美容所での客の個人情報の扱い（予約台帳・カルテ・施術写真）

予約台帳・カルテ・施術写真の扱いに関わる個人情報保護法の条文と、個人情報保護委員会のガイドラインの記載を、原文で確かめます。

参照した公式資料

確認日: 2026-10-14（Ｑ７－11は2026-10-14に個人情報保護委員会のＱ＆Ａで照合）。

確認できた結論

対象になる「事業者」と「データベース等」

箇所原文
法第16条第2項「個人情報取扱事業者」とは、個人情報データベース等を事業の用に供している者をいう。ただし、国の機関・地方公共団体・独立行政法人等・地方独立行政法人を除く。
法第16条第1項「個人情報データベース等」とは、個人情報を含む情報の集合物であって、特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの、又は特定の個人情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの。
ガイドライン通則編 2-4コンピュータを用いていない場合であっても、紙面で処理した個人情報を一定の規則（例えば、五十音順等）に従って整理・分類し、特定の個人情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものも該当する。

ガイドラインが挙げる該当事例には「人材派遣会社が登録カードを、氏名の五十音順に整理し、五十音順のインデックスを付してファイルしている場合」があり、該当しない事例には「アンケートの戻りはがきが、氏名、住所等により分類整理されていない状態である場合」があります。美容所の予約台帳・カルテがどちらに近いかは、このページでは当てはめません。

個人情報に当たるもの（顔画像・映像・写真）

ガイドライン通則編の2-1は、「個人に関する情報」を「氏名、住所、性別、生年月日、顔画像等個人を識別する情報に限られず、ある個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表す全ての情報であり、評価情報、公刊物等によって公にされている情報や、映像、音声による情報も含まれ」ると説明しています。該当事例には「防犯カメラに記録された情報等本人が判別できる映像情報」があります。施術写真そのものを名指しした記載は、今回確認した範囲では見つかっていません。

施術写真をSNSやホームページに載せるときの同意

個人情報保護委員会の「個人情報の保護に関する法律についてのＱ＆Ａ」に、写真の掲載を扱う問答（Ｑ７－11）があります。問いは「会社の行事で撮影された写真などを、当社内で展示する場合、写真に写っている本人からあらかじめ同意を得る必要がありますか。」で、答えは次のとおりです。

一般的に、本人を判別可能な写真の画像は個人情報には該当しますが、個人データ（個人情報データベース等を構成する個人情報）ではないと解されるため、あらかじめ本人の同意を得ずに展示等を行っても、法第27条第１項に違反するおそれはないと解されますが、利用目的を通知又は公表することは必要です（法第21条第１項）。なお、プライバシーの権利や肖像権の侵害に当たる場合もあるため、例えば展示期間を限定したり、不特定多数の者への提供に際しては自主的に本人の同意を得る等の取組が望ましいと考えられます。

出典: 個人情報保護委員会「個人情報の保護に関する法律についてのＱ＆Ａ」Ａ７－11

この問答から読み取れるのは3点です。写真だけなら個人データではないと解されるので第27条第1項の同意は直接は問われないこと、利用目的の通知・公表は必要なこと、不特定多数に見せるときは本人の同意を自主的に得ることが望ましいとされていることです。

ただし、この問答が扱うのは社内での展示です。SNSやホームページへの掲載、掲載する写真が氏名つきの顧客台帳と結びついている場合、撮影の目的を後から変える場合について答える問答は、同Ｑ＆Ａの全文を検索した範囲（確認日2026-10-14）では見つかっていません。このため、SNS掲載に同意が法律上必要かどうかは、このページでは判断しません。

カルテに書く内容と「要配慮個人情報」

法第2条第3項は、「病歴」などを含む個人情報を要配慮個人情報とし、法第20条第2項は、法令に基づく場合などを除き、あらかじめ本人の同意を得ないで要配慮個人情報を取得してはならないと定めています。ガイドラインは「病歴」を「病気に罹患した経歴を意味するもの」と説明し、特定の病歴を示した部分が該当するとしています。

