令和8年 個人情報保護法 改正デスクR8 PIPL WATCH

民間の解説サイトです。個人情報保護委員会などの国の機関の公式の窓口ではなく、届出や相談の受付はしていません。運営者情報

業種別ナビゲーション ／ 更新 2026-11-06

小売・EC・飲食・物流・製造・農業の23業種

業種別の入口から分けた、23業種の節です。業種ごとに、令和8年改正のうちまず見る3テーマを挙げています。

ECサイト、小売店、飲食店、物流、自動車販売、製造業、農業、無人店舗などの23業種について、先に確認する3テーマを整理します。ほかの業種は業種別の入口にあります。該当するかどうかは個別に判断が必要で、このページは判定しません。

1. ECサイト運営者・通販事業者

顧客の氏名・連絡先・購入履歴など個人データを大量に保有し、配送・決済代行など外部委託も多い業種です。まず見ておくとよいのは次の3テーマです。

  1. 課徴金制度: 対象となる違反行為には「対象行為に係る本人の数について1,000人を基準とする」大規模事案という限定要件があります。顧客数の多いECサイトは、この人数規模に達しているかをまず確認する意味があります。
  2. 漏えい等報告・本人通知義務の緩和: 保有する顧客データの件数が多いほど、漏えい等が起きた際の報告・本人通知の負担も大きくなります。緩和・簡素化される範囲を確認しておく意味があります。
  3. 委託先における個人データ等の適正な取扱い: 配送・決済・カスタマーサポート等を外部委託している場合、委託先としての新しい義務・免除規定の対象になり得ます。

9. 小売店舗・商業施設運営者（防犯カメラ設置）

店舗・商業施設に防犯カメラを設置している業種です。録画・確認のみの通常の防犯カメラは対象外ですが、顔識別機能付きのカメラで来店客本人を識別できるようにしている場合は、まず見ておくとよいのは次の3テーマです。

  1. 顔特徴データ等: 顔認証・顔識別カメラで本人を識別できるようにしている場合に直接関係する、この業種の中心テーマです。周知の義務付け・オプトアウト提供の禁止・利用停止等請求という3つの規律が新設されます。掲示の内容は周知事項の対応表で確かめられます。
  2. 漏えい等報告・本人通知義務の緩和: カメラ映像データの漏えい等が起きた場合の報告・通知の扱いに関係します。
  3. 委託先における個人データ等の適正な取扱い: カメラシステムの運用・監視を警備会社等へ外部委託している場合、委託先としての新しい義務・免除規定の対象になり得ます。

14. フリマ・オークションサービス運営者

個人間取引を仲介し、出品者・購入者双方の氏名・住所・電話番号等の連絡先情報を取り次ぐ業種です。自社が売主として顧客に直接販売する1番のECサイト運営者とは異なり、個人間取引の仲介者という立場が特徴です。まず見ておくとよいのは次の3テーマです。

  1. 連絡可能個人関連情報の不適正利用・不正取得の禁止: 出品者・購入者間で取り次ぐ電話番号・メールアドレス等の連絡先情報の取扱いに関係する、この業種に直接関係するテーマです。
  2. 課徴金制度: 対象となる違反行為には「対象行為に係る本人の数について1,000人を基準とする」大規模事案という限定要件があります。利用者数の多いフリマ・オークションサービスは、この人数規模に達しているかをまず確認する意味があります。
  3. 委託先における個人データ等の適正な取扱い: 決済代行・配送手配等を外部委託している場合、委託先としての新しい義務・免除規定の対象になり得ます。

この業種で先に読むページ: 漏えい等報告・本人通知義務の緩和（顧客・取引先の個人データを保有する業種として、漏えい等が起きた場合の報告・通知の扱いを確認できます）。

16. フードデリバリー・配達代行・ライドシェア仲介

対象: フードデリバリー・配達代行・ライドシェア仲介プラットフォーム事業者

配達員（ドライバー）と利用者の間を仲介し、双方の氏名・電話番号・住所等の連絡先情報を取り次ぐ業種です。14番のフリマ・オークションサービス運営者と同じく、自社が売主として顧客に直接販売するのではなく三者間の情報流通を仲介する立場である点が特徴です。まず見ておくとよいのは次の3テーマです。

  1. 連絡可能個人関連情報の不適正利用・不正取得の禁止: 配達員と利用者の間で取り次ぐ電話番号・所在地等の連絡先情報の取扱いに関係する、この業種に直接関係するテーマです。
  2. 委託先における個人データ等の適正な取扱い: 配達業務を配達員（委託先）に委託する構造を取っている場合、委託先としての新しい義務・免除規定の対象になり得ます。
  3. 漏えい等報告・本人通知義務の緩和: 配達員・利用者双方のデータの漏えい等が起きた場合の報告・通知の扱いに関係します。

15. カーシェアリング・レンタカー事業者（顔認証による本人確認）

無人受付機での貸渡し手続きにおいて、運転免許証等の券面と利用者の顔を照合する本人確認手法を導入している業種です。9番・10番・11番の防犯カメラ・入退館管理・チェックインと同じく本人を識別する目的で顔特徴データを扱う点が中心論点になりますが、入退場・入退室の管理ではなく貸渡し時の本人確認という取得場面が異なります。まず見ておくとよいのは次の3テーマです。

  1. 顔特徴データ等: 無人受付機での運転免許証との顔照合など、本人を識別する目的で顔特徴データを取り扱っている場合に直接関係する、この業種の中心テーマです。周知の義務付け・オプトアウト提供の禁止・利用停止等請求という3つの規律が新設されます。
  2. 漏えい等報告・本人通知義務の緩和: 顔認証データや免許証情報の漏えい等が起きた場合の報告・通知の扱いに関係します。
  3. 委託先における個人データ等の適正な取扱い: 無人受付機・顔認証システムの運用・保守を外部の設備会社等へ委託している場合、委託先としての新しい義務・免除規定の対象になり得ます。

49. 飲食店・飲食チェーン

この節で想定する場面は、会員アプリ、ポイントカード、予約サイト経由の顧客情報、店内防犯カメラを扱う場合です。

来店予約や会員アプリ、ポイントカードで、顧客の氏名・電話番号・メールアドレスや来店履歴を管理している業種です。店内に防犯カメラを置いている店も多く、9番の小売店舗と同じく、録画・確認のみの通常の防犯カメラは顔特徴データ等の対象外で、顔識別機能で来店客本人を識別できるようにしている場合に関係します。まず見ておくとよいのは次の3テーマです。

  1. 委託先における個人データ等の適正な取扱い: 会員アプリの開発・運用や予約サイトの管理を外部の事業者に任せ、顧客の個人データを預けている場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
  2. 連絡可能個人関連情報: 予約サイトの閲覧履歴やCookie IDなど、それ自体では個人を特定しない情報を、顧客の連絡先と結びつけて使う場合に関係しうるテーマです。該当するかどうかは、取扱いの内容によって変わります。
  3. 顔特徴データ等: 店内カメラで顔識別を行い、来店客本人を識別できるようにしている場合に関係します。掲示の内容は周知事項の対応表で確かめられます。

フランチャイズ本部と加盟店で顧客データを共有している場合は、32番のフランチャイズ本部・加盟店もあわせて確認できます。スナックやガールズバーなど夜間に接客する店の連絡先・身分証のコピー・売掛の扱いは、145番の夜間営業の飲食店で整理しています。個別の店舗の取扱いが対象になるかは、顧問弁護士または個人情報保護委員会にご確認ください。

