旅行・ホテル業界の案件で気をつけたい規制とセキュリティのルール｜旅行業法・宿泊者名簿・個人情報

旅行・ホテルの案件で押さえたいルールは、旅行業法が求める取引条件の説明と書面、旅館業法の宿泊者名簿、個人情報保護法、そしてカード情報の管理の4つです。どれも直接の宛先は旅行会社やホテルなどの事業者ですが、予約サイトやPMSの要件として、またデータを扱う現場の決まりとして、案件の中に表れます。

フリーランスが現場で求められるのは、条文の解釈ではなく、要件の背景を理解して仕組みに正しく落とすことと、宿泊者や旅行者の情報を決められた範囲で扱うことです。この記事では、2026年10月時点で各機関の公式ページとe-Gov法令検索から確かめた内容を整理します。個別の解釈が必要な場面では、発注側の担当部門や弁護士などの専門家に確かめてください。

旅行業法：取引条件の説明と書面が予約の画面に表れる

旅行業法は、旅行業と旅行業者代理業を営む者に観光庁長官の登録を求めています（第3条）。旅行会社やOTAの予約サイトの案件では、次の規定が要件の背景になります（2026年10月時点のe-Gov法令検索による）。

予約サイトで、申込みの前に取消しの条件や代金を表示し、予約の後に確認のメールや画面で内容を示すのは、こうした規定を踏まえた業務の流れを画面に置き換えたものです。電子的な方法で提供する場合の細かい方法は省令で定められているため、仕様を決めるときは発注側の法務やコンプライアンスの担当に確かめてください。

観光庁は「オンライン旅行取引の表示等に関するガイドライン」を作り、旅行予約サイトのページで案内しています。同じページでは、サイトによって旅行業の登録の有無や契約の形が違い、店頭と違って料金や取消料を口頭で説明しないため、トラブルにつながることがあると旅行者に注意を呼びかけています。予約サイトの表示に関わる案件では、このガイドラインが要件の参考になります。

旅館業法：宿泊者名簿はチェックインの要件になる

ホテル・旅館の案件で、法令の要件として最もよく出てくるのが宿泊者名簿です。旅館業法と旅館業法施行規則の定めは次のとおりです（2026年10月時点のe-Gov法令検索による）。

厚生労働省の「令和5年旅館業法の改正について」のページは、2023年12月13日施行の改正で、名簿の記載事項に「連絡先」が加わり、「職業」が削除されたと説明しています。古い仕様のまま「職業」の項目が残っている仕組みもあり得るため、改修の案件では現行の法令と照らし合わせることが大切です。

厚生労働省の「旅館業法の概要」のページは、名簿を電磁的記録で保存できることにも触れています。また、日本国内に住所のない外国人の宿泊者については、旅券の呈示と写しを求める案内を外国語でも掲載しています。セルフチェックインやタブレットでの記入、旅券の読み取りといった仕組みの案件では、こうした取扱いを要件に落とすことになります。

同じ改正では、宿泊を拒むことができる場合の見直しも行われ、厚生労働省は、当分の間、宿泊を拒んだ場合はその理由などを記録することとされたと説明しています。PMSにこうした記録の機能を求められることもあります。

民泊については、観光庁の民泊制度ポータルサイトが、住宅宿泊事業者にも宿泊者名簿の作成・備付けが求められると説明しています。民泊の運営を支える仕組みの案件でも、名簿は要件になります。

個人情報保護法：宿泊者と旅行者の情報は個人データ

予約や名簿、会員の情報は、個人情報保護法の個人データにあたるのが一般的です。事業者には、次のような義務がかかります（2026年10月時点のe-Gov法令検索による）。

• 安全管理措置（第23条）：個人データの漏えい、滅失、毀損の防止など、安全管理のために必要かつ適切な措置を講じる
• 委託先の監督（第25条）：個人データの取扱いを委託するときは、委託先に必要かつ適切な監督を行う
• 漏えい等の報告（第26条）：個人の権利利益を害するおそれが大きい事態が生じたときは、個人情報保護委員会に報告し、本人に通知する。委託を受けた者が委託元に通知した場合は、委託を受けた者の報告は不要になる
• 外国にある第三者への提供（第28条）：一定の場合を除き、外国にある第三者に個人データを提供するときは、あらかじめ本人の同意を得る

