結論
日本のホテルでも、公式サイトの作り方しだいでEUの一般データ保護規則（GDPR）がかかります。EUに拠点がなくても、GDPR第3条2項により、次のどちらかに当たれば対象になります。
- EUにいる人に向けて宿泊を販売している：ドイツ語・フランス語などEU加盟国の言語のページで予約ができる、ユーロで料金を表示している、EUの国に向けて広告を出している、など
- EUにいる閲覧者の行動を追跡している：リターゲティング広告やCookieを使った行動分析で、EUの閲覧者を追いかけている
反対に、英語版があってEUから見られる、というだけでは足りません。欧州データ保護会議（EDPB）の指針は、サイトにアクセスできること、連絡先の掲載、自国で通常使われる言語の使用だけでは「EU向け」と判断できないとしています。
対象に当たる場合、公式サイトで直すのは主に5つです。Cookieの事前同意、GDPR第13条に沿ったプライバシーポリシー、予約エンジンなど委託先との契約、EU代理人の検討、漏えい時の72時間報告の手順です。日本は2019年にEUから十分性認定を受けていますが、これはEUから日本へのデータ移転のルールで、日本のホテルにGDPRがかからなくなる制度ではありません。
はじめに
インバウンドの回復で、ホテルの公式サイトを多言語にし、海外向けの広告を出すことは珍しくなくなりました。予約エンジンの多言語・多通貨表示や、Googleの広告タグ、Metaのピクセルも、設定画面から簡単に入れられます。その結果、運営者が意識しないうちにGDPRの対象になる作りになっていることがあります。
一方で、2026年11月時点ではEUのルールそのものも動いています。欧州委員会は2025年11月、GDPRやCookieの規定を簡素化する「デジタル・オムニバス」を提案し、EU理事会は2026年10月に交渉方針をまとめました。ただし、これはまだ欧州議会との交渉が残る段階で、成立も施行もしていません。いま公式サイトを直すなら、現行のGDPRとeプライバシー指令（Cookieの規定）を前提にする必要があります。
本記事では、EDPBの「GDPRの地理的適用範囲に関するガイドライン3/2018」（2019年11月採択）をもとに、ホテルの公式サイトがGDPRの対象になるかの判断と、対象になった場合に直す項目を運営者向けに整理します。個別の判断は、EU法に詳しい弁護士への確認を前提に読んでください。
自社サイトにGDPRがかかるかの判断
「宿泊客がEU国籍」では決まらない
GDPR第3条2項が対象にするのは、EU域内にいる人の個人データです。EDPBの指針は、第三国で行われるEU市民の個人データの処理は、EU向けの販売や行動の追跡に関係しない限りGDPRの対象にならないとしています。たとえば、日本を旅行中のドイツ人が飛び込みで来館し、フロントで宿泊者名簿を書いてもらう処理は、それだけではGDPRの対象になりません。
一方で、ドイツにいる人がホテルのドイツ語ページから予約した場合は、EUにいる人への宿泊の販売です。その予約に関係する処理（予約の受付、決済、確認メール、到着前の案内など）がGDPRの対象になります。
EDPBの指針にあるホテルの例
指針には、南アフリカのホテル・リゾートチェーンが、英語・ドイツ語・フランス語・スペイン語のサイトでパッケージを販売している例が載っています。EUに事務所も代理店もないため、EU域内の拠点を理由とする適用（第3条1項）はないとしたうえで、第3条2項に当たるかを個別に分析する必要があると述べています。日本のホテルも同じ立場です。
判断材料として指針が挙げる要素のうち、ホテルの公式サイトに関係するものを表にしました。1つだけでは決め手にならず、組み合わせで判断します。
| 判断材料 | ホテルで当たりやすい例 |
|---|---|
| EU加盟国の言語・通貨 | ドイツ語・フランス語・イタリア語・スペイン語のページ、ユーロでの料金表示や決済 |
