民泊・旅館業の個人情報取り扱い義務｜宿泊者名簿・OTA情報の保護法対応ガイド

民泊・旅館業を運営する事業者は、宿泊者から氏名・住所・パスポート番号などの個人情報を収集する義務を法令で課されています。しかし「集めることは分かっているが、その後の取り扱いはどうすればよいのか」と悩むオーナーは少なくありません。

この記事では、民泊新法（住宅宿泊事業法）および旅館業法の下で収集する個人情報に対して、個人情報保護法（個人情報の保護に関する法律）がどのように適用されるかを整理します。宿泊者名簿の管理方法、OTA（Airbnb・Booking.com・楽天トラベル・じゃらんなど）経由で取得した情報の扱い、プライバシーポリシーの作り方、第三者提供のルール、そして宿泊者からの開示請求への対応まで、実務に即した形でQ&A形式も交えながら解説します。

なお、個人情報保護法の解釈や自治体の条例は変更される場合があります。実際の対応は個人情報保護委員会のガイドラインや所管自治体の窓口、専門家（弁護士・行政書士）に必ず確認してください。

そもそも民泊・旅館業者は「個人情報取扱事業者」になるのか

個人情報保護法では、個人情報データベースを事業のために利用する者を「個人情報取扱事業者」と定めており、規模を問わず適用されます。かつて5,000件以下の小規模事業者は適用除外でしたが、2017年の改正でこの例外は撤廃されています。

民泊オーナーが1件だけ物件を運営している場合でも、宿泊者名簿をデジタルデータや整理されたファイルで保管していれば、個人情報取扱事業者として個人情報保護法の義務を負います。「小規模だから関係ない」は通用しないと理解しておきましょう。

宿泊者名簿と個人情報保護法の関係

旅館業法・民泊新法が求める名簿記載事項

旅館業法では、宿泊者名簿に氏名・住所・職業・宿泊日などを記載し、都道府県知事の求めに応じて提示できるよう保管することが求められています。民泊新法（住宅宿泊事業法）でも、届出住宅の宿泊者情報を記録・保管する義務があります。具体的な記載事項・保管期間は法令や自治体の指導により異なりますので、所管窓口に確認してください。

外国人旅行者については、旅館業法の規定によりパスポートの確認・写しの保管が求められる場合があります。パスポート番号は「個人識別符号」として個人情報保護法の保護対象になるため、取り扱いには特に注意が必要です。

名簿の保管・廃棄ルール

収集した宿泊者名簿は、利用目的（例：行政への提示、緊急時の連絡）の範囲でのみ保管します。利用目的を達成した後は、個人情報保護法の「利用する必要がなくなったときは遅滞なく消去するよう努める」という努力義務（第19条）に従い、適切に廃棄・削除してください。

• 紙の名簿: シュレッダー処理が基本。ゴミ袋にそのまま捨てるのは不可
• デジタルデータ: 上書き消去・専用ソフトによるデータ消去を実施
• クラウド管理: 利用しているサービスのデータ削除機能を活用し、バックアップも含めて削除

OTA経由で取得した個人情報の扱い方

OTAから提供される情報の法的な位置づけ

Airbnbや楽天トラベルなどのOTAを通じて予約が入ると、プラットフォームからゲストの氏名・連絡先・場合によっては支払い情報の一部が事業者側に共有されます。この情報は「第三者（OTA）から提供を受けた個人情報」として扱われます。

重要なのは、OTAがゲストに対して「宿泊施設への情報提供」を利用規約・プライバシーポリシーで同意を取得しているという前提で成り立っている点です。とはいえ、宿泊施設側でもOTA経由の情報を「宿泊サービス提供のためにのみ利用する」という制限を自覚して管理する必要があります。

OTA経由情報の利用目的の制限

OTAから受け取ったゲストのメールアドレスや電話番号を、自社の他のサービス・キャンペーンのDM送付に流用することは、利用目的の範囲外となり問題が生じる可能性があります。各OTAの利用規約でも直接連絡の制限が設けられている場合が多いため、必ず各プラットフォームの規約を確認してください。

複数チャネルで収集した情報の統合管理

OTA経由・自社予約サイト経由・電話予約など、複数のチャネルから収集した個人情報を1つのシステムで管理する場合、それぞれの収集経路で示した利用目的の範囲内で利用できているかを定期的に確認しましょう。民泊の収支管理と合わせてシステムを検討する際は、民泊収支シミュレーターも活用して運営コスト全体を把握しておくと計画が立てやすくなります。

プライバシーポリシーの作成と公表義務

民泊・旅館業者に必要なプライバシーポリシーの要素

個人情報取扱事業者は、個人情報の取り扱いに関する方針（プライバシーポリシー）を策定し、本人が知り得る状態に置くことが求められます。民泊・旅館業向けのプライバシーポリシーには、最低限以下の項目を盛り込んでください。

プライバシーポリシーの公表方法

宿泊施設のウェブサイトやチェックイン時の書面など、宿泊者が確認しやすい形で公表します。自社ウェブサイトがない場合は、予約確認メールに記載する、施設内に掲示するなどの方法が考えられます。OTAのみで運営している場合でも、問い合わせがあった際に速やかに提示できる書面を準備しておくことを推奨します。

