美業工作室的顧客資料怎麼保管？個資法、同意書與拍照要注意的事（2026 法規整理）
我以前的顧客資料，全部都是紙本
我開店的時候，顧客資料全部都是紙本。紙本有一個大問題：員工離職的時候，其實會偷偷把顧客資料帶走，真的防不勝防。
後來店收起來的時候，這些紙張也要處理，必須把它絞碎，不能讓個資外流。
所以我覺得，店家真的應該要有一個預約系統，把顧客資料存在雲端、由店家自己管，這對店家來說其實也是一種保障。下面整理法規怎麼說。
美業工作室會碰到哪些個人資料？
個資法第 2 條把個人資料定義得很廣：姓名、出生年月日、特徵、病歷、醫療、健康檢查、聯絡方式……「及其他得以直接或間接方式識別該個人之資料」。對工作室來說，常見的有：
- 預約與聯絡：姓名、電話、LINE、生日。
- 同意書上的健康狀況：過敏體質、正在治療的疾病、正在吃的藥、懷孕與否。
- 施術前後照片：法務部函釋認為照片屬於個人資料；就算只拍局部，配上其他資訊能認出是誰，也可能算。
- 消費紀錄：做過哪些服務、買過的套票、儲值金。
工作室在個資法裡屬於「非公務機關」，第 2 條第 8 款寫得很清楚：公務機關以外的「自然人、法人或其他團體」都是，一人工作室也一樣。
收資料時，要讓客人知道哪 6 件事
個資法第 8 條規定，直接向客人蒐集個人資料時，要明確告知：
- 你的店名（誰在收）。
- 蒐集的目的（例如預約、提醒、服務紀錄）。
- 收了哪些資料。
- 資料會用多久、在哪裡用、給誰用、怎麼用。
- 客人可以行使的權利和方式（下面那 5 項）。
- 客人不提供的話，會有什麼影響（例如沒有電話就無法提醒）。
告知不一定要另外印一張紙。施行細則第 16 條寫：可以用「言詞、書面、電話、簡訊、電子郵件、傳真、電子文件或其他足以使當事人知悉或可得知悉之方式」。把這段寫在預約須知、同意書或線上預約頁，是比較省事的做法。
客人依第 3 條有 5 項權利，而且不能用契約要客人放棄：查詢或閱覽、要求複製、要求補充或更正、要求停止蒐集處理利用、要求刪除。
同意書上的過敏史、病史：衛福部規定一定要問、要簽、要保存
衛生福利部〈美容定型化契約應記載及不得記載事項〉（112 年 1 月 6 日公告、112 年 7 月 1 日生效）第六點寫：做美容項目前，「應詢問、確認消費者有無因患疾現正治療中、是否屬過敏性體質、現有無服用何種藥物、肌膚有無敏感性及其他不利於接受美容之事項」，而且這份詢問「應以書面為之，並經消費者簽名確認後保留至少二年」。第二十一點也寫明，業者知道的服務內容、紀錄等個人資料，「應依個人資料保護法相關規定辦理」。
過敏史、病史在個資法裡算不算第 6 條那種要特別保護的「醫療、健康檢查」資料？施行細則把「醫療」「健康檢查」的資料，限定在醫師、醫事人員或醫療行為產生的資料；客人自己填的健康狀況算不算，我們沒有查到主管機關的明確解釋。比較保險的做法是：用書面（含電子簽名）問、請客人簽名、只拿來判斷能不能做服務、保管好。
保存期限到了、服務關係也結束了，就該刪除或停止使用。法務部函釋（處理瘦身美容契約的案例）也提到：契約終止後，如果蒐集的目的已經不存在，業者應主動或依客人要求刪除、停止處理或利用。
拍客人照片放 IG、FB，要先問
照片同時牽涉兩件事：個人資料（法務部函釋認為照片屬於個資）和肖像權（法務部函釋：「未經他人同意，擅自使用他人照片之行為，自構成對肖像權之侵害行為」，民法第 18、195 條）。
有一個醫美診所的判決可以參考：診所人員把顧客療程前後的局部照片，貼到顧客用本名發文的社群留言，法院認為照片配合留言「即可間接識別」，屬於個人資料，依個資法第 41 條判刑。這是醫美診所、不是美容工作室，但道理相通：就算只拍睫毛、眉毛，配上其他資訊認得出是誰，就要小心。
我的做法：拍照之前一定先問客人願不願意讓你放上去。我們會先給客人看一張漂漂亮亮的範本，問她的意願：「我們會把你的照片弄得跟範本一樣漂亮，你願不願意當我們的 model？」客人看得到成品大概長什麼樣子，通常比較願意。答應的，再請她簽肖像同意書。
員工離職時，顧客資料怎麼辦？
這是我覺得最難防的一件事。紙本的時代，員工要帶走顧客資料，真的很難發現。
法規上，個資法第 20 條規定，個人資料只能在當初蒐集的目的範圍內使用；員工把店裡的顧客名單帶走、拿去聯絡客人，就是拿去做原本沒說的用途，情節嚴重的（意圖不法利益、足生損害），第 41 條有刑責。另外，營業秘密法第 2 條規定，可用於經營的資訊要算「營業秘密」，條件之一是「所有人已採取合理之保密措施」。也就是說，你平常有沒有把顧客資料管好，事後也會影響能不能主張權利。
