徹底解説 : 顔認証チェックインに周知義務：改正個人情報保護法とホテル実務

結論

2026年7月17日、改正個人情報保護法が公布されました。ホテルのDX担当が最初に手を付けるべきは、顔認証チェックイン機と防犯カメラの掲示物です。改正法は顔特徴データを「特定生体個人情報」として切り出し、取り扱う旨・利用目的・利用停止請求の手続など6項目の周知を新たに義務化しました。国会の附帯決議は、その周知を機器の周辺への掲示で徹底するよう求めています。一方で、OTA※注1から自館への宿泊者氏名の受け渡しは「契約の履行に必要やむを得ない場合」として本人同意が不要になります。規制は顔と委託先に寄り、予約データの流通はむしろ緩む。これが今回の改正の全体像です。

はじめに：施行は2028年でも、いま動く理由

本改正は2026年7月10日に成立し、7月17日に公布されました。施行は原則として公布から2年を超えない範囲内で政令が定める日（遅くとも2028年7月）で、罰則の引き上げなど一部だけが公布から6か月後（2027年1月）に先行します。

「まだ2年ある」と読むのは危険です。政令・委員会規則・ガイドラインの中身はこれから決まります。個人情報保護委員会は2026年8月26日に「政令・規則等で定める事項の全体像について」を公表し、2026年9月以降にテーマごとの議論を始め、その後パブリックコメントへ進む工程を示しました。いまは、自館の運用が新しい規律のどこに引っかかるかを洗い出し、意見を出す余地が残っている時期です。

編集部員

個人情報保護法の改正と聞くと、うちのような中小のホテルには関係が薄い話に思えてしまいます。

編集長

今回はむしろ逆です。顔認証チェックイン、清掃の外部委託、OTA連携という、規模を問わず全施設が持っている仕組みが名指しで論点になっています。委員会の公式資料には想定事例としてホテル予約そのものが図示されているほどです。

ホテルに効く5つの改正

改正内容は4分類に整理されていますが、宿泊施設の実務に直接届くものを抜き出すと次の5点です。

1. 顔認証チェックインに「掲示」が要る

改正法は顔の骨格や目・鼻・口の位置と形状から抽出した特徴情報のうち本人を識別できるようにしたものを特定生体個人識別符号と定義し、それを含む個人情報を特定生体個人情報と呼びます。単なる顔写真ではなく、照合用に変換された特徴量が対象です。セルフチェックイン機の顔照合、パスポート写真との1対1照合、顔識別機能付きカメラによる要注意人物の検知は、いずれもここに入り得ます。

第21条の2は、これを取り扱う前に次の事項をあらかじめ本人へ通知するか、本人が容易に知り得る状態に置くことを義務付けました。事業者の名称・住所・代表者名、特定生体個人情報を取り扱うこと、その利用目的、元になった身体の特徴の内容（顔であればその旨）、開示等の請求に応じる手続（手数料を取るならその額）、その他委員会規則で定める事項の6項目です。

重要なのは周知の場所です。2026年5月21日の衆議院附帯決議は、取り扱っている旨と利用停止請求の手段を「監視カメラやセンサー等の機器の周辺に分かりやすく掲示する等の方法」で周知するよう徹底を求めています。プライバシーポリシーの改訂だけでは足りず、チェックイン機の脇とカメラの設置箇所に物理的な掲示を出す運用になると読むのが自然です。多言語対応が必要になる点も、宿泊施設に固有の負担でしょう。

あわせて、特定生体個人情報はオプトアウト制度※注2による第三者提供ができなくなり、利用停止等の請求も、違法な取扱いがなくても本人の請求だけで受けられる方向に緩和されます。「顔データの削除を求められたら誰がどう消すか」という手順を、機器ベンダーとの間で先に決めておく必要があります。カメラとプライバシーの整理は、館内撮影のガイドライン整備と同じ台帳で管理すると二度手間になりません。

2. OTAから自館への情報提供は同意不要へ

逆に緩む部分もあります。改正法は第18条第3項・第20条第2項・第27条第1項に、「本人との間の契約の履行のために必要やむを得ないことが明らかである場合」という例外を新設しました。委員会の概要資料は、この想定事例1としてホテル予約を図示しています。予約サイトAが予約者の氏名等をホテルBへ渡す行為は、予約サイトの利用契約に照らせば本人の意思に反しないため、本人同意なしに行えるという整理です。

