改正個人情報保護法の政令・規則で定める事項の全体像を公表｜EC事業者が施行前に点検する顧客データの4論点

2026年8月26日に決まったのは「これから何を決めるか」

まず時系列を押さえておきます。改正法案は2026年4月7日に国会へ提出され、7月10日に可決・成立、7月17日に公布されました。施行は一部を除き、公布日から2年以内で政令が定める日です。つまり最も遅い場合でも2028年7月までには動き出します。

第366回個人情報保護委員会（令和８年８月26日）において、 「個人情報の保護に関する法律等の一部を改正する法律 政令・規則等で定める事項の全体像について」を決定いたしました。

出典：個人情報保護委員会「令和８年 改正個人情報保護法について」

「全体像」は条文ではなく、論点の目次にあたる

今回の資料に載っているのは、政令で決めること・委員会規則で決めること・ガイドラインやQ&Aで示すことの振り分けです。具体的な数値や要件はまだ入っていません。委員会自身が、この全体像を出発点として9月以降に論点別の議論を始めると書いています。

改正個人情報保護法（以下の表において、「法」という。）の施行に向け、政令・規則・ガイドライン等において整備すべき、主な項目は以下のとおりとする。

出典：個人情報保護委員会事務局「個人情報の保護に関する法律等の一部を改正する法律 政令・規則等で定める事項の全体像について」（2026年8月26日）

裏を返せば、ここに載っていないテーマは今回の下位法令整備では動かないということでもあります。何が変わるかを追いかけるより先に、何が変わらないかを確定できるのが、この資料の使いどころです。改正法の骨格そのものは課徴金とCookie規制の影響に整理してあります。

EC事業者にとっての読み方

4分類のうち、通販事業者が読むべきは「リスクに適切に対応した規律」と「規律遵守の実効性確保のための規律」の2つです。前者に委託先・漏えい報告・16歳未満・顔特徴データが入り、後者に課徴金が入ります。残る2分類は、AI開発や学術研究を自社で手掛けていなければ、いまの段階では優先度が下がります。

EC事業者に効く4つの論点を先に切り出す

全体像の表は行数が多く、そのまま読むと自社に関係のない項目に時間を取られます。通販・EC事業者の実務に落ちるものだけを抜き出すと、次の4つに絞れます。

なぜこの4つなのか

選定の基準は単純で、「注文が入って商品が届くまでの間に触る個人データ」に関わるかどうかです。EC事業者が扱う個人データの大半は氏名・住所・電話番号・購買履歴で、これは受注から出荷まで社内外を横断して流れます。倉庫にも配送会社にもOMSにも渡るため、委託と漏えいの2論点は業種を問わず効きます。

残る2つは対象が限られますが、該当した場合の負荷は小さくありません。とくに顔特徴データは、オプトアウトによる第三者提供が禁止される方向が示されており、後から運用でごまかせる性質のものではないと考えられます。

いまは急がなくてよい項目

「適正なデータ利活用の推進」に並ぶ統計作成等の特例や学術研究例外の明確化は、自社で機械学習モデルを開発していない限り出番がありません。購買データを外部に提供して分析させている場合だけ、後続の議論を追う価値があります。名簿の購入や顧客リストの外部提供をしている場合の確認点はオプトアウト届出事業者への実態調査にまとめています。

委託先の規律見直しは、発送代行の契約条項に直接効く

4つのうち最も広く影響するのが委託先の論点です。改正法は、個人情報取扱事業者からデータ処理等の委託を受けた事業者について、個人データ等の適正な取扱いに係る義務を見直すとしています。そのうえで委員会規則では、委託先の義務が免除される前提として、委託契約に定めるべき事項と契約の方法が規定される予定です（法第58条の2）。

現行の「委託先の監督」との違い

現在も委託元には委託先を監督する義務があります。変わるのは、委託先自身が負う義務の輪郭がはっきりし、その免除条件が契約に紐づく点です。契約書に何を書いてあるかが、これまで以上に効いてきます。口頭合意や覚書だけで運用してきた場合、書面の整備がそのまま宿題になります。

