個人情報保護法改正案は宿泊DXをどう変える？顔認証・AI活用・課徴金に備えるデータガバナンス実装ガイド

改正個人情報保護法は、データ利活用の要請と保護強化の両立のために整備されました。

個人情報保護委員会は、デジタル技術の進展でデータ利活用の需要が高まる一方、違法な取扱いによる権利利益侵害の懸念も強まっているとしています。身体の一部の特徴に係る情報について違法な取扱い等がなくとも本人による利用停止等の請求を可能とし、違法な取扱い等で財産上の利益を得た場合に課徴金納付を命ずる制度を設けました。統計等の作成を行う第三者に個人情報を提供する場合等について本人同意を不要とする措置を講じています（参照*1）。令和8年7月10日付けで改正法案が参議院本会議で可決され、令和8年改正個人情報保護法が成立し、原則として公布の日から2年を超えない範囲内で政令で定める日から施行される予定です（参照*2）。

ホテル・旅館事業者にとって、公布から施行までの猶予は準備期間であり、既存のPMS（顧客予約管理システム）やCRM、顔認証システムの運用実態を棚卸しする時間軸として位置づけられます。施行時期を見据えたロードマップづくりが、現場の混乱を避ける鍵となります。

改正の柱は、4本で整理されています。

個人情報保護委員会は、適正なデータ利活用の推進として、個人データ等の第三者提供および公開されている要配慮個人情報の取得について統計情報等の作成にのみ利用される場合は本人同意を不要としています。リスクに適切に対応した規律としては、顔特徴データ等について取扱いに関する一定事項の周知を義務化し、利用停止等請求の要件を緩和するとともにオプトアウト制度に基づく第三者提供を禁止しました。不適正利用等防止としては、特定の個人に対する働きかけが可能となる情報について、不適正利用および不正取得を禁止しています。さらに規律遵守の実効性確保として、経済的誘因のある大量の個人情報の取扱いによる悪質な違反行為を抑止するため、違反行為で得た財産的利益等に相当する額の課徴金の納付を命ずる仕組みを定めました（参照*3）。

これらの改正は、顔認証チェックイン、AIカメラ、CRM、CDP、MAといった宿泊DXの中核機能に横断的に及びます。個別ツールごとに担当部署が分散しがちな現場では、法改正の柱と自社機能の対応関係を一枚の図で整理することが、抜け漏れを防ぐ出発点となります。

各領域は、改正の柱ごとに影響の受け方が異なります。

観光庁は、観光DXについて、業務のデジタル化による効率化にとどまらず、収集データの分析・利活用によりビジネス戦略の再検討や新たなビジネスモデルの創出を行うものと位置づけています。旅行者の利便性向上や観光産業の生産性向上、観光地経営の高度化などの観点を踏まえ地域の実情に応じて推進することが重要です（参照*4）。

この視点に立てば、顔認証やAIカメラは生体情報規制、CRM・PMS・OTA連携は課徴金や委託先監督、MA・CDPはCookieやメールアドレスの取扱い、インバウンド向けデータ連携は越境移転規制と、それぞれ論点が結び付きます。宿泊DXの推進責任者は、システム機能一覧と規制論点の対応表を作成し、投資判断と法対応を同じ土俵で議論できる状態を整えることが求められます。

顔特徴データ等は、他の個人情報とは異なる強い性質を持つ情報として、規制の中心に位置づけられます。

個人情報保護委員会は、顔識別機能付きカメラシステム等のバイオメトリック技術の利用拡大により生体情報の利用が広がっている中、顔特徴データ等は本人が関知しないうちに容易に入手できます。そのため、他の生体情報に比べ本人のプライバシー等の重大な侵害に類型的につながりやすい特徴があります（参照*5）。

ホテル・旅館現場では、フロントの顔認証チェックイン端末、館内AIカメラ、宴会場やラウンジの入退室管理などが該当します。導入済みシステムがどの範囲の顔特徴データを扱っているのか、棚卸しすることが最初の一歩です。

