店舗が知っておきたい個人情報の取り扱いと漏えい時の対応

この記事の目次

1. 1．個人情報の管理は、小規模な店舗にも必要
2. 2．店舗で特に注意したい個人情報の取り扱い
3. 3．システム導入時は、事故時と解約時まで確認する
4. 4．漏えいが疑われたら、最初に何をするか
5. 5．行政への報告と本人通知が必要になる条件
6. 6．委託先で漏えいしたとき、店舗が確認すること
7. 7．報告・通知の後も、対応は続く
8. 8．日常の運用で押さえておきたい主な法律上の義務

1．個人情報の管理は、小規模な店舗にも必要

個人情報保護法は、大企業だけを対象にした法律ではありません。顧客名簿などを事業に利用する個人経営の店舗も、対象になり得ます。

また、管理するのはお客様の情報だけではありません。従業員や採用応募者の履歴書、連絡先、給与情報、健康診断結果なども含まれます。

法律上、個人情報を検索できるように体系的に整理した顧客名簿などに含まれる情報は、通常「個人データ」に当たります。電子データに限らず、一定のルールで整理され容易に検索できる紙の台帳も該当します。

個人情報の取得・利用に関する規制と、個人データの安全管理・漏えい等に関する規制では対象が異なるため、実際の対応では区別が必要です。根拠：個人情報保護法2条・16条

2．店舗で特に注意したい個人情報の取り扱い

① 顧客リストを「誰でも見られる状態」にしない

まず確認したいのは、情報を保存している場所と、そこにアクセスできる人です。

例えば、共有ファイルを「リンクを知っている全員が閲覧可能」にすると、リンクの転送先まで管理できなくなります。顧客名簿を従業員全員が閲覧・ダウンロードできる状態も、業務上本当に必要か見直すべきです。

店舗では、次のような運用を決めておきましょう。

• 予約の確認、顧客情報の編集、全件ダウンロードの権限を分ける
• 外部とのファイル共有は、共有相手を指定し、必要に応じて期限を設定する
• 予約台帳や配送伝票は、お客様や配送業者から見えない場所で扱う
• 顧客情報を表示した画面を放置せず、自動ロックを設定する
• 履歴書や紙の名簿は施錠保管し、廃棄するときは内容を読めない状態にする

② システムから書き出した後の情報を管理する

顧客管理システムで厳しくアクセスを制限していても、書き出した顧客リストが店舗のパソコンや個人のメールに残っていれば、そこから漏えいする可能性があります。

特に見落としやすいのは、次のような複製です。

横にスクロールしてご覧いただけます。

顧客リストを外部のAIサービスや翻訳サービスなどに入力するときも、利用目的、契約条件、保存・二次利用の扱いを確認する運用にしましょう。

③ 共有アカウントと退職者の権限を放置しない

全員が同じIDとパスワードを使っていると、誰が顧客情報を閲覧・持ち出したのかを追いにくくなります。退職者がパスワードを知っていれば、退職後もアクセスできる場合があります。

可能な限り従業員ごとにアカウントを発行し、管理者の権限は限定します。多要素認証を設定し、異動・退職時にはアカウント、共有フォルダ、端末、外部サービスの権限をまとめて見直しましょう。

サービスのログイン先だけでなく、パスワードの再設定に使うメールアカウントも重要です。管理用メールを乗っ取られると、複数のサービスに影響が広がるおそれがあります。参考：IPA「中小企業の情報セキュリティ対策ガイドライン」

④ 情報の種類によって、取扱いの慎重さを変える

氏名と連絡先だけの名簿と、病歴・健康状態・決済情報まで含むデータでは、事故時の影響が異なります。

顧客カルテに病歴などを記録する場合は、内容によって「要配慮個人情報」に該当し、取得時には原則として本人の同意が必要です。単なる好みや接客上のメモと一括りにしないようにしましょう。

不要な情報は収集せず、自由記入欄にも必要以上の内容を残さないことが大切です。決済情報についても、自店舗で保持する必要があるかを確認します。根拠：個人情報保護法2条3項・20条2項