50. 自動車ディーラー・整備工場

この節で想定する場面は、顧客台帳、車検・点検の案内、ドライブレコーダー映像、車両データの外部提供を扱う場合です。

購入者や入庫客の氏名・住所・電話番号、車検・点検の履歴を顧客台帳で管理し、車検や点検の時期に案内を送っている業種です。預かった車のドライブレコーダー映像を確認したり、車両から得られるデータを保険会社やメーカー等の外部に提供したりする場面もあります。店内や工場に防犯カメラを置いている場合、録画・確認のみの通常の防犯カメラは顔特徴データ等の対象外で、顔識別機能で来店客本人を識別できるようにしている場合に関係します。まず見ておくとよいのは次の3テーマです。

  1. 委託先における個人データ等の適正な取扱い: 顧客管理システムの運用、案内状の発送、車検・点検の予約受付を外部の事業者に任せ、顧客の個人データを預けている場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
  2. 連絡可能個人関連情報: 車両の識別番号や走行データのように、それ自体では個人を特定しない情報を、顧客の連絡先と結びつけて外部に提供・利用する場合に関係しうるテーマです。該当するかどうかは、取扱いの内容によって変わります。
  3. 顔特徴データ等: 店内や工場のカメラで顔識別を行い、来店客本人を識別できるようにしている場合に関係します。掲示の内容は周知事項の対応表で確かめられます。

ドライブレコーダー映像や車両データが個人情報に当たるか、外部への提供に本人の同意が要るかは、データの内容や提供先との関係によるため、このサイトでは判断できません。顧問弁護士または個人情報保護委員会にご確認ください。

41. 物流・宅配・運送事業者

この節で想定する場面は、送り状の氏名・住所・電話番号を扱う場合です。

荷主から預かった荷物に付く送り状（伝票）には、届け先と依頼主の氏名・住所・電話番号が書かれます。物流・宅配・運送事業者は、荷主の依頼を受けて他人の個人データを取り扱う委託先の立場になることが多く、配送の一部を下請けの運送会社や配達員に再び任せる場合もある点が特徴です。16番のフードデリバリー・配達代行とは、連絡先を取り次ぐ仲介ではなく、荷物の運送そのものを請け負う点が異なります。まず見ておくとよいのは次の2テーマです。

  1. 委託先における個人データ等の適正な取扱い: 委託を受けた側に、委託された業務に必要な範囲を超えて取り扱ってはならないという義務が明文化されます（法第30条の3）。配送先データを荷主から預かる運送事業者は、この委託先の規律を確認する立場に当たり得ます。委託先が自ら取扱い方法を決めず、委託契約で取扱い方法と取扱い状況の把握のための措置を合意している場合は、委託先の義務が免除される規定も入ります（法第58条の2）。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
  2. 漏えい等報告・本人通知義務の緩和: 誤配や伝票の紛失、配送管理システムからの流出などで配送先データの漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。

置き配や不在票の運用、再委託先の管理が上の規律のどれに当たるかは、個々の契約と運用によります。このサイトでは判断できないため、顧問弁護士または個人情報保護委員会にご確認ください。

59. 古物商・リユース買取店

この節で想定する場面は、買取時の本人確認書類の写し、取引台帳、オンライン査定の申込情報、不用品回収の委託を扱う場合です。

買取のときにお客様の住所・氏名・職業・年齢を確認し、本人確認書類の写しを預かり、取引を台帳に記録し、オンライン査定の申込情報を受け付け、不用品回収を外部の業者に任せている場合がある事業者です。古物営業法第15条は、古物商が古物を買い受けるときに、相手方の住所・氏名・職業・年齢の確認などの措置をとることを求め、第16条は取引の年月日・品目・数量・特徴などを帳簿等に記載することを求め、第18条は帳簿等を最終の記載の日から3年間備え付けることを求めています（e-Gov法令検索で確認）。これらは法律上の義務で記録するものですが、記録に載ったお客様の氏名・住所は個人情報保護法でも個人情報として扱われます（法第2条第1項）。まず見ておくとよいのは次の3テーマです。

  1. 委託先における個人データ等の適正な取扱い: 不用品回収、出張買取の運送、オンライン査定の受付システムの運用などを外部の会社に任せ、お客様の氏名・住所や申込情報を渡している場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
  2. 漏えい等報告・本人通知義務の緩和: 本人確認書類の写しや取引台帳を入れた端末の紛失、オンライン査定の受付システムへの不正アクセス、メールの誤送信などで個人データの漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。
  3. 顔特徴データ等: 店舗や買取カウンターのカメラで顔識別を行い、本人を識別できるようにしている場合に関係します。撮影して保管するだけで顔識別を行わない映像は、この規律の対象外です。掲示の内容は周知事項の対応表で確かめられます。

本人確認書類の写しを台帳とは別に保管してよいか、法令の保存期間を過ぎた後に消す扱いにするかは、取引の形態や所管の公安委員会の運用によって変わるため、このサイトでは判断できません。顧問弁護士、所管の警察署または個人情報保護委員会にご確認ください。

32. フランチャイズ本部・加盟店

フランチャイズ本部と加盟店の間で、顧客の氏名・連絡先等の個人データをやり取りする業種です。本部・加盟店という複数事業者間でのデータ授受という、既存カテゴリにない読者像です。データの授受が委託に当たるか第三者提供に当たるかの整理が必要になります。まず見ておくとよいのは次の3テーマです。

  1. 委託先における個人データ等の適正な取扱い: 本部が加盟店に顧客データの取扱いを委託している場合、または加盟店が本部の指示に基づき機械的にデータを取り扱う場合、委託先としての新しい義務・免除規定に関係する、この業種の中心テーマです。
  2. 目的外利用・要配慮個人情報取得・第三者提供の規律緩和: 本部・加盟店間の契約の履行に伴う顧客データの提供が、本人の同意を不要とする新しい例外の対象になり得ます。
  3. 漏えい等報告・本人通知義務の緩和: 本部・加盟店間で共有する顧客データの漏えい等が起きた場合の報告・通知の扱いに関係します。

78. タクシー・ハイヤー・バスの運行事業者

この節で想定する場面は、車内カメラやドライブレコーダーの映像、配車アプリの利用者情報、運転者の台帳、乗客からの苦情の記録を扱う場合です。

タクシー・ハイヤー・路線バス・貸切バスなどの旅客自動車運送事業者は、乗客の姿が映る車内映像と、運転者の氏名・生年月日・住所・免許の情報の両方を持ち、配車システムの運営や映像の保存を外部に任せている場合がある事業者です。16番のライドシェア仲介は乗客と運転者を取り次ぐ立場ですが、この節は自ら旅客を運送する事業者の立場です。荷物を運ぶ事業者は41番に分けています。まず見ておくとよいのは次の3テーマです。

  1. 顔特徴データ等: 9番の防犯カメラと同じく、車内の映像を録画・確認するだけであれば中心の場面ではありません。映像から顔の特徴を抽出して、運転者や乗客を識別する仕組みを使っている場合に、周知の義務付けなどの新しい規律に関係します。
  2. 委託先における個人データ等の適正な取扱い: 配車システムの運用や、ドライブレコーダー映像の保管・解析を外部の事業者に任せている場合は、委託元として委託先の管理を確認します。配車アプリの運営会社などから配車の業務を受けている場合は、受託した側として、委託された業務に必要な範囲を超えて取り扱ってはならないという義務が明文化されます（法第30条の3）。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
  3. 漏えい等報告・本人通知義務の緩和: 車内映像の流出、運転者の台帳の紛失、配車システムへの不正アクセス、乗客の忘れ物の連絡先メモの誤送付などで漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。

