タイムズカーの個人情報漏えいから考える企業の報告・通知義務と免許証画像流出への対策

最終更新日

2026年10月2日

監修者

よつば総合法律事務所
辻 悠祐

2026年9月、パーク24グループのタイムズカーで、不正アクセスによる個人情報漏えいが公表されました。漏えいした情報の中には、運転免許証の画像も含まれます。

本稿では、事件の概要と公表時点の状況、企業の報告・通知義務、利用者ができる対策を弁護士の視点から解説します。

1. 事件の概要と現在の状況

パーク24の9月28日付発表によると、9月25日に不正アクセスを検知し、翌26日にアクセス経路などを遮断しました。漏えいしたアカウント数は約660万件で、タイムズカーやタイムズビジネスサービスの会員・退会者などが対象です。タイムズカーには、入会を完了していない申込者も含まれます。

漏えい項目には、氏名、住所、生年月日、連絡先、運転免許情報、本人確認書類情報などがあります。同社は、クレジットカード情報の漏えいはなく、パスワードは復元できない形式で保管していたと説明しています。9月28日の発表時点では、不特定多数への公開や本件に起因する不正利用も確認されていないとしています。

ただし、不正利用が確認されていないことと、今後も悪用されないことは別です。利用者としては、具体的な被害が出る前に予防策を検討することが大切です。

翌29日の第3報では、本人確認書類が漏えいしたアカウントは約160万件と公表されました。対象書類には、運転免許証、現住所確認書類、学生証、家族確認書類の画像が挙げられています。該当する会員への個別メール案内を同日から開始し、各人の漏えい内容の詳細は、約2週間を目処に改めて案内するとしています。

2. 個人情報保護委員会への報告義務

2.1 主な報告類型は4種類

個人情報保護法26条は、一定の個人データの漏えい等について、企業に個人情報保護委員会への報告を義務付けています。民間事業者の主な報告対象は、次の4類型です。

いずれも、実際の漏えい等だけでなく、そのおそれがある段階も対象です。本件は、公表内容から、不正アクセスによる漏えいとして報告対象に当たると考えられます。実際に金銭被害が発生するまで報告を待ってよいわけではありません。

2.2 速報と確報の期限

報告対象の事態を知った企業は、速やかに速報を行う必要があり、目安は概ね3～5日以内です。

その後の確報は原則30日以内、不正目的の行為による漏えい等では60日以内です。この60日は確報の期限であり、速報も60日待ってよいという意味ではありません。

3. 情報が漏えいした本人への通知義務

報告対象となる事態では、原則として、情報が漏えいした本人への通知も必要です。個人情報保護法26条2項に基づき、企業は状況に応じて速やかに通知しなければなりません。

通知では、事案の概要、漏えいした情報の項目、原因、二次被害やそのおそれなどを、本人の権利利益の保護に必要な範囲で知らせます。すべての調査が終わるまで、常に通知を保留できるわけではありません。

通知方法としては、メールや郵送などが考えられます。本人への連絡が困難な場合には、権利利益を保護するための代替措置が認められますが、連絡できる本人に対しても、ホームページに掲載するだけで当然に済むわけではありません。

弁護士の視点では、利用者が予防策を選べるよう、本人確認書類の画像が流出したのか、どの書類が対象なのかを分かりやすく伝えることが重要です。今回の段階的な通知の適否も、各時点で把握できた情報や通知内容を踏まえて検討する必要があります。

4. 通知を受けた方ができる対策

4.1 通知内容を確認し記録を残す

まず、通知メールと今後の追加案内を保存し、自分について漏えいした情報の項目を確認しましょう。氏名やメールアドレスの流出と、免許証画像の流出では、検討すべき対策が異なります。

詳細が分からない場合は、公式サイトに掲載された窓口から問い合わせます。通知が届かない場合でも、対象外と断定せず、過去の登録や退会時の連絡先も確認してください。パーク24株式会社の窓口は以下の通りです。

4.2 免許証画像が流出した場合は信用情報機関への本人申告を検討する

免許証画像には、顔写真や氏名、住所、生年月日などが含まれます。画像だけで不正契約が必ず成立するわけではありませんが、本人確認の仕組みを悪用したなりすましへの備えは必要です。

その対策の一つが、信用情報機関への「本人申告」です。

これは、名義を悪用されるおそれがあることを登録し、クレジット会社などが審査時に参考にする制度です。申告先としては、CIC、JICC、全国銀行個人信用情報センター（KSC）の3つの信用情報機関が考えられます。

