令和8年改正個人情報保護法、Cookie IDの不適正利用禁止と課徴金の方向

2026年10月18日

個人情報保護委員会（PPC）は2026年10月14日、令和8年改正個人情報保護法の政令・規則の整備に向けた「基本的な考え方」の3回目（③）を決定し、公表しました。今回の対象は、Cookie IDなど特定の個人に働きかけられる情報の不適正な利用・取得の禁止、オプトアウト制度の強化、そして課徴金の導入です。改正法は2026年7月10日に成立、7月17日に公布され、施行は原則として公布から2年を超えない範囲内で政令で定める日とされています。ホームページでフォームやメルマガ、Cookieによる計測・広告を使っている中小企業の担当者にとって、「いつ、何が変わるのか」を、公式資料の範囲で整理します。本稿は個別の法律相談ではなく、政令・規則の方向性を示した資料の内容を整理したものです。法律で決まった事項と、政令・規則・ガイドラインでこれから決まる事項は、分けて読んでください。

改正の枠組みと施行時期

PPCの資料によると、改正法（令和8年法律第56号）は、適正なデータ利活用の推進、リスクに適切に対応した規律、不適正利用等防止、規律遵守の実効性確保の4つを柱とし、ほかにも取得の状況からみて本人の意思に反しない場合の同意不要、学術研究機関等に医療機関を含めることなどが含まれます。主な項目は次のとおりです。

統計情報等の作成（AI開発等を含む）にのみ使う場合は、第三者提供や公開されている要配慮個人情報の取得に、本人同意を不要とする。
16歳未満の本人については、同意取得や通知を法定代理人に対して行うことを明文化し、利用停止等の請求の要件を緩和する。
顔特徴データ等について、取扱いに関する事項の周知を義務化し、オプトアウトによる第三者提供を禁止する。
漏えい等が起きたときの本人への通知義務を、本人の権利利益の保護に欠けるおそれが少ない場合は緩和する。
データ処理等の委託を受けた事業者の義務を見直す。
個人情報ではないが、特定の個人に働きかけが可能な情報の、不適正利用と不正取得を禁止する。
オプトアウト制度で、提供先の身元と利用目的の確認を義務化する。
勧告・命令の要件の見直しや、罰則の強化、課徴金制度の導入など、規律遵守の実効性を確保する。

政令・規則の整備は、PPCが7月31日にロードマップを決め、8月26日に全体像、9月9日に進め方を決めたうえで、「基本的な考え方」を、①（9月16日）、②（10月1日）、③（10月14日）の3回に分けて決定しています。ガイドラインなどは、今後の委員会で順次検討される予定です。施行は、原則として公布の日から2年を超えない範囲内で政令で定める日で、一部の規定は先に施行されます。

Cookie IDも「連絡可能個人関連情報」として、不適正利用・不正取得を禁止

③の資料によると、現行法では、電話番号やメールアドレス、Cookie IDなどに紐付いた個人に関する情報は、他の情報と容易に照合して特定の個人を識別できる場合を除き「個人情報」に当たらず、「個人関連情報」とされます。個人関連情報は、提供先で個人データになることが想定される第三者提供だけが規律の対象です。

改正では、特定の個人に連絡を行える記述等（住所、電話番号、メールアドレス、Cookie IDなど）を含む個人関連情報を、「連絡可能個人関連情報」として、個人情報と同様に、不適正利用と不正取得を禁止します（改正法第31条の2）。資料は、この記述等を媒介に、秘匿性の高い情報が名寄せされると、プライバシー等の侵害や、その後の連絡による被害が深刻になりうる、という考え方を示しています。想定事例として、メールアドレスやCookie IDをもとに投資詐欺広告を送る例、治療支援のためだけと偽って取得したメールアドレスと健康情報を第三者に提供する例、フィッシングサイトに誘導して認証情報やカード情報を盗む例が挙げられています。禁止されるのは、不適正な利用と不正な取得という、権利利益の侵害につながる蓋然性が特に高い行為類型に限られます。アクセス解析や広告配信そのものを一律に禁じる記述は、資料にはありません。資料の注には、Cookie IDのほか、広告識別子、SNSのID、アカウントIDなども想定されると書かれています。

