令和8年 個人情報保護法 改正デスクR8 PIPL WATCH

民間の解説サイトです。個人情報保護委員会などの国の機関の公式の窓口ではなく、届出や相談の受付はしていません。運営者情報

業種別ナビゲーション ／ 更新 2026-11-06

情報・IT・広告・調査の31業種

業種別の入口から分けた、31業種の節です。業種ごとに、令和8年改正のうちまず見る3テーマを挙げています。

名簿・広告・SaaS・コールセンター・マッチングアプリ・メディア・求人媒体・探偵業などの31業種について、先に確認する3テーマを整理します。ほかの業種は業種別の入口にあります。該当するかどうかは個別に判断が必要で、このページは判定しません。

4. 営業リスト・名簿を扱うマーケティング事業者

名簿を第三者に提供している、またはオプトアウト（本人が止めるよう求めれば提供を止める前提で、同意なく第三者提供できる制度）の届出をしている業種です。まず見ておくとよいのは次の3テーマです。

  1. オプトアウト制度の強化: オプトアウト届出事業者（名簿屋等）を対象に、第三者提供時の提供先の身元・利用目的の確認義務が新設される、この業種に直接関係するテーマです。
  2. 連絡可能個人関連情報の不適正利用・不正取得の禁止: 電話番号・メールアドレス等を含む名簿・リストの取扱いに関係します。
  3. 課徴金制度: 対象4類型には第三者提供の制限違反も含まれており、名簿の提供方法によっては関係しうるテーマです。

この業種で先に読むページ: 漏えい等報告・本人通知義務の緩和（顧客・取引先の個人データを保有する業種として、漏えい等が起きた場合の報告・通知の扱いを確認できます）。

8. コールセンター受託事業者

依頼元企業から個人データの取扱いを受託し、大量の電話番号・メールアドレス等を扱う業種です。まず見ておくとよいのは次の3テーマです。

  1. 委託先における個人データ等の適正な取扱い: 依頼元企業からの委託を受けて個人データを取り扱う立場として、委託先としての新しい義務・免除規定に直接関係するテーマです。
  2. 連絡可能個人関連情報の不適正利用・不正取得の禁止: 電話番号・メールアドレス等の連絡先情報を大量に取り扱う業種として、不適正利用・不正取得の禁止規定を確認しておく意味があります。
  3. 漏えい等報告・本人通知義務の緩和: 受託して取り扱うデータで漏えい等が起きた場合の報告・通知の扱いに関係します。

13. BPO・データ入力代行事業者

顧客企業から個人データを含む業務（データ入力、書類のスキャン・電子化、名簿の整備等）を受託する業種です。委託元の指示に従って機械的に作業を行う場面が多い点が特徴です。まず見ておくとよいのは次の3テーマです。

  1. 委託先における個人データ等の適正な取扱い: 委託を受けた業務の遂行に必要な範囲を超えて取り扱ってはならない義務が委託先に新たに明文化される一方、委託元の指示に従って機械的にデータ入力等を行うのみの場合は、契約で定めた条件を満たせば義務の一部が免除される規定も新設される、この業種に直接関係するテーマです。
  2. 連絡可能個人関連情報の不適正利用・不正取得の禁止: 入力・整備を受託するデータに電話番号・メールアドレス等の連絡先情報が含まれる場合に関係しうるテーマです。
  3. 漏えい等報告・本人通知義務の緩和: 受託して取り扱うデータで漏えい等が起きた場合の報告・通知の扱いに関係します。

34. SMS配信代行・メール配信代行事業者

クライアント企業から預かった電話番号・メールアドレス宛てに、SMS・メールの配信を代行する業種です。4番の営業リスト・名簿を扱うマーケティング事業者とは異なり、名簿そのものを保有・提供するのではなくクライアントに代わって配信を実行する立場である点が特徴です。まず見ておくとよいのは次の3テーマです。

  1. 連絡可能個人関連情報の不適正利用・不正取得の禁止: 配信先の電話番号・メールアドレスの取得・利用方法が、この業種に直接関係する中心テーマです。
  2. 委託先における個人データ等の適正な取扱い: クライアント企業から配信業務の委託を受ける構造を取っている場合、委託先としての新しい義務・免除規定の対象になり得ます。
  3. 漏えい等報告・本人通知義務の緩和: 預かった配信先情報の漏えい等が起きた場合の報告・通知の扱いに関係します。

