2026年の秋は、多くの人が使うサービスを運営する事業者が外部から不正アクセスを受け、大量の個人データが漏えいした、あるいは漏えいのおそれがあるという公表が続きました。報道を見て、自社のアクセス権限や認証の設定を見直す契機になった会社もあるはずです。
ただ、同じ事案からもう一つ確認しておくことがあります。漏えいしたときに何人分が報告・通知の対象になりうるかの上限は、守り方ではなく「何を持っているか」で決まるということです。侵入を防ぐ対策をどれだけ積み増しても、そこに置いてあるデータの量は変わりません。
個人情報保護委員会が2026年10月7日に公表した大規模な漏えい等事案を踏まえた対応について（注意喚起）には、技術的な対策と並んで「不要となった個人データの消去」という項目が独立して置かれています。そして「こうした対応が徹底されず、漏えい等事案がより深刻化するといった事例にも接しています」と書かれています。防ぎ方ではなく、持ち方の話です。
この注意喚起を出した個人情報保護委員会は、個人情報保護法に基づいて設置された独立性の高い機関です。事業者に対して指導・助言や報告徴収・立入検査を行い、法令違反があれば勧告・命令を出すことがあります。そして、漏えいが起きたときに報告する先もこの委員会です。「事例にも接しています」という書き方になっているのは、報告を受け取る立場から見た実態だからです。
この「持ち方」の見直しは1回で終わる作業ではないため、本記事から全4回の連載「漏えいに強いデータの持ち方」としてお届けします。漏えいが起きたときに被害と対応工数を小さく抑えるためのデータ側の準備を、次の順番で扱います。
- 第1回：もう使っていないデータを消す——消してよいデータの決め方（本記事）
- 第2回：社内に散らばった顧客データのコピーを見つける——検証用データと手元のファイル
- 第3回：外部に渡している項目を把握しておく——委託先・外部サービスへの受け渡し
- 第4回（最終回）：漏えいしたときに対象者の一覧を出せるようにする——報告期限とデータ品質
第1回となる本記事で扱うのは、自社がいま持っているデータそのものを減らす話です。第2回以降で棚卸しや受け渡しの整理を進めるとき、対象が少ないほど作業は軽くなります。
個人情報保護法がデータの持ち方に求めることの全体像は個人情報保護法とデータ品質の関係、外部サービスに顧客データを預けてよいかの判断はこのSaaSに顧客データを預けてよいかで扱っています。本記事が扱うのは、すでに自社が持っているデータを消すかどうかの判断だけです。侵入を防ぐためのセキュリティ対策は扱いません。
個人情報保護委員会が「消去」を独立した項目に置いた
2026年10月7日の注意喚起は、3つの柱で構成されています。安全管理措置の全体像、技術的安全管理措置の見直し内容の先取り、そして不要となった個人データの消去です。前の2つはシステム部門とセキュリティ担当の領域ですが、3つ目は保有しているデータそのものの話で、そのデータを使っている部門が関わらないと決まりません。
注意喚起が引用する条文と、委員会による補足
利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない——という書き方になっています。注意喚起はこれに続けて、法令の定めにより保存期間等が定められている場合はこの限りではない、と補足しています。
「努めなければならない」という書き方なので、消していないこと自体がただちに違反になるわけではありません。ただし注意喚起は、この対応が徹底されずに事案が深刻化した例に接しているとして、保管している個人データの必要性を、その法令等の根拠とあわせて確認するよう求めています。問われるのは「消していない状態を説明できるか」です。
もう一つ見落としやすいのは、この条文が「正確かつ最新の内容に保つ」ことと「必要がなくなったら消す」ことを並べて書いている点です。古いデータがすべて不正確というわけではありません。ただし、いまの顧客の状況を見る目的で使っているのに退会や住所変更が反映されていなければ、漏えいのときだけでなく普段の正確性の問題になります。この並びは海外の規制でも同じ構造で、GDPR正確性の原則と日本企業の実務対応で扱っています。
消していないデータは、漏えいしたときだけ姿を現す
使われていないデータは、普段の業務では存在しないのと同じです。レポートにも出てこないし、画面でも誰も開きません。だから誰も気にしません。姿を現すのは漏えいしたときだけで、そのときは報告と本人への通知の対象者として、全部が数に入ります。
報告と本人通知が必要になる事態は、要配慮個人情報（病歴や犯罪の経歴など、取り扱いに特に配慮を要するものとして定められている情報）が含まれる場合、不正に利用されることにより財産的被害が生じるおそれがある場合、不正の目的をもって行われたおそれがある場合、そして本人の数が1,000人を超える場合と定められています（個人情報保護委員会：漏えい等が発生した場合の対応）。ここで数えるのは、漏えいした（またはそのおそれがある）データに含まれる本人の数で、保有している総数そのものではありません。ただし顧客マスタ全体が漏えいのおそれありとなれば、現役の顧客が数百件でも、残っていた退会済みの数万件を含めた全体が対象者数になります。
