美容室のプライバシーポリシーの作り方｜個人情報保護法で書く項目・カルテと写真の扱い・例文

結論：法律で求められる5項目に、美容室特有の4点を実態どおりに書き足す

プライバシーポリシーは、文面の立派さより、店が実際にしていることと一致しているかが大切です。カルテ・写真・LINE・予約サイトの4点は美容室ならではの論点で、一般的なひな形には書かれていないことがあります。

作ったポリシーは、ホームページのトップから1回程度の操作で開ける場所に置き、店頭やカウンセリングシートでも示します。2026年7月に改正法が公布されており、施行に合わせた見直しも予定しておきます。

顧客データの持ち出し防止やパスワード管理は顧客データを守る方法、カルテを何年残すかはカルテの保管期間、LINEでの運用はLINE個人情報管理で扱っています。この記事は、プライバシーポリシーの作り方と例文に絞ります。

プライバシーポリシーとは｜1人の店にも関係する理由

プライバシーポリシーとは、店が個人情報をどのように集め、何に使い、どう守るかをお客様に示す文書のことです。法律に同じ名前の書類の義務があるわけではなく、個人情報保護法で公表や明示が求められる事項をまとめて示すために作ります。

個人情報とは、生存する個人に関する情報で、氏名や生年月日などにより特定の個人を識別できるものです。お客様の顔が分かる写真も個人情報に当たります。

カルテや顧客名簿を、顧客管理アプリや五十音順のファイルなど、探せる形で持っていれば、店の規模に関係なく「個人情報取扱事業者」として法律の義務を負います。スタッフ1人の店や自宅サロンでも同じです。

法律で公表・明示が求められる項目

個人情報保護法と施行令で、公表や「本人が知り得る状態」に置くことが求められている主な項目は次のとおりです（2026年9月時点）。

利用目的は、「事業活動に用いるため」のような書き方では足りず、何に使うかが分かるように具体的に書く必要があります（個人情報保護委員会ガイドライン通則編）。安全管理措置は、ホームページに概要と問い合わせ窓口を載せ、具体的な内容は問い合わせに遅滞なく回答する形でもよいとされています（同委員会Q&A）。

カウンセリングシートや会員登録フォームのように、本人から直接書面で個人情報を受け取る場合は、あらかじめ利用目的を明示する必要があります（法21条2項）。シートの下に利用目的を書くか、ポリシーを見せて説明するのが確実です。

美容室で書き足す4つの論点｜カルテ・写真・LINEと予約サイト・アクセス解析

カルテのアレルギー・持病（要配慮個人情報）

病歴などは法律で「要配慮個人情報」とされ、取得には原則として本人の同意が必要です。持病や通院中の病気は病歴に当たり、アレルギーの情報も内容によっては当たる可能性があるため、同じ扱いにしておくと安全です。

お客様がカウンセリングシートに自分で書いたり、口頭で伝えたりした場合は、同意があったと解されます。本人から適正に直接取得したものと考えられるためです（ガイドライン通則編）。シートには「施術の安全のためにお聞きします」と目的を書き、答えたくない項目は空欄でよいことも示します。

未成年のお客様が同意の結果を判断できない場合は、保護者など法定代理人の同意が必要です。個人情報保護委員会のQ&Aでは、一般的に12歳から15歳までの年齢以下が目安とされています。

写真のSNS・ホームページ掲載

施術前後の写真は、カルテの記録として撮る場合と、SNSなどに載せる場合で目的が違います。掲載するのは、掲載先（Instagram、ホームページ、予約サイトなど）を示して同意を得た写真に限り、削除の依頼があれば速やかに対応すると書きます。同意の取り方は写真撮影と掲載許可の取り方で扱っています。

LINE公式アカウント・予約サイト・予約システム

LINEの表示名やトークの内容、予約サイトから届く予約情報も、店が取得する個人情報です。取得する経路ごとに、何を受け取り、何に使うかを書きます。

予約システムや顧客管理アプリ、決済サービスに顧客データの管理を任せることは、法律上「委託」に当たり、第三者への提供とは区別されます（法27条5項1号）。そのかわり店には、委託先を選び、契約を結び、取扱いの状況を把握するといった監督の義務があります（法25条）。

外国の事業者のクラウドサービスに顧客データを保存する場合は、その国の名称を本人が知り得る状態にする必要があるとされています（個人情報保護委員会Q&A）。あわせて、その国の制度を把握したうえで講じた措置も示します。

ホームページのアクセス解析（Cookie）

Google アナリティクスを使う場合は、Googleの利用規約でプライバシーポリシーの用意が求められています。あわせて、Google アナリティクスを使っていることと、データの収集・処理の仕組みを開示する必要があり、Googleの説明ページへのリンクを載せる方法が示されています。