発送代行では、EC事業者が委託元、倉庫事業者が委託先という関係になります。何をどこまで委託しているかが曖昧なままだと、事故が起きたときに責任の所在を切り分けられません。契約書の点検の順番は発送代行の契約書に含むべき14項目チェックリストと3PL契約の実務ガイド2026年版に沿って進めると漏れが出にくくなります。

契約書のどこを見るか

いずれも下位法令の条文が出てから慌てて直すより、いまの契約書の状態を把握しておくほうが早く動けます。物流委託全般の見直し観点は物流契約の見直しチェックリストに、取引条件そのものの適正化については取適法で物流委託の取引条件がどう変わるかに整理してあります。委託の範囲設計から入りたい場合はEC物流の業務委託の進め方と業者選定を土台にできます。

委託先を選ぶ段階で見ておくこと

これから発送代行を選ぶ、あるいは発送代行の乗り換えを検討している場合は、料金表と同じ熱量で個人情報の取扱いに関する条項を読んでおくと後が楽です。判断軸の全体像は発送代行の選び方と比較の5つの判断軸に、事故が起きたときの賠償の考え方は発送代行の賠償と保険の考え方にまとめています。仕組みそのものを一から確認したい場合は3PLと発送代行の仕組みから入ると理解が早まります。

漏えい等報告の見直しは「緩和」だけではない

報道では「本人通知が緩和される」という部分が目立ちますが、全体像の表を読むと報告の対象が広がる方向の変更も同時に入っています。緩和と強化が同じ行に並んでいるため、片方だけを見て運用を軽くすると足をすくわれます。

緩和される部分

本人の権利利益の保護に欠けるおそれが少ない場合について、本人への通知義務が緩和されます。何をもって「おそれが少ない」とするかは委員会規則で規定される予定で、現時点では確定していません。あわせて、一定の範囲での速報の免除と、一定期間ごとに取りまとめた確報を認めることも規則で定められます。小規模な事故が複数件発生したときの事務負担は、いまより軽くなる可能性があります。

重くなる部分

同じ項目に、違法な個人データの第三者提供についても報告対象事態とすることが規定されると書かれています。漏えい・滅失・毀損だけでなく、本来渡してはいけない相手にデータを渡してしまった場合も報告の射程に入る方向です。委託先の管理やシステム連携の設定ミスは、この類型に当たり得ます。

受注データがOMSから倉庫システムへ流れる経路で誤った宛先に連携された場合、どこで気づき誰が報告するのかを決めておく必要があります。連携経路の設計はEC受注管理（OMS）と物流の連携ガイドに、システムが止まった場合の備えは倉庫システムが止まると出荷も止まるに整理しています。

初動フローに落とすときの単位

1. 検知の窓口を1つにする——倉庫・配送会社・カート・OMSのどこから第一報が来ても、同じ担当に集まる形にしておきます。
2. 事実確認の様式を先に作る——いつ・どの経路で・どの項目が・何件という4点を埋めるだけの様式があれば、報告要否の判断が速くなります。
3. 委託先への通知期限を契約で決める——委託先が気づいてから委託元に伝わるまでの時間が、そのまま報告の遅れになります。
4. 顧客への案内文を用意しておく——通知が必要になった場合の文面を平時に作っておくと、判断と作業を分けられます。

利用規約やプライバシーポリシーの文言も、施行にあわせて見直す対象になります。基本の構成はネットショップの法的ドキュメント整備と利用規約で確認できます。表示義務まわりは特商法側の議論とも重なるため、特商法の見直し議論が最終盤へと改正特商法・定期購入規制の運用実態2026もあわせて把握しておくと、改修の回数を減らせます。消費者庁「通信販売｜特定商取引法ガイド」が表示義務の一次情報になります。

