看護師サロンを運営していると、カウンセリング票、施術記録、症例写真、LINE公式アカウントの友だちリスト、予約フォームの記入内容──毎日の業務のなかで、思っている以上に多くの「個人情報」を扱っています。
しかも看護師サロンでは、アレルギー・服薬歴・既往症・肌トラブル歴といった「健康に関する情報」を必ずヒアリングします。これは個人情報保護法上、通常の氏名・連絡先とは扱いが異なる「要配慮個人情報」に該当し得ます。
この記事では、看護師サロンが押さえておきたい個人情報保護法の基本と、カルテ・症例写真・LINE運用に求められる同意取得、漏洩時の法的責任を整理します。
（この記事は非医療のサロン運営を前提とした一般的な解説です。個別ケースの法的判断は、個人情報保護委員会の最新ガイドライン、および弁護士・行政書士等の専門家に確認してください。条文・報告義務・罰則の最新情報は個人情報保護委員会公式サイト www.ppc.go.jp で確認できます。）
個人情報保護法は個人サロンにも適用される
かつては「取り扱う個人情報が5,000件以下の小規模事業者は適用除外」という規定がありましたが、2017年5月30日施行の改正でこの適用除外は撤廃されました。現在は、個人情報を事業に用いていれば、規模に関係なく「個人情報取扱事業者」に該当します。
つまり、1人サロン・自宅サロン・開業初日のサロンであっても、お客様の氏名・連絡先・カルテを保管していれば、個人情報保護法の各種義務がそのまま適用されるということです。
看護師サロンで扱う情報のうち、個人情報保護法上とくに注意が必要なものは次の3つです。
- カルテ・カウンセリング票（氏名・連絡先＋既往歴・アレルギー・服薬など）
- 症例写真・ビフォーアフター写真（顔・肌・体型が特定できる画像）
- LINE公式アカウント・予約フォーム（連絡先＋来店履歴＋会話ログ）
このうち、既往歴・アレルギー・服薬歴・肌疾患歴などは、「病歴」に該当し得るため要配慮個人情報として扱う必要があります。
要配慮個人情報とは何か
「要配慮個人情報」は、個人情報保護法2条3項で定義されている概念で、本人に対する不当な差別・偏見が生じないよう、取扱いに特に配慮を要する情報を指します。
具体的には、次のようなものが含まれます。
- 人種、信条、社会的身分
- 病歴（既往歴・治療歴を含む）
- 犯罪の経歴
- 犯罪により害を被った事実
- 身体障害・知的障害・精神障害等の心身の機能の障害
- 医師等により行われた健康診断等の結果
- 保健指導、診療、調剤情報
看護師サロンで日常的にヒアリングする「花粉症などのアレルギー」「持病」「服薬中の薬」「過去の皮膚トラブル」は、この「病歴」または「診療情報」に近い性格を持ちます。通常の個人情報より厳しい取扱いルールが求められる、と理解しておくのが安全です。
要配慮個人情報の3つの取扱いルール
要配慮個人情報について、法律上とくに重要な原則は次の3つです（詳細は個人情報保護委員会のガイドラインで確認してください）。
- 取得時にあらかじめ本人の同意が必要（法20条2項）
- 利用目的の特定・通知または公表が必要（法17条・21条）
- 本人同意なしに第三者提供してはならない（法27条）※オプトアウトによる第三者提供の例外が要配慮個人情報には認められない点も注意
普通の個人情報であれば、利用目的を明示していれば取得自体には同意不要な場面もありますが、要配慮個人情報は「取得すること自体」に事前同意が必要というのが最大の違いです。
看護師サロンで押さえる4つの実務ステップ
法律の条文に沿って、看護師サロンの日常業務に落とし込むと、実務は大きく4ステップで整理できます。
ステップ1：利用目的を書面で明示する
カウンセリング票・予約フォーム・LINEの登録画面のいずれかに、個人情報の利用目的を明記します。目的は「施術の安全性確認」「アフターフォロー」「予約管理」「同意を得た範囲での症例写真の利用」など、具体的な用途を書きます。「マーケティング等」といった抽象的な表現ではなく、想定される用途を列挙するのが安全です。
