---
title: "店舗が知っておきたい個人情報の取り扱いと漏えい時の対応"
url: "https://pro-marketing.jp/marketing-law/store-personal-information/"
canonical: "https://pro-marketing.jp/marketing-law/store-personal-information/"
date: "2026-10-24"
lastmod: "2026-10-24"
description: "店舗が注意すべき個人情報の管理方法と、漏えい時の対応を解説。行政への報告・本人通知の条件、委託先での事故対応、システム導入前に確認したい解約後のデータ削除や保管の扱いをまとめました。"
language: "ja"
image: "https://pro-marketing.jp/wp-content/uploads/2026/10/Image_1-22.jpg"
categories:
  - "マーケティングに関する法律"
tags:
  - "#個人情報保護法"
author:
  name: "小形 洸太"
  url: "https://pro-marketing.jp/author/kotaogata/"
  bio: "マーケティングプロデューサー、集客コンサルタント。大学卒業後、店舗マーケティングツールのASPにて、500店の顧客フォロー及び導入支援業務に従事。その後、2009年からコンサルティングを提供開始。助言だけではなく、対策もできるコンサルタントとして活動。主に、マーケティング関連のディレクション業務を行い、オウンドメディア運用、SNSキャンペーン、実店舗の集客支援を実施。 集客の専門家として、ミラサポや信用保証協会専門家、商工会専門家などの立場で事業主向けに助言業務を実施。また、リクルートや第一興行のメディアでSNSを使った集客の記事の監修。"
---

# 店舗が知っておきたい個人情報の取り扱いと漏えい時の対応

店舗の個人情報管理と事故対応

予約、会員登録、商品配送、メール配信。店舗では日々、お客様の氏名、電話番号、メールアドレス、住所などを取り扱っています。美容室やサロンの顧客カルテ、小売店の購入履歴、飲食店の予約台帳も、管理が必要な情報です。

これらの情報は、店舗のパソコンだけでなく、予約・顧客管理・販促などの外部サービスにも保存されています。サービス提供会社が不正アクセスを受ければ、そのサービスを利用する店舗のお客様にも影響が及ぶ可能性があります。

店舗に必要なのは、情報の保存先と取扱いを把握し、事故を防ぐ対策を講じること。そして、漏えいが疑われたときに、被害を抑えながら報告・通知を進められるようにしておくことです。

**この記事で押さえたいこと**
- 顧客情報の保存先とアクセス権限を把握する
- **導入前に、解約後の顧客情報の削除時期・範囲を確認する**
- **解約後に残った顧客情報の漏えいでも、店舗側に報告・本人通知義務が生じる可能性がある**
- 漏えいが疑われたら、拡大防止と記録の保全を進める
- 不正アクセスは、少人数でも報告・本人通知の対象になり得る

[解約後のデータの確認事項を見る](#kc-privacy-3) ／ [漏えい発覚後の初動対応を見る](#kc-privacy-4) ／ [報告・本人通知の条件を見る](#kc-privacy-5)

この記事の目次
1. [1．個人情報の管理は、小規模な店舗にも必要](#kc-privacy-1)
2. [2．店舗で特に注意したい個人情報の取り扱い](#kc-privacy-2)
3. [3．システム導入時は、事故時と解約時まで確認する](#kc-privacy-3)
4. [4．漏えいが疑われたら、最初に何をするか](#kc-privacy-4)
5. [5．行政への報告と本人通知が必要になる条件](#kc-privacy-5)
6. [6．委託先で漏えいしたとき、店舗が確認すること](#kc-privacy-6)
7. [7．報告・通知の後も、対応は続く](#kc-privacy-7)
8. [8．日常の運用で押さえておきたい主な法律上の義務](#kc-privacy-8)

