民泊ホストの個人情報保護法 完全対応ガイド 2026年版｜宿泊者データの取得・保管・漏えい報告義務・令和8年改正の影響まで

編集: 民泊学校 編集部　|　最終更新日: 2026-06-03

民泊を運営していると、ゲストの氏名・住所・パスポート番号・クレジットカード情報など、大量の個人データを日常的に取り扱うことになります。しかし、個人情報保護法（以下「法」）への対応を後回しにしているホストは少なくないのが実情です。「届出をして運営しているから大丈夫」という認識が一般的ですが、民泊法（住宅宿泊事業法）上の届出義務と個人情報保護法上の義務は、まったく別の話です。2024年施行の改正法でデータ漏えい等の報告義務が強化され、さらに2026年には個人情報保護委員会が新たな改正法案を公表しています。本記事では、民泊ホスト・管理業者が個人情報保護法上どのような義務を負うのかを、制度の構造から実務上の対応策まで順を追って整理します。

この記事でわかること

• 民泊ホストが「個人情報取扱事業者」に該当するかどうかの判断軸
• ゲスト情報の取得・保管・廃棄において法的に求められる対応
• 漏えい等報告・本人通知義務の4類型と実務フロー
• プライバシーポリシーを整備する際のチェックポイント
• 令和8年改正法案（2026年公表）が民泊運営に与える影響の見通し
• よくある失敗事例と改善のポイント
• 専門家（弁護士・個人情報保護士等）に相談すべき局面

民泊ホストは個人情報取扱事業者に該当するか

個人情報保護法は、「個人情報取扱事業者」に対して各種義務を課す仕組みになっています。ここでいう個人情報取扱事業者とは、「個人情報データベース等を事業の用に供している者」（法第16条第2項）であり、現行法ではかつて存在した「5,000件以下は適用除外」という規定は2017年改正で撤廃されています。すなわち、ゲスト1件のデータしか持っていなくても、システム化・データベース化した状態で事業に利用していれば、原則として個人情報取扱事業者に該当すると考えられます。

民泊ホストの場合、以下のような情報を取り扱うことが一般的です。

• 氏名・住所・メールアドレス・電話番号（OTA経由の予約情報）
• パスポート番号・国籍・生年月日（外国人宿泊者の法定確認）
• クレジットカード情報（OTAが保持するケースも多いが、ホスト自身が一時保存するケースも）
• チェックイン・チェックアウト日時・滞在日数
• 緊急連絡先・同伴者情報
• 防犯カメラ映像（設置している場合）

これらのデータを、Airbnbのメッセージ機能・OTA管理画面・スプレッドシート・宿泊者名簿アプリ等で管理している場合、それ自体が「個人情報データベース等」に当たり、個人情報取扱事業者として法の適用対象となる可能性が高いと考えられます。なお、宿泊者名簿の具体的な記載方法やパスポート確認の実務については、別記事「民泊宿泊者名簿の正しい書き方・保管方法【2026年版】」および「民泊宿泊者名簿 外国人確認の実務マニュアル」で詳しく解説しています。本記事では名簿記載の手順そのものには立ち入らず、個人情報保護法上の義務という法律軸に絞って整理します。

個人情報保護委員会「令和8年改正法案（プレスリリース）」
（2026-06-03取得）

2026年4月に公表された個人情報保護法改正法案のプレスリリース。課徴金制度の新設や不正競争防止法との整合等、民泊事業者にも影響しうる改正の概要が示されている。

ゲスト情報の取得・利用目的の通知・公表義務

個人情報取扱事業者に該当する場合、個人情報を取得する際には利用目的を明確にし、本人に通知するか、あらかじめ公表しておく義務があります（法第21条）。民泊運営における「利用目的」としては、例えば以下のような記載が考えられます。

• 宿泊サービスの提供および予約管理
• 住宅宿泊事業法・旅館業法に基づく宿泊者名簿の作成・保管
• 緊急時の連絡・安全管理
• 法令に基づく行政機関への提供（届出管理者への連絡を含む）
• 本人の同意を得た上での、今後のサービス改善に向けたアンケート等

OTA（Airbnb・Booking.com等）を通じた予約では、OTA側のプライバシーポリシーでゲストへの利用目的通知がなされているケースが多いですが、ホスト自身がOTAを通じずに直接メールで予約を受けたり、独自のチェックイン書類を作成したりする場合には、ホスト自身が利用目的を通知・公表する必要が生じます。実務上は、物件内の掲示・チェックイン時の書面・自社ウェブサイト上のプライバシーポリシーのいずれかで対応するのが現実的な方法の一つです。