特定生体個人情報の取扱いには、事前の周知、利用停止請求への対応、オプトアウト提供の禁止という三つの規律が重なります。

個人情報取扱事業者は、特定生体個人情報を取り扱うに当たり、原則として氏名または名称、住所、代表者氏名、特定生体個人情報を取り扱うこと、利用目的、身体の一部の特徴に係る情報の内容、開示等請求手続等を、あらかじめ本人に通知するか本人が容易に知り得る状態に置く必要があります。顔認証、防犯カメラ連携分析、来店者属性把握、出入管理、本人確認等の現場では「顔認証を使っています」と示すだけでなく、扱う情報の性質と利用目的が本人に分かる程度の周知が必要です。加えて、オプトアウト制度によって第三者提供できる個人データから、特定生体個人情報が明示的に除外されます（参照*6）。

ホテル・旅館では、館内サイネージや予約サイトの表示、チェックインカウンターの掲示物、Web事前チェックインの同意文言まで、接点ごとに周知内容を再設計する必要があります。既存の一括同意画面をそのまま流用する運用は、実質的な情報提供として不十分になり得ます。

生体認証の実装では、体験価値と情報の取扱いを両立させる設計思想が問われます。

国内のホテル・旅館における実証では、チェックイン時に新型コロナウイルスの陰性証明やワクチン接種証明、会員証、予約情報など複数の提示・確認プロセスを生体認証でまとめて行う効果検証が行われ、通常のチェックイン時間と比較して一人当たり40秒以上の短縮が確認され、書類やカード、スマートフォンを提示せずに手ぶらで各種証明書を提出できるユーザー体験（UX）向上と業務効率化を両立しました（参照*7）。

ホテル・旅館側の実装判断では、生体情報を生データで保持するのか、復元不能な形に変換するのかという設計が、周知義務や利用停止請求への対応コストに直結します。ベンダー選定の段階から情報の保持形態を確認する視点が欠かせません。

改正法案は、AIやデータ分析の実務に直結する統計作成等という枠組みを新設しています。

改正法案の解説では、2条13項において統計作成等を定義しています。この定義に基づけば、需要予測、傾向分析、異常検知モデル、分類モデル、AIモデルの学習等も内容によっては対象となりうるものです。ただし、成果物が個人に関する情報であってはならないという制約があります。このルールにより、個人の権利利益を害するおそれが少ない統計処理は、個人データ保護の厳格な規制を緩和されることになります（参照*8）。

ホテル・旅館業務に当てはめれば、稼働率予測、価格最適化、離反予兆分析、AIカメラを用いた混雑推計などが射程に入り得ます。ただし個々の顧客に紐づくレコメンドの結果そのものは成果物として個人に関する情報になるため、統計作成等として整理できる工程と、通常の個人データ処理として整理すべき工程を明確に切り分ける必要があります。

統計作成等の枠組みは、事業者間のデータ連携にも新しい選択肢を与えます。

個人情報保護委員会は、統計情報等の作成にのみ利用されることが担保されていること等を条件に、本人同意なき個人データ等の第三者提供および公開されている要配慮個人情報の取得を可能としました。行政機関等の取り扱う保有個人情報についても、利用目的以外の目的のための提供に係る統計の作成の例外規定の対象を統計情報等の作成に拡大するとし、統計作成等であると整理できるAI開発等を含んでいます（参照*3）。また観光庁は、宿泊事業者においてPMSと各種システムとのデータ連携における仕様が標準化されていないためシステム間の連携が進まず観光産業の生産性低下の一因となっている現状を踏まえ、PMS等のデータ連携仕様の標準化の推進に取り組み、令和7年度は国内外の規格等を踏まえた業界標準のデータセットに係る調査に取り組んでいます（参照*9）。

PMSとCDP、外部のAI基盤を結ぶ設計では、統計作成等に限定した契約条項と技術的分離の両立が論点となります。同意不要ルートを使う場合でも、成果物が個人情報に戻らないことを担保する運用ルールが欠かせません。

