古くても自社のデータ：保存期間の見直し方

データを保存し続けることも一つの判断です。誰も意識して決めていない場合でも、それは変わりません。2026年9月21日、アイルランドのデータ保護委員会は Google に4億300万ユーロの制裁金を科し、4つの認定のうち1つは位置情報の保存期間に関するものでした。古いファイルは無害に見えるため、保存期間の見直しは後回しにされがちです。目的を過ぎたデータを見つけ出し、その判断を担当者に委ねるレビューは、現実的な第一歩になります。

DPC の決定内容

データ保護委員会（DPC）は、2018年5月から2020年2月までの期間を対象に、Google の「ウェブとアプリのアクティビティ」「ロケーション履歴」「位置情報の精度」の各機能に関する調査を終えました。適法性と公正性、説明責任、透明性、そして「ウェブとアプリのアクティビティおよびロケーション履歴における位置情報の保存」に関する違反を認定しています。制裁金は合計4億300万ユーロで、Google に対しては6か月以内に処理を法令に適合させるよう命じました。The Irish Times は、GDPR の施行以降に DPC が科した制裁金として4番目の規模だと報じています。

この事案は消費者向けプラットフォームに関するもので、ファイル共有のフォルダーに関するものではありません。参考になるのは原則の部分です。データをどれだけの期間保存するかは、なぜ収集したかとは別に、それ自体として評価されます。

原則をひとことで

GDPR 第5条第1項(e)は、個人データは「その個人データが取り扱われる目的のために必要な期間を超えて、データ主体の識別を可能とする形式で保存されてはならない」と定めています。英国 ICO の保存の制限に関するガイダンスは、これを実務に落とし込んでいます。「可能な限り標準的な保存期間を定めたポリシー」が必要であり、「保有するデータを定期的に見直し、不要になったものは消去または匿名化すべき」だとしています。

どちらの文書も、具体的な年数は定めていません。保存期間は、自社の目的、法的義務、ポリシーから導かれます。だからこそレビューは、エージェントが考え出した基準ではなく、自社で決めた基準から始めます。

目的を過ぎたデータを見つける

Kiteworks での保存期間レビューでは、Marketplace の3つのエージェントがそれぞれ異なる部分を受け持ちます。

• Retention Sweeper は、フォルダー内で、設定した保存期限を過ぎたファイルを見つけ、結果をレポートとして保存できます。ファイルのメタデータをもとに動作し、何を削除してよいかは判断しません。
• Folder Expiry Audit は、どのフォルダーに有効期限または保存期間の設定があり、どのフォルダーにないかをレポートします。読み取りのみを行い、有効期限を設定することはできません。
• GDPR Compliance Check は、フォルダー内の個人データ、共有による露出、保存ポリシーより古いファイルを調べ、レポートを保存します。このエージェントの掲載情報自体にも、扱うのは GDPR のうちファイルから確認できる部分であり、フレームワーク全体ではないと記載されています。

ファイルの古さは目安であって、結論ではありません。期限を過ぎたファイルでも、リーガルホールドの対象だったり、進行中の案件の一部だったり、法令でより長い保存期間が定められていたりすることがあります。エージェントが作成するのは候補の一覧で、判断するのは担当者です。

保存期間レビューの手順

1. フォルダーの種類ごとに、その担当者と保存期間を合意し、文書に残します。対象は、契約書、人事ファイル、プロジェクトでのファイル交換、顧客とのやり取りなどです。
2. Folder Expiry Audit を実行し、それらのフォルダーのうち、どれに有効期限の設定があり、どれが誰かの記憶頼みになっているかを確認します。
3. 各フォルダーで、合意した期限を指定して Retention Sweeper を実行します。
4. 個人データが含まれている可能性が高い場合は GDPR Compliance Check を実行し、古いファイルのうちどれに個人データが含まれているかを確認して、それらを優先的にレビューします。
5. 担当者は候補ごとにリーガルホールドや例外がないかを確認したうえで、削除、匿名化、アーカイブ、保持のいずれかを行い、その理由を記録します。
6. 次回のレビューを予定に組み込みます。保存の制限は一度きりのプロジェクトではなく、日常的な業務です。

記録すべき内容

対象のフォルダー、使用した基準、レビューの実施日、候補の件数、下した判断、例外を記録しておきます。この記録があれば、保存期間が成り行き任せではなく判断に基づいて決められたことを、規制当局、監査担当者、自社のチームに示せます。次回のレビューも速く進められます。

自社のフォルダーの保存期間レビューを計画したい場合は、sales@kiteworks.com までメールでご連絡いただくか、お問い合わせください。ご質問に Claude や MCP の設定は不要です。各エージェントに明記された制約は、エージェントカタログでご確認いただけます。