また、個人情報を第三者に提供する場合（例：宿泊者名簿を住宅宿泊管理業者に共有する、清掃会社に鍵番号と入退室情報を渡す等）には、原則として本人の同意が必要となります（法第27条）。ただし、法令に基づく場合（行政機関からの照会に応じる等）は例外とされています。この例外規定の適用範囲については、個別の状況によって判断が変わるため、疑問が生じた場合は弁護士・個人情報保護士等の専門家への確認をおすすめします。

ゲスト情報の保管・廃棄における安全管理措置

個人情報保護法は、個人データの「安全管理措置」を義務付けています（法第23条）。民泊事業者の規模や体制に応じた合理的な措置が求められており、中小規模の個人ホストであっても最低限の対応が必要です。

保管における安全管理の主なポイント

• 紙の宿泊者名簿は施錠できる場所（キャビネット等）に保管し、閲覧を制限する
• デジタルデータは、パスワード設定・アクセス権限の限定・暗号化等で保護する
• OTA管理画面へのアクセスは、強固なパスワードと二段階認証で保護する
• クラウドサービス（Google Drive・Dropbox等）に個人データを保存する場合、共有範囲を最小限に設定する
• 委託先（清掃会社・管理業者等）への情報共有は、必要最小限のデータのみ・期間限定が望ましい

廃棄のタイミングと方法

個人情報は「利用する必要がなくなった場合」に速やかに廃棄するよう努める義務があります（法第22条）。民泊の場合、宿泊者名簿は住宅宿泊事業法・旅館業法に基づき3年間の保管義務がありますが、その期限を過ぎたデータを無期限に保持し続けることは、個人情報保護法の観点からは望ましくないとされています。

• 紙の名簿・書類は、保管期間経過後にシュレッダー等で復元不可能な状態にする
• デジタルデータは、完全削除・上書き削除等の方法を取る（ゴミ箱への移動では不十分）
• 廃棄日・廃棄方法を記録として残すことが、トラブル時の説明責任の観点から現実的

また、民泊物件の防犯カメラ映像についても、個人情報保護法上の「個人情報」に該当する場合があります（特定の個人を識別できる映像の場合）。録画データの保存期間・アクセス制限・廃棄方法を明確にしておくことが実務上のリスク管理につながります。防犯カメラの設置・運用に関する詳細は「民泊の防犯カメラ設置ガイド【2026年版】」も参照してください。

国土交通省「個人データの漏えい等に係る対応について（住宅宿泊管理業者向け）」
（2026-06-03取得）

住宅宿泊管理業者を対象に、個人データ漏えい等発生時の対応手順・報告義務・本人通知義務を整理したガイダンス。ホスト自身が管理業者を兼ねる場合や、管理業者に業務委託している場合の双方に参考になる。

漏えい等が発生した場合の報告フロー（4類型と義務）

2022年4月施行の改正個人情報保護法により、個人データの漏えい・滅失・毀損等が発生した場合の個人情報保護委員会への報告義務と本人への通知義務が法定化されました（法第26条）。すべての漏えい等が報告義務の対象になるわけではなく、以下の4類型に該当する場合に報告・通知が義務付けられています。

類型	該当する事例（民泊での例示）	報告・通知
①要配慮個人情報を含むもの	病歴・障害情報等が含まれる宿泊者情報の漏えい	報告・通知とも義務
②財産的被害が生じるおそれがあるもの	クレジットカード情報・銀行口座情報の漏えい	報告・通知とも義務
③不正目的によるものであることが疑われるもの	外部からの不正アクセスによるゲスト情報の窃取が疑われる場合	報告・通知とも義務
④1,000人超の個人データに係るもの	管理システムの障害により1,000件超の宿泊者情報が外部流出した場合	報告・通知とも義務

④の「1,000人超」は類型の一つに過ぎず、1,000件以下であれば①〜③に該当しない限り報告不要ということではありません。①〜③のいずれかに当てはまる場合は、件数にかかわらず報告・通知義務が発生する点に注意が必要です。

報告のタイミングと流れ

個人情報保護委員会への報告は、「速報」と「確報」の2段階で行います。速報は漏えい等の事態を知った時から「おおむね3〜5日以内」（委員会ガイドラインの目安）に、確報は「30日以内」（不正目的の場合は60日以内）に提出します。本人への通知は、原則として速やかに行うことが求められています。