## 1．個人情報の管理は、小規模な店舗にも必要

個人情報保護法は、大企業だけを対象にした法律ではありません。顧客名簿などを事業に利用する個人経営の店舗も、対象になり得ます。

また、管理するのはお客様の情報だけではありません。従業員や採用応募者の履歴書、連絡先、給与情報、健康診断結果なども含まれます。

法律上、個人情報を検索できるように体系的に整理した顧客名簿などに含まれる情報は、通常「個人データ」に当たります。電子データに限らず、一定のルールで整理され容易に検索できる紙の台帳も該当します。

個人情報の取得・利用に関する規制と、個人データの安全管理・漏えい等に関する規制では対象が異なるため、実際の対応では区別が必要です。[根拠：個人情報保護法2条・16条](https://laws.e-gov.go.jp/law/415AC0000000057)

## 2．店舗で特に注意したい個人情報の取り扱い

### ① 顧客リストを「誰でも見られる状態」にしない

まず確認したいのは、情報を保存している場所と、そこにアクセスできる人です。

例えば、共有ファイルを「リンクを知っている全員が閲覧可能」にすると、リンクの転送先まで管理できなくなります。顧客名簿を従業員全員が閲覧・ダウンロードできる状態も、業務上本当に必要か見直すべきです。

店舗では、次のような運用を決めておきましょう。

- 予約の確認、顧客情報の編集、全件ダウンロードの権限を分ける
- 外部とのファイル共有は、共有相手を指定し、必要に応じて期限を設定する
- 予約台帳や配送伝票は、お客様や配送業者から見えない場所で扱う
- 顧客情報を表示した画面を放置せず、自動ロックを設定する
- 履歴書や紙の名簿は施錠保管し、廃棄するときは内容を読めない状態にする

**システム自体の安全性に加え、店舗側の共有設定や権限設定が適切かを確認する必要があります。**

### ② システムから書き出した後の情報を管理する

顧客管理システムで厳しくアクセスを制限していても、書き出した顧客リストが店舗のパソコンや個人のメールに残っていれば、そこから漏えいする可能性があります。

特に見落としやすいのは、次のような複製です。

横にスクロールしてご覧いただけます。

| 情報が残りやすい場所 | 店舗で決めておきたい運用 |
| --- | --- |
| パソコンのダウンロードフォルダ | 作業後に残さない。保管が必要な場合は指定の保存先に移す |
| メールの添付ファイル | リスト全体の送付を避け、必要な項目・対象者に限定する |
| 従業員の私物スマートフォン | 顧客情報の撮影・保存・私用アプリへの転送を制限する |
| 販促会社などへの共有フォルダ | 作業終了時に共有を解除し、相手側の保存・削除も確認する |
| 試用したサービス | 本契約に至らなかった場合も、登録データの削除を確認する |

顧客リストを外部のAIサービスや翻訳サービスなどに入力するときも、利用目的、契約条件、保存・二次利用の扱いを確認する運用にしましょう。

### ③ 共有アカウントと退職者の権限を放置しない

全員が同じIDとパスワードを使っていると、誰が顧客情報を閲覧・持ち出したのかを追いにくくなります。退職者がパスワードを知っていれば、退職後もアクセスできる場合があります。

可能な限り従業員ごとにアカウントを発行し、管理者の権限は限定します。多要素認証を設定し、異動・退職時にはアカウント、共有フォルダ、端末、外部サービスの権限をまとめて見直しましょう。

サービスのログイン先だけでなく、パスワードの再設定に使うメールアカウントも重要です。管理用メールを乗っ取られると、複数のサービスに影響が広がるおそれがあります。[参考：IPA「中小企業の情報セキュリティ対策ガイドライン」](https://www.ipa.go.jp/security/guide/sme/about.html)

### ④ 情報の種類によって、取扱いの慎重さを変える

氏名と連絡先だけの名簿と、病歴・健康状態・決済情報まで含むデータでは、事故時の影響が異なります。

顧客カルテに病歴などを記録する場合は、内容によって「要配慮個人情報」に該当し、取得時には原則として本人の同意が必要です。単なる好みや接客上のメモと一括りにしないようにしましょう。

