GDPRの制裁金が総額61.1億ユーロに — 「すべてを永久に保管」はコンプライアンス上のリスクか
2026年3月時点で、EU全体のGDPRの制裁金は累計およそ€61.1億に達し、記録された執行事例は2,685件に及びます（CMSのGDPR Enforcement Tracker Report 2025/2026による）。このデータセットには、1件で€12億に上る事例もあります。GDPRが新しかった2018年に自社のリスクをどう見ていたにせよ、8年を経た執行の傾向はもはや机上の話ではありません — データの取り扱いを誤った企業にとって、着実で、十分に記録されたコストの発生源です。
メールの保管についての助言の多くは、間違ったほうの失敗に目を向けています。コンプライアンスのために種類ごとにどれだけ残すかを説き — 財務の記録は7年、サポートの問い合わせは2年 — まるで危険はいつも早く消しすぎることにあるかのようです。その危険は本物です。しかし規制当局は、反対の誤り、つまり何かを消すのが怖いからといって何もかも無期限に持ち続けることも、それ自体が違反だと、はっきり示すようになっています。
多くの保管方針が飛ばしている原則
GDPRはメールの保管期間を固定で示してはおらず、そのあいまいさこそが、多くの組織が「念のため何も消さない」を既定にしてしまう理由です。しかし第5条(1)(e)の保存期間制限の原則は、個人データを収集目的のために「必要な期間を超えて」保持しないことを求めています — そのすぐ隣には第5条(1)(c)のデータ最小化があります。無期限の保管は、どちらの原則から見ても安全な既定ではありません。まさにこれらの条文が禁じるために書かれたものです。
実務上これは、組織が保持しているメールのすべての区分について、なぜ保管しているのか、あとどれだけ保管するのかに答えられなければならない、ということです。「いつか必要になるかもしれない」は、その気持ちがどれだけ理解できるものであっても、規制当局が受け入れる答えではありません。
規制当局が求めるのは方針の文書ではなく、証拠になった
もう一つ注目すべき変化があります。コンプライアンスのフォルダに置かれた保管方針の文書だけでは、もはや執行上の期待を満たしません。規制当局が求めているのは、その方針が実際に運用されていることを示す監査可能な証拠です — 文書化された削除の手順、従業員個人の裁量に任せるのではなくサーバー側で適用される保管スケジュール、そして訴訟が合理的に見込まれるときに通常の消去を正しく上書きするリーガルホールドの手続きです。
隣接する分野の執行にも同じ姿勢が見えます。フランスのCNILとイタリアのGaranteは、いずれも2026年4月に、受信トレイを個人の私生活の延長として扱う正式なガイダンスを出しました — メールのトラッキングピクセルに関する新しい規則では、受信者のメールボックスの中で起きたことを目に見えない形で報告する仕組みに、事前の同意を求めています。保管の執行とは別の仕組みですが、根底にある姿勢は同じです。規制当局は、方針の文書がどこかに存在するかどうかではなく、企業がメールの中身に対して何をしているのかを具体的に見ているのです。
実際に通用する保管スケジュール
これに特殊なツールは要りません。説明のつく構成は、いくつかの区分それぞれに、文書化された理由と期間が付いているというかたちになります。
日常の業務のメール — 社内の調整、日程の連絡、法的にも金銭的にも独立した意味を持たない日々のやり取りです。1年ほど残してから消すのが一般的です。
顧客サポートのやり取り — たいていはもっと長く、保証や係争の期間をまかなうために2年ほど残されます。
財務や税に関わる記録 — その国や地域の税務と監査の規則が求めるところに従い、7年とされることが多くあります。
法的な保全命令の対象 — 種類にかかわらず、命令が解けるまで保持され、ほかのどの取り決めよりも優先されます。
具体的な数字は業種や地域によって変わります — GDPRが決めるのではなく、監督当局や、自分たちで文書化した根拠が決めるものです。大事なのは、すべての区分に数字が結びついていて、その数字が努力目標ではなく実際に守られていることです。
個人のアーカイブはどこに位置づくのか
個人や小さなチームには、ここに現実の緊張があります。保管の規律は古いメールをサーバーから消すことを求めますが、コンプライアンスの規則が実際のメールボックスに置くなと言うからといって、15年分のやり取りを失いたい人はいません。答えは、バックアップの危険に当てはまるのと同じものです — サーバーに残すものとコピーを取っておくものを分けることです。
MailVaultは、IMAPやOAuthのアカウントのすべてのフォルダを、自分のディスク上の1通ずつの.emlファイルとしてアーカイブします。提供元のメールボックスとはまったく無関係です。おかげで、実際に使っているアカウントで保管の取り決めを本当に守れます — 正当な期間を過ぎたものを消しても — もとの記録は失われません。記録はすでに、自分が管理する場所に、どのクライアントでも開ける形式で置かれているからです。手動のバックアップは無料で無制限です。アーカイブを自動で最新に保つスケジュール実行のバックアップは$4/月または$25/年のPremiumの機能で、年額プランには14日間のトライアルが付きます。
スケジュールどおりに削除する。それでも記録は残す。
MailVaultは、すべてのフォルダを検索できて持ち運べる.emlファイルとして、お使いのディスクにアーカイブします — サーバー側で説明のつく保管方針を守っても、何かを永久に失うことにはなりません。
関連する記事: 古いメールを数千通まとめて安全に削除する方法、フリーランスのためのメールのアーカイブ、サーバーから削除したあともメールを残す方法。