1. 漏えい等の事態を認知する
2. 被害の拡大防止措置をとる（アクセス遮断・パスワード変更等）
3. 速報を個人情報保護委員会に提出（おおむね3〜5日以内が目安）
4. 被害を受けた可能性のある本人へ通知する
5. 原因の調査・再発防止策の検討
6. 確報を個人情報保護委員会に提出（原則30日以内）

民泊の運営規模が小さくても、ゲストのパスポート情報が入ったスマートフォンの紛失、OTAアカウントへの不正ログイン、クラウド共有の設定ミス等はどのホストにも起こりうるリスクです。「件数が少ないから」という理由で漏えい等の報告義務を免れることはできない場合があるため、事前の手順整備が現実的な対応策となります。

個人情報保護委員会「漏えい等報告・本人への通知の義務化」
（2026-06-03取得）

2022年改正法で義務化された漏えい等報告・本人通知の4類型・提出期限・手順・Q&A等を公式に整理したページ。民泊事業者が事前に手順を確認しておくべき一次情報。

民泊事業者がプライバシーポリシーを整備する際のポイント

プライバシーポリシー（個人情報保護方針）は、個人情報取扱事業者に該当する場合、自社ウェブサイトや掲示物等で利用目的を公表する手段として機能します。民泊の場合、Airbnb等のOTA経由の予約のみであれば「OTAのプライバシーポリシーで十分」と考えるホストもいますが、ホスト自身がゲストから直接問い合わせを受ける経路（自社サイト・SNS・チャットツール等）がある場合は、独自のプライバシーポリシーを整備することが望ましいと考えられます。

プライバシーポリシーに盛り込む主な項目

• 事業者の名称・連絡先（住所・メールアドレス等）
• 個人情報の利用目的（宿泊サービス提供・名簿作成・緊急連絡等）
• 第三者提供の有無・目的・提供先（管理業者・清掃会社等への委託を含む）
• 個人情報の安全管理措置の概要（適切な管理体制を取っている旨）
• 開示・訂正・利用停止等の請求に応じる手続きの概要
• お問い合わせ窓口・苦情受付の連絡先
• 策定・改定日

法律上「プライバシーポリシー」という名称は要求されていませんが、利用目的の公表義務（法第21条第1項）や開示等に応じる対応窓口の整備（法第32条）等を実現する手段として、多くの事業者がプライバシーポリシーを活用しています。プライバシーポリシーを整備しない状態で運営を続けることはリスクが残ります。

!注意：「プライバシーポリシーは不要」は誤りの可能性

「Airbnb経由でしか予約を受けていないから自分にプライバシーポリシーは関係ない」と判断するのは早計です。ホスト自身がゲストのデータをどのように取り扱い、管理業者・清掃会社・鍵会社等と共有しているかを整理し、利用目的の公表手段として何らかの形でポリシーを作成・掲示することが、現状の制度では望ましいと考えられます。最終的な判断は専門家にご確認ください。

令和8年改正法案（2026年4月公表）の影響と見通し

個人情報保護委員会は2026年4月に、個人情報保護法改正法案に関するプレスリリースを公表しました。改正法案は現時点（2026年6月）で国会審議中の段階であり、施行時期や最終的な内容は今後の審議次第となります。「施行済み」ではないため、現行の義務に加えて「改正法案の内容が今すぐ適用される」という解釈は正確ではありません。ただし、改正の方向性を事前に把握し、対応の準備を進めておくことは実務上の合理的な姿勢です。

民泊事業者に関わりうる改正の論点（法案段階）

• 課徴金制度の新設：法違反に対して経済的不利益（課徴金）を課す仕組みの導入が議論されています。現行法では行政処分（勧告・命令）がありますが、改正法案ではより実効性の高い制裁措置が検討されています。
• 個人情報の適正利用・不正競争との関係：不正競争防止法との整合を図る方向での議論があります。不正に取得したゲストデータの二次利用等が厳しく制限される可能性があります。
• データの越境移転規制：外国人ゲストの情報を海外のクラウドサービスで処理・保管する場合の規制強化が議論されています。OTA管理画面が海外サーバーにある場合等も、将来的な影響が想定されます。
• 本人関与の強化：利用停止・消去請求権の拡充等、ゲスト（本人）の権利が強化される方向での議論が進んでいます。