旅客自動車運送事業運輸規則は、苦情を申し出た人への弁明と、苦情の内容・原因究明の結果・弁明の内容・改善措置・担当者を営業所ごとに記録して1年間保存すること（第3条）、運転者ごとに氏名・生年月日・住所・免許の事項を記載し写真を貼り付けた乗務員等台帳を営業所に備えること（第37条）、事故の記録を3年間保存すること（第26条の2）を定めています（e-Gov法令検索で確認）。これらは運送事業の法令上の義務で、個人情報保護法の義務とは別に確認します。記録の保存期間と個人情報保護法の考え方の両立、車内映像の保存期間や乗客への掲示の仕方など、個別の場面の判断はこのサイトではできません。顧問弁護士、国土交通省の運輸局、個人情報保護委員会にご確認ください。

98. 製造業・工場

この節で想定する場面は、従業員・派遣社員・外国人労働者の名簿、工場内の防犯カメラや顔認証による入退場、取引先の担当者情報を扱う場面です。

工場や製造拠点では、正社員・派遣社員・外国人労働者の氏名・連絡先・勤怠、構内の防犯カメラの映像、取引先の担当者の連絡先が一つの拠点に集まります。従業員の情報そのものの整理は従業員・応募者・退職者の個人情報、顔認証による入退場の仕組みは10. 顔認証で入退館・入場を管理する施設、建設現場の入退場は29. 建設現場の入退場管理事業者にあり、ここでは重ねずに、製造拠点で先に確認する点に絞ります。まず見ておくとよいのは次の3テーマです。

  1. 顔特徴データ等: 工場の入口や構内の区画で、顔認証によって従業員・派遣社員・来訪者を識別している場合に関係します。防犯カメラの映像を録画するだけの場合と、顔から特徴データを作って本人を識別する場合では、扱いが変わります。政令で定める範囲は未確定です。
  2. 委託先における個人データ等の適正な取扱い: 派遣元・給与計算・勤怠システム・構内の警備や清掃などを外部に任せ、名簿を渡している場合に、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。外国人労働者の送り出しや管理を海外の事業者と分担している場合は、外国にある第三者への提供（越境移転）も確かめてください。
  3. 漏えい等報告・本人通知義務の緩和: 名簿や勤怠データの誤送信、取引先担当者の連絡先の流出、構内の映像の流出などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。

派遣社員の情報を派遣元と派遣先のどちらが、どこまで持てるか、防犯カメラの映像が個人情報に当たる範囲、外国人労働者の在留に関わる情報の扱いは、契約と取扱いの実態によって変わるため、このサイトでは判断できません。顧問弁護士または個人情報保護委員会にご確認ください。

100. 農業法人・農産物直売所・産直通販の運営者

この節で想定する場面は、直売所に出荷する生産者の名簿、産直通販の定期購入の顧客情報、出荷先や配送業者との共有を扱う場面です。

農業法人や直売所、産直通販では、出荷する生産者の氏名・連絡先・出荷実績、定期購入や贈答の注文者と届け先の氏名・住所・注文履歴、取引先の飲食店や小売店の担当者の連絡先が、収穫期の忙しい運用の中で表計算ソフトやメッセージアプリに集まりやすくなります。協同組合の組合員名簿や共同購入は76. 生活協同組合・農業協同組合などの協同組合、通販サイト一般の整理は1. ECサイト運営者・通販事業者にあり、ここでは重ねずに、生産者と出荷先がつながる農産物の販売で先に確認する点に絞ります。まず見ておくとよいのは次の3テーマです。

  1. 漏えい等報告・本人通知義務の緩和: 生産者名簿や定期購入の顧客一覧の誤送信、出荷伝票や配送先リストの紛失、通販システムへの不正アクセスなどが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
  2. 委託先における個人データ等の適正な取扱い: 通販システム、選別・梱包・発送、配送、決済を外部に任せ、注文者と届け先の情報を渡している場合に、任せる側の監督と、任される側に新設される義務（法第30条の3）が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
  3. 目的外利用等の緩和: 注文を受けた商品を届けるために、届け先の情報を配送業者や出荷元の生産者に渡すような、契約の履行に伴う第三者提供の場面に関係します。同意が不要になる場合がどこまでかは、規則・ガイドラインで定める部分が未確定です。

直売所の出荷者名簿を出荷者どうしや取引先に見せてよい範囲、定期購入の顧客情報を別の販売の案内に使える範囲、生産者が自分の畑の写真や氏名を商品ページに載せる場合の扱いは、契約と取扱いの実態によって変わるため、このサイトでは判断できません。顧問弁護士、所管の行政庁、個人情報保護委員会にご確認ください。

111. 鉄道・航空会社・空港運営者

この節で想定する場面は、乗車券・搭乗券の会員情報、駅や機内・空港の防犯カメラ映像、顔認証による搭乗や改札、忘れ物の問い合わせの記録を扱う場面です。

鉄道会社、航空会社、空港の運営者には、乗車券・定期券・マイレージの会員の氏名・連絡先・利用履歴、駅構内や機内・空港のカメラ映像、忘れ物や落とし物を問い合わせた人の連絡先が残ります。路線バスやタクシーはタクシー・ハイヤー・バスの運行事業者、防犯カメラ一般は小売店舗・商業施設運営者、顔認証による入退場は顔認証で入退館・入場を管理する施設の節で扱っているため、ここでは重ねず、駅・空港という不特定多数が通る場所と、会員の情報を扱う場面に絞ります。個人情報保護法は、個人データの取扱いを委託するときは、委託を受けた者への必要かつ適切な監督を求めています（法第25条）。先に見ておくとよいのは次の3テーマです。

  1. 顔特徴データ等: 駅や空港のカメラ映像を録画・確認するだけであれば中心の場面ではありません。映像から顔の特徴を抽出して、搭乗や改札の際に本人を識別する仕組みを使っている場合に、周知の義務付けなどの新しい規律に関係します。掲示する内容は顔識別機能付きカメラの周知事項の対応表で確かめられます。
  2. 委託先における個人データ等の適正な取扱い: 会員システム、予約・発券システム、カメラ映像の保管や解析、忘れ物の窓口を外部に任せている場合の監督（法第25条）と、任される側の義務（法第30条の3）が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
  3. 漏えい等報告・本人通知義務の緩和: 会員データベースへの不正アクセス、搭乗者名簿や問い合わせ記録の誤送付、映像の流出などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。

駅や空港のカメラが顔の特徴を抽出して識別する仕組みに当たるか、映像の保存期間や掲示の仕方、航空会社と空港運営者のどちらが取扱いの主体になるか、運送や空港の運営を定める個人情報保護法以外の法律がどう関わるかは、事業の内容と契約の実態によって変わるため、このサイトでは判断できません。顧問弁護士、所管の行政庁、個人情報保護委員会にご確認ください。

