「退会したのに、自分の免許証の画像まで流出しているかもしれない」
2026年9月、カーシェアリングサービス「タイムズカー」のWebサイトが不正アクセスを受け、約660万件のアカウント情報が流出したと公表されました。
このうち約146万件（2026年10月23日時点）では、暗号化された本人確認書類の画像データの外部送信が確認されています。このコラムでは、被害に遭った方が今できる対応と、損害賠償請求の考え方、企業が負う法的義務を解説します。
1. タイムズカー個人情報流出の概要
これまでの経緯
| 日付 | 内容 |
| 2026年9月25日 | 不正アクセスを検知。第1報を公表し、個人情報保護委員会へ報告 |
| 9月26日 | 侵害を受けた環境の切り離しが完了 |
| 9月28日 | 第2報。約660万件のアカウント情報が流出したと公表 |
| 9月29日 | 第3報。本人確認書類の約160万件に漏えいのおそれがあると公表（10月23日に約146万件と確定） |
| 10月1日 | 退会された方へのご案内開始 |
| 10月2日 | 法人会員の方へのご案内開始 |
| 10月16日 | 第4報を公開 |
| 10月23日 | 外部調査機関によるフォレンジック調査を終了。第5報を公表 最新情報はこちら 「タイムズカーWebシステム」への不正アクセスによる個人情報漏えいに関するご報告と今後の対応について（第5報） | カーシェアリングのタイムズカー（旧：タイムズカーシェア） |
原因は、Webシステムに存在した脆弱性が悪用されたことによるものと判断されました。なお、攻撃手法の詳細やシステム構成等については、二次被害防止の観点から公表を差し控えるとの発表がありました。
流出した情報
氏名、住所、生年月日、電話番号、メールアドレス、会員番号、運転免許情報
本人確認書類の画像（運転免許証、公共料金の請求書などの現住所確認書類、学生証、家族確認書類）、法人会員の所属部署名、タイムズビジネスカード番号、タイムズクラブカード番号、パスワード、連携サービスのID、クレジットカード番号の下4桁※1
※1 決済情報の非保持化に対応しており、クレジットカード番号全桁およびセキュリティコードは一切保持していないため、不正に利用されるおそれはないとのこと
対象者
タイムズカーの会員、退会済みの会員、入会手続きを途中でやめた人
タイムズビジネスサービスの会員、退会済みの会員
2. 被害者が取るべき3つの対応
（1）自分が対象かを確認し、二次被害を防ぐ
まず、自分の情報が対象かどうかを確認しましょう。運営会社は2026年10月23日に調査を終え、どの情報が漏えいしたかを会員ごとにマイページで確認できるようにしています。退会した方は、公式サイトの専用フォームから確認できます。メールやSMSのリンクからは開かず、公式サイトから直接アクセスしてください。
運転免許証は、本人確認の場面で幅広く使われています。画像と氏名・住所が揃うと、なりすましによる契約や借入れの申込みに悪用されるおそれがあります。
パスワードは変更できますが、免許証の顔写真や記載内容は、流出した後に簡単には変えられません。この点が今回の事案の深刻なところです。次の点に気をつけましょう。
■同じパスワードを他のサービスで使っている場合は変更する
■クレジットカードや口座の明細をこまめに確認する
心当たりのない借入れの申込みが心配な方は、信用情報機関（CIC、JICC、全国銀行個人信用情報センター）で自分の信用情報を開示請求して確認する方法もあります。
身に覚えのない借金や請求が届いたら
免許証の画像を悪用され、知らないうちに自分の名義で借入れや契約をされた場合でも、本人が契約していない以上、原則として支払う義務はありません。
ただし、放置は禁物です。
督促が続いたり、法的紛争に巻き込まれたりするおそれがあります。
次のように対応してください。
■請求書や通知は捨てずに保管する
■請求元に、自分は契約していないことを伝える
■裁判所から書類が届いた場合は、無視せず期限内に対応する
■早めに弁護士や警察に相談する
（2）証拠を残しておく
後から請求を検討するときに備えて、記録を残しておくことが大切です。
■運営会社から届いた通知メール
■公式サイトのお知らせの画面
■不審な連絡や不正利用があった場合は、その日時と内容
（3）損害賠償請求を検討する
企業の安全管理に落ち度があって個人情報が流出した場合、不法行為（民法709条）や契約上の義務違反を理由に、損害賠償を請求できる可能性があります。
過去の裁判例では、実際の金銭被害がなくても、不安や不快感に対する慰謝料が認められています。
| 事件 | 流出した主な情報 | 1人あたりの認容額 |
| 宇治市住民基本台帳データ事件（大阪高裁 2001年） | 氏名、住所、生年月日など | 15,000円（慰謝料1万円＋弁護士費用5,000円） |