課徴金制度は、悪質な違反に対する経済的抑止として設計されています。

個人情報取扱事業者が違反行為をした場合において、当該違反行為または違反行為をやめることの対価として金銭等を得たときは、個人情報保護委員会は当該金銭等に相当する額として政令で定める方法により算定した額の課徴金を国庫に納付しなければなりません。相当の注意を怠っていないと認められる場合や、本人の数が1,000人を超えないときその他個人の権利利益を害する程度が大きくない場合として政令で定める場合は、課徴金納付命令の対象外となります（参照*2）。

ホテル・旅館グループやOTA、PMS・CRMベンダーは、顧客数の規模を踏まえれば1,000人基準に関わる立場にあります。委託先を含めた運用体制で違反行為の防止に相当の注意を尽くしていたと説明できるか否かが、実務上の分水嶺となります。

Cookieやメールアドレスは、連絡可能個人関連情報という新しい概念のもとで整理されます。

改正法案の解説では、連絡可能個人関連情報は、次の記述等が含まれる個人関連情報（他の情報と容易に照合でき、それにより次の記述等を特定できるものを含む）と定義されています（参照*10）。

ホテル・旅館のMAツールやCDP、リターゲティング広告基盤は、Cookie IDとメールアドレスを軸に連携している場合が多く、この新概念の射程を踏まえた再設計が必要になります。予約サイトのタグ管理と広告連携先の一覧を、担当部署をまたいで可視化する作業が起点となります。

オプトアウト提供の実務は、確認義務と記録義務によって一段厳格化されます。

個人情報取扱事業者がオプトアウトにより個人データを第三者に提供する場合、一定の例外を除き、個人情報保護委員会規則で定めるところによりあらかじめ提供先の名称等および利用目的を事前に確認する義務が課されています。提供先となろうとする第三者にはその確認に対する虚偽回答が禁止され、違反には過料が科されるとともに、確認事項および利用目的に関する記録の作成義務も生じます（参照*11）。

ホテル・旅館が名簿事業者や外部リストと連携している場合、提供先の実体確認と記録保存の運用が現場に降りてきます。営業部門とマーケティング部門で、どのデータをどの経路で流しているのかを整理し直す機会となります。

訪日客対応では、国内法だけでなく海外法域との整合が課題となります。

個人情報保護委員会は、個人情報取扱事業者が個人データを外国にある第三者に提供するに当たっては、法第28条第1項に従い、当該第三者が我が国と同等の水準にあると認められる個人情報保護制度を有している国として規則で定める国にある場合、または当該第三者が個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制として規則で定める基準に適合する体制を整備している場合を除き、あらかじめ外国にある第三者への個人データの提供を認める旨の本人の同意を得る必要があります（参照*12）。

ホテル・旅館はOTA、海外のCRMベンダー、翻訳・カスタマーサポート委託先、決済プロバイダーなどを介して国外事業者と日常的にデータを行き来させています。訪日客のデータを扱う経路ごとに、提供先の所在国と法的根拠を紐づける台帳整備が求められます。

越境移転や委託関係を含むデータの流れを制御するには、可視化の手法が有効です。

個人情報保護委員会は、データマッピングを、事業者が取り扱うデータを事業者全体で整理して取扱状況等を可視化する作業と定義しています。事業者全体でどのようなデータを取り扱っているかを把握することで個人情報保護法を含む適用法令の遵守状況の確認や、取扱状況等に起因するリスクに応じた必要な対応の実施を行うことができます。（参照*13）。

ホテル・旅館にとってのデータマッピングは、単なる台帳作成ではなく、越境移転の同意取得やベンダー契約の見直しにつながる継続的な運用基盤です。

データガバナンスは、経営レベルの視点で整理することで初めて機能します。

デジタル庁は、ステークホルダーとの相互信頼のもとでデータの相互運用性を確保しながら、データの共有・連携・利活用を通して企業価値を高めていくために、①自社の事業領域において法令やルールが変化し続ける国や地域との相互運用を可能とする越境データの現実に即した業務プロセス、②データのライフサイクルを踏まえ、自社が直接には管理できない共有・連携先に対するルール・技術・プロセスを組み合わせたデータセキュリティ、③持続的かつ柔軟で組織的にデータを最大限に利活用できる企業の総合的な能力であるデータマチュリティ、④現在も急速な進化を続けるAIなどの先端技術の利活用に関する行動指針、以上をデータガバナンスの4つの柱としました（参照*14）。