37. 広告代理店・アドテク事業者（Cookie ID等を扱う場合）

広告主から預かった、またはWebサイト上で収集したCookie ID・メールアドレス等を用いて、ターゲティング広告の配信・効果測定を行う業種です。4番の営業リスト・名簿を扱うマーケティング事業者とは異なり名簿を第三者へ販売する立場ではなく、38番のMAツール・CRM SaaS事業者とも異なり顧客企業から連絡先データの管理を預かる立場でもなく、Cookie ID等の連絡可能個人関連情報を広告配信のために自ら収集・利用する立場である点が特徴です。まず見ておくとよいのは次の3テーマです。

  1. 連絡可能個人関連情報の不適正利用・不正取得の禁止: Cookie ID・メールアドレス等の取得・利用方法が、この業種に直接関係する中心テーマです。
  2. 委託先における個人データ等の適正な取扱い: 広告主から広告運用業務の委託を受ける構造を取っている場合、委託先としての新しい義務・免除規定の対象になり得ます。
  3. 漏えい等報告・本人通知義務の緩和: 収集・保有するCookie ID等が漏えい等した場合の報告・通知の扱いに関係します。

38. MAツール・CRM SaaS事業者（連絡先データを預かる場合）

顧客企業から預かった見込み客・既存顧客の氏名・メールアドレス・電話番号等の連絡先データを、マーケティングオートメーション（MA）や顧客管理（CRM）のクラウドサービス上で管理する業種です。4番の営業リスト・名簿を扱うマーケティング事業者とは異なり名簿を保有・第三者提供する立場ではなく、37番の広告代理店・アドテク事業者とも異なり自ら広告配信のためにデータを収集・利用する立場でもなく、顧客企業から連絡先データの管理を預かる立場である点が特徴です。まず見ておくとよいのは次の3テーマです。

  1. 委託先における個人データ等の適正な取扱い: 顧客企業から連絡先データの管理業務の委託を受ける構造を取っている場合、委託先としての新しい義務・免除規定に直接関係する中心テーマです。SaaSの開発・保守を担う側の整理は受託開発・Web制作・SaaS事業者の委託先の義務も参照。
  2. 連絡可能個人関連情報の不適正利用・不正取得の禁止: 管理する連絡先データの取得・利用方法に関係します。
  3. 漏えい等報告・本人通知義務の緩和: 預かった連絡先データが漏えい等した場合の報告・通知の扱いに関係します。

30. 生成AI・チャットボットサービス事業者

自社で生成AIチャットボットサービスを提供し、利用者との会話ログを個人情報として保有・管理する業種です。統計作成等の特例が扱うのは、他社の個人データ・要配慮個人情報をAI開発のために学習利用する事業者ですが、本カテゴリは自社サービスの利用者データを扱う立場という違いがあります。まず見ておくとよいのは次の3テーマです。

  1. 委託先における個人データ等の適正な取扱い: クライアント企業から会話データの分析を受託する場合、委託先としての新しい義務・免除規定の対象になり得る、この業種に直接関係するテーマです。
  2. 漏えい等報告・本人通知義務の緩和: 会話ログに含まれる個人情報が漏えい等した場合の報告・通知の扱いに関係します。
  3. 統計作成等の特例: 蓄積した会話ログを統計情報等の作成やAIモデルの改善に用いる場合、本人同意なき第三者提供等を可能にする特例の対象になり得ます。

33. マーケティングリサーチ会社・世論調査会社

市場調査・世論調査のために個人データを収集し、統計情報として分析・提供する業種です。30番の生成AI・チャットボットサービス事業者（自社サービスの利用者データを扱う立場）とは異なり、統計情報そのものの作成・提供を業とする読者の違いがあります。まず見ておくとよいのは次の3テーマです。

  1. 統計作成等の特例: 複数の事業者が持つ調査データを共有し横断的に解析する場面で、本人同意なき第三者提供等を可能にする特例の対象になり得る、この業種の中心テーマです。
  2. 委託先における個人データ等の適正な取扱い: クライアント企業から調査業務を受託する場合、委託先としての新しい義務・免除規定に関係するテーマです。
  3. 漏えい等報告・本人通知義務の緩和: 調査対象者の個人データが漏えい等した場合の報告・通知の扱いに関係します。