122. 質屋

この節で想定する場面は、質を取るときの本人確認、質屋の帳簿、防犯カメラを扱う場面です。

質屋には、質置主の住所・氏名・職業・年齢、質物の品目や特徴、確認の方法を書いた帳簿、店内の防犯カメラの映像が残ります。質屋営業法第12条は、物品を質に取ろうとするとき、内閣府令で定める方法により質置主の住所・氏名・職業・年齢を確認することを求め、第13条は、質契約や質物の返還、流質物の処分のたびに、質契約の年月日、質物の品目・数量・特徴、質置主の住所・氏名・職業・年齢・特徴、確認の方法などを帳簿に記載することを求めています（e-Gov法令検索で確認）。金券ショップや買取専門店のように古物を買い取る営業は59番の古物商・リユース買取店の節で扱っているため、ここでは重ねず、質を取る営業の確認と帳簿に絞ります。これらは法律上の義務で記録するものですが、記録に載った質置主の氏名・住所は個人情報保護法でも個人情報として扱われます（法第2条第1項）。個人情報を取得したときの利用目的の通知または公表は法第21条第1項に定められています。先に見ておくとよいのは次の3テーマです。

  1. 漏えい等報告・本人通知義務の緩和: 質置主の情報を書いた帳簿や本人確認の記録を入れた端末の紛失、帳簿を電子化したシステムへの不正アクセス、通知書類の誤送付などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
  2. 顔特徴データ等: 店頭や入口のカメラで顔識別を行い、来店者を見分けられるようにしている場合に関係します。撮影して保管するだけで顔識別を行わない映像は、顔特徴データ等とは区別されます。掲示の内容は顔識別機能付きカメラの周知事項の対応表で確かめられます。
  3. 罰則（2027年1月17日施行）: 業務で取り扱った個人情報データベース等を不正な利益を図る目的で提供または盗用する行為は、不正提供等罪の対象です。質置主の帳簿や名簿の持ち出しは、従業者による持ち出しの典型として想定される場面に関係します。

帳簿に載せた質置主の情報を警察からの照会にどこまで答えてよいか、法令の定めを過ぎた帳簿の扱い、本人確認書類の写しを別に保管してよいかは、営業の実態や所管の公安委員会の運用によって変わるため、このサイトでは判断できません。質屋営業法や古物営業法など個人情報保護法以外の法律の関わりも同じです。顧問弁護士、所管の警察署または公安委員会、個人情報保護委員会にご確認ください。

143. 要注意顧客・カスハラ対応記録を持つ事業者

対象: 要注意顧客・出入り禁止客・カスタマーハラスメントの対応記録を持つ店舗・施設・事業者（氏名や特徴の記録、事業者間での共有、保管期間、本人からの開示請求）

この節で想定する場面は、店舗や施設が、迷惑行為や無理な要求をした客の氏名・特徴・やりとりを記録し、グループ内や近隣の店舗と共有し、いつまで残すかを決め、本人から記録の開示を求められる場面です。

9番の小売店舗・商業施設運営者は防犯カメラの映像を扱う立場、8番のコールセンター受託事業者は依頼元の顧客対応を担う立場です。ここでは、迷惑行為をした客の記録を作り、他の事業者と共有し、本人から求められたときにどう扱うかに絞ります。

要注意顧客の記録の場面ごとの確認の観点（該当性の判定ではありません）
場面確認すること条文・資料で確かめられること
対応記録・要注意リストを作る何を記録するか。氏名・会員番号・顔写真と結びつく記録か。何の目的で使い、だれが見られるか法第2条第1項は、氏名その他の記述等により特定の個人を識別できるもの（他の情報と容易に照合でき、それにより識別できるものを含む）を個人情報と定める。法第17条第1項は、個人情報を取り扱うに当たり、利用目的をできる限り特定しなければならないと定める（e-Govで確認）
逮捕歴・前科・被害の届出など、犯罪に関わる記録記録に犯罪に関する情報が含まれるか。含まれる場合、どう入手したか法第2条第3項は、犯罪の経歴、犯罪により害を被った事実を要配慮個人情報の例に挙げる。法第20条第2項は、法令に基づく場合など一定の場合を除き、あらかじめ本人の同意を得ないで要配慮個人情報を取得してはならないと定める。迷惑行為の記録が要配慮個人情報に当たるかは記録の中身で変わるため、このサイトでは判断しない
他の店舗・グループ会社・警察への共有個人データを渡すのか。本人の同意、共同利用、法令に基づく提供のどれに当たるか。共有先の範囲法第27条第1項は、例外を除き、あらかじめ本人の同意を得ないで個人データを第三者に提供してはならないと定める。同条第5項第3号の共同利用は、共同利用する旨、項目、利用する者の範囲、利用目的、管理に責任を持つ者の氏名等をあらかじめ本人に通知するか、容易に知りうる状態に置く必要がある（Q&A7-50）。利用する者の範囲は、本人がどの事業者まで利用されるか判断できる程度に明確にする必要がある（同）。株主総会の警備のために要注意株主のリストの提出を警察署から求められた場合、本人の同意なく提供できると、Q&A7-18は説明する
防犯カメラの映像・顔の特徴データの共有映像だけか、顔の特徴を数値にして照合するか。共有する範囲と相手Q&A7-50は、防犯目的で取得したカメラ画像・顔特徴データ等を共同利用する場合、共同利用される範囲と共同利用する者の範囲を、利用目的の達成に照らして真に必要な範囲に限定することが適切と説明する。組織的な窃盗の防止の例では、盗難の発生状況や登録対象者が同様の犯行を行う蓋然性を踏まえて範囲を考えるとする
記録の保管期間・更新・消去いつまで残すか。誤りや古い記録を直す仕組み。共有先の記録との食い違い法第22条は、個人データを利用する必要がなくなったときは遅滞なく消去するよう努めなければならないと定める（努力義務）。共同利用者が各自で内容を更新できるが、責任を有する者は個人データを正確かつ最新に保つよう努める必要があると、Q&A7-48は説明する
本人から記録の開示を求められたとき記録が本人の保有個人データに当たるか。開示しない場合の理由と通知法第33条第2項は、請求を受けた場合は遅滞なく開示するとしたうえで、本人又は第三者の生命・身体・財産その他の権利利益を害するおそれがある場合、業務の適正な実施に著しい支障を及ぼすおそれがある場合、他の法令に違反することとなる場合は、全部または一部を開示しないことができるとする。同条第3項は、開示しない旨の決定をしたときや保有個人データが存在しないときは、本人に遅滞なくその旨を通知しなければならないと定める。ある記録がどれに当たるかは個別の事情で変わるため、このサイトでは判断しない

確認日は 2026-10-15 です（法はe-Govで、Q&Aは委員会の「個人情報保護法に関するよくある質問」の本文で確認）。令和8年改正で確認するテーマは次のとおりです。決まっていないことは、まだ決まっていないものとして書いています。

  1. 顔特徴データ等: カメラの映像から顔の特徴を抽出し、出入り禁止の客かどうかを照合したり、他の店舗と共有したりしている場合に関係します。周知の義務付け・オプトアウト提供の禁止・利用停止等請求という3つの規律が新設される改正で、政令で定める事項は未確定です。録画するだけの通常の防犯カメラは、直ちに当たるとは限りません。
  2. オプトアウト制度の強化: 客の記録を共有する仕組みを、同意や共同利用ではなくオプトアウトの届出で作る場合に関係します。オプトアウト届出事業者を対象に、提供先の身元・利用目的の確認義務が新設される改正で、規則で定める内容は未確定です。共有が同意や共同利用によるものか、オプトアウトによるものかで関係が変わります。
  3. 漏えい等報告・本人通知義務の緩和: 対応記録や要注意リストの紛失、共有先への誤送信、共有システムへの不正アクセスなどが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。

