民泊の顧客管理｜宿泊者の個人情報を取得から消去まで扱う順序

民泊の顧客管理と聞いて、リピーターへの連絡や予約履歴の活用が思い浮かんだなら、手前に一段抜けています。宿泊者名簿を作った時点で、あなたは個人情報取扱事業者になっています。名簿も、予約のときに受け取った連絡先も、住宅宿泊事業法の書類であると同時に、個人情報保護法の個人データです。

規模による線引きはありません。個人情報保護委員会は、取り扱う件数が少ない事業者について「個人情報データベース等を事業の用に供している者であれば、当該個人情報データベース等を構成する個人情報によって識別される特定の個人の数の多寡にかかわらず、個人情報取扱事業者に該当します」としています。一室だけの運営でも外れません。

先に、この記事が扱わないことを書きます。集めた情報を集客にどう活かすかは扱いません。活かし方を考える前に預かったものの扱いが決まっていないと、工夫そのものが同意の範囲を超える場面があるからです。リピーターへの導線はリピーターを自社予約へ戻すにあります。

ここで並べるのは、宿泊者から受け取った情報を取得・保有・提供・請求対応・漏えい時・消去の六つの場面に分け、それぞれで何を根拠に何をするかです。名簿の記載項目と様式そのものは民泊の宿泊者名簿、予約システム側で確認する項目は民泊の予約システム比較にあります。

一件の記録に、二つの法律が重なっている

宿泊者名簿は住宅宿泊事業法の世界の書類です。住宅宿泊事業法施行規則の第七条は、記載事項を「宿泊者の氏名、住所、職業及び宿泊日のほか、宿泊者が日本国内に住所を有しない外国人であるときは、その国籍及び旅券番号」と定め、備付け場所を届出住宅または住宅宿泊事業者の営業所もしくは事務所とし、「その作成の日から三年間保存するものとする」としています。都道府県知事等から求めがあれば提出します。

この三年という期間が、顧客管理の輪郭を決めます。自分の判断で早く消すことができません。一方で、同じ記録は個人情報保護法の個人データでもあるため、利用目的を決めて公表し、守り、渡し方を区分し、本人の請求に応じ、必要がなくなったら消す、という別系統の義務が同時に走ります。

二つを混ぜると、判断が止まります。「名簿は三年保存だから、問い合わせフォームの履歴も三年残す」は、根拠のない延長です。逆に「本人が消してほしいと言ったから名簿から消した」は、施行規則の保存義務に反します。どちらの法律の話をしているかを、項目ごとに分けてください。

取得するとき、利用目的は先に出しておく

個人情報保護法第17条第1項は、利用目的を「できる限り具体的に特定しなければならない」としています。ガイドラインは、本人が「一般的かつ合理的に想定できる程度に具体的」であることを求めています。「サービスの向上のため」だけでは、この水準に届きません。

出し方は第21条です。ガイドラインは「個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない」としています。先に公表しておけば、取得のたびに通知する作業が消えます。自社予約サイトを持っているなら、そこへ置くのがいちばん手間が少ない形です。

書き分けるべき区分が二つあります。ひとつは法令で記載が決まっている名簿の項目、もうひとつは自分の都合で受け取っている項目です。

受け取る項目	根拠	利用目的の書き方
氏名、住所、職業、宿泊日	住宅宿泊事業法施行規則第七条	宿泊者名簿の作成と備付け、都道府県知事等への提出
国籍、旅券番号（国内に住所を有しない外国人）	同第七条	同上。旅券の写しの保存で記載を代替する場合も同じ
連絡先（電話番号、メールアドレス）	法令上の記載義務は確認できませんでした	予約の確認、入室案内、滞在中の連絡など、使う場面を挙げる
要望、やりとりの履歴	同上	滞在中の対応に使う範囲を挙げる
配信や案内への利用	同上	名簿のための取得とは別に目的として書く

下の三行を名簿の目的でまとめて済ませないでください。名簿のために受け取った情報を案内の配信に回すのは、特定した目的の外に出る動きです。使うなら、使う目的として先に書いておきます。本人確認の進め方そのものは民泊の本人確認で扱っています。

保有するとき、措置の中身は自分の規模とリスクで決める

安全管理措置は第23条の義務です。ガイドラインは「漏えい等を防止するため、必要かつ適切な措置を講じなければならない」とし、内容は事業の規模および性質、個人データの性質などに応じて決まるとしています。別添の「講ずべき安全管理措置の内容」が七つの区分に分かれています。

別添の区分	名称	民泊で見る場所（この記事による当てはめ）
10-1	基本方針の策定	公表する利用目的と問い合わせ窓口の置き場所
10-2	個人データの取扱いに係る規律の整備	名簿を誰が書き、どこに置き、いつ出すかの手順書
10-3	組織的安全管理措置	自分と委託先のどちらが名簿に触るかの線引き
10-4	人的安全管理措置	清掃や鍵対応に入る人への説明と取り決め
10-5	物理的安全管理措置	紙の名簿と旅券の写しの保管場所、持ち出しの扱い
10-6	技術的安全管理措置	電子名簿と予約システムの利用者と権限の分け方
10-7	外的環境の把握	名簿や予約データの保存先がどの国にあるか