18. 探偵・興信所等の情報調査業

調査対象者やその関係者の所在・連絡先等の情報を業務として取得する業種です。改正では、情報を取得する行為そのものを対象にした罰則（不正取得罪の新設）と、電話番号・メールアドレス等の連絡先情報に関する新しい禁止規定（連絡可能個人関連情報）の両方に関係しうる点が特徴です。まず見ておくとよいのは次の3テーマです。

  1. 罰則（不正取得罪の新設）: 欺く・脅迫する行為、財物の窃取、不正アクセス行為等、不正な手段により個人情報を取得した場合の罰則が新設されます（2027年1月17日施行）。情報収集の手段がこの構成要件に触れないかを確認しておく意味があります。
  2. 連絡可能個人関連情報の不適正利用・不正取得の禁止: 調査対象者やその関係者の電話番号・メールアドレス等、連絡先情報の取得・利用に関係するテーマです。
  3. 漏えい等報告・本人通知義務の緩和: 調査で得た個人情報の漏えい等が起きた場合の報告・通知の扱いに関係します。

この業種で先に読むページ: 委託先における個人データ等の適正な取扱い（調査の依頼元や再委託先との間で個人データをやり取りする場合の規律を確認できます）。

26. eKYC・本人確認サービス事業者

selfie（自撮り画像）と本人確認書類の顔写真との照合等により、他の事業者から本人確認業務を受託して提供する業種です。10番・11番・15番・17番（自社の施設・サービスで顔認証を直接利用する事業者）とは異なり、本カテゴリは本人確認の技術・サービスを開発し、クライアント企業へ提供する立場という読者の違いがあります。まず見ておくとよいのは次の3テーマです。

  1. 顔特徴データ等: selfieとICカード等の顔照合により本人を識別する目的で顔特徴データを扱っている場合に直接関係する、この業種の中心テーマです。周知の義務付け・オプトアウト提供の禁止・利用停止等請求という3つの規律が新設されます。
  2. 委託先における個人データ等の適正な取扱い: クライアント企業から本人確認業務を受託する立場として、委託先としての新しい義務・免除規定に直接関係するテーマです。
  3. 漏えい等報告・本人通知義務の緩和: 本人確認データの漏えい等が起きた場合の報告・通知の扱いに関係します。

28. マッチングアプリ運営者

会員間で氏名・連絡先等をやり取りする仲介の場を提供し、利用者の年齢確認も行う業種です。12番のこども向けスマホアプリ・ゲーム開発事業者とは異なり、想定利用者が原則成人である点が特徴です。まず見ておくとよいのは次の3テーマです。

  1. 連絡可能個人関連情報の不適正利用・不正取得の禁止: 連絡先情報のうち、個人情報に当たらない連絡可能な個人関連情報等を扱う場合に確認するテーマです。氏名等と容易に照合できる会員情報には、従来の個人情報の規律が適用されます。
  2. こどもの個人情報（16歳未満）: 年齢確認の場面で16歳未満の利用者を確認した場合の法定代理人の関与など、一般的な留意点として関係します。12番とは異なり、本カテゴリは想定利用者が主に成人であるサービスを前提とします。
  3. 漏えい等報告・本人通知義務の緩和: 会員の連絡先情報を含むデータの漏えい等が起きた場合の報告・通知の扱いに関係します。

25. クラウドファンディング・寄付仲介プラットフォーム運営者

支援者・寄付者と実行者・団体との間を仲介し、双方の氏名・連絡先等の個人情報を取り次ぐ業種です。クラウドファンディング運営事業者とNPO等への寄付仲介プラットフォームは、支援者情報を実行者・団体へ取り次ぐ同一の仲介構造のため、ここでは1カテゴリとして扱います。14番のフリマ・オークションサービス運営者、16番のフードデリバリー・配達代行・ライドシェア仲介プラットフォーム事業者と同じ、三者間の情報流通を仲介する立場という系譜に位置づけられます。まず見ておくとよいのは次の3テーマです。

