個人情報の共有・共同利用・委託の実務――共通POS・CRMのデータフローと終了時の処理
フランチャイズ（FC）本部が会員アプリやPOS・予約システムを提供し、加盟店も同じ顧客情報を閲覧している場合、「データは本部のものだから自由に使える」「加盟店が取得した情報だから本部は見られない」と、いずれか一方に決め付けることはできません。個人情報保護法上の義務は、システムの所有者や契約書の「データ帰属」条項だけでは決まらず、誰が本人から何を取得し、どの目的で利用し、誰に提供し、どの範囲を管理できるかという実態から判断します。
本部と加盟店は通常、法律上独立した事業者です。同じブランドや共通の会員番号があるだけで、両者間の個人データ移転が当然に社内共有となるわけではありません。実務では、第三者提供、共同利用、委託、事業承継などを区別し、取得時の説明から契約終了後の削除までを一つの業務設計として整える必要があります。
1．「顧客情報の所有者は誰か」より先に、取得・利用の主体を確定する
最初の確認事項は、店舗で商品・サービスを販売する契約主体、会員登録を受け付ける主体、個人データを事業として利用する主体です。店頭で加盟店が予約・電話番号を収集する場合と、本部運営アプリに顧客が直接会員登録する場合では、取得経路が異なります。システム利用規約、画面上の表示、プライバシーポリシー、加盟店の説明、実際の閲覧権限を照合します。
個人情報（個人情報保護法２条１項）と、個人情報データベース等を構成する個人データ（同法16条３項）は区別します。氏名・連絡先に、購買履歴・来店履歴・会員ID等を本人と結び付けて管理している場合も、個人データとして取り扱う場面が多くなります。他方、個人を識別できない集計値と、会員IDに紐づく購買明細は同じではありません。
契約上、データ利用権限や契約終了時の引渡義務を定めることは重要ですが、本人への説明や第三者提供の要件まで当事者間の合意だけで置き換えることはできません。「本部が所有する」との文言のみを根拠に、全加盟店の顧客リストを自由に流通させる運用は避けるべきです。
2．POS・会員アプリ・予約サイトのデータフローを可視化する
FC本部がまず作成すべきものは、収集画面から利用・外部提供・保管・削除までを追えるデータフロー表です。画面上の受付主体と実際の利用者が一致しているかを、下表のように業務単位で確認します。
| 取得・利用場面 | 取得主体・実利用者の確認 | 典型的な移動先 | 本部が決めるべきこと |
|---|---|---|---|
| 加盟店店頭の予約・会計 | 加盟店が接客・契約し、氏名・連絡先・購買履歴を取得 | 本部POS、予約システム事業者 | 本部の閲覧は委託業務か独自利用か。店舗別の権限を設定する。 |
| 本部会員アプリ | 本部が会員規約を提示し、会員情報を直接取得 | 利用店舗、本部分析部署 | 本人に示した利用目的と店舗への提供方式を一致させる。 |
| 共通ポイント・複数店利用 | 本部・参加加盟店が履歴を参照する可能性 | 参加店舗、決済・ポイント事業者 | 共同利用の対象・範囲を事前に明示できるか確認する。 |
| 店舗独自のLINE・DM | 加盟店が独自アカウントで登録者情報を取得 | 本部広告部門、他加盟店 | 本部への名簿移転は別の法的根拠を要する場合がある。 |
| EC・デリバリー | 販売・注文受付主体、プラットフォーム規約を確認 | 店舗・本部・配送・決済先 | 履行委託と本部の販促利用を分ける。 |
| 全店の集計レポート | 個人を識別できるか、元データへの再識別経路はあるか | 本部経営企画・SV | 識別可能な明細を配る必要があるかを見直す。 |
店舗一覧やアカウント権限表が無いまま「チェーン全体で利用する」とだけ定めると、どの加盟店がどのデータを扱えるかを後から説明できません。本部主導で、データ項目、取得画面、提供先、業務目的、法的根拠、保持期間、管理部門を一つの台帳に結び付けることが有用です。
3．第三者提供・共同利用・委託は、実際の目的で使い分ける
個人情報保護法27条１項では、法定の例外を除き、個人データを第三者に提供する場合は、原則として事前の本人同意が必要です。ただし、同条５項の委託・事業承継・共同利用の所定要件を満たす場合、国内の第三者提供規制上は提供先が第三者に該当しない扱いになります。単に契約書で「委託」「共同利用」と名付ければよいわけではありません。
