エステサロンは顧客の氏名や連絡先だけでなく、体質・アレルギー歴・施術履歴など「取り扱いに配慮が必要な情報」を大量に保管します。2022年4月に全面施行された改正個人情報保護法により、これらの管理体制と漏えい時の対応義務は中小サロンにも例外なく適用される運用へと明確化されました。本記事では、サロン経営者・店長が押さえておくべき法的枠組みと日々のカルテ運用の実務を整理します。
はじめに
かつて「取扱件数5,000件以下の事業者は個人情報保護法の対象外」とされていた時代がありましたが、この例外は2017年5月の改正で撤廃済みです。現在は個人情報を1件でも事業に用いていれば「個人情報取扱事業者」として全ての義務がかかります。1人サロンや自宅サロンであっても、顧客リスト・予約履歴・LINE 連絡先を持っていれば対象です。
さらに2022年施行の改正で、以下の3点が実務上のインパクトとして加わりました。
- 漏えい等が発生した場合の個人情報保護委員会への報告義務と本人通知義務の新設
- 不適正な利用の禁止・利用停止請求権の拡大
- 罰則の強化（法人重科：最大1億円）
出典: 漏えい等報告・本人への通知の義務化について｜個人情報保護委員会
エステサロンにおける個人情報保護法の適用範囲
「個人情報」に該当する主な項目
サロン業務で日常的に取得している情報のうち、次のものはいずれも「個人情報」に該当します。
- 氏名・住所・電話番号・メールアドレス・生年月日
- 顔写真・施術ビフォーアフター写真（本人を識別できるもの）
- クレジットカード番号・銀行口座（決済関連）
- LINE ID・Instagram DM の履歴（氏名等と紐づけば個人情報）
- 予約履歴・来店頻度・購入商品履歴
「要配慮個人情報」に該当する項目（取得に本人同意が必須）
エステのカウンセリングでは、通常の個人情報より厳格な扱いを求められる「要配慮個人情報」を取得するケースが少なくありません。取得には必ず本人の明示的な同意が必要で、同意なく聞き出したり書面化するのは違法です。
- 病歴（アレルギー・持病・手術歴・現在の通院状況）
- 服薬中の薬（ホルモン剤・血液サラサラ系など施術判断に必要な情報を含む）
- 妊娠に関する情報（原則は身体状況情報だが、機微性が高いため要配慮と同等に扱うのが実務上安全）
- 障害の有無
出典: 「個人情報保護法」を分かりやすく解説。個人情報の取扱いルールとは？｜政府広報オンライン
適法な個人情報の取得・利用・保管ルール
利用目的の特定と通知・公表
個人情報を取得する前に、利用目的を可能な限り具体的に特定し、本人に通知するか公表する必要があります。「サービスの提供のため」だけでは不十分とされ、次のような粒度が求められます。
| 目的の記載例 | 十分性 |
|---|---|
| 「サービスの提供のため」 | 不十分（用途が広すぎる） |
| 「施術予約管理、施術履歴の記録、次回施術メニューの提案のため」 | 十分 |
| 「新商品・キャンペーンのご案内メール送信のため」 | 十分（DM 目的を明示） |
| 「アンケート集計・統計分析のため」 | 十分 |
初回来店時のカウンセリングシート、Webフォーム、LINE友だち追加ページのいずれの入口でも同じ利用目的を掲示できるようにしましょう。
第三者提供の制限
顧客情報を外部業者に渡すケース（例: 予約システム SaaS、DM 発送業者、税理士、フランチャイズ本部）では、以下のいずれの立て付けで運用するかを整理する必要があります。
- 委託: 委託先の監督義務を負うが本人同意は不要（クラウド予約サービス等が代表例）
- 共同利用: 対象範囲・目的・責任者を事前に公表しておけば同意不要
- 第三者提供: 原則として本人の同意が必須
保管期間の設定
不要になった個人情報は、遅滞なく消去するのが努力義務です。目安として次のような社内ルールを設けているサロンが多く見られます。
- 現顧客のカルテ: 最終来店から3〜5年
- 退会・解約顧客: 最終来店から1〜2年で削除
- 決済関連情報: 会計上の保存義務期間（原則7年）に準拠
顧客カルテ・カウンセリングシートの管理実務
紙カルテ運用時のセキュリティ
小規模サロンで多い紙運用でも、以下の物理セキュリティは最低限求められます。
- 施錠可能なキャビネットで保管し、営業時間外は必ず施錠
- 施術ルーム内に放置せず、閲覧後はスタッフ用エリアに戻す動線を徹底
- 廃棄時は溶解処理またはシュレッダー処理（家庭用シュレッダーで細断粒度3mm以下推奨）
- 持ち出し禁止（在宅ワークや自宅への持ち帰り原則不可）
電子カルテ・CRM運用時のセキュリティ
クラウド型 CRM やタブレット電子カルテを使う場合、以下のポイントを運用ルール化します。
