この記事でわかること
- 令和8年改正個人情報保護法がいつ成立・公布され、いつ施行されるのか
- Web集客の実務に直接効く5つの改正ポイント（Cookie ID・委託先・16歳未満・顔特徴データ・オプトアウト）
- 「Cookie同意バナーが義務化された」という説明のどこが正確でないか
- フォーム・広告タグ・外注先について、施行前にやっておくべき棚卸しの手順
- 課徴金・罰則がどこまで強化され、どの範囲の事業者が対象になるのか
令和8年改正個人情報保護法の全体像と施行時期
個人情報保護法には「3年ごと見直し」の規定があり、その検討結果として「個人情報の保護に関する法律等の一部を改正する法律案」が2026年（令和8年）4月7日に閣議決定・国会提出されました。同法案は同年7月10日の国会で可決・成立し、7月17日に公布されています。
個人情報保護委員会の公表によれば、改正法は一部を除き、公布の日から起算して2年を超えない範囲内で政令が定める日から施行されます。細かな運用ルールは今後定められる政令・委員会規則・ガイドラインで明らかになる予定で、現時点では「方向性は確定したが、細部はこれから」という段階です。
| 時点 | 内容 |
|---|---|
| 2026年1月9日 | 「個人情報保護法 いわゆる3年ごと見直しの制度改正方針」公表 |
| 2026年4月7日 | 改正法案を閣議決定、第221回国会（特別会）へ提出 |
| 2026年7月10日 | 国会で可決・成立 |
| 2026年7月17日 | 公布 |
| 公布日から2年以内 | 政令で定める日に施行（一部を除く）。政令・委員会規則・ガイドラインは今後検討 |
改正内容は、公表資料上「①適正なデータ利活用の推進」「②リスクに適切に対応した規律」「③不適正利用等防止」「④規律遵守の実効性確保のための規律」の4本柱で整理されています。①は統計情報等の作成のみに使う場合に本人同意を不要とするなど、AI開発を含むデータ活用を進めやすくする方向。②〜④は、子どもの個人情報や顔特徴データ、委託先の規律を強化し、課徴金制度を新設する方向です。緩める方向と締める方向が同時に入っているのが、今回の改正の性格です。
前提：この記事は公表されている改正法および個人情報保護委員会の資料をもとに、Web集客の実務担当者向けに要点を整理したものです。個別の事案について法的な判断が必要な場合は、弁護士など専門家にご確認ください。
Web集客の実務に効く5つの改正ポイント
改正項目は多岐にわたりますが、Webサイト運営・広告運用・リード獲得を行っている中小企業に関係が深いのは、次の5点です。
Cookie ID・メールアドレス等の「個人関連情報」に新しい禁止規定
これまで個人関連情報（Cookie IDやメールアドレスなど、単体では特定の個人を識別できない情報）については、第三者提供の場面での確認義務が中心でした。改正では、特定の個人に対して連絡を行うことができる記述等（所在地・電話番号・メールアドレス・Cookie ID等）を含む個人関連情報について、不適正利用の禁止と不正取得の禁止が導入されます。同様の記述等を含む仮名加工情報・匿名加工情報も対象です。
公表資料では、投資詐欺広告への誘導や、目的を偽って取得したメールアドレスの第三者提供といった事例が想定例として挙げられています。通常の広告運用が直ちに問題になるものではありませんが、「取得時に説明した用途」と「実際の使い道」がずれているケースは点検が必要です。
- 広告タグ・計測タグで取得している識別子と、その利用目的を一覧化する
- リード獲得フォームの利用目的の記載が、実際の配信・共有の実態と一致しているか確認する
- 外部から購入・提供を受けているリストがある場合、取得経路を提供元に確認する
委託先（代理店・制作会社・ツール事業者）に対する規律の見直し
現行法では、委託元が委託先を監督する義務が中心でした。改正では、委託を受けた事業者に対して「委託された業務の遂行に必要な範囲を超えて取り扱ってはならない」義務が明文で課されます。あわせて、委託先が自ら取扱方法を決めない機械的な処理にとどまる場合には、一定の合意を条件に義務の一部が免除される整理も導入されます。
Web集客の現場では、広告代理店・LP制作会社・MAツール・フォーム作成サービス・CRMなど、個人データが渡る先が想像以上に多いのが実態です。契約書の記載と実際のデータの流れが一致しているか、この機会に確認しておく価値があります。