  1. 連絡可能個人関連情報の不適正利用・不正取得の禁止: 支援者・寄付者への連絡が可能な情報のうち、個人情報に当たらない個人関連情報等を扱う場合に確認するテーマです。氏名と結び付いた連絡先等の個人情報には、従来の個人情報の規律が適用されます。
  2. 課徴金制度: 対象行為に係る本人の数について1,000人を基準とする大規模事案への限定があります。支援者の総数だけで対象になるわけではなく、対象行為・主観的要素・権利利益の侵害等の要件も確認する必要があります。
  3. 委託先における個人データ等の適正な取扱い: 決済代行等を外部委託する場合は委託元の立場です。一方、他の事業者から個人データ等の処理を受託する場合には、委託先としての新しい義務・免除規定との関係を確認します。

この業種で先に読むページ: 漏えい等報告・本人通知義務の緩和（顧客・取引先の個人データを保有する業種として、漏えい等が起きた場合の報告・通知の扱いを確認できます）。

65. 出版社・新聞社・Webメディア・フリーランス記者

この節で想定する場面は、取材対象者の氏名・顔写真、読者アンケート、メルマガ会員、報道目的の適用除外を扱う場合です。

取材した人の氏名・顔写真を記事にし、読者アンケートやメルマガ・読者会員の名簿を持ち、配信や会員管理を外部のシステムに任せている場合がある事業者です。個人情報保護法第57条第1項第1号は、放送機関、新聞社、通信社その他の報道機関（報道を業として行う個人を含む）が、個人情報等を取り扱う目的の全部または一部が報道の用に供する目的であるときは、同章の規定を適用しないと定めています。同条第2項は「報道」を、不特定かつ多数の者に対して客観的事実を事実として知らせること（これに基づいて意見または見解を述べることを含む）とし、同条第3項は安全管理や苦情処理の措置を自ら講じて公表する努力義務を置いています（e-Gov法令検索で確認）。条文は、報道以外の目的で使う部分をどう扱うかまでは書いていません。メルマガ・会員の名簿を、報道とは別の目的（販売促進など）で使う部分が適用除外に入るかは、このサイトでは判断できません。まず見ておくとよいのは次の3テーマです。

  1. 漏えい等報告・本人通知義務の緩和: 会員名簿や読者アンケートの回答、取材メモを入れた端末の紛失、会員管理システムへの不正アクセス、メルマガの誤送信などが起きた場合に、適用除外の範囲にない取扱いについて関係します。規則で定める範囲は未確定です。
  2. 委託先における個人データ等の適正な取扱い: メルマガの配信、会員管理、アンケートの集計、記事の配信基盤などを外部の会社に任せ、会員の氏名・メールアドレスを渡している場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。
  3. 連絡可能個人関連情報の不適正利用・不正取得の禁止: 会員の電話番号・メールアドレスや、サイトの閲覧に付くCookie IDなどを、広告配信や外部との共有に使う場合に、不適正利用・不正取得の禁止規定の対象になるかを確認しておく意味があります。

報道目的の取扱いに当たるか、フリーランスの記者や著述を業とする者（同条第1項第2号）がどこまで含まれるかは、事情によって変わります。顧問弁護士または個人情報保護委員会にご確認ください。

67. スマート家電・IoT機器・見守りカメラのメーカー・販売事業者

この節で想定する場面は、音声・映像・位置情報の取得、アプリ会員、海外クラウド保存を扱う場合です。

スマートスピーカー、見守りカメラ、スマート家電などの機器を作ったり売ったりし、機器で取得した音声・映像・位置情報を、アプリの会員情報とあわせてクラウドに保存し、そのサーバが海外にある場合がある事業者です。映像に顔が写る、会員の氏名や連絡先と結び付くなど、特定の個人を識別できる場合は個人情報に当たり得ます。まず見ておくとよいのは次の3テーマです。

  1. 委託先における個人データ等の適正な取扱い: クラウドの運用、アプリの開発・保守、問い合わせ対応を外部の会社に任せている場合に、任せる側の監督と、任される側に新設される義務（法第30条の3）が関係します。サーバが外国にある場合の、外国にある第三者への提供（法第28条）との関係は越境移転のページで整理しています。当たるかどうかは、契約や取扱いの実態によります。
  2. 漏えい等報告・本人通知義務の緩和: 機器やクラウドへの不正アクセスで、音声や映像、会員情報が漏れた場合の報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。
  3. 顔特徴データ等に関する規律: 見守りカメラの映像から顔特徴データを作成して照合などに使う機能がある場合にだけ関係します。映像を保存しているだけで当たるとは限りません。対象となる範囲は政令でまだ決まっていない部分があります。