特定の客を出入り禁止にできるか、記録を共有してよいか、本人からの開示請求に応じるかは、記録の中身や共有の仕組みによって変わるため、このサイトでは判断できません。個人情報保護法以外の法令（不法行為や名誉毀損など）も関係するため、顧問弁護士、個人情報保護委員会にご確認ください。

145. 夜間営業の飲食店（スナック・ラウンジ等）

対象: 夜間営業の飲食店（スナック・ラウンジ・ガールズバー・ホストクラブ等）（顧客の連絡先、キャストの身分証コピー、年齢確認、防犯カメラ、売掛の管理）

この節で想定する場面は、夜間に接客する飲食店が、常連客の名刺や連絡先、LINEのやりとりを控え、働く人の身分証のコピーを預かり、年齢確認の記録を残し、店内のカメラで映像を撮り、売掛の帳簿を付ける場面です。

49番の飲食店・飲食チェーンは会員アプリや予約サイトの顧客情報、143番の要注意顧客の対応記録は迷惑行為をした客の記録の共有を扱います。ここでは、店が日々の営業で集める連絡先、身分証のコピー、売掛の記録を、だれが持ち、いつまで残し、外にどう出すかに絞ります。風営法など個人情報保護法以外のルールは扱いません。

夜間営業の飲食店の場面ごとの確認の観点（該当性の判定ではありません）
場面確認すること条文で確かめられること
顧客の名刺・連絡先・LINEのやりとり何のために控えるか。店の台帳や顧客管理に入れるか、担当者個人のスマートフォンだけにあるか法第17条第1項は、個人情報を取り扱うに当たり、利用目的をできる限り特定しなければならないと定める。法第21条第1項は、個人情報を取得した場合、あらかじめ利用目的を公表している場合を除き、速やかに本人に通知または公表しなければならないと定める。同条第4項第4号は、取得の状況からみて利用目的が明らかであると認められる場合は適用しないとする（e-Govで確認）
働く人（キャスト・スタッフ）の身分証のコピー・履歴書コピーを取る目的、保管場所、見られる人、辞めたあとの扱い法第16条第3項は、個人情報データベース等を構成する個人情報を個人データと定める。台帳や電子ファイルにまとめて検索できる状態なら、法第23条の安全管理措置の対象になる。法第24条は、従業者に個人データを取り扱わせるに当たり、必要かつ適切な監督を行わなければならないと定める
客の年齢確認見て確かめるだけか、写しや生年月日の記録を残すか。残すなら、その目的と廃棄の時期写しや記録を残すなら、法第17条第1項の利用目的の特定が関係する。法第22条は、個人データを利用する必要がなくなったときは遅滞なく消去するよう努めなければならないと定める（努力義務）
店内の防犯カメラ録画して見返すだけか、顔の特徴を数値にして来店客を照合するか顔の特徴を抽出して本人を識別できるようにしている場合の改正は顔特徴データ等で、掲示の内容は周知事項の対応表で確かめられる。録画・確認のみの通常の防犯カメラは、顔特徴データ等の対象外
売掛の台帳と回収客の氏名、連絡先、勤務先、金額をだれが管理するか。回収を外部に任せるか、他の店と情報を共有するか法第25条は、個人データの取扱いを委託する場合、委託を受けた者に対する必要かつ適切な監督を行わなければならないと定める。法第27条第5項第1号は、利用目的の達成に必要な範囲内で委託することに伴って個人データが提供される場合、提供を受ける者は第三者に該当しないとする。他の店への提供は、法第27条第1項の本人の同意などが関係する

確認日は 2026-10-15 です（法はe-Govで確認）。令和8年改正で確認するテーマは次のとおりです。決まっていないことは、まだ決まっていないものとして書いています。

  1. 委託先における個人データ等の適正な取扱い: 予約・会員管理・売掛・決済の仕組みや、売掛の回収を外部の事業者に任せ、個人データの取扱いを伴う場合に関係します。任せる側の監督（法第25条）と、任される側に新設される義務（法第30条の3）が論点です。ある取引が委託に当たるかは契約の中身で変わり、規則で定める内容は未確定です。
  2. 漏えい等報告・本人通知義務の緩和: 顧客の連絡先を入れたスマートフォンの紛失、身分証のコピーの紛失、売掛の連絡の誤送信などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
  3. 顔特徴データ等: 店内のカメラで顔識別を行い、来店客本人を識別できるようにしている場合に関係します。周知の義務付け・オプトアウト提供の禁止・利用停止等請求という3つの規律が新設される改正で、政令で定める事項は未確定です。

連絡先をどこまで控えてよいか、身分証のコピーを取ってよいか、売掛の情報を他の店に伝えてよいかは、店の取扱いや契約によって変わるため、このサイトでは判断できません。個人情報保護法以外の法令も関係するため、顧問弁護士、個人情報保護委員会にご確認ください。

146. 食材宅配・宅配弁当・給食受託調理事業者

この節で想定する場面は、食材宅配や宅配弁当の事業者、学校・保育施設・事業所の給食を請け負う調理事業者が、利用者のアレルギーや持病、食事制限の申告を受け、配達先の住所や不在時の置き場所を控え、調理や配送を別の事業者に任せて情報を共有する場面です。

49番の飲食店・飲食チェーンは店の会員アプリや予約サイトの顧客情報、41番の物流・宅配・運送事業者は荷物の送り状や配送記録を扱います。ここでは、食事を届ける事業者が、アレルギーや健康状態の申告、配達先の情報を、だれと共有し、いつまで残すかに絞ります。食品衛生法や食品表示のルールは扱いません。

食材宅配・宅配弁当・給食受託調理の場面ごとの確認の観点（該当性の判定ではありません）
場面確認すること条文で確かめられること
アレルギー・持病・食事制限の申告申告をどの書式で受けるか。調理担当、配達員、営業の担当のうち、だれが見られるか。申告の変更の記録をどう残すか法第2条第3項は、病歴など本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報を要配慮個人情報と定める。法第20条第2項は、法令に基づく場合などを除き、あらかじめ本人の同意を得ないで要配慮個人情報を取得してはならないと定める。申告の中身が要配慮個人情報に当たるかは、記述の内容で変わる（e-Govで確認）
配達先の住所・電話番号・置き場所の指示配達に必要な範囲に限っているか。不在時の置き場所（玄関先、ガスメーターボックス等）の記録を、配達員が個人のスマートフォンに控えていないか法第17条第1項は、個人情報を取り扱うに当たり、利用目的をできる限り特定しなければならないと定める。法第23条は、個人データの漏えい、滅失または毀損の防止その他の安全管理のために必要かつ適切な措置を講じなければならないと定める。法第24条は、従業者に個人データを取り扱わせるに当たり、必要かつ適切な監督を行わなければならないと定める
調理・配送を任せる先との情報共有申告の内容や配達先を、委託先にどこまで渡すか。委託先が自社の別の目的に使えないよう、契約で定めているか法第25条は、個人データの取扱いを委託する場合、委託を受けた者に対する必要かつ適切な監督を行わなければならないと定める。法第27条第5項第1号は、利用目的の達成に必要な範囲内で委託することに伴って個人データが提供される場合、提供を受ける者は第三者に該当しないとする
学校・施設・事業所の給食での利用者名簿施設から受け取る名簿に、アレルギーや健康状態、保護者の連絡先が含まれるか。受け取る目的と、契約が終わったときの返却・消去の取り決めがあるか施設側が調理を任せる場合は法第25条、受託側が名簿を自社の目的に使う場合は法第18条第1項の利用目的の範囲が関係する。法第22条は、個人データを利用する必要がなくなったときは遅滞なく消去するよう努めなければならないと定める（努力義務）
子どもの利用者の保護者との連絡利用者が16歳未満の場合に、申告や同意をだれから得るか。保護者の連絡先をどう管理するか16歳未満の本人についての法定代理人の関与は、改正法で新設される規律で、詳しくはこどもの個人情報で確かめられる。現行法ではガイドラインとQ&Aの運用で、政令・規則で定める内容は未確定

