スタッフ退職のたびに予約システムのアクセス権限を見直していないと、情報漏洩防止は運任せになります。

この記事でわかること

  • 退職者アカウントの放置がなぜ情報漏洩につながるのか
  • 予約システムの権限モデル3パターンの比較と向き不向き
  • 退職時に実施すべき7ステップのチェックリスト
  • 個人情報保護法上の報告義務と院長が負うリスク
  • バディフルが支援先で実際に見てきた権限放置の実態
結論：予約システムのアクセス権限は「個人別ID＋役割別権限」で設計し、退職当日にアカウント停止する運用にすれば情報漏洩リスクは大幅に下がります。

退職者アカウント放置が招く情報漏洩リスクの実態

整体院・治療院の予約システムは、患者の氏名・電話番号・住所・施術履歴・問診内容といった要配慮性の高い個人情報の塊です。ところが多くの院では、開業時に決めた「スタッフ全員共通のID・パスワード」をそのまま使い続けており、誰が・いつ・どの情報を閲覧したかを追跡できない状態になっています。この状態でスタッフが退職すると、退職者は在籍中と同じ権限のまま予約システムにアクセスできてしまいます。

IPA（情報処理推進機構）が毎年公表している「情報セキュリティ10大脅威」の組織編でも、「内部不正による情報漏えい」は例年上位10項目に入り続けている脅威です。外部からのサイバー攻撃だけでなく、退職者や現職スタッフによる持ち出し・不正閲覧も、事業者が備えるべきリスクとして継続的に指摘されています。予約システムのアクセス権限設計は、この内部不正リスクに直接対応する経営課題です。

さらに2022年4月に施行された改正個人情報保護法では、個人データの漏えい等が発生した場合、一定の要件を満たすと個人情報保護委員会への報告と本人への通知が義務化されました。「退職者が古いアカウントで情報を見ただけ」であっても、要配慮個人情報が含まれる予約システムでは報告対象になり得ます。権限を放置すること自体が、院長にとって法的リスクを抱え続けることに直結します。

東京商工リサーチが毎年公表している上場企業の個人情報漏えい・紛失事故の調査でも、原因の内訳には「誤操作・誤送信」に加えて「内部不正・情報持ち出し」が一定数含まれ続けています。整体院・治療院は上場企業ではありませんが、扱う情報の機微性は変わりません。むしろ院長1人でシステム管理まで兼務しているケースが多く、退職者対応が後回しになりやすい構造的な弱点があります。

予約システムのアクセス権限設計｜3つのモデルを比較

予約システムの権限設計には、大きく分けて3つのモデルがあります。それぞれ情報漏洩リスクと運用の手間が異なるため、自院の規模とスタッフの入れ替わり頻度に合わせて選ぶ必要があります。

権限モデル 情報漏洩リスク 退職時の対応の手間 適した院の規模
全員共通アカウント方式 高い（誰の操作か特定不可） パスワード変更のみで済むが穴が残る 非推奨（1人院長でも避けたい）
個人別ID＋一律権限方式 中程度（操作ログは追えるが閲覧範囲は広い） アカウント削除で完結しやすい スタッフ2〜4名の院
個人別ID＋役割別権限方式 低い（閲覧範囲・操作範囲を役割で制限） 役割解除＋アカウント削除の2段階だが自動化しやすい スタッフ5名以上・多店舗展開院

バディフルが2026年に支援先28院で予約システムの権限設定を棚卸ししたところ、25院（約89%）で退職済みスタッフのアカウントやLINE公式アカウントの管理権限が有効なまま残っていました。特に「全員共通アカウント方式」を採用していた院では、そもそも誰の権限を止めればよいかの特定に時間がかかり、棚卸し自体が滞る傾向が見られました。個人別ID化は、情報漏洩防止だけでなく退職時対応のスピードにも直結します。

役割別権限方式を導入する場合、具体的には「受付スタッフ＝予約の閲覧・新規登録のみ、施術履歴の閲覧不可」「施術者＝担当患者の施術履歴のみ閲覧可、他スタッフの担当患者は閲覧不可」「院長・管理者＝全権限＋操作ログの確認権限」のように、役割ごとに閲覧・操作範囲を線引きします。この設計をしておけば、退職時は該当スタッフの役割を解除するだけで、他のスタッフの業務に影響を与えずに権限を止められます。