- 個人データが渡っている外部先を、ツール・代理店を含めてすべて書き出す
- 各委託先との契約書・利用規約で、取扱いの範囲がどう定められているか確認する
- 解約したツールに残っているデータの削除状況をあわせて確認する
16歳未満の個人情報は法定代理人の関与が必要に
これまで子どもの個人情報の扱いはガイドラインやQ&Aで示されるにとどまっていましたが、改正では本人が16歳未満の場合、同意取得や通知等について法定代理人を対象とすることが法律上明文化されます。利用停止等の請求要件も緩和され、未成年者の個人情報については本人の最善の利益を優先して考慮すべき旨の責務規定も設けられます。
学習塾・スクール・スポーツクラブ・小児向けサービス・子ども向け商材のEC など、申込者や利用者に未成年が含まれる業種では、フォーム設計や同意文言に影響します。例外の整理（本人が16歳以上であると信じさせるために詐術を用いた場合など）も規定されていますが、実務としては入口の設計を見直すのが素直です。
- 申込・問い合わせフォームで未成年の情報を取得する導線があるか洗い出す
- 保護者同意の取得方法（チェック欄・記入欄など）が現状どうなっているか確認する
- キャンペーン・プレゼント企画の応募条件に年齢の扱いを明記しているか見直す
顔特徴データ等について周知が義務化
顔特徴データ等については、事業者の名称・住所・代表者氏名、顔特徴データ等を取り扱うこと、その利用目的、利用停止請求に応じる手続などの周知が義務づけられ、オプトアウト制度に基づく第三者提供は認められなくなります。利用停止等請求の要件も緩和されます。
店舗ビジネスで来店客数の計測やAIカメラによる属性分析を検討している場合、この規定は集客施策の設計に直結します。単なる防犯カメラの映像と、個人を識別できる形に変換した特徴量データでは扱いが異なる点に注意が必要です。
- 店舗のカメラ・計測機器が顔の特徴量を扱う仕様になっていないかベンダーに確認する
- 導入を検討中の場合、周知の掲示・Web掲載をセットで設計する
オプトアウト制度が厳格化（名簿の入手・活用に影響）
本人の同意なく第三者提供を可能にするオプトアウト制度について、提供時に提供先の身元（氏名・名称、住所、代表者氏名）と利用目的をあらかじめ確認する義務が課されます。確認事項を偽った場合は過料の対象とされています。いわゆる「闇名簿」の流通を断つことが狙いです。
テレアポやDMのために名簿を購入している企業にとっては、入手できるリストの性質が今後変わっていく可能性があります。名簿依存の営業からWeb経由のリード獲得へ比重を移す判断材料の一つになります。
- 購入・利用している名簿の出所と提供元の届出状況を確認する
- 名簿由来のリードとWeb由来のリードで、成約率・単価を分けて把握しておく
「Cookie同意バナーが義務化された」は正確ではない
制度改正のニュースが出ると、「Cookieバナーを付けないと違法になる」という趣旨の情報が一気に広がります。今回もその傾向があります。しかし、公表されている改正内容には、Cookieの利用について事前の明示的な同意（オプトイン）を一律に義務づける規定は含まれていません。欧州のGDPRのような同意モデルがそのまま日本に導入されたわけではない、というのが現時点の整理です。
一方で、Cookie IDやメールアドレスを含む個人関連情報に不適正利用・不正取得の禁止が及ぶこと自体は、実務にとって小さくない変化です。つまり問われるのは「バナーがあるか」ではなく「取得の仕方と使い道が説明どおりか」ということになります。
| よくある説明 | 実際の整理 |
|---|---|
| Cookie同意バナーが法律で必須になった | 一律のオプトイン義務は改正内容に含まれていない。バナーは選択肢の一つであり、それ自体が法的義務になったわけではない |
| Cookieはすべて個人情報になった | Cookie IDは引き続き原則として個人関連情報の位置づけ。ただし特定の個人への働きかけが可能な記述を含む場合、不適正利用・不正取得の禁止が及ぶ |
| すぐに対応しないと罰則を受ける | 施行は公布から2年以内で政令が定める日。細部は今後の政令・規則・ガイドライン待ち |
| 中小企業は規模が小さいので関係ない | 事業規模による適用除外は設けられていない。ただし課徴金は大規模事案に限定される方向 |