ステップ2：要配慮個人情報の取得同意を書面で残す
カウンセリング票の冒頭に、「本サロンは施術の安全性確認のため、アレルギー・既往歴・服薬状況等の健康情報（要配慮個人情報）を取得します。ご記入いただくことで、当該情報の取得と、記載の利用目的の範囲での利用に同意いただいたものとみなします」といった趣旨の同意文言と、チェックボックスまたは署名欄を設けます。
ステップ3：症例写真・SNS掲載は「別同意」で取る
症例写真・ビフォーアフター写真は、カルテと同じ紙の裏面などに「同意します／同意しません」を選べる欄を設け、利用範囲（サロン内での比較用のみ／SNSでの匿名化掲載を含む／HP掲載を含む）を区別して同意を取ります。まとめて「同意します」だけの一括同意は、後々のトラブルの温床になります（詳しくは看護師サロンの症例写真｜同意・撮影・SNS掲載のルールを参照）。
ステップ4：安全管理措置を整える
個人情報保護法23条は、個人データの漏洩・滅失・毀損の防止のため「必要かつ適切な安全管理措置」を義務づけています。看護師サロンの場合、次の運用が現実的です。
- カルテは施錠可能なキャビネットに保管
- 電子カルテはパスワード・二要素認証を設定
- 症例写真は仕事専用のクラウドアカウントで管理し、私用スマホの写真アプリと混在させない
- 退会・削除依頼への対応フローを決めておく
- パスワード・USBメモリの取扱いルールを1枚にまとめておく
写真・カルテの具体的な運用手順は、看護師サロンのカルテ・施術記録の書き方と看護師サロンの症例写真の管理術で扱っています。
漏洩したときにどうなるか（報告義務と法的責任）
2022年4月施行の改正で、個人情報の漏洩等が発生した場合の個人情報保護委員会への報告義務と本人への通知義務が明確化されました。
法26条とその施行規則によれば、報告義務の対象になるのは、次のいずれかに該当する事態です（要件の詳細は個人情報保護委員会の最新ガイドラインで確認してください）。
- 要配慮個人情報が含まれる漏洩等
- 財産的被害が生じるおそれのある漏洩等
- 不正の目的をもって行われたおそれのある漏洩等
- 1,000人を超える本人の個人データの漏洩等
看護師サロンで扱う情報は、要配慮個人情報（アレルギー・服薬・既往歴）が含まれるケースが多いため、「1件でも要配慮個人情報が漏洩したら報告義務の対象になり得る」と理解しておくのが安全です。
具体的には、次のような事故が該当し得ます（実際の判断は個別事例で異なるため、事故発生時は必ず専門家に相談してください）。
- カルテを紛失した／盗難に遭った
- 症例写真のクラウドフォルダが誤って公開設定になった
- LINE公式アカウントの誤送信で他のお客様の来店履歴や健康情報が別の人に送られた
- 電子カルテ用のPC・スマホが盗難・紛失した
報告と通知の期限の目安
個人情報保護委員会への報告は、原則として速報を「速やかに」、確報を「30日以内（不正目的の場合は60日以内）」とされています（詳細は個人情報保護委員会のガイドラインを参照）。本人への通知も「本人の権利利益を保護するために必要な範囲で速やかに」行う必要があります。
罰則・行政処分の可能性
個人情報保護委員会は、事業者に対して指導・助言・勧告・命令を行う権限を持っています。命令に違反した場合、行為者は1年以下の懲役または100万円以下の罰金、法人には1億円以下の罰金（法178条／両罰規定は法184条）が科され得ます。
もちろん、漏洩＝即罰金というわけではなく、事業者が誠実に対応しているかが重視されますが、「報告義務違反」「命令違反」に至ると事業継続そのものが難しくなる、という現実は理解しておく必要があります。
クリニカルマシン施術と個人情報保護法
