テナント店舗が個人情報保護法の対象になる場面
店舗を経営していると、さまざまな場面で顧客の個人情報を取得します。会員カードや予約システム、アンケート、メルマガ登録など、気づかないうちに「個人情報取扱事業者」としての義務が発生しています。
平成27年（2015年）の個人情報保護法改正（2017年5月30日全面施行）で、従業員・顧客合わせて5,000件以下の小規模事業者の適用除外が廃止されました。つまり、1件でも個人情報を取り扱えば法律の適用対象となります。小規模なテナント店舗でも、以下の対応が求められます。
店舗が取り扱う主な個人情報の種類
| 取得シーン | 個人情報の例 |
|---|---|
| 会員カード・アプリ登録 | 氏名・生年月日・メールアドレス・電話番号 |
| 予約システム | 氏名・連絡先・利用履歴 |
| ポイントカード | 氏名・購買履歴 |
| 求人応募 | 履歴書・職歴・健康診断書 |
| アンケート | 年齢・性別・意見・感想 |
| 防犯カメラ映像 | 顔画像（要配偶の場合あり） |
このうち、要配慮個人情報（健康情報・病歴・犯罪歴等）は取り扱いが特に厳格であり、取得には原則として本人の明示的な同意が必要です。
個人情報取扱事業者の主な義務
1. 利用目的の明示
個人情報を取得する際は、その利用目的を明確にして通知・公表する義務があります。「会員向け新商品のご案内のため」「予約の確認・変更連絡のため」のように具体的に記載し、後から目的を拡大する場合は再度同意を取得します。
2. 安全管理措置
取得した個人情報を漏洩・滅失・毀損しないよう、組織的・技術的な安全管理措置が必要です。具体的な措置例：
- 顧客情報が入ったPCへのパスワード設定と画面ロック
- スタッフへの個人情報取り扱い教育
- 紙の会員台帳の施錠保管
- メールアドレスの誤送信防止（BCC使用・送信前確認）
3. 第三者提供の制限
本人の同意なく、個人情報を第三者に提供することは禁止されています。「顧客情報をグループ会社や業務提携先に提供する」場合は、個人情報取得時にその旨を明示し同意を得ることが必要です。
4. 開示・訂正・削除への対応
本人から「自分の個人情報を教えてほしい」「内容を訂正してほしい」「削除してほしい」という請求が来た場合、合理的な期間内に対応する義務があります。対応窓口（メールアドレスや電話番号）をプライバシーポリシーに明記しておきましょう。
プライバシーポリシーの作成方法
プライバシーポリシーは店舗ウェブサイト・来店時の告知物・アプリ上のいずれかに掲示します。記載必須の項目は以下です。
- 事業者の名称・住所・代表者名
- 個人情報の利用目的（具体的に列挙）
- 個人情報の第三者提供の有無と提供先の種類
- 安全管理措置の概要
- 個人情報の開示・訂正・削除等の請求に関する手続き
- 苦情の申し出先（窓口の連絡先）
テンプレートを流用する際は、自店舗の取扱い実態と合っているかを確認してください。たとえば、予約システムの提供会社が個人データを処理する場合（委託先への提供）は、その旨の記載が必要です。
情報漏洩が起きた場合の対応手順
2022年改正で、個人情報の漏洩・不正アクセスが発生した場合、個人情報保護委員会への報告と本人への通知が義務化されました（一定規模以上の場合）。
発覚後の対応フロー：
- 被害拡大の防止（パスワード変更・システム停止など）
- 事実確認（どのデータが・いつから・どの程度漏洩したか）
- 個人情報保護委員会への報告（速報：3〜5日以内、確報：30日以内）
- 本人への通知（当該個人への連絡）
- 再発防止策の実施・記録
報告が必要な漏洩の主なパターンは、①要配慮個人情報の漏洩、②財産的被害が生じるおそれ、③不正の目的による漏洩、④1,000件以上の漏洩です。
テナント開業前に整備すべき実務チェックリスト
- [ ] 取得する個人情報の種類・利用目的を整理した
- [ ] プライバシーポリシーを作成・掲示した（ウェブサイトまたは店内告知）
- [ ] 会員登録フォーム・予約フォームに同意文言を追加した
- [ ] スタッフ向け個人情報取り扱いマニュアルを作成した
- [ ] 顧客データを保管するPCにパスワード・画面ロックを設定した
- [ ] 紙の顧客情報を施錠できる場所で保管している
- [ ] 退職者のアクセス権限を即時削除する手順を定めた
- [ ] 個人情報に関する問い合わせ窓口を決めた
個人情報保護法への対応は一度整備すれば維持コストが低く、顧客からの信頼性向上にも直結します。開業準備の段階でプライバシーポリシーの整備と社内教育を実施しておくことで、後から慌てて対応するリスクを大きく減らせます。