徹底解説 : 顔認証チェックインに周知義務：改正個人情報保護法とホテル実務

結論

2026年7月17日、改正個人情報保護法が公布されました。ホテルのDX担当が最初に手を付けるべきは、顔認証チェックイン機と防犯カメラの掲示物です。改正法は顔特徴データを「特定生体個人情報」として切り出し、取り扱う旨・利用目的・利用停止請求の手続など6項目の周知を新たに義務化しました。国会の附帯決議は、その周知を機器の周辺への掲示で徹底するよう求めています。一方で、OTA※注1から自館への宿泊者氏名の受け渡しは「契約の履行に必要やむを得ない場合」として本人同意が不要になります。規制は顔と委託先に寄り、予約データの流通はむしろ緩む——これが今回の改正の全体像です。

はじめに

本改正は2026年7月10日に成立し、7月17日に公布されました。施行は原則として公布から2年を超えない範囲内で政令が定める日（遅くとも2028年7月）で、罰則の引き上げなど一部の規定だけが公布から6か月を経過した日（2027年1月）に先行して動きます。

「まだ2年ある」と読むのは危険です。政令・委員会規則・ガイドラインの中身はこれから決まります。個人情報保護委員会は2026年8月26日に「政令・規則等で定める事項の全体像について」を公表し、2026年9月以降にテーマごとの議論を始め、その後にパブリックコメントへ進む工程を示しました。つまり今は、自館の運用が新しい規律のどこに引っかかるかを洗い出し、意見を出す余地が残っている時期です。本記事は公布された法律本文と委員会の公表資料3点を直接読み込み、宿泊施設に効く論点だけを抜き出しています。

編集部員

個人情報保護法の改正と聞くと、うちのような中小のホテルには関係が薄い話に思えてしまいます。

編集長

今回はむしろ逆です。顔認証チェックイン、清掃の外部委託、OTA連携という、規模を問わず全施設が持っている仕組みが名指しで論点になっています。委員会の公式資料には想定事例としてホテル予約そのものが図示されているほどです。

ホテルに効く5つの改正と、効いてくる順番

改正内容は「適正なデータ利活用の推進」「リスクに適切に対応した規律」「不適正利用等防止」「規律遵守の実効性確保」の4分類に整理されています。宿泊施設の実務に直接届くものを抜き出すと次の5点です。

1. 顔認証チェックインに「掲示」が要る

改正法は顔の骨格や目・鼻・口の位置と形状から抽出した特徴情報のうち、本人を識別できるようにしたものを特定生体個人識別符号と定義し、それを含む個人情報を特定生体個人情報と呼びます。単なる顔写真ではなく、照合用に変換された特徴量が対象です。セルフチェックイン機の顔照合、パスポート写真との1対1照合、顔識別機能付きカメラによる要注意人物の検知は、いずれもここに入り得ます。

第21条の2は、これを取り扱う前に次の事項をあらかじめ本人へ通知するか、本人が容易に知り得る状態に置くことを義務付けました。

重要なのは周知の場所です。2026年5月21日の衆議院附帯決議は、取り扱っている旨と利用停止請求の手段を「監視カメラやセンサー等の機器の周辺に分かりやすく掲示する等の方法」で周知するよう徹底を求めています。プライバシーポリシーの改訂だけでは足りず、チェックイン機の脇とカメラの設置箇所に物理的な掲示を出す運用になると読むのが自然です。多言語対応が必要になる点も、宿泊施設に固有の負担でしょう。

あわせて、特定生体個人情報はオプトアウト制度※注2による第三者提供ができなくなり、利用停止等の請求も、違法な取扱いがなくても本人の請求だけで受けられる方向に緩和されます。「顔データの削除を求められたら誰がどう消すか」という手順を、機器ベンダーとの間で先に決めておく必要があります。カメラとプライバシーの整理は、館内撮影のガイドライン整備と同じ台帳で管理すると二度手間になりません。

