美容室の顧客データを多店舗で一元管理する方法｜個人情報保護法の共同利用・安全管理措置

はじめに

複数店舗を運営するサロンでは、顧客のカルテや予約履歴、購買データを店舗ごとに別々に管理していると、来店店舗が変わるたびに情報が引き継がれず、サービスの質に差が出てしまいます。そこで、本部のシステム（CRM）で顧客データを一元管理する動きが広がっています。利便性は高い一方で、個人情報の取扱いには注意が必要です。

本稿では、多店舗で顧客データを一元管理する際に押さえるべき個人情報保護法のポイントを解説します。店舗間でのデータ共有が「第三者提供」に当たるのか、共同利用や委託の枠組みをどう使うのか、アレルギー等の要配慮個人情報や安全管理措置をどう扱うのかを、実務に沿って整理します。

Q＆A

Q1. 複数店舗で顧客カルテを共有しても問題ありませんか？

同じ法人が運営する店舗どうしでの共有であれば、社内での利用にとどまり「第三者提供」には当たりません。一方、フランチャイズ加盟店や別法人の店舗とデータを共有する場合は、第三者提供の規制がかかります。この場合でも、共同利用の枠組みを整えれば、本人の同意を個別に得なくても共有が可能になります。

Q2. 共同利用には、どのような手続が必要ですか？

共同利用する旨、共同利用される個人データの項目、共同利用する者の範囲、利用目的、データの管理について責任を有する者の氏名又は名称、住所、法人の場合は代表者の氏名を、あらかじめ本人に通知するか、本人が容易に知り得る状態に置く必要があります（個人情報保護法27条5項3号）。ホームページのプライバシーポリシーに継続的に掲載する方法が一般的です。

Q3. アレルギーや既往症の情報は、普通の顧客情報と同じ扱いでよいですか？

アレルギーや既往症などの健康に関する情報は、要配慮個人情報に当たり、取得にあたって原則として本人の同意が必要です（同法20条2項）。パーマやカラーの施術では健康情報を伺う場面がありますので、取得目的を説明し、同意を得たうえで、より厳重に管理することが求められます。

解説

1. なぜ顧客データの一元管理が必要か

【図】店舗ごとの分散管理から本部CRMでの一元管理へ。個人情報保護法の3つの手当て

顧客が系列のどの店舗に行っても、過去の施術内容やアレルギーの有無、好みのスタイルが共有されていれば、一貫したサービスを提供できます。予約や購買のデータを統合すれば、来店の傾向に応じた案内や在庫の最適化も可能になります。多店舗経営において、顧客データの一元管理は競争力の源泉となります。

もっとも、データを集約するほど、漏えいや不正利用が生じた場合の影響は大きくなります。利便性とリスクは表裏一体ですので、個人情報保護法の枠組みに沿って、適切な手当てをしながら一元管理を進めることが重要です。

2. 個人情報保護法の基本構造

個人情報保護法は、氏名や連絡先などの個人情報を取り扱う事業者に、いくつかの義務を課しています。まず、個人情報を取り扱うにあたっては、利用目的をできる限り特定し（17条）、その目的の範囲内で利用しなければなりません（18条）。利用目的は、あらかじめ公表するか、取得時に本人へ通知・公表する必要があります（21条）。

サロンであれば、「予約管理」「施術履歴の管理」「アフターフォローや新商品の案内」など、データを使う目的をプライバシーポリシーに明記します。当初の目的を超えて使う場合は、原則として改めて本人の同意が必要になりますので、目的は具体的かつ十分な範囲で定めておくことが実務上のポイントです。

3. 店舗間の共有は「第三者提供」に当たるか

個人データを本人以外の第三者に提供するには、原則として本人の同意が必要です（27条1項）。ここで重要なのは、「第三者」とは誰かという点です。同一の法人内であれば、別の店舗で利用しても第三者提供には当たりません。問題となるのは、フランチャイズ加盟店や、グループ内の別法人とデータを共有する場合です。