個人情報保護委員会の通則ガイドラインは、フランチャイズ組織の本部と加盟店の間で個人データを交換する場合を、原則として第三者提供に該当する事例に挙げています（法27条５項各号に該当する場合を除きます）。共通POSや会員基盤を利用するだけで当然に適法な共同利用・委託になるのではなく、実際のデータ移転と利用目的に即して要件を確認することが必要です。
| 法的整理 | 該当を考える典型場面 | 主な要件・落とし穴 |
|---|---|---|
| 第三者提供 | 加盟店名簿を本部が自社マーケティングへ取得するなど、独自目的で移転する場合 | 原則本人の事前同意。法定例外の有無、提供・受領記録等も検討する。 |
| 共同利用 | 本部と特定加盟店群が、会員サービス運営のため所定データを共に利用する場合 | 共同利用の旨・項目・利用者の範囲・目的・管理責任者等を事前通知又は容易に知り得る状態にする。 |
| 委託 | 加盟店の予約受付・配信・保管業務を本部やSaaS会社が代行する場合 | 利用目的達成に必要な範囲のみ。委託先の独自利用・本人ごとの名簿突合は許されない。委託先監督を行う。 |
| 事業承継 | 店舗事業の譲渡等に伴い顧客データを承継者へ提供する場合 | 所定の承継に伴う提供か確認。承継前の利用目的の範囲や交渉時の安全管理も確認する。 |
3-1．共同利用――本部が管理責任者でも全加盟店への無制限公開ではない
共同利用を行う場合は、開始前に①共同利用する旨、②共同利用する個人データの項目、③共同利用する者の範囲、④利用目的、⑤管理責任者の氏名又は名称・住所、法人であれば代表者氏名を、本人へ通知するか本人が容易に知り得る状態に置きます（法27条５項３号）。本部サイトに掲載する場合も、登録・予約する本人が無理なく到達できる場所へ置き、登録画面や店舗掲示と整合させます。
「当チェーンの関係先」などの抽象的な記載だけでは、利用する事業者の範囲を本人が判断できないおそれがあります。加盟店の増減、業態追加、別ブランドへの展開、データ項目の拡張では、当初の共同利用範囲に含まれるかを検証します。共同利用の管理責任者を本部と定めても、各加盟者が自ら負う個人情報保護法上の義務が一括して本部へ移るわけではありません。
3-2．委託――システム運営業務の代行と、本部の独自販促は別である
加盟店が取得した予約データを本部が単に保管・予約通知・問い合わせ受付のために処理する場合、実態に応じ委託として整理できる余地があります。しかし、本部が同じ名簿を独自の新規事業の勧誘や他加盟店の販促に流用する行為は、委託業務の範囲外となり得ます。委託先が独自保有データと本人単位で照合することも、個人情報保護委員会のQ&Aで厳格に扱われています。
委託元は、法25条に基づき必要かつ適切な委託先監督を行います。本部がシステムを委託提供する場合も、委託契約の目的、取扱データ、アクセス管理、再委託、監査、事故報告、契約終了後の返還・削除等を明らかにし、加盟店から本部への業務委託なのか、本部からクラウド事業者への再委託なのかを整理します。
3-3．同意を得れば全用途に使えるわけではない
加盟時のFC契約に「本部は顧客情報を利用できる」と記載しても、そのことだけで店舗の顧客本人の同意を取得したことにはなりません。また、第三者提供への同意の有無と、個人情報の利用目的を特定・通知又は公表する義務（法17条・21条等）は別です。同意取得画面、利用目的、提供先、撤回・配信停止への対応を実際の仕組みで確認します。
3-4．第三者提供の記録と受領時の確認を、同意の取得と分けて運用する
加盟店から本部への名簿移転が通常の第三者提供に該当する場合、本人同意の有無だけでなく、提供側の記録作成・保存（個人情報保護法29条）と受領側の確認・記録（同法30条）を検討します。提供年月日、提供先、対象となる本人・個人データ等について、法令・規則で求められる事項を整理し、同意取得画面の版、取得日時、移転したデータの範囲と対応付けて保存できるようにします。
もっとも、法27条５項の要件を満たす委託・共同利用等には、通常の第三者提供に関する確認・記録義務が適用されない場合があります。「本部と加盟店の間のデータ移転は全て同じ様式で記録する」と決め付けず、移転目的と法的な分類を先に確定し、本人同意や提供記録を必要とする場面で漏れなく実施することが重要です。
4．共同CRM・ポイント制度では「閲覧可能」と「利用可能」を分ける