2. OTAから自館への情報提供は同意不要へ

逆に緩む部分もあります。改正法は第18条第3項・第20条第2項・第27条第1項に、「本人との間の契約の履行のために必要やむを得ないことが明らかである場合」という例外を新設しました。委員会の概要資料は、この想定事例1としてホテル予約を図示しています。予約サイトAが予約者の氏名等をホテルBへ渡す行為は、予約サイトの利用契約に照らせば本人の意思に反しないため、本人同意なしに行えるという整理です。

実務上は、OTA経由の予約情報を自館PMS※注3へ取り込む際の同意根拠が明確になります。ただし対象範囲は委員会規則で定められる予定で、参議院の附帯決議も「必要最小限」に留めるよう求めています。予約の履行に必要な範囲を超える利用——たとえばOTA由来の顧客リストを自社のメール配信に流用する行為——まで免責されるわけではない点に注意が必要です。予約データがどの経路で何のために流れているかは、PMS連携の項目単位の棚卸しとセットで整理すると精度が上がります。

3. 委託先の規律が「契約の書きぶり」で決まる

清掃会社、コールセンター、PMSやチャネルマネージャーの提供事業者、ナイトフロントの業務委託——宿泊業はいずれも委託先を抱えます。改正法は委託先に対し、委託された業務の遂行に必要な範囲を超えて個人データを取り扱ってはならないという義務を明文で課しました。従来は委託元の監督義務（第25条）を通じた間接的な担保でしたが、今後は委託先自身が直接の名宛人になります。

同時に、委託先が自ら取扱いの方法を決めない類型については負担が軽くなります。委託契約で取扱いの方法の全部を合意し、かつ委託元が取扱状況を把握するために必要な措置（漏えいを知ったときの速やかな報告など）を合意した場合、その委託先には法第4章の各義務規定の適用が原則として免除されます。ただし範囲外利用の禁止と安全管理措置は免除されません。

裏を返せば、契約書に取扱方法を書き切れていない委託は、委託先にフル装備の義務が残るということです。清掃スタッフが客室の忘れ物から得た情報をどう扱うか、外部スタッフのアカウントをいつ失効させるか、といった外部スタッフのアクセス管理の実態を、契約条文に落とす作業が発生します。

4. 漏えい対応は「軽く」なり「広く」なる

漏えい等が起きたときの負担は、二方向に動きます。

ホテルで最も頻度が高い事故は、宿泊者へのメール誤送信と請求書の誤交付です。1名単位の誤交付を都度確報する運用は緩和される見込みですが、その恩恵を受けるには体制と手順の第三者確認が前提になります。逆に、OTA管理画面の乗っ取りのように第三者へデータが流出する事案は報告対象がむしろ広がります。この種のインシデントの初動は、管理画面アカウントの棚卸しと同じ手順書に統合しておくのが実務的です。

5. 課徴金は「1,000人」と「相当の注意」で線が引かれる

今回の目玉が課徴金制度です。条文を読むと、宿泊施設にとっての勘所は次の4点に絞られます。

対象となる行為は、違法行為や不当な差別的取扱いが想定される第三者への個人情報の提供、偽りその他不正の手段による取得と利用、第27条第1項に違反する第三者提供、統計作成等の特例に反する取扱いなどに限定されています。通常の運営で偶発的に起きる漏えいは対象ではありません。課徴金は「事故」ではなく「意図的な流通」を狙った制度だと理解してよいでしょう。

DX担当が押さえるべきは「相当の注意」と「自主報告50%減額」の2つです。前者は、社内規程・委託先の選定基準・アクセス権限の設計といった平時の記録が残っているかどうかで判断されます。後者は、事故を認知したときに隠さず報告する社内文化と手順があるかどうかの問題です。どちらも法律論ではなく、運用設計の話です。

6. 16歳未満と、Cookie・メールアドレス

見落としやすい2点にも触れておきます。ひとつは子どもの個人情報です。改正法は16歳未満の者が本人である場合、同意取得や通知等について法定代理人を対象とすることを明文化し、保有個人データの利用停止等請求の要件も緩和しました。家族客の宿泊者名簿、キッズクラブの入会申込、館内での子ども向けフォトサービスは、同意の取り方を親権者基準で組み直す必要があります。