確認日は 2026-10-18 です（法はe-Govで確認）。令和8年改正で確認するテーマは次のとおりです。決まっていないことは、まだ決まっていないものとして書いています。

  1. 委託先における個人データ等の適正な取扱い: 調理、配送、予約受付、決済を外部の事業者に任せ、個人データの取扱いを伴う場合に関係します。任せる側の監督（法第25条）と、任される側に新設される義務（法第30条の3）が論点です。ある取引が委託に当たるかは契約の中身で変わり、規則で定める内容は未確定です。
  2. 漏えい等報告・本人通知義務の緩和: アレルギーの申告書の紛失、配達先の一覧を載せた端末の紛失、別の利用者への誤配信などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
  3. こどもの個人情報: 学校・保育施設の給食や子ども向けの宅配弁当で、利用者が16歳未満の場合に、改正法で新設される16歳未満の本人についての法定代理人の関与（利用目的の通知等、目的外利用・要配慮個人情報の取得・第三者提供の同意）の規律が関係します。政令・規則で定める内容は未確定です。

アレルギーの申告を要配慮個人情報として扱うべきか、委託先にどこまで渡してよいかは、申告の内容や契約によって変わるため、このサイトでは判断できません。食品衛生などの個人情報保護法以外の法令も関係するため、顧問弁護士、個人情報保護委員会にご確認ください。

151. 自転車・バイク販売店とシェアサイクル事業者

この節で想定する場面は、自転車・バイクの販売店や修理店が、購入者の氏名・住所を防犯登録や車体登録のために控え、保険の加入手続を取り次ぎ、シェアサイクルの事業者が、会員アプリで利用者の連絡先、貸出と返却の場所、移動の履歴を取り扱う場面です。

67番のスマート家電・IoT機器は、機器で取得した位置情報などの一般的な整理、15番のカーシェアリング・レンタカー事業者は、貸出事業の一般的な整理です。ここでは、購入者の登録情報の控え、会員アプリの位置情報と履歴、保険の取次ぎでの情報の渡し先に絞ります。防犯登録の手続そのものや、道路交通に関するルールは扱いません。

自転車・バイク販売店とシェアサイクル事業者の場面ごとの確認の観点（該当性の判定ではありません）
場面確認すること条文で確かめられること
防犯登録・車体登録のための購入者情報の控え登録の申込みに使った氏名・住所の控えを店に残すか。残すなら、いつまで保管し、だれが見られるか登録の様式や手続は別の法令や各地の運用が定めるため、この節では扱わない。店が控えを残すなら、法第17条第1項の利用目的の特定、法第23条の安全管理、法第22条の消去の努力義務（利用する必要がなくなったとき）が関係する（e-Govで確認）
販売・修理の顧客台帳購入履歴や修理履歴を、点検の案内や販促に使うか。使うなら、その目的を顧客に伝えているか法第21条第1項は、個人情報を取得した場合、あらかじめ利用目的を公表している場合を除き、速やかに本人に通知または公表しなければならないと定める。台帳が検索できる状態にまとまっていれば、法第16条第3項の個人データに当たる（e-Govで確認）
シェアサイクルの会員アプリの位置情報・移動の履歴貸出と返却の場所や走行の履歴を、会員の氏名や会員IDと結びつけて残すか。残すなら、何のために、いつまで保管するか会員IDなどで特定の個人を識別できる位置情報は、法第2条第1項の個人情報に当たり得る。法第17条第1項の利用目的の特定、法第22条の消去の努力義務、法第23条の安全管理が関係する。機器や端末が取得する位置情報の一般的な整理は67番を参照（e-Govで確認）
会員アプリの連絡先・アプリの開発や運用の委託会員の電話番号やメールアドレスを、アプリの開発会社や配信事業者に預けているか。委託先の管理をどう行っているか法第25条は、個人データの取扱いを委託する場合、委託を受けた者に対する必要かつ適切な監督を求める。委託先に関する改正は委託先の取扱い、電話番号・メールアドレス等の扱いの改正は連絡可能個人関連情報で確かめられる。規則で定める内容は未確定
保険の加入手続の取次ぎ本人が自分で保険に加入するのか、店が本人に代わって氏名・住所・生年月日を保険会社に渡すのか法第27条は、法令に基づく場合などを除き、あらかじめ本人の同意を得ないで個人データを第三者に提供してはならないと定める。取次ぎ時の情報の渡し方の整理は、店と保険会社の関係や契約によって変わるため、この節では判断しない。保険の関係は39番の保険代理店・保険会社も参照（e-Govで確認）

確認日は 2026-10-19 です（法はe-Govで確認）。令和8年改正で確認するテーマは次のとおりです。決まっていないことは、まだ決まっていないものとして書いています。

  1. 漏えい等報告・本人通知義務の緩和: 販売店の顧客台帳の紛失、会員アプリの情報の誤送信などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
  2. 連絡可能個人関連情報の不適正利用・不正取得の禁止: 会員アプリで電話番号・メールアドレス等の連絡先情報を取り扱う場合に、不適正利用・不正取得の禁止規定を確認しておく意味があります。規則で定める内容は未確定です。
  3. 委託先における個人データ等の適正な取扱い: 会員アプリの開発や運用、顧客管理のシステムを外部に任せている場合、委託先としての新しい義務・免除規定の対象になり得ます。規則で定める内容は未確定です。

登録の控えをどこまで残すか、位置情報の履歴をいつまで保管するか、保険の取次ぎで情報をどう渡すかは、店の運営や契約によって変わるため、このサイトでは判断できません。個人情報保護法以外の法令も関係するため、顧問弁護士、個人情報保護委員会にご確認ください。

152. 中古車販売・買取店

この節で想定する場面は、中古車の販売店や買取店が、購入者や売却者の本人確認書類を確認し、古物台帳に記録し、名義変更のために車検証の氏名・住所を扱い、ローンの申込みを信販会社に取り次ぎ、試乗や来店の様子をカメラに映す場面です。

50番の自動車ディーラー・整備工場は、顧客台帳、車検・点検の案内、ドライブレコーダー映像の一般的な整理、59番の古物商・リユース買取店は、古物の買取全般の整理です。ここでは、売却者・購入者の本人確認書類と古物台帳、車検証の氏名・住所、ローン申込みの取次ぎ、試乗・来店時のカメラに絞ります。古物商の許可や、車両の登録手続そのものは扱いません。