位置情報・移動履歴・端末IDを扱う場合（体重計やウェアラブルの機器データ、地図・配達アプリなど）に、令和8年改正で関わる点を、確認できたものだけ書きます。確認日は 2026-10-15 です。

  • e-Govで確認した個人情報保護法の条文に「位置情報」という語はありません。位置情報や端末IDそのものを名指しした改正条文は、確認できていません。
  • 端末IDなど、個人情報・仮名加工情報・匿名加工情報のどれにも当たらない、生存する個人に関する情報は「個人関連情報」（法第2条第7項）で、提供先で個人データになる場合の第三者提供には法第31条の制限があります。改正で追加される連絡可能個人関連情報の範囲は連絡可能個人関連情報のページのとおり、規則で定める部分が未確定です。
  • 個人情報保護委員会事務局が2026-10-14に示した「基本的な考え方について③」（案であり、決定ではありません）は、課徴金の対象外とする場合の条件として、提供した個人データに「蓄積された位置情報、購買履歴等」が含まれないことを挙げています。位置情報が蓄積されたデータの第三者提供は、対象外の候補から外れる方向の案です。詳しくは課徴金のページを参照してください。
  • 同じ資料の参考資料には、委員会事務局のレポートの記述が引用されています。ある一時点の位置情報だけでは一般に個人情報に当たりませんが、連続して蓄積されると移動履歴になり、深夜や日中の滞在地点から自宅や勤務先を推測できる場合がある、という内容です。これは匿名加工情報の作成に関する説明の引用であり、改正で新設される規律ではありません。

取得した音声や映像が個人情報に当たるか、利用目的をどう知らせるか、外国にある第三者への提供に当たるかは、機器の機能や契約の形によって変わるため、このサイトでは判断できません。子どもが使う機器の場合はこどもの個人情報も参照してください。顧問弁護士または個人情報保護委員会にご確認ください。

72. ライブ配信者・配信事務所・動画配信プラットフォーム運営者

この節で想定する場面は、視聴者のコメント・投稿者情報、出演者の顔、収益化の本人確認、未成年配信者を扱う場合です。

YouTube・ニコニコ生放送のような動画配信サービスで配信する個人や、配信者を所属させて活動を支える事務所、そして視聴者がコメントを書き込める配信の場を運営する事業者です。視聴者のアカウント名やコメント、配信に映る出演者の顔、収益化のために集める配信者の本人確認書類や口座情報が、この節で扱う情報です。顔画像から作る特徴データで本人を識別する仕組みは顔特徴データ等のページにあり、この節は顔認証を使わない通常の配信に絞っています。アカウント名やコメントだけでも、氏名・連絡先・投稿内容などと容易に照合できて特定の個人が分かるものは、個人情報の保護に関する法律（法第2条第1項。e-Gov法令検索で確認）の対象になりえます。配信者の本人確認書類や口座情報は、事務所やプラットフォームが名簿にして持てば個人情報データベース等として扱う場面があります。まず見ておくとよいのは次の3テーマです。

  1. 漏えい等報告・本人通知義務の緩和: 配信者の本人確認書類・口座情報の管理画面からの流出や、視聴者の登録情報の不正アクセスによる漏えいなどが起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。
  2. 委託先における個人データ等の適正な取扱い: 配信システムの運用、本人確認の代行、投稿の監視、収益の支払処理などを外部に任せている場合に、任せる側の監督と、任される側に新設される義務（法第30条の3）が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
  3. こどもの個人情報: 16歳未満の配信者や、その保護者の同意のもとで活動する出演者の情報を集める場合に関係します。何が決まっていて何が未確定かは、こどもの個人情報のページで分けて書いています。

出演者の顔が映る映像を配信や切り抜きに使ってよいか、コメントの削除や発信者の開示請求に応じる範囲、収益化の本人確認で集める情報の範囲など、個別の場面の判断はこのサイトではできません。顧問弁護士または個人情報保護委員会にご確認ください。

