リピタス LINEで相談

🇪🇺 海外からの予約が増えてきたお店へ

予約システムとGDPR
日本のお店にも関係ある？

インバウンドのお客様が増えると耳にする「GDPR」。 どんな場面で日本の店舗に関係し得るのか、慌てる前に何を整えておけばよいのかを、専門用語をかみくだいて解説します。

基礎から読む ↓

📖 このページは『予約システムの機能事典』の深掘り記事です。

WHAT IS GDPR

GDPRとは——EUの「個人データ保護ルール」

GDPR（General Data Protection Regulation／EU一般データ保護規則）は、EU（欧州連合）とEEA（欧州経済領域）の居住者の個人データを守るためのルールで、2018年5月に適用が始まりました。 氏名やメールアドレスはもちろん、IPアドレスやCookieのような「個人と結びつき得る情報」まで幅広く対象にしているのが特徴です。

日本の店舗にとって重要なのは、GDPRには「域外適用」——EUの外にある事業者にも適用され得る仕組みがあることです。 「うちは日本のお店だから無関係」と言い切れないケースがあるため、インバウンドのお客様を受け入れるお店は、考え方だけでも知っておく価値があります。

この記事の前提

GDPRの適用判断は個別の事情によって変わる、専門性の高い領域です。この記事は「どんな場面で関係し得るか」の見取り図を示すもので、個別の判断は専門家への相談をおすすめします。

WHEN IT APPLIES

日本の店舗に関係し得るのは、どんなとき？

ポイントは「EU居住者に向けて、意図的にサービスを提供しているか」です。

関係し得るケース①：EU居住者に向けたサービス提供

予約サイトを英語やフランス語などで用意し、ユーロでの表示や海外向けの広告を行うなど、EU圏のお客様を明確に狙って集客している場合は、適用の可能性が語られる典型的なパターンです。

関係し得るケース②：行動のモニタリング

WebサイトでEU居住者の行動を追跡・分析している場合（追跡型の広告配信など）も、域外適用の対象として挙げられています。店舗の予約サイトで該当することは多くありませんが、解析ツールの使い方によっては論点になり得ます。

直ちに該当するとは限らないケース

日本語のみの予約サイトを運営していて、たまたまEUからの旅行者が予約してくれた——このような受動的なケースは、「EU居住者を狙ったサービス提供」とは評価されにくいと一般に説明されています。過度に恐れる必要はありません。

💡 判断の軸は「積極的にEU向けか、受動的か」

多言語対応をしただけで直ちにGDPR対応が必須になるわけではありませんが、EU圏に向けた集客を本格化するなら、次章の「備え」を一緒に進めておくのが安心です。

COMPARISON

日本の個人情報保護法と、何が違う？

同じ「個人情報を守る法律」でも、厳しさと発想に違いがあります。代表的な違いを3つだけ押さえましょう。

観点GDPR日本の個人情報保護法
同意の考え方明確で積極的な同意を重視。あらかじめチェック済みのボックスは同意と認められない利用目的の通知・公表が基本。同意が必須となる場面は限定的
本人の権利消去権（忘れられる権利）やデータポータビリティなど、本人の権利が幅広い開示・訂正・利用停止などの請求権がある（範囲はGDPRより限定的）
制裁違反時の制裁金が非常に高額になり得ることで知られる是正の勧告・命令が基本で、命令違反等に罰則

なお、日本はEUから「十分性認定」（個人データを安全にやり取りできる国としての認定）を受けており、EU圏から日本へのデータ移転は一定の枠組みの下で認められています。 制度同士が完全に別物というより、GDPRの方が「本人の権利」をより強く打ち出している、と捉えると分かりやすいでしょう。

PRACTICAL STEPS

インバウンド予約を受けるお店が、実務でできる5つの備え

GDPRに限らず、海外のお客様の個人データを丁寧に扱うための基本動作です。どれも国内のお客様への信頼にもつながります。

01

取得する情報を最小限にする

予約に本当に必要な項目（氏名・連絡先・日時・人数など）だけを聞く。「いつか使うかも」で生年月日や住所まで集めない。データ最小化は、GDPRの基本原則であると同時に、漏えい時の被害を小さくする最も確実な方法です。

