店舗間の顧客情報の共有：直営とFCで違う個人情報保護法の扱い

公開日 編集 Leporto 編集部 カテゴリー スタッフと組織

仕切られた店の受付で、鍵付きの箱から記録用紙を取り出す手元

店舗間で顧客情報を共有してよいかは、その店舗を運営しているのが同じ会社かどうかで考え方が分かれます。同じ会社が運営する直営店どうしなら、会社の中の話になり、決めた利用目的の範囲で共有するのが基本です。FC加盟店のように別の事業者が運営する店と共有するときは、本人の同意を得るか、「共同利用」として5つの事項を前もって知らせるなどの手続きが要ります。この記事では、個人情報保護委員会のガイドラインとQ&Aをもとに、直営・FC・業務委託の判定表、共同利用の公表文のひな形、本部・店長・スタッフに見せる範囲の表を順に説明します。

まず確かめること：その店舗を運営しているのは誰か

個人情報保護法の義務は、店舗ごとではなく「事業者」ごとにかかります。会社なら会社が1つの事業者で、個人事業主のFCオーナーなら、そのオーナーが1つの事業者です。看板やブランドが同じでも、運営する会社が違えば、法律の上では別の事業者として扱われます。

個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン（通則編）」（以下、ガイドライン）は、業種や規模を問わず、個人情報を扱う事業者に当てはまると書いています（1-2）。小さなサロンでも同じです。ガイドラインでは、個人情報に当たる「個人に関する情報」として、氏名や連絡先だけでなく、顔画像、身体の状態、評価の情報、映像や音声も挙げています（2-1）。サロンでいえば、カルテの施術の記録、施術の写真、音声カルテの録音も、お客様を特定できる形で残していれば対象になると考えておくのが安全です。

そこで最初に、自社の店舗を1つずつ書き出し、「どの会社（どの人）が運営しているか」を横に書きます。直営店だけのつもりでも、店ごとに会社を分けていることがあります。この一覧が、次の判定表の出発点です。

直営・FC・業務委託の判定表

店舗をまたいで顧客情報を見せることは、相手によって法律の上の扱いが変わります。個人データを別の事業者に渡すことを「第三者提供」といい、原則として前もって本人の同意が要ります（ガイドライン 3-6-1「第三者提供の制限の原則」）。ただし、「委託」と「共同利用」の場合は、相手が「第三者に該当しない」とされ、同意がなくても渡せる形があります（ガイドライン 3-6-3「第三者に該当しない場合」）。

下の表は、サロンでよくある形を、この考え方に当てはめたたたき台です。

店舗の形運営する事業者共有の扱い共有の前にすること
同じ会社が運営する直営店どうし1つ会社の中での利用利用目的に「当社が運営する店舗での利用」が入っているかを確かめる。社内で見せる範囲を決める
店ごとに会社を分けたグループの店店ごとに別別の事業者への提供本人の同意を得るか、共同利用の5つの事項を前もって知らせる
FC本部と加盟店、加盟店どうし本部と加盟店で別別の事業者への提供何のために渡すかで、同意・共同利用・委託のどれにするかを決める
業務委託のスタッフ（フリーランス）店とスタッフで別店の仕事を任せるなら委託契約で扱いを決め、任せた先を監督する

次の図は、顧客情報をほかの店や人に渡す前に確かめることを、上の表の考え方で4つに並べたものです。

顧客情報をほかの店や人に渡す前に確かめることの図。1 つ目は、相手が同じ会社（同じ事業者）の店舗かを確かめる。同じ会社なら、決めた利用目的の範囲で共有する。2 つ目は、店の仕事を任せる相手かを確かめる。任せるなら委託として、契約で扱いを決めて監督する。3 つ目は、別の事業者と一緒に使うかを確かめる。一緒に使うなら共同利用として、5 つの事項を使う前に知らせる。4 つ目は、どれにも当たらない場合で、本人の同意を得てから渡す。

ここでの説明は、個人情報保護委員会の公表資料をもとにした一般的な考え方です。契約の中身や情報の使い方によって当てはめは変わるので、実際に決めるときは、詳しくは弁護士などの専門家へご相談ください。

同じ会社の直営店どうし

同じ会社が運営する店舗の間で記録を見せ合うことは、1つの事業者の中での利用です。別の事業者に渡すわけではないので、一般に第三者提供の手続きは要らないと考えられています。