整体院専用の予約システムを無料で試してみませんか？

バディフルの予約システムは整体院・治療院に特化。24時間自動受付・リマインド自動送信・スタッフ別管理まで一括対応。

無料デモを見る →

スタッフ退職時に情報漏洩を防ぐための7ステップ

権限モデルを整えても、退職のたびに手順が抜け漏れれば意味がありません。以下のチェックリストを退職手続きのフローに組み込むことをおすすめします。

  1. 退職が決まった時点で、予約システム・LINE公式アカウント・POSレジ・SNSアカウントなど、そのスタッフが持つ権限を一覧化する
  2. 退職日当日にアクセスできる状態を残さないよう、アカウント停止日を退職日と明記して関係者と共有する
  3. 個人所有スマートフォンに予約システムアプリやLINEアプリがログイン状態で残っていないか確認する
  4. 退職者が管理者権限を持っていた場合、パスワード・二段階認証の紐付け先を院長または後任者に移管する
  5. 予約システムの操作ログを確認し、退職直前の異常な閲覧・エクスポート操作がないかチェックする
  6. アカウント停止後、実際にログインできないことをテストする
  7. 棚卸しの記録（誰の・何を・いつ停止したか）を書面かクラウドで残し、次回監査に備える

この7ステップを退職手続きのテンプレートに組み込んだ支援先院では、運用開始から6ヶ月で「退職者アカウントの停止漏れ」がゼロ件になりました。特別なシステム投資をしなくても、手順を標準化するだけで情報漏洩リスクは大きく下げられます。

バディフルの支援事例

バディフルではこれまで500院近くの整体院・治療院の集客・経営をサポートしてきた中で、権限管理の甘さが原因のヒヤリハットを何度も見てきました。特に印象的なのが、複数のLINE公式アカウントが混在して集客動線が分散しているケースを、この半年で複数見てきたことです。多くの場合、過去に在籍していたスタッフや外部の制作担当者が個別にLINE公式アカウントを開設し、退職・契約終了後もそのアカウントの管理権限が院に引き継がれないまま放置されていました。院長自身が「どのアカウントが正式な窓口か把握していない」状態になっており、患者からの問い合わせが旧アカウントに届いても誰も気づけない、という機会損失にもつながっていました。

ある支援先では、予約システムとLINE公式アカウントの権限を棚卸しし、個人別ID・役割別権限に切り替えたうえで、退職手続きに前述の7ステップを組み込みました。その結果、半年間で退職者が3名出ましたが、いずれも退職当日中にすべての権限停止が完了し、情報漏洩やアカウントの混乱は一件も発生していません。権限設計は一度整えれば、その後の運用負荷はむしろ下がります。

権限の棚卸しは「退職が決まってから慌てて行うもの」ではなく、開業時または初めてスタッフを雇うタイミングで仕組み化しておくのが理想です。バディフルでは支援先の予約システム導入時に、個人別ID・役割別権限をあらかじめ初期設定に組み込むことで、院長がその都度権限設計を意識しなくても、自然と情報漏洩リスクの低い運用になるよう支援しています。

よくある質問（FAQ）

Q: 予約システムの権限設定は誰が管理すべきですか？
A: 院長または開業者本人が管理者権限を持ち、スタッフには役割に応じた閲覧・操作範囲のみを付与するのが基本です。管理者権限を複数人に分散させると、誰が最終責任者か曖昧になります。
Q: 退職したスタッフのLINE公式アカウント権限はどう扱えばいいですか？
A: 予約システムと同様に退職当日に管理者権限を解除し、院の代表アカウントに集約します。個人のスマートフォンにログイン状態が残っていないかも必ず確認してください。
Q: 権限設計を見直すタイミングはいつが適切ですか？
A: スタッフの入退職があったタイミングに加え、開業から3〜5年経過した院は一度棚卸しをおすすめします。共通アカウントのまま運用年数が経つほど、放置権限が蓄積しやすくなります。
Q: 個人情報保護法上、退職者のアカウント放置は法的リスクになりますか？
A: 放置状態から実際に漏えいが発生すれば、個人情報保護委員会への報告・本人通知が必要になる場合があります。放置自体が安全管理措置義務違反と判断されるリスクもあります。
Q: 1人院長で予約システムを使っている場合も権限設計は必要ですか？
A: 必要です。将来スタッフを雇う予定がなくても、業務委託の施術者や受付スタッフを一時的に入れる際、後からの棚卸しが難しくなるため、最初から個人別IDにしておくと安全です。

関連コラム

バディフルの予約システムの詳細・無料デモのご依頼はこちらのページからどうぞ。