この場合に同意を個別に得ずに共有する方法として、委託と共同利用があります。両者の違いは次のとおりです。

手法	本人同意	主な要件
第三者提供（27条1項）	原則必要	あらかじめ本人の同意を得る
委託（27条5項1号）	不要	利用目的の達成に必要な範囲で委託。委託先を監督する義務を負う（25条）
共同利用（27条5項3号）	不要	共同利用する旨・項目・範囲・利用目的・管理責任者の氏名又は名称、住所、法人代表者氏名をあらかじめ通知又は容易に知り得る状態に置く

4. 共同利用の要件と実務

複数の法人で顧客データを相互に使う場合は、共同利用の枠組みが適しています。あらかじめ、共同利用する旨、データの項目、共同して利用する者の範囲、利用目的、管理について責任を有する者の氏名又は名称、住所、法人の場合は代表者の氏名を、本人に通知するか、本人が容易に知り得る状態に置きます。ホームページのトップページから簡単にたどれる場所にプライバシーポリシーを掲載し、その中で明示する方法が一般的です。

これらの事項は、共同利用を始める前に明らかにしておく必要があります。共同利用する個人データの項目や共同利用者の範囲の変更は、原則として認められないため、範囲を広げる場合は本人同意を得るなど別途の対応を検討する必要があります。また、利用目的や管理責任者を変更する場合の手続も定められていますので、運用にあたっては、変更手続まで含めて設計しておくことが望まれます。

5. 要配慮個人情報の取扱い

アレルギー、皮膚疾患、既往症などの健康に関する情報は、要配慮個人情報に当たります。これらは、取得の段階で原則として本人の同意が必要であり、本人の同意のない第三者提供は、オプトアウト（本人の求めに応じて提供を停止する方法）によることができません。

カラーやパーマ、まつ毛エクステなどの施術では、肌や体質に関する情報を伺うことがあります。問診票やカウンセリングで健康情報を取得する際は、利用目的を説明して同意を得るとともに、アクセスできる従業員を限定するなど、通常の顧客情報よりも慎重な管理が求められます。

6. 安全管理措置とクラウドの利用

事業者は、取り扱う個人データの漏えい、滅失、毀損を防ぐため、必要かつ適切な安全管理措置を講じなければなりません（23条）。具体的には、責任体制を定める組織的措置、従業員教育などの人的措置、入退室管理や機器の管理といった物理的措置、アクセス制御やログ管理などの技術的措置に整理されます。

クラウド型の予約・顧客管理システムを使う場合は、その提供事業者の管理が委託に当たるかを確認し、委託に当たるときは委託先を適切に監督する必要があります（25条）。アクセス権限を役割ごとに設定し、退職者のアカウントを速やかに停止するなど、運用面の徹底が漏えい防止の鍵となります。

7. 漏えい時の対応と開示請求への備え

個人データの漏えい等が生じ、本人の権利利益を害するおそれが大きい一定の場合には、個人情報保護委員会への報告と本人への通知が義務付けられています（26条）。万一に備え、発覚時の連絡体制と初動の手順をあらかじめ定めておくことが大切です。対応の遅れは被害の拡大と信用の低下を招きます。

また、本人は、自分の保有個人データの開示、訂正、利用停止などを請求できます（33条以下）。請求を受けた際の窓口と対応手順を整え、プライバシーポリシーに問い合わせ先を明記しておくと、円滑な対応が可能になります。

弁護士に相談するメリット

顧客データの一元管理は、仕組みづくりと文書整備が要になります。弁護士に相談することで、次のような備えが可能です。

プライバシーポリシー・共同利用文書の整備：利用目的、共同利用の範囲、管理責任者の氏名又は名称・住所・法人代表者氏名などを過不足なく定め、店舗間のデータ共有を適法に行える文書を整えます。
漏えい時の初動・報告支援：万一の漏えいに備えた手順の整備と、発生時の委員会報告・本人通知をサポートし、被害の拡大と信用低下を防ぎます。
開示請求・苦情対応：本人からの開示・利用停止の請求や苦情への対応について、弁護士法人長瀬総合法律事務所が手順の設計と個別対応を支援します。

弁護士法人長瀬総合法律事務所では、茨城県内の4拠点（牛久本部・日立支所・水戸支所・守谷支所）及び東京支所で、美容室・サロンの経営に関するご相談を承っております。店舗運営、労務管理から事業承継・廃業まで、初回のご相談から解決までサポートいたしますので、お気軽にご相談ください。