ホテルが持たなくていい個人情報：宿泊者名簿の保存期間、パスポートの写し、身分証コピーの線引き

結論

不正アクセスによる個人情報の漏えいが続くなか、顧客の個人情報を「そもそも持たない」方向へ運用を変える企業が増えています。日本テレビの報道（2026年11月8日）によると、カーシェアのパーク24は運転免許証などの画像を会員登録の直後に消す運用に変え、「焼肉きんぐ」の物語コーポレーションは、アプリに登録させる情報をメールアドレスだけにする予定です。

ホテルは同じことを全部はできません。旅館業法で宿泊者名簿を備える義務があるからです。ただし、法令が求めているのは次の範囲までです。

• 名簿に書くこと：宿泊者の氏名・住所・連絡先。日本に住所のない外国人は、国籍と旅券番号も（都道府県が項目を足している場合はそれも）
• 外国人の旅券：提示を求め、写しを名簿とともに保存する（自動チェックイン機による電子的な保存も可）
• 保存期間：名簿は作成の日から3年間

反対に、日本人の運転免許証などの写し、マイナンバー、クレジットカード番号、生年月日や職業は、ホテルが持つ法令上の義務がありません。漏えいしたときの被害が大きく、なくても営業が止まらない情報から手放すのが、ホテルにできる「持たない」対策です。

はじめに

2026年の秋は、宿泊・旅行の分野でも漏えいが相次ぎました。楽天トラベルでは宿泊施設の従業員の情報まで対象になり、旅行会社のクラブツーリズムでも利用客の情報432万件が流出した可能性が公表されました。観光庁の木村典央長官は10月21日の定例会見で、「利用者は、事業者を信頼してパスポートやクレジットカード情報、連絡先などの個人情報を預けている」と述べ、宿泊事業者にもサイバーセキュリティ対策の注意喚起を周知したと報告しています。

システムの守りを固めることは欠かせません。ただ、どれだけ守っても漏れる可能性は残ります。本記事では、旅館業法と厚生労働省の「旅館業における衛生等管理要領」をもとに、ホテルが持たなければならない情報と持たなくてよい情報を分け、手放し方と消し方を整理します。

他の業界で起きている「持たない」動き

日本テレビの報道で紹介された例を、ホテルの業務に置き換えて並べます。

企業	やめたこと／ホテルで言えば
パーク24	約146万件の免許証などの画像が流出。会員期間中と退会後7年持っていた画像を全て消し、登録が済んだらすぐ消す運用に → セルフチェックイン機や事前チェックインで集めた身分証の画像
物語コーポ	アプリの会員情報1,000万件以上が漏えい。氏名・電話番号・メールアドレスの登録を、メールアドレスだけにする予定 → 公式サイトや会員の登録項目
ゆで太郎	誕生月のクーポンを送るための住所・氏名・電話番号・生年月日を、サービスの終了とともに消す → 誕生日や記念日のDMのための顧客台帳
ニコニコ レンタカー	アプリでの免許証画像の事前登録をやめ、当日に店舗で現物を確認する方式に → 身分証は「見て返す」

NTTドコモも11月5日、オンラインショップなどへの不正アクセスで最大約30万件の顧客情報が流出したと発表しました。報道では、消費経済アナリストの渡辺広明氏が、個人情報を持つことは販促の利点よりも漏えいの危険のほうが上回る状況だと指摘しています。

ホテルが法令で持たなければならない情報

項目	根拠と内容
名簿の項目	旅館業法第6条、施行規則第4条の2。宿泊者の氏名・住所・連絡先。2023年12月の改正で「職業」が外れ「連絡先」が加わった
外国人	日本に住所のない外国人は国籍と旅券番号。要領で、旅券の提示を求め、写しを名簿とともに保存する。写しを保存すれば、名簿の氏名・国籍・旅券番号の欄の記載に代えてよい
自治体の項目	施行規則は「都道府県知事が必要と認める事項」を足せる。例：京都市は到着・出発の年月日と年齢、埼玉県は到着・出発の日時と年齢
保存期間	作成の日から3年間。保存場所は施設か営業者の事務所
本人確認	名簿の「正確な記載を確保するための措置」として本人確認を行う（要領）。2025年4月からは、自動チェックイン機で事前に共有した情報と照合し、その様子を録画する方法も認められた