カルテに書く皮膚の状態やアレルギーの記載が、この「病歴」や政令で定める事項に当たるかどうかは、記載の中身で変わります。このページでは判断しません。

取得・保管・提供の条文

条内容（原文の要旨）予約台帳・カルテ・写真との関係
第17条第1項個人情報を取り扱うに当たっては、その利用の目的をできる限り特定しなければならない。台帳・カルテに何のために記録するかを特定する。
第21条第1項・第2項取得した場合は、あらかじめ利用目的を公表している場合を除き、速やかに利用目的を本人に通知し、又は公表する。本人から直接書面に記載された個人情報を取得する場合は、あらかじめ本人に利用目的を明示する。来店時に記入してもらうカウンセリングシートなどが、書面で直接取得する場面に近い。
第23条取り扱う個人データの漏えい、滅失又は毀損の防止その他の安全管理のために必要かつ適切な措置を講じなければならない。台帳・カルテ・写真データの保管場所と持ち出しに関わる。
第27条第1項法令に基づく場合などを除き、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。客の情報を他店・外部の事業者へ渡す場面に関わる。

店をやめるとき・カルテが不要になったときの扱い

美容所を廃業・閉店するときに、客のカルテや施術記録をいつまで持ち、いつ捨てるかを、美容師法の側から確かめました。

箇所確認できたこと
美容師法・同法施行規則e-Gov法令検索で「保存」を検索すると、美容師法で該当するのは第4条の11（指定試験機関が試験事務の帳簿を備えて保存する義務）と、その違反への罰則を定める第17条の4だけです。施行規則には「保存」の語がありません。美容所の開設者が、カルテや施術記録を一定期間保存する義務を定めた条文は、今回確認した範囲では見つかっていません。
法第22条個人情報取扱事業者は、利用目的の達成に必要な範囲内で、個人データを正確かつ最新の内容に保つとともに、「利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない」。努力義務として書かれています。
ガイドライン通則編（法第22条関係）利用する必要がなくなったときとは、「利用目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった場合や、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等」とされ、「法令の定めにより保存期間等が定められている場合は、この限りではない」と書かれています。
ガイドライン通則編（法第22条関係の注）「個人データの消去」とは、「当該個人データを個人データとして使えなくすることであり、当該データを削除することのほか、当該データから特定の個人を識別できないようにすること等を含む」。
法第23条廃棄の途中や廃棄の前の保管でも、漏えい、滅失又は毀損の防止のための安全管理措置の対象です。

ここから読み取れるのは3点です。美容師法には美容所のカルテの保存期間を定めた条文は見つからなかったこと、法第22条は不要になった個人データを遅滞なく消去する努力義務であること、ガイドラインは事業自体が中止になった場合を「利用する必要がなくなった」例に挙げていることです。したがって廃業後にカルテを持ち続けてよい期間は、この資料からは決まりません。

確認できていないのは、ほかの法令（税務・会計の帳簿書類など）が、予約台帳や会計記録に別の保存期間を定めているか、廃業や事業の譲渡のときに客の個人データを譲り先へ渡せる条件（法第27条第5項第2号の「合併その他の事由による事業の承継」）の当てはめです。このページでは判断しません。廃業の届出そのものは美容所の届出事項の変更・廃止で確かめられます。

このページで確認していないこと

最新の内容は個人情報保護委員会のガイドライン（通則編）と、e-Gov法令検索の個人情報の保護に関する法律で確かめてください。確認日は2026-10-14です。

次に読むページ

よくある質問

客が少ない小さな美容室でも、個人情報保護法の対象になりますか？

第16条第2項は、個人情報取扱事業者を「個人情報データベース等を事業の用に供している者」と定めていて、客の人数などの件数の条件は条文に書かれていません。台帳やカルテがデータベース等に当たるかどうかで決まります。

紙の予約台帳やカルテも対象になりますか？

ガイドライン通則編2-4は、紙でも一定の規則（例えば、五十音順等）で整理・分類し、目次・索引・符号等を付して他人にも容易に検索できる状態にしているものは、個人情報データベース等に該当するとしています。分類整理されていない状態のアンケートはがきは該当しない事例として挙げられています。

施術前後の写真は個人情報ですか？

ガイドライン通則編2-1は、個人に関する情報に顔画像や映像による情報が含まれるとしています。写真が個人情報に当たるかは、特定の個人を識別できるかどうかで決まり、このページでは個別の写真への当てはめはしません。