美容室で顧客情報が漏えいしたときの対応｜個人情報保護委員会への報告・本人への通知・再発防止

結論：報告が必要になる4つの基準と期限の早見表

報告と本人への通知が必要になるのは、個人データの漏えい・滅失・毀損（漏えい等）が起きた、または起きたおそれがあり、次の4つの基準のどれかに当たる場合です（個人情報保護法第26条、同法施行規則第7条）。1つでも当たれば、人数が少なくても報告が必要です。

速報は事態を知った後「速やかに」行い、個人情報保護委員会は概ね3〜5日以内を目安としています。速報の段階では、分かっている範囲を報告すれば足ります。確報の期限は知った日を1日目として、土日祝日も含めて数えます。期限の日が土日祝日や年末年始（12月29日〜1月3日）に当たるときは、その翌日が期限です。たとえば10月14日（水）に知った場合、30日以内の確報の期限は11月12日（木）になります。

報告の対象になる「個人データ」とは、顧客台帳、予約システム、五十音順に並べたカルテのように、検索できる形にまとめた個人情報（個人情報データベース等）に含まれる情報です。個人情報保護法は店の規模に関係なく適用されるため、1人で営業している美容室も対象です。報告や通知を怠って個人情報保護委員会の勧告・命令を受け、命令に違反した場合は、1年以下の拘禁刑または100万円以下の罰金（法人は1億円以下の罰金）の対象になります（同法第148条・第178条・第184条）。

なお、2026年7月17日に公布された改正個人情報保護法には、本人の権利利益の保護に欠けるおそれが少ない場合に本人への通知を省略できる例外の追加などが盛り込まれています。ただし2026年10月時点では施行前で、いま起きた事案はこの記事で説明する現行のルールで対応します。

美容室で起きやすい漏えいと、報告が必要かの判断

美容室の漏えいで起きやすいのは、LINEやメールの誤送信、予約管理に使うスマートフォンの紛失、退職したスタッフによる持ち出しです。報告が要るかは、漏れた情報の中身（要配慮・財産的被害）、原因（不正の目的）、人数（1,000人超）の3点で判断します。

個人情報保護委員会のガイドラインでは、第三者に見られないうちにすべて回収できた場合は漏えいに当たらないとされています。報告の要否は「漏えいした」と確定する前の「おそれ」の段階でも判断が必要です。迷うときは、個人情報保護委員会の個人情報保護法相談ダイヤル（03-6457-9849、平日9時30分〜17時30分）に相談してください。カルテや予約データを失わないための備えはデータ管理とバックアップで整理しています。

発覚した当日から確報までの対応フロー

漏えいに気づいたら、報告より先に「被害の拡大を止める」ことと「事実を記録する」ことから始めます。個人情報保護委員会のガイドラインは、内部での報告と被害の拡大防止、事実関係の調査と原因の究明、影響範囲の特定、再発防止策の検討と実施、委員会への報告と本人への通知の5つを、発覚したときにとる措置として示しています。

1. 当日：責任者に報告し、被害の拡大を止める

   気づいたスタッフは、すぐにオーナーか店長に報告します。誤送信なら送信の取り消しと相手への削除のお願い、スマートフォンの紛失なら各サービスのパスワード変更とログアウト、不正ログインならパスワード変更と二段階認証の設定を行います。LINE公式アカウントのチャットは、LINEヤフーの機能マニュアル（2026年8月更新）では、送信から24時間以内なら送信を取り消せます。

2. 当日〜翌日：事実を記録する

   いつ、誰が、何を、誰に（どこに）、何人分、どうして起きたかを時系列で書き残します。LINEの画面、送信履歴、ログイン履歴はスクリーンショットで保存します。

3. 1〜3日目：影響範囲を特定し、4つの基準に当たるかを判断する

   漏れた項目（氏名、電話番号、カルテの記載など）と人数を確定させ、早見表の4つの基準に照らします。判断に迷えば相談ダイヤルに相談します。

4. 概ね3〜5日以内：速報を出す

   個人情報保護委員会のウェブサイトにある漏えい等報告フォームから報告します。業種によっては、事業を所管する省庁が報告先になる「権限の委任」があるため、報告前に委員会の案内で報告先を確認します。原因や人数が確定していなくても、分かっている範囲で報告します。

5. 状況に応じて速やかに：本人に通知する

   次の見出しの文例を参考に、漏れた情報の本人に知らせます。

6. 30日以内（③不正の目的は60日以内）：確報を出す

   下の表の9項目をすべて報告します。確報の時点で分からないことは、分かりしだい追加で報告します。

7. 確報の後：再発防止策を実施し、公表を検討する

   原因に合った対策を実施します。公表は法律上の義務ではありませんが、二次被害や類似の事案を防ぐ観点から、事実関係と再発防止策を速やかに公表することが望ましいとされています。

報告で書く9項目と、美容室での記入例

速報・確報で報告する事項は、個人情報保護法施行規則第8条第1項で9つに決められています。下の記入例は、LINEでカルテの写真を誤送信した場合を想定した仮の設定です。

本人への通知の方法と文例

本人への通知では、概要、漏れた個人データの項目、原因、二次被害の有無とその内容、その他参考となる事項を、事態の状況に応じて速やかに伝えます（同法施行規則第10条）。方法は、電話、メール、LINE、郵送など、本人に確実に届くものを選びます。

要配慮個人情報が漏れた場合や対象が少人数の場合は、まず電話でお詫びと説明をし、そのあと文書でも同じ内容を送ると誤解が生じにくくなります。連絡先が分からないなど本人への通知が難しい場合は、事案の公表や問い合わせ窓口の設置といった代替措置をとります。被害の拡大を防ぐ初動が終わっていないなど、すぐに通知しないほうがよい場合もありますが、その場合も速やかに通知することに変わりはありません。

