このページの要点
- 紙の記録、予約システム、LINE、決済端末は、誰が管理する情報かを区別して書く。紙の問診票は、記入の前に利用目的を載せる（21条2項）。
- 写真・動画・口コミの掲載は、「同意したものとみなす」でなく、取得の場面で掲載先と顔の写り方を示して確認する。
- 子どもが利用する事業では、子ども本人の情報と保護者の情報、緊急連絡先を分け、誰から取るかを書く。
- 屋号だけの運営でも、事業者の名称・住所は本人の知り得る状態に置く必要がある（32条1項1号）。「準備中」のままにしない。
結論：来店型は「紙」「LINE」「予約システム」「カメラ」を前提に書き分けます
店舗・サロン・教室・スタジオのように、お客様が来店し、予約はネットや電話で受け、記録は紙や専用のアプリに残す事業では、情報の入口と置き場所が複数に分かれます。ホームページの入力フォームだけを前提にしたひな形では、紙の問診票、LINEのやり取り、来店時の写真、店内のカメラといった、来店型に特有の取得が抜け落ちます。
来店型のプライバシーポリシーを整えるときの要点は、次の四つです。(1)紙の記録と、予約システム・LINE・決済端末に置く情報の、「誰が管理するか」を区別して書く。(2)写真・動画・口コミを掲載するときは、利用目的に書くだけでなく、取得の場面で明示的に確認する。(3)子どもの利用が絡むときは、誰の情報を誰から取るかを分けて書く。(4)屋号だけで運営している場合の事業者名・窓口を、書ける形に決めておく。このページは、業種固有の細かな論点には立ち入らず、来店型に共通する書き分けの型を整理します。
前提として、取得経路の洗い出し（情報の棚卸し）と、利用目的の書き方（利用目的）が済んでいると、このページの内容が当てはめやすくなります。
紙の記録と予約システム・LINE・決済端末：誰が管理する情報か
来店型では、同じお客様の情報が、紙とデジタルの両方に散らばります。ポリシーに書くべきことは、情報がどこにあるかではなく、「事業者が管理している情報か」「別の事業者が管理している情報か」「どちらにも残る情報か」の区別です。この区別によって、委託なのか、提供なのかといった論点が変わります。
情報の置き場ごとの整理
| 情報の置き場 | 管理するのは誰か | ポリシーでの書き方 | 確かめる点 |
|---|---|---|---|
| 紙の問診票・カルテ・カウンセリングシート | 事業者 | 取得する項目と利用目的、保管の方法と期間を書く | 記入欄の前に利用目的を載せているか（21条2項） |
| 予約システム | 事業者が預けた情報を、システム提供者が保管する | 予約の管理のために外部のシステムを使う旨と、預ける情報の範囲を書く | 提供者が自社の目的でも使うか。委託にとどまるか（27条5項1号） |
| LINE公式アカウント等 | 事業者と、サービス提供者の双方に残る | やり取りの履歴が残ること、取得する項目（表示名、メッセージの内容など）を書く | 個人の端末にだけ残していないか |
| 決済端末・キャッシュレス決済 | 決済事業者が管理する情報と、事業者に残る取引記録がある | 決済は決済事業者の仕組みで行うこと、事業者に残る項目を書く | 管理画面で見える項目を確かめたか |
| 来店客の写真・動画（撮影物） | 事業者（保存先の端末・クラウドの管理者を含む） | 撮影の目的、掲載の有無、保存先と期間を書く | 撮影物を保存するクラウドが外国にないか（28条） |
この表で、最も食い違いが生じやすいのは二行目と三行目です。予約システムやLINE公式アカウントは、事業者が情報を預けて使うサービスですが、ポリシーに「第三者に提供しません」とだけ書いてしまうと、実態と合わなくなります。外部のサービスに情報を預けて処理させる関係は、利用目的の達成に必要な範囲内での取扱いの委託として、受け手が「第三者」に当たらない整理が可能です（27条5項1号）。ただし、受け手が自社のサービス改善などの目的で情報を使うのであれば、委託の範囲を超えて検討が必要です。この区分は外部サービスのページで、サービス名から引く形にまとめます。
紙の記録については、記入の前に利用目的を載せているか、保管の場所を決めているか、が焦点です。紙のカルテや問診票は、氏名の五十音順やカード番号順に整理していれば、検索しやすいように体系的に構成したものとして、個人データの段階に入り得ます（16条1項、3項）。鍵のかかる場所に置く、持ち出さない、といった保管の取り決めは、保管・安全管理のページで書き方を扱います。
写真・動画・口コミの掲載と店内の映像：「同意したものとみなす」型と、取得の場面での明示的な同意