⑤ 解約しても、預けた個人情報が消えるとは限らない

メール配信を停止しても、顧客情報が削除されるとは限りません。サービスを解約しても、バックアップや請求・問い合わせ履歴に情報が残る場合があります。

また、配信停止の希望を守るため、再配信防止に必要な最小限の情報を管理する設計も考えられます。単に「全部残す」「全部消す」とするのではなく、何のために、どの情報を、いつまで保持するのかを決めましょう。

個人情報保護法22条は、利用する必要がなくなった個人データを遅滞なく消去する努力義務を定めています。一方、本人からの利用停止・消去の請求には、法35条の要件に応じて対応義務が生じます。

「消去は努力義務だから、不要なデータを無期限に残してよい」という理解は適切ではありません。 保管している間は安全管理が必要であり、契約上の削除義務が定められている場合もあります。根拠：個人情報保護委員会Q&A・Q5－2、Q5－3、Q9－20

3．システム導入時は、事故時と解約時まで確認する

予約、会員管理、メール配信などのサービスは、機能と料金に加えて、次の点を確認しましょう。

横にスクロールしてご覧いただけます。

特に重要：解約後のデータの扱いを、導入前に確認する

「解約すれば顧客情報もすべて消えるはず」と考えず、サービス会社に削除の対象・時期・方法を具体的に確認しましょう。「当社の規定に従って処理します」という説明だけでは、何がいつまで残るのか分かりません。

契約前の問い合わせでは、次の六つを確認すると整理しやすくなります。

• 何が消えるか：登録した顧客リスト、予約履歴、配信先リスト、添付ファイル、店舗担当者のアカウント情報のうち、削除対象はどれか
• いつ消えるか：解約と同時に削除されるのか、一定期間後なのか。別途、削除申請が必要か
• どこから消えるか：通常のシステムだけでなく、バックアップや再委託先にある複製も削除されるか。その時期はいつか
• 何が残るか：法令対応などのために残す情報、その利用目的、保存期間、保存中の保護方法は何か
• 削除をどう確認するか：削除完了の通知や報告を受け取れるか
• 解約後の事故はどう知らされるか：残存データが漏えいした場合の連絡先、連絡期限、調査・本人通知への協力はどうなるか

回答は、利用規約、契約書、サービス会社からのメールなどで残します。実際に解約するときも、必要なデータを取り出したうえで、削除申請と完了確認まで行いましょう。

例えば、以前利用していたメール配信システムに、店舗が登録した氏名・メールアドレスのリストが削除待ちで残り、不正アクセスで漏えいしたケースです。このように、店舗が預けた顧客データが委託に伴って保管されている場合は、解約済みであることだけで店舗側の義務がなくなるとはいえません。自店舗の情報への影響を確認し、後述の報告・本人通知の条件に照らして対応を判断します。

実際の義務は、残っていた情報の性質、保管の目的、契約と取扱いの実態、漏えいの状況によって異なります。ここでの説明は、委託元にも報告・本人通知義務があるという原則を、解約後の残存データにも注意すべき点として示したものです。根拠となる原則：個人情報保護法26条、通則編3－5－3－2・3－5－4－1

セキュリティの水準と、情報の保存先も確認する

第三者認証などは判断材料になりますが、対象となるサービスや認証範囲も確認します。「セキュリティに投資している」という説明だけでなく、店舗が必要とする対策が実装・運用されているかを見ることが重要です。参考：IPA「中小企業のためのクラウドサービス安全利用の手引き」掲載ページ

複数のシステムを使う場合は、顧客情報の保存先、連携先、管理担当者、保管期限を一覧にします。新しいサービスを導入するときに、同じ情報の複製先がいくつ増えるのかも確認しましょう。

なお、サービス会社が個人データを取り扱うかどうかによって、法律上の「委託」への該当性は異なります。名称だけで判断せず、契約と実態を確認する必要があります。根拠：個人情報保護委員会Q&A・Q7－53

4．漏えいが疑われたら、最初に何をするか

「確実に流出したと分かってから対応する」では遅れることがあります。不審なログイン、誤送信、端末の紛失、サービス会社からの事故連絡などを受けた段階で、初動対応を始めます。

