⚠ 本書式は弁護士監修前の草稿である。監修完了まで販売・配布・公開を禁止する。 本書式は一般的な情報提供を目的としたものであり、個別・具体的な法律相談に代わるものではない。

美容サロンの顧客カルテ取扱規程

第1部: 書式本文

第1条(目的) 本規程は、【サロン運営事業者名】(以下「当社」という。)が運営する店舗において作成・保管する顧客カルテ(施術履歴、カウンセリング内容、施術前後の写真等を含む記録。以下「カルテ」という。)の取扱いについて、個人情報保護法その他関係法令を踏まえた社内基準を定める。

第2条(カルテの記載範囲) カルテには、顧客の氏名、連絡先、施術メニュー、使用薬剤・機器、施術日時、担当スタッフ、カウンセリング内容、体調・既往歴等の申告事項、施術前後の写真を記録する。写真等が心身の状態を推知させる情報を含む場合には要配慮個人情報に準じた慎重な取扱いを行う。

第3条(取得時の説明及び同意) スタッフは、カルテ作成にあたり利用目的(施術管理、次回提案、緊急時対応等)を顧客に説明し、写真撮影を行う場合は撮影目的及び保管期間について個別に同意を得る。

第4条(アクセス権限) カルテへのアクセス権限は、施術を担当するスタッフ及び店舗責任者に限定する。システム上のアカウント権限は職位・担当店舗に応じて設定し、退職・異動時は速やかに権限を削除する。

第5条(保管方法及び安全管理措置) 紙のカルテは施錠可能な保管庫に保管し、電子カルテはアクセスログを記録するシステム上で管理する。写真データは施術管理システム内の専用領域に保存し、私物端末への保存を禁止する。当社は、個人情報保護法に基づく安全管理措置として、組織的・人的・物理的・技術的の各観点から必要かつ適切な措置を講じる。

第6条(保存期間) カルテの保存期間は最終施術日から【○年間】とし、期間経過後は復元不能な方法で廃棄又は消去する。ただし紛争対応等のため保存が必要な場合は、必要な範囲で保存期間を延長できる。

第7条(第三者提供の制限) カルテに記録された情報は、法令に基づく場合又は顧客本人の同意がある場合を除き、第三者に提供しない。提携医療機関への紹介等で情報提供が必要な場合は、事前に顧客本人の同意を取得する。

第8条(委託先への取扱い) カルテ管理システムの運用を外部事業者に委託する場合、当社は委託先に対する必要かつ適切な監督を行い、委託契約において安全管理措置及び再委託の制限を定める。

第9条(開示・訂正・削除の請求対応) 顧客本人からカルテの開示、訂正、利用停止又は削除の請求があった場合、当社所定の手続に従い、法令に定める期間内に対応する。

第10条(退職スタッフの取扱い) スタッフが退職する場合、担当顧客のカルテ情報の私的な持ち出し・複製・SNS等での利用を禁止し、退職時に誓約書の提出を求める。

第11条(漏えい等が発生した場合の対応) カルテ情報の漏えい、滅失又は毀損が発生し又はそのおそれがある場合、当社は速やかに事実関係を調査し、必要に応じて個人情報保護委員会への報告及び本人への通知を行う。

第12条(規程の見直し) 本規程は、法令改正及び業務実態の変化に応じて随時見直す。

第2部: 立場別・場面別の書き換えパターン

A. サロン運営事業者の立場から

A-1 スタッフ退職時の抑止力強化 「スタッフは退職後【○年間】、在職中に知り得た顧客情報を利用した営業活動を行わない」との条項を誓約書に加えることで、顧客の引き抜きによる売上流出を抑止できる。ただし職業選択の自由との関係で範囲を必要最小限にとどめる必要がある。

A-2 写真データの二次利用に関する同意区分の明確化 「施術記録目的の撮影」と「広告・SNS掲載目的の撮影」を規程上及び同意取得時に区分し、後者は都度個別同意とすることで、無断のビフォーアフター写真掲載によるトラブルを防止できる。

