結論：データ保有の「資産」から「負債」へのパラダイムシフト
タイムズカーが実施した「本人確認書類画像の即時消去」への転換は、企業が抱えるデータガバナンスのあり方が根本的に変わったことを示しています。これまでは「将来の不正調査や利便性のため」にデータを蓄積することが推奨されてきましたが、大規模な漏洩リスクが顕在化した現在、不必要な個人情報の保有は「経営上の負債」となります。これからのビジネス実装では、検証の『事実』のみを記録し、生データを残さないアーキテクチャへの移行が不可欠です。
タイムズカーの事例に見るデータガバナンスの構造的転換
パーク24が運営する「タイムズカー」において、約160万件の運転免許証画像が漏洩した事案を受け、同社は保有ルールの抜本的な見直しを行いました。従来、同社は退会後も含め最大7年間画像を保有していましたが、これを「確認後、即時消去」に改め、2026年10月末までに既存のバックアップを含む全画像を削除することを決定しました。
なぜ「長期保有」が標準だったのか
多くのB2Cサービスにおいて、本人確認書類の長期保有は以下の3点を目的としていました。
- 不正利用や事故発生時の事後調査
- ユーザーからの問い合わせに対する本人確認の確実性向上
- 再登録時の重複チェックや不正ユーザーの排除
しかし、今回の事案は、これらの運用上のメリットを、情報漏洩時の損害賠償リスクやブランド毀損コストが大きく上回ることを証明しました。技術構造的には、中央集権的なデータベースに「物理的な画像データ」を蓄積し続けること自体のリスクを、経営が再評価せざるを得なくなったと言えます。
実務における本人確認プロセスの再定義：課題と解決策
企業がタイムズカーのような「即時消去モデル」へ移行する際、現場では「証跡管理」と「リスク低減」のバランスが課題となります。以下に、実務担当者が検討すべき解決策を提示します。
課題：画像を消去した後の「本人確認の証跡」をどう担保するか
画像そのものを消去しても、監査や法規制（犯罪収益移転防止法等）への対応は必要です。解決策として、以下のステップを推奨します。
- 検証結果のメタデータ化：氏名、生年月日、有効期限などの「テキストデータ」と、検証が完了したという「ステータス」のみを暗号化して保存する。
- ハッシュ値による同一性担保：画像のハッシュ値のみを記録することで、将来的に同一人物が同じ画像で登録を試みた際の検知を可能にしつつ、画像そのものの復元は不可能な状態にする。
- eKYC（外部認証基盤）の活用：自社サーバーに画像を置かず、専門の認証事業者のAPIを通じて「検証済み」のフラグのみを受け取る構成に切り替える。
データ保有方針の比較：長期保有 vs. 即時消去
企業が選択すべき方針について、その効果と懸念点を整理しました。
| 比較項目 | 従来の長期保有モデル | 即時消去（エフェメラル）モデル |
|---|---|---|
| セキュリティリスク | 極めて高い（漏洩時の影響が甚大） | 最小（漏洩対象が存在しない） |
| インフラコスト | ストレージ容量と管理コストが増大 | ストレージ負荷が低減 |
| 不正調査の容易性 | 高い（過去の画像を遡れる） | 限定的（ログやメタデータに依存） |
| コンプライアンス | 各国のプライバシー法（GDPR等）への対応が複雑 | 「データ最小化」の原則に合致 |
よくある質問
Q1. 法律で本人確認書類の保存が義務付けられている場合はどうすべきですか？
犯罪収益移転防止法などの適用を受ける事業の場合、一定期間の書類保存が義務付けられています。この場合、即時消去はできませんが、「インターネットから隔離されたオフラインストレージへの移行」や「アクセス権限の厳格な分離」を行い、今回のようなWebシステム経由の不正アクセスで漏洩しない構造を構築することが解決策となります。
Q2. 画像を消去すると、再入会時の不正検知ができなくなるのではありませんか？
画像そのものがなくても、氏名・生年月日・住所の組み合わせや、免許証番号のハッシュ値を照合することで、過去のブラックリストとの照合は可能です。生データを保持し続けることのリスクと、検知精度のトレードオフを再設計する必要があります。
Q3. 即時消去への移行コストはどの程度見込むべきですか？
既存システムのデータベース構造の変更、削除バッチの実装、および利用規約の改定が必要です。しかし、万が一100万件規模の漏洩が発生した際の事後対応コスト（1件数千円の謝罪費用やシステム改修、ブランド毀損）と比較すれば、予防的措置としてのコストは十分に正当化されると考えられます。