| EUの国名を挙げた販売 | 「フランスからのお客さま向けプラン」など |
| EU向けの広告・検索連動広告 | 配信地域にEUの国を入れたGoogle広告・SNS広告 |
| EUからの行き方の案内 | 「パリからのアクセス」など欧州発の交通案内 |
| EUの顧客の紹介 | 欧州各国のゲストの声を並べたページ |
| EU向けの連絡先・ドメイン | 国際番号つきの欧州向け窓口、.de・.eu などのドメイン |
| 観光という活動の国際性 | 指針は「一部の観光関連の活動」を判断材料の例に挙げている |
英語はアイルランドやマルタの公用語でもあるため、英語版があれば必ず対象外とまでは言えません。ただ、ホテルの英語版は世界中の旅行者に向けた共通語として置かれるのが普通です。英語版のみで円建て、EU向けの広告もないサイトは、販売の面では対象になりにくいと考えられます。ただし、次の「追跡」の入口は別に確認が必要です。
もう1つの入口：Cookieによる追跡
第3条2項(b)は、EU域内での行動のモニタリングも対象にしています。指針は例として、行動ターゲティング広告、Cookieやフィンガープリンティングによるオンライン追跡、個人のプロフィールにもとづく行動分析を挙げています。ただし、オンラインでの収集や分析がすべてモニタリングに当たるわけではなく、目的と、その後の分析・プロファイリングの有無で判断するとしています。
ホテルで問題になりやすいのは、欧州の国を配信先にしたリターゲティング広告です。公式サイトを見たEUの閲覧者にタグで目印を付け、後から広告で追いかける使い方は、モニタリングに当たる可能性が高くなります。
十分性認定があっても対応はいる
日本とEUは2019年1月23日に、互いのデータ保護制度を同等と認め合いました（相互の十分性認定）。2023年4月4日には個人情報保護委員会と欧州委員会が最初の見直しの完了を発表しています。この仕組みで、EUの企業が日本へ個人データを送るときに、追加の契約などが原則いらなくなりました。
これはあくまでデータを国境を越えて送るときのルールです。GDPRが日本のホテルにかかるかどうかを決めるのは第3条で、十分性認定とは別の話です。「日本は十分性認定があるからGDPR対応は不要」という理解は誤りです。
公式サイトで直す5つの項目
1. Cookieは同意の前に動かさない
EUでは、必須でないCookie（アクセス解析・広告・SNSのタグなど）を端末に保存したり読み出したりする前に、利用者の同意が必要です（eプライバシー指令第5条3項）。同意の水準はGDPRの定義によります。EU司法裁判所は2019年のPlanet49事件で、あらかじめチェックを入れた欄は有効な同意にならないと判断しました。
- 同意バナー（CMP）の導入：「同意する」と同じ手間で「拒否する」を選べるようにし、目的ごとに選べる画面を用意する
- 同意の前にタグを発火させない：バナーを置いても、裏でタグが先に動いていれば意味がない。タグマネージャーの発火条件を同意の状態に結びつける
- Googleの同意モード：Googleは欧州経済領域（EEA）・英国・スイスの利用者について、広告の測定やリマーケティングを使うには同意の取得と同意シグナルの送信を求めている（同意モードv2の
ad_user_data・ad_personalization） - 同意の記録と撤回：いつ何に同意したかを残し、フッターなどからいつでも設定を変えられるようにする
2. プライバシーポリシーをGDPR第13条の項目でそろえる
日本の個人情報保護法に合わせたポリシーでは、GDPRが求める記載が足りないことが多くあります。第13条が求める主な項目は次のとおりです。
- 管理者（ホテル運営会社）の名称と連絡先、EU代理人を置いた場合はその連絡先
- 利用目的と処理の法的根拠（予約契約の履行、法令上の義務、同意、正当な利益など）
