改正個人情報保護法2026｜課徴金・Cookie規制でEC事業者のデータ運用はどう変わるか

改正個人情報保護法「3年ごと見直し」とは

3年ごとに見直される仕組み

個人情報保護法には、社会やデジタル技術の変化に合わせて、施行後おおむね3年ごとに制度を見直すという規定があります。今回の改正はこの「3年ごと見直し」に基づくもので、個人情報保護委員会が2024年から検討会で議論を重ね、2024年末に報告をまとめました。その後、2026年1月9日に制度改正の方針が公表され、2026年4月7日に「個人情報の保護に関する法律等の一部を改正する法律案」が閣議決定されています。改正案は通常国会での成立が見込まれている段階です。

すべてのEC事業者が対象

個人情報保護法は、2017年の全面施行で「取り扱う個人情報が5,000件以下なら適用除外」という要件が撤廃され、現在は事業規模を問わずすべての事業者が対象です。つまり、小規模なネットショップであっても法の適用を受けます。顧客名簿やメールアドレス、購買履歴を扱う以上、EC事業者はすべて当事者であり、今回の改正内容を「大企業の話」と考えるのは誤りです。まずは自社が扱う個人情報の種類と流れを把握することが出発点になります。

個人情報保護法は、施行後3年ごとの見直し規定に基づき制度改正が検討されている。個人情報保護委員会が制度改正の方針を公表し、課徴金制度の導入や個人関連情報の取扱いの適正化などが論点となっている。

出典：個人情報保護委員会「個人情報保護法 いわゆる３年ごと見直しについて」

3つの主な改正ポイント

課徴金制度と個人関連情報の規制

今回の改正案の柱は大きく3つに整理できます。第一が「課徴金制度の導入」です。多数の個人情報を扱う事業者が、個人の権利利益を害する重大な違反をした場合に、違反によって得た経済的利益に相当する額の課徴金を課す方向で検討されています。悪質な違反による「やり得」をなくし、抑止力を高める狙いです。第二が「個人関連情報の取扱いの適正化」です。Cookie ID、メールアドレス、電話番号、位置情報、閲覧履歴、購買履歴、関心情報などのうち、特定の個人への連絡を可能にする情報について、不適正な利用や不適正な取得を禁止する規律が新たに設けられる方向です。

AI・統計利用の同意例外

第三が「AI開発・統計処理に関する取扱いの整理」です。AIの開発や統計的な処理を目的とする場合など、一定の条件のもとで、これまで必要だった本人同意を要さずにデータを扱える例外を設ける方向が示されています。これは規制強化一辺倒ではなく、データ利活用を進めやすくする側面です。つまり今回の改正は、「守り（課徴金・Cookie規制）」と「攻め（AI・統計利用の円滑化）」の両面を持つのが特徴といえます。EC事業者は、自社のデータ活用がどちらの側面に関係するかを見極める必要があります。

施行はいつか（タイムライン）

成立後2年以内の施行が見込み

改正案は、成立後おおむね2年以内に施行される見込みとされています。過去の2020年改正のスケジュールを踏まえると、法律の成立後に政令・規則が整備され、実務の指針となるガイドラインやQ＆Aが順次公表されていく流れが想定されます。報道等では、規則が2026年末頃、ガイドライン・Q&Aが2027年夏頃、全面施行が2028年頃という見通しも示されていますが、いずれも現時点の見込みであり、確定した日程ではありません。今後の国会審議と個人情報保護委員会の公表情報を追う必要があります。

「まだ先」ではなく「今から準備」

施行が2028年頃の見込みだとしても、対応は「今から」始めるのが賢明です。個人情報の取り扱いは、社内のルール整備、契約書の見直し、システムの改修、委託先の点検など、時間のかかる作業を伴います。とくにCookieや購買履歴を使った広告・分析は、EC事業者のマーケティングの根幹に関わるため、規律が明確になってから慌てて対応すると、施策の停止や作り直しが必要になりかねません。施行までの期間を、自社のデータ運用を棚卸しする準備期間として使うことをおすすめします。

