小規模事業者が今すぐ確認すべき「個人情報保護法」と顧客名簿管理の落とし穴

飲食店の予約名簿、美容室のお客様カルテ、放課後児童クラブの園児名簿…。当事務所がサポートしている業種の多くは、実は日々たくさんの「個人情報」を取り扱っています。

うちみたいな小さなお店には【個人情報保護法】は関係ないでしょ？何百人もお客様がいらっしゃるわけでもないし…。

こんな風にお考えのオーナー様がいらっしゃったら、黄色信号です！

今回は、個人情報保護法が小規模事業者にも関わる理由、日ごろ決めておきたいルール、万が一の漏えい時の報告義務を、公式資料にもとづいてやさしく解説します！

目次

• 1．個人店は個人情報保護法は対象外、はもう通用しません！
• 2．まず決めたい「利用目的」と「同意」のルール
• ３．安全管理措置って何をすればいいの？
• ４．もし情報が漏れてしまったら？報告義務と期限
• ５．業種別の注意点と、日ごろの予防策
• まとめ

---

1．個人店は個人情報保護法は対象外、はもう通用しません！

以前は、取り扱う個人情報が5,000件以下の事業者には個人情報保護法が適用されない時代がありました。しかし、平成29年（2017年）の法改正によりこの要件は撤廃され、現在は【従業員数や事業規模を問わず、個人情報を取り扱うすべての事業者】が個人情報保護法の対象となっています！

例えば、次のようなお店や施設も、お客様の名簿やカルテを検索できる形で事業に使っていれば、対象になりえます。

• 従業員1名の美容室

• 園児十数名の学童保育・放課後児童クラブ

• 地域の小さな飲食店

個人店であっても、お客様や利用者の名簿を作成した時点で法律上の義務が発生しますので、しっかり押さえておきましょう。

2．まず決めたい「利用目的」と「同意」のルール

安全対策の前に、そもそも情報を【何のために使うか】を決めておくことが大切です。

個人情報を【何のために使うか】？！DMを送ったり、会話の記録を残したりするために使ってるけど…。

個人情報の保護に関する法律第17条第1項は、利用目的を「できる限り特定しなければならない」と定めています。個人情報保護委員会の資料では、「新商品のご案内の送付のため」のように具体的に書く例が示されています。「当社の事業のため」では足りません。

📌押さえておきたい3つのルール📌

• 利用目的は、本人に通知するか公表する（取得の状況から明らかな場合は不要）

• 利用目的を変えるときは、原則として本人の同意が必要

• 病歴などの要配慮個人情報を取得するときは、あらかじめ本人の同意が必要

また、お客様の情報を他の会社などに渡す（第三者提供）ときも、原則としてあらかじめ本人の同意が必要です。法令に基づく場合など、例外もあります。

さらに、情報を他の人に渡したり、受け取ったりしたときは、原則として【記録】を残し、3年間保存する決まりがあります（例外もあります）。お客様から「自分の情報を見せてほしい」「直してほしい」と求められたときに対応できる体制も、あらかじめ考えておきましょう。

３．安全管理措置って何をすればいいの？

個人情報保護法では、個人データの漏えい等を防ぐための「必要かつ適切な措置を講じなければならない」と定めています。

【必要かつ適切な措置】って何？！個人情報のファイルを鍵付きロッカーで保管してるけど、これじゃだめ？？

「大企業みたいな難しいセキュリティシステムを入れなきゃいけないの？」と不安になりますが、ご安心ください。個人情報保護委員会のガイドラインでは、【従業員100名以下が目安】の中小規模事業者向けに、下記のような手法が示されています。