比起事後追究，一開始就讓資料不在員工手上容易得多：資料放在系統裡、分好權限，員工只看得到工作需要的部分。
傳優惠、生日訊息：客人說不要就要停
個資法第 20 條第 2、3 項：用個人資料做行銷，客人表示拒絕時「應即停止」；第一次行銷時，要提供客人拒絕的方式。傳生日優惠、活動訊息時，附上一句「不想收到這類訊息可以跟我們說」，就是最簡單的做法。
資料外洩了怎麼辦？
現行個資法第 12 條：違反本法規定，導致個人資料被竊取、洩漏、竄改或其他侵害，要「查明後以適當方式通知當事人」。施行細則第 22 條說明，通知要即時，內容要包括「個人資料被侵害之事實及已採取之因應措施」。
手機掉了、LINE 被盜、Excel 檔寄錯人，都可能是外洩。平常就把資料放在有密碼、能控管誰看得到的地方，比事後補救容易得多。
沒做好會怎樣？
- 民事賠償（第 29 條）：違反個資法造成客人權利受損，要負損害賠償責任，除非能證明自己沒有故意或過失。客人難以證明損害金額時，可以請求法院以每人每一事件新臺幣 500 元以上、2 萬元以下計算（第 28 條第 3 項）。
- 行政罰鍰：違反第 19 條、第 20 條第 1 項等，處新臺幣 5 萬元以上 50 萬元以下罰鍰並限期改正（第 47 條）；沒有採取適當安全措施（第 27 條），處新臺幣 2 萬元以上 200 萬元以下罰鍰並限期改正，屆期未改正，按次處 15 萬元以上 1,500 萬元以下（第 48 條第 2 項）。
- 刑責：意圖為自己或第三人不法之利益或損害他人之利益，違反第 6 條第 1 項、第 19 條、第 20 條第 1 項等規定，足生損害於他人者，處五年以下有期徒刑，得併科新臺幣 100 萬元以下罰金（第 41 條）。
個資法新版：已經公布，但還沒施行
個人資料保護法在 2025 年 11 月 11 日（民國 114 年）修正公布，例如刪除第 27 條、改成新的安全維護條文，外洩通知也改成只要「知悉」就要通知。不過全國法規資料庫寫的是「本法規部分或全部條文尚未生效，最後生效日期：未定」，施行日期由行政院決定。在那之前，仍適用 2023 年 5 月 31 日修正的現行版本（本文引用的條文都是現行版）。
櫻約能幫你的部分
- 四種電子同意書（紋繡、接睫毛、除毛、肖像權）：客人在店裡用手機或平板簽，簽完跟著顧客資料走；健康問卷有勾「是」的，顧客資料最上方會自動跳出紅色提醒。
- 施術照片放在私有空間（進階版）：老闆看得到全部；員工只看得到自己上傳、自己經手的；沒登入的人、其他店家都看不到，照片網址不是公開連結。
- 員工看不到的資料：員工點開線上預約，看不到客人電話；也不能編輯或刪除顧客資料。
- 老實說：系統只能幫你把資料放在比較安全、權限分清楚的地方；告知客人、取得同意、離職交接這些，還是要店家自己做。
本文是 2026 年 10 月 11 日依全國法規資料庫（個人資料保護法現行版與 114 年 11 月 11 日修正版、施行細則）、衛生福利部〈美容定型化契約應記載及不得記載事項〉、法務部函釋與司法院判決整理的重點，不是法律意見；Grace 不是律師，實際適用請洽律師或主管機關。
常見問題
美業工作室收客人資料，要遵守個資法嗎？
要。個資法所稱的非公務機關包括自然人、法人或其他團體，一人工作室也適用。客人的姓名、電話、生日、過敏史、施術照片都是個人資料；直接向客人蒐集時，依個資法第 8 條要告知店名、目的、資料類別、利用期間地區對象方式、客人的權利，以及不提供的影響。
同意書上的過敏史、病史要保存多久？
衛生福利部〈美容定型化契約應記載及不得記載事項〉第六點規定，做美容項目前要以書面詢問消費者有無正在治療的疾病、過敏體質、服用藥物、肌膚敏感等，經消費者簽名確認後保留至少二年。保存目的結束後，應刪除或停止使用。
拍客人做完的照片放 IG，需要客人同意嗎？
建議一定要先取得同意。法務部函釋認為照片屬於個人資料，未經同意擅自使用他人照片也構成肖像權侵害；就算只拍局部，能間接認出是誰也可能算個人資料。用肖像權同意書請客人簽名，是比較清楚的做法。
個資法新版什麼時候開始適用？
個資法 2025 年 11 月 11 日修正公布，但施行日期由行政院另定；全國法規資料庫目前標示「最後生效日期：未定」。施行前仍適用 2023 年 5 月 31 日修正的現行版本。
看櫻約怎麼運作