Cookieなどで閲覧者の情報を外部に送る場合の公表を求める電気通信事業法の規律（2023年6月16日施行）もあります。対象は電気通信事業を営む者などに限られるため、自店のサイトが当たるかは総務省の案内で確認します。

プライバシーポリシーを作る手順（6ステップ）

1. 持っている個人情報を棚卸しする

   カルテ、顧客台帳、予約データ、LINEのトーク、写真、ホームページの閲覧データなど、店にある個人情報を書き出します。紙とデータの両方を対象にします。

2. 取得の経路と利用目的を組み合わせて書く

   「カウンセリングシートで聞いたアレルギー情報は、施術の安全のために使う」のように、情報ごとに経路と目的を対応させます。目的にない使い方をしていないかも、ここで確認します。

3. 委託先と外部サービスを一覧にする

   予約システム、顧客管理アプリ、決済サービス、LINE、クラウドの保存先、会計を任せている税理士などを書き出します。契約の内容と、データの保存場所（国）も確認します。

4. 安全管理措置を実態どおりに書く

   カルテの施錠保管、持ち出しの禁止、パスワードとアクセス権限の管理、スタッフへの研修と秘密保持の誓約、責任者など、実際に行っていることだけを書きます。

5. 請求と苦情の窓口・手順を決める

   開示や削除の依頼を受けたときの本人確認の方法、手数料の有無、回答までの流れを決め、対応する担当者をスタッフに共有します。

6. 掲載し、改定日を書いて見直す

   ホームページのトップから1回程度の操作で開ける場所、予約ページやLINEのメニュー、店頭に掲示します。新しいサービスを入れたときと法改正の施行時に見直し、改定日を更新します。

具体例：棚卸し表のイメージ（仮の設定）

仮の設定として、スタッフ3人で顧客台帳が約1,200人分ある店を想定し、手順1〜3の結果を表にすると次のようになります。

この仮の設定では、顧客台帳の全員分が漏えいすると「1,000人を超える」ため、報告が必要な事態に当たります。アレルギーを書いた紙のカルテは、1枚の紛失でも報告の対象になりえます。

美容室向けプライバシーポリシーの例文

次の例文は、上の手順で整理した内容を当てはめて使う下敷きです。〔　〕の部分を自店の実態に置き換え、使っていないサービスの記載は削除してください。公開する前に、弁護士など専門家の確認を受けることをおすすめします。

1. 事業者：〔店名〕（以下「当店」）は、お客様の個人情報を次のとおり取り扱います。事業者：〔個人事業主の氏名または法人名〕、住所：〔住所〕、代表者：〔法人の場合は代表者の氏名〕。
2. 取得する情報：氏名、フリガナ、生年月日、電話番号、メールアドレス、住所、来店履歴、施術内容・使用した薬剤などのカルテの記録、施術の安全のためにお聞きするアレルギーや肌・頭皮の状態、施術前後の写真、LINE公式アカウントの表示名とトーク内容、予約サイト・予約システムを通じた予約情報、ホームページの閲覧情報（Cookieなど）。
3. 利用目的：(1)予約の受付・確認・変更のご連絡、(2)カウンセリング・施術の提供とカルテの管理、(3)アレルギーや皮膚トラブルの確認など施術の安全の確保、(4)お支払いと領収書の発行、(5)次回来店のご案内やメニュー・キャンペーンのお知らせ（LINE・メール・郵便）、(6)お問い合わせや苦情への対応、(7)サービス改善のための来店状況の分析、(8)同意をいただいた写真の掲載。お知らせは、停止のご希望があれば送りません。
4. 健康に関する情報：アレルギーや持病など健康に関する情報は、施術の安全のためだけに使い、法令に基づく場合を除き、ご本人の同意なく第三者に提供しません。
5. 写真：施術前後の写真はカルテの記録として保存します。ホームページ・SNS・予約サイトへの掲載は、その都度同意をいただいたものに限り、削除のご依頼があれば速やかに削除します。
6. 第三者提供と委託：法令に基づく場合などを除き、ご本人の同意なく個人データを第三者に提供しません。予約管理・顧客管理・決済・メッセージ配信などの業務の一部を外部に委託することがあり、その場合は委託先を適切に選び、監督します。〔外国の事業者のサービスを使う場合の例：当店は〔国名〕の事業者が提供するクラウドサービスに顧客データを保存しており、同国の個人情報保護に関する制度を確認したうえで安全管理措置を講じています。〕
7. 安全管理措置：個人データの取扱いの責任者を置き、スタッフに研修を行い、秘密保持を誓約させています。紙のカルテは鍵のかかる場所に保管し、店外への持ち出しを禁止しています。端末と各システムはパスワードとアクセス権限を管理し、セキュリティソフトを更新しています。詳しい内容はお問い合わせ窓口でご案内します。
8. アクセス解析：当店のホームページは、閲覧状況の分析のためにGoogle アナリティクスを使用しており、Cookieによりデータが収集されます。収集の仕組みは「Google のサービスを使用するサイトやアプリから収集した情報の Google による使用」〔Googleの説明ページへのリンク〕をご覧ください。Cookieはブラウザの設定で無効にできます。
9. 開示などのご請求：ご本人から、利用目的の通知、開示、訂正・追加・削除、利用停止・消去、第三者提供の停止、第三者提供記録の開示のご請求があった場合は、ご本人であることを確認したうえで、法令に従い対応します。手数料：〔無料／1件○○円〕。
10. お問い合わせ・苦情の窓口：〔店名〕個人情報の窓口、電話〔番号〕、メール〔アドレス〕、受付時間〔営業日の10時〜18時など〕。
11. 改定：法令の改正や当店の運用の変更に合わせて本ポリシーを改定し、このページでお知らせします。制定日〔年月日〕、最終改定日〔年月日〕。