02

プライバシーポリシーを予約ページから見られるようにする

何のために情報を集め、どれくらい保管し、問い合わせ先はどこか。英語ページで集客するなら、ポリシーも英語で読める状態にしておくと丁寧です。

03

同意の取り方を「事前チェックなし」にする

メールマガジンへの登録などを予約と同時に取る場合、チェックボックスを最初からオンにしておく設計は避けます。GDPRでは有効な同意と認められず、日本のお客様にとっても印象の良くない設計です。

04

削除依頼への対応手順を決めておく

「私のデータを消してほしい」と言われたら、誰がどの画面で削除し、完了をどう伝えるか。手順を一度決めておけば、依頼が来ても慌てません。予約システム側に顧客データの削除機能があるかも確認しておきましょう。

05

予約システムベンダーのデータの扱いを確認する

予約データがどの国のサーバーに保管され、どんな目的で使われるのか。ベンダーのプライバシーポリシーを一度読んでおくことは、GDPRに限らず店舗の説明責任の土台になります。

RELATED

あわせて読みたい

SERIES TOP

予約システムの機能事典｜17の機能を、1つずつ言葉から解説

予約台帳から決済連携まで。予約システムの機能の全体像は、TOPページでどうぞ。

TOPページへ
🔒 予約システムのセキュリティ対策 個人データを守る技術と運用。GDPR以前に整えたい土台の話。 読む 🗂️ 予約システムと電子帳簿保存法 データの保存義務は国内制度にも。決済記録の扱いを解説。 読む 🌏 英語切替対応の予約システム インバウンド集客の実務はこちら。多言語予約の始め方。 読む

FAQ

GDPRと予約システム・よくある質問

EUからの旅行者が予約してくれただけでも、GDPR対応が必要ですか？
日本語のみのサイトで、EU居住者を特に狙わずに運営しているところへ受動的に予約が入ったケースは、「EU居住者に向けたサービス提供」とは評価されにくいと一般に説明されています。一方、英語サイトや海外向け広告でEU圏から積極的に集客しているなら、備えを進めておくのが安心です。
GDPRに対応した予約システムかどうかは、どこで見分けられますか？
プライバシーポリシーで「データの保管場所」「利用目的」「保存期間」「削除依頼への対応」が明記されているか、顧客データを削除できる機能があるか、通信が暗号化されているかが手がかりになります。ベンダーに直接「海外のお客様のデータの扱い」を質問してみるのも有効です。
個人情報保護法を守っていれば、GDPRも自動的にクリアできますか？
いいえ。重なる部分は多いものの、GDPRの方が同意の取り方や本人の権利について厳格です。ただし、データ最小化・目的の明示・削除対応など、この記事で挙げた基本の備えは両方の制度に共通する土台になります。
小さな個人店でも制裁金の対象になり得ますか？
GDPRの制裁は事業規模や違反の性質・程度を考慮して決められます。高額な制裁金の事例は大規模事業者が中心ですが、「小さいから無関係」と断定するのではなく、そもそも適用され得る事業形態かを確認することが先決です。判断に迷う場合は専門家にご相談ください。
Cookieバナー（同意ポップアップ）は予約サイトにも必要ですか？
EU圏向けにサイトを運営し、追跡型の解析や広告のCookieを使うなら検討対象になります。国内向け中心のサイトでも、どんなCookieを何のために使っているかをプライバシーポリシーで説明しておくことは、透明性の面でプラスです。

※ 本記事は一般的な情報提供を目的としたものであり、法的助言ではありません。GDPRの適用判断や個別の対応については、弁護士など専門家・公的機関の最新情報をご確認ください。

海外のお客様の予約対応、
一緒に整えます

多言語での予約受付から、個人データの扱いで気をつけたいことまで。インバウンド対応の予約の仕組みづくりをお手伝いします。しつこい営業はいたしません。

LINEで相談する（最短）

または、フォームから

LINEで相談する