改正個人情報保護法（2026年7月17日公布）で、広告・計測・メール配信のデータの扱いに何が効くか｜主要部分の施行日は未定、いま棚卸しておくこと

2026年7月17日に公布された改正個人情報保護法で、広告・計測・メール配信のデータに効きそうなのは4点です。メールアドレス・電話番号・住所・Cookie IDなど連絡に使える個人関連情報の「不適正な利用」と「不正な取得」の禁止、外部に預けたデータの委託先の扱い、課徴金の導入、16歳未満の同意と通知です。ただし、主要部分の施行日は政令で決まる段階で、2026年10月5日に確認した個人情報保護委員会（以下、委員会）の公表資料には、日付も、どこまでが対象になるかの細目（規則）も出ていません。

なので、いま手を付けるのは「法改正対応」より、自社のデータの一覧づくりです。どのデータを、どこで取り、何に使い、誰にどう渡しているか。一覧があれば、規則やガイドラインが出たときに、見直す場所がすぐ決まります。顧客リストを広告媒体に渡す場合の線引きのように、改正を待たず、現行のQ&Aで書かれていることもあります。

この記事は、法律の条文と委員会の公表資料で確かめたことを整理したもので、法的助言ではありません。自社の取扱いが適法かどうかの判断は、弁護士か委員会の個人情報保護法相談ダイヤルに確かめてください。「当社の読み取り」「当社の整理」と書いた部分は、公式の記載から当社がまとめたもので、確定した解釈ではありません。

公布は済んでいて、施行日はまだ決まっていない

改正法は、2026年7月10日に国会で成立し、7月17日に公布されました（令和8年法律第56号）。法律の附則第1条は、施行を、公布の日から起算して2年を超えない範囲内で政令が定める日としています。主要部分の施行日は政令で決まり、その政令は10月5日の時点で出ていません。公布から2年は、2028年7月までです（当社の計算）。

例外があります。附則第13条と第16条は公布の日に施行され、罰則の一部と公示送達の規定は、公布から6か月を経過した日に施行されます。罰則の一部には、個人情報データベース等の不正提供に「損害を加える目的」を加えることや、詐欺・不正アクセスなどによる個人情報の不正取得の罰則の新設が入っています（概要）。6か月後は、当社の数え方で2027年1月17日です。

委員会は、7月31日の資料に工程表を載せています。政令と規則を2026年末まで検討・審議し、2027年に意見募集と公布、ガイドラインとQ&Aは2027年の半ばにかけて公表、改正法の施行は2028年の春から7月の枠です。同じ表に、現時点の大まかな見込みであり、今後の状況によって変わり得るという注記があります。施行日として扱える情報ではありません。

細目は、委員会が3回に分けて「基本的な考え方」を出す流れです。9月16日の1回目と10月1日の2回目は公表されていますが、マーケに近い連絡可能個人関連情報と課徴金は、10月中旬の予定の3回目に入っています。

マーケの現場で効きそうなデータは、どれか

広告・計測・メール配信・フォームで扱うデータを、現行法で効くこと、改正で足されること、まだ決まっていないことに分けて並べました。条文番号は改正後のものです。現行法の欄は、委員会のQ&Aと概要に書かれていることだけを写しています。

この表のうち、いまの運用にすぐ関わるのは、左の2列に書いた現行法の部分です。改正で足される部分は、施行日も細目も出ていないので、「待ち」と書いて一覧に残しておけば足ります。

顧客リストを広告に渡す：改正を待たず、現行のQ&Aが線を引いている

広告媒体に顧客のメールアドレスや電話番号のリストをアップロードして、既存顧客への配信や除外に使う場面です。ここは、委員会のQ&A（Q7-41）が現行法で線を引いています。委託に伴って渡した個人データを、委託先が独自に持つ個人データや個人関連情報と本人ごとに突合することはできない、というもので、例には、既存顧客のメールアドレスをSNS事業者に渡し、SNS事業者が持つユーザーのメールアドレスと突き合わせて広告を表示することが挙がっています。

突き合わせる取扱いをするなら、2つの整理のどちらかが要る、とQ&Aは書いています。

同じ考え方で、顧客情報をデータ・マネジメント・プラットフォームに預け、プラットフォーム側がサイトの閲覧履歴などを付け足して戻すことも、委託の枠ではできないとされています（Q7-42）。広告媒体や分析基盤のアップロード機能が、委託と第三者提供のどちらの整理に当たるかは、各社の規約と仕様で別に確かめる必要があり、この記事では確かめていません。広告に返すコンバージョンの定義と学習データの整理は、当社の別の記事にもあります。

Cookie・メール・電話：連絡できる情報の「不適正な利用」が禁止される

現行法では、Cookie等の端末識別子は、個人情報に当たらないとき、通常は個人関連情報になります（Q8-1）。メールアドレスも、氏名などから個人を識別できるときや、他の情報と容易に照合できるときは個人情報で、そうでないときは通常、個人関連情報です（Q8-2）。個人関連情報を第三者に渡すとき、提供先が個人データとして取得すると想定される場合には、提供元が本人の同意を確認します（第31条、Q8-3）。