実務上は、OTA経由の予約情報を自館PMS※注3へ取り込む際の同意根拠が明確になります。ただし対象範囲は委員会規則で定められる予定で、参議院の附帯決議も「必要最小限」に留めるよう求めています。予約の履行に必要な範囲を超える利用、たとえばOTA由来の顧客リストを自社のメール配信に流用する行為まで免責されるわけではありません。予約データがどの経路で何のために流れているかは、PMS連携の項目単位の棚卸しとセットで整理すると精度が上がります。

3. 委託先の規律が「契約の書きぶり」で決まる

清掃会社、コールセンター、PMSやチャネルマネージャーの提供事業者、ナイトフロントの業務委託。宿泊業はいずれも委託先を抱えます。改正法は委託先に対し、委託された業務の遂行に必要な範囲を超えて個人データを取り扱ってはならないという義務を明文で課しました。従来は委託元の監督義務（第25条）を通じた間接的な担保でしたが、今後は委託先自身が直接の名宛人になります。

同時に、委託先が自ら取扱いの方法を決めない類型については負担が軽くなります。委託契約で取扱いの方法の全部を合意し、かつ委託元が取扱状況を把握するために必要な措置（漏えいを知ったときの速やかな報告など）を合意した場合、その委託先には法第4章の各義務規定の適用が原則として免除されます。ただし範囲外利用の禁止と安全管理措置は免除されません。

裏を返せば、契約書に取扱方法を書き切れていない委託は、委託先にフル装備の義務が残るということです。清掃スタッフが客室の忘れ物から得た情報をどう扱うか、外部スタッフのアカウントをいつ失効させるかといった外部スタッフのアクセス管理の実態を、契約条文に落とす作業が発生します。

4. 漏えい対応と課徴金：線が引かれる場所

漏えい等が起きたときの負担は二方向に動きます。社内識別子のみの漏えいなど権利利益の保護に欠けるおそれが少ない場合は本人通知が代替措置で足りるようになり、本人1名の誤交付・誤送付は一定期間ごとにまとめて確報することが認められます。体制・手順について認定個人情報保護団体等の確認を受けることを前提に、一定範囲で速報が免除される仕組みも入ります。

一方で報告対象は広がります。違法な個人データの第三者提供が報告対象事態に追加されるためです。ホテルで頻度が高いのはメール誤送信と請求書の誤交付ですが、管理画面の乗っ取りのように第三者へデータが流出する事案はむしろ報告対象が拡大します。この種のインシデントの初動は、管理画面アカウントの棚卸しと同じ手順書に統合しておくのが実務的です。

今回の目玉である課徴金制度は、宿泊施設にとって次の4点が勘所です。

対象となるのは、違法行為や不当な差別的取扱いが想定される第三者への提供、偽りその他不正の手段による取得と利用、第27条第1項違反の第三者提供などに限定されています。課徴金は「事故」ではなく「意図的な流通」を狙った制度だと理解してよいでしょう。DX担当が押さえるべきは「相当の注意」と「自主報告50%減額」の2つです。前者は社内規程・委託先の選定基準・アクセス権限の設計といった平時の記録が残っているかで判断されます。どちらも法律論ではなく運用設計の話です。

あわせて見落としやすいのが16歳未満の扱いと連絡可能個人関連情報です。前者は同意取得や通知等について法定代理人を対象とすることが明文化され、家族客の宿泊者名簿やキッズクラブの入会申込は親権者基準で組み直す必要があります。後者は電話番号・住所・メールアドレス・Cookie IDなど特定の個人へ連絡できる記述を含む情報で、個人情報に当たらない場合でも不適正利用と不正取得が禁止されます。自館サイトの計測タグやリターゲティング広告で扱うIDの行き先を確認しておくべきです。

いま着手して手戻りしない作業：データフローを1枚にする

細目は未確定ですが、規則の中身が何であっても必要になる作業があります。個人データの流れを1枚の図に書き出すことです。周知義務・委託契約・漏えい報告のすべてがこの図を土台にします。次の順で埋めてください。

1. 取得点を並べる。フロントの記帳、自館サイトの予約フォーム、OTA経由の予約データ、電話・メールでの問い合わせ、防犯カメラ、顔認証チェックイン機、館内Wi-Fiの登録。取得している項目（氏名、住所、電話、メール、旅券番号、顔特徴量、決済情報）を各点に書きます。