現時点で特に民泊事業者が意識すべき点は、改正法案が示す方向性として「法違反の経済的コストが上がる可能性がある」ということです。現行法への対応を後回しにしていると、改正後の課徴金対象となるリスクが高まる可能性があります。改正法の国会審議の動向は、個人情報保護委員会の公式ウェブサイトで随時確認することをおすすめします。

i補足：改正法の施行時期の確認方法

改正法は成立・公布後、政令で定める施行日が決まります。施行日が確定したら、個人情報保護委員会のウェブサイトや各業界団体の案内で速やかに確認し、必要な社内体制の見直しを進めることが現実的な対応です。

民泊ホストによくある個人情報管理の失敗事例

!失敗例1：Googleドライブの共有設定ミス

宿泊者名簿をGoogleスプレッドシートで管理していたところ、「リンクを知っている全員が閲覧可能」の設定になっていた。複数の清掃会社にリンクを送ったため、意図せずゲストの個人情報が不特定多数からアクセスできる状態になっていたケース。共有範囲は「特定のユーザーのみ」に限定することが基本です。

!失敗例2：OTAアカウントの共用・パスワード使い回し

複数の物件を管理するため、スタッフ全員で同一のOTAアカウントを共有していた。退職したスタッフが引き続きゲスト情報を閲覧できる状態が続いていたケース。役割に応じたアクセス制限と、担当者変更時のパスワード変更が安全管理措置の基本となります。

!失敗例3：廃棄期限を過ぎた宿泊者名簿の長期保管

「何かのときに必要かもしれない」と思い、宿泊者名簿を何年分も自宅で保管し続けていたケース。3年の保管義務期間が過ぎたデータは、個人情報保護法上「必要がなくなったデータ」として速やかな廃棄が望ましいとされています。

!失敗例4：ゲストへのメール一斉送信でのCC利用

過去のゲスト全員に新物件の案内メールを送る際、TO（またはCC）に全員のメールアドレスを記載してしまい、宿泊者同士のメールアドレスが見えてしまったケース。一斉送信はBCC使用またはメール配信ツールの利用が基本です。

!失敗例5：紙の名簿をゴミとして普通廃棄

使用済みの宿泊者名簿をそのまま可燃ゴミに出してしまったケース。氏名・住所・パスポート番号等が記載された書類は、シュレッダー処理または機密書類廃棄サービスの利用が望ましい対応です。

あなたの物件の届出区分・運営形態を確認しておこう

個人情報保護法への対応は、住宅宿泊事業・旅館業・特区民泊など届出区分によって関連する義務の範囲が変わる場合があります。まず自分の物件がどの区分に当てはまるかを把握することが現実的な第一歩です。

無料で届出区分を診断する

専門家に相談すべき局面と確認ポイント

個人情報保護法は法律の専門性が高く、民泊事業者が自己判断で対応することが難しい局面があります。以下のような場面では、弁護士や個人情報保護士・プライバシーマーク審査員等の専門家への相談が現実的な選択肢となります。

• 漏えい等が発生したとき：報告義務の有無・速報提出の要否・本人通知の範囲・文面の作成等。対応の遅れはリスクを高める可能性があるため、認知した段階で早めに相談することが望ましいです。
• 管理業者や清掃会社との契約を見直すとき：委託先への個人データ提供に関する契約書（秘密保持契約・個人情報の取扱いに関する覚書等）の内容確認。
• プライバシーポリシーを新規に作成・大幅改定するとき：記載内容の法的妥当性の確認。
• 外国人ゲストの情報を海外のクラウドサービスで管理しているとき：越境移転規制への対応要否の確認（特に令和8年改正後は重要性が増す可能性があります）。
• 民泊事業を法人化・拡大するとき：個人情報管理体制の見直しと社内規程の整備。

なお、弁護士以外にも「個人情報保護士」（日本情報処理開発協会認定）や、プライバシーマーク制度の相談窓口を活用する方法もあります。弁護士への相談費用が気になる場合は、地元の弁護士会が提供する有料相談（初回30分5,000円程度が多い）や、日本商工会議所のよろず支援拠点も選択肢の一つです。最終的な判断は、事業の規模・運営形態・対応が必要な事案の内容に応じて、必ず専門家にご確認ください。

