個人情報保護委員会がオプトアウト届出事業者187者を調査｜ECの名簿購入と顧客データ提供で確認すべき点

2026年8月19日に公表された調査の中身

調査の対象と規模

調査は、個人情報保護法第27条第2項に基づく届出を行った事業者の法的義務の履行状況を確認する目的で実施されました。委託事業者が全届出事業者へ調査票をメール送付する任意調査で、実施期間は令和8年1月8日から2月20日です。

オプトアウト届出事業者として登録のある法人・個人261者

出典：個人情報保護委員会「『オプトアウト届出事業者に対する実態調査』の令和７年度調査結果について」（2026年8月19日）

対象は令和7年11月末時点で261者、回答は187者・回収率71.6%でした。前回調査（令和4年度）の対象は162者だったため、3年で約1.6倍に増えています。届出事業者の数そのものが増加傾向にあることは、それだけこの仕組みが使われているという意味でもあります。

どんな事業者が届け出ているのか

オプトアウトによる第三者提供を行う目的で最も多かったのは「顧客のニーズに応じた属性情報を記載したデータベースの提供」で、109者・58.3%と約6割を占めました。マーケティング支援やDM発送に使うための個人情報提供が、この制度の主用途ということです。以下、登記情報提供が26者・13.9%、企業信用調査が14者・7.5%、地図情報提供が7者・3.7%と続きます。

保有規模は決して小さくない

提供目的で保有している個人情報の本人数は、1千人超が139者で約7割、1千万人超が21者で約1割でした。一方、保有なしの回答も29者・15.5%あります。取得方法は、書籍・新聞・雑誌・ホームページ・登記情報・官報などの公開情報からが170者・約9割で、大半は公開情報を情報源にしていると整理されています。

オプトアウト制度とEC事業者の立ち位置

本人の同意なしに第三者提供できる例外

個人データの第三者提供は本人の同意が原則です。オプトアウトはその例外で、あらかじめ届出と公表を行い、本人から求めがあれば提供を停止することを条件に、同意なしの提供を認める仕組みです。要配慮個人情報や不正取得した個人データは対象外とされています。制度の基本は個人情報保護委員会のFAQで確認できます。

EC事業者は基本的に「提供を受ける側」

通常のネットショップがオプトアウト届出を行うことはまずありません。EC事業者がこの制度に接するのは、DM用のリストを購入する場面、あるいは自社の顧客データを外部に渡す相談を受ける場面です。前者は提供を受ける側、後者は原則どおり本人同意が必要な側になります。DM発送代行を使う場合も、送付先リストの出どころは自社の責任範囲です。

「買った側」にも確認義務がある

ここが見落とされやすい点です。個人データの提供を受ける側にも、提供元の氏名・取得の経緯などを確認し、記録を作成・保存する義務があります。「業者から買っただけ」は説明になりません。自社の利用規約やプライバシーポリシーとの整合も含め、来歴を説明できる状態にしておく必要があります。

数字が示す「確認していない層」の存在

提供先の本人確認をしていないのが約4割

オプトアウトによる提供にあたり、提供先に対して本人確認手続等を行っていると回答したのは116者・62.0%でした。裏を返せば、67者・35.8%が実施していないということです。令和7年に提供実績があった129者に絞っても、約3割が本人確認をしていません。委員会は必要に応じて本人確認手続等を行うよう注意喚起する方針を示しています。

利用目的の確認をしていないのが約2割

提供先が個人情報保護法第19条の「違法又は不当な行為を助長し、又は誘発するおそれがある方法」で利用しないことを確認しているのは138者・73.8%、確認していないのは44者・23.5%でした。提供実績のある129者では約9割が確認しており、多くは何らかの措置を講じているものの、確認していない層が一定数残っています。

委員会は追加調査と権限行使に言及している

今後の対応として、委員会は具体性のない回答や無回答の事業者があったことを踏まえ、注意喚起に加えて追加調査を行い、その結果を踏まえて必要に応じて法に基づく権限行使も検討するとしています。制度の運用が引き締まる方向に動いているというのが、この調査の一番大きなメッセージです。改正個人情報保護法の動きとあわせて押さえておく話題です。