さらに、同じ人が複数のレコードに分かれていると、対象者が何人なのかを自社で確定できません。公表した件数が後から修正される背景には、漏えい範囲の調査や対象データの特定に加えて、この重複の整理が終わっていないという事情も入ります。同一性の確認についてはデータ保護規制対応のための名寄せ・重複排除で扱っています。
残りやすい5種類のデータ
残っているデータの中身は会社ごとに違いますが、残る理由はよく似ています。次の5種類は、多くの会社で共通して出てきます。
| 残りやすいデータ | なぜ残るのか | 消す判断の起点 |
|---|---|---|
| 退会・解約した顧客の情報 | 「また戻るかもしれない」で消さないまま運用に組み込まれる | 退会後に必要な対応と法令の保存義務を確認し、目的ごとに消す時期を決める |
| 終わった施策の応募者・資料請求リスト | 施策が終わると担当者が替わり、誰の持ち物か分からなくなる | 登録する時点で、発送や問い合わせ対応まで含めた終了予定日を記録する |
| 配信停止を申し出たアドレス | 誤って再送信しないために残すが、顧客情報の本体まで残っている | 再送信を防ぐのに必要な最小限の項目だけに絞る |
| テスト・検証用に複製した本番データ | 検証が終わっても、消す担当者が決まっていない | そもそも複製しない、または一部を別の値に置き換える。作る場合は削除予定日を記録する |
| 退職者・元担当者の個人情報 | 人事部門と情報システム部門で棚卸しの範囲が分かれている | 退職手続きのチェック項目に「システム上のデータ」を入れる |
5つに共通するのは、残っている理由が技術ではなく「消す判断をする人が決まっていない」ことにある点
消す側に寄せる前に一度確認したいのは、退会や退職のあとも残る合理的な理由があるかどうかです。注意喚起は、利用目的が達成されて当該目的との関係で「保有する合理的な理由が存在しなくなった場合」を消去の起点として挙げています。契約や保証の対応、返金や請求、人事・社会保険の記録のように、別の目的や法令の定めが残っているものは、その目的が終わるまで保持する側に入ります。
データを作った部門は施策が終われば関心を失い、システム部門は業務上まだ必要かどうかを判断できません。この担当の空白を埋める仕組みがデータオーナー制度の作り方で扱っているもので、消去の判断にもそのまま効きます。
なお、本人確認書類の控えは一般の顧客情報とは分けて考えますが、「制度側で保存期間が決まっているから手を付けられない」とは限りません。個人情報保護委員会は、番号法上の本人確認で提示を受けた本人確認書類のコピーについて、保管する法令上の義務はなく、必要な手続を行った後に不要となった段階で速やかに廃棄するよう案内しています（個人情報保護委員会：本人確認書類のコピーの保管について）。業種ごとの法令で保存が義務づけられている書類は、その期間を確認してください。取り扱いの詳細はマイナンバー・本人確認データの品質管理で扱っています。
消してよいかは、2つの質問で決まる
1つ目は「まだ使う予定があるか」です。ここで注意したいのは、「いつか使うかもしれない」は予定ではないということです。使う予定があるとは、どの業務で・いつ・誰が使うかを言えることを指します。言えないのであれば、答えは「いいえ」です。
2つ目は「法令などで保存期間が定められているか」です。定めがあれば、その期間が来るまで保持します。ただし「定めがある気がする」で止めないことが大切です。保存期間は制度の改正で変わるため、社内資料や解説記事の年数をそのまま使わず、所管する官庁の公表資料で確認し、根拠を記録に残してください。
2つとも「いいえ」なら、消す側のデータです。ここで手が止まるのは、たいてい技術の問題ではありません。「消したあとに何か困ったら誰の責任になるのか」が決まっていないため、全員が保留を選ぶのです。この判断を個人に背負わせない形にしておくことが、実際には一番効きます。
最初の1回は、消す前に数える
いきなり削除から入らないほうがうまくいきます。最初にやることは、数えることです。
- 顧客マスタの総件数と、直近◯年（法令の基準ではなく、自社で決める期間）に取引・問い合わせ・ログインのいずれかがあった件数
- その差——もう動いていない行が何件あるか
- 同じ個人データのコピーが、テーブルやファイルの単位でいくつあるか
- 個人データを持っているシステム・ファイルの一覧（どこにあるか分からないものは消せない）
この差分の件数が出ると、社内の議論が変わります。「古いデータがあるかもしれない」という話ではなく「漏えいすれば対象者が何人増える」という数字になるため、消す判断を経営層に上げられるようになります。所在の一覧を道具を買わずに作る手順は分析のたびに「そのデータどこ？」と聞いて回る状態をなくすで扱っています。
