このページの要点
- 病歴などを含むカルテは要配慮個人情報で、取得には本人の同意が必要（個人情報保護法2条3項・20条2項）。
- 要配慮個人情報の漏えいは1人分でも個人情報保護委員会への報告と本人への通知が必要（同法26条、施行規則7条1号）。
- カルテ・写真は私物端末に置かず、お客様との連絡は店の公式アカウントに限る。
- FC・複数店舗・店舗の譲渡で情報を渡すときは、第三者提供・委託・共同利用・事業承継のどれに当たるかを実態で選ぶ。
結論：カルテの既往歴は要配慮個人情報。トレーナーの私物端末に置かない
パーソナルジムや整体院のカルテ（問診票・トレーニング記録・施術記録）には、既往歴・持病・服薬・けがの履歴が書かれます。こうした「病歴」などを含む個人情報は、個人情報保護法の「要配慮個人情報」（本人に対する不当な差別や偏見が生じないよう、取扱いに特に配慮を要する個人情報）に当たります（同法2条3項）。要配慮個人情報は、法令に基づく場合などを除き、本人の同意を事前に得なければ取得できません（同法20条2項）。もっとも、要配慮個人情報を書面や口頭などにより本人から適正に直接取得する場合（問診票への記入など）は、本人がその情報を提供したことをもって、取得について本人の同意があったものと解されています（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」3-3-2）。
実務で最も注意したいのは、漏えいしたときの義務です。要配慮個人情報を含む個人データの漏えい（そのおそれを含む）が生じたときは、件数が1人分であっても、個人情報保護委員会への報告と本人への通知が必要になります（同法26条、同法施行規則7条1号）。報告は、事態を知った後速やかに（速報）、そして知った日から30日以内に（確報）行います（同規則8条1項・2項）。トレーナーが私物のスマートフォンで撮影したカルテの画像を、端末ごと紛失した。これだけで、店は報告と通知の義務を負うことになり得ます。
身長・体重は、通常それだけで要配慮個人情報になるものではありません。一方、持病・服薬・手術歴・既往歴は該当し得ます。トレーニング記録・体脂肪率・食事の記録・コンディションの情報は、直ちに要配慮個人情報でなくても、お客様にとって極めて人に知られたくない情報です。カルテの中で、どの項目がどの扱いになるかを区別しておくと、取得の同意の取り方と、保管の方法を決めやすくなります。
トレーナーの私物端末とLINE：「不要な」「不必要に」を具体化する
業務委託のトレーナーを抱えるパーソナルジムの案件で、依頼者原案の業務委託契約書とガイドラインは、「私物端末への不要な保存をしない」「顧客情報を私物端末等へ不必要に保存しない」とし、漏えい時の通知は「速やかに」、契約終了時には「乙保有の顧客・店舗データを返却又は削除」と定めていました。
事務所の書類での改訂 トレーナーの端末・連絡手段・終了時のデータ
私物端末への保存
理由「不要な」「不必要に」は、トレーナーが必要と判断すれば保存してよいと読めてしまいます。
お客様との連絡手段
理由連絡先と履歴がトレーナー個人に残らない運用を、契約で裏づけます（顧客の引抜き）。
漏えい時の通知
理由店が個人情報保護委員会に速報する義務に間に合うよう、トレーナーから店への通知の期限を決めておきます。
契約終了時の返却・削除
理由「返却又は削除」だけでは、何を消せば足りるのかが分かりません。
この案件では、回答で、カルテは店のタブレットのアプリで記入・管理していることも分かりました。そうするとLINEの懸念は後退する一方で、カルテアプリの提供事業者の位置づけと、タブレットや店舗の鍵（トレーナーが施錠を担当していた）の管理が新たな論点になりました。タブレットのパスコードや保管場所、店舗の鍵の受渡しは、個人データの物理的な安全管理措置の一部です（設備・鍵と事故対応）。
ピラティススタジオのインストラクターとの秘密保持契約書（依頼者の指定条件を反映した当初版）には、秘密情報として生徒の健康状態・レッスン履歴・目標・支払情報を明記し、家族・知人を含む第三者への口外、書類の持ち帰り・印刷・写真撮影・複写・スキャン・転送、SNS・ブログ・クラウドストレージなどでの開示を禁じ、電子データのパスワード管理と外部の機器への無断保存の禁止、施錠保管とシュレッダーでの廃棄、漏えい時の直ちの報告、終了時の返還・消去と完了の証明（メール可）の提出まで定めていました。何を禁止するかを具体的な行為で書いておくと、インストラクターにとっても守るべきことが分かりやすくなります。
顧客向けの「個人情報の取扱い」の書面に足りないもの