注意：制度改正に便乗した「対応必須ツール」の営業が増えやすい時期でもあります。導入前に、そのツールが解決するのが法律上の義務なのか、それとも運用上の利便性なのかを切り分けて確認してください。
施行前にやっておくべき3つの棚卸し
施行までには期間があり、細部のルールもこれから示されます。この段階で有効なのは、新しいツールの導入ではなく現状を把握しておくことです。棚卸しさえできていれば、ガイドラインが出た後に必要な差分だけ対応すれば済みます。
1. 取得している情報の棚卸し
自社サイトで、どのページのどのフォームから、どんな項目を取得しているかを一覧にします。問い合わせフォームだけでなく、資料請求・セミナー申込・LINE友だち追加・キャンペーン応募も対象です。あわせて、GTMに入っている計測タグ・広告タグをすべて書き出し、稼働しているものと使われていないものを仕分けます。使っていない広告タグが残ったままになっているケースは珍しくありません。
2. データの渡し先の棚卸し
取得した情報が、社外のどこに渡っているかを整理します。広告代理店、MAツール、フォームツール、CRM、名刺管理、チャットツール、クラウドストレージ、そして広告プラットフォームそのものも含みます。委託先規律が明文化される以上、「誰に、何を、何のために渡しているか」を一枚の表にしておく価値は高くなります。
3. 表示・文言の棚卸し
プライバシーポリシー、フォーム下の同意文言、利用目的の記載が、実際の運用と一致しているかを確認します。多いのは、数年前に作ったポリシーのまま、その後導入したツールや広告配信について記載が追いついていないパターンです。文言の追加は費用がほとんどかからない対応でありながら、実態との乖離を減らす効果が大きい部分です。
進め方のコツ：法務対応として単独で進めるより、計測設計の見直しとセットで行うと効率的です。使っていないタグの整理、取得項目の見直し、CVの定義の再確認は、そのままフォーム改善や広告の効果測定の精度向上にもつながります。
課徴金・罰則はどこまで強化されたか
今回の改正で最も注目されているのが、課徴金制度の新設です。これまでは、勧告・命令を受けた後に違反行為を中止すれば、違反によって得た経済的な利益をそのまま保持できてしまう構造がありました。そこに金銭的な不利益を課すことで、違反の経済的な誘因を小さくするのが狙いとされています。
| 項目 | 公表資料で示されている内容 |
|---|---|
| 対象となる行為 | 不適正な利用の禁止違反、適正な取得の違反、第三者提供の制限違反、統計作成等の特例に関する違反 |
| 限定の考え方 | 個人の権利利益が侵害され、または侵害される具体的なおそれが生じた場合に限定 |
| 規模要件 | 大規模な事案に限定（対象行為に係る本人の数について1,000人を基準とする） |
| 金額の考え方 | 当該違反行為によって得られた財産上の利益等に相当する額 |
| 刑事罰 | 不正提供等の罪に「損害を加える目的」の提供行為を追加、法定刑を引き上げ。詐欺行為や不正アクセス等による不正取得の罰則を新設 |
この整理からわかるのは、課徴金は通常のWeb広告運用を狙った制度ではないということです。想定されているのは、名簿の不正な流通や、目的を偽って集めた大量のデータの転売といった悪質な類型です。とはいえ、勧告・命令の要件見直しや、本人への事実の通知・公表を命令の内容にできるようになる点は、規模を問わず影響します。漏えい時に「委員会に報告して終わり」ではなく、公表を求められる可能性が現実的になったと考えておくのが安全です。
対応チェックリスト
改正個人情報保護法 Web集客まわりの確認チェックリスト
【現状把握】
- サイト内のすべてのフォームと取得項目を一覧化した
- GTMに入っている計測タグ・広告タグを棚卸しし、不要なものを特定した
- 個人データが渡っている外部の委託先・ツールをすべて書き出した
- 外部から購入・提供を受けているリストの有無と出所を確認した
【表示・文言】
- プライバシーポリシーの記載が、現在使用中のツール・広告配信の実態と一致している
- フォームの利用目的の記載が、実際のデータの使い道と食い違っていない
- 未成年が申し込む可能性がある導線で、保護者同意の扱いを整理した
【体制・契約】
- 代理店・制作会社・ツール事業者との契約でデータの取扱範囲が明記されている
- 解約済みツールに個人データが残っていないか確認した