数えて終わりにせず、定期的に見る工程に載せます。月に30分だけ決める形にしておくと続きます（「この数字おかしい」で毎月終わる）。監査の観点から同じ棚卸しを求められることもあるため、記録の残し方は内部統制（J-SOX）とデータ品質も参考になります。
一方で、業務の流れのなかで増えていく社内のコピー——共有フォルダやクラウドストレージに置かれた抽出ファイルのようなものは、本記事では扱いません。ツール側の管理機能でどこまで追えるかには限界があり、その実態はM365でデータ整備をする企業が直面する4つの壁で扱っています。
量を減らすと、BI・AI活用のほうが先に軽くなる
データを減らす作業は守りの話に見えますが、実際には活用側の効果が先に出ます。ただし、退会済みの顧客や過去の取引履歴がすべて不要というわけではありません。ずれの原因は、いまの顧客と過去の顧客が区別されないまま集計されることです。使わない行を落とし、残す行には状態を記録する——この2つで顧客数や平均購入額が実態に近づきます。欠損の多い古い行が混ざったままの集計がどうずれるかはデータ品質の「完全性」とは？で扱っています。
社内データをAIに読ませる場合はさらに直接的です。退会したか、いつまで有効かがデータに記録されていれば、AIはそれを条件として扱えます。記録されていなければ区別できず、退会済みの顧客を生きている顧客として数え、その数字を根拠に答えを返します。読ませる範囲を絞る作業と、消す作業は同じ棚卸しの上に乗っています。
逆に、持っている量が増え続けると、BIの集計もAIの回答も、どこまで信じてよいかを判断できなくなります。消すことは、漏えいへの備えであると同時に、データ活用を続けるための整備でもあります。
よくある質問
不要なデータの消去は義務ですか。努力義務ですか。
条文は「利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない」という書き方です。消していないこと自体がただちに違反になるものではありません。ただし2026年10月7日の注意喚起では、この対応が徹底されずに漏えい等事案が深刻化した例に接しているとして、保管しているデータの必要性をその根拠とあわせて確認するよう改めて求められています。法令の定めにより保存期間が定められている場合は、この限りではありません。
どのくらいの期間で消せばよいという基準はありますか。
法令が保存期間を定めている場合は、その期間が基準になります。定めがない場合に一律の年数は示されていません。利用目的が達成されて保有する合理的な理由がなくなった場合などに、遅滞なく消去するよう努めることが求められています。実務上は、データの種類ごとに自社で期間を決め、その根拠を記録に残す形になります。年数は制度改正で変わるため、所管する官庁の公表資料で都度確認してください。
消してしまうと、過去にさかのぼった分析ができなくなりませんか。
個人を特定できる項目（氏名・住所・連絡先など）と、集計に使う項目（金額・数量・区分）を分けて考えます。特定できる項目を落として集計用の履歴だけを残せば、分析を続けられる場合があります。ただし、どこまで落とせば個人を特定できなくなるかの判断は難しく、残す項目を決める段階で法務部門と確認することをおすすめします。
クラウドサービス上に置いた個人データはどう消せばよいですか。
本記事では自社が保有しているデータの判断を扱っており、委託先での具体的な消去手順までは扱いません。ただし取り扱いを委託している場合も委託先を監督する責任は委託元に残るため、保管の必要性を確認する対象からは外れません。そのうえで、2026年10月7日の注意喚起の別紙には、クラウドサービスのサーバ上に保管された個人データを消去する際に、提供事業者が提供する方法や暗号化消去など、容易に復元できない手段を採用することが手法の例として挙げられています。削除操作をしたつもりで復元可能な状態が残っていないかは、提供事業者の資料で確認してください。
まとめ
漏えいしたときに何人分が対象になりうるかの上限は、守り方ではなく持っている量で決まります。個人情報保護委員会が2026年10月7日の注意喚起で「不要となった個人データの消去」を独立した項目に置いたのは、消えていないデータが事案を深刻化させる例に実際に接しているためです。退会済みの顧客、終わった施策の応募者リスト、配信停止を申し出たアドレス、検証用に複製した本番データ、退職者の情報——これらが残るのは技術の問題ではなく、消す判断をする人が決まっていないからです。
判断そのものは2つの質問で足ります。まだ使う予定があるか。法令などで保存期間が定められているか。両方「いいえ」なら消す側です。ただし削除から始めるのではなく、まず「もう動いていない行が何件あるか」を数えてください。数字になった時点で、保留し続けるという選択がとりにくくなります。そして量が減った分だけ、BIの集計もAIに読ませたときの答えも、実態に近づきます。