3年という期間は、厚生労働省の検討会の資料によると、刑事訴訟法の罰金刑の時効に合わせたものです。業界から1年程度に短くする意見も出ましたが、見直されていません。逆に言えば、3年を過ぎた名簿と旅券の写しを持ち続ける法令上の理由はありません。

なお、施行規則は名簿に「宿泊者の」氏名などを書くとしており、代表者だけでよいとは書かれていません。グループの同行者の扱いは、施設を所管する保健所に確かめておくと確実です。

名簿を備えない、記載しないといった違反は、営業者が50万円以下の罰金の対象です（旅館業法第11条）。一方で宿泊者にも、営業者から求められたら名簿の事項を告げる義務があり（第6条第2項）、偽って告げた場合は拘留または科料の対象になります（第12条）。名簿の項目を聞くことは、ホテルの権利というより法令上の義務なので、遠慮なく求めてよい範囲です。

持たなくてよい情報と、手放し方

1. 日本人の身分証の写し

日本に住所のある宿泊者について、運転免許証やマイナンバーカードの写しを保存する法令上の義務はありません。厚生労働省は、2023年の旅館業法改正に向けた見直しで、身分証による本人確認を一律に義務づけることを見送りました。検討会の資料では、免許証などを持たない人も少なくなく、現場では現実的でないという意見が挙がっています。一方で、名簿の正確な記載のために必要なときに身分証で確認することは考えられる、としています。

つまり、確認が必要な場面では「見て、返す」で足ります。セルフチェックイン機や事前チェックインの仕組みが身分証の画像を自動で保存していないか、まず設定を確かめてください。2025年4月の要領の改正で加わった方法は、事前に共有した氏名・住所・連絡先などと二次元コードを機械で照合し、その様子を録画するもので、日本人の身分証の画像を保存することは求めていません。

2. マイナンバー（個人番号）

マイナンバーカードを本人確認に使うこと自体はできますが、裏面の12桁の個人番号を書き写したり、裏面をコピーしたりしてはいけません。番号法は、法律で認められた場合を除き、他人の個人番号の提供を求めること（第15条）と、個人番号を含む情報を集めたり保管したりすること（第20条）を禁じています。宿泊の手続は、法律で認められた場合に当たりません。カードを受け取ったら表面だけを見て返し、機械で読み取る場合も個人番号を保存しない設定にします。

3. クレジットカード番号

割賦販売法第35条の16は、カードを受け付ける加盟店にもカード番号の適切な管理を義務づけています。その実務の指針である「クレジットカード・セキュリティガイドライン」（最新は2026年3月の6.1版）は、加盟店にカード番号を保持しない（非保持化）か、PCI DSSに準拠するかを求めています。

ホテルで起きやすいのは、ノーショーや客室の損傷に備えた保証のためのカード番号が、PMSのメモ欄、OTAから届いたメール、電話で聞き取った手書きのメモに残っているケースです。決済代行会社のトークン（番号の代わりの符号）での保証、事前決済、デポジットの受け取りに切り替えれば、番号そのものを持たずに済みます。保証やデポジットの決め方はホテルのデポジットとはで解説しています。

4. 生年月日・性別・職業

職業は2023年12月に名簿の項目から外れました。古い名簿の様式や予約フォームに職業欄が残っていないか確かめましょう。年齢を求める自治体はありますが、年齢で足りるなら生年月日は要りません。性別も、国の項目にはありません。誕生日のDMのために生年月日を集めているなら、ゆで太郎のように、その販促と漏えいの危険を天秤にかけ直す時期です。

5. 会員・直販の登録項目

公式サイトの会員登録や予約フォームは、項目が増えがちです。宿泊に必要な名簿の情報はチェックイン時に確かめられるので、予約の段階で必須にするのは、連絡に必要な項目だけにできます。住所や生年月日を必須にしている理由を、一つずつ説明できるか見直しましょう。