B. スタッフの立場から

B-1 アクセスログによる潔白性の確保 「カルテへのアクセスはログとして記録され、アクセス権限を持つ全員が公平に監督対象となる」との条項を明記することで、情報漏えい発生時に特定のスタッフのみが疑われる事態を避け、記録に基づく客観的な調査が行われることを担保できる。

B-2 私物端末利用時の免責範囲の明確化 「会社が許可した業務用端末以外での顧客情報の取扱いを禁止し、会社は許可端末を通じた正規の業務利用について必要な保護措置を講じる」との条項を設けることで、スタッフが安心して定められた手順内で業務を行える環境を明記できる。

B-3 業務都合による撮影拒否の許容 「顧客が施術前後の撮影を拒否した場合、スタッフはこれを理由に施術対応を変えてはならない」との条項を規程に加えることで、撮影同意の有無が顧客対応の質に影響しないことを明確にし、スタッフが顧客からの拒否を過度に恐れず対応できるようにする。

第3部: 書き方と法的ポイントの解説

本書式は、美容室・エステサロンが顧客の施術履歴やカウンセリング内容、施術前後の写真等を含むカルテを継続的に作成・保管する場面で使用する社内規程である。単発の同意取得書式(施術同意書等)とは異なり、取得後の保管・アクセス管理・保存期間・廃棄・第三者提供制限までを包括的に定める点に特徴がある。医療機関のカルテ(診療録)のように法定保存義務が明文で定められているものではないため、保存期間は事業者が自主的に合理的な期間を設定する必要がある。

根拠法令としては、個人情報保護法(個人データの安全管理措置義務、第三者提供の制限、委託先の監督義務、開示等請求への対応義務、漏えい等発生時の報告・通知義務)が中心となる。施術前後の写真のうち、心身の状態が推知される内容を含むものは要配慮個人情報に該当し得るため、取得時の同意取得や取扱いにはより慎重な配慮を要する。また、無断でのカルテ閲覧や第三者提供によって顧客に損害が生じた場合には、民法上の不法行為責任(使用者責任を含む)が問題となり得る。

実務でよくある失敗として、第一に、施術前後の写真をカウンセリング記録用に撮影したにもかかわらず、後日広告・SNS投稿用に流用し、顧客から抗議を受けるケースがある。対策として、撮影目的ごとに同意取得を分け、広告利用は都度個別の同意を得る仕組みを規程化する。第二に、退職したスタッフが在職中の顧客情報を私物端末やSNSの個人アカウントに保存しており、退職後に発覚するケースがある。対策として、私物端末への保存禁止と退職時誓約書の提出を規程上義務付ける。第三に、保存期間を定めずに古いカルテを際限なく保有し続け、開示請求や漏えい時の対応範囲が肥大化するケースがある。対策として、合理的な保存期間と廃棄手続を規程上明記する。

第四に、複数店舗を展開する事業者において、店舗間でのカルテ共有範囲が曖昧なまま運用され、他店舗のスタッフが必要のない顧客情報まで閲覧できる状態になっているケースがある。対策として、店舗間共有の要否・範囲を規程上で整理し、共有が必要な情報とそうでない情報を区分してアクセス制御を設計する。

要配慮個人情報への該当性や共同利用の可否など個別の当てはめは事案ごとに異なるため、具体的な運用設計については専門家へ確認することが望ましい。

第4部: 使用前チェックリスト

• [ ] カルテに記録する項目の範囲(写真を含むか)を明確にしているか
• [ ] 撮影目的ごと(記録用・広告用)に同意取得を区分しているか
• [ ] カルテへのアクセス権限を職位・担当に応じて制限しているか
• [ ] 紙・電子それぞれの保管方法及び安全管理措置を定めているか
• [ ] 保存期間及び廃棄・消去方法を明記しているか
• [ ] 第三者提供が必要な場面(医療機関紹介等)の同意取得手順を定めているか
• [ ] 外部委託先(システムベンダー等)への監督条項を設けているか
• [ ] 開示・訂正・利用停止請求への対応手続を定めているか
• [ ] 退職スタッフによる顧客情報持ち出し禁止及び誓約書の運用を定めているか
• [ ] 漏えい発生時の報告・通知フローを整備しているか