免許証画像の流出が確認された方には、予防措置として本人申告の検討も有効です。各機関の加盟会社や情報の利用状況は異なるため、広く注意喚起したい場合は3機関それぞれへの登録を検討します。JICCも、情報交流があることを踏まえつつ、各機関への登録を推奨しています。

4.3 本人申告の効果と注意点を理解する

本人申告は、すべての不正契約を自動的に止める制度ではありません。契約の可否は各会社が判断します。また、KSCは、本人申告情報の照会は与信判断（クレジットカードの発行やローンの審査）に限られ、預金口座の開設時には行われないと説明しています。

本人申告は延滞等を登録する手続きではありませんが、自分自身のカード・ローン申込みでも、追加確認や審査に時間を要する可能性は考慮しておきましょう。一方、JICCは、登録を理由に現在保有するカードが使えなくなることはないと案内しています。そのため、カードの利用には原則として影響を及ぼさないと考えられます。

手数料や申請方法は機関・手続方法により異なります。登録時には最新の公式案内を確認してください。各信用情報機関の本人申告に関する手続きの案内ページは、次のとおりです。

4.4 免許証の再交付で情報漏えいを解消できるとは限らない

免許証には、紛失や破損、写真変更などに伴う再交付制度があります。ただし、再交付と、免許証番号全体を別の番号にすることは区別が必要です。

警察庁の通達により、運転免許証を再交付しても12桁のうち上11桁（本体番号）は変更されず、変わるのは末尾1桁の再交付回数のみです。そのため、再交付を受けても、流出した免許証番号自体を完全に刷新して流出リスクを無効化できるわけではありません。

なお、単に画像が流出したという理由だけでは、道路交通法上の再交付要件（紛失・著しい破損等）を満たさない場合があります。再交付申請の対象となるか否かについては、事前に都道府県の運転免許センターや警察署へご確認ください。

4.5 詐欺への警戒と不審な契約の確認を続ける

今回の漏えいを口実に、「補償手続」や「本人確認のやり直し」を装う連絡が来る可能性があります。メールやSMSのリンクから情報を入力せず、公式サイトを自分で開いて確認する習慣が有効です。

使い回しているパスワードがある場合は、各サービスで異なるものに変更し、利用できる場合は多要素認証を設定しましょう。（ただし、一般的な予防のための対策であり、読める状態のパスワードが今回流出したと断定するものではありません。）

身に覚えのない請求、カードの発送通知、ローン契約の案内が届いた場合は、放置せず、当該会社の公式窓口へ確認します。必要に応じて信用情報の本人開示を利用し、不審な記録を確認することも考えられます。名義冒用（他人になりすまして勝手に契約などを行うこと）が疑われる場合は、警察や弁護士に相談し、契約の有無、請求への対応、信用情報の訂正などを検討してください。

5. 対策費用や損害の補償を求められるか

本人申告などに費用がかかった場合、漏えいに伴う対策費用として、事業者に補償を申し入れることは考えられます。ただし、支払義務が認められるかは、契約上の義務違反や過失、対策の必要性・相当性、漏えいとの因果関係などによります。漏えいがあれば、あらゆる対策費用が当然に賠償されるわけではありません。

今回確認した第2報・第3報には、本人申告費用の補償を約束する記載は見当たりません。今後会社側がどのような対応を取るかは不明ですが、本人申告された方は念のため、申請の履歴や決済履歴等は保存しておくことをおすすめします。

6. 企業の初動対応と利用者の予防策

企業にとっては、不正アクセスの封じ込めと並行して、報告対象に当たるかを早期に判断し、期限を意識した報告と本人への通知を進めることが重要です。本人確認書類の画像についても、保管の必要性や期間を含め、管理方法を見直す契機となります。

通知を受けた方は、まず漏えい内容を確認してください。免許証画像が対象であれば信用情報機関への本人申告を検討し、不審な連絡や契約の兆候への注意を続けましょう。具体的な被害が生じた場合には、記録を残して早期に対応することが大切です。

監修者

よつば総合法律事務所　
辻 悠祐

プロフィール

よつば総合法律事務所大阪事務所所長（大阪弁護士会所属）。
企業法務チームに所属し、インターネット上の誹謗中傷対応、企業およびクリニックの顧問業務、使用者側の労働問題などを担当。
また、AI法研究会に所属し、生成AIに関する法律相談や企業対応にも取り組んでいる。

関連記事

利用規約の整備

生成AI法務

誹謗中傷対策