ホテルの個人データ保護：リゾートとチェーンが見直すべきこと

第1部：法的枠組みと、チェーンやリゾートが免除の対象になりにくい理由

• 個人データ保護法（第91/2025/QH15号）——2025年6月26日可決、2026年1月1日施行。
• 政令356/2025/ND-CP（2025年12月31日付）——詳細規定。同日施行で政令13/2023/ND-CPに代わります。政令13/2023に基づき適法に取得した同意は引き続き有効です。
• 政令330/2026/ND-CP（2026年8月19日付）——行政処罰について定め、2026年8月19日施行。

チェーンには免除が当てはまりにくい

• 免除されるのは小規模事業者のみ：データ処理影響評価書類とデータ保護担当者の指定について、個人事業世帯と零細企業は免除、小企業とスタートアップは5年間の選択制です。中堅・大企業にはこの選択肢がありません。
• 累計10万人という基準：顧客履歴全体で数えます。この基準以上になると、小企業も免除を失います。
• 機微データ——ホテルでいえば身分証の画像、カード情報、取引履歴、健康状態、生体データ、位置情報サービスによる位置（政令356/2025）：これを直接処理する事業者も免除を失います。

罰則：適用範囲を正しく読む

組織に対して、法律は通常の違反で最高30億ドンと定めています。前年売上高の最大5%という上限は国外へのデータ移転に関する違反にのみ適用されます。政令330/2026（組織向けの金額。個人・個人事業世帯はその半額）では、適切な保護措置を講じずデータの漏えい・消失を招いた場合に2,000万〜3,000万ドン、違反の報告が72時間を超えて遅れた場合に4,000万〜6,000万ドンの罰金が科され、公表や公開謝罪が併せて命じられることもあります——法人顧客を抱えるブランドにとっては、罰金よりこちらの方が重くのしかかることが多いでしょう。

第2部：部門と施設をまたぐ顧客データの流れを描き直す

データマップがなければ、権限設定も影響評価書類もインシデント手順も、すべて推測の上に成り立つことになります。ポートフォリオ内で顧客データが通る6つの地点は次のとおりです。

• 予約：オンライン販売チャネル、旅行会社、団体名簿からのデータ——多くはメールや表計算ファイル経由。
• フロント：宿泊届のための身分証情報、電話番号、特記事項。
• レストラン、トリートメントエリア、娯楽サービス：客室付けの伝票、予約、ときに顧客が伝えた健康に関するメモ。
• 客室清掃、警備、駐車場：顧客名と結び付いた部屋番号、車両ナンバー。
• 経理・決済：カード情報、振込取引、法人向け請求書。
• チェーン本部：統合顧客プロフィール、顧客対応、オーナー向けレポート。

各地点について4つの問いに答えます：どんなデータか（基本か機微か）、何のためか・根拠は何か、どこにあるか、誰が見てどれだけ保管するか。団体名簿の表計算ファイル、一時的に撮った身分証の写真、委託先に送った出力ファイルといった「周縁のデータ」から先に片付けるべきです。これらはあらゆる権限とログの外側にあるからです。

第3部：施設別・役割別の権限と、痕跡を残すこと

権限によるアクセス制限の要件（政令356/2025）と、適切な管理的・技術的措置の要件（法律91/2025）は、複数施設のポートフォリオでは次の3原則になります。

• 施設別：スタッフは原則として自施設の顧客のみを閲覧できます。施設を横断する閲覧権限は、本当に必要なチェーン本部の役割にだけ意図をもって付与します。
• 役割別：レストランは伝票を付けるために顧客の部屋番号を知る必要がありますが、身分証番号は不要です。客室清掃は客室の状態が必要で、電話番号は不要です。
• 痕跡：重要な操作や連絡先情報の照会はログに残すべきです——スタッフを疑うためではなく、記憶ではなく事実で答えられるようにするためです。

第4部：影響評価書類、責任者、データを受け取る委託先

• データ処理影響評価書類：処理開始日から60日以内に公安省の個人データ保護専門機関へ提出し、6か月ごと、または施設の開業、システムや委託先の追加といった変更があった時点で更新します。第2部のマップが主な材料です。既存施設への適用時期については法務部門に確認してください。
• 責任者：部署や担当者を指定するか、データ保護サービスを委託します——チェーンなら本部に一つの窓口、各施設に一人の連絡担当者を置きます。
• ホテルに代わってデータを処理する委託先——運営会社、経理の外部委託先、ソフトウェアベンダー——は契約または合意がある場合にのみデータを受け取れ、違反を発見したときは速やかにホテルへ通知しなければなりません。販売チャネルや旅行会社とは、どちらがどの部分に責任を負うかを書面で取り決めておくべきです。
• ベトナム国外のシステムや委託先：ベトナム国内で収集したデータを国外に置かれたプラットフォームで処理することも越境データ移転にあたり、60日以内にデータ移転影響評価書類を作成する必要があります。政令356/2025は、契約締結やホテル関連手続き、決済、査証申請、その他一部のケースのために国外へデータを提供する場合、この書類を免除しています。顧客データベースを国外に置くのは別の状況であり、個別に法務の確認が必要です。

第5部：顧客の権利、期限、72時間のインシデント対応

同意。宿泊届のために身分証情報を収集することは居住法上の義務です。個人データ保護法は同意を要しない処理のケースを定めており、その中に法律の規定による場合があります（第19条）。一方、電話番号やメールアドレスを顧客対応や特典の案内に使うのは別の目的であり、個別の同意を得るべきです。これは解釈であり、名指しで示した指針はまだありません。同意を得る際は、目的ごとに一回、事前チェックはしない、証跡を残す、機微データである場合はその旨を顧客に伝える、の4点を守ります。