ただし、何に使ってもよいわけではありません。個人情報は、取得するときに特定した利用目的の範囲で使うのが原則です（ガイドライン 3-1「個人情報の利用目的」）。たとえば利用目的を「当店でのご予約の管理と施術のため」とだけ書いていると、「ほかの店舗でも同じ記録をもとに施術する」ことが目的に入っているか、はっきりしません。お客様に渡す同意書やカウンセリングシート、ホームページのプライバシーポリシーに、次のように店舗をまたいだ利用を書いておくと、説明がしやすくなります。

お預かりした個人情報は、ご予約の管理、施術とその記録、ご来店後のご案内のために、当社が運営する店舗（店舗の一覧は当社のホームページに掲載）で利用します。

同じ会社の中でも、誰でも全店のカルテを見られる状態は避けます。ガイドラインの別添「講ずべき安全管理措置の内容」は、組織・人・物理・技術の面から、個人データを守るための措置を挙げています（10-3〜10-6）。見せる範囲を役割で分けることは、そのうちの1つと考えられます。範囲の決め方は、後の「見せる範囲の表」で説明します。

店ごとに会社を分けたグループの店

店舗ごとに会社を分けている場合は、同じグループでも別の事業者です。グループの店どうしで来店履歴を見せ合うには、本人の同意を得るか、共同利用の手続きを取ることになります。個人情報保護委員会のQ&Aは、共同利用する相手の範囲の書き方として、「当社の子会社及び関連会社」と書き、その会社のすべてをホームページで公表している場合を例に挙げています（Q7-45）。グループの店舗の一覧を、運営する会社の名前と一緒に載せておくのが、この考え方に沿った形です。

FC本部と加盟店、加盟店どうし

FCの加盟店は、ふつう本部とは別の会社や個人事業主が運営しています。そのため、本部と加盟店の間、加盟店どうしの間で顧客情報を渡すときは、別の事業者への提供として考えます。どの方法を取るかは、何のために渡すか次第です。

何のために渡すか考えられる方法気をつけること
ほかの加盟店に来たお客様の履歴を、どの店でも見て施術に使う共同利用か、本人の同意共同利用なら、5つの事項を使う前に知らせる
本部が加盟店の代わりに予約の受付や配信の作業をする加盟店から本部への委託任された作業の範囲でだけ使う。加盟店は本部を監督する立場になる
本部が自社の商品の案内など、本部のために使う本人の同意か、共同利用委託として渡した情報を、本部が自分の目的に使うことはできないと考えられる

FCの契約書には、顧客情報の持ち主や使い方が書かれていることが多いので、まず契約書を確かめてください。契約の決め方と法律の手続きは別の話です。契約で「本部が使える」と決めていても、お客様への通知や同意などの手続きは別に要ります。どちらも判断が要る話なので、詳しくはFCの契約にくわしい弁護士などの専門家へご相談ください。

業務委託のスタッフ（フリーランス）

業務委託で働くスタイリストやセラピストは、店とは別の事業者です。店のお客様の予約やカルテを、店の仕事として扱ってもらうなら、個人データの取扱いの「委託」として考えるのが一般的です。委託した店は、任せた先を必要かつ適切に監督する立場になります（ガイドライン 3-4-4「委託先の監督」）。個人情報保護委員会のQ&Aには、委託契約の結び方や、委託先での扱いの把握について、まとまった問いがあります（Q5-8〜Q5-12）。業務委託契約を結ぶときは、少なくとも次のことを取り決めておきます。

  • 顧客情報を使ってよい範囲（店の予約・施術・記録のためだけ）
  • 店の外へ持ち出さないこと、自分のスマホなどに写さないこと
  • 契約が終わったときに、記録を返すか消すこと
  • 店のお客様に、店を通さず個人として連絡しないこと
  • 漏えいなどが起きたら、すぐ店に知らせること

業務委託のスタッフが自分の顧客を連れてくる場合は、そのお客様の情報を誰が扱うのか（店か、スタッフ本人か）を契約の前に決めておくと、契約が終わるときにもめにくくなります。

共同利用で前もって知らせる5つの事項

共同利用は、決めた相手と一緒に個人データを使う方法です。個人情報保護委員会のQ&Aによると、共同利用をするときは、次の5つを共同利用を始める前に本人に通知するか、本人が容易に知り得る状態に置く必要があります（Q7-51。ガイドライン 3-6-3（3））。

