企業が顧客の個人情報をできるだけ多く収集し、マーケティングに活用するという従来の経営手法が、大きな転換点を迎えています。
背景にあるのは、企業に対する不正アクセスの増加と、個人情報漏洩による経営リスクの拡大です。
これまでは、顧客の氏名、住所、電話番号、生年月日、購買履歴などを蓄積することが、企業の競争力につながると考えられてきました。
しかし、情報を保有すること自体が経営上の負担となり、場合によっては企業の存続を脅かす時代になっています。
そばチェーンの「ゆで太郎」が会員制度の廃止を決めたことは、こうした変化を象徴する出来事です。
税理士・FPの視点からも、個人情報管理を単なる情報システムの問題ではなく、企業経営、財務管理、内部統制、顧客との信頼関係に直結する課題として考える必要があります。
ゆで太郎が選択した会員制度の廃止
そばチェーン大手のゆで太郎システムは、誕生月にクーポンを送付する「バースデークラブ」の廃止を決定しました。
2026年10月28日に終了を告知し、12月分のクーポン発送を最後にサービスを終了する方針です。
これに伴い、会員約4,000人分の氏名、住所、電話番号などの個人情報を消去します。
注目すべき点は、同社自身が情報漏洩の被害を受けたわけではないことです。
他社で相次ぐ不正アクセスや個人情報漏洩を踏まえ、情報を保有し続けるリスクが、会員向けサービスのメリットを上回ると判断しました。
企業は一般に、情報漏洩を防ぐためにセキュリティー対策を強化します。
しかし、ゆで太郎は、そもそも保護すべき個人情報を保有しないという選択をしました。
これは、情報管理の発想を根本から変える経営判断といえます。
個人情報の大量保有が経営リスクになる時代
個人情報保護委員会に関する報道によると、2026年に漏洩した個人情報は延べ約2億6,000万人分に達しています。
この数字は延べ件数であり、同じ人の情報が複数回含まれる可能性があるため、実際に被害を受けた人数を示すものではありません。
それでも、個人情報漏洩が社会全体に広がる深刻な問題であることは明らかです。
2010年代以降、スマートフォンアプリの普及によって、多くの企業が顧客情報を収集するようになりました。
会員登録、ポイント制度、誕生日クーポン、購入履歴に応じた広告配信などが代表例です。
企業にとって個人情報は、売上拡大や顧客の囲い込みに役立つ重要な経営資源でした。
一方で、情報を大量に保有するほど、漏洩時の被害範囲も大きくなります。
情報漏洩が発生すれば、原因調査、システム復旧、顧客への通知、問い合わせ対応、再発防止策の実施など、多額の費用が発生する可能性があります。
さらに、顧客離れや企業ブランドの毀損によって、将来の売上にも影響します。
個人情報は、保有するだけで継続的な管理費用と潜在的な損失リスクを伴う経営資源になっているのです。
焼肉きんぐも個人情報を必要としない予約方式へ
外食大手の物語コーポレーションも、個人情報の収集方法を見直しています。
同社が運営する「焼肉きんぐ」では、2026年10月にアプリ利用者の個人情報1,000万件超が流出したことを受け、予約システムの変更を決めました。
2027年上半期にも、名前や電話番号を入力しなくても来店予約ができる仕組みを導入する方針です。
従来は、予約の順番通知やクーポン配信などのために、顧客の電話番号や生年月日などを保有していました。
しかし、予約サービスを提供するために、本当にそれだけの情報が必要なのかという問題が浮上しました。
予約番号や一時的な識別情報などを活用すれば、氏名や電話番号を恒常的に保存しなくてもサービスを提供できる可能性があります。
重要なのは、サービスの利便性を維持しながら、個人情報の取得と保存を最小限に抑えることです。
運転免許証画像の保存も見直しへ
個人情報の中でも、運転免許証などの本人確認書類は、特に慎重な管理が必要です。
レンタカーサービスの「ニコニコレンタカー」を展開するMICは、アプリを通じた運転免許証画像の事前登録機能を廃止しました。
保存済みの画像を削除し、利用日に店頭で免許証を確認する方式へ変更しています。