チェーン共通会員IDは、全店の来店履歴・購買履歴を統合しやすくします。しかし、統合基盤があるからといって、他店舗の詳細な来店履歴を各加盟店が閲覧する必要があるとは限りません。会員本人による予約変更、他店利用時のポイント処理、カスタマーサポート、全店施策の分析など、用途ごとに必要最小限のデータを割り当てます。
例えば、来店先店舗のスタッフには自店の予約情報のみを表示し、本部の問い合わせ担当には照会対象となった会員情報のみ、本部経営企画には可能な範囲で集計値のみを付与するなど、ロール別アクセスが考えられます。アクセスログ、検索・CSV出力の権限、店長退任時の権限解除、加盟店の脱退時の閲覧遮断をあらかじめ実装します。
ポイント・前払金・予約のサービス提供主体も別途特定します。顧客データの管理責任者と、ポイント交換や返金義務を負う契約当事者は必ずしも同じではありません。プライバシー関連文書だけでなく、会員規約・利用規約・FC契約の役割を一致させる必要があります。
4-1．顧客からの開示・訂正・利用停止請求は、窓口と法的判断者を分ける
本部の会員窓口に「どの店舗で利用したか知りたい」「誤った電話番号を訂正してほしい」「広告利用を止めてほしい」と連絡が来たときは、窓口を受け持つ者が全てのデータについて判断権限を有するとは限りません。保有個人データに関する開示（個人情報保護法33条）、訂正等（同法34条）、利用停止等（同法35条）は、それぞれ法定要件が異なります。取得主体、保有・利用の実態、本人確認、請求対象を特定し、どの事業者が法定の判断・回答を行うかを確定します。
実務では、本部が一次受付を一本化することと、加盟店の法律上の責任を本部が全面的に引き受けることを区別します。受付番号、依頼内容、本人確認方法、担当事業者への連絡日時、回答根拠、システム上の訂正・配信停止の実施記録を残し、店舗をまたいだ情報の不一致や再登録にも対応できるようにします。単に「プライバシーポリシーに本部窓口を記載した」だけで実際の権限設計が整うわけではありません。
5．加盟店独自のSNS・メール・販促データを本部は利用できるか
加盟店が独自に集めたLINE公式アカウントの登録者、予約台帳、アンケート回答を、本部が一斉広告や他店の見込み客開拓に利用したい場合、取得時の利用目的と本部への提供方式を確認します。加盟店が本部システムに情報を入力したという事実だけでは、独自販促目的への提供・利用を正当化できません。
メール広告を送る場合は、個人情報保護法上の取得・提供・利用目的とは別に、特定電子メール法等に基づくオプトイン規制、配信停止手続の確認も必要です。販促同意の範囲は、本人がどの事業者から何の連絡を受けるのかを認識できるよう設計し、店舗別・本部別の配信停止状態を管理します。
Cookie、広告ID、閲覧履歴等が本人ごとの名簿と結び付く場合は、個人データ・個人関連情報の区別と、個人情報保護法31条の要件も検討します。単に氏名を消したリストだから自由に受け渡せると決め付けず、受領側での照合可能性まで確認します。
6．海外クラウド・委託先・従業員アクセスの安全管理
本部が全店のデータを共通SaaSに集約する場合、各加盟店と本部は、自らが取り扱う個人データにつき安全管理措置（法23条）、従業者監督（法24条）、委託先監督（法25条）の要否と範囲を確認します。暗号化や二要素認証だけでなく、退職者の権限削除、店舗を越えた閲覧の制限、CSV持出し・印刷の制限、監査ログの保管、委託先変更時の影響評価等が重要です。
外国のSaaSを使う場合、サーバ所在地だけで外国にある第三者への提供を判定しません。運営事業者が個人データを取り扱うか、どこでアクセスするか、再委託先の所在地はどこかにより、法28条の外国第三者提供の検討や外的環境の把握が必要になる場合があります。業務実態を確認せず「国内リージョンだから越境問題なし」と説明することは避けます。
7．漏えい・誤閲覧が起きた場合、本部と加盟店のどちらが報告するか
他加盟店の顧客リストを誤って閲覧できた、退任者のアカウントが残っていた、外部へのCSV誤送付が起きた――こうした事案では、まず被害拡大防止と証拠保全を優先します。原因となったアカウント、閲覧者、データ項目、件数、時刻、二次利用の有無を記録し、必要に応じシステム会社とも協力して調査します。
個人情報保護法26条は、要配慮個人情報を含む場合、財産的被害のおそれがある場合、不正の目的で行われたおそれがある場合、1,000人を超える場合など、一定の漏えい等について個人情報保護委員会への報告・本人通知を求めています。該当事案では、把握時点から速やかに（概ね３～５日以内）速報を行い、原則30日以内、不正目的に関係する所定類型では60日以内に確報します。業態によって所管府省庁が報告先となる場合もあります。
