うちの物件にゲストがチェックインするたびに、宿泊者名簿に情報を記録し、本人確認を行う。日本国内に住所のない外国人ゲストの場合は、国籍とパスポート番号を記録し、パスポートのコピーも保管することになる。月あたりの予約数と物件数を掛け合わせると、かなりの量の個人データを抱えていることになるが、多くの小規模運営者はこれを「コンプライアンスの問題」として意識していない——何かが起きるまでは。

まとめ

  • 日本の個人情報保護法（APPI）は事業規模に関係なくほぼすべての事業者に適用される。2017年の改正で「過去6か月間に一度も5,000件を超えたことがない事業者は適用除外」という規定は廃止された。
  • 宿泊者名簿を作成し、ゲストの本人確認を行っている場合（民泊・旅館業法上の義務であり、日本国内に住所のない外国人ゲストについては国籍・パスポート番号の記録、パスポートの提示、コピーの保管が求められる）、あなたは「個人情報取扱事業者」であり、利用目的を特定し、その目的の範囲内でのみデータを使う義務がある。
  • 収集するだけでなく、その情報を守るための「安全管理措置」（技術的・組織的・物理的）を講じることが求められる。
  • 2022年4月1日以降（2020年改正個人情報保護法に基づく）、要配慮個人情報の漏えい、財産的被害が生じるおそれ、不正な目的によるものと疑われる場合、または1,000人を超える漏えいなど一定の要件を満たす場合には、個人情報保護委員会（PPC）への報告および本人への通知が義務化されている。
  • 対策自体はそれほど高コストではない。利用目的を明確に開示すること（プライバシーポリシーとして公開するのが最も簡単な方法だ）、アクセス制限、保管データの暗号化、保存・削除のルール化で、小規模運営者が必要な対応の大部分はカバーできる。

個人情報保護法とはどんな法律で、なぜ自分のゲストハウスに関係あるのか？

個人情報保護法は日本の一般的なデータ保護法であり、ゲストの氏名、ID書類、連絡先を収集した瞬間からあなたの事業に適用される。小規模運営者の間には「データ保護法は大企業の問題」という誤解が根強いが、それは2017年より前の話だ。当時は過去6か月間に一度も5,000件を超えたことがない事業者は適用除外だったが、その規定は撤廃されている。民泊・旅館業法で義務付けられているゲストのID確認を行っている時点で、あなたは個人情報を取り扱っており、ホテルチェーンと同様にこの法律の対象になる。

実際にどんなゲストデータを集めているのか？

多くの運営者は自覚している以上のデータを集めている——すべてのゲストについて、氏名、国籍、連絡先のメールと電話番号だ。すべてのゲストは宿泊者名簿に記録され、チェックイン時に本人確認が行われるためだ。日本国内に住所のない外国人ゲストについては、民泊・旅館業法上、これに加えてパスポート番号の記録、パスポートの提示、コピーの保管が具体的に義務付けられている。国内ゲストについて運転免許証など別のID画像もスキャンするかどうかは、多くの場合、国の一律の義務ではなく、各事業者の運用方針や自治体の条例による部分だ。これに加えて、予約情報、決済状況、精算記録など、利用しているOTA・PMS・決済代行事業者が実際に提供してくる決済関連データを扱うことになる。これらすべてに利用目的を特定する必要がある（利用目的の特定）。実務的には、ID確認と法定記録保持は適切な利用目的として問題ないが、すでに住所を持っているからといって無断でメルマガ配信リストに追加するのは、事前に開示していない限り認められない。

保管や保存期間について、実務上何が求められているのか？

法律が求めているのは、データの機微性に見合った「安全管理措置」であり、特定の技術基準ではない。これが実は難しいところで、従うべき単一の認証基準があるわけではなく、「合理的な対応を取っているか」が問われる。具体的には、保管しているIDスキャンの暗号化、アクセス権限の制限（清掃スタッフにパスポート画像を見せる必要はない）、スタッフ間で平文のままID画像をメールで回さないこと、などが該当する。保存期間については、民泊・旅館業法上、宿泊者名簿を作成した日から3年間保持することが求められる。日本国内に住所のない外国人ゲストについては、パスポートのコピーもこの名簿と合わせて同じ3年間保管する必要があり、これは早めに削除してよいものではない。個人情報保護法の一般原則としては目的達成に必要な期間を超えて保有しないことが基本方針なので、名簿要件やその他の法令・条例・契約が実際に求める範囲を超える部分——たとえば保管を求められていない国内ゲストの運転免許証画像など——は、確認作業が終わり次第削除するのが安全な運用と言える。