来店型の事業で最も多い論点が、施術・レッスン・作品の写真や、お客様のコメントを、ホームページやSNSに載せたい、というものです。ひな形には「施術前後の写真や感想を、SNS等に掲載することに、基本的にご同意いただいたものとみなします」といった一文がよく見られます。この書き方には、いくつかの無理があります。
- 同意の取り方が見えない：来店した事実から掲載の同意を読み取る書き方で、本人が掲載を知る機会が取得の場面にない。
- 顔が写る写真との線引きが曖昧：「顔が写る写真は明確な同意を得たうえで掲載する」と続けて書く場合でも、基本の部分で「みなす」と書いていると、どちらが原則なのかが読み取れない。
- 本人が撤回できる前提が書かれていない：掲載後に取りやめを希望されたときの窓口や対応が、示されていない。
掲載について法律が問題にする場面は二つあります。一つは、利用目的に掲載が入っていて、その範囲内の利用か（17条、18条）。もう一つは、掲載が不特定多数への提供にあたり、個人データの第三者提供として本人の同意が必要になる場面があり得ること（27条1項）です。いずれも、取得の前後で本人に分かる形に整理しておくのが、実務では安全側の運用になります。
書き方の例（一般的な例） 写真・口コミの掲載の書き方
掲載の同意
理由同意を「みなす」のでなく、取得の場面で尋ね、記録に残すほうが、同意の有無を後から説明しやすいため
お客様自身の投稿
理由投稿者が公開した情報でも、事業者のアカウントで取り上げることが、本人の想定の範囲かは別の問題であるため
掲載後の取りやめ
理由本人の求めへの対応の窓口を書いておくことで、後の食い違いを防げるため
撮影・掲載の確認欄（申込書や撮影の前に使う文面）
施術（レッスン）の様子を撮影し、当店のホームページまたはSNSに掲載してもよろしいですか。
□ 顔が写らない範囲に限り、掲載してよい □ 顔が写る形でも、掲載してよい □ 掲載しない
掲載の取りやめのご希望は、いつでも受付窓口にお申し出ください。
選択肢を設けると、同意の範囲が記録に残ります。顔が写る場合と写らない場合を分け、「掲載しない」を選べるようにしています。
防犯カメラ・施設内の撮影：来店者の映像を取るときの公表
店内や出入口に防犯カメラを設置している場合、撮影された映像は、特定の個人を識別できる限り個人情報です（2条1項）。取得の目的を防犯とするなら、その旨をあらかじめ公表しておくのが基本です（21条1項）。店内に「防犯カメラ作動中」と表示するだけで十分か、映像の保存期間をどう書くか、警察などから映像の提供を求められたときの扱い、といった詳細は防犯カメラ・録音のページで整理します。
来店型の事業で、ポリシーに最低限書いておきたいのは、次の三点です。(1)カメラで映像を取得していること、(2)取得の目的（防犯、事故やトラブルの確認など）、(3)映像を第三者に提供する場合（法令に基づく場合、人の生命・身体・財産の保護に必要で同意が困難な場合など、27条1項各号の場合に限る）があること。カメラの存在を店内で告知していないのに、ポリシーだけに書く形は、取得の場面で本人に知らせる運用として弱くなります。貸スペースや共用の設備のように、利用者の映り込みが生じる場所では、利用者が入室前に気づける位置に掲示を置くことも一緒に考えます。
子ども・保護者・緊急連絡先：誰の情報を誰から取るか
教室、スタジオ、習い事のように、子どもが利用者になる事業では、一つの申込書に、子ども本人の情報と、保護者の情報が混在します。ポリシーの書き方では、この区別が曖昧になりがちです。次の問いで、取得の構造を整理します。
確認の問い子どもが利用する事業で、取得の構造を整理する問い
子ども本人の氏名・年齢・学年・体調などを、誰から取得していますか。
理由子ども本人から取るのか、保護者から取るのかによって、利用目的を示す相手と、同意を得る相手が変わるためです。
保護者の連絡先は、何のために取っていますか。
理由緊急時の連絡、料金の請求、お知らせの配信など、保護者の情報の使い道は子どもの情報とは別であり、目的を分けて書く必要があるためです。
子どもの写真や作品を掲載するとき、同意は誰から取りますか。
理由子ども自身が判断できる年齢かによって、保護者の同意が必要かが変わるためです。年齢の目安は、個人情報保護委員会のガイドラインやQ&Aの説明を原文で確認します。
緊急連絡先として書かれた第三者の情報を、どう扱っていますか。
理由書かれた本人は、自分の情報が記載されたことを知らないことが多く、緊急時の連絡にだけ使う、と目的を絞って公表しておく必要があるためです。