  1. 共同利用をすること
  2. 共同して利用される個人データの項目
  3. 共同して利用する者の範囲
  4. 利用する者の利用目的
  5. その個人データの管理について責任を有する者の氏名または名称

すでに集めた顧客情報を、あとから共同利用に回すときは注意が要ります。同じQ&Aは、その個人データの内容や性質に応じて共同利用してよいかを判断したうえで、取得したときに特定した利用目的の範囲内であることを確かめる必要がある、としています（Q7-51）。加盟店が開業前から持っていた顧客台帳を、FCに加わった日から全店で見られるようにする、といった進め方は避けてください。

共同利用の公表文のひな形

ホームページのプライバシーポリシーの中に、次のような節を設ける形が考えられます。〇〇の部分を自社の内容に置き換えて使います。載せる前に、専門家に確かめてもらってください。

個人データの共同利用について

当社は、お客様の個人データを、次のとおり共同で利用します。

  1. 共同利用をすること：当社と、下記の範囲の事業者は、お客様の個人データを共同で利用します。
  2. 共同して利用される個人データの項目：氏名、フリガナ、電話番号、メールアドレス、生年月日、ご予約とご来店の履歴（日時・店舗・担当者・メニュー）、カルテの記録（施術の内容と写真）
  3. 共同して利用する者の範囲：「〇〇」の本部である当社と、「〇〇」の加盟店（加盟店の一覧と運営する事業者は、このページの下に掲載しています）
  4. 利用する者の利用目的：どの店舗でも、これまでの記録をもとに施術とご案内をするため。ご予約の管理のため
  5. 管理について責任を有する者：〇〇株式会社（住所：〇〇、代表者：〇〇）

ひな形の5では、名称に加えて住所と代表者の欄も入れています。いまの法律で求められる事項は、ガイドライン 3-6-3 の共同利用の項で確かめてください。項目・範囲・目的をあとで変えるときの扱いもガイドラインに書かれているので、変える前に確かめます。健康にかかわる記録を項目に入れるかは、慎重に決めます。病歴などは「要配慮個人情報」に当たる場合があり、取得のときから本人の同意が原則とされています（ガイドライン 2-3、3-3-2）。整体院などで問診の内容を扱う場合の注意は、整体院の顧客管理と要配慮個人情報で説明しています。

本部・店長・スタッフに見せる範囲の表

共有してよい形が決まっても、全員にすべてを見せる必要はありません。下の表は、役割ごとに見せる範囲を決めるためのたたき台です。共同利用や委託で決めた範囲を超えないように、自社の形に合わせて直してください。

情報本部店長スタッフ業務委託のスタッフ
氏名・連絡先本部の作業に要るときだけ自店のお客様自店のお客様担当するお客様だけ
予約と来店の履歴店舗ごとの集計で見る自店のお客様自店のお客様担当するお客様だけ
カルテ（施術の記録・写真）目的を決めたときだけ（品質の確認など）自店のお客様自店のお客様担当するお客様だけ
病歴・服薬など健康の記録見ない必要なときだけ担当する人だけ担当するお客様だけ
売上・分析の数字全店自店自分の分自分の分
要注意のお客様の記録共有のルールを決める自店自店店のルールどおり

要注意のお客様の記録は、とくに慎重に扱います。「無断キャンセルが3回」のような事実と、「態度が悪い」のような評価を分けて書き、評価は書かないか、根拠になる出来事と一緒に残します。別の事業者である加盟店どうしで共有するなら、ほかの顧客情報と同じく、同意や共同利用の手続きの対象になると考えておくのが安全です。

人が入れ替わるときの扱いも決めておきます。スタッフが辞めたとき、業務委託の契約が終わったとき、加盟店がFCを抜けたときに、ログインを止める・記録を返すといった手順を、誰がいつするかまで決めておくと、外し忘れを防げます。店舗をまたいで来たお客様を新規として数えるかといった数字の決め方は、多店舗の店舗管理の方法で説明しています。

共有を始める前の確認リスト

店舗間で顧客情報の共有を始める前に、次の項目を確かめます。

  • 店舗ごとに、運営する会社（人）を書き出した
  • 利用目的に、店舗をまたいだ利用が入っている。入っていなければ、これから取得する分から書き足した
  • 別の事業者と共有する場合に、同意・共同利用・委託のどれにするかを決めた
  • 共同利用なら、5つの事項を使う前にホームページなどで知らせた
  • すでに集めた顧客情報を回すなら、取得したときの利用目的の範囲内かを確かめた
  • 業務委託のスタッフと、顧客情報の扱いを契約で取り決めた
  • 健康にかかわる記録の扱い（取るか、誰が見るか）を決めた
  • 役割ごとに見せる範囲を決め、システムの権限に反映した
  • 退職・契約の終了・加盟店の脱退のときの手順を決めた

