月26日7時25分までに、不正アクセス経路の遮断、攻撃元との通信遮断および遮断後のアクセス不能確認を完了しております」とサイトで公表しました。しかし、不正アクセスの防御と、個人情報の収集・保管のあり方は別の問題です。
今回の漏洩では、より重い課題も残っています。
パーク24は、税法を根拠とする保存の対象を氏名、住所、生年月日と説明しています。一方で、「電話番号・メールアドレス・運転免許情報なども7年間保存しております。ご退会後、7年経ちましたら消去をしております」（コーポレートコミュニケーション部）としています。
また、免許証番号などの文字データだけでなく、会員が提供した免許証や現住所確認書類を画像としてそのまま保持していました。「なりすまし対策や問い合わせ対応に備え保管しておりました」（同部）といいます。
退会者に及ぶ広範な画像データの保管が必要だったかどうか。この点はレンタカー事業としてのあり方も問われています。
漏洩した情報を回収することは事実上できません。同社は9月29日の発表で、調査結果を「2週間程度を目途」に公表するとしています。個人情報の取扱いの基本に立ち返る姿勢は示されるでしょうか。