不要な情報は収集せず、自由記入欄にも必要以上の内容を残さないことが大切です。決済情報についても、自店舗で保持する必要があるかを確認します。[根拠：個人情報保護法2条3項・20条2項](https://laws.e-gov.go.jp/law/415AC0000000057)

### ⑤ 解約しても、預けた個人情報が消えるとは限らない

メール配信を停止しても、顧客情報が削除されるとは限りません。サービスを解約しても、バックアップや請求・問い合わせ履歴に情報が残る場合があります。

**契約前に「解約後、預けた顧客情報はいつ・どこから削除されるのか」を確認しましょう。解約手続とデータの削除は、同じとは限りません。**

また、配信停止の希望を守るため、再配信防止に必要な最小限の情報を管理する設計も考えられます。単に「全部残す」「全部消す」とするのではなく、何のために、どの情報を、いつまで保持するのかを決めましょう。

個人情報保護法22条は、利用する必要がなくなった個人データを遅滞なく消去する努力義務を定めています。一方、本人からの利用停止・消去の請求には、法35条の要件に応じて対応義務が生じます。

**「消去は努力義務だから、不要なデータを無期限に残してよい」という理解は適切ではありません。** 保管している間は安全管理が必要であり、契約上の削除義務が定められている場合もあります。[根拠：個人情報保護委員会Q&A・Q5－2、Q5－3、Q9－20](https://www.ppc.go.jp/personalinfo/faq/APPI_QA/)

## 3．システム導入時は、事故時と解約時まで確認する

予約、会員管理、メール配信などのサービスは、機能と料金に加えて、次の点を確認しましょう。

横にスクロールしてご覧いただけます。

| 確認項目 | 契約前に確認したい具体的な内容 |
| --- | --- |
| セキュリティ体制 | 専門担当者、定期的な診断、問題の修正、事故対応の体制があるか |
| 店舗側の管理機能 | 多要素認証、担当者別の権限、ダウンロード制限を設定できるか |
| 操作・アクセス記録 | 閲覧や書き出しの履歴を記録しているか。保存期間と事故時の提供範囲は何か |
| データの利用範囲 | 店舗の業務以外に、サービス会社自身の広告や分析などに利用されるか |
| 再委託・外部連携 | どの事業者に、どの情報を渡すか。海外での取扱いがあるか |
| 事故時の連絡 | 漏えいの「疑い」の段階でも連絡されるか。連絡期限、窓口、調査への協力範囲は何か |
| 費用・責任分担 | 調査、本人通知、問い合わせ対応などの負担と、賠償責任の条件・上限はどうなっているか |
| 解約時の取扱い | データの取り出し、削除期限、バックアップ・再委託先の削除、削除完了の確認方法は何か |

### 特に重要：解約後のデータの扱いを、導入前に確認する

「解約すれば顧客情報もすべて消えるはず」と考えず、サービス会社に削除の対象・時期・方法を具体的に確認しましょう。「当社の規定に従って処理します」という説明だけでは、何がいつまで残るのか分かりません。

契約前の問い合わせでは、次の六つを確認すると整理しやすくなります。

- **何が消えるか**：登録した顧客リスト、予約履歴、配信先リスト、添付ファイル、店舗担当者のアカウント情報のうち、削除対象はどれか
- **いつ消えるか**：解約と同時に削除されるのか、一定期間後なのか。別途、削除申請が必要か
- **どこから消えるか**：通常のシステムだけでなく、バックアップや再委託先にある複製も削除されるか。その時期はいつか
- **何が残るか**：法令対応などのために残す情報、その利用目的、保存期間、保存中の保護方法は何か
- **削除をどう確認するか**：削除完了の通知や報告を受け取れるか
- **解約後の事故はどう知らされるか**：残存データが漏えいした場合の連絡先、連絡期限、調査・本人通知への協力はどうなるか