ホテル・旅館事業者は、この4つの柱を自社のPMS、CRM、顔認証、AIカメラ、MAといった具体的な機能に落とし込み、経営会議で継続的に点検する議題として扱うことが実装の起点となります。

現場の実装は、優先領域を絞り込むことで無理なく進められます。

事業者が優先的に確認すべき領域として、顔認証、映像分析、生体認証を扱うもの、オプトアウト提供、名簿流通、周辺データ流通、営業リスト利用、受託処理、クラウド、BPO、分析委託などが挙げられています（参照*6）。

ホテル・旅館の現場では、フロントや館内カメラの周知文、予約サイトの同意画面、外部委託先との契約文言、営業リストの取扱いなどが具体的な確認対象となります。優先領域ごとに担当を割り当て、四半期単位で見直す体制が現実的な進め方です。

法対応は、事業者単独ではなくベンダーやDXパートナーとの役割分担で進める必要があります。

データマッピングはデータマッピング表の作成自体が目的ではなく、作成したデータマッピング表をデータマッピングの目的に沿って確認し必要な対応を行う必要があります（参照*13）。

PMSベンダーやCRM、顔認証、MAの提供者と、どのデータをどの範囲で取り扱うかを台帳で共有し、周知文言や技術的措置の責任分界を契約と運用の両面で明文化することが、継続的なデータガバナンスの基盤となります。

個人情報保護法の改正は、宿泊DXにとって規制強化と利活用推進の両輪を突きつける転換点です。顔認証やAIカメラの周知義務、統計作成等特例によるAI活用、課徴金制度、連絡可能個人関連情報、越境移転規制のいずれも、PMSやCRM、CDP、MAといった中核システムに直接影響します。

重要なのは、一度限りの規程改訂ではなく、データマッピングを起点とした継続的なデータガバナンスを経営課題として運用し続けることです。ベンダーやDXパートナーと役割分担を明文化し、施行までの期間を準備期間として活かすことが、宿泊事業者と関連ベンダーに共通する備えとなります。

▼参照

(*1) 「個人情報の保護に関する法律等の一部を改正する法律案」の閣議決定について（令和８年４月７日） ｜個人情報保護委員会
(*2) BUSINESS LAWYERS – 令和8年改正個人情報保護法とは？ポイントを弁護士が解説
(*3) 個人情報保護法等の一部を改正する法律案について
(*4) 観光庁 – 観光DX（デジタルトランスフォーメーション）の推進
(*5) 規制の事前評価書
(*6) Miyake newsletter 個人情報保護法ニュースＮｏ.16 令和８年改正個人情報保護法案逐条解説 ― 2026 年 4 月 7 日閣議決定法案を踏まえた詳細解説 ―
(*7) デジタルアイデンティティと生体認証を活用し、ホテルや会員制施設の DX を推進
(*8) Business & Law（ビジネスアンドロー） – Business & Law（ビジネスアンドロー）は弁護士によるwebオンライン法律セミナーや企業法務で実務に活かせる情報を最新法改正、リーガルテックまで幅広く提供します。 – 「統計作成等」特例
(*9) 観光庁 – 観光DX推進に向けたデジタルツールのデータ連携における標準化に関する調査結果について
(*10) TMI総合法律事務所 – [連載] 令和8年改正個人情報保護法研究：《第1回》改正法案の概要と実務上の着眼点
(*11) 長島・大野・常松法律事務所 – 速報 令和8年個人情報保護法改正法案 第1回 総論（改正点の概要等）
(*12) 個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編） ｜個人情報保護委員会
(*13) データマッピング・ツールキット （個人情報保護法関係）
(*14) データガバナンス・ガイドライン