右の列はこの記事が当てはめた例で、ガイドラインに例示されているものではありません。すべてを形にしなければ違法、という作りにもなっていません。個人情報保護委員会は、講じなければならない措置について「全ての個人情報取扱事業者において講じていただく必要がありますが、これを実践するための具体的な手法については、必ずしもガイドライン（通則編）で示す例示の内容の全てを講じなければならないわけではない」としています。

つまり区分は七つとも避けられず、中身の深さは自分のリスクで決まります。一室の自主管理と、委託先が複数入る複数物件では、10-3と10-4の重さが変わります。物件数で変わる論点は民泊の複数物件管理にあります。

渡すとき、相手の区分で同意の要否が変わる

民泊の運営では、情報が自分の手元だけで止まりません。清掃業者が入室予定を知り、住宅宿泊管理業者が名簿を書き、予約システムが連絡先を預かり、都道府県知事等が名簿の提出を求めます。同じ名簿を同じ形で渡しても、相手の区分が変わると同意の要否が変わります。

委託に伴う提供は、第三者提供に当たりません。ガイドラインは「利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合」は提供先が第三者に該当せず、あらかじめの同意が不要だとしています。根拠は第27条第5項第1号です。

その代わりに第25条が立ちます。委託先に対して「必要かつ適切な監督を行わなければならない」という義務で、ガイドラインは第23条に相当する安全管理措置を委託先に求めること、定期的な監査や再委託の管理が望ましいことを挙げています。

住宅宿泊管理業者へ委託している場合は、もうひとつ重なります。観光庁は、委託しても委託者である住宅宿泊事業者に課せられている責任があり「住宅宿泊管理業務における違反等があった場合には、委託者の責任となります」としています。さらに「複数の者に分割して委託することや、住宅宿泊管理業務の一部を住宅宿泊事業者が自ら行うことは認められません」とされています。

ここが顧客管理に効いてきます。名簿だけを自分で書き、残りを委託する、という切り分けができません。委託するなら名簿の記載も含めて渡すことになり、個人情報保護法の側では第25条の監督対象が増えます。委託の範囲と業者側の義務は民泊の運営代行にまとめています。

請求されたとき、応じる日数の定めは置かれていない

本人には請求の権利があります。宿泊者から「自分の情報を見せてほしい」「消してほしい」と言われる場面は、民泊でも起こります。条文は四つに分かれています。

本人からの請求	根拠条文	応答までの日数
保有個人データの利用目的の通知の求め	法第32条	日数の定めはありません
開示の請求	法第33条	日数の定めはありません。「遅滞なく」応じます
訂正、追加、削除の請求	法第34条	日数の定めはありません
利用停止、消去、第三者提供の停止の請求	法第35条	日数の定めはありません

日数の定めがないことを、遅くてよいと読まないでください。期限が置かれていないのは、「遅滞なく」という基準がそのまま効いているからです。行政機関に対する開示請求のような日数の枠組みは、個人情報取扱事業者には置かれていません。

手数料は第38条です。ガイドラインは、手数料を徴収する場合に実費を勘案して定めるとしています。取れない決まりではありませんが、請求を事実上あきらめさせる額は想定されていません。

請求が来てから困るのは、どこに何を置いたか自分でも分からない状態です。予約サイトのメッセージ、自社フォームの送信記録、紙の名簿、旅券の写し、鍵の受け渡しのやりとりが別々の場所にあると、開示の範囲を自分で確定できません。10-2の手順書を作るときに、置き場所の一覧を同じ紙に入れておくと、この場面で使えます。業務の整理そのものは民泊の業務効率化で扱っています。

漏れたとき、判定してから日数を数え始める

漏えい、滅失、毀損が起きたときは、まず報告の対象かどうかを判定します。該当すれば第26条第1項で個人情報保護委員会への報告、同条第2項で本人への通知が義務になります。対象となる事態は規則第7条の四つの号です。

第1号は「要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。）の漏えい、滅失若しくは毀損が発生し、又は発生したおそれがある事態」。第2号は「不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態」。第3号は「不正の目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為による個人データ」の漏えい等。第4号は「個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態」です。

四つとも「おそれがある事態」を含みます。漏れた証拠がそろうまで待つ、という進め方ができません。

期限は二段です。速報は規則第8条第1項で、報告対象事態を知った後「速やかに」報告します。ガイドラインは目安を「概ね3～5日以内」としています。確報は同条第2項で30日以内、規則第7条第3号の事態だけ60日以内です。日数は土日祝日を含めて算定し、末日が休庁日のときは翌日が期限になります。

本人への通知は規則第10条で、報告対象事態を知った後「当該事態の状況に応じて速やかに」行います。委員会への報告と本人への通知は別の義務です。報告したから通知が済むわけではありません。

四つの号に当たらない漏えい等についても、個人情報保護委員会は、事実関係および再発防止策等について委員会等に対し速やかに報告するよう努めることを示しています。対象外だから何もしない、ではありません。

