タイムズカー、免許証の画像を「持たない」方式に 退会後も7年保管していた画像を10月末までに全削除 約160万件流出受け

パーク24は2026年10月16日、グループ会社のタイムズモビリティが運営するカーシェアリング「タイムズカー」で、会員登録のときに出してもらった運転免許証などの本人確認書類の画像を、登録が終わったら持たないよう社内ルールを変えると発表した。今持っている画像も、本人からの申し出がなくても、10月末までにすべて消す。9月に起きた不正アクセスで、こうした画像が大量に流出したことを受けた対応だ。

何が変わるのか

パーク24によると、これまでは会員登録のときの本人確認に加え、不正な利用が疑われるときの対応や問い合わせへの対応などに使うため、本人確認書類の画像を、会員でいる間と、退会してから7年間保管していた。消すのは、社内ルールで要らなくなったものと、本人から求められたものだけだった。

今回、画像を持ち続けることの危険と管理のあり方を考え直し、次のように改める。

9月に何があったのか

パーク24によると、2026年9月25日9時07分、タイムズカーのWebのシステムへの外からの不正なアクセスを見つけた。翌26日7時25分までに、入り込まれた道をふさいだ。

調べたところ、会員の情報が第三者に取られていた。流出したアカウントは約660万件で、今の会員だけでなく、退会した人や、入会を申し込んだが手続きが終わらなかった人も含まれる。中身は人によって違い、名前、住所、生年月日、電話番号、メールアドレス、運転免許の情報などだ。

このうち約160万件では、本人確認書類の画像も流出していた。運転免許証の画像のほか、公共料金の請求書など今の住所を確かめる書類、学生プランの学生証、家族プランで家族を確かめる書類の画像だ。クレジットカードの情報は流出していない。パスワードは元に戻せない形で保管していたという。

なぜ「持たない」が大事なのか

会社が本人確認の画像を長く持っていたのには、理由があった。不正な利用が疑われたときに、登録した人が本当に本人だったかを後から確かめるためだ。ただ、持ち続ける限り、漏れる危険も抱え続ける。今回の流出には、退会した人の画像も含まれていた。サービスをやめた人にとっては、使っていないサービスから自分の免許証の画像が漏れたことになる。

個人情報保護法は、会社などに、個人データを使う必要がなくなったときは遅滞なく消すよう努めることを求めている(第22条)。とはいえ、「いつまで必要か」の線引きは会社に任されている。タイムズカーは今回、その線を「登録の確認が終わるまで」に大きく引き直した。

ネットのサービスに登録するときに、免許証などの写真を送る場面は、もう珍しくない。送った画像がその後どうなるのか、気にしたことがある人は少ないだろう。今回の件は、「持たなければ漏れない」という、情報を守るうえでいちばん確かな方法を、改めて示した形だ。

かんたんに言うと

お店が会員カードを作るときに見せてもらった免許証のコピーを、退会した人の分まで7年間とっておいたら、それが盗まれてしまった。そこで、これからはコピーは確認が済んだらすぐ捨てることにし、今あるコピーも月末までにすべて処分する、という話だ。

日本ではどうなるのか

タイムズカーの会員や元会員の本人確認書類の画像は、10月末までに消される。本人が手続きをする必要はない。

会員ごとに何が流出したかの詳しい案内は、当初は9月29日から2週間ほどで知らせるとしていたが、外部の専門機関の調べに時間がかかり、10月23日(金)に変わった。パーク24は、会社を装ったメールやSMS、電話に注意し、身に覚えのない連絡のリンクや添付ファイルを開いたり、パスワードやカードの情報を入れたりしないよう求めている。会社がこれらを聞くことはない。

問い合わせは、会員向けの窓口(0120-25-8924、24時間)と、タイムズカーの問い合わせフォームで受け付けている。

まとめ

タイムズカーは、9月の不正アクセスで約160万アカウント分の免許証などの画像が流出したことを受け、本人確認書類の画像を登録の確認後は持たないルールに変え、今ある画像も10月末までにすべて消す。会員ごとの詳しい案内は10月23日の予定だ。