2. 保管先へ線を引く。PMS、CRM、予約エンジン、カメラのレコーダー、顔認証機器の内部ストレージ、表計算ファイル、紙の宿泊者名簿。紙とローカルファイルを飛ばさないことが要点です。事故はたいていここで起きます。

3. 外部へ出る線を引く。清掃会社、コールセンター、決済代行、広告計測タグ、レビュー管理ツール、リネン業者。それぞれ委託か第三者提供かを区別して書きます。

4. 各線に3つの属性を書き込む。取得・提供の根拠（同意か、契約履行か、法令上の義務か）、保存期間、削除の手順と担当者。ここが空欄のまま残った線が、そのまま改正法対応のタスクリストになります。

この図ができていれば、規則が固まってから掲示物の文言や契約条文を直しても十分に間に合います。逆に図がないまま条文だけを追うと、自館のどこが該当するのか永遠に確定しません。

編集部員

施行が2028年なら、今やっても手戻りになりませんか。

編集長

手戻りしない作業だけ先に済ませるのが正解です。どの機器がどんな個人データをどこへ渡しているかの一覧は、規則の中身が何であっても必要になります。逆に掲示物の文言や契約条文の改訂は、規則案が出てからで間に合います。

デメリット・リスク

第一に、細目が未確定です。特定生体個人情報の具体的な範囲、周知の方法、契約履行例外の適用範囲、課徴金の算定方法は、いずれも今後の政令・委員会規則で定まります。2026年9月時点で決め打ちの投資判断をするのは早計です。

第二に、緩和の側だけを先取りする危険があります。OTA由来の情報提供が同意不要になるという見出しだけを受け取り、マーケティング利用まで広げれば、第27条第1項違反として課徴金の対象行為に触れ得ます。緩和は「予約の履行」という文脈に紐づいたものです。

第三に、掲示物の運用コストです。機器の周辺に多言語で掲示を出し、利用停止請求の窓口を用意し、請求があれば顔特徴データを削除する。この一連をフロントのSOPに組み込まなければ、周知は形骸化します。

まとめ

2026年7月17日公布の改正個人情報保護法は、宿泊施設に顔認証と委託先という2つの現実的な宿題を出しました。本体の施行は遅くとも2028年7月ですが、細目を決める議論は2026年9月から始まります。

いま着手すべきは3つです。顔特徴データを扱う機器の棚卸しと、それぞれの利用目的・保存期間・削除手順の書き出し。個人データを預けている委託先の一覧化と、契約書に取扱方法がどこまで書かれているかの確認。漏えい等を認知したときの報告経路の明文化。いずれも規則の内容に左右されない、自館の実態を把握する作業です。ここが埋まっていれば、規則が固まってから対応しても十分に間に合います。

よくある質問（FAQ）

Q1. パスポートの顔写真をスキャンして保存しているだけでも対象ですか。

画像そのものは従来どおりの個人情報です。特定生体個人情報は、本人識別を目的とした装置やソフトウェアで照合可能な特徴量に変換したものを想定しており、具体的な範囲は政令以下で定められる予定です。自動照合機能を持つ機器を使っている場合は対象になり得ると考えて棚卸ししておくのが安全です。

Q2. 課徴金は通常の情報漏えいでも科されますか。

対象行為は限定されています。違法行為が想定される第三者への提供、不正の手段による取得と利用、第27条第1項違反の第三者提供などで、かつ本人の数が1,000人を超え、対価として財産上の利益を得た場合が要件です。過失による漏えい事故は課徴金ではなく、報告義務と勧告・命令の枠組みで扱われます。

Q3. 罰則はいつから重くなりますか。

個人情報データベース等の不正提供等に関する罰則の引き上げと、詐欺行為や不正アクセスによる不正取得への罰則新設は、公布から6か月を経過した日、すなわち2027年1月から先行して施行されます。本体の施行より1年半ほど早い点に注意してください。

※注1：OTA（Online Travel Agent）— 楽天トラベルやBooking.comなど、インターネット上で宿泊予約を仲介する事業者。

※注2：オプトアウト制度 — 本人の求めに応じて提供を停止することなどを条件に、本人の同意なく個人データを第三者提供できる制度。あらかじめ個人情報保護委員会への届出が必要。

※注3：PMS（Property Management System）— 予約・客室・請求を一元管理する宿泊管理システム。