民泊で現実に起こりやすいのは、大規模な流出より小さな取り違えです。紙の名簿を置き忘れる、旅券の写しを別の宿泊者に見せてしまう、案内のメールを宛先の設定を誤って一斉に送る。旅券番号のような項目が外へ出れば、第2号の判定に入る可能性があります。件数が少ないことは、報告対象から外れる理由になりません。

消すとき、三年の保存義務が先に立つ

第22条には消去の努力義務があります。ガイドラインは、利用する必要がなくなったときは当該個人データを遅滞なく消去するよう努めなければならないとし、法令で保存期間が定められている場合を除くとしています。

この但し書きが、民泊では毎回効いてきます。宿泊者名簿は施行規則第七条で作成の日から三年間保存するものとされているため、三年が過ぎるまでは消去の対象になりません。本人から消去の請求があっても同じです。

逆に、三年が過ぎた名簿と、保存義務のない記録が残り続ける状態も、第22条の趣旨から外れます。手元にあるものを分けて考えます。

手元にあるもの	保存の根拠	必要がなくなったときの扱い
宿泊者名簿（紙・電子）	施行規則第七条。作成の日から三年間	三年を過ぎたら消去の努力義務の対象になります
旅券の写し	観光庁は宿泊者名簿とともに保存するとしています	名簿と同じ区切りで扱えます
予約サイトのメッセージ履歴	法令上の保存義務は確認できませんでした	利用目的を達した時点で消去の努力義務の対象です
自社予約の連絡先・配信先	法令上の保存義務は確認できませんでした	配信を目的として同意を得ている範囲で保有します
本人確認の画像や録画	保存を義務づける記述は確認できませんでした	残すなら利用目的と保存期間を自分で決めます

「確認できませんでした」の行を、保存してよいという意味に読まないでください。保存義務がないということは、必要がなくなった時点で消すほうへ寄るということです。残すなら、残す理由を利用目的として書いておく必要があります。

電子で名簿を作っている場合は、施行規則の第七条第4項が「必要に応じ電子計算機その他の機器を用いて明確に紙面に表示されるときは、当該記録をもって法第八条第一項の規定による宿泊者名簿への記載に代えることができる」としています。紙に出せる状態であることが条件で、消去の運用もその単位で決めることになります。

令和八年の改正法は公布済みで、施行日は政令で定められる

いまの扱いは、これから変わります。個人情報保護委員会の報道発表によると、「個人情報の保護に関する法律等の一部を改正する法律」は令和８年４月７日に第221回国会（特別会）へ提出され、令和８年７月10日に可決・成立し、令和８年７月17日に公布されました。施行は、一部を除き公布の日から起算して２年以内で政令で定める日からとされています。

確認日の時点で、施行期日を定める政令を個人情報保護委員会のページから確認できませんでした。委員会は「円滑な施行に向け、引き続き、政令、規則、ガイドライン等の検討を行ってまいります」としています。

したがって、いま手順書を作るときは現行の条文で組みます。そのうえで、条文番号を書き写すのではなく出典のページを参照する形にしておくと、施行のときに差し替える箇所が分かります。改正の内容と整備の状況は、委員会の「令和８年 改正個人情報保護法について」に集約されています。

確認できなかったこと

出典が取れなかったものを書き残します。

民泊や宿泊業に特化した安全管理措置の例示は確認できませんでした。別添の七区分は業種を限定しない書き方で、宿泊施設向けの分野別ガイドラインは見つかりませんでした。上の表の右列は、この記事が区分を当てはめたものです。

宿泊業における漏えい等の報告件数や、民泊の届出住宅で起きた事案の統計も確認できませんでした。そのため「よくある漏えいの原因」を件数で示すことはしていません。

具体的な機器、サービス、保管方法の推奨も挙げていません。推奨を示した公的資料を確認できないためです。費用の相場や家具家電の一覧を載せないのと同じ理由です。

本人への通知が困難な場合の代替措置については、条文上の枠組みがあることまでは確認しましたが、認められる範囲を示す記述をこの確認で特定できなかったため、本文では扱っていません。

六つの場面で、自分の手順書を一枚にする

順序をもう一度並べます。取得のときに利用目的を特定して公表し、名簿の項目と自分の都合の項目を分けておく。保有のときは七区分を漏らさず、深さを自分の規模で決める。渡すときは相手が委託先かどうかを先に判定し、委託なら監督を残す。請求が来たら日数の定めがない「遅滞なく」で動く。漏れたら四つの号で判定し、知った日から速報と確報の日数を数える。三年を過ぎたものと保存義務のないものは、必要がなくなった時点で消す。

この六つは、どれも宿泊者が一人目に泊まる前に決めておけるものです。決まっていない状態で営業を始めると、請求や漏えいという起きてから動けない場面に、準備なしで入ります。住宅宿泊事業者として届出後に続く業務の全体像は住宅宿泊事業者とはにあります。

法令の解釈について判断に迷う場面では、所管の窓口に確認してください。個人情報保護法の解釈は個人情報保護委員会、住宅宿泊事業法の届出と名簿の運用は届出先の都道府県知事等の窓口が所管です。