美容室のカルテの保管期間はいつまでか｜法律で決まっていること・決まっていないことと、持ち出しを防ぐ運用

結論：美容室のカルテの保管期間は自店で決め、決めた期間で消す

医療機関のカルテには医師法で5年の保存義務がありますが、美容室の顧客カルテにはこの種の保存義務がありません。美容師法にも保管年数の定めはなく、根拠になるのは個人情報保護法です。

個人情報保護法は、保管の「上限」も「下限」も年数では示していません。代わりに、利用目的を達成して不要になった個人データは遅滞なく消去するよう努めること、保管中は漏えいや紛失を防ぐ措置を講じることを求めています。

つまり実務では「何年持つか」を自店で決め、その期間を過ぎたら消す運用にしておくことが、法律の求めに最も近い形になります。カルテの中身の作り方は顧客カルテの書き方で扱っているので、この記事は保管と廃棄に絞ります。

法律で決まっていること・決まっていないこと

2022年4月に施行された改正で、取り扱う件数が少ない事業者も個人情報取扱事業者に含まれることが明確になっています。以前あった「5,000件以下なら対象外」という扱いは2017年に廃止されており、1人で営む店でも対象です。

とくに見落とされやすいのが病歴の扱いです。皮膚疾患やアレルギーの有無、服薬の状況は「要配慮個人情報」に該当する場合があり、取得の前に本人の同意が必要とされています。カウンセリングシートに記入欄を置くなら、同意の一文を添えるほうが安全です。

保管期間を決める手順（4ステップ）

年数の決め方に唯一の正解はありません。自店の来店周期と、カルテを使う場面から逆算して決めるのが実務的です。

1. カルテを何に使うかを書き出す

   施術履歴の確認、薬剤の反応の記録、次回提案、休眠客への連絡。使う場面がそのまま利用目的になり、通知・公表する文面の元になります。

2. 「最終来店から何年」で期限を置く

   来店周期が2〜3か月の店なら、最終来店から2年経てば実質的に休眠客です。3年で廃棄、と最終来店日を起点に決めると判断がぶれません。

3. 例外を先に決める

   薬剤でトラブルがあった記録は、期限を過ぎても一定期間残す判断があり得ます。何を例外にするかを先に文書にしておき、その場の判断で残さないようにします。

4. 年1回の棚卸し日を固定する

   「毎年1月に前々年以前の最終来店分を廃棄」のように日を決めます。都度やろうとすると先送りになり、保管期間の定めが形だけになります。

紙カルテと電子カルテで変わる保管の実務

保管期間の考え方は紙でも電子でも同じですが、安全管理の中身は変わります。紙は「鍵のかかる場所」、電子は「誰がいつ見たか」が焦点になります。

電子化の判断は電子カルテ導入で変わることにまとめています。移行するときは、紙の原本をいつ廃棄するかも同時に決めておくと、二重保管が長引きません。

退職・独立時の持ち出しを防ぐ3つの備え

カルテの問題で実際に多いのは、保管期間よりもスタッフの退職に伴う持ち出しです。顧客の連絡先と施術履歴は、店にとって営業上の資産であり、同時にお客様の個人情報でもあります。

1. 入社時に誓約書をとる：顧客情報を店外に持ち出さないこと、退職後も第三者に開示しないことを文書にします。就業規則にも同じ趣旨の条項を置きます。
2. アクセスできる範囲を最初から絞る：全員が全顧客の連絡先を見られる状態にしない。担当客のみ閲覧可、書き出しは店長のみ、といった権限設計にします。
3. 退職日にアカウントと鍵を回収する：電子カルテのログイン停止、紙カルテ保管庫の鍵の返却、私用スマホに保存した写真の削除確認を退職日のチェックリストに入れます。

持ち出しが起きたときの対応はスタッフの独立で顧客がついていくのを防ぐにはで扱っています。事前の備えがあるかどうかで、事後に取れる手段の幅が変わる場合があります。

出典：個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」、個人情報の保護に関する法律（利用目的の特定、データ内容の正確性の確保等、安全管理措置、従業者の監督、要配慮個人情報の取得制限の各規定）、医師法第24条（診療録の保存）。制度は改正されることがあるため、実際の運用では最新の公表資料を確認し、必要に応じて専門家にご相談ください。記事内の年数の例は自分で置いた前提による目安です。

お客様から「カルテを見せて」「消して」と言われたら

個人情報保護法には、本人からの開示請求や利用停止・消去の請求に応じる仕組みがあります。保有個人データにあたるカルテは、本人から求められれば原則として開示することになります。

実務では「施術履歴を印刷して渡す」「本人確認のうえで削除し、削除した旨を伝える」で対応できる場合が大半です。断る理由がないのに応じないと、信頼を失うだけでなく法律上の問題にもなり得ます。対応の窓口と手順を1枚にまとめておくと、スタッフが慌てずに済みます。

LINEやSNSに残る情報も「カルテの一部」として扱う

施術写真をLINEで送り合っている店では、トーク履歴の中に施術履歴と連絡先がそろっている状態になります。カルテを棚で厳重に保管していても、私用スマホのLINEに同じ情報が残っていれば、保管の実態はそちらで決まります。

店舗用のアカウントに一本化し、個人アカウントでのやり取りを禁止する。写真はカルテに移したら端末から消す。この2つを決めておくだけで、持ち出しと漏えいの経路が大きく減ります。LINE上の個人情報の扱いはLINEの個人情報管理にまとめています。

予約システムやクラウドに預けるときは「委託先の監督」が要る

電子カルテや予約システムにお客様の情報を入れる行為は、法律上は個人データの取り扱いを外部に委託している状態にあたります。個人情報保護法は、委託先に対しても必要かつ適切な監督を求めています。

とはいえ、小さな店が大手の提供元を細かく監査することは現実的ではありません。実務では次の3点を確認して記録に残しておけば、監督の実態を示せる場合が多いです。

1. 利用規約とプライバシーポリシーを読み、保存場所と削除の仕組みを確認する：解約時にデータが消えるのか、消えるまでに何日かかるのかを見ます。
2. 2段階認証など、提供元が用意している安全機能を全部オンにする：機能があるのに使っていない状態は、店側の管理不足と見られやすくなります。
3. 提供元の連絡先と障害時の窓口を1枚にまとめておく：漏えいが疑われるとき、最初の1時間で誰に連絡するかが決まっていると対応が早くなります。

2022年の改正では、一定の漏えいが起きた場合に個人情報保護委員会への報告と本人への通知が義務になりました。要配慮個人情報を含む漏えいは件数にかかわらず報告の対象とされているため、病歴やアレルギーの記録がある店ほど、委託先の確認は先に済ませておく価値があります。

今週やることのチェックリスト

カルテは再来店の設計の土台であり、同時に店が預かる個人情報です。「いつまで持つか」と「どう守るか」をセットで決めておくことが、お客様との信頼を長く保つ前提になります。全体の設計は顧客管理・CRM完全ガイドを参照してください。