79. 携帯電話販売店・通信サービスの代理店

この節で想定する場面は、契約時の本人確認書類の確認、キャンペーン用の勧誘リスト、委託元の通信事業者との情報共有です。

携帯電話会社などの通信事業者のために契約の取次ぎや代理を行い、運転免許証などの本人確認書類を見て、契約者の氏名・住居・生年月日を確かめる店舗・代理店です。26番のeKYC事業者が本人確認の技術を提供する立場であるのに対し、この節は店頭やオンラインで契約を取り次ぐ立場です。携帯電話の契約時の本人確認は、携帯音声通信事業者による契約者等の本人確認等及び携帯音声通信役務の不正な利用の防止に関する法律（携帯電話不正利用防止法）が定めており、同法第6条は、携帯音声通信事業者が本人確認を、契約の媒介・取次ぎ・代理を業として行う者（媒介業者等）に行わせることができるとしています。事業者は、本人確認が確実に行われるよう媒介業者等を監督しなければなりません（同法第12条）。本人確認記録の作成は第4条第1項に、携帯音声通信事業者が記録を契約の終了から3年間保存することは第4条第2項に定められています（e-Gov法令検索で確認）。まず見ておくとよいのは次の3テーマです。

  1. 委託先における個人データ等の適正な取扱い: 通信事業者から契約の受付や取次ぎを任され、契約者の情報を扱っている場合は、受託した側として、委託された業務に必要な範囲を超えて取り扱ってはならないという義務が明文化されます（法第30条の3）。委託元の指示と自店の判断を分けて確認します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
  2. 漏えい等報告・本人通知義務の緩和: 本人確認書類の写しや申込書の紛失、店頭の受付端末からの流出などで漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。
  3. 連絡可能個人関連情報の不適正利用・不正取得の禁止: キャンペーンの勧誘で、氏名と結び付いていない電話番号やメールアドレスのリストを取得・利用する場合に関係します。氏名とともに管理している顧客リストは、この規律ではなく通常の個人情報の規律で考えます。

本人確認の方法の細目は総務省令で定められています。書類の写しをどこに保存するか、通信事業者と代理店のどちらがどの情報を持つか、委託元との情報共有をどこまで行ってよいかなど、個別の場面の判断はこのサイトではできません。通信事業者の指示と契約の内容を確かめたうえで、顧問弁護士、総務省、個人情報保護委員会にご確認ください。電話番号やメールの配信を外部に任せる場合は34番のSMS・メール配信代行の節、顔画像を使った本人確認の仕組みは26番の節も見てください。

84. 名刺管理・取引先担当者情報を扱うBtoB事業者

この節で想定する場面は、名刺アプリ・商談履歴・展示会で集めた名刺・取引先担当者の個人データを扱う場合です。

取引先の担当者と交換した名刺や、展示会・セミナーで集めた名刺を、名刺管理アプリや社内の顧客台帳に登録し、商談の履歴と一緒に社内で共有している場合がある事業者です。法人の取引先であっても、名刺に載る担当者個人の氏名・勤務先・連絡先は個人情報です。これらを電子計算機で検索できるように体系的に構成した集合物は、個人情報データベース等に当たります（法第16条第1項第1号）。紙の名刺でも、一定の規則に従って整理し容易に検索できる状態なら政令の定めに当たり得ます（同項第2号、施行令第4条第2項。いずれもe-Gov法令検索で確認）。データベース等を事業の用に供していれば個人情報取扱事業者となります（法第16条第2項）。営業リストを売買する場合は4番が、CRMを提供する側は38番が関係します。まず見ておくとよいのは次の3テーマです。

  1. 委託先における個人データ等の適正な取扱い: 名刺アプリやクラウドの顧客台帳に名刺の情報を預ける場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
  2. 漏えい等報告・本人通知義務の緩和: 名刺の束や名刺アプリの入った端末の紛失、名刺データの誤送信、アカウントへの不正アクセスなどで漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。
  3. 課徴金制度: 対象の類型には第三者提供の制限違反も含まれており、名刺の情報を外部に渡す方法によっては関係し得るテーマです。課徴金の細目は政令・規則で定められる予定で、確定していません。

名刺の交換で受け取った情報について、利用目的の通知や公表を省けるのは、取得の状況から利用目的が明らかと認められる場合（法第21条第4項第4号）に限られます。営業メールの配信、グループ会社との共有、商談履歴の社内共有、第三者への提供に使ってよいかは、取得時の状況や利用目的の書き方によって変わるため、このサイトでは判断できません。個人データを第三者に提供するときは、原則として本人の同意が必要です（法第27条第1項）。共同して利用する形を取る場合の要件は法第27条第5項第3号にあります。顧問弁護士または個人情報保護委員会にご確認ください。