- 漏えい等が起きた場合の社内の連絡経路と、公表判断の責任者を決めている
【情報収集】
- 今後公表される政令・委員会規則・ガイドラインを追う担当者を決めている
- ベンダーからの「対応必須」提案について、法的義務か利便性かを切り分けて判断すると合意している
マーケティング顧問制度
LnXのマーケティング顧問制度では、計測タグ・フォーム・外部ツールの整理から、広告の効果測定の設計まで伴走します。まずは現状のサイトとGA4を見せていただくところから対応可能です。
マーケティング顧問を相談するLnXの見解
制度改正が話題になると、「何かツールを入れなければ」という方向に話が進みがちです。ただ実際にご相談を受けて中身を確認すると、そもそも自社サイトにどんなタグが入っていて、どのツールに個人情報が渡っているかを誰も把握していない、という状態のほうが圧倒的に多いのが実情です。この状態でツールを追加しても、リスクは減りません。
今回の改正は、公布から施行まで最大2年の期間があり、細部は今後のガイドライン待ちです。逆に言えば、いま慌てて何かを買う必要はない代わりに、棚卸しを済ませておく時間はあるということです。そして棚卸しは、法務対応としてだけでなく、そのままマーケティングの実務改善になります。使われていない広告タグを外せばページの表示速度が改善しますし、フォームの取得項目を見直せば入力完了率が上がります。CVの定義を整理すれば、広告の評価軸もはっきりします。
もう一点、中小企業にとって現実的に効いてくるのはオプトアウト制度の厳格化だと考えています。購入名簿に依存した営業は、今後リストの入手性と質の両面で不確実性が増していく可能性があります。自社サイトと広告で継続的にリードを獲得できる導線を持っているかどうかが、これまで以上に差になるはずです。計測まわりの前提知識としてはMeta広告のコンバージョンAPI(CAPI)とは？Cookie規制時代に計測精度を守る導入ガイドもあわせてご覧ください。
よくある質問
Q 今回の改正でCookie同意バナーの設置は義務になったのですか？
公表されている改正内容には、Cookieの利用について事前の明示的な同意（オプトイン）を一律に義務づける規定は含まれていません。したがって「バナーを付けなければ違法になる」という説明は正確ではありません。ただし、Cookie IDやメールアドレスなど特定の個人への働きかけが可能な情報を含む個人関連情報について、不適正利用と不正取得を禁止する規定が新設されます。取得の仕方や使い道の説明が実態と食い違っていないかは、バナーの有無とは別に点検が必要です。
Q 改正法はいつから施行されますか？
改正法は2026年（令和8年）7月10日に成立し、同年7月17日に公布されました。個人情報保護委員会の公表によれば、一部を除いて公布の日から起算して2年以内で政令が定める日から施行されます。具体的な期日や運用の細部は、今後定められる政令・委員会規則・ガイドラインで明らかになる予定です。
Q 広告運用を代理店に任せていますが、自社にも影響はありますか？
あります。改正では、データ処理等の委託を受けた事業者に対し、委託された業務の遂行に必要な範囲を超えて個人データ等を取り扱ってはならない義務が明文化されます。委託元としては、代理店・制作会社・MAツール事業者などに渡しているデータの範囲と用途を洗い出し、契約書や覚書の記載が実態と一致しているかを確認しておくのが実務的な備えになります。
Q 課徴金はどのような場合に課されるのですか？
公表資料では、不適正利用の禁止違反・適正取得の違反・第三者提供の制限違反・統計作成等の特例に関する違反といった重大な行為類型が対象とされ、個人の権利利益が侵害された場合等に限定されています。さらに対象行為に係る本人の数について1,000人を基準とする大規模事案に限る方向が示されています。通常のWeb広告運用で直ちに課徴金の対象になるというものではありませんが、名簿の購入・転売やデータの目的外利用には従来以上のリスクがあると理解しておくべきです。
Q 中小企業がまず着手すべきことは何ですか？
施行までには期間があるため、慌てて新しいツールを導入する必要はありません。まずは自社サイトで取得している情報（フォーム項目・計測タグ・広告タグ）の棚卸しと、それらを誰に渡しているかの一覧化から始めるのが現実的です。棚卸しができていれば、政令やガイドラインが出た段階で必要な差分だけを対応すればよく、手戻りが最小限で済みます。