春が大掃除の季節なら、夏はガレージセールの季節だ。折りたたみ式のテーブルを引っ張り出し、ガレージや物置、屋根裏、地下室を引っかき回して、自分がどれほど多くの不要なものをため込んできたかを思い知る時期である。壊れたランニングマシン。10年前のパーティーグッズ。もう誰も持っていないデバイスのケーブルが入った箱。
そのほとんどが、同じ理由でそこにある。永遠に取っておくつもりだったわけではなく、「後で処理しよう」と自分に言い聞かせたからだ。
企業も、個人情報に対してこれと同じ心理に陥っている。個人情報はコンピュータシステム全体に蓄積され、その有用性が終わった後もずっと放置されることが多い。
しかし、不要なデータを保管することは、壊れたランニングマシンを放置することとは異なる。その不要なデータは、実際にコストを発生させ、法的なトラブルに巻き込まれるリスクを伴うのだ。
なぜ企業は個人データの保持期間を把握していないのか
プライバシーの専門家が企業のリーダーに対し、顧客データをどのくらいの期間保持しているか尋ねると、一般的な回答は「よくわからない」というものだ。この回答は、2つの重要な問題を示している。
• 公式なポリシーがない。 企業がデータの保持期間を正式に決定していない。
• ポリシーが守られていない。 これは金融サービスや医療など規制対象の業界でしばしば起こる。ルールは存在するが、すべてのデータがどこに保存されているかを明確に示すマップがなければ、実施が難しいためだ。
データ保持計画のない企業において、徹底的なデータ棚卸し（インベントリ）を行うと、長年にわたってシステム全体に蓄積されてきた個人情報が発見されることが多い。このような蓄積は、新しいシステムを導入したり、ベンダーを招き入れたり、データベースを移行したりする過程で、自然に発生する。
こうした受動的な蓄積により、どのようなデータを、どのくらいの期間、なぜ保持するのかといった重要な疑問は、外部の出来事によって経営陣がその問題に向き合わざるを得なくなるまで、見過ごされがちである。
データ保持の法的側面
保有するデータを最小限に抑えることは、もはや単なる推奨事項ではなく要件である。今日のプライバシー法には、収集したデータをどのくらいの期間保持できるかを規定する条項が含まれているためだ。
データの最小化は長年にわたりプライバシーの基本原則であったが、2018年に施行された欧州連合（EU）の一般データ保護規則（GDPR）によって法的義務へと移行した。GDPRは、企業に対して特定の目的に関連する個人情報のみを保持し、その目的が達成された後は削除することを義務付けている。2020年には、カリフォルニア州がカリフォルニア州消費者プライバシー法（CCPA）を施行し、米国の事業者にも同様の基準を適用した。
現在、米国の多くの州が、組織に対してデータ保持期間の正当性を説明することを求めている。その根底にあるメッセージは、なぜまだそのデータを保有しているのかを説明できないなら、保有すべきではないということだ。
不要なデータを保管することがビジネスにもたらすコスト
データ保持は法務や技術の問題としてのみ捉えられがちだが、実は財務面で大きな影響を及ぼす業務上の問題でもある。不要なデータが保管されていると、そのコストは貸借対照表（バランスシート）に跳ね返ってくる。
1. ストレージ費用とライセンス料
企業は通常、レコード数、ユーザー数、または使用容量に基づいて、ソフトウェアやストレージの利用料を支払う。不要になったファイルを保持し続けると、請求サイクルごとにその分の費用を支払うことになる。これらの費用は見過ごされがちである。なぜなら、その背景にある不要なデータを誰も特定していないからだ。
登録件数ごとに課金される顧客連絡先管理システムを例に挙げてみよう。何年も活動のない顧客のファイルが蓄積されている可能性が高く、使用していないデータのために毎月の経費が押し上げられている。
2. プライバシー権利要求への対応
消費者が自分の個人情報へのアクセスや削除を要求した場合、担当者は企業が運用するすべてのシステムからその人に関連するレコードを探し出さなければならない。
企業が保有するデータ（不要になったデータを含む）が多ければ多いほど、このプロセスにかかる時間とリソースは増大する。データを放置して蓄積させてきた企業は、こうした要求への対応に、本来必要であるはずのない多大なコストがかかることに気づくことになる。
3. 社内のデータ管理
肥大化したデータ群を扱うには、スタッフの継続的な労力が必要になる。IT部門は、現時点で何の役にも立たない古いファイルのバックアップ、セキュリティ確保、移行に忙殺される。本来ならとうに削除されているべきファイルの取り扱い、バックアップ、保護のために、熟練したITスタッフを雇っているようなものであり、リソースの非生産的な浪費となる。
4. ベンダー関係
企業がデータを長期間保持しすぎると、その情報は、業務を委託している外部パートナーのシステム内にも残り続けることが多い。契約において、自社がデータを削除する際にこれらのベンダーにもデータを消去することを明示的に求めていなければ、自社の環境だけでなく、ベンダーの環境でデータを保持することに伴うコストとリスクの責任を負い続けることになる。
これらの日常的な出費に加え、古いファイルを保持し続けることは、セキュリティインシデントへの対応コストや、プライバシールール違反と判断された場合の政府への制裁金の額を増大させる。端的に言えば、不要になったデータを保持し続けることは、実際に問題が発生するはるか前から、財務的な負担を生み出しているのである。
目指すべきは「空のガレージ」ではない
だからといって、企業が見つけられるすべてのデータを削除すべきだというわけではない。中には保持しなければならないデータもあり、それには正当な理由がある。例えば以下の通りだ。
• 金融規制により、取引記録の保持期間が指定されていることが多い。
• 一部の事業運営において、製品やサービスを提供するためにデータが必要となる。
• 係争中または進行中の訴訟により、特定の記録の保存が求められる場合がある。
• 人事や雇用に関する法律が、それぞれ独自の保持要件を課している。
これらは、データ保持の正当な業務目的のほんの一例にすぎない。ただし、その違いを見極めるには、システム内にあるものを体系的に棚卸しする必要がある。
ガレージの中身を把握する
データの棚卸しを行うことは、デジタルの屋根裏部屋を片付ける有効な手段となる。自社が保有するあらゆる個人情報の完全なマップを作成し、それが正確にどこに存在し、なぜ保有しているのかを明確にすることを目指そう。このプロセスを経ることで、法的またはビジネス上の理由で保持しなければならないファイルと、単にホコリをかぶっているだけのファイルとの違いを、瞬時に見極められるようになる。
