本文へ移動
記事を読み込み中…
法令

顧客名簿の取扱いの個人情報保護法対応は？

予約のお電話で伺ったお名前と連絡先、会員カードの情報、アンケートのメールアドレス。飲食店には、思った以上に多くのお客様情報が集まります。これらはすべて「個人情報」です。「うちは小さな店だから関係ない」と感じるかもしれませんが、個人情報保護法は、扱う件数にかかわらずすべての事業者に適用されます。この記事では、何を守ればよいかを、肩の力を抜いて読める形でご説明します。

質問（Q）の整理

ご相談で多いのは、次のような点です。

  • 予約台帳や会員名簿も法律の対象になるのか。
  • 集めた情報は、どこまで使ってよいのか。
  • 名簿の保管で、何に気をつければよいのか。
  • もし情報が漏れてしまったら、どうすればよいのか。

ひとつずつ整理してまいります。

結論（A）

結論として、お客様の名前・連絡先などを名簿として持っている時点で、お店は「個人情報取扱事業者」に当たります。2017年の改正以降、扱う件数の少ない小規模事業者も例外なく対象です。

やるべきことは大きく四つです。利用目的を決めて伝えること、目的の範囲で使うこと、安全に管理すること、本人の同意なく第三者に渡さないこと。そして、漏えいが起きた場合には報告・通知の義務があります。

法的根拠

個人情報保護法では、個人情報を取り扱う際、利用目的をできる限り特定し（第17条）、あらかじめ公表するか本人に通知することが求められます（第21条）。特定した目的の範囲を超えて使うには、原則として本人の同意が必要です（第18条）。

また、漏えいなどを防ぐため、組織的・人的・物理的・技術的な安全管理措置を講じる義務があります（第23条）。個人情報保護委員会のガイドライン（通則編）に、具体的な対応例が示されています。

第三者への提供は、原則として本人の事前同意が必要です（第27条）。

2022年4月施行の改正で、一定の漏えい等が起きた場合の個人情報保護委員会への報告と本人への通知が、努力義務から法的義務になりました。対象となるのは、要配慮個人情報を含む場合、財産的被害のおそれがある場合、不正の目的によるもの、1,000人を超える漏えいの四類型です。報告は、事態を知ってから速やかに（概ね3〜5日以内）速報を、原則30日以内に確報を行います。

具体的な対応ステップ

  1. 集めている情報を洗い出します（予約台帳、会員名簿、アンケート等）。
  2. 「予約管理」「キャンペーン案内」など利用目的を定め、店内掲示やWebで公表します。
  3. 紙の名簿は施錠保管、データはパスワードや権限設定で守ります。
  4. アクセスできる担当者を限定し、退職時の取扱いも決めておきます。
  5. 漏えい時の連絡フロー（誰に・どこへ報告するか）をあらかじめ用意します。

ケース別の判断

販促メールを送りたい場合。利用目的に「販売促進のご案内」が含まれていれば、その範囲で利用できます。目的外なら、改めて同意が必要です。

予約サイトや決済代行を使う場合。委託に当たり、委託先を適切に監督する義務があります。契約で取扱いを明確にしておきましょう。

名簿を他社と共有したい場合。原則として本人の同意が必要です。安易な共有は重大なリスクになります。

専門家に相談すべき境界線

利用目的の掲示や基本的な管理は、店内で整えられることが多いです。ただし、漏えいが実際に起きたとき、第三者提供の可否が微妙なとき、委託契約の内容を詰めるときは、判断を誤ると行政対応や賠償に発展しかねません。

こうした場面では、早めに弁護士や個人情報保護に詳しい専門家へご相談ください。最終的なご判断は、必ず専門家にご確認いただくことをおすすめします。

📚 関連する実用ガイド

📖 関連する読み物

参考・引用元