以下は実務上の対応順序です。調査や被害拡大防止、法的な判断は、必要に応じて並行して進めます。

発見直後：責任者に共有し、被害の拡大を止める

発見した従業員が一人で処理せず、店長・経営者などの責任者に報告します。小規模店舗でも、最終判断をする人、サービス会社と連絡する人、顧客対応をする人を決めておくと混乱を抑えられます。同じ人が兼任しても構いません。

初動は、事故の種類によって異なります。

横にスクロールしてご覧いただけます。

感染端末の電源を切ると調査に必要な記録が失われることがあります。まず通信を遮断し、その後の操作は専門家や保守担当者の指示を受けることが基本です。参考：IPA「中小企業のためのセキュリティインシデント対応の手引き」説明資料

誤送信先が削除した、公開設定を解除したという事実は、その後の拡大を防いだことを示します。ただし、それだけで既に起きた閲覧や流出まで否定できるわけではありません。

初動と並行：事実と対応履歴を一か所にまとめる

対応記録には、少なくとも次を残します。

• 発見した日時、発見者、発見のきっかけ
• 事故が起きた、または起きた可能性がある期間
• 対象となるシステム、ファイル、紙の書類
• 情報の種類と、対象者の範囲・人数
• 第三者による閲覧、取得、転送の可能性
• 実施した対策と、その日時・担当者
• サービス会社からの回答と、未回答の事項
• 行政への報告、本人通知の判断・実施状況

例えば、顧客リストが3,000人分あり、50人分のダウンロード履歴が見つかったとしても、直ちに対象を50人と断定できるとは限りません。ほかの閲覧・取得の可能性まで調べる必要があります。

ログが残っていない場合も、「流出の証拠がない」と「流出していないことを確認できた」は区別します。

5．行政への報告と本人通知が必要になる条件

不正アクセスによる漏えいは、少人数でも対象になり得る

個人情報保護法26条・施行規則7条では、次のいずれかに該当する漏えい等について、原則として行政への報告と本人通知が必要です。漏えい等には、滅失・毀損や、そのおそれも含まれます。

横にスクロールしてご覧いただけます。

人数の基準は、四つある条件の一つです。 不正アクセスなら、氏名・メールアドレスだけの少人数の漏えいでも対象になり得ます。一方、少人数への単純な誤送信は、情報の内容や事情によって法定の報告対象に該当しない場合もあります。根拠：個人情報保護委員会「漏えい等報告・本人への通知の義務化について」

高度な暗号化などに関する例外もありますが、「パスワードが付いているから報告不要」と自己判断せず、保護措置と事故の状況を確認する必要があります。

速報は、調査が終わる前でも行う

報告対象の場合、行政への報告には速報と確報があります。

横にスクロールしてご覧いただけます。

「知った日」は、調査完了日ではありません。法人では、いずれかの部署が対象事態を知った時点が基準となるため、経営者への報告が遅れても期限が後ろにずれるとは限りません。

報告先は原則として個人情報保護委員会ですが、権限が委任されている場合は所管省庁です。根拠：施行規則8・10条、政府「サイバーセキュリティ関係法令Q&A」

確報期限まで合理的に調査しても一部が判明しない場合は、その時点の内容を報告し、判明した事項を追加します。報告様式や記載例は、個人情報保護委員会の案内を確認できます。報告窓口・資料：漏えい等の対応とお役立ち資料

本人通知では、お客様が取るべき行動まで伝える

本人通知は、謝罪だけで終わらせないことが重要です。法定の通知事項を踏まえ、本人が被害を防ぐために必要な情報を、分かりやすく伝えます。

横にスクロールしてご覧いただけます。

例えばメールアドレスの漏えいなら、店舗やサービス会社を装った不審な連絡への注意を案内します。パスワードが漏えいした可能性がある場合は、当該サービスの再設定に加え、使い回している他サービスの変更も案内します。

未確認の段階で「被害はありません」「すべて安全です」と断定せず、確認できた範囲と確認日時を示しましょう。通知メールの一斉送信で宛先を公開してしまうなど、対応時の二次的な漏えいにも注意が必要です。

本人通知が困難で、権利利益を保護するための代替措置を取る場合には例外がありますが、ホームページへの掲載だけで常に個別通知を省略できるわけではありません。根拠：個人情報保護法26条2項・施行規則10条