中古車販売・買取店の場面ごとの確認の観点（該当性の判定ではありません）
場面確認すること条文で確かめられること
売却者の本人確認と古物台帳買い取るときに、売却者の住所・氏名・職業・年齢をどの方法で確認しているか。確認に使った書類の写しを、台帳とは別に残しているか古物営業法第15条は、古物商が古物を買い受けるときに、相手方の住所・氏名・職業・年齢の確認などの措置をとることを求める。第16条は、取引の年月日、古物の品目・数量・特徴、相手方の住所・氏名・職業・年齢、とった措置の区分などを帳簿等に記載することを求め、第18条は、帳簿等を最終の記載の日から3年間備え付けることを求める（e-Govで確認）。書類の写しまで残すかどうかは、この条文からは分からない
車検証の氏名・住所の取扱い名義変更や下取りの手続のために、売却者から車検証や印鑑証明書の写しを受け取っているか。手続が終わった後も、写しを店に残しているか手続のために必要な範囲を超えて残すと、法第17条第1項の利用目的の特定、法第22条の消去の努力義務（利用する必要がなくなったとき）、法第23条の安全管理が関係する（e-Govで確認）。車両の登録手続の様式や期限は別の法令が定めるため、この節では扱わない
販売後の顧客台帳・案内購入者の氏名・住所・連絡先を、車検や点検の案内、新車の販促に使うか。使うなら、その目的を購入者に伝えているか法第21条第1項は、個人情報を取得した場合、あらかじめ利用目的を公表している場合を除き、速やかに本人に通知または公表しなければならないと定める。台帳が検索できる状態にまとまっていれば、法第16条第3項の個人データに当たる（e-Govで確認）
ローン申込みの取次ぎ購入者が自分で信販会社に申し込むのか、店が本人に代わって氏名・住所・勤務先・年収などを信販会社に渡すのか法第27条は、法令に基づく場合などを除き、あらかじめ本人の同意を得ないで個人データを第三者に提供してはならないと定める（e-Govで確認）。店と信販会社の関係や契約によって整理が変わるため、この節では判断しない。信用情報を扱う事業者の整理は20番の与信審査・信用情報関連事業者にある
試乗・来店時のカメラ試乗の受付で運転免許証の写しやコピーを控えるか。展示場の防犯カメラで顔識別を行っていないか録画・確認だけの通常の防犯カメラは顔特徴データ等の対象外で、顔識別機能で来店客本人を識別できるようにしている場合に関係する。掲示の内容は周知事項の対応表で確かめられる。控えた免許証の写しは、法第17条第1項の利用目的の特定と、法第23条の安全管理が関係する
販売サイト・査定システムの委託オンライン査定の受付、在庫管理、顧客管理を外部のシステム事業者に任せ、売却者・購入者の情報を預けているか法第25条は、個人データの取扱いを委託する場合、委託を受けた者に対する必要かつ適切な監督を求める（e-Govで確認）。委託先に関する改正は委託先の取扱いで確かめられる

確認日は 2026-10-19 です（法はe-Govで確認）。令和8年改正で確認するテーマは次のとおりです。決まっていないことは、まだ決まっていないものとして書いています。

  1. 漏えい等報告・本人通知義務の緩和: 古物台帳や本人確認書類の写しを入れた書類・端末の紛失、オンライン査定の受付システムへの不正アクセス、メールの誤送信などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
  2. 委託先における個人データ等の適正な取扱い: 査定システム、在庫・顧客管理、案内状の発送などを外部に任せている場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
  3. 顔特徴データ等: 展示場や買取カウンターのカメラで顔識別を行い、来店客本人を識別できるようにしている場合に関係します。撮影して保管するだけで顔識別を行わない映像は、この規律の対象外です。政令で定める内容は未確定です。

本人確認書類の写しをどこまで残してよいか、台帳の記載事項をローン会社や保険会社に渡してよいか、警察からの照会にどこまで答えてよいかは、店の運営や契約によって変わるため、このサイトでは判断できません。古物営業法や道路運送車両法など個人情報保護法以外の法令も関係するため、顧問弁護士、所管の公安委員会、個人情報保護委員会にご確認ください。

153. 商店街振興組合・商店会・商店街イベント事務局

この節で想定する場面は、共通ポイントや会員の名簿、街路の防犯カメラ、イベントの写真、福引の応募票を扱う場面です。

商店街振興組合・商店会・商店街イベント事務局には、共通ポイントカードの会員の氏名・連絡先・利用の記録、加盟店の代表者の名簿、アーケードや街路に設けた防犯カメラの映像、祭りやセールで撮った来場者の写真、福引や抽選会の応募票が残ります。マンション管理組合・自治会・町内会は48番、観光協会は121番、共通ポイントの運営事業者は116番で扱っているため、ここでは重ねず、商店街の組織に固有の場面に絞ります。個人情報データベース等を事業の用に供していれば、商店会のような任意の団体でも個人情報取扱事業者になりえます（法第16条第2項。団体の形態ごとの該当性はこのサイトでは判断できません）。

商店街振興組合・商店会・商店街イベント事務局の場面ごとの確認の観点（該当性の判定ではありません）
場面確認すること条文で確かめられること
共通ポイント・会員名簿会員の氏名・連絡先・利用の記録を、何のために集めているか。名簿を加盟店全体に配っていないか法第17条第1項は利用目的をできる限り特定することを、法第21条第1項は取得したときの利用目的の通知または公表を定める（e-Govで確認）。加盟店に名簿を渡すことが第三者提供に当たるかは、渡し方によって変わる
街路の防犯カメラ設置の掲示があるか。映像を見られる人を限っているか。顔識別を行っていないか録画・確認だけの通常の防犯カメラは顔特徴データ等の対象外で、顔識別機能で来街者本人を識別できるようにしている場合に関係する。掲示の内容は周知事項の対応表で確かめられる
イベントの写真・動画来場者の顔が写った写真を、広報誌やSNS、自治体への報告書に載せるか。子どもが写っていないか特定の個人が分かる写真は個人情報になりえる（法第2条第1項）。16歳未満の同意の扱いはこどもの個人情報で確かめられる
福引・抽選会の応募票応募票の氏名・電話番号を、当選連絡のほかに、加盟店の販促に使っていないか応募票のように本人から書面で直接取得する場合は、あらかじめ利用目的を明示する（法第21条第2項。緊急に必要がある場合などを除く）。当選連絡のためだけに使うなら、その範囲に収める
事務の委託名簿の管理、ポイントシステム、イベントの運営を外部の事業者に任せ、会員の情報を預けているか法第25条は、個人データの取扱いを委託する場合、委託を受けた者に対する必要かつ適切な監督を求める（e-Govで確認）。委託先に関する改正は委託先の取扱いで確かめられる

確認日は 2026-10-20 です（法はe-Govで確認）。令和8年改正で確認するテーマは次のとおりです。決まっていないことは、まだ決まっていないものとして書いています。

  1. 漏えい等報告・本人通知義務の緩和: 会員名簿や応募票を入れた書類・端末の紛失、ポイントシステムへの不正アクセス、メールの誤送信などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
  2. 委託先における個人データ等の適正な取扱い: ポイントシステムや名簿の管理、イベント運営を外部に任せている場合、任せる側の監督と、任される側に新たに求められる事項が関係します。規則で定める範囲は未確定です。
  3. 顔特徴データ等: 街路やアーケードのカメラで顔識別を行い、来街者本人を識別できるようにしている場合に関係します。撮影して保管するだけで顔識別を行わない映像は、顔特徴データ等とは区別されます。政令で定める範囲は未確定です。

名簿を加盟店に渡してよい範囲、街路のカメラの映像を警察や自治体に出してよい場合、組合員の名簿に関する組合法上の扱いは、組織の形態や規約によって変わるため、このサイトでは判断できません。顧問弁護士、所管の自治体の窓口、個人情報保護委員会にご確認ください。