委託先で事故が起きた場合は、原則として委託元・委託先双方に報告義務が生じ得ますが、委託先が法令に定める方法で委託元へ通知した場合の例外があります。共同利用の場合は、名目上の「管理責任者」だけに全義務が集中すると考えず、実際の取扱主体ごとに報告・通知の要否を確認します。FC契約には、本部・加盟店・委託先間の事故連絡期限、顧客への説明主体、証拠保全、費用精算を定めておくべきです。
7-1．裁判例：委託先を通じた情報漏えいとプライバシー侵害
最高裁判所第二小法廷平成29年10月23日判決（平成28年（受）第1892号）は、通信教育会社が管理していた顧客情報を、システムの開発・運用を行う委託先のさらに委託先の元従業員が不正に持ち出し、名簿業者に売却した事案です。最高裁は、漏えいした氏名・住所等を含む個人情報がプライバシーに係る法的保護の対象となり、漏えいによるプライバシー侵害が認められると判断しました。そして、精神的損害の有無や程度を十分に審理せず請求を棄却した原判決を破棄し、差し戻しました。最高裁自身が、この判決で委託元の過失の有無や具体的な賠償額を確定したものではありません。
この事件はFC本部と加盟店の間でのデータ共有を判断したものではありません。ただし、共通CRM等で本部・加盟店・委託先が個人データを取り扱う場合にも、管理業務を委託したという事実だけで、被害者に対する民事責任が自動的に免除されるわけではないことを考える参考になります。事故発生時は、個人情報保護法26条の報告・本人通知の要否と、民法709条等に基づく損害賠償責任の成否を分け、アクセス権限、監督・安全管理の状況、漏えいの態様及び損害を個別に確認することが重要です。
8．契約終了・店舗譲渡時の返還・削除・利用停止を設計する
FC契約が終了しても、本部が保存するすべての顧客データが自動的に本部へ帰属するわけではありません。他方、共同会員サービスの運営主体が本部で、法令・会員規約上適切に管理する必要があるデータまで、一律に直ちに削除することが正しいとも限りません。データの取得主体、利用目的、委託契約の終了、本人の権利、会計・紛争対応上の保存必要性を分けて整理します。
少なくとも、旧加盟店の認証情報・APIキー・エクスポート権限を停止し、バックアップ・端末内コピー・マーケティングリストを棚卸しします。必要なデータを合法的な範囲で引き渡す場合には、ファイル形式、提供先、移転根拠、再利用の範囲、移転後の消去証明等を定めます。店舗譲渡に当たる場合の法27条５項２号と、単なる契約終了・閉店とは異なることに注意します。
削除や保持については、法令上の保存義務、将来の請求・紛争への対応、本人からの開示・利用停止等の請求権も確認します。物理的な「サーバの保有者」と法的な「保有個人データを開示・訂正等できる主体」は一致するとは限りません。
契約終了前の協議では、①加盟店が単独取得したデータ、②本部が単独取得した共通会員データ、③適法な共同利用の対象データ、④加盟店から処理を委託されただけのデータを分けて棚卸しする方法が有効です。加盟店の閉鎖に伴う権限停止、顧客への問い合わせ先の案内、予約・返金履歴の保存、旧加盟店の販促リストの消去は、同じ日に一律実行せず、法的根拠と顧客保護上の必要性を記録して段階的に処理します。
9．本部用：取得から廃棄までの責任分担表
法務、IT、加盟開発、SV、CSが同じ台帳を見る運用が、契約書１条だけを加えるより実効的です。下表は本部の初期設計例であり、法令上の責任主体を一律に指定するものではありません。
| 工程 | 本部が決める・確認する事項 | 加盟店・委託先と共有する記録 |
|---|---|---|
| 取得 | 受付画面・会員規約・利用目的と取得主体の整合 | フォームの版、同意・通知履歴、店舗掲示 |
| 提供・共同利用 | 第三者提供、共同利用、委託等の根拠、利用者・範囲 | 共同利用事項の公表画面、同意記録、委託契約 |
| 閲覧・運用 | 役割別権限、他店閲覧制限、CSV出力、分析目的 | アカウント一覧、権限変更記録、ログ |
| 外部委託 | クラウド・再委託・国外アクセス・委託先監督 | SaaS約款、セキュリティ資料、監査記録 |
