データリテンション でーたりてんしょん
データ保持保存期間コンプライアンス個人情報保護アーカイブ法的義務
データリテンションについて教えて
簡単に言うとこんな感じ！
「どのデータを、どれくらいの期間、どこに保管しておくか」を決めるルールのことだよ！法律で「○年は消しちゃダメ」って義務があるデータもあるから、適当に消すと大問題になることもあるんだ。
データリテンションとは
データリテンション（Data Retention）とは、組織が保有するデータを「いつまで・どのように・どこに保持するか」を定めた方針・仕組みのことです。日本語ではデータ保持やデータ保存期間管理とも呼ばれます。
企業が扱う情報には、法律によって一定期間の保存が義務付けられているものが多くあります。たとえば税務関連の書類は7年間、電子メールも一定期間は証跡として残す義務がある場合があります。逆に、個人情報保護法やGDPRなどのプライバシー規制では「必要以上に長く保持してはいけない」という制約もあります。
データリテンションはこの「消してはいけない期間」と「消さなければいけないタイミング」の両方をコントロールするための仕組みです。システム発注や運用設計の段階でこのポリシーを決めておかないと、後から対応コストが膨らんだり、法的リスクを抱えたりすることになります。
保持期間の基本ルール
データの種類によって、保存すべき期間や根拠となる法律が異なります。
| データ種別 | 主な根拠法令 | 保存期間の目安 |
|---|---|---|
| 会計帳簿・財務書類 | 会社法・法人税法 | 7〜10年 |
| 電子取引データ（請求書等） | 電子帳簿保存法 | 7年 |
| 雇用・労務関係書類 | 労働基準法 | 3〜5年 |
| 個人情報（顧客データ） | 個人情報保護法 | 目的達成後は速やかに削除 |
| メール・チャットログ | 内部規定・業界規制 | 1〜5年（業界による） |
| セキュリティログ | ISMS・業界規制 | 1〜3年 |
「保持すべき」vs「消すべき」のジレンマ
法的な保存義務を守りながら、プライバシー規制の「最小化原則（必要以上に持たない）」も守る必要があります。このバランスを取るのがデータリテンションポリシーの核心です。
【保持義務の軸】 【削除義務の軸】
法律・規制で プライバシー規制・
"消すな"と言われる GDPRで"長く持つな"
↓ ↓
保存期間の 保存期間の
下限（minimum） 上限（maximum）
↘ ↙
この範囲内で保持する
← データリテンション →3つの管理フェーズ
データリテンションは「保管→アーカイブ→削除」の3フェーズで管理します。
- アクティブ保管：業務で頻繁にアクセスするデータ。高速ストレージに置く
- アーカイブ：アクセス頻度は低いが法的に保持必要。低コストのコールドストレージへ移す
- 安全な削除（サニタイズ）：保存期限が過ぎたデータを、復元できない形で消去する
歴史と背景
- 1990年代以前：紙文書の保存期間は商法・税法で定められていたが、電子データは対象外だった
- 2000年代前半：米国のエンロン事件（2001年）をきっかけに制定されたSOX法（サーベンス・オクスリー法、2002年）が電子記録の保存義務を明確化。日本でも金融商品取引法（J-SOX）に波及
- 2005年頃〜：電子メールや業務データの爆発的増加により、「何でも保存」では管理コストが膨大になることが問題化。削除ポリシーの重要性が認識される
- 2018年：EUのGDPR（一般データ保護規則）施行。「保存目的が終わったデータは削除すること」が法的義務となり、世界中の企業がデータリテンションポリシーの整備を迫られる
- 2022年：日本の改正個人情報保護法施行。保有個人データの利用停止・削除請求権が強化され、国内企業でも保存期間管理が急務に
- 2023年〜：電子帳簿保存法の義務化により、電子取引データの適切な保存と期間管理が中小企業にも必須となる
関連規制・技術との関係
データリテンションは単独では機能しません。関連する規制・技術と組み合わせて運用します。
データリテンション vs バックアップの違い
よく混同されますが、目的が異なります。
| 観点 | データリテンション | バックアップ |
|---|---|---|
| 目的 | 法的義務・コンプライアンス対応 | 障害時の復旧 |
| 削除のタイミング | 保存期限到来後に削除 | 最新世代に更新されたら古いものを削除 |
| アクセス頻度 | ほぼゼロ（証跡目的） | 障害時に参照 |
| 管理の主体 | 法務・コンプライアンス部門 | IT部門 |
| 例 | 7年間の請求書データ | 昨日の業務データのスナップショット |
関連する規格・RFC
| 規格・RFC番号 | 内容 |
|---|---|
| ISO/IEC 27001 | 情報セキュリティ管理（アクセス制御・保存管理を含む） |
| GDPR 第5条 | 「保存期間の制限」原則。目的達成後のデータ削除義務 |
| 電子帳簿保存法 | 日本国内での電子取引データの保存義務（2022年義務化） |
| NIST SP 800-53 | 連邦情報システム向けセキュリティ制御。記録保持（AU-11）を規定 |
| DoD 5220.22-M | 米国国防省のデータ消去基準。安全な削除の参考規格 |