同じパーソナルジムの案件で提供を受けた顧客向けの書面「個人情報の取り扱いについて」は、保有する情報として氏名・年齢・連絡先・写真・口座番号・防犯カメラの映像・ボディサイズの記録を挙げていましたが、既往歴などの健康情報の記載はありませんでした。事務所が補足報告書で指摘した点を、一般化して並べると次のとおりです。
| 書面の状態 | 問題 | 見直しの方向 |
|---|---|---|
| 健康情報が保有情報にも利用目的にもない | 問診で既往歴を聞いているのに、その取扱いが説明されていない。 | 健康情報を保有情報と利用目的（安全なトレーニングの提供のため）に加える。本人が問診票に記入して提出する形なら、取得の同意は確保されていると考えられる。 |
| ビフォーアフターの写真を保有するが、利用目的に広告・SNS掲載がない | そのまま掲載すれば目的外の利用（18条1項）、第三者への提供（27条1項）の問題になる。 | 媒体・目的・期間・撤回の方法を特定した同意書を別に取る（効果表示・SNS）。 |
| 事業者名が店名だけで、法人名・代表者名がない | 保有個人データに関して本人が知り得る状態に置く事項（32条1項）が足りない。 | 事業者の名称・住所・代表者の氏名、利用目的、開示等の請求の手続、安全管理措置などを記載する。 |
| 開示等の請求の窓口が「担当トレーナー」 | トレーナーが受け付けた請求が店に届かないおそれがある。 | 窓口を店にし、トレーナーが受け付けた場合に店へ引き継ぐ手順を決める。 |
| 支払方法は現金・カード・QR決済なのに、口座番号を保有情報に挙げている | 取得の場面がない情報を挙げている。 | 取得していない情報は削除する。 |
| 防犯カメラの利用目的が「防犯上のため」のみ | 事故の検証やトレーナーの業務の確認に使えば目的外になる。トレーナーの業務を映像で確認する運用は、指揮監督の事情として労働者性の材料にもなり得る。 | 使う目的をすべて書く。業務確認に使うかは、業務委託の設計とあわせて決める。 |
顧客向けの契約書自体にも、法人名・所在地の表示がありませんでした。
予約システム・カルテアプリ・AIツールを使う前に確かめること
カルテアプリや予約・会員管理システムの提供事業者は、店から個人データの取扱いの委託を受けた者（委託先）になり得ます。店は委託先に対して必要かつ適切な監督をしなければなりません（個人情報保護法25条）。他方、提供事業者が契約上データを取り扱わない（アクセスが制御されている）なら委託には当たらず、店自身の安全管理措置の問題として整理されます。提供事業者が外国にある場合や、データを外国で取り扱う場合は、外国にある第三者への提供（同法28条）も検討します。
ジム向けの予約・会員管理・決済連携のシステムを提供する事業者から、利用規約・会員向け規約・プライバシーポリシーのレビューを依頼された案件では、システム事業者が共通のテンプレートを作り、各ジムが自社名義で公開する方式でした。事務所は、この方式自体は法的に十分考えられるとしたうえで、各ジムがテンプレートの内容を確認して自らの意思で採用した記録（管理画面での確認のチェック）を残すこと、健康情報の入力は法令又はサービス上必須の項目を除き本人の意思によることを明確にすること、項目ごとにジムへの共有の可否を本人が選べる設計は評価できるので入力画面にも「所属ジムに共有されます」などを表示すること、などを指摘しました。
同じレビューでは、契約していない一般の利用者もトレーニング記録アプリとして単独で使える仕様なのに、ポリシーがジムと会員の二者の関係しか想定していないこと、委託を受けたシステム事業者はジムの指示なくデータを変更できないので、会員から直接削除や訂正を求められたときの対応を明らかにしておくこと、アクセス権限・多要素認証・監査ログ・バックアップなどの安全管理措置は、書いた以上は実際に運用する必要があることも指摘しました。ジムの側も、導入するシステムのポリシーにこれらが書かれているかを確かめておくと、会員からの問合せに答えやすくなります。
ヒヤリングの問いと理由 ジムが外部の予約・カルテシステムを選ぶときの確認
- 提供事業者は、店のデータにアクセスしますか。データの保管場所は国内ですか。委託か、店自身の安全管理の問題か、外国にある第三者への提供の検討が要るかが分かれます。
- 提供事業者は、ログやCookieなどを自社のサービス改善に使いますか。委託の範囲では説明しきれない部分なので、提供事業者名義のポリシーで整理されているかを確認します。
- 契約していない一般の利用者も、トレーニング記録アプリとして使えますか。その利用者の情報については、ジムではなく提供事業者自身が個人情報取扱事業者になります。