85. バックオフィスSaaS提供事業者

この節で想定する場面は、勤怠管理・給与計算・クラウド会計・電子契約などのサービスで、顧客企業の従業員や取引先の個人データを預かる場合です。

顧客企業が入力した従業員の氏名・住所・給与や勤怠の記録、取引先担当者の連絡先などを、クラウド上で保管・処理する立場の場合がある事業者です。顧客企業から取扱いの委託を受けている構造であれば、顧客企業側には委託先の監督（法第25条）が、利用目的の達成に必要な範囲での委託に伴う提供は第三者提供に当たらない扱い（法第27条第5項第1号。いずれもe-Gov法令検索で確認）があります。MAツール・CRMの事業者は38番、名刺アプリは84番が関係します。まず見ておくとよいのは次の3テーマです。

  1. 委託先における個人データ等の適正な取扱い: 預かる側として新設される義務（法第30条の3）と、顧客企業との契約の定め方に直接関係する中心テーマです。開発・運用側の整理は受託開発・Web制作・SaaS事業者の委託先の義務、契約書の論点は委託先契約で定める事項の3論点を参照。
  2. 漏えい等報告・本人通知義務の緩和: 不正アクセスや設定ミスで預かったデータが漏えいした場合の、顧客企業への通知と委員会への報告の関係に関わります。他の事業者から取扱いの委託を受けた者が規則に従い委託元へ通知したときは報告が不要となる整理があります（法第26条第1項ただし書）。規則で定める範囲は未確定です。
  3. 課徴金制度: 預かったデータを委託の範囲を超えて自社の目的で使う、外部に渡すといった場合には、第三者提供の制限違反の類型に関係し得るテーマです。課徴金の細目は政令・規則で定められる予定で、確定していません。

預かったデータを自社のサービス改善や統計に使えるか、顧客企業から見て委託に当たるかどうかは、契約の内容と取扱いの実態によって変わるため、このサイトでは判断できません。顧問弁護士または個人情報保護委員会にご確認ください。

87. 電話代行・受付代行・秘書代行・翻訳通訳などの代行サービス事業者

この節で想定する場面は、他社の顧客の連絡先や通話内容のメモを、取り次ぎのために扱う場合です。

依頼企業に代わって電話に出る、来客や問い合わせを受け付ける、予定を調整する、文書や会話を翻訳・通訳するなど、依頼企業の顧客や取引先の氏名・連絡先・用件のメモを預かる場合がある少人数の事業者です。大規模な受託の整理は8番のコールセンターと13番のBPOにあり、ここでは重複を避けて、少人数の事業者が確認する点に絞ります。依頼企業から見れば取扱いの委託に当たり得るため、依頼企業には委託先の監督（法第25条）が関係します。まず見ておくとよいのは次の3テーマです。

  1. 委託先における個人データ等の適正な取扱い: 依頼企業から連絡先や通話内容のメモを預かる立場として、新設される義務（法第30条の3）と契約の定めに直接関係する中心テーマです。契約書の論点は委託先契約で定める事項の3論点を参照。
  2. 漏えい等報告・本人通知義務の緩和: 取り次ぎメモの誤送信、通話記録の紛失、端末の盗難などが起きた場合に、依頼企業へ通知することと報告の関係に関わります（法第26条第1項ただし書）。規則で定める範囲は未確定です。
  3. 課徴金制度: 預かった連絡先を依頼企業の指示と異なる目的で使う、他へ渡すといった場合には、第三者提供の制限違反の類型に関係し得るテーマです。課徴金の細目は政令・規則で定められる予定で、確定していません。

通話内容の録音や、翻訳・通訳で扱う内容が要配慮個人情報を含むかどうかは、依頼の中身によって変わるため、このサイトでは判断できません。顧問弁護士または個人情報保護委員会にご確認ください。

89. 印刷・DM発送・封入封緘・データプリント業者

この節で想定する場面は、依頼企業から顧客名簿や宛名データを受け取る場面です。

宛名印字や封入封緘、DMの発送のために、依頼企業の顧客の氏名・住所などの名簿データを預かる事業者です。営業リストを扱うマーケティング事業者は営業リスト・名簿を扱うマーケティング事業者、メール・SMSの配信はSMS配信代行・メール配信代行事業者にあり、ここでは紙の発送と宛名データの受け渡しに絞ります。依頼企業から見れば取扱いの委託に当たり得るため、依頼企業には委託先の監督（法第25条）が関係します。まず見ておくとよいのは次の3テーマです。