6. メール・チャット・共有フォルダに残った写し

見落としやすいのが、正式な保管場所の外に残った写しです。事前チェックインでゲストから送られたパスポートの写真、フロントのスマートフォンで撮った画像、共有フォルダの「名簿_2023」のような表計算ファイル、メール配信サービスに入れた顧客リストなどです。旅券の写しは名簿とともに保存すれば足りるので、メールやチャットに残った分は、正式な保管場所に移したうえで消します。

保存期間を決めて、消す仕組みにする

個人情報保護法第22条は、利用する必要がなくなった個人データを遅滞なく消去するよう努めることを求めています。情報ごとに保存期間を決め、期限が来たら自動で、または定期的に消す仕組みにします。下の表の「目安」は、法令の期間がないものについての本記事の提案です。

情報	法令上の期間／目安
宿泊者名簿	作成の日から3年（施行規則）。3年を過ぎたら消す
旅券の写し	名簿とともに保存（要領）。名簿と同じ3年で消す
日本人の身分証	保存の義務なし。見て返す。機械に残る画像は照合後すぐ消す
マイナンバー	集めない・保管しない（番号法）
カード番号	持たない（非保持化）か、PCI DSSに準拠して管理（ガイドライン）
防犯カメラ	自動チェックイン機で本人確認する場合、要領は録画を必要時に確認できることを求める。期間を決め、上書きで消す
会員・販促	目的があるあいだだけ。退会時と、長く利用のない会員を消す

紙の名簿も同じです。3年を過ぎた分を溶解処理などで廃棄した記録を残しておけば、「いつまで、何を持っているか」をゲストや当局に説明できます。

委託先にある情報も、ホテルの持ち物

個人情報は、ホテルのサーバーより委託先のクラウドに多くあります。PMS、サイトコントローラー、セルフチェックイン機や事前チェックインのサービス、メール配信、Wi-Fiの認証、OTAの管理画面です。委託先で漏れても、本人への通知や個人情報保護委員会への報告はホテルの責任になります（委託先の事故で何をするかはメール配信サービスの情報漏えいとホテルの対応、OTA側の事故は楽天トラベル不正アクセスで解説しています）。

• 何を保存しているか：身分証や旅券の画像、カード番号、顔写真を、どこに、いつまで残す設定か
• 消せるか：保存期間を設定できるか。契約が終わったときにデータを消し、その証明を出してもらえるか
• 誰が見られるか：ホテルの元従業員のアカウントが残っていないか。委託先の社員がどこまで見られるか

ゲストに聞かれたときの答え方

集める情報を絞ると、フロントで「なぜこれは要るのか」「なぜこれは要らないのか」を説明する場面が増えます。よくある質問への答え方を、根拠と一緒にそろえておきます。

聞かれること	答え方と根拠
なぜ旅券を コピーするのか	日本に住所のない外国人の宿泊では、国の要領で旅券の提示と写しの保存が求められていると説明する。厚生労働省の多言語の案内文「パスポート呈示等のお願い」を見せると伝わりやすい。写しは名簿とともに3年保存し、その後に消すことも添える
在日の外国人 も必要か	日本に住所のある外国人は、旅券番号と写しの対象外。名簿には日本人と同じく氏名・住所・連絡先を書く
なぜ名簿に 書くのか	旅館業法で、宿泊者は求められたら氏名・住所・連絡先を告げることになっている。感染症が出たときに保健所が宿泊者に連絡するためにも使われる
免許証の コピーは	ホテルが方針として取らないなら「確認だけで、お預かりや複写はしません」と伝える。取る場合は、目的と保存期間を説明できるようにしておく
情報は いつ消すのか	名簿と旅券の写しは法令に沿って3年保存した後に消す。会員の情報は退会時などに消す。プライバシーポリシーと同じ内容を答える

答え方を統一しておくと、スタッフごとに説明が食い違って不信を招くことを防げます。新しい方針を決めたら、フロントの手順書と、多言語の案内カードを同時に直しましょう。