- 退会後のデータは、いつ・どこまで削除されますか。「退会後90日で削除」などの定めに、法令上の保存義務・バックアップ・決済事業者側の保有を除く旨があるかを確認します。
- サービスはデータの保管・バックアップを保証していますか。終了後にデータを取り出せる期間は。規約で「バックアップを主目的としない」「終了後は所定期間内に限り取得可」とされることがあり、重要なデータは店自身で保存しておく必要があります。
- 緊急連絡先として家族の情報を入力させますか。家族などの第三者の情報なので、提供する権限があることを前提に取得する、と一文入れます。
AIツールについても同じ考え方です。FC本部のヒヤリングでは、予約・決済システムに国内事業者のサービスを使い、マーケティングにAIを使う予定との回答がありました。事務所は、国内事業者の予約・決済システムへの情報の提供は通常は委託（27条5項1号）で、外国にある第三者への提供の規律は及ばないが、サーバーが国外にある場合や海外の関係会社が取り扱う場合は28条の対象になり得るので、事業者の方針と保管地域を確認すること、AIツールに氏名・連絡先など個人を特定する情報を入力するなら、提供事業者とデータの取扱地域を確認すること、個人を特定しない統計情報だけなら問題は生じにくいことを伝えました。カルテの要約や会員への案内文の作成にAIを使う店でも、入力する情報の範囲を先に決めておきます。
複数店舗・FC・店舗の譲渡で会員情報を渡すとき
FC本部のひな型（AIで作成されたもの）は、顧客情報の「最終保有権」を本部に置く書き方でした。事務所は、「最終保有権」という言葉は個人情報保護法上の提供・利用の根拠を何も示さないと指摘し、加盟店から本部に情報が渡る場面を、実態に合わせて次のどれに当たるかで選ぶよう示しました。
| 道筋 | 条文 | 主な要件・注意点 |
|---|---|---|
| 第三者提供 | 個人情報保護法27条1項 | 原則として本人の同意が必要。提供と受領の記録・確認の義務もある。 |
| 委託 | 同法27条5項1号・25条 | 利用目的の達成に必要な範囲での取扱いの委託。委託先（本部など）の独自の広告への流用とは区別する。委託元は委託先を監督する。 |
| 共同利用 | 同法27条5項3号 | 共同利用する旨、項目、利用する者の範囲、利用目的、管理について責任を有する者の名称・住所・代表者の氏名を、あらかじめ本人に通知し、又は本人が容易に知り得る状態に置く。整えれば従来の利用目的や本人の予測を超える共有を当然に始められるわけではない。 |
| 事業の承継 | 同法27条5項2号・18条2項 | 合併・事業譲渡などに伴う提供。承継前の利用目的の範囲で取り扱う。 |
FC本部の案件では、品質監修の目的に必要な範囲での「委託」と整理し、加盟店の安全管理措置と本部の監督を契約に明記しました。
品質監修のための最小限の情報と、広告の素材を分けること、マスキング・送り先・アクセス・保存と削除をデータの一覧にすること、病歴などは要配慮個人情報であり、監修のための動画の提出と広告への掲載の同意は別であること（ただし単なる運動の動画がすべて要配慮個人情報になるわけではない）、契約終了時も法定の保存や顧客対応に必要な記録を一律に削除しないこと、も同じレビューで指摘しています。
パーソナルジムの事業資産を売買する契約の依頼者原案（AIドラフト）は、売買の対象に、顧客情報（氏名・連絡先・来店履歴・予約履歴・トレーニング履歴など。個人情報保護法を守った適法な範囲に限る）、予約・顧客管理システムのデータ、集客ポータルの掲載原稿とアカウントの運用・管理権限、地図サービスの事業者プロフィールの管理権限を含め、引渡しはアクセス情報・管理権限の移行とファイルの共有で行い、引渡確認書を取り交わすとしていました。店舗や事業の一部を譲る場合、顧客情報の移転を「事業の承継に伴う提供」（27条5項2号）として整理できるか、承継前の利用目的の範囲に限られる（18条2項）ことを確認し、集客ポータルや地図サービスのアカウントは、各サービスの規約上、譲渡や名義の変更ができるかを先に確かめておきます。
店内カメラ・品質確認の動画と、法人向けサービスの健康情報
FC本部の案件では、ヒヤリングで、店舗内のカメラでセッションの様子を確認したいという意向が示されました。改訂後の契約書では、撮影機器を設置する場合は利用者の事前の同意を得ること、閲覧できる者を本部・加盟店・認定トレーナーに限ること、保存期間（30日）を過ぎたら消去すること、アクセスを制限することを定めました。お客様の健康状態が映り込む可能性があるからです。本部が品質確認のためにセッションの動画・写真の提出を求められる条項についても、加盟店はお客様の事前の同意を得て作成し、品質確認の目的の範囲でのみ提供し、本部は広告その他に転用せず、確認の完了後1年以内に消去する、と目的と保存期間を限定しています。