よくある質問（FAQ）

Q1. 民泊を副業で1部屋だけ運営しています。個人情報保護法の適用対象ですか？

現行の個人情報保護法には件数による適用除外規定はなく、1部屋のみの運営でも、ゲストの氏名・連絡先等をデータベース化（スプレッドシートや管理アプリで整理・蓄積）して事業に利用していれば、個人情報取扱事業者に該当する可能性があります。「副業だから」「1件しかないから」という理由では適用外とは言い切れないため、最低限の安全管理措置（パスワード管理・廃棄手順の確立等）を整えることが現実的な対応です。

Q2. 外国人ゲストの国籍・パスポート番号は「要配慮個人情報」ですか？

国籍・パスポート番号は、現行の個人情報保護法が定義する「要配慮個人情報」（人種・信条・病歴等）とは異なる扱いとなる場合が一般的です。ただし、パスポート情報は氏名・生年月日等と組み合わさると非常に高度な識別情報であり、漏えいした場合の被害は大きいため、通常の個人データ以上に厳格な管理が望ましいと考えられます。また、国籍情報が宗教・民族性等の推測につながるケースでは「要配慮個人情報」に準じた取扱いが適切と判断される可能性もあります。個別の判断は専門家への確認をおすすめします。

Q3. Airbnb経由の予約しか受けていない場合、プライバシーポリシーは不要ですか？

OTA経由の予約ではOTA側のプライバシーポリシーで一定の対応がなされますが、ホスト自身がゲストとメッセージ・メール・SNS等でやり取りし、情報を保管・活用している部分については、ホスト自身の利用目的の公表義務が生じる可能性があります。特に自社サイトやSNSで予約や問い合わせを受ける経路がある場合は、独自のプライバシーポリシーを整備することが望ましいと考えられます。

Q4. 個人情報保護委員会への漏えい等報告はどこから行いますか？

個人情報保護委員会のウェブサイト（ppc.go.jp）に設けられた報告フォームからオンラインで提出することができます。速報・確報の様式や記載要領も同サイトで公開されています。どの類型に該当するか・速報か確報かの判断に迷う場合は、提出前に個人情報保護委員会の相談窓口や弁護士に確認することをおすすめします。

Q5. 管理業者に運営を委託している場合、個人情報保護の責任は管理業者にありますか？

管理業者への委託は「第三者提供の例外（委託）」として扱われますが、委託元（ホスト）には委託先（管理業者）への「必要かつ適切な監督」義務が課されています（法第25条）。管理業者が個人データを不適切に扱った場合でも、委託元の責任が問われる可能性があります。委託契約に個人情報の取扱いに関する条項を盛り込み、定期的に管理状況を確認することが実務上の対応として現実的です。

Q6. 防犯カメラの映像は個人情報保護法の対象になりますか？

顔や体型等によって特定の個人を識別できる映像は、個人情報に該当する場合があります。防犯カメラの録画データは、利用目的（防犯・安全確保）を物件内への掲示等で明示し、保存期間を設定した上で期間経過後に消去する管理体制を整えることが望ましいとされています。防犯カメラの設置・運用に関する詳細は「民泊の防犯カメラ設置ガイド【2026年版】」も参照してください。

Q7. 令和8年改正法はいつ施行されますか？

2026年6月時点では、令和8年改正法案は国会審議中の段階です。法案の内容・施行時期・施行規則の詳細は、成立後に個人情報保護委員会の公式サイトで告知されます。現行法への対応を着実に進めながら、委員会サイトや業界団体の情報を定期的に確認することが、現実的な準備の進め方です。

まとめ

民泊ホストは、ゲストの氏名・パスポート番号・クレジットカード情報等を日常的に取り扱う個人情報取扱事業者に該当する可能性が高く、個人情報保護法の各種義務が適用されます。主なポイントを整理すると、まず利用目的の通知・公表を行い、次に安全管理措置として保管・廃棄の手順を整備し、万一漏えい等が発生した場合は4類型に該当するかどうかを確認して個人情報保護委員会への速報提出と本人通知に対応することが求められます。

令和8年改正法案では課徴金制度の新設等が議論されており、現行法への対応を後回しにすることの経済的リスクは今後高まる可能性があります。ただし、改正法案は2026年6月時点で国会審議中であり、施行時期・最終的な内容については今後の動向を引き続き確認してください。

対応の難しさや法的判断に迷う局面では、弁護士・個人情報保護士等の専門家に相談することをおすすめします。宿泊者名簿の記載方法・外国人確認の実務については「民泊宿泊者名簿の正しい書き方」および「外国人確認の実務マニュアル」も合わせてご参照ください。

---