改正は、この個人関連情報のうち、特定の個人への連絡に使える記述を含むものを「連絡可能個人関連情報」と定めました（第2条第8項）。条文が挙げるのは、郵送などに使える所在地、電話番号、電子メールアドレス、通信の相手や端末を識別する符号（情報の伝達に使えるもの）、その他規則で定めるものです。この情報を、違法または不当な行為を助長し、または誘発するおそれがある方法で利用することと、偽りその他不正の手段で取得することが禁止されます（第31条の2）。仮名加工情報・匿名加工情報にも同じ趣旨の規律が入ります（概要）。

概要の図にある想定例は、メールアドレスを使ったフィッシング、メールアドレスやCookie IDを使った投資詐欺広告、治療支援のみに使うと偽って集めたメールアドレスと健康情報の他社への提供です。概要は、個人の権利利益の侵害につながる蓋然性が特に高い行為の類型に限って禁止する、と説明しています。通常の広告配信やメール配信が、ただちに禁止される条文ではない、というのが当社の読み取りです。一方で、「違法又は不当な行為を助長し、又は誘発するおそれがある方法」が具体的に何を指すかは、ガイドラインと想定例の公表を待つ段階です。

棚卸しでは、メールアドレス・電話番号・Cookie・広告IDのそれぞれについて、取得の経緯と、利用目的の説明が実際の取り方と合っているかを、一覧に書き出しておくと、細目が出たときに照らし合わせられます。計測がいまどう設定されているかを数える手順は、当社のGA4の記事にあります。

配信代行・MAなど外部に預けるとき：委託先の義務が条文になる

配信代行、MA、データ基盤のように、外部にデータを預ける場面です。現行法でも、Q&A（Q7-40）は、委託先が、渡されたデータから得た別の個人データ（広告への反応など）を、自社のために使うことを認めていません。改正は、委託先が委託業務に必要な範囲を超えて個人データ等を取り扱ってはならない旨を条文にし（第30条の3）、委託契約で取扱いの方法などを定めている場合は、委託先の個人情報取扱事業者としての義務を原則免除します（第58条の2）。範囲を超える取扱いの禁止と、安全管理の義務は、免除の対象外です。

委託元として効いてくるのは、契約です。10月1日の基本的な考え方②は、契約に書く事項の案として、対象となる情報、行う処理の内容（取得先・提供先を含む）、取扱いの始期と終期、取り扱う国や地域、書面で定めること、記録の作成と提供、漏えい等の報告、停止の求めへの対応、終了時の返還・消去を挙げています。「例えば」と添えた論点の段階で、確定した内容ではありません。いまの契約書に、こうした項目がどこまで書かれているかを見ておく、という使い方が当たります（当社の整理）。

同じ資料には、違法な個人データの第三者提供を、漏えい等と同じように委員会への報告の対象にする案もあります。本人への通知は、通知されなくても権利利益の保護に欠けるおそれが少ない場合に、代わりの措置で足りるようにする改正です。報告対象と通知の細目も、規則で定められます。

違反の重さ：課徴金が新設される

改正は、課徴金納付命令を新設しました（第148条の3以下）。概要は、経済的な誘因のある、大量の個人情報の取扱いによる悪質な違反行為を抑止するためのもの、と説明しています。条文の対象行為は、違法な行為や不当な差別的取扱いが想定される第三者への個人情報の提供、そうした第三者の求めによる利用、同意のない個人データの第三者提供（第27条第1項違反）、統計作成の特例に反する取扱い、偽りその他不正の手段による取得と利用（第20条第1項違反）です。命じられるのは、本人の数が1,000人を超える場合などに限られ、違反の対価として金銭等を得ていることと、違反を防ぐ相当の注意を怠っていたことも条件です。当社が条文を読んだ範囲では、連絡可能個人関連情報の第31条の2は、この条文の対象行為に入っていません。

概要は、統計作成の特例に反する例として、統計情報等の作成を目的に提供を受けた個人データを、統計化せずにそのまま顧客企業への広告配信サービスに使って利益を得る場合を挙げています。データの提供を受ける側が広告配信に使う場面で、提供を受けた名目と実際の使い道が一致しているかが問われる、という読み方ができます（当社の読み取り）。罰則の引き上げは、前の節のとおり公布から6か月後の施行です。

いまできる棚卸し：一覧にして、印を付けておく

細目が出ていない段階でできることは、データの一覧と、渡し方の仕分けです。最初の2つは、改正の細目を待たずに進められます。3つ目の印は、この記事の棚卸し表の区分を使います。現行で効くとした項目は、すでに適用されている内容なので、改正の施行を待たず、先に確かめる対象です（当社の整理）。

16歳未満が使うサービスがある場合は、会員登録やフォームで年齢をどう取っているかも一覧に入れます。改正は、16歳未満が本人のときの同意と通知の相手を法定代理人にします。事業者が16歳未満と知らないことに正当な理由がある場合は例外で、具体的な取り方は規則とガイドラインを待つ段階です。国会の附帯決議は、同意の取得で消費者と事業者に過度な負担を生じさせない柔軟な手法を許容するよう求めています（7月31日の資料）。

広告・計測・メール配信で使っているデータの取得元、使い道、渡し先を一覧にする作業は、Aurant Technologies の計測・データ連携の棚卸しから相談できます。法律の判断そのものは行いません。適法かどうかは、弁護士か委員会の相談窓口に確かめてください。