漏えいしたときの報告義務とよくある失敗

個人データの漏えいなどが起き、次の事態に当たる場合は、2022年4月から個人情報保護委員会への報告と本人への通知が義務になっています。漏えいの「おそれ」がある段階でも対象です。

報告は、発覚から3〜5日以内に速報、30日以内（不正の目的のおそれがある場合は60日以内）に確報を、個人情報保護委員会のホームページから行います。本人への通知も、状況に応じて速やかに行います。

1. ひな形をそのまま貼る：使っていないサービスや、実際には行っていない安全管理措置が書かれたままになります。実態と違う記載は、お客様の信頼を損なう原因です。
2. 利用目的にない使い方をする：カルテの記録用に撮った写真をSNSに載せるなど、特定した目的を超えて使うには、原則として本人の同意が必要です。
3. 作ったまま見直さない：予約システムを替えたり、LINEで事前カウンセリングを始めたりしたときは、取得する情報と委託先が変わります。その都度、ポリシーを直します。

よくある質問

1. 1人で営業している小さな店にも必要ですか？：必要です。顧客名簿やカルテを探せる形で持っていれば、規模に関係なく個人情報取扱事業者に当たります。利用目的の公表などの義務は、スタッフの人数で変わりません。
2. ホームページがない店は、どこに掲載しますか？：店頭への掲示やパンフレットの備え付けでも公表に当たります。予約サイトの店舗ページやLINEのメニューにリンクを置ける場合は、あわせて載せておくと見てもらいやすくなります。
3. ひな形をそのまま使ってもよいですか？：おすすめしません。ひな形は下敷きとして使い、取得している情報、使っているサービス、実際の安全管理措置に合わせて書き直します。公開前に専門家の確認を受けると安心です。
4. お客様から「データを消してほしい」と言われたら？：まず本人確認をし、法律上の要件に当たるかを確認して対応します。会計の記録など法令で保存が必要なものを除き、消去に応じる運用を決めておくと、対応に迷いません。書類ごとの保存期間は美容室の書類の保存期間一覧で確認できます。
5. 求人の応募者の個人情報も、このポリシーに含めますか？：お客様向けとは分けて、応募者向けの利用目的を募集要項や応募フォームに書くと分かりやすくなります。応募フォームで受け取る場合も、あらかじめ利用目的の明示が必要です。
6. LINEの事前カウンセリングでアレルギーを聞いてもよいですか？：施術の安全のために聞くことは問題ありませんが、要配慮個人情報に当たりうるため、目的を示し、答えは任意であることを伝えます。フォームの設計はLINE事前カウンセリング設計で扱っています。

プライバシーポリシー作成のチェックリスト

出典：個人情報の保護に関する法律（第2条、第16条、第17条、第20条、第21条、第25条、第27条、第32条）、同法施行令第10条、個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（令和8年6月一部改正）、個人情報保護委員会「ガイドラインに関するQ&A」（Q9-3、Q10-25）、個人情報保護委員会「漏えい等報告・本人への通知の義務化について」・リーフレット「個人データの漏えい等報告について」、個人情報保護委員会「令和8年 改正個人情報保護法について」、Google アナリティクス利用規約（第7条）、総務省「外部送信規律」。2026年9月時点で確認した情報です。例文と棚卸し表は仮の設定によるもので、個別の判断は弁護士など専門家に確認してください。

法律で求められる5項目を押さえ、カルテ・写真・LINEと予約サイトの扱いを実態どおりに書き、掲載して見直し続ける。この3つで、お客様が安心して情報を預けられる店の姿勢を、文書として示せます。