回答は、利用規約、契約書、サービス会社からのメールなどで残します。実際に解約するときも、必要なデータを取り出したうえで、削除申請と完了確認まで行いましょう。

**解約後にサービス会社に残っていた顧客情報が漏えいした場合も、店舗側に行政への報告や本人通知の義務が生じる可能性があります。「もう使っていないサービスだから関係ない」とは判断できません。**

例えば、以前利用していたメール配信システムに、店舗が登録した氏名・メールアドレスのリストが削除待ちで残り、不正アクセスで漏えいしたケースです。このように、店舗が預けた顧客データが委託に伴って保管されている場合は、解約済みであることだけで店舗側の義務がなくなるとはいえません。自店舗の情報への影響を確認し、後述の報告・本人通知の条件に照らして対応を判断します。

実際の義務は、残っていた情報の性質、保管の目的、契約と取扱いの実態、漏えいの状況によって異なります。ここでの説明は、委託元にも報告・本人通知義務があるという原則を、解約後の残存データにも注意すべき点として示したものです。[根拠となる原則：個人情報保護法26条、通則編3－5－3－2・3－5－4－1](https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/)

### セキュリティの水準と、情報の保存先も確認する

第三者認証などは判断材料になりますが、対象となるサービスや認証範囲も確認します。「セキュリティに投資している」という説明だけでなく、店舗が必要とする対策が実装・運用されているかを見ることが重要です。[参考：IPA「中小企業のためのクラウドサービス安全利用の手引き」掲載ページ](https://www.ipa.go.jp/security/guide/sme/about.html)

複数のシステムを使う場合は、顧客情報の保存先、連携先、管理担当者、保管期限を一覧にします。新しいサービスを導入するときに、同じ情報の複製先がいくつ増えるのかも確認しましょう。

なお、サービス会社が個人データを取り扱うかどうかによって、法律上の「委託」への該当性は異なります。名称だけで判断せず、契約と実態を確認する必要があります。[根拠：個人情報保護委員会Q&A・Q7－53](https://www.ppc.go.jp/all_faq_index/faq1-q7-53/)

## 4．漏えいが疑われたら、最初に何をするか

「確実に流出したと分かってから対応する」では遅れることがあります。不審なログイン、誤送信、端末の紛失、サービス会社からの事故連絡などを受けた段階で、初動対応を始めます。

以下は実務上の対応順序です。調査や被害拡大防止、法的な判断は、必要に応じて並行して進めます。

### 発見直後：責任者に共有し、被害の拡大を止める

発見した従業員が一人で処理せず、店長・経営者などの責任者に報告します。小規模店舗でも、最終判断をする人、サービス会社と連絡する人、顧客対応をする人を決めておくと混乱を抑えられます。同じ人が兼任しても構いません。

初動は、事故の種類によって異なります。

横にスクロールしてご覧いただけます。

| 起きたこと | 最初に行う対応 |
| --- | --- |
| 顧客情報を別の相手にメール送信した | 誤送信先に閲覧・転送を控えるよう連絡し、削除を依頼する。何を送ったか、相手が閲覧したか、削除確認の結果を記録する |
| 顧客リストを公開設定にしていた | 公開を解除する。公開期間、設定内容、アクセス記録を確保する |
| 管理アカウントへの不正ログインが疑われる | 信頼できる端末から利用停止やパスワード変更を行い、既存のログイン状態・外部連携の無効化もサービス会社に確認する |
| パソコンが感染した疑いがある | ネットワークから切り離し、専門担当者に連絡する。不用意な初期化や履歴削除を避ける |
| 紙の台帳や端末を紛失した | 最後に確認した場所・時刻、記録内容を調べる。端末の利用停止・遠隔ロックなどを検討する |