ホテルが今週やること

1. 棚卸し：名簿、旅券の写し、身分証の画像、カード番号、会員情報、防犯カメラの録画が、どこに（紙・PMS・委託先・メール・共有フォルダ・スマートフォン）あるかを書き出す
2. 仕分け：法令で持つもの（名簿と旅券の写し）と、持たなくてよいものに分ける
3. 止める：日本人の身分証のコピー、マイナンバーカード裏面の取り扱い、カード番号の手書きメモと、メールでのやり取りをやめる
4. 消す：3年を過ぎた名簿と旅券の写し、正式な保管場所の外に残った写しを消し、記録を残す
5. 設定する：PMSやセルフチェックイン機の保存期間、委託先の削除の手順を決める
6. 説明する：プライバシーポリシーとフロントの案内に、何を何のために、いつまで持つかを書く

集めた情報を外に出さない運用も、持たない対策と対になります。フロントへの電話でゲストの情報を聞かれたときの答え方はAIが電話をかけてくる時代、フロントが決めておくことでも整理しました。

まとめ

漏えいの事故が続き、他の業界では「持たないことが抜本的な解決になる」として、免許証の画像や会員情報を手放す動きが出ています。ホテルは宿泊者名簿の義務があるため全部は手放せませんが、法令が求めるのは氏名・住所・連絡先（外国人は国籍・旅券番号と旅券の写し）を3年保存するところまでです。

日本人の身分証の写し、マイナンバー、カード番号、生年月日、正式な保管場所の外に残った写しは、持つ義務がありません。棚卸しをして、持たなくてよいものから止め、期限の来たものを消す仕組みをつくれば、システムの守りだけに頼らない漏えい対策になります。

よくある質問（FAQ）

Q1. 宿泊者名簿の保存期間は何年ですか？

作成の日から3年間です（旅館業法施行規則第4条の2）。外国人宿泊者の旅券の写しも、名簿とともに保存します。

Q2. ホテルで外国人のパスポートのコピーを取るのは義務ですか？

日本に住所のない外国人には、名簿に国籍と旅券番号を書いたうえで、旅券の提示を求め、写しを名簿とともに保存することが、厚生労働省の「旅館業における衛生等管理要領」で求められています。2025年4月からは、自動チェックイン機などによる電子的な保存も含むことが明記されました。日本に住所のある外国人は対象外です。

Q3. 日本人の宿泊者に身分証の提示やコピーを求める必要はありますか？

写しを保存する法令上の義務はありません。身分証による本人確認の一律の義務化は、2023年の旅館業法改正に向けた見直しで見送られました。名簿の正確な記載のために確認が必要な場面では、見て返すことで足ります。

Q4. マイナンバーカードを本人確認に使ってもよいですか？

表面を見て確認することはできますが、裏面の個人番号を書き写したり、コピーしたりしてはいけません。番号法は、法律で認められた場合を除き、個人番号の収集・保管を禁じています。

Q5. 宿泊者名簿は代表者だけ書けばよいですか？

施行規則は「宿泊者の」氏名・住所・連絡先を記載するとしており、代表者だけでよいとは定めていません。グループの同行者の扱いは、施設を所管する保健所に確認してください。外国人は一人ひとりの旅券番号と写しが必要です。

Q6. ノーショー対策でカード番号を控えておいてもよいですか？

カード番号を持つと、割賦販売法とクレジットカード・セキュリティガイドラインに沿った管理が必要になります。決済代行会社のトークンでの保証、事前決済、デポジットに切り替えれば、番号を持たずに保証を取れます。

出典：日本テレビ「個人情報“手放す”企業続々」（2026年11月8日）、旅館業法 第5条・第6条、旅館業法施行規則 第4条の2、厚生労働省「旅館業における衛生等管理要領」（令和7年3月11日改正・4月1日施行）と改正の周知資料、厚生労働省「旅館業法第6条の見直しに関する検討方針（案）」、神奈川県・京都市・埼玉県の宿泊者名簿の案内、個人情報の保護に関する法律 第22条、行政手続における特定の個人を識別するための番号の利用等に関する法律 第15条・第20条、割賦販売法 第35条の16、クレジット取引セキュリティ対策協議会「クレジットカード・セキュリティガイドライン【6.1版】」、観光経済新聞（2026年10月30日、観光庁長官の10月21日の会見）。