未成年者の同意が必要な場面では、同意を得る相手が子ども本人か、親権者などの法定代理人かを、書面上で区別して記載します。
保護者の同意と、子ども本人の意思の関係は、一言で済ませると問題になりやすい部分です。「保護者の方に代わってご同意をいただきます」の一文だけではなく、保護者の情報と、子どもの情報を、項目と目的で分けて書き、写真の掲載や外部への共有のように、本人に影響が出る目的は、取得の場面で保護者に尋ねる運用を用意するのが、実態に合った書き方です。
屋号だけで運営している小規模事業の、事業者名と窓口の書き方
個人で運営している店や教室では、事業者の名称を屋号で表示し、運営者の氏名や自宅の住所は出したくない、という事情がよくあります。ところが、保有個人データに関する事項として、個人情報取扱事業者の氏名または名称と住所を、本人の知り得る状態に置くことが求められています（32条1項1号）。法人であれば代表者の氏名も含まれます。
ここで押さえておきたいのは、次の二点です。第一に、「準備中」「ご予約確定後にお知らせします」といった書き方では、公表すべき事項を本人の知り得る状態に置いたことになるかが疑わしくなります。第二に、32条1項の「知り得る状態」には、本人の求めに応じて遅滞なく回答する場合も含まれます。したがって、請求があればすぐに事業者名・住所を回答できる体制を整え、その旨をポリシーに明記する、という組み立てが選択肢になります。ただし、屋号のみの表示が「名称」として足りるか、住所を出さない運用が許される範囲はどこまでか、といった判断は、ガイドライン（通則編）や所管官庁の資料で確認が必要です。住所を出したくない場合の窓口の置き方は、開示請求・窓口のページで整理します。
受付の掲示と体験・見学の申込み：来店客に気づいてもらう置き方
来店型の事業では、ホームページを見ずに来店するお客様も多くいます。その場合、プライバシーポリシーの全文をホームページに載せているだけでは、利用目的の公表として十分に伝わらない場面が出てきます。受付や待合に置く掲示、申込書の冒頭、お渡しする案内の紙などで、要点を目に入る形にしておくことが大切です。掲示に載せる内容は、全文でなく、要点で構いません。
受付の掲示に載せておきたい要点
- 取得している情報の種類（氏名・連絡先・来店の記録・相談内容・写真など）
- 主な利用目的（予約の確認、サービスの提供、記録の管理、ご案内など）
- 防犯カメラを設置している場合は、その旨と目的
- 写真・動画の撮影と掲載は、その都度ご希望をうかがうこと
- 開示などのご請求の窓口と、全文の掲載場所（ホームページのアドレスや、お渡しできる紙）
掲示の置き方にも、気をつける点があります。受付の壁の高い位置や、混雑して見えにくい位置に置いても、公表として伝わりにくくなります。来店客の目線の高さに、読める大きさの文字で、入口付近か受付のそばに置くのが基本です。文字を細かくして全文を貼り付ける形より、要点を大きく書き、詳細は別紙や全文の場所を案内する形のほうが、読んでもらえます。
もう一つの落とし穴は、体験・見学・無料相談のように、本契約に至らなかった方の情報の扱いです。体験の申込みの際に取得した氏名や連絡先、体験時の記録は、入会した方の情報と同じ台帳に入っていることが多くあります。入会に至らなかった方の情報を、いつまで持つのか、どのような目的で使うのか（その後のご案内に使うのか）を、あらかじめ決めておかないと、ポリシーにも説明が書けません。個人情報は、利用する必要がなくなったときに遅滞なく消去するよう努める（22条）ことが求められています。入会に至らなかった方については、「体験へのご対応と、お問い合わせへの回答のために使い、一定の期間が経過したら消去します」といった形で、目的と保管の考え方を書いておくと、実態と文面が揃います。保管の期間の考え方は保管・安全管理のページで整理します。
体験の申込み時に、その後のご案内（入会の勧誘など）に連絡先を使いたい場合は、その旨を利用目的として明示しておく必要があります。これを書かずに、体験の申込みで得た連絡先に勧誘のメッセージを送ると、取得時に特定した目的の範囲を超えた利用になるおそれがあります（18条1項）。体験の案内ページとフォームの近くに、「体験後のご案内をお送りすることがあります」と一言添えるだけで、整合が取れます。
書きすぎと書き足りない：来店型の対比
来店型のポリシーには、書きすぎと、書き足りないの両方が起こります。書きすぎは、実際に行っていない安全管理措置や、使っていないサービスの記載です。書き足りないは、紙や口頭の取得、カメラ、写真の掲載といった、実態にある取得の記載漏れです。
書き方の例（一般的な例） 来店型で起きがちな対比