- スタッフごとの ID・パスワード発行（共用アカウントは禁止）
- 権限設定（受付スタッフに施術履歴の閲覧のみ許可、削除権限は店長のみ など）
- 端末紛失時の遠隔ワイプ設定（MDM または OS 標準機能）
- 退職者アカウントは退職日当日中に無効化
- パスワード使い回し・付箋メモ貼付の禁止を就業規則へ明記
スタッフ教育と誓約書
雇用時・研修時に守秘義務の重要性を伝え、書面での誓約を取得しておくと、万一漏えいが発生した際のスタッフに対する対応もスムーズになります。誓約書には以下を盛り込むのが一般的です。
- 業務で知り得た顧客情報の目的外利用禁止
- 退職後も継続する守秘義務
- SNS への顧客情報投稿禁止（施術写真・氏名の断りない掲載を含む）
- 違反時の損害賠償条項
情報漏洩・データ流出時の対応義務
報告義務の対象となる事態
2022年4月から、次のいずれかに該当する漏えい等（漏えい・滅失・毀損）が発生またはそのおそれがあるだけで、個人情報保護委員会への報告と本人への通知が義務となりました。
- 要配慮個人情報が含まれる場合（1件でも対象）
- 財産的被害が生じるおそれがある場合（クレジットカード情報等）
- 不正の目的をもって行われたおそれがある場合（サイバー攻撃・内部不正など）
- 1,000人を超える漏えい等（またはそのおそれ）
エステサロンの場合、要配慮個人情報（病歴・アレルギー等）を1件でも漏えいすれば報告義務が発生する点が特に重要です。
報告期限
| 種別 | 期限 | 内容 |
|---|---|---|
| 速報 | 発覚後おおむね3〜5日以内 | 判明している範囲での事実報告 |
| 確報 | 発覚から30日以内（不正目的の場合は60日以内） | 原因究明・再発防止策を含む詳細報告 |
報告は個人情報保護委員会のウェブサイト上の専用フォームから行います。本人通知も原則同じタイミングで発信する必要があります。
出典: 漏えい等報告・本人への通知の義務化について｜個人情報保護委員会
例外的に報告不要となるケース
- 高度な暗号化その他の措置により本人の権利利益が害されるおそれがない場合
- 漏えいした個人データに、解読が極めて困難な最先端の暗号化や、復元不可能な方法でのスクランブル処理（ハッシュ化など）が施されており、第三者に閲覧・悪用される恐れがない場合。
USBやノートPC紛失時でも、ドライブ全体が強固に暗号化されていれば例外に該当する可能性があります。日常的な暗号化対応が最大の予防策になります。
事故発生時の初動フロー
サロンで想定される典型的な事故（紙カルテ紛失、スタッフ端末盗難、SaaS 側の情報流出通知など）に共通する初動を、あらかじめ社内マニュアルに落としておきましょう。
- 発見者→店長→経営者への即時共有（発見当日中）
- 事実関係の記録（誰が・いつ・どの範囲の情報・どの経路で漏えい）
- 二次被害拡大防止（アカウント停止・パスワード変更・カード会社連絡）
- 個人情報保護委員会への速報提出
- 該当本人への通知（郵送・メール・電話のいずれかで到達確認）
- 原因分析と再発防止策の策定・確報提出
実務チェックリスト
日々の運用で押さえておきたい項目を、そのままセルフチェックに使える形で整理しました。
- プライバシーポリシー（利用目的・第三者提供・開示請求窓口）をWebサイト・店頭に掲示している
- カウンセリングシートに「利用目的」「要配慮個人情報取得への同意」欄がある
- スタッフ全員が守秘義務誓約書に署名済み
- 紙カルテを施錠キャビネットで保管している
- 電子カルテのアカウントは個人単位で発行・退職時に即時削除している
- 顧客リストを含む端末を社外に持ち出す運用ルールが明文化されている
- 漏えい発生時の初動フローがマニュアル化され、スタッフに周知されている
- 業務委託先（SaaS・DM 業者等）と個人情報の取扱いに関する契約書を交わしている
- 開示・訂正・利用停止の請求窓口を設置している
まとめ
エステサロンは、氏名・連絡先といった一般的な個人情報に加え、病歴・アレルギー・妊娠情報など取り扱いに強い配慮が必要な情報を日常的に扱う業種です。中小サロンや個人経営でも、法令上の義務は大企業と変わりありません。まずは「利用目的の掲示」「要配慮個人情報取得への同意取得」「紙・電子カルテの物理/論理セキュリティ」「漏えい時の初動フローの明文化」の4点から着手し、経営リスクを最小化していきましょう。
esthetic-machine.com では、業務用エステ機器の選定・導入支援に加え、サロンの実務運用に関わる法令・経営情報も継続的に発信しています。導入検討中の機器や運用に関するご相談があればお気軽にお問い合わせください。
