本文へ移動
記事を読み込み中…
法令

顧客データの取り扱いと個人情報保護法

お客様の電話番号、予約名、誕生日、メルマガの宛先、ポイント会員の購入履歴。飲食店の現場には、思っている以上に個人情報があふれています。「うちは小さな店だから法律は関係ない」と考えていた方も、2017年の全面施行で取扱件数を問わず全事業者が対象となり、2022年4月の改正では漏えい時の報告義務などが強化されました。この記事では、漏えいが起きたときの報告義務、お客様からの開示請求(DSAR)への向き合い方、そして日々の安全管理措置を、官公庁の一次情報をもとに飲食店の実務へ落とし込みます。読み終えると、明日から手をつける順番が見えてきます。

🔑 まず押さえる：飲食店が扱う「個人情報」の正体

個人情報保護法は難しく見えますが、入口はシンプルです。何が対象で、誰に義務がかかるのかを整理します。

店内のどこに個人情報があるか

個人情報とは、氏名や電話番号など、特定の個人を識別できる情報を指します。飲食店の現場では次のものが該当します。

  • 予約台帳・予約システムの氏名と電話番号
  • ポイント会員・LINE公式アカウントの登録情報と購買履歴
  • メルマガやDMの宛先リスト
  • 防犯カメラの映像(顔が映れば個人情報)
  • クレジットカード決済やデリバリーの配達先情報
  • アンケートやクレーム対応記録

これらを紙でもデータでも、検索できる形で持っていれば「個人情報データベース」に当たります。

小さな店も対象になった経緯

かつては取扱件数が5,000件以下の事業者は適用外でした。しかし2017年の全面施行でこの除外は撤廃され、取扱件数にかかわらず全事業者が対象となっています(出典：政府広報オンライン)。個人経営の居酒屋でも、予約名簿を持つ以上は義務がかかると考える手があります。

📌 利用目的を決めて、お客様に伝える

個人情報を集めるときは、何に使うかをあらかじめ決めて知らせる必要があります。ここが曖昧だと、後のメルマガ配信やDMで足をすくわれます。

利用目的の特定と通知・公表

個人情報を取得する際は、利用目的をできる限り具体的に特定し、本人に通知するか公表する義務があります。「予約管理のため」「キャンペーン案内の送付のため」のように、用途を書き出しておく手があります。店頭の掲示やWebサイトのプライバシーポリシーで公表する方法が現実的です。

メルマガ・DMで起きやすいズレ

予約のために集めた連絡先を、説明なくマーケティングのDM送付に転用すると、利用目的の範囲を超える可能性があります。会員登録フォームに「販促のご案内に利用します」と明記しておくと、後の販促活動が安全になります。カフェのスタンプカードでも、登録時の一文が効いてきます。

🛡 安全管理措置：日々の守りを4つに分ける

個人情報保護委員会は、安全管理措置を組織的・人的・物理的・技術的の4つの観点で求めています。中小規模の事業者には、実情に応じた配慮も示されています(出典：個人情報保護委員会ガイドライン通則編)。

4つの観点を飲食店の言葉に

  • 組織的：誰が個人情報を管理するか責任者を決め、漏えい時の連絡ルートを紙1枚にまとめる
  • 人的：アルバイトを含む全スタッフに「お客様情報を持ち出さない・撮影しない」と教える
  • 物理的：予約台帳は施錠できる場所へ、防犯カメラの録画機器は店長のみアクセス可に
  • 技術的：予約システムやPOSのパスワードを共有しない、退職者のアカウントは即停止

業態ごとの勘どころ

回転率の高いラーメン店や立ち飲みは紙台帳が残りがちで、放置が漏えいの火種になります。フレンチや料亭は顧客のアレルギー・記念日情報など踏み込んだデータを持つため、要配慮個人情報に近い慎重さが必要です。デリバリー主体の店は配達先住所の管理が要になります。