対応を誤るとどうなるのか？

ゲストデータの取り扱いを誤ると、評判リスクだけでなく実際の報告義務が発生する。2022年4月1日以降（2020年改正個人情報保護法に基づく）、個人データの漏えい・滅失・毀損、またはそのおそれが生じた場合、それが要配慮個人情報に関するもの、財産的被害が生じるおそれがあるもの、不正な目的によるものと疑われるもの、または1,000人を超えるものであるときは、個人情報保護委員会（PPC）への報告および本人への通知が義務付けられている。これは宿泊業運営者にとって他人事ではない。パスポートのスキャン画像が保存された、アクセス制限のない共有フォルダや、乗っ取られた物件管理アカウントは、まさに規制当局が想定しているリスクそのものだ。

コンプライアンス専任チームがいない小規模運営者は、どう対応すればいいのか？

法務部門は不要だが、いくつかの具体的な習慣を一貫して実践する必要がある。ベンステイでは、各物件共通の実務的なベースラインとして、収集する情報とその目的を明記した公開プライバシーポリシー、共有フォルダやメールではなくアクセス制御されたシステムでのIDスキャン保管、法定名簿要件に紐づけた保存期間の設定とその後の削除ステップ、そして清掃担当・共同ホスト・業者など、誰が予約情報だけを見るのか、誰がゲストの生のID書類を見る必要があるのかを区別して制限することを実践している。清掃担当・共同ホスト・業者など外部に委託する相手にこうした情報を渡す場合は、必要な範囲に限定した「委託」として扱い、取り扱い方法を書面や契約で明確にし、相手が適切な安全管理体制を取っているかを確認したうえで、本当に必要でない限りパスポートのスキャン画像までは渡さないようにしている。どれも高額でも複雑でもない。要は、「グループチャットでパスポート画像を回すのが手軽だから」という利便性を、デフォルトの運用にしてしまわないことが重要だ。

よくある質問

Q: 予約サイトやリスティングに正式なプライバシーポリシーが必要ですか？

必須というわけではありません。個人情報保護法が実際に求めているのは、利用目的を特定し、それを通知または公表すること、そして予約フォームなど書面・電子的な方法で直接情報を取得する場合は、取得前に利用目的を示すことです。単独のプライバシーポリシーの作成自体は法律上の必須要件ではありませんが、この開示義務を満たす最も分かりやすい方法であるため、多くの事業者が実際にはプライバシーポリシーを用意しています。

Q: OTAや清掃スタッフとゲストデータを共有することは違反になりますか？

自動的に違反になるわけではありません。予約取引の一環としてOTAにデータを提供したり、清掃スタッフに実際に必要な情報を渡したりすることは基本的に問題ありません。ただし、外部の清掃業者・共同ホスト・業者にデータを渡す場合は「委託」として扱い、必要な範囲内に限定したうえで、取り扱い方法を書面や契約で明確にし、相手が適切な安全管理体制を取っているかを確認してください。必要な範囲を超えた共有や、実質的に委託先とは言えない相手への提供には、本人の同意など別の根拠が必要になる場合があります。また、清掃スタッフにパスポートのスキャン画像を渡す必要はありません。

Q: ゲストのID画像は実際どのくらいの期間保管すればいいですか？

許可の種類や自治体の条例によって、基本ライン以上に何が求められるかは変わりますが、基本ラインそのものは決まっています。宿泊者名簿は作成した日から3年間保管し、日本国内に住所のない外国人ゲストについては、パスポートのコピーも名簿と合わせて同じ3年間保管してください。それを超える部分——たとえば国内ゲストの運転免許証画像など——は、他の法令・条例・契約や記録として必要な理由がない限り、確認作業完了後に削除することをお勧めします。

本記事は情報提供のみを目的としており、法的または税務上の助言を構成するものではありません。個別の状況については、資格を有する専門家にご相談ください。