EC事業者への影響と見直しポイント

Cookie広告・メール配信・購買履歴

EC事業者がとくに注意すべきは、マーケティングで使うデータです。Cookieを使ったリターゲティング広告、メールアドレスへの配信、購買・閲覧履歴に基づくレコメンドなどは、個人関連情報の規律強化の影響を受ける可能性があります。ポイントは、こうしたデータをどのように取得し、何に使い、第三者にどう提供しているかを整理し、本人への説明（プライバシーポリシー）と実際の運用が一致しているかを確認することです。日本の法制度は、GDPRのような事前同意（オプトイン）を一律に義務づけてはいませんが、今回の見直しでは同意取得の実効性を高める方向も議論されており、将来の規制強化に備えた運用への移行が求められます。

課徴金制度が導入されれば、違反への金銭的なペナルティが現実味を帯びます。これまでの行政指導中心の運用と比べ、「気づかずに違反していた」では済まされない場面が増える可能性があります。とはいえ、過度に恐れて施策を止める必要はありません。大切なのは、扱うデータの取得目的と提供先を説明できる状態にしておくこと、そして本人からの求めに応じて開示・訂正・利用停止に対応できる体制を持つことです。これらは本来どの事業者も備えるべき基本であり、改正はその徹底を促すものと捉えると、対応の方向性が見えやすくなります。

いま点検しておきたいこと

準備として着手しやすいのは、次のような棚卸しです。下表に、EC事業者が見直しておきたい代表的な項目を整理しました。いきなり完璧を目指す必要はなく、「自社がどんな個人情報を、どこから取得し、どこへ渡しているか」を可視化することから始めると、改正内容が固まった際に素早く対応できます。

物流委託と個人情報——発送代行に渡すデータ

配送には必ず個人情報が伴う

見落とされがちですが、商品の配送には必ず顧客の氏名・住所・電話番号といった個人情報が伴います。発送代行や配送会社にこれらのデータを渡すことは「個人データの取扱いの委託」にあたり、委託元であるEC事業者には、委託先を適切に監督する義務があります。委託先が個人情報を安全に管理しているか、契約で取扱いのルールを定めているか、漏えい時にどう連携するか——こうした点は、改正の有無にかかわらず本来求められるものですが、規律強化の流れの中でいっそう重要になります。委託先選びは、料金やスピードだけでなく、情報管理の体制も評価軸に入れるべきです。

信頼できる出荷パートナーを選ぶ

発送代行を選ぶ際は、倉庫の入退室管理やシステムのアクセス権限、個人情報の保管・廃棄ルールなどが整備されているかを確認すると安心です。STOCKCREWは導入実績2,200社以上、AMR110台による自動化オペレーションで、多数の事業者の出荷と、それに伴う顧客情報を扱ってきた実績があります。初期費用0円・固定費0円で始められ、基本配送料は全国一律260円〜。個人情報の適正な取扱いを前提に、出荷・配送を任せられる体制を整えています。データ保護は「守るほどコストがかかるだけのもの」ではなく、顧客の信頼を守り、事業を継続するための投資です。委託先の選定基準は発送代行完全ガイドも参考にしてください。

まとめ：データの扱いは「信頼」の土台

個人情報保護法の3年ごと見直しに基づく改正案が、2026年4月7日に閣議決定されました。柱は、課徴金制度の導入、Cookie ID等の個人関連情報の規制強化、そしてAI・統計利用に関する同意例外の整理という「守りと攻め」の両面です。施行は成立後おおむね2年以内（2028年頃）の見込みですが、社内ルール・契約・システム・委託先の点検には時間がかかるため、準備は今から始めるのが得策です。EC事業者は、広告・メール・購買履歴といったマーケティングデータに加え、配送のために委託先へ渡す個人情報の管理まで、幅広く見直しておきましょう。データを正しく扱うことは、顧客の信頼という事業の土台を守ることに直結します。なお本記事は概要の解説であり、個別の対応は専門家にご確認ください。

出荷側のデータ管理も含めて体制を整えたい方は発送代行完全ガイドを、STOCKCREWのサービス全体像はSTOCKCREW完全ガイドをご覧ください。委託先の情報管理体制の相談はお問い合わせから、サービス詳細は資料ダウンロードからご確認いただけます。