もうひとつは連絡可能個人関連情報です。電話番号、住所、メールアドレス、Cookie IDなど特定の個人へ連絡できる記述を含む情報は、個人情報に当たらない場合でも不適正利用と不正取得が禁止されます。自館サイトの計測タグやリターゲティング広告で扱うIDの行き先を確認しておくべきです。

デメリット・リスク

第一に、細目が未確定です。特定生体個人情報の具体的な範囲、周知の方法、契約履行例外の適用範囲、課徴金の算定方法は、いずれも今後の政令・委員会規則で定まります。2026年9月時点で決め打ちの投資判断をするのは早計です。

第二に、緩和の側だけを先取りする危険があります。OTA由来の情報提供が同意不要になるという見出しだけを受け取り、マーケティング利用まで広げれば、第27条第1項違反として課徴金の対象行為に触れ得ます。緩和は「予約の履行」という文脈に紐づいたものです。

第三に、掲示物の運用コストです。機器の周辺に多言語で掲示を出し、利用停止請求の窓口を用意し、請求があれば顔特徴データを削除する。この一連をフロントのSOPに組み込まなければ、周知は形骸化します。

編集部員

施行が2028年なら、今やっても手戻りになりませんか。

編集長

手戻りしない作業だけ先に済ませるのが正解です。どの機器がどんな個人データをどこへ渡しているかの一覧は、規則の中身が何であっても必要になります。逆に掲示物の文言や契約条文の改訂は、規則案が出てからで間に合います。

まとめ

2026年7月17日公布の改正個人情報保護法は、宿泊施設に対して顔認証と委託先という2つの現実的な宿題を出しました。本体の施行は遅くとも2028年7月ですが、細目を決める議論は2026年9月から始まります。

いま着手すべきは3つです。第一に、顔特徴データを扱う機器の棚卸しと、それぞれの利用目的・保存期間・削除手順の書き出し。第二に、個人データを預けている委託先の一覧化と、契約書に取扱方法がどこまで書かれているかの確認。第三に、漏えい等を認知したときの報告経路の明文化です。いずれも規則の内容に左右されない、自館の実態を把握する作業です。ここが埋まっていれば、規則が固まってから対応しても十分に間に合います。

よくある質問（FAQ）

Q1. パスポートの顔写真をスキャンして保存しているだけでも対象ですか。

画像そのものは従来どおりの個人情報です。特定生体個人情報は、本人識別を目的とした装置やソフトウェアで照合可能な特徴量に変換したものを想定しており、具体的な範囲は政令以下で定められる予定です。自動照合機能を持つ機器を使っている場合は対象になり得ると考えて棚卸ししておくのが安全です。

Q2. 課徴金は通常の情報漏えいでも科されますか。

対象行為は限定されています。違法行為が想定される第三者への提供、不正の手段による取得と利用、第27条第1項違反の第三者提供などで、かつ本人の数が1,000人を超え、対価として財産上の利益を得た場合が要件です。過失による漏えい事故は課徴金ではなく、報告義務と勧告・命令の枠組みで扱われます。

Q3. 罰則はいつから重くなりますか。

個人情報データベース等の不正提供等に関する罰則の引き上げと、詐欺行為や不正アクセスによる不正取得への罰則新設は、公布から6か月を経過した日、すなわち2027年1月から先行して施行されます。本体の施行より1年半ほど早い点に注意してください。

Q4. 何から着手すべきですか。

個人データの流れを1枚に書き出す作業からです。取得点（フロント、自館サイト、OTA、電話）、保管先（PMS、CRM、カメラのレコーダー）、外部へ渡る先（清掃、コールセンター、決済、広告計測）を線でつなぎ、それぞれの根拠と保存期間を埋めます。この図が、周知義務・委託契約・漏えい報告のすべての土台になります。

※注1：OTA（Online Travel Agent）— 楽天トラベルやBooking.comなど、インターネット上で宿泊予約を仲介する事業者。

※注2：オプトアウト制度 — 本人の求めに応じて提供を停止することなどを条件に、本人の同意なく個人データを第三者提供できる制度。あらかじめ個人情報保護委員会への届出が必要。

※注3：PMS（Property Management System）— 予約・客室・請求を一元管理する宿泊管理システム。