また、カーシェアサービス「タイムズカー」では、不正アクセスによって約146万人分の免許証画像が流出しました。
退会後も免許証画像を長期間保存していたことが問題視され、運営元のパーク24は確認後に即時削除する方針を示しています。
ここから得られる教訓は、本人確認が必要であることと、本人確認書類を長期間保存する必要があることは別問題だという点です。
法令上の保存義務がある情報は適切に保存しなければなりません。
しかし、保存義務がない情報まで、将来使うかもしれないという理由で保有し続けることには慎重であるべきです。
個人情報を持たないマーケティングへの転換
企業が個人情報を収集する大きな目的の一つは、マーケティングです。
顧客の年齢、性別、居住地、購買履歴などを分析し、商品やサービスを提案する手法が広がってきました。
しかし、技術の進歩によって、氏名や電話番号などを直接取得しなくても、顧客の傾向を把握できる可能性が高まっています。
例えば、顧客が保有するデジタルアイテムの種類や数量から、興味や関心を推定する方法があります。
また、人流データを分析することで、特定の地域や店舗を利用する顧客層の傾向を把握することもできます。
ただし、氏名を取得しなければ個人情報保護法の対象外になるというわけではありません。
位置情報や端末識別子、行動履歴なども、他の情報と容易に照合して個人を識別できる場合には個人情報に該当することがあります。
個人関連情報の第三者提供などにも、法令上の規律があります。
そのため、個人を直接識別しないマーケティングであっても、取得目的、本人同意の要否、データの利用範囲などを確認する必要があります。
中小企業ほど「持たない経営」が重要になる理由
大企業は、専門の情報システム部門を設置し、サイバーセキュリティー対策に多額の予算を投入できます。
一方、中小企業では、情報システム担当者が限られ、専門知識や予算の確保も容易ではありません。
AIの普及によって、不正アクセスの自動化や攻撃手法の高度化も懸念されています。
こうした環境では、すべての攻撃を防ぐことを前提に経営するのは現実的ではありません。
そこで重要になるのが、保有する情報そのものを減らす考え方です。
例えば、顧客への案内にメールアドレスだけが必要であれば、住所や電話番号まで取得する必要があるのかを検討します。
一度限りのサービス利用であれば、会員登録を必須とする必要があるのかを見直します。
退会した顧客の情報についても、法令上の保存義務や紛争対応などの必要性を確認したうえで、不要な情報を適切に削除することが考えられます。
情報を減らすことは、セキュリティー対策の負担軽減だけでなく、管理業務の効率化にもつながります。
情報漏洩による損失を財務面から考える
税理士・FPの視点から特に重要なのは、情報漏洩が企業財務に与える影響です。
情報漏洩による損失は、システム復旧費用だけではありません。
顧客対応費用、外部専門家への調査費用、弁護士費用、損害賠償、売上減少などが重なる可能性があります。
仮に、10万人分の個人情報が漏洩し、対象者全員に5,000円の見舞金を支払うとすれば、それだけで5億円の支出になります。
もちろん、見舞金の支払いはすべての情報漏洩事案で義務づけられるものではなく、実際の金額は被害内容や企業の対応方針などによって異なります。
しかし、資金余力の限られた中小企業にとって、突発的な多額の支出は資金繰りを圧迫する重大な要因になります。
また、会計上も、発生した費用の処理に加え、損失の発生可能性や金額の見積もりに応じて、引当金の計上や偶発債務の注記などを検討する場合があります。
情報漏洩リスクは、情報システム部門だけでなく、経理・財務部門や経営者が把握すべきリスクなのです。
個人情報保護法と保存義務の整理
個人情報を持たない経営を進める際には、法令上の保存義務との関係を整理する必要があります。
個人情報保護法では、利用目的の特定、適正な取得、安全管理措置などが求められています。
また、利用する必要がなくなった個人データについては、遅滞なく消去するよう努めなければならないとされています。
