パーク24の発表によると、9月25日にタイムズモビリティのシステムで不正アクセスが検知されました。9月28日の第2報では、漏えいしたアカウントが約660万件にのぼると公表されています。対象は、タイムズカーの会員と退会済みの人(入会の手続きが完了していない人を含む)、そして法人向けの「タイムズビジネスサービス」の会員と退会済みの人です。

9月29日の第3報では、本人確認書類の画像が漏えいしたアカウントは約160万件と発表されました。画像の種類は、運転免許証、現住所を確認する書類(公共料金の請求書など)、学生証(学生プランの場合)、家族を確認する書類(家族プランの場合)です。

また共同通信によると、9月下旬の時点でパーク24は、現在の会員と、2019年9月以降に退会した人の情報を持っていました。

経理・総務の立場で注目したいのは2点です。1つは、共同通信の報道にある「退会から7年」という保存期間の設定です。これがPOINT 02〜05の「何を何年持つか」の話につながります。もう1つは、法人会員の所属部署名が含まれていることです。こちらはPOINT 06で扱います。

「法人税法で7年」の中身は、法人税法施行規則59条に書かれています。青色申告をしている法人は、次の帳簿書類を7年間保存しなければなりません。

3号に並んでいるのは、取引そのものを証明する書類です。本人確認書類や運転免許証の画像は、この列挙には出てきません。共同通信の報道でも、画像については取り決めがなく、独自の判断で保存していたとされています。

一方で、取引の相手の名前には税法上の根拠があります。青色申告法人の帳簿に書く事項を定めた施行規則の別表二十四は、売上について次のように定めています。

つまり、利用者の氏名が売上の記録として7年残ることには、法人税法上の根拠があります。契約書に住所が書かれていれば、その契約書も3号の取引の書類として7年保存の対象です。ただし、生年月日や本人確認書類の画像は、59条の列挙にも別表二十四の記載事項にも出てきません。

もう1つ、経理の実務で押さえておきたいのが7年の数え始め(起算日)です。59条2項は、帳簿は閉鎖した日、書類は作成・受け取った日が属する事業年度の終了日の翌日から2か月を経過した日から数えると定めています(申告期限を延長している法人は、その月数を加えます)。

法人税法の7年は、取引があった事業年度ごとに数えるルールです。「退会から何年」という数え方は、法人税法の条文にはありません。

なお、青色申告でない法人も、施行規則67条で帳簿と同じ種類の書類を7年保存します。また、欠損金の繰越控除を受ける法人は、欠損金が生じた事業年度の帳簿書類を10年保存します(26条の3)。

では、免許証の情報を持つこと自体に根拠はないのか。あります。ただしそれは税法ではなく、車を貸す事業のルールです。

自家用自動車を業として有償で貸し渡すには、道路運送法80条の許可が必要です。国土交通省の通達「貸渡人を自動車の使用者として行う自家用自動車の貸渡し(レンタカー)の取扱いについて」は、会員制で車を貸す形を「レンタカー型カーシェアリング」と呼び、レンタカーと同じ許可の枠組みで扱っています。

この通達(令和4年5月31日の改正版)は、貸渡しの記録である「貸渡簿」を備え、貸渡しの終了日から2年間保存することを求めています。貸渡簿に書く事項は次のとおりです。

カーシェアの事業者が運転者の免許証の番号や種類を記録することは、この通達で求められています。ここでも、求められているのは番号などの記録で、免許証の画像を保存することまでは書かれていません。保存期間も2年です。

本人確認の記録を残すよう定めた法律は、ほかにもあります。ただし、どれも対象の取引や事業者が決まっています。「本人確認をしたから何年」と一律に決まるわけではありません。

保存の義務とは反対に、消すことを求めるルールもあります。個人情報保護法22条です。

「努めなければならない」という書き方で、努力義務と呼ばれる規定です。どんなときが「利用する必要がなくなったとき」にあたるのかは、個人情報保護委員会のガイドライン(通則編)が説明しています。

ここが、POINT 02・03とつながる部分です。帳簿のように法令で保存期間が決まっている記録や、貸渡簿のように国の通達で保存が求められている記録は、その期間は残します。一方、法令で期間が決まっていない情報は、使う目的を果たしたら消すよう努める。本人確認書類の画像をどちらに分類するかが、保存期間を決めるときの分かれ目になります。

共同通信も今回の件で、画像の長期保存と、個人情報保護法の消去のルールとの関係を取り上げています。「念のため残しておく」データは、漏えいしたときの被害をそのまま大きくします。保存期間を決めずに持ち続けている情報がないかは、どの会社にとっても確認する価値があります。

なお、マイナンバー(個人番号)は、この努力義務よりも厳しいルールで管理します。次のPOINT 05で取り上げます。

経理・総務の手元にも、本人確認書類は意外と多くあります。なかでも量が多いのは、給与や報酬を支払うために集めたマイナンバー(個人番号)と、そのときに受け取った本人確認書類のコピーです。ほかにも、社用車を運転する社員の免許証のコピー、カーシェアやレンタカーの法人契約で登録した社員の情報などがあります。

マイナンバーには、個人情報保護法より厳しい番号法のルールがかかります。番号法20条は、法律で決められた場合を除き、他人の個人番号を含む情報を「収集し、又は保管してはならない」と定めています。

個人情報保護法22条が「努めなければならない」だったのに対し、マイナンバーは、使う必要がなくなり保存期間も過ぎたら、廃棄・削除する義務です。在籍中の社員の番号は、毎年の源泉徴収や社会保険の手続きに使うため持ち続けられますが、退職した社員や取引の終わった支払先の番号は、保存期間を過ぎたら残しておく理由がありません。

マイナンバーも免許証のコピーも、次の順番で点検しておくと、保存期間の決まりを社内で説明できるようになります。

帳簿や取引の書類は、法人税法で7年(株式会社は会社法で10年)保存する記録です。個人情報を減らす見直しと、税法の保存義務は、分けて考えます。法人の帳簿・取引の書類の年数はPOINT 02のとおりです。個人事業主の方は、書類ごとの保存期間の目安を当サイトのツールで調べられます。

パーク24の発表では、漏えいした情報に「法人会員様の所属部署名」が含まれています(項目は対象者によって異なります)。法人向けのタイムズビジネスサービスを使っていた会社は、社員の氏名やメールアドレスとあわせて、部署名が外部に出た可能性を前提に備えます。パーク24は、同社を装ったメール・ショートメッセージ・電話に注意するよう呼びかけています。

本人確認書類の漏えいの案内を受けた人は、信用情報機関に「本人申告」を出すことを検討できます。本人確認書類の紛失などのときに、不正な申し込みへの注意を加盟する金融機関などに促す手続きです。信用情報機関は次の3つです。