- 提供先・委託先の類型（予約エンジン、PMS、決済代行、メール配信、広告事業者など）
- EU域外への移転の有無と保護措置
- 保存期間、またはその決め方
- アクセス・訂正・消去・処理の制限・データポータビリティ・異議の権利、同意の撤回、監督機関への苦情申立ての権利
EU向けの言語でページを作っているなら、ポリシーもその言語か、少なくとも英語で用意するのが自然です。ほかのサイトのひな型を写すと、実際に入っているタグや委託先と食い違います。先に自社サイトのタグと委託先を棚卸しし、その結果から書く順番にします。
3. 予約エンジン・メール配信の委託先と契約を確認する
公式サイト経由の予約では、ホテルが管理者（コントローラー）、予約エンジンやCRM、メール配信の会社が処理者（プロセッサー）になるのが一般的です。GDPR第28条は、管理者と処理者の間で処理の内容や安全管理を定めた契約を求めています。主な委託先に、データ処理契約（DPA）、再委託先の一覧、データの保管場所、漏えい時の連絡体制を確認します。2026年10月にはメール配信サービスの不正アクセスも続きました（ブラストメール・Cuenote情報漏えい：ホテルの会員メールで今週やること）。委託先の事故はホテルの報告義務にも直結します。
4. EU代理人を置くかを判断する
第3条2項の対象になったEU域外の事業者は、原則としてEU域内に代理人を書面で指定する必要があります（第27条）。例外は、処理が「時々」で、特別な種類の個人データを大規模に扱わず、権利を害するおそれが低い場合です。EDPBの指針は、「時々」とは定期的でなく通常の事業の外で行われるものだとしています。EU向けの予約受付を常時行っているなら、例外には当たりにくいと考えられます。代理人は外部の専門サービスに委託するのが一般的で、費用がかかるため、販売の規模とあわせて判断します。
5. 漏えい時の72時間報告と権利請求の窓口
個人データの漏えいに気づいたら、原則として72時間以内に監督機関へ報告し（第33条）、本人への影響が大きい場合は本人にも知らせます（第34条）。日本の個人情報保護委員会への報告と並行して動けるよう、誰がEU側の報告を判断し、どの言語で本人に連絡するかを手順書に入れておきます。あわせて、EUのゲストからの開示・削除などの請求を受ける窓口（メールアドレスとフォーム）と、原則1か月以内に答える流れも決めておきます。
宿泊業で実際にあった制裁
GDPRの制裁金の上限は、違反の種類により2,000万ユーロまたは全世界の年間売上高の4%（いずれか高い方）です。宿泊・旅行の分野では、次の事例が知られています。
| 事例 | 内容 |
|---|---|
| マリオット・インターナショナル（英国ICO、2020年10月） | 買収したスターウッドの予約システムが2014年から不正アクセスを受け、2018年9月まで発見されなかった。宿泊客の記録約3億3,900万件が影響を受けたとされ、制裁金は1,840万ポンド |
| ブッキング・ドットコム（オランダ当局、2021年3月発表） | 従業員を装った第三者がアラブ首長国連邦のホテルの予約情報4,109人分を取得。72時間の期限から22日遅れて報告したことが違反とされ、制裁金は47万5,000ユーロ |
マリオットの事例は、買収した会社の予約システムの弱点が後から責任として表に出た点が、ホテルの運営会社にとって教訓になります。ブッキング・ドットコムの事例は、漏えいそのものより報告の遅れが制裁の理由になった点が重要です。なお、英国の利用者には英国版GDPR（UK GDPR）がかかり、EUとほぼ同じ考え方で別に対応が必要です。
日本の個人情報保護法との関係