第三者提供のルールと「委託」との違い

第三者提供が認められるケース

原則として、本人の同意なしに個人情報を第三者に提供することは禁じられています。ただし、以下の場合は例外として認められています。

1. 法令に基づく場合: 警察や行政機関からの照会・捜査令状への対応。旅館業法に基づく都道府県知事への名簿提示など
2. 人の生命・身体・財産の保護に必要な緊急の場合: ゲストが施設内で倒れて本人連絡が取れないケースなど
3. 公衆衛生・児童の健全育成に特に必要な場合: 感染症対応等で保健所が情報提供を求めた場合など

「委託」は第三者提供ではない—清掃・代行会社への情報提供

運営代行会社や清掃会社に宿泊者情報（チェックイン時間や部屋番号など）を共有するケースは多いと思います。この場合、あくまで「利用目的の達成に必要な範囲内での業務委託」であれば、原則として第三者提供には該当しません。ただし委託元（宿泊施設）は委託先の監督義務を負い、委託先が適切に情報を管理しているかを確認・契約に盛り込む責任があります。

ポイント: 委託先（運営代行・清掃会社等）との契約書には「個人情報の取り扱いに関する条項」を必ず入れましょう。再委託の制限、情報漏えい時の報告義務、契約終了後のデータ削除なども明記することを推奨します。運営代行会社の選び方で迷っている方は運営代行会社の無料紹介もご活用ください。

オプトアウト制度の注意点

個人情報保護法では、本人の同意なしに第三者提供を行う「オプトアウト制度」も規定されていますが、要配慮個人情報（健康・病歴・犯罪歴など）はオプトアウトの対象外です。宿泊者のアレルギー情報や障がいの有無などをサービス向上のために収集する場合は、別途明示的な同意が必要です。

宿泊者からの開示・訂正・削除請求への対応Q&A

Q1. ゲストから「自分の情報を見せてほしい」と言われたらどうする?

個人情報保護法では、本人から「保有個人データの開示」を求められた場合、事業者は原則として開示しなければなりません（第33条）。対応フローとして、①本人確認（氏名・宿泊日などで照合）、②保有データの特定、③書面・電磁的記録などで開示、という流れを準備しておきましょう。

開示に手数料を設定することは認められていますが、過大な手数料は不可とされています。対応期間は「遅滞なく」が原則で、一般的に請求を受けてから概ね1〜2ヶ月以内の対応が目安とされています（個人情報保護委員会のガイドラインを参照）。

Q2. 「情報を削除してほしい」と言われた場合は?

宿泊者名簿は旅館業法・民泊新法の規定により一定期間の保管が義務づけられているため、法定保管期間中は「削除できない情報」が存在します。この場合、「法令上の保管義務があるため、法定保管期間内は削除に応じられない」旨を丁寧に説明し、期間経過後に削除する旨を伝えましょう。法令義務を超えて保管しているデータについては、利用停止・削除に応じる対応が求められます。

Q3. 苦情・問い合わせ窓口はどこが担当するか?

個人情報保護法では、個人情報に関する苦情の適切・迅速な処理に努めることが求められています（第40条）。小規模な民泊施設でも、問い合わせ先（メールアドレスや電話番号）を明示し、担当者を決めておくことが重要です。対応記録を残しておくと、後日トラブルになった際の証跡になります。

Q4. 情報漏えいが起きたら何をすればよいか?

2022年4月施行の改正個人情報保護法により、一定の要件を満たす漏えい・滅失・毀損が発生した場合、個人情報保護委員会への報告と本人への通知が義務化されました。報告が必要な要件・期限は個人情報保護委員会の公式サイトで確認し、万が一に備えて対応フローをあらかじめ整備しておくことを強く推奨します。

安全管理措置の実践ポイント

個人情報保護法は、個人情報の漏えい・滅失・毀損を防ぐための「安全管理措置」を義務づけています（第23条）。民泊・旅館業者が実践しやすい具体的な措置を挙げます。

• 組織的措置: 個人情報を取り扱う担当者を決め、アクセス権限を最小限に絞る。従業員がいる場合は取り扱いルールを共有・教育する
• 物理的措置: 紙の名簿は施錠できるキャビネットで保管。関係者以外が立ち入れない管理スペースを確保する
• 技術的措置: デジタルデータはパスワード保護・暗号化を実施。クラウドサービスは2段階認証を必ず設定する
• 外部からの不正アクセス対策: 予約管理システム・Wi-Fiルーターのパスワードを定期的に変更し、デフォルトパスワードのまま使い続けない

まとめ

民泊・旅館業における個人情報の取り扱いは、「法令で集めることが義務」という性質上、集めた後の管理責任がより重くなります。要点を整理すると次のとおりです。

1. 小規模でも個人情報取扱事業者として個人情報保護法が適用される
2. 宿泊者名簿は利用目的を明確にし、法定保管期間後は適切に廃棄する
3. OTA経由の情報は宿泊サービスの提供目的のみに使用し、流用しない
4. プライバシーポリシーを整備し、宿泊者が確認できる形で公表する
5. 委託先（清掃・代行会社）との契約に個人情報保護条項を入れ、監督責任を果たす
6. 開示・削除請求には速やかに対応できる窓口と手順を準備する
7. 漏えい事故に備えた対応フローをあらかじめ整備する

法令の解釈や自治体条例の詳細は変わることがあります。個人情報保護委員会の公式ガイドライン、および所管の都道府県・保健所・専門家に定期的に確認しながら、安全な運営体制を整えていきましょう。

※本記事は一般的な情報の整理であり、法令・条例の要件や市場の状況は地域・時期・物件により異なります。実際の開業・運営にあたっては、必ず管轄の自治体・保健所・消防署および専門家にご確認ください。