Leporto で見せる範囲を分けるには

Leporto は、予約・顧客・カルテ（音声カルテを含む）・売上と集客の分析をまとめた、経営改善型の予約管理システムです。多店舗とFC本部の機能があり、子管理者を担当の店舗だけに絞ってログインさせられます。店長には自店だけを見せる、といった分け方を、権限の設定で行えます。多店舗での使い方の紹介は、多店舗・FC本部の機能のページにあります。

カルテは、項目ごとにお客様のマイページに出すかどうかを切り替えられます。次の画面はデモの店舗のカルテで、施術箇所・力加減・ホームケア提案はお客様に表示し、体調の記録は非表示にしています（表示はデモデータ）。

Leporto の管理画面のカルテ。上に「お客様に表示中：項目 3 / 4・写真 2 / 3」と全部見せる・全部隠すのボタンがあり、営業報告の備考の文の下に、施術箇所・力加減・体調・ホームケア提案の聴取内容が並ぶ。体調の「睡眠不足気味」だけが非表示で、ほかの 3 つはお客様に表示のスイッチがオンになっている（デモデータ）

そのほか、店舗間の共有にかかわるところでは、次のことができます。

  • 顧客アンケートで、来店前に同意を取れる（同意書の専用の機能はありません）
  • 予約を断るお客様を登録できるほか、「要注意人物」として登録して店舗のメンバーで共有できる
  • 予約や顧客のデータを API で外に出すときは、個人情報の保護のため名前は取れない
  • FC本部機能では、店舗をグループに分け、本部から店舗へメニューの型を配れる（20〜30店舗以上のチェーン・FC本部向けの機能です）

どの店舗の記録を誰が見られるかは、店舗の構成と権限の設定で決まります。共同利用や委託で決めた範囲に合わせた設定ができるかは、導入の相談のときに具体的な形をお聞かせください。Leporto は法律の判断をするものではないので、手続きの当てはめは専門家に確かめてください。カルテの機能はLeporto の電子カルテで紹介しています。

参考にした公的機関の資料

いずれも2026年10月18日に参照しました。

よくある質問

直営店どうしでも、お客様に共有を知らせる必要はありますか？

同じ会社の中での利用なので、第三者提供の手続きは一般に要りません。ただし、取得したときの利用目的の範囲で使うのが原則です。利用目的に「当社が運営する店舗で利用する」ことを書き、同意書やプライバシーポリシーでお客様に伝えておくと、説明がしやすくなります。

FC加盟店の間で、お客様の同意なしに来店履歴を見せてもよいですか？

加盟店どうしは別の事業者なので、原則として本人の同意が要ります。同意を取らずに見せ合うなら、共同利用として5つの事項を使う前に知らせるなどの手続きが必要です。すでに集めた情報を回すときは、取得したときの利用目的の範囲内かも確かめます。判断が要る話なので、詳しくは専門家へご相談ください。

共同利用の公表文は、どこに載せればよいですか？

本人が容易に知り得る状態に置くことが求められているので、ホームページのプライバシーポリシーに載せるのが一般的です。個人情報保護委員会のQ&Aは、共同利用する会社のすべてをホームページで公表している場合を例に挙げています（Q7-45）。予約ページや店頭の掲示から、そのページへたどれるようにしておくと親切です。

業務委託のスタッフが辞めるとき、担当していたお客様の記録はどうなりますか？

店の仕事として任せていたなら、記録は店が預かっている情報です。契約が終わったときに記録を返すか消すこと、店のお客様に個人として連絡しないことを、業務委託の契約で決めておきます。持ち出しや漏えいが疑われるときは、法律に沿った対応が要る場合があるので、早めに専門家へご相談ください。

加盟店がFCを抜けたら、その店のお客様の記録はどうなりますか？

FCの契約で、顧客情報を誰が持ち、抜けたときにどう扱うかを決めておくのが基本です。共同利用をしていた場合は、共同利用する者の範囲が変わることになるので、公表している内容の見直しも要ります。契約と法律の両方にかかわるため、詳しくは専門家へご相談ください。