「データを持つほど強い」は本当か。経営者が見直すべき個人情報の持ち方（CEOブログ）

最近、企業の情報漏えいが珍しくなくなりました。

2026年9月には、タイムズカーで約160万アカウント分の運転免許証など本人確認書類の画像が漏えいしました。

この件で私が気になったのは、漏えいそのものより、その後のパーク24の対応です。

従来は本人確認画像を会員期間中に加え、退会後7年間保有していましたが、今後は原則として会員登録完了後に保有しない方式へ変更しました。

これは単なるセキュリティ強化ではありません。

「どう守るか」の前に、「そもそも持つ必要があるのか」を見直した。

経営者にとって、この発想はこれからかなり重要になると思います。

データは、持っているだけでは資産にならない

企業では長く「データは資産」と言われてきました。

顧客情報を蓄積すれば、マーケティングにも商品開発にもAIにも使える。そのため「今は使わなくても、将来使うかもしれない」と保存してきた企業も多いと思います。

しかし、本当にすべてのデータが資産でしょうか。

例えば本人確認が終わった後の免許証画像。

その画像自体が新たな売上を生むことはほとんどありません。

一方で、保有している限り、アクセス管理、委託先管理、法令対応、削除対応、サイバー対策、漏えい時の調査や顧客対応が必要になります。

つまりデータには、利用価値だけでなく保有コストと事故時のリスクがあります。

ストレージ料金が安いために見えにくかっただけで、経営的には無償の資産ではありません。

企業が欲しいのは「個人情報」そのものではない

カーシェア会社が欲しいのは、免許証画像ではありません。

欲しいのは、

「この人が本人であり、有効な運転資格を持っている」

という確認です。

銀行も、顧客の顔写真を集めたいわけではなく、本人確認をしたい。

年齢確認が必要なサービスも、生年月日そのものではなく、「一定年齢以上である」と分かれば足りる場合があります。

一方で企業が本当に残したいのは、

どの商品を使ったか、どの料金プランなら継続するか、何が解約につながるか、といった顧客についての知識です。

だから今後は、

個人を直接特定する情報はなるべく薄くし、顧客理解は深くする

という方向が強くなると思います。

AI時代は「使う」と「保存する」を分ける

AIが普及すると、企業はさらに多くのデータを集めたくなります。

ユーザーのことを知っているほど、AIは便利になるからです。

ただ、「AIがその瞬間に情報を使うこと」と、「企業がその情報を何年も保存すること」は同じではありません。

AppleのPrivate Cloud Computeは、端末内で処理できないAI処理をクラウドへ送っても、ユーザーデータをその処理のためだけに使い、処理後は保持しない考え方を採っています。

つまり、

利用するが、資産として抱え込まない。

この発想は、AIサービスだけでなく一般企業のデータ戦略にも使えると思います。

さらにAIでは、取得方法に問題のあるデータを学習に使った場合、そのデータだけを削除すれば済まない可能性があります。

米国FTCは過去に、不適切に取得されたデータから作られた顔認識モデルやアルゴリズムそのものの削除を求めています。

AIを企業資産として育てるほど、

「どれだけデータを持っているか」より、「どこから取得し、何に使ったかを説明できるか」

の方が大切になっていくでしょう。

経営会議で「データ棚卸し」をしてもいい

私は、個人情報管理を情報システム部門や法務部門だけの仕事にしない方がいいと思っています。

主要な個人データについて、

• なぜ取得しているのか
• 今も実際に使っているのか
• 何年間必要なのか
• 外部認証で代替できないか
• 個人を特定しない形でも目的を達成できないか
• 漏えいした場合の影響はどの程度か

を一度確認する。

すると、

「昔から保存しているので、今も保存している」

だけのデータが意外に多く見つかるかもしれません。

設備や不動産なら、使っていない資産は見直します。

データだけ「保存費用が安いから」という理由で持ち続ける必要はありません。

「持たない会社」ではなく、「持つものを選べる会社」へ

もちろん、企業がデータを持たなくてよいという話ではありません。

購買履歴、利用履歴、顧客行動など、自社にしか蓄積できないデータは大きな競争力になります。

だから必要なのは、データ削減ではなくデータの選別です。

本人確認が終われば不要になるもの。

一定期間だけ必要なもの。

統計化すればよいもの。

長く蓄積することで競争力になるもの。

この区別を経営としてできるかどうか。

今後は、データを大量に持っている会社よりも、

危険な個人情報は必要最小限しか持っていない。それでも顧客のことは競合より深く理解している。

そんな会社の方が強い場面が増えてくるように思います。

データ戦略を考えるとき、「次は何を集めるか」だけではなく、

「今持っているデータのうち、本当は何を持たなくてもよいのか」

を一度考えてみてもよいのではないでしょうか。