📌今すぐできる基本対応の例📌

• 取扱いの基本ルールを決め、責任者を決める

• 名簿ファイルを見られる担当者を限定し、パスワードを設定する

• 紙のカルテや台帳は、鍵のかかる棚で保管する

• 退職したスタッフのアカウントは、速やかに削除する

• セキュリティソフトを入れ、最新の状態にしておく

まずは、こうした身近な「基本の徹底」から始めるのが現実的で効果的です！

４．もし情報が漏れてしまったら？報告義務と期限

個人情報保護法第26条は、個人の権利利益を害するおそれが大きい漏えい等が起きたとき、個人情報保護委員会への報告と、本人への通知を求めています。

【報告が必要になる代表的な4つのケース】

1. 要配慮個人情報（病歴やアレルギー情報など）が含まれる漏えい

2. 不正利用により財産的被害のおそれがある漏えい（クレジットカード情報など）

3. 不正の目的をもって行われたおそれのある行為による漏えい等

4. 1,000人を超える大規模な漏えい

なお、報告は以下の2段階で行う必要があります。

速報： 発覚から概ね3〜5日以内

確報： 発覚から原則30日以内（不正の目的で行われたおそれがある場合は60日以内）

📌本人への通知も忘れずに📌

報告が必要な事態では、本人にも、その事態が生じたことを通知する必要があります。本人への通知が難しい場合は、本人の権利利益を守るための代わりの措置をとるときに限り、通知をしなくてよいとされています。例えば、連絡先がわからないお客様がいるときは、どう知らせるかを考えておく必要があります。

非常にタイトな日程なので、事前の準備が欠かせません。

５．業種別の注意点と、日ごろの予防策

ご自身の事業で取り扱う個人情報の範囲をしっかりと確認しておきましょう。

飲食店

予約名簿やポイントカードの会員情報、電話番号が中心です。

美容室

カルテの内容に注意が必要です。病歴は【要配慮個人情報】の一つですので、カルテに病歴にあたる記載があれば、特に慎重な管理が必要です。

放課後児童クラブ

児童本人だけでなく、保護者の連絡先やご家庭の状況なども扱います。日本版DBSへの対応とあわせて、名簿の保管・共有ルールを見直す良い機会です。

💡今すぐやるべき5つのチェック💡

□　利用目的を具体的に決めて、本人に通知または公表しているか

□　取扱いルールと責任者を決めているか

□　紙の名簿やカルテを放置せず、鍵のかかる場所に保管しているか

□　他の人に名簿を渡すとき、本人の同意を得ているか

□　漏えいがあったとき、誰に何を報告するかを決めているか

メールの誤送信や紙の名簿の紛失といった、現場のうっかりミスにも気をつけましょう。宛先（TO・CC・BCC）のダブルチェックや、持ち出しルール作りが役立ちます。

こうした日常の行動ルールを決めておくだけでも、事故の発生率はグッと下がります。

---

まとめ

個人情報保護法は事業規模に関係なく適用され、万が一の漏えい時には具体的な対応が求められます。正しい知識を持ってルールを整えることが、お客様から長く愛され、信頼される店舗・施設経営へと繋がります。

当事務所では、官公署に提出する書類の作成に加え、運営規程や個人情報の取扱いルールなど、事業に必要な書類づくりのご相談をお受けしています。ただし、システムの対策はIT専門家、損害賠償などの紛争の代理は弁護士の仕事ですので、必要な場合は専門家をご紹介します。

「うちの名簿管理、このやり方で大丈夫かな？」とお悩みのオーナー様は、ぜひ一度当事務所の無料相談でお気軽にご相談くださいね！

 

▼法的根拠・参照

•             個人情報の保護に関する法律（平成15年法律第57号）第2条第3項、第16条、第17条、第22条、第23条、第26条：https://laws.e-gov.go.jp/law/415AC0000000057

•             個人情報保護委員会「漏えい等報告・本人への通知の義務化について」：https://www.ppc.go.jp/personalinfo/legal/leakAction/

•             個人情報保護委員会「はじめての個人情報保護法〜シンプルレッスン〜 中小企業向け」：https://www.ppc.go.jp/files/pdf/1711_simple_lesson.pdf

•             個人情報保護委員会「大規模な漏えい等事案を踏まえた対応について（注意喚起）」（令和8年10月7日）：https://www.ppc.go.jp/files/pdf/261007_alert_dataleakage.pdf

•             個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」：https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/

※本記事は2026年10月時点の公開情報に基づき作成しています。ガイドラインは見直しが予定されています。最新情報は必ず個人情報保護委員会の公式サイトでご確認ください。

【執筆者】ベストパートナーズ行政書士事務所　森重杏里

ベストパートナーズ行政書士事務所 代表。アパレル・カメラマン・不動産業界を経て独立。女性行政書士ならではの親身で柔軟な対応と機動力を強みに、開業・起業を目指す事業主様の「一番身近な伴走者」として手続きを伴走サポートします。