🚨 漏えいが起きたら：報告義務の4類型と期限

ここが改正の核心です。一定の漏えいは個人情報保護委員会への報告と本人通知が義務化されました。

報告対象となる4つのケース

個人情報保護委員会によると、次のいずれかに当たる漏えい等は報告義務の対象です(出典：個人情報保護委員会「漏えい等の対応とお役立ち資料」)。

  1. 要配慮個人情報(病歴・信条など)が含まれる漏えい
  2. 不正に利用されると財産的被害が生じるおそれがある漏えい(カード情報など)
  3. 不正の目的をもって行われたおそれがある漏えい(外部からの不正アクセス等)
  4. 本人の数が1,000人を超える漏えい

1〜3は1人分の漏えいでも対象になる点に注意が必要です。

速報と確報の期限

報告は2段階です。発覚から速報をおおむね3〜5日以内に、確報を30日以内(不正目的の場合は60日以内)に行います(出典：個人情報保護委員会)。あわせて、対象となる本人への通知も必要です。本人通知が困難なときは、事実の公表など代替措置を取る方法が認められています。

起きてから慌てないために

誰が委員会へ報告するか、連絡先(個人情報保護委員会のWebフォーム)はどこか、これを平時に決めておくだけで初動が変わります。なお制度は改正が続くため、最新の運用は委員会サイトでの確認をおすすめします。

📂 お客様からの開示請求(DSAR)への対応

お客様は「自分の情報を見せてほしい」「消してほしい」と求める権利を持ちます。これが開示請求です。

開示・訂正・利用停止・消去

本人から保有個人データの開示を求められた場合、事業者は原則これに応じる義務があります。電磁的記録(データ)での開示も本人が選べます。内容が誤っていれば訂正、目的外利用などがあれば利用停止・消去の請求にも対応します。第三者提供の記録についても開示の対象です(出典：個人情報保護委員会ガイドライン通則編)。

飲食店での現実的な備え

「会員登録した自分のデータを全部見せて、消してほしい」という連絡は、退会のタイミングで実際に起こります。請求を受け付ける窓口(メール等)を決め、本人確認の手順と回答テンプレートを用意しておくと、特定の担当者が不在でも対応が止まりません。

✅ 実践チェックリスト：今日の自店診断

次の10項目を、できているものに印を付けてください。半分以上が空欄なら、優先的に着手する価値があります。

プライバシーポリシー(利用目的)を店頭またはWebで公表している
会員・メルマガ登録時に販促利用への同意を取っている
予約台帳・名簿を施錠できる場所で保管している
防犯カメラ映像へアクセスできる人を限定している
POS・予約システムのパスワードを個人別にしている
退職スタッフのアカウントを即時停止する運用がある
アルバイトへ個人情報の取り扱いを教育している
漏えい時の責任者と委員会への報告ルートを決めている
開示請求の受付窓口と回答手順を用意している
カード情報など要配慮な情報を必要最小限しか保持していない

まとめ

  • 取扱件数を問わず全飲食店が個人情報保護法の対象（2017年に5,000件要件が撤廃、2022年に報告義務等を強化）。予約台帳も会員情報も守る対象です。
  • 漏えいは4類型で報告義務、速報3〜5日・確報30日(不正目的60日)+本人通知が基本線です。
  • 利用目的の公表・安全管理措置・開示請求窓口の3点を整えれば、初動は大きく安定します。

明日から動ける一歩として、まず「予約台帳と防犯カメラ映像に、誰がアクセスできるか」を紙1枚に書き出してみてください。守るべき範囲が見えると、次の手が決まります。

💡 この作業を自動化したい方へ

Restaurant OS の「お客様情報」プラグインは、本記事で紹介した開示請求(DSAR)対応を効率化できます。

詳細は Restaurant OS 入門ガイド をご覧ください。

参考資料

関連記事

← 飲食店オーナーが知るべき法令完全ガイド 2026｜許可・衛生・消防・労務・税務 に戻る

📖 さらに深く知る（第3弾より）