通知では、原因を推測で言い切らない、被害を小さく見せない、確認できていないことを「問題ありません」と書かない、の3点を守ります。お詫びの品や割引券を渡すかどうかは店の判断ですが、法律上の通知の代わりにはならない点に注意してください。

退職したスタッフが顧客情報を持ち出したときの対応

退職したスタッフが店の顧客リストやカルテの情報を持ち出し、独立先や転職先から連絡している場合は、人数に関係なく報告の対象になります。個人情報保護委員会のガイドラインは、従業者による個人データの不正な持ち出しを、不正の目的をもって行われたおそれがある事態の例に挙げており、確報の期限は60日以内です。

まず区別したいのは、お客様が自分の意思で担当者についていくことと、店のデータが持ち出されることです。お客様がどの美容室に通うかは自由で、それだけでは漏えいに当たりません。問題になるのは、予約システムからの顧客リストの書き出し、カルテの撮影、店のLINE公式アカウントの情報の流用など、店が管理している個人データが使われている場合です。

1. 事実を確かめ、記録を残す

   「新しいお店から連絡が来た」というお客様の申し出の内容、予約システムやLINE公式アカウントのログイン履歴・書き出しの履歴、退職前後の権限の状態を確認し、保存します。

2. アクセスを止める

   退職者のアカウントやパスワードがまだ使える状態なら、すぐに削除・変更します。店の端末を持ち帰っていないかも確認します。

3. 報告と本人への通知を行う

   持ち出しのおそれがあると判断したら速報を出し、持ち出された可能性のある顧客に通知します。

4. 元スタッフに返還・削除を求め、専門家に相談する

   持ち出したデータの返還と削除を書面で求めます。顧客情報が不正競争防止法の営業秘密として保護されるかは、店の管理の状況によって変わるため、損害賠償などを考える場合は弁護士に相談してください。

持ち出しを防ぐ事前の備えと、担当客の引き継ぎの進め方はスタッフの独立で顧客がついていくのを防ぐにはで整理しています。

再発防止策 — 原因ごとに「手順と設定」で防ぐ

再発防止策は、人の注意力に頼らず、手順と設定で防げるものを原因ごとに選びます。「今後は気をつけます」だけでは、確報に書く再発防止策としても不十分です。

個人情報保護委員会のガイドラインには、従業員100人以下の中小規模事業者（取り扱う個人データが5,000人分を超える事業者などを除く）向けの安全管理措置の手法の例も示されています。個人データを扱える機器と担当者をはっきりさせて不要なアクセスを防ぐこと、データや書類を持ち運ぶときはパスワードの設定や封筒への封入などで紛失・盗難を防ぐことなど、美容室でもそのまま使える内容です。パスワードと権限の管理は顧客データを守る方法、LINE公式アカウントの権限はLINEスタッフ権限管理、LINEで扱う情報の範囲はLINE個人情報管理で手順を示しています。

よくある質問

お客様1人にLINEを誤送信しただけでも、個人情報保護委員会への報告が必要ですか？

4つの基準に当たらなければ報告義務はありません。ただし病歴などの要配慮個人情報が含まれていれば、1人分でも報告と本人への通知が必要です。報告義務がなくても、送信の取り消し、相手への削除のお願い、本人への説明と記録は行います。

速報の段階で原因や人数が分からなくても報告してよいですか？

はい、その時点で把握している範囲で報告すれば足ります。分からない項目は確報で報告し、確報の時点でも分からないことは、判明しだい追加で報告します。

報告をしなかった場合、罰則はありますか？

報告をしなかったことだけで直ちに罰則が科されるわけではありませんが、個人情報保護委員会の勧告や命令の対象になります。命令に違反すると1年以下の拘禁刑または100万円以下の罰金（法人は1億円以下の罰金）の対象です。

漏えいしたことを店のホームページなどで公表する義務はありますか？

公表は法律上の義務ではありません。ただし二次被害や類似の事案を防ぐ観点から、事実関係と再発防止策の公表が望ましいとされ、本人への通知が難しい場合は代替措置として公表を使います。

予約システムの会社から情報漏えいの連絡がきた場合、店も報告が必要ですか？

必要になる場合があります。店の顧客データの取扱いを委託している関係なら、委託先が店に通知することで委託先の報告義務がなくなり、委託元である店が報告と本人への通知を行うのが原則です。システム会社の案内と分担を確認し、4つの基準に当たるかを判断してください。

2026年に個人情報保護法が改正されたと聞きましたが、対応は変わりますか？

2026年10月時点では変わりません。2026年7月17日に公布された改正法には本人への通知の例外の追加などが含まれますが、施行は一部を除き公布から2年以内の政令で定める日とされており、いま起きた事案は現行のルールで対応します。

出典：個人情報の保護に関する法律第2条第3項・第16条・第26条・第148条・第178条・第184条、同法施行令第2条、同法施行規則第7条・第8条・第10条（e-Gov法令検索「個人情報の保護に関する法律」）、個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」3-5（個人情報保護委員会「ガイドライン（通則編）」）、個人情報保護委員会の漏えい等報告の案内（個人情報保護委員会「漏えい等報告」）、個人情報保護委員会「令和8年 改正個人情報保護法について」、LINEヤフー「LINE公式アカウント 機能マニュアル（チャット）」。個別の判断は弁護士、または個人情報保護委員会の個人情報保護法相談ダイヤルに確認してください。

漏えいへの備えは、起きる前に「誰に報告し、何を止め、どこに届け出るか」を1枚にまとめておくことです。まず顧客データがある場所とログインできる人の一覧を作り、プライバシーポリシーの作り方を参考に、問い合わせ窓口の記載もあわせて見直してください。