感染端末の電源を切ると調査に必要な記録が失われることがあります。まず通信を遮断し、その後の操作は専門家や保守担当者の指示を受けることが基本です。[参考：IPA「中小企業のためのセキュリティインシデント対応の手引き」説明資料](https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_app_incidenttebiki.pdf)

誤送信先が削除した、公開設定を解除したという事実は、その後の拡大を防いだことを示します。ただし、それだけで既に起きた閲覧や流出まで否定できるわけではありません。

### 初動と並行：事実と対応履歴を一か所にまとめる

対応記録には、少なくとも次を残します。

- 発見した日時、発見者、発見のきっかけ
- 事故が起きた、または起きた可能性がある期間
- 対象となるシステム、ファイル、紙の書類
- 情報の種類と、対象者の範囲・人数
- 第三者による閲覧、取得、転送の可能性
- 実施した対策と、その日時・担当者
- サービス会社からの回答と、未回答の事項
- 行政への報告、本人通知の判断・実施状況

**「確認できた事実」「まだ分からないこと」「現時点の推測」を分けて記録しましょう。**

例えば、顧客リストが3,000人分あり、50人分のダウンロード履歴が見つかったとしても、直ちに対象を50人と断定できるとは限りません。ほかの閲覧・取得の可能性まで調べる必要があります。

ログが残っていない場合も、「流出の証拠がない」と「流出していないことを確認できた」は区別します。

## 5．行政への報告と本人通知が必要になる条件

### 不正アクセスによる漏えいは、少人数でも対象になり得る

個人情報保護法26条・施行規則7条では、次のいずれかに該当する漏えい等について、原則として行政への報告と本人通知が必要です。漏えい等には、滅失・毀損や、そのおそれも含まれます。

横にスクロールしてご覧いただけます。

| 対象となる条件 | 店舗で考えられる例 |
| --- | --- |
| 要配慮個人情報が含まれる | 従業員の健康診断結果や、病歴を含む顧客データが流出した |
| 不正利用による財産的被害のおそれがある | クレジットカード情報などが流出した |
| 不正目的の行為によるもの | 不正アクセスや、従業員による顧客名簿の不正持ち出し |
| 対象者が1,000人を超える | 1,001人以上の顧客データが流出した |

**人数の基準は、四つある条件の一つです。** 不正アクセスなら、氏名・メールアドレスだけの少人数の漏えいでも対象になり得ます。一方、少人数への単純な誤送信は、情報の内容や事情によって法定の報告対象に該当しない場合もあります。[根拠：個人情報保護委員会「漏えい等報告・本人への通知の義務化について」](https://www.ppc.go.jp/news/kaiseihou_feature/roueitouhoukoku_gimuka/)

高度な暗号化などに関する例外もありますが、「パスワードが付いているから報告不要」と自己判断せず、保護措置と事故の状況を確認する必要があります。

### 速報は、調査が終わる前でも行う

報告対象の場合、行政への報告には速報と確報があります。

横にスクロールしてご覧いただけます。

| 対応 | 期限・時期 | 実務上のポイント |
| --- | --- | --- |
| 速報 | 事態を知った後、速やかに。目安は概ね3～5日以内 | その時点で分かっている内容を報告する |
| 確報 | 事態を知った日から30日以内。不正目的の行為による事態は60日以内 | 原因、対象情報・人数、本人対応、再発防止策などを整理する |
| 本人通知 | 事態の状況に応じて速やかに | 確報期限まで待ってよいという意味ではない |

「知った日」は、調査完了日ではありません。法人では、いずれかの部署が対象事態を知った時点が基準となるため、経営者への報告が遅れても期限が後ろにずれるとは限りません。

報告先は原則として個人情報保護委員会ですが、権限が委任されている場合は所管省庁です。[根拠：施行規則8・10条、政府「サイバーセキュリティ関係法令Q&A」](https://security-portal.cyber.go.jp/guidance/law-handbook/v2-03.html)