GDPRの対応をしても、日本の個人情報保護法の義務はそのまま残ります。顔認証チェックインの周知（徹底解説 : 顔認証チェックインに周知義務：改正個人情報保護法とホテル実務）や、宿泊者名簿の保存期間（ホテルが持たなくていい個人情報）は日本法の論点です。日本でも2026年7月17日に改正個人情報保護法（令和8年法律第56号）が公布され、悪質な違反への課徴金の導入などが決まりました。施行は公布から2年以内です。
実務では、GDPRの水準でタグと委託先を整理しておくと、日本法のポリシー改定にも同じ棚卸しを使えます。旅マエのデータ活用（「旅マエデータ」活用と課題）やマーケティングオートメーション（徹底解説 : ホテルMA）を進める前に、同意の取り方を決めておくと後戻りが減ります。
デメリット・リスク
- アクセス解析の数字が減る：EUの閲覧者がCookieを拒否すると、GA4や広告の計測が欠ける。Googleの同意モードは欠けた部分を推計で補うが、実数ではない
- 費用がかかる：同意管理ツール（CMP）の利用料、EU代理人の委託料、ポリシーの翻訳と法律専門家の確認費用がかかる
- 全世界に同じバナーを出すと日本の利用者の体験が落ちる：地域ごとに表示を切り替える方法もあるが、判定の誤りや設定の複雑さが増す
- ひな型の流用は逆効果になりうる：実態と違うポリシーは、書いていないことをしている証拠にもなる
- ルール改正の途中である：デジタル・オムニバスでCookieの同意の仕組みが変わる可能性がある。ただし成立前なので、現行ルールでの対応を先送りする理由にはならない
まとめ
ホテルの公式サイトにGDPRがかかるかは、宿泊客の国籍ではなく、EUにいる人に向けて売っているか、EUにいる人を追跡しているかで決まります。EU加盟国の言語のページ、ユーロ表示、欧州向けの広告やリターゲティングがあれば、対象になる前提で準備するのが安全です。
最初の一歩は、公式サイトのタグ・予約エンジン・メール配信・広告の配信地域の棚卸しです。その結果をもとに、Cookieの事前同意、第13条に沿ったポリシー、委託先との契約、EU代理人、72時間報告の手順を順に整えます。十分性認定は免除の制度ではない点と、2026年11月時点でデジタル・オムニバスは未成立である点を押さえておきましょう。
よくある質問（FAQ）
Q1. 英語版のサイトしかなくてもGDPR対応は必要ですか？
英語版があってEUから閲覧できるだけでは、EU向けの販売とは判断されにくいとされています。ただし、ユーロ表示、EUの国を配信先にした広告、Cookieによるリターゲティングなどがあれば判断が変わります。販売と追跡の両面で確認してください。
Q2. OTA経由の予約にもGDPRは関係しますか？
OTAのサイトで集めた個人データは、まずOTA自身が管理者として扱います。EDPBの指針も、仲介者のサイトにアクセスできるだけでは十分でないとしています。ホテルが受け取った後の扱いは、OTAとの契約のデータ保護条項で義務を負うことが多いため、契約内容を確認してください。
Q3. Cookieの同意バナーは日本の利用者にも出すべきですか？
GDPR上はEUにいる利用者への対応で足ります。地域で切り替えるか、全利用者に出すかは、計測への影響と設定の手間で選びます。日本の個人情報保護法でも、Cookieなどの識別子を提供先で個人データとして使う場合は本人の同意の確認が必要になる場面があるため、日本向けの表示も合わせて検討してください。
Q4. Googleアナリティクスは使い続けられますか？
使えます。EUの閲覧者については、同意を得てから計測を始める設定と、同意モードの導入が前提になります。米国への移転については、2023年7月にEUが「EU-米国データプライバシー・フレームワーク」の十分性認定を採択し、Googleもこれに参加しています。
Q5. 対応はどこまで自社でできますか？
タグの棚卸し、CMPの設定、委託先への確認は自社のWeb担当者と制作会社で進められます。適用の判断、ポリシーの最終確認、EU代理人の要否は、EU法に詳しい弁護士の確認を受けるのが確実です。
コメント