一般向けの公表は、すべての事故で一律に義務となるものではありません。本人通知と区別し、二次被害の防止などの観点から判断します。根拠：個人情報保護委員会Q&A・Q6－33

6．委託先で漏えいしたとき、店舗が確認すること

予約・顧客管理などの委託先で事故が起きた場合も、店舗は連絡を受けて終わりではありません。

まず、自店舗の顧客情報が対象なのか、対象となるおそれがあるのかを確認します。サービス全体で事故が起きたことだけで、自店舗のすべての情報が流出したと断定することも避けましょう。

委託先に確認する七つの事項

1. 自店舗への影響：自店舗のデータが対象なのか。対象外という場合は、どのような調査・根拠による判断か。
2. 対象情報と顧客の範囲：情報の項目、人数、登録期間は何か。既に退会した顧客や、解約済み店舗の情報も含まれるか。
3. 発生・発覚の時期：事故が起きた時期と、委託先が把握した時期はいつか。現在も流出が続く可能性はあるか。
4. 調査の状況：原因と流出経路、調査済みの範囲、分からない事項、今後の調査予定は何か。
5. 店舗側で必要な対処：パスワード変更、外部連携の停止、利用停止などが必要か。
6. 行政報告と本人通知の分担：誰の名義で、誰の義務を履行する報告・通知なのか。自店舗分が含まれるか。
7. 続報と費用負担：次の連絡時期、専用窓口、通知文や問い合わせ対応の支援、費用負担はどうなるか。

「委託先が報告済み」でも、内容を確認する

個人データの取扱いを委託している場合、報告対象事態については、原則として委託元と委託先の双方に報告・本人通知の義務があります。行政への報告は、連名で行うこともできます。

委託先が、法令に従って委託元へ必要な事項を通知した場合は、委託先の報告・本人通知義務が免除されます。この場合、委託元である店舗側が対応することになります。

したがって、委託先が「個人情報保護委員会に報告しました」と説明していても、その報告が店舗側の義務を含むものか確認する必要があります。 報告の名義、対象範囲、提出内容、提出日を確認し、本人通知についても対象者・実施方法・実施日を把握しましょう。根拠：通則編3－5－3－2・3－5－3－5・3－5－4－1

7．報告・通知の後も、対応は続く

事故対応では、対象者の追加判明、原因の修正、新たな二次被害などが起こり得ます。新しい事実が分かったら、行政報告や本人への説明を更新します。

法定の報告対象に当たらない場合でも、必要な被害拡大防止や再発防止まで不要になるわけではありません。本人への説明の必要性を検討し、報告対象外と判断した理由も記録しておきましょう。

不正アクセスや盗難が疑われる場合は警察への相談、決済情報が関係する場合は契約先の決済事業者への連絡も検討します。決済事業者、フランチャイズ本部、保険会社などとの契約に、事故連絡の期限が定められている場合もあります。

再発防止では、事故の原因に対応する改善を行います。

• 誤送信なら、宛先確認と送信方法を見直す
• 公開設定ミスなら、共有設定の初期値と変更権限を見直す
• 不正ログインなら、認証方法と管理アカウントを見直す
• 不要なデータが流出したなら、保管期間と削除手順を見直す
• 委託先からの連絡が遅れたなら、契約と連絡体制を見直す

「従業員に注意するよう伝えた」だけで終わらせず、同じ操作や設定ミスが起きにくい仕組みに変えることが重要です。

8．日常の運用で押さえておきたい主な法律上の義務

横にスクロールしてご覧いただけます。

根拠：個人情報保護法

広告宣伝メールには、特定電子メール法も関係します。原則として事前同意が必要で、同意記録の保存、送信者情報などの表示、受信拒否後の配信停止にも対応します。予約時に取得したメールアドレスを、そのまま自由に販促へ利用できるとは限りません。根拠：特定電子メール法3・4条

店舗ではまず、「情報の保存先」「閲覧・操作できる人」「不要になったときの削除方法」「事故時の責任者と連絡先」を確認しましょう。外部サービスを利用する場合も、この四つを店舗側で説明できる状態にしておくことが、日常の管理と事故時の対応の土台になります。