データの保存期間と削除のルールの決め方

自社の「データ」の準備度は？10問・約3分で確かめる（無料・登録不要）

AIを使い始めると、社内のデータを集めて読ませる機会が増えます。そのときに「このデータはいつまで残してよいのか」「古いデータは消してよいのか」が決まっていないと、判断が人によってばらばらになります。この記事では、保存期間と削除のルールを、無理なく決めて運用する手順を整理します。

なぜ保存期間と削除のルールが必要なのですか？

データは、作ったり受け取ったりした後、誰も消さなければ増え続けます。古いデータが残り続けると、次のような困りごとが起きやすくなります。

• 漏えいしたときに、本来は残っていなくてよい情報まで影響が広がる
• 古い版と新しい版が混ざり、AIの検索や回答が古い情報をもとにしてしまう
• 保管の費用や、探す手間が増える

一方で、法令で保存が求められている書類を早く消してしまうと、税務調査や労働に関する確認に応じられなくなります。保存期間のルールは、「消してはいけないもの」と「残し続けなくてよいもの」を分けるための道具と考えると、決めやすくなります。

保存期間は、何をもとに決めればよいですか？

次の3つの観点を重ねて、それぞれのデータの保存期間を決めます。

法令で期間が決まっているものは、その期間を下回らないようにします。法令で決まっていないものは、業務で必要な期間を社内で決めます。個人データを含むものは、さらに「いつ利用する必要がなくなるか」を考えます。

主な法定の保存期間

会社に共通する主なものを挙げます。いずれも2026年11月時点で公的機関の案内を確かめたものです。

厚生労働省の案内は、退職金の時効が5年であることなどから、現実には労働関係の書類を3年を超えて保管する必要が出てくることも多いとしています。労働関係の書類の保存期間をいつから数えるかは書類ごとに定められているため、あわせて確かめてください。業種ごとの法令で別の保存期間が定められている場合もあるため、所管の官庁の案内や専門家に確かめてください。

電子で受け取った書類の注意

注文書・請求書・領収書などを電子メールやWebで受け取った場合、国税庁は、紙に出力して保存するのではなく、電子データのまま保存するよう案内しています。あわせて、改ざんを防ぐ措置、画面やプリンタで見られる状態、「日付・金額・取引先」で探せる状態を保つことが求められます。保存期間のルールを作るときは、期間だけでなく、どの形で保存するかも一覧に書いておくと、運用で迷いません。

個人データは、いつ消せばよいですか？

個人情報保護法第22条は、個人データを利用する必要がなくなったときは、遅滞なく消去するよう努めることを求めています（努力義務）。個人情報保護委員会のガイドラインは、「利用する必要がなくなったとき」に、利用目的を達成した場合や、目的の前提となる事業が中止された場合が含まれると説明しています。法令で保存期間が定められている場合は、その期間の保存が優先されます。

ガイドラインでは、懸賞品を発送した後、不着への対応などに必要な合理的な期間が過ぎたら応募者の個人データを消去する、という例が示されています。また、「消去」には、データを削除することのほか、特定の個人を識別できないようにすることも含まれるとされています。

実務では、次のように決めておくと運用しやすくなります。

• 採用で不採用になった方の書類：選考の終了から何か月で消去するか
• 問い合わせの記録：対応の完了から何年で消去するか
• 退職した社員の情報：法定の保存期間を過ぎたら消去するか

保存期間と削除のルールは、どう作ればよいですか？

次の手順で進めると、一度に完璧を目指さなくても形になります。

① データの種類を洗い出します。 部署ごとに、扱っている書類・データの種類と置き場所を書き出します。「社内データの棚卸しの進め方」の結果があれば、それを使います。

② 種類ごとに保存期間を決めます。 上の3つの観点で期間を決め、根拠（法令名、または業務上の理由）を一覧に書きます。起算点（作成日・契約の終了日・事業年度の終わりなど）も決めます。

③ 置き場所と保存の形を決めます。 紙か電子か、どのシステムやフォルダに置くかを決めます。分類のルールがあれば、分類と保存期間を対応させます（「社内データの分類ルールの作り方」参照）。

④ 削除の手順を決めます。 誰が、いつ（年に1回など）、どの方法で削除するかを決めます。

⑤ 例外の扱いを決めます。 訴訟や調査が見込まれる場合など、期間が過ぎても削除を止めるときの手続きと、判断する人を決めます。

⑥ 見直しの時期を決めます。 法改正や業務の変化に合わせて、年に1回など一覧を見直します。

削除の方法と記録

個人情報保護委員会のガイドラインは、個人データを削除したり、個人データが記録された機器や電子媒体を廃棄したりする場合は、復元できない方法で行うこと、削除や廃棄の記録を残すことが重要だとしています。作業を委託する場合は、委託先が削除・廃棄したことを証明書などで確かめることも挙げられています。

削除の記録には、日付・担当者・対象のデータ・方法を書いておくと、後から説明しやすくなります。

バックアップとAIで使うデータの扱い

見落としやすいのが、バックアップとコピーです。元のデータを削除しても、バックアップや、AIに読ませるために別の場所へ写したデータが残っていることがあります。ルールには、次の点も書いておきます。

• バックアップの保管期間と、期間が過ぎたバックアップの扱い（「バックアップと復旧の計画の立て方」参照）
• AIの検索（RAG）用に写したデータを、元のデータの削除に合わせて消す手順
• 生成AIのサービスに入力した内容の保存期間（サービスの設定や規約で確かめる）

うまく運用するためのコツはありますか？

• 期間の種類を絞ります。 1年・3年・5年・7年・10年など、選べる期間を少なくしておくと、一覧が読みやすくなります。
• 自動で削除できるところは自動にします。 メールや文書の管理のシステムに、保存期間を過ぎたものを削除・移動する機能があれば使います。最初は削除の前に一覧を確かめる運用にすると安心です。
• 責任者を決めます。 種類ごとに、期間を判断する部署（データの持ち主）を決めておきます。

チェックリスト

• 部署ごとに、扱っているデータの種類と置き場所を書き出した
• 種類ごとに、法令・業務・個人データの観点で保存期間を決めた
• 期間の根拠（法令名や業務上の理由）と起算点を一覧に書いた
• 電子で受け取った書類を、電子データのまま保存する形にした
• 個人データについて、利用する必要がなくなる時点を決めた
• 削除の担当・時期・方法を決め、記録を残す形にした
• バックアップやAI用に写したデータの扱いを決めた
• 削除を止める例外の手続きを決めた
• 一覧を見直す時期を決めた