金融個人情報保護オフィサー2級 利用目的・取得・機微情報 練習問題 第20問: X銀行は、普通預金を解約した預金者の個人データをいつまで保有するかを、社内規程で定めることにした。金融分野における個人情報保護に関するガイドラインに沿った考え方

「契約終了後一定期間内とするなど利用目的に応じて保存期間を定め、その期間を過ぎた個人データは消去する」が適切です。金融分野ガイドライン第7条は、個人情報保護法第22条に関して、預金者や保険契約者などの個人データの保存期間を、契約終了後一定期間内とするなど利用目的に応じて定め、その期間を過ぎた個人データを消去することとしています。

法第22条は、利用する必要がなくなった個人データを遅滞なく消去するよう努めることを求めています（法令で保存期間が定まっている場合は別です。通則ガイドライン）。「解約の日のうちに消去」は、保存期間を定めて管理するとされ、即日の消去は求められていない点で誤りです。

「個人情報保護法により契約終了後10年」は、同法に一律の保存期間の定めはなく、利用目的に応じて事業者が定める点で誤りです。「消去しなければ同法の違反となる」は、法第22条が「努めなければならない」という努力の定めで、ガイドライン第7条も違反とは判断されない「こととする」の規定（同ガイドライン第1条第2項）である点で誤りです。

保存期間は利用目的に応じて自ら定め、過ぎた個人データは消去するよう努めます。