企業の事業所で行う出張コンディショニングの契約書の作成をご提案した案件では、提案書で、従業員の健康情報を導入企業（人事部門・上司を含む）に渡さないことを原則にし、導入企業への報告は請求に必要な事実と個人を特定できない集計に限る設計を示しました。導入企業に渡せば、法令に基づく場合などを除き本人の同意が必要な第三者提供になり（個人情報保護法27条1項）、しかも既往歴などは要配慮個人情報です。従業員の心身の状態に関する情報の適正な取扱いという観点とも合い、導入企業が社内で導入を検討する際の材料にもなります。
カルテをいつまで保存するかも、取扱いの書面に書いておきたい事項です。保存期間の根拠は、人の身体を害する不法行為による損害賠償の請求権が損害と加害者を知った時から5年間行使できること（民法724条1号・724条の2）と結びつけると説明しやすくなります。保存期間を過ぎたカルテは消去する一方、事故や紛争に備えて残す記録は期間を延ばす、という二段階にしておくと、「いつまでも残す」と「すぐに消す」の両極端を避けられます（事故の記録の保存）。システムの規約で退会後の一定期間でデータが削除される場合は、店の保存期間との食い違いがないかも確認します。
ご相談と回答 FC本部
決済サービスのシステムに顧客情報を置くことに、利用者の追加の同意は必要ですか。
決済事業者から、保存場所は原則国内で一部の機能のみ米国で処理すること、外国にある第三者への提供への対応、情報セキュリティの認証の回答を受けた内容からすると、委託先の監督として足りる水準と判断し、追加の同意は不要と整理しました。根拠となる条項を契約に置いています。
よくあるご質問
問診票で既往歴を聞くとき、同意書は別に必要ですか？
既往歴は要配慮個人情報で、取得には本人の同意が必要です。本人が問診票に記入して提出する形であれば取得の同意は確保されていると考えられますが、利用目的（安全なトレーニングや施術の提供のため）を問診票や個人情報の取扱いの書面に明記しておきます。
トレーナーにLINEでお客様とやり取りさせてもよいですか？
店名義のLINE公式アカウントなど、店が管理する公式アカウントで行う形にするのが安全です。個人のLINEやSNSで連絡させると、連絡先や健康に関するやり取りがトレーナー個人に残り、漏えいや契約終了後の顧客の持ち出しの原因になります。
カルテアプリ・予約システムを使うとき、プライバシーポリシーに何を書けばよいですか？
取得する情報（健康情報を含むか）、利用目的、提供事業者への取扱いの委託、データの保管場所が外国なら外国にある第三者への提供に関する事項、開示等の請求の窓口、安全管理措置などです。提供事業者が自社目的で使うデータがあれば、その事業者のポリシーで整理されているかも確認します。
店内カメラでトレーニング中の様子を録画してもよいですか？
録画の目的を特定してお客様に示し、閲覧できる者・保存期間・消去の方法・アクセスの制限を決めておけば可能です。防犯目的と書いたまま事故の検証やトレーナーの業務確認に使うと目的外の利用になり得るので、使う目的をすべて書いておきます。
企業の福利厚生でサービスを提供します。利用者の体調を会社に報告してよいですか？
原則として報告しない設計にします。健康情報は本人から直接取得し、会社には法令に基づく場合や本人の同意がある場合などを除き渡さず、報告は回数などの事実と個人を特定できない集計に限るのが基本です。
あわせて読みたい、関連する別のガイド
- アプリのプライバシーポリシーの書き方と、必須の記載事項アプリ・Webサービスの利用規約ガイド
- 家庭の情報・子どもの情報の扱いと、プライバシーポリシー家事代行・ベビーシッターの契約書ガイド
あわせて読みたいページ
本ページは一般的な情報提供です。法令の解釈や行政の運用は、個別の事情や今後の改正・通知によって異なることがあります。事務所の改訂例・ご相談の事例として紹介している内容は、アトラス行政書士法人が作成・レビューしてきたパーソナルジム・整体院の顧客向け契約書と回数券の契約書、ピラティススタジオのインストラクター業務委託契約書、トレーナー業務委託契約書と業務ガイドライン、出張コンディショニングの業務委託契約の提案書、ジム向けシステムの利用規約・プライバシーポリシー、パーソナルジムのフランチャイズ加盟契約書などを、個別の事業者が特定できない形に整理したものです。条文は e-Gov法令検索で確認しています（最終確認日：2026年10月15日）。参考: e-Gov法令検索 / 特定商取引法ガイド（消費者庁） / 国民生活センター / フリーランス法特設サイト（公正取引委員会） / 個人情報保護委員会