ただし、すべての情報を直ちに削除できるわけではありません。
例えば、税務関係の帳簿書類、会計証憑、契約関係書類、労務関係書類などには、それぞれ法令上の保存期間が定められている場合があります。
法人税関係の帳簿書類については、原則として7年間の保存が必要であり、一定の場合には10年間となります。
そのため、企業は情報を一律に削除するのではなく、保存義務のある情報と、それ以外の情報を区分して管理することが重要です。
さらに、保存期間が終了した情報についても、訴訟対応などの合理的な保存理由があるかを確認する必要があります。
情報を保有する目的と保存期間を明確にすることが、適切な個人情報管理の出発点になります。
経理・総務部門が取り組むべき情報管理の見直し
個人情報の削減は、情報システム部門だけでは実現できません。
経理、総務、人事、営業など、各部門が保有する情報を横断的に確認する必要があります。
まず、どの部門が、どのような個人情報を、何の目的で保有しているのかを把握します。
次に、業務上の必要性と法令上の保存義務を確認します。
そのうえで、不要な情報の削除、保存期間の設定、アクセス権限の制限、委託先の管理などを進めます。
特に注意したいのは、業務システムだけでなく、Excelファイル、メール添付資料、共有フォルダー、クラウドストレージなどに情報が分散しているケースです。
退職者の個人フォルダーや、利用を終了したシステムに情報が残されている場合もあります。
また、外部委託先が顧客情報を保有している場合には、委託契約や削除手順についても確認が必要です。
情報の所在を把握できなければ、適切な削除も安全管理もできません。
個人情報管理の見直しは、業務プロセス全体を点検する機会にもなります。
顧客の信頼を高める新しい経営戦略
これまで企業は、顧客情報を多く保有することで、きめ細かなサービスを提供しようとしてきました。
しかし、今後は必要以上の情報を求めないこと自体が、顧客にとっての安心感につながる可能性があります。
例えば、飲食店の予約に氏名や電話番号が不要であれば、利用者は個人情報漏洩を心配する機会を減らせます。
会員登録をせずにサービスを利用できれば、顧客の手続負担も軽くなります。
一方、個人情報を削減した結果、顧客サービスが大きく低下してしまえば、競争力を損なう可能性もあります。
したがって、企業に求められるのは、単純に情報収集をやめることではありません。
顧客に提供する価値を維持しながら、必要最小限の情報で事業を運営する仕組みを設計することです。
これは、経営資源の最適化という観点からも重要です。
結論
不正アクセスの増加によって、企業の個人情報管理は新しい段階に入りました。
これまでは、個人情報をいかに収集し、分析し、活用するかが競争力の源泉とされてきました。
しかし、今後は、どの情報を持たずに済ませるかという判断も、経営の重要な要素になります。
ゆで太郎の会員制度廃止や、焼肉きんぐの予約システム見直しは、情報を持たないことによって経営リスクを抑える新しい方向性を示しています。
もっとも、個人情報を削減すればサイバー攻撃そのものがなくなるわけではありません。
必要な情報の安全管理、システムの脆弱性対策、従業員教育、事故発生時の対応体制は引き続き不可欠です。
税理士・FPの立場からも、個人情報管理を企業の財務リスク、内部統制、事業継続、顧客の信頼に関わる重要課題として捉える必要があります。
特に中小企業では、限られた経営資源を有効活用するためにも、情報を取得する前に、その必要性を十分に検討することが大切です。
これからの企業経営では、個人情報を多く持つことよりも、必要な情報だけを適切に持つことが、持続的な競争力につながると考えられます。
参考
日本経済新聞 2026年11月6日 朝刊
「不正アクセス、個人情報『持たない』選択 ゆで太郎は会員制廃止」
個人情報の保護に関する法律
個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン」
国税庁「帳簿書類等の保存期間」