確報期限まで合理的に調査しても一部が判明しない場合は、その時点の内容を報告し、判明した事項を追加します。報告様式や記載例は、個人情報保護委員会の案内を確認できます。[報告窓口・資料：漏えい等の対応とお役立ち資料](https://www.ppc.go.jp/personalinfo/legal/leakAction/)

### 本人通知では、お客様が取るべき行動まで伝える

本人通知は、謝罪だけで終わらせないことが重要です。法定の通知事項を踏まえ、本人が被害を防ぐために必要な情報を、分かりやすく伝えます。

横にスクロールしてご覧いただけます。

| 伝える内容 | 記載の考え方 |
| --- | --- |
| 何が起きたか | 発覚日と事故の概要を説明する |
| どの情報が対象か | 氏名、電話番号など、対象項目を具体的に示す |
| 原因 | 調査中なら、その旨を明記する |
| 想定される二次被害 | なりすまし連絡、不審なメール、不正決済など、事故に関係するものを示す |
| 店舗が実施した対応 | 公開停止、アカウント停止、調査依頼など、実施済みの内容を示す |
| 本人にお願いしたい対応 | 必要な場合のパスワード変更や、利用明細の確認などを案内する |
| 問い合わせ先 | 連絡先、受付時間、続報の掲載先を示す |

例えばメールアドレスの漏えいなら、店舗やサービス会社を装った不審な連絡への注意を案内します。パスワードが漏えいした可能性がある場合は、当該サービスの再設定に加え、使い回している他サービスの変更も案内します。

未確認の段階で「被害はありません」「すべて安全です」と断定せず、確認できた範囲と確認日時を示しましょう。通知メールの一斉送信で宛先を公開してしまうなど、対応時の二次的な漏えいにも注意が必要です。

本人通知が困難で、権利利益を保護するための代替措置を取る場合には例外がありますが、ホームページへの掲載だけで常に個別通知を省略できるわけではありません。[根拠：個人情報保護法26条2項・施行規則10条](https://laws.e-gov.go.jp/law/428M60020000003)

一般向けの公表は、すべての事故で一律に義務となるものではありません。本人通知と区別し、二次被害の防止などの観点から判断します。[根拠：個人情報保護委員会Q&A・Q6－33](https://www.ppc.go.jp/all_faq_index/faq1-q6-33/)

## 6．委託先で漏えいしたとき、店舗が確認すること

予約・顧客管理などの委託先で事故が起きた場合も、店舗は連絡を受けて終わりではありません。

まず、自店舗の顧客情報が対象なのか、対象となるおそれがあるのかを確認します。サービス全体で事故が起きたことだけで、自店舗のすべての情報が流出したと断定することも避けましょう。

**解約済みのサービスから事故の連絡が来た場合も、以前預けた顧客情報が残っていなかったかを確認してください。残存データが対象なら、店舗側に報告・本人通知の義務が生じる可能性があります。**

### 委託先に確認する七つの事項

1. **自店舗への影響**：自店舗のデータが対象なのか。対象外という場合は、どのような調査・根拠による判断か。
2. **対象情報と顧客の範囲**：情報の項目、人数、登録期間は何か。既に退会した顧客や、解約済み店舗の情報も含まれるか。
3. **発生・発覚の時期**：事故が起きた時期と、委託先が把握した時期はいつか。現在も流出が続く可能性はあるか。
4. **調査の状況**：原因と流出経路、調査済みの範囲、分からない事項、今後の調査予定は何か。
5. **店舗側で必要な対処**：パスワード変更、外部連携の停止、利用停止などが必要か。
6. **行政報告と本人通知の分担**：誰の名義で、誰の義務を履行する報告・通知なのか。自店舗分が含まれるか。
7. **続報と費用負担**：次の連絡時期、専用窓口、通知文や問い合わせ対応の支援、費用負担はどうなるか。