| 本人対応 | 開示・訂正・利用停止・苦情の窓口と回答担当 | 受付日時、本人確認、判断・回答履歴 |
| 漏えい・異常 | 初動、原因調査、報告・通知義務の判定と期限 | 事故台帳、影響範囲、連絡・再発防止記録 |
| 終了・移転・削除 | 契約終了後の権限停止、残存データ、引継ぎ・消去 | 返還リスト、削除証明、バックアップ処理履歴 |
10．FC契約・会員規約・プライバシーポリシーを横断して整備する
書面は用途が異なるため、FC契約に個人情報条項があるだけでは本人向けの説明を代替できません。実際に発生する取扱いが、各書面と矛盾していないか確認します。
| 文書・規程 | 定めるべき中心事項 | 設計上の注意 |
|---|---|---|
| FC契約・データ取扱別紙 | データ類型、権限、提供根拠、禁止用途、監査、終了後処理 | 契約当事者同士の合意と、顧客本人への法定対応は別。 |
| プライバシーポリシー | 取得主体、利用目的、共同利用５事項、問い合わせ窓口 | どの加盟者が利用するか本人が判断できる表示。 |
| 会員・ポイント規約 | サービス主体、利用店舗、特典・残高、終了時の扱い | データ管理とポイント返金等の債務者を混同しない。 |
| 委託・再委託契約 | 委託範囲、独自利用禁止、安全管理、監督、事故通知 | 本部・加盟店・SaaS間の連絡経路を具体化。 |
| 内部運用規程 | 権限・ログ・持出し・退職時削除・廃棄・事故対応 | 契約上の権利だけでなく実際の設定・証拠で管理。 |
11．よくある質問
Q1．本部が提供するPOSに入力した顧客情報は、本部が自由に使えますか。
いいえ。POSの提供・保管と、本部自身の広告・分析等の利用は別です。本部が委託先として処理するのか、共同利用者として利用するのか、独自の取得・第三者提供を受けるのかを、取得時の説明と実態から確認する必要があります。
Q2．加盟店全員を「共同利用者」としてプライバシーポリシーに書けば、全店舗が同じ顧客履歴を見られますか。
共同利用の所定事項の事前通知・公表だけでなく、利用目的と本人にとって合理的な利用者の範囲、各店舗の業務上必要な閲覧権限、安全管理を検討します。共同利用を採用しても全店舗の全顧客履歴を常時開放することが当然に適切となるわけではありません。
Q3．加盟店が閉店するとき、会員情報を本部へ一括移管できますか。
閉店の事実だけでは足りません。従前の取得・利用主体、会員サービスの存続、法令上の提供根拠、予約や返金の義務、本人への説明を確認します。事業譲渡による承継と単なる閉店では法的整理が異なります。
12．まとめ――チェーン全体のCRMは「誰の何の利用か」から設計する
FC本部と加盟店の顧客情報管理は、データの所有権を一行で定めれば解決する問題ではありません。取得画面、個人データの項目、利用目的、提供先、共同利用・委託等の法的根拠、閲覧権限、本人対応、事故・終了時の処理を業務単位で結び付けることが重要です。
柳澤法律事務所では、FC契約・システム規約・プライバシー関連文書の整合性を確認する際、まず店舗から本部、委託先、他店舗へ流れるデータを図示し、その流れごとに契約上の権限と個人情報保護法上の要件を別々に検証することを重視します。新たな会員アプリ、全店マーケティング、加盟店の入替えを行う前に、この対応表を更新することが紛争と事故の予防につながります。
確認した主要一次資料
・個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」 https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/
・同「第三者提供時の確認・記録義務編」 https://www.ppc.go.jp/personalinfo/legal/guidelines_thirdparty/
・同「個人情報保護法ガイドラインに関するQ&A」 https://www.ppc.go.jp/personalinfo/faq/APPI_QA/
・同「漏えい等の対応とお役立ち資料」 https://www.ppc.go.jp/personalinfo/legal/leakAction/
・同「令和８年改正個人情報保護法について」 https://www.ppc.go.jp/personalinfo/legal/r8kaiseihogohou/
参考裁判例
・最高裁判所第二小法廷平成29年10月23日判決（平成28年（受）第1892号）