取得の経路
理由実際の取得経路を書かないと、紙やLINEで取得した情報の利用目的が公表されていない状態になるため
第三者提供の書き方
理由外部システムへの預け入れが実際にあるのに、「提供しない」とだけ書くと、実態と合わないため
安全管理
理由実際には行っていない措置まで列挙すると、事実に反する説明になるため（保管・安全管理のページで詳しく扱います）
起きがちなこと：来店型でのポリシーと実態のずれ
起きがちなこと
- 紙の問診票・カルテの記入欄の前に利用目的がなく、ホームページのポリシーだけで済ませている。
- 予約システムやLINEを使っているのに、「第三者には提供しません」とだけ書き、外部サービスへの預け入れが書かれていない。
- 写真や感想の掲載を「基本的に同意したものとみなします」と書き、掲載先や顔の写り方を取得の場面で尋ねていない。
- 防犯カメラを設置しているのに、取得の目的を公表していない、または店内の掲示がない。
- 子ども本人の情報と保護者の情報が一つの用紙に混在していて、誰から何を取っているかがポリシーから読み取れない。
- 屋号だけを載せ、事業者の住所の記載が「準備中」「ご予約確定後に通知」のままになっている。
来店型でも、健康状態や持病を問診票で聞く事業では、健康相談のページで扱う要配慮個人情報の同意が加わります。お客様が出す情報と、運営が取る情報の線引きが問題になる会員制の運営は、SNS・会員制のページを参照してください。
よくあるご質問
紙の問診票に利用目的を載せていないとき、ホームページのポリシーだけで足りますか。
本人から直接書面に記載された個人情報を取得する場合は、取得の前に利用目的を明示する必要があります（21条2項）。紙の問診票は、本人が書面に直接記入するため、この場合に当たります。ホームページのポリシーにだけ利用目的を載せている状態は、問診票への記入の前に本人の目に入る形で示したことになりにくいため、問診票の冒頭に利用目的を印字し、詳細はポリシーや掲示を案内する形にするのが実務的です。
予約システムやLINE公式アカウントを使っていても、「第三者に提供しません」と書いてよいですか。
外部のサービスに情報が渡っているのに「提供しません」とだけ書くと、実態と合わなくなるおそれがあります。利用目的の達成に必要な範囲内で取扱いを委託する場合、受け手は第三者に該当しない整理が可能です（27条5項1号）。そのため、「予約の管理のために外部のシステムに情報を預けています」と事実を書き、そのうえで、法令に基づく場合などを除き同意なく第三者へ提供しない、と書き分けるほうが正確です。サービスごとの区分は、外部サービスのページで整理します。
お客様がSNSに自分で投稿した写真を、当店のアカウントで紹介してもよいですか。
投稿者が公開している情報でも、事業者のアカウントで取り上げて広く紹介することが、投稿者の想定の範囲に収まるとは限りません。事前に投稿者に連絡して了承を得る運用にしておくと、後の食い違いが防げます。再投稿などの紹介を行うことがあるなら、その旨をポリシーや投稿の案内に書き、取りやめの希望を受け付ける窓口も示します。
子どもの写真を教室のホームページに載せるには、誰の同意が必要ですか。
子ども自身が判断できる年齢かどうかによって、保護者などの法定代理人の同意が必要になる場面があります。年齢の目安は、個人情報保護委員会のガイドラインやQ&Aに説明があるため、原文で確認してください。実務では、申込みの段階で、保護者に撮影と掲載の可否、掲載先、顔が写るかどうかを尋ね、選択式で記録しておく方法が、後から同意の範囲を説明しやすい運用です。
自宅で教室を開いているため、住所を載せたくありません。ポリシーにはどう書けばよいですか。
保有個人データに関する事項として、事業者の氏名または名称と住所を、本人の知り得る状態に置くことが求められています（32条1項1号）。「知り得る状態」には、本人の求めに応じて遅滞なく回答する場合も含まれます。そのため、請求があれば遅滞なく事業者名と住所を回答できる体制を整え、その旨をポリシーに書くという組み立てが選択肢になります。「準備中」と書くだけの状態は避け、屋号と運営者の関係を含めて、窓口のページで確認してください。
あわせて読みたいページ
本ページは一般的な情報提供です。個別の事業への当てはめは、取り扱う情報の種類やサービスの仕組みによって異なることがあります。条文は e-Gov 法令検索（法令API）で確認した現行のものに基づき、まだ施行されていない改正は現行の内容として扱っていません。参考: e-Gov法令検索 / 個人情報保護委員会 / 総務省