### 「委託先が報告済み」でも、内容を確認する

個人データの取扱いを委託している場合、報告対象事態については、原則として委託元と委託先の双方に報告・本人通知の義務があります。行政への報告は、連名で行うこともできます。

委託先が、法令に従って委託元へ必要な事項を通知した場合は、委託先の報告・本人通知義務が免除されます。この場合、委託元である店舗側が対応することになります。

したがって、委託先が「個人情報保護委員会に報告しました」と説明していても、**その報告が店舗側の義務を含むものか確認する必要があります。** 報告の名義、対象範囲、提出内容、提出日を確認し、本人通知についても対象者・実施方法・実施日を把握しましょう。[根拠：通則編3－5－3－2・3－5－3－5・3－5－4－1](https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/)

## 7．報告・通知の後も、対応は続く

事故対応では、対象者の追加判明、原因の修正、新たな二次被害などが起こり得ます。新しい事実が分かったら、行政報告や本人への説明を更新します。

法定の報告対象に当たらない場合でも、必要な被害拡大防止や再発防止まで不要になるわけではありません。本人への説明の必要性を検討し、報告対象外と判断した理由も記録しておきましょう。

不正アクセスや盗難が疑われる場合は警察への相談、決済情報が関係する場合は契約先の決済事業者への連絡も検討します。決済事業者、フランチャイズ本部、保険会社などとの契約に、事故連絡の期限が定められている場合もあります。

再発防止では、事故の原因に対応する改善を行います。

- 誤送信なら、宛先確認と送信方法を見直す
- 公開設定ミスなら、共有設定の初期値と変更権限を見直す
- 不正ログインなら、認証方法と管理アカウントを見直す
- 不要なデータが流出したなら、保管期間と削除手順を見直す
- 委託先からの連絡が遅れたなら、契約と連絡体制を見直す

「従業員に注意するよう伝えた」だけで終わらせず、同じ操作や設定ミスが起きにくい仕組みに変えることが重要です。

## 8．日常の運用で押さえておきたい主な法律上の義務

横にスクロールしてご覧いただけます。

| 根拠条文 | 店舗で必要になる対応 |
| --- | --- |
| 個人情報保護法17・18条 | 利用目的を具体化し、その範囲を超える利用には原則として本人同意を得る |
| 同法20・21条 | 適正に取得し、利用目的を通知・公表する。本人から書面等で直接取得する場合は原則として事前に明示する |
| 同法23～25条 | 安全管理措置を講じ、従業者・委託先を必要かつ適切に監督する |
| 同法27・28条 | 第三者提供や外国への提供について、同意その他の適法な要件を確認する |
| 同法32～35条 | 保有個人データに関する事項を本人が知り得る状態にし、開示・訂正・利用停止等の請求に法定の要件に従って対応する |
| 同法40条 | 苦情の適切・迅速な処理と、その体制整備に努める |

[根拠：個人情報保護法](https://laws.e-gov.go.jp/law/415AC0000000057)

広告宣伝メールには、特定電子メール法も関係します。原則として事前同意が必要で、同意記録の保存、送信者情報などの表示、受信拒否後の配信停止にも対応します。予約時に取得したメールアドレスを、そのまま自由に販促へ利用できるとは限りません。[根拠：特定電子メール法3・4条](https://laws.e-gov.go.jp/law/414AC0100000026)

店舗ではまず、「情報の保存先」「閲覧・操作できる人」「不要になったときの削除方法」「事故時の責任者と連絡先」を確認しましょう。外部サービスを利用する場合も、この四つを店舗側で説明できる状態にしておくことが、日常の管理と事故時の対応の土台になります。

※2026年10月24日時点で確認した法令・公表資料に基づく一般的な解説です。個別の事故では、情報の内容、契約関係、調査結果によって対応が異なります。従業員のマイナンバーを含む情報については、番号法に基づく別の取扱い・報告要件も確認してください。