オプトアウトでは、提供先の身元と利用目的の確認が義務に

オプトアウト届出制度（本人の求めに応じて提供を停止することを条件に、同意なしで第三者提供できる制度）をめぐっては、名簿屋が、違法な行為をする者にも名簿を転売する悪質な名簿屋に提供する事案が起きています。そこで、オプトアウトによる第三者提供のときは、あらかじめ提供先の身元（氏名または名称、住所、代表者氏名）と利用目的を確認しなければならないとされました（改正法第27条第7項）。提供先が確認に係る事項を偽った場合は、過料の対象となります（改正法第186条第1号）。取得時点で、そのデータの全部が本人や国の機関などによって公開されていた場合などは、例外とされ、例外の範囲は規則などで定められます。名簿を買う側の企業は、提供元から確認を求められる立場になります。

課徴金は、重大で大規模な違反が対象

課徴金は、違反によって得た経済的利益を、事業者が保持できないようにするための制度です。現行法では、勧告・命令を受けて違反行為をやめれば、得た利益をそのまま持てる、という課題が指摘されています。③の資料が示す対象は、次の4つの行為類型です（法律で規定され、政令では対象外とする場合や算定方法などを定めます）。

不適正な利用の禁止（第19条）違反：違法行為や不当な差別的取扱いを行うことが想定される第三者への提供、そのための利用
適正な取得（第20条第1項）違反：偽りその他不正の手段による取得
第三者提供の制限（第27条第1項）違反
統計特例の違反（目的外利用、第三者提供）

対象となる事案は、次の要件で絞られています。

個人情報取扱事業者が、違反を防ぐための相当の注意を怠っていない場合は、対象外。
個人の権利利益が侵害された、または具体的なおそれが生じた場合（基本的に勧告等の対象になる事案）に限る。
対象行為に係る本人の数が1,000人を基準とする、大規模な事案に限る（企業の規模ではなく、本人の数の基準）。

額は、違反事業者が対象行為（または対象行為をやめること）の対価として得た金銭等の財産上の利益に相当する額とされています。衆議院の附帯決議は、事業者が過度に萎縮しないよう、納付命令の基準等について明確なガイドラインの策定を求めています。参議院の附帯決議は、ガイドラインの策定に加え、課徴金額や対象を限定する要件について、今後の見直しの検討も求めています。

自社サイトの担当者が、いま確認しておくこと

以下は、PPCの資料を踏まえ、筆者が中小企業のホームページ運用に引き直した確認点です。公式のチェックリストではありません。

フォームやメルマガで集めたメールアドレス・電話番号が、利用目的の範囲で使われているか。目的を偽って取得していないか。
計測・広告のタグ（Cookie ID等）を入れているサイトは、どのツールに、どの情報が渡っているかを一覧にしておく。
名簿や顧客リストを第三者に提供・購入していないか。していれば、提供先の身元と利用目的、提供元の身元と取得の経緯を確認できる状態か。
本人が16歳未満の場合は、同意や通知の対象が法定代理人になる（例外あり）。子ども向けのサービスや、会員に未成年が含まれるサイトは、施行前に確認する。
漏えい時の連絡先と手順（誰が、いつ、誰に連絡するか）を決めておく。

政令・規則の骨格と、今後の検討事項

課徴金は、違反に関わる本人の数が1,000人を超え、かつ違反の対価として金銭等を得た場合に限られるため、通常のサイト運営がそのまま対象になる場面は多くないと考えられます。ただし、1,000人は企業規模ではなく本人の数の基準です。また、参議院の附帯決議は、対象を限定する要件の見直しの検討にも触れています。連絡可能個人関連情報には、Cookie IDのほか、広告識別子やSNSのIDなども含まれうるとされており、タグで外部に渡している情報の把握が、今後の確認の出発点になると思われます。委託を受けた事業者自身にも義務が課される方向なので、制作会社や運用会社との役割分担も、あわせて見ておきたい点です。どこまでが「不適正」にあたるかは、ガイドラインやQ&Aで具体例が示される予定とされており、現時点では、政令・規則の骨格が見えてきた段階です。施行日が決まったら、公式の情報をもとに、プライバシーポリシーやフォームの文言の見直しを進めてください。個別の判断は、専門家やPPCの相談窓口で確認してください。

出典

2026年10月18日時点の情報です。

ほかのニュース

ニュースの一覧へ