個人情報保護委員会の「漏えい等の対応とお役立ち資料」のページは、報告の対象となる事態として、要配慮個人情報が含まれる場合、クレジットカード番号など財産的な被害が生じるおそれがある場合、不正の目的によるおそれがある場合、1,000人を超える場合などを挙げています。発覚後の報告の目安として、速報は3〜5日、確報は30日以内（不正の目的によるものは60日以内）としています。

海外のOTAや予約の仕組みとの連携、海外のクラウドの利用など、国境をまたいでデータが動く場面は旅行業界では珍しくありません。どの規定がかかるかは、提供か委託か、相手がどの国のどんな体制の事業者かで変わります。個人情報保護委員会は「外国にある第三者への提供編」のガイドラインを掲載しているので、設計に関わる場合は発注側と確かめてください。

フリーランスにとって大切なのは、自分が事業者から見て委託先（またはその先の再委託先）として監督される立場だと理解することです。個人情報を扱う業務の契約で確かめることは個人情報を扱う業務の契約の記事、フリーランス自身が事業者として守ることは個人情報保護法の記事で扱っています。

カード情報：予約と決済がつながる部分は扱いを分ける

予約サイトやPMSは、事前の決済や保証のためにクレジットカードと接点を持つことがあります。割賦販売法第35条の16は、カードの加盟店を含むクレジットカード番号等取扱業者に、経済産業省令で定める基準に従って、カード番号等の漏えいの防止など適切な管理のために必要な措置を講じることを求めています（2026年10月時点のe-Gov法令検索による）。

旅行・ホテルの案件で気をつけたいのは、カード番号を予約のデータや名簿、メモの欄、ログに紛れ込ませないことです。予約の取込みやデータ移行で、決済の情報がどこを通るかを確かめ、扱いが決まっていない場所にカードの情報が残らないようにします。カード決済の仕組みと規制の中身は、クレジットカード・決済業界の規制の記事で扱っています。

現場で気をつけたい5つの行動

規制の中身を踏まえて、旅行・ホテルの案件でフリーランスが気をつけたい行動をまとめます。具体的な決まりは参画先の規程が優先します。

1. 本番のデータを許可なく使わない：テストや調査には、許可された加工済みのデータを使う
2. 情報を持ち出さない：予約や名簿のデータ、画面の写しを、許可された場所と端末の外に出さない
3. 法令の要件は根拠を確かめる：名簿の項目や書面の表示などは、現行の法令と発注側の判断を確かめてから仕様にする
4. カードの情報の通り道を確かめる：決済の情報が予約のデータやログに残らないかを確かめる
5. 異常はすぐに報告する：誤送信、データの不整合、不審なアクセスに気づいたら、決められた経路ですぐに伝える

貸与された端末の使い方は貸与PCの記事、万一情報を漏えいしてしまったときの対応は漏えい時の対応の記事で整理しています。

よくある質問

フリーランスも旅行業の登録や旅館業の許可が関係しますか？

登録や許可は、旅行業や旅館業を営む事業者に求められるもので、システムの開発や運用を請け負うフリーランスが一般に取得するものではありません。ただ、仕組みはこれらの法令に沿った業務を支えるため、要件の背景として理解しておく必要があります。自分の業務がどの法令にかかわるか迷う場合は、発注側や専門家に確かめてください。

宿泊者名簿を電子化する案件では、何を確かめればよいですか？

この記事で挙げた法令の記載事項、正確な記載を確保する措置、3年間の保存、備付けの場所を前提に、施設のある都道府県が追加の記載事項を定めていないかを確かめます。外国人の宿泊者の旅券の扱いも論点になります。最終的な判断は、営業者である発注側と所管の保健所などの窓口に確かめてもらうのが現実的な進め方です。

規制の解釈に迷ったときはどうすればよいですか？

自分で結論を出さず、発注側の担当者や法務・コンプライアンスの部門に確かめてください。フリーランスとしての契約上の責任に関わる場合は、弁護士などの専門家に相談することをおすすめします。業界の規制を業務知識として身につける考え方は旅行・ホテルの業務知識の記事で扱っています。