  1. 委託先における個人データ等の適正な取扱い: 宛名データを預かる立場として、新設される義務（法第30条の3）と契約の定めに直接関係する中心テーマです。契約書の論点は委託先契約で定める事項の3論点を参照。
  2. 漏えい等報告・本人通知義務の緩和: 宛名データの紛失、封入ミスによる別人への誤送付、データを入れた媒体の盗難などが起きた場合に、依頼企業へ通知することと報告の関係に関わります（法第26条第1項ただし書）。規則で定める範囲は未確定です。
  3. 課徴金制度: 預かった名簿を依頼企業の指示と異なる目的で使う、他へ渡すといった場合には、第三者提供の制限違反の類型に関係し得るテーマです。課徴金の細目は政令・規則で定められる予定で、確定していません。

誤送付が起きたときに誰が本人へ連絡するか、名簿データを納品後にいつ消すかは、契約の内容によって変わるため、このサイトでは判断できません。顧問弁護士または個人情報保護委員会にご確認ください。

91. クラウドソーシング・外注仲介プラットフォーム

この節で想定する場面は、受注者の情報と、納品データに含まれる他人の個人情報を扱う場面です。

仕事の発注者と個人の受注者をつなぎ、受注者の氏名・口座・本人確認書類を預かり、文字起こしや翻訳、データ入力の納品物に含まれる第三者の個人情報も流れる事業者です。人材紹介は人材紹介・人材派遣事業者、データ入力の受託はBPO・データ入力代行事業者、利用者同士を結ぶ仕組みはマッチングアプリ運営者にあり、ここでは受注者への再委託と納品物の個人データに絞ります。発注者から受注者へ個人データを渡す場合は取扱いの委託に当たり得るため、発注者には委託先の監督（法第25条）が関係します。まず見ておくとよいのは次の3テーマです。

  1. 委託先における個人データ等の適正な取扱い: 発注者の資料を受注者へ回す再委託の場面で、新設される義務（法第30条の3）と契約の定めに関係するテーマです。契約書の論点は委託先契約で定める事項の3論点を参照。
  2. 漏えい等報告・本人通知義務の緩和: 納品データの誤送信、受注者の端末からの流出、受注者の本人確認書類の漏えいなどが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
  3. 課徴金制度: 預かったデータを依頼の目的と異なる形で使う、他へ渡すといった場合には、第三者提供の制限違反の類型に関係し得るテーマです。課徴金の細目は政令・規則で定められる予定で、確定していません。

受注者を個人事業主として扱う場合の本人確認書類の保管や、再委託先の範囲をどこまで認めるかは、契約の内容によって変わるため、このサイトでは判断できません。顧問弁護士または個人情報保護委員会にご確認ください。

94. ファンクラブ・オンラインサロン・有料コミュニティ運営者

この節で想定する場面は、会員の決済情報、ハンドルネームと本名の対応、未成年の会員、退会後の保管を扱う場面です。

月額や年額の会費で会員を募り、会員の氏名・住所・連絡先、会費の決済に関する情報、ハンドルネームと本名の対応表、会員向けの投稿やチャットの記録を管理しているファンクラブ・オンラインサロン・有料コミュニティの運営者です。配信者や配信の場の運営はライブ配信者・配信事務所・動画配信プラットフォーム運営者、出会いを目的とするサービスはマッチングアプリ運営者にあり、ここでは会費制の会員管理に絞ります。会員管理や決済を外部のサービスに任せている場合は取扱いの委託に当たり得るため、委託先の項目も見てください。

  1. 漏えい等報告・本人通知義務の緩和: 会員名簿や、ハンドルネームと本名の対応表の流出、決済に関わる情報の漏えいなどが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
  2. 委託先における個人データ等の適正な取扱い: 会員管理システムや決済、会員向けの連絡を外部に任せている場合に、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書の論点は委託先契約で定める事項の3論点を参照。
  3. こどもの個人情報（16歳未満）: 会員に16歳未満の人がいる場合の、本人と法