リストを買う側が確認すべき4点

チェックリスト

1. 届出事業者かどうかを確認する——個人情報保護委員会は届出事業者の一覧を公表しています。名前が載っていない相手からオプトアウトを前提にデータを買うのは、その時点で成立しません。
2. 取得の経緯を書面で受け取る——公開情報からの取得か、本人から直接取得したのか。調査でも、契約書面やプライバシーポリシー、利用規約で確認しているという回答が挙がっています。
3. 自社の利用目的を先に固める——提供元が利用目的を確認してこない場合でも、自社側で用途を定義しておかないと、後から目的外利用の指摘を受ける余地が残ります。
4. 確認・記録を残す——提供を受ける側の確認記録は法定の義務です。担当者の記憶ではなく、日付入りのファイルとして保存してください。

「相手が届出している」は免罪符ではない

調査では、提供を受けていると回答した21者のうち20者が、提供元がオプトアウト届出事業者でないことを確認していると回答しています。つまり届出事業者同士でデータが循環しないよう注意が払われている一方で、提供先がどんな事業者かの確認は3〜4割が抜けているという非対称があります。買う側は、自分が「確認されていない側」に立っている可能性を前提に動くのが安全です。

市場規模の拡大とともに監視も強まる

EC市場が広がれば、顧客獲得のためのデータ需要も比例して増えます。

2024年の日本国内のBtoC-EC（消費者向け電子商取引）市場規模は、26.1兆円（前年24.8兆円、前々年22.7兆円、前年比5.1%増）に拡大しています。また、2024年の日本国内のBtoB-EC（企業間電子商取引）市場規模は514.4兆円（前年465.2兆円、前々年420.2兆円、前年比10.6%増）に増加しました。

出典：経済産業省「令和6年度電子商取引に関する市場調査の結果を取りまとめました」（2025年8月26日）

市場が伸びるほど、名簿を扱う事業も伸びます。委員会が追加調査に言及した背景には、この拡大があると読むのが自然です。偽通販サイトへの注意喚起や特商法の見直し議論と同じく、EC周辺のルールが締まる局面です。

自社の顧客データを渡す側の実務

顧客データを外に出す場面は意外と多い

EC事業者が顧客データを外部に渡す場面は、名簿の売買だけではありません。DM発送、同梱物の封入、納品書の作成、そして出荷そのものの委託——いずれも氏名と住所が外に出ます。これらは第三者提供ではなく委託にあたり、本人同意は不要ですが、委託先の監督義務が発生します。同じ「データを渡す」でも法的な整理が違う点に注意してください。

委託先の監督は契約と運用の両方で

委託先の選定基準、契約書の条項、そして実際の運用確認。この3つが揃って初めて監督したことになります。発送代行の契約書に含むべき項目や3PL契約の実務を確認するとき、個人データの取扱範囲・再委託の可否・事故時の通知義務が明記されているかを見てください。物流契約の見直しのタイミングは、この点検の好機です。

事故が起きたときの経路を決めておく

漏えいが起きた場合、委員会への報告と本人への通知が必要になります。委託先で発生した場合の連絡経路が決まっていないと、初動が数日遅れます。倉庫システムが止まったときの備えと同じ発想で、誰が誰に何分以内に伝えるかを紙に落としておいてください。連絡先は担当者個人の携帯番号ではなく、休日でもつながる窓口として契約書に書いておくのが実務的です。発送代行の賠償・リスク管理もあわせて整理しておくと、契約交渉の材料になります。

まとめ：名簿の来歴を説明できる状態にしておく

個人情報保護委員会が2026年8月19日に公表した調査は、オプトアウト届出事業者261者のうち187者・71.6%から回答を得たものです。提供目的で最も多いのは属性情報データベースの提供で109者・58.3%。提供先への本人確認をしていないのが67者・35.8%、提供先の利用目的を確認していないのが44者・23.5%でした。委員会は追加調査と、必要に応じた法に基づく権限行使に言及しています。

EC事業者に必要なのは、リストを買う側としての確認・記録と、顧客データを委託先へ渡す側としての監督です。どちらも「相手がきちんとしているはず」という前提では成立しません。ネットショップ運営完全ガイドや法的ドキュメントの整備、自宅住所を公開しない販売方法、返品ポリシーの書き方と並べて、社内の文書を一度棚卸ししてみてください。

出荷を外部に委ねる場合の全体像は発送代行完全ガイドに、サービス範囲と料金の考え方はSTOCKCREW完全ガイドにまとめてあります。業務委託の進め方、リピート通販での発送代行活用、LINE公式アカウントの活用、カスタマーサポートの自動化、取適法による物流委託の変化、公取委の実態調査も、委託まわりの判断材料になります。個別の条件はお問い合わせから、料金の考え方は資料ダウンロードからご確認いただけます。