154. 書店・古書店・ブックカフェ・読書会運営者

この節で想定する場面は、会員カードや取り寄せ注文の連絡先、外商の顧客台帳、店内の防犯カメラ、読書会の参加者名簿を扱う場面です。

書店・古書店・ブックカフェ・読書会運営者には、会員カードの氏名・連絡先・購入の履歴、取り寄せ注文を受けたお客様の連絡先、学校や企業に納める外商の顧客台帳、店内の防犯カメラの映像、読書会や店内イベントの参加者名簿が残ります。購入した書名の履歴は、読書の傾向から本人の関心を推し量れることがあるため、扱いに配慮が要ります。古本の買取のときの本人確認と台帳は59番の古物商・リユース買取店、質を取る営業は122番の質屋、図書館は70番の公共施設の節で扱っているため、ここでは重ねず、書店の販売と店内の運営に絞ります。

書店・古書店・ブックカフェ・読書会運営者の場面ごとの確認の観点（該当性の判定ではありません）
場面確認すること条文で確かめられること
会員カード・購入履歴氏名・連絡先・購入した書名の履歴を、何のために集めているか。おすすめの案内や販促に使うか法第17条第1項は利用目的をできる限り特定することを、法第21条第1項は取得したときの利用目的の通知または公表を定める（e-Govで確認）
取り寄せ注文の連絡先注文票に書いた氏名・電話番号を、入荷連絡のほかに使っていないか。取次や出版社に注文者の情報まで渡していないか注文票のように本人から書面で直接取得する場合は、あらかじめ利用目的を明示する（法第21条第2項）。取次などの第三者に個人データを渡すときは、法第27条第1項の本人の同意が原則で、委託などに当たる場合は整理が変わる
外商の顧客台帳学校・企業・個人宅への納品先の担当者名、連絡先、購入の履歴を、紙の台帳や営業の端末に残しているか体系的に検索できる状態なら個人情報データベース等に当たりえる（法第16条第1項）。台帳の持ち出しや紛失への備えは、法第23条の安全管理に関係する
店内の防犯カメラ万引き対策のカメラの設置の掲示、映像を見られる人の範囲、顔識別の有無録画・確認だけの通常の防犯カメラは顔特徴データ等の対象外で、顔識別機能で来店客本人を識別できるようにしている場合に関係する。掲示の内容は周知事項の対応表で確かめられる
読書会・店内イベントの参加者名簿申込みで集めた氏名・連絡先を、参加者どうしや講師に見せていないか。イベントの写真を載せるか参加者に名簿を見せることは、渡し方によって第三者提供に当たりえる（法第27条第1項）。写真は特定の個人が分かれば個人情報になりえる（法第2条第1項）

確認日は 2026-10-20 です（法はe-Govで確認）。令和8年改正で確認するテーマは次のとおりです。決まっていないことは、まだ決まっていないものとして書いています。

  1. 漏えい等報告・本人通知義務の緩和: 会員カードの情報や外商の顧客台帳を入れた端末の紛失、通販サイトへの不正アクセス、取り寄せ連絡の誤送信などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
  2. 委託先における個人データ等の適正な取扱い: 会員システムや通販サイトの運営、ポイント管理を外部に任せている場合、任せる側の監督と、任される側に新たに求められる事項が関係します。規則で定める範囲は未確定です。
  3. 顔特徴データ等: 店内のカメラで顔識別を行い、来店客本人を識別できるようにしている場合に関係します。撮影して保管するだけで顔識別を行わない映像は、顔特徴データ等とは区別されます。政令で定める範囲は未確定です。

購入履歴をおすすめの案内に使ってよい範囲、取次への注文情報の渡し方、警察からの照会にどこまで答えてよいかは、店の運営や契約によって変わるため、このサイトでは判断できません。古物営業法など個人情報保護法以外の法律の関わりも同じです。顧問弁護士、所管の警察署、個人情報保護委員会にご確認ください。

156. 無人店舗・無人販売所・セルフレジ店舗の運営者

この節で想定する場面は、店員がいない、または少ない店で、入店の認証、防犯カメラ、会員アプリ、万引き防止の照合を使う場面です。

無人店舗・無人販売所・セルフレジ店舗の運営者には、入店時に読み取った顔の画像や顔特徴データ、店内の防犯カメラ映像、会員アプリの氏名・連絡先・決済の情報、万引きの疑いがある人を記録した照合用のリストが残ります。録画して確認するだけの防犯カメラは9番の小売店舗・商業施設運営者、会員の入退館を顔認証で管理する施設は10番の顔認証で入退館・入場を管理する施設で扱っているため、ここでは無人運営に固有の場面に絞ります。

無人店舗・無人販売所・セルフレジ店舗の運営者の場面ごとの確認の観点（該当性の判定ではありません）
場面確認すること条文で確かめられること
入店時の顔認証入口で読み取る顔の画像から、本人を識別する顔特徴データを作っているか。入口やアプリで、何のために使うかを知らせているか特定の個人が分かる顔の画像は個人情報になりえる（法第2条第1項）。利用目的はできる限り特定する（法第17条第1項）。顔特徴データについての令和8年改正の規律は、顔特徴データ等のページで確かめられる
防犯カメラの映像映像の保管期間と、見られる従業者や委託先の範囲。録画の確認だけか、映像から本人を識別する機能を使うか持ち出しや紛失への備えは、法第23条の安全管理に関係する。従業者や委託先への監督は法第24条・第25条に関係する
会員アプリの登録情報登録時に集める氏名・連絡先・決済の情報を、入店の認証と代金の請求のほかに使っていないか本人から直接書面（電磁的記録を含む）で取得するときは、あらかじめ利用目的を明示する（法第21条第2項）
万引き防止の照合リストリストに載せる基準と、載せた情報の保管期間。同じ運営会社の別の店や、ほかの事業者と共有していないか個人データを第三者に渡すときは、法第27条第1項の本人の同意が原則。共有の相手や範囲によって扱いが変わる
システムの保守・運用の委託入店システム、カメラ、決済の機器を外部の事業者に任せているか。委託先が映像や顔のデータをどこまで見られるか委託先の監督は法第25条に関係する

確認日は 2026-10-21 です（法はe-Govで確認）。令和8年改正で確認するテーマは次のとおりです。決まっていないことは、まだ決まっていないものとして書いています。

  1. 顔特徴データ等: 入店の認証や万引き防止の照合で、顔から本人を識別できるようにしている場合に直接関係する、この業種の中心テーマです。周知の義務付け・オプトアウト提供の禁止・利用停止等請求という3つの規律が新設されます。入口に掲示する内容は周知事項の対応表で確かめられます。政令で定める細部は未確定です。
  2. 漏えい等報告・本人通知義務の緩和: 映像データや会員アプリの登録情報の漏えい、システムへの不正アクセスが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
  3. 委託先における個人データ等の適正な取扱い: 入店システムやカメラの運用を外部に任せている場合の、任せる側の監督と、任される側に新たに求められる事項が関係します。規則で定める範囲は未確定です。

顔認証や照合リストを使ってよいか、掲示でどこまで足りるか、万引きの疑いがある人の情報をどう扱うかは、店の運営の実態によって変わるため、このサイトでは判断できません。顧問弁護士、個人情報保護委員会にご確認ください。

出典