| Yahoo! BB事件 （大阪高裁 2006年） | 氏名、住所、電話番号など | 5,500円（慰謝料5,000円＋弁護士費用1,000円から500円分の金券を差し引いた金額） |
| TBC事件（東京高裁 2007年） | 氏名、住所に加えエステの関心事項など | 35,000円（慰謝料3万円＋弁護士費用5,000円） |
| ベネッセ事件 （大阪高裁2019年） | 子どもと保護者の氏名、住所、生年月日など | 1,000円〜3,300円（不安や不快感に対する慰謝料1,000円＋具体的な二次被害発生による慰謝料） |
金額は、流出した情報の内容、二次被害の有無、企業の事後対応などで変わります。
過去の漏えい事案では、企業が500円や1,000円分の金券をお詫びとして配った例もあります。こうした対応は企業の任意によるもので、法律で義務づけられたものではありません。
今回、運営会社は2026年10月23日の第5報で、暗号化された本人確認書類の画像データにアクセスされ、外部に送信された痕跡が確認された人を対象に、お見舞いとして3,000円相当の現金または金券を渡すと発表しました。具体的な内容や渡し方は検討中とされています。
お見舞金を受け取っても、損害賠償を請求できなくなるとは限りません。
ただし、受け取った額が賠償額から差し引かれる可能性はあります。
今回は免許証の画像という悪用されやすい情報が含まれます。運営会社は、画像を暗号化して保管していたため、外部に送信されても直ちに内容が見られる状態になったとは限らないと説明しています。一方で、将来的に復号される可能性は完全には否定できないとしています。
1章のとおり、原因は脆弱性の悪用とされています。その脆弱性への対策が十分だったかなど、企業側の過失の有無や賠償額の見通しは、今後明らかになる事実関係によって変わります。
多数の被害者が共同で訴訟を起こす形も考えられます。今後の続報にも注目してください。
時効にも注意
| 請求の根拠 | 時効期間 |
| 不法行為 | 損害と加害者を知った時から3年、または不法行為の時から20年 |
| 債務不履行 | 権利を行使できると知った時から5年、または行使できる時から10年 |
いつ「知った」といえるかは各人の具体的事情によって異なります。9月下旬の公表や通知で知った場合、不法行為の3年は2029年9月下旬ごろが一つの目安です。期限が近づく前に、早めに確認しておくと安心です。
3. 企業が個人情報保護法上負う義務
現行法で求められること
安全管理措置：
個人データの漏えいを防ぐために必要かつ適切な措置を講じる義務
委託先の監督：
業務を外部に委託する場合の監督義務
不要なデータの消去：
利用する必要がなくなった個人データは、遅滞なく消去するよう努める義務
漏えい時の報告と通知：
不正アクセスなど不正目的による漏えいは、件数にかかわらず個人情報保護委員会への報告と本人への通知が必要
報告は、事態を知ってからおおむね3〜5日以内の速報と、原則30日以内（不正目的の場合は60日以内）の確報の2段階です。本人への通知は、状況に応じて速やかに行う必要があります。
2026年7月公布の改正法のポイント
令和8年改正個人情報保護法は、2026年7月10日に成立し、7月17日に公布されました。企業への影響が大きい点は次のとおりです。
| 項目 | 内容 |
| 課徴金制度の導入 （148条の3～） | 違法な第三者提供や、不正に取得した個人情報の利用などが対象。額は違反行為で得た利益相当額。10年以内の繰り返しは1.5倍、自主的な報告で50%減額 |
| 罰則の強化 （176条～） | 個人情報データベース等の不正提供罪が「2年以下の拘禁刑または100万円以下の罰金」に引き上げ |
| 本人通知の見直し （29条の4～） | 本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとる場合は、本人への通知が不要に |
| その他 | 16歳未満の子どもの情報の保護、顔特徴データの規律、委託先の規律の整備など |
施行は、公布から2年以内の政令で定める日です。罰則の一部は先行して施行されます。
課徴金は、漏えいが起きたこと自体によって直ちに課されるものではありません。ただし、漏えいを起こした企業は、委員会による勧告や命令、被害者からの損害賠償請求、信用の低下という負担を負います。
漏えいが起きたときの初動等につきましては下記をご覧ください。
【タイムズカー事案から学ぶ②】「もし自社で漏えいが起きたら――最初の72時間」 | 弁護士法人共創 広島駅前法律事務所
4. まとめ
■被害に遭った方は、対象かどうかの確認、不審な連絡への警戒、証拠の保存を
■損害賠償請求は、今後の続報も踏まえつつ、時効を意識して早めに検討を
■企業は、現行法の報告・通知義務と、改正法の課徴金・罰則強化を踏まえた体制の見直しを