16歳未満と顔特徴データ：該当するECは限られる

残る2論点は、該当する事業者が限られる代わりに、当たったときの設計変更が大きくなります。自社が該当するかどうかだけ、この段階で判定しておきます。

16歳未満が本人になるケース

改正法は、16歳未満の者が本人である場合について、同意取得や通知等の相手を法定代理人とすることを明文化し、あわせて保有個人データの利用停止請求の要件を緩和します。未成年者の個人情報の取扱いについて、本人の最善の利益を優先して考慮すべき旨の責務規定も置かれます。

キッズ用品・ベビー用品・学習教材・部活動向け商材などを扱うECでは、購入者が保護者でも会員登録者や利用者が未成年というケースが起こります。誕生日の入力欄を任意にしている場合、そもそも16歳未満かどうかを判定できません。商材別の運用設計は定期購入ECの物流設計のような継続課金型で特に効いてきます。

顔特徴データを扱うケース

顔特徴データ等については、取扱いに関する一定の事項の周知が義務化され、利用停止等請求の要件が緩和されるとともに、オプトアウト制度に基づく第三者提供が禁止されます。規律の対象となる生体データの範囲は政令で規定される予定です。

ECの現場では、コスメのバーチャルメイク、アイウェアの試着シミュレーション、アパレルの体型推定などが該当し得ます。倉庫や店舗に顔識別機能付きカメラを入れている場合も同じ論点に入ります。該当する可能性があるなら、いまどのベンダーのどの機能で顔の情報を扱っているかを先に洗い出しておくのが実際的です。

どちらにも当たらない場合、この2論点は追いかけなくて構いません。その分の時間を委託契約と漏えい対応に回すほうが、費用対効果は高くなります。

施行までの流れと、条文が出る前にできること

委員会は、9月以降に改正法の4分類やテーマごとに基本的な考え方を提示して議論し、団体との意見交換や事務局ヒアリングを挟んだうえで、具体的内容の議論に進むとしています。そのあとに条文案が示され、意見公募手続が始まります。事業者が「要件」を読めるようになるのは、この条文案の段階です。

いま着手できることは3つに絞れる

棚卸しの単位は、委託先ごとに「渡している項目・渡す経路・契約書の有無・事故時の連絡先」の4つで足ります。倉庫・配送会社・OMSベンダー・メール配信サービス・決済代行あたりを並べると、たいてい5〜10社に収まります。月次で受け取っているレポートに何が載っているかは請求書と月次レポートの見方で確認できます。

新しく倉庫を選ぶなら、この時期は有利に働く

すでに稼働している委託先の契約を後から直すより、これから契約する相手と最初から条項を詰めるほうが手間は少なくて済みます。乗り換えや新規導入を検討しているなら、施行までの2年は準備期間として使えるという見方もできます。導入後の社内体制の作り方は発送代行導入後に整える社内運用体制7つのポイントに、サービスの全体像はSTOCKCREW完全ガイド【2026年版】にまとめています。EC物流そのものの設計から見直す場合はEC物流完全ガイド【2026年版】が土台になります。

まとめ：いま着手できるのは棚卸しだけ、それで十分

2026年8月26日に決まったのは要件そのものではなく、これから2年かけて決める論点の一覧です。EC事業者が読むべきは4つで、なかでも委託先の規律と漏えい等報告の2つが業種を問わず効きます。16歳未満と顔特徴データは、該当するかどうかだけ判定しておけば足ります。

条文が出ていない段階で改修に着手しても、やり直しになる可能性が高くなります。いま価値があるのは、委託先の一覧・渡している項目・契約書の有無を1枚にまとめておくことだけです。この1枚があれば、条文案が出た日に「自社のどこが引っかかるか」を数時間で判定できます。逆に、この1枚がないと、パブコメの期間を棚卸しに使い切ってしまいます。

出荷を外部に預けるかどうかを含めて体制を考え直したい場合は、発送代行の費用と業者選びの手順で全体像を、ネットショップ運営の始め方で運営全体の流れを確認できます。委託先としての要件をどこまで満たせるかは事業者ごとに異なるため、条項レベルの確認はお問い合わせページから個別に相談するのが早道です。判断材料をまとめて手元に置きたい場合は資料ダウンロードもあわせてご利用ください。