顧客からの請求。2営業日以内に応答し、閲覧・訂正・提供は10日以内、同意の撤回・制限・異議は15日以内、削除は20日以内（処理者や第三者が実施する必要がある場合は30日）です。一人の顧客のデータが3施設と2つの委託先にあることもあるため、チェーンには一つの窓口と共通の管理台帳が必要です。政令96/2016/ND-CP（第44条：少なくとも36か月）に基づき保管が義務付けられた宿泊者情報は通常削除する必要はなく、その場合は理由を顧客に伝えます。

インシデント。顧客の生命、健康、名誉、財産を侵害するおそれ、または国防、安全保障、秩序を害するおそれのある違反を発見した場合は、遅くとも72時間以内に専門機関へ報告し、記録を作成します。週末をはさむと72時間はあっという間に過ぎるため、施設レベルとチェーンレベルの双方で、誰が判断し誰が通知を作成するかを手順で明確にしておく必要があります。防止・是正を行わない、専門機関に協力しない場合は、6,000万〜8,000万ドン（組織向けの金額）の罰金が科される可能性があります。

まとめ表：チェーンとリゾートのための見直し項目

第6部：コンプライアンスを支えるプラットフォーム——DiHotelとDiCRM

どのプラットフォームもホテルの法的義務を肩代わりすることはできませんが、その設計によって、ポートフォリオが人の規律で担わなければならない仕事の量が決まります。AIホテル管理システムDiHotelと関連モジュールが支援するのは次の部分です。

• 身分証スキャンは抽出した情報のみを保存し、画像は保存しません。システムが保持するのは氏名、証件番号、生年月日といった基本データで、身分証の画像は保持しないため、ポートフォリオのすべての施設で保護すべき機微データが一種類減ります。その他の義務は残ります。
• 役割別・施設別の権限と操作ログにより、誰がいつ何をしたかを記録します。基盤アーキテクチャは記事4〜5つ星ホテルのためのエンタープライズ基盤で紹介しています。
• 宿泊届：フロントが提出できるよう正しい様式でファイルを出力。顧客情報はチェックイン時点で揃っているため、DiHotelはポータルが求める様式でファイルを出力し、フロントは再入力せずにアップロードできます。ポータルはログインと認証を要するため、提出は施設のアカウントを持つ担当者が行います。

DiCRM：照会ログ、暗号化、請求に応じた削除

チェーン本部の統合顧客プロフィールは、連絡先情報が最も集中する場所です。DiHotelエコシステムで稼働中の顧客関係管理モジュールDiCRMには、顧客の電話番号・メールアドレスの照会を理由とともに記録するログ、AES-256による個人データの暗号化、顧客の請求に応じた個人データ削除の手順、そして施設ごとのデータ閲覧権限が備わっています。記事チェーンとリゾートのためのCRMと、DiHotelのホテル向けCRMページもあわせてご覧ください。

プラットフォームは、目的や処理根拠の選択、影響評価書類の内容、データを受け取る各委託先との契約、周縁データに対する規律の代わりにはなりません。

ホテルチェーンやリゾートは影響評価書類の作成を免除されますか？

免除は個人事業世帯と零細企業、および2026年1月1日から5年間の小企業・スタートアップに限られます。小企業であっても、機微データや累計10万人以上のデータを直接処理する場合は免除を失います。免除の対象外の事業者は60日以内に書類を提出し、6か月ごとに更新しなければなりません。

宿泊届のために身分証やパスポートの情報を収集するのに、顧客の同意は必要ですか？

宿泊届のために身分証情報を収集することは居住法上の義務です。個人データ保護法は同意を要しない処理のケースを定めており、その中に法律の規定による場合があります（第19条）。一方、電話番号やメールアドレスを顧客対応や特典の案内に使うのは別の目的であり、個別の同意を得るべきです。これは解釈であり、名指しで示した指針はまだありません。

顧客からデータ削除を求められたら、チェーンはどれくらいの期間で対応しなければなりませんか？

2営業日以内に応答し、20日以内に削除します。延長は20日を超えてはならず、処理者や第三者が関わる場合は30日です。法令で保管が義務付けられた宿泊者情報は通常削除する必要はなく、その場合は理由を顧客に伝えます。チェーンでは、その顧客のデータを保有するすべての施設と委託先に請求が届かなければなりません。

国外に置かれた予約システムを使うことは、国外へのデータ移転とみなされますか？

法律は、ベトナム国内で収集したデータを国外に置かれたプラットフォームで処理することを越境データ移転とみなし、60日以内にデータ移転影響評価書類の作成を求めています。政令356/2025/ND-CPは、契約締結やホテル関連手続き、決済、査証申請、その他一部のケースのために国外へデータを提供する場合、この書類を免除しています。個別の状況は法務部門に確認してください。

顧客データが漏えいした場合、チェーンはどれくらいの期間内に報告しなければなりませんか？

発見から遅くとも72時間以内に、公安省の個人データ保護専門機関へ報告し、記録を作成します。データ処理の委託先は速やかにホテルへ通知しなければなりません。報告が72時間を超えて遅れた場合、組織には4,000万〜6,000万ドンの罰金が科され、個人・個人事業世帯はその半額です。