看護師サロンで導入されるクリニカルマシンは非医療の業務用美容機器であり、施術自体は医療行為ではありません（医師連携は不要）。ただし、施術前後のカウンセリングで取得する情報の性質は、扱っているのが看護師であるかどうかに関係なく、要配慮個人情報を含む個人情報として個人情報保護法の対象になります。
「エステサロンだから病院と違って個人情報保護法は緩い」ということはありません。むしろ、看護師サロンは健康情報を扱う頻度が高いぶん、要配慮個人情報の取扱いルールを守る意識が一般のエステサロン以上に必要です。
あわせて読みたい
- 看護師サロンのカルテ・施術記録の書き方
- 看護師サロンの症例写真の管理術｜フォルダ整理・匿名化・バックアップ
- 看護師サロンの症例写真｜同意・撮影・SNS掲載のルール
- 看護師サロンで『看護師』を名乗ってOK？｜保助看法と広告NG
よくある質問（FAQ）
Q1. 1人サロンでも個人情報保護法の対象になりますか？
A. 対象になります。2017年5月30日施行の改正で、取り扱う件数による適用除外は撤廃されました。1人サロンでもお客様の氏名・連絡先・カルテを保管していれば「個人情報取扱事業者」に該当します。規模を問わず、利用目的の明示・安全管理措置・漏洩時対応の義務が発生します。
Q2. カウンセリング票にアレルギー欄を設けるのに同意が必要ですか？
A. 病歴・服薬歴・アレルギーは「要配慮個人情報」に該当し得るため、取得時に本人の同意が必要というのが安全側の運用です。カウンセリング票の冒頭に「施術の安全性確認のため、健康に関する情報を取得します。ご記入いただくことで取得と利用にご同意いただいたものとみなします」といった同意文言とチェック欄を設けるのが実務的です。
Q3. 症例写真をSNSに載せるとき、口頭同意だけで大丈夫ですか？
A. 口頭同意も法的には有効な場合がありますが、後日の「言った・言わない」の争いを避けるため、書面またはメール・LINEなど記録の残る形での同意取得を強くおすすめします。同意書には「掲載媒体（Instagram／HP／広告）」「匿名化の方法（顔隠し／モザイク）」「掲載期間」を明記します。詳細は症例写真｜同意・撮影・SNS掲載のルールで扱っています。
Q4. LINE公式アカウントの友だちリストも個人情報ですか？
A. 個人情報にあたります。LINEのユーザーIDと来店履歴・会話内容を紐づけて管理していれば、それは個人情報データベースに該当し、個人情報保護法の対象です。特に、健康相談のメッセージやビフォーアフターの写真送付は、要配慮個人情報を含む可能性があるため、閲覧権限（誰がそのアカウントにログインできるか）と、パスワード管理を明確にしておく必要があります。
Q5. クリニカルマシン施術のサロンは、病院並みの厳しい管理が必要ですか？
A. クリニカルマシン施術は非医療（医師連携不要）ですが、扱う情報の性質は病院と共通する部分があります。特にアレルギー・服薬歴・既往歴の取得と保管は、病院と同等の慎重さで運用するのが安全です。エステサロンとして緩く運用してよいわけではありません。判断に迷う場合は、個人情報保護委員会のガイドラインおよび弁護士・行政書士へご相談ください。
免責：本記事は非医療サロン運営を対象とした一般的な情報提供であり、特定の事案に対する法的助言ではありません。個別の法的判断が必要な場合は、個人情報保護委員会の最新ガイドラインを確認のうえ、弁護士・行政書士等の専門家へご相談ください。条文・報告義務・罰則の最新情報は個人情報保護委員会公式サイト（www.ppc.go.jp）で確認できます。
粕谷ありさ看護師／株式会社GrandFusion 代表取締役
看護師として臨床現場に立ち、美容医療の現場も経験。看護師専門サロン「CLINICAL BEAUTE」を立ち上げ、クリニカルマシンの開発・販売、開業アカデミーの運営までを手がける。医療と美容の両方を知る立場から「看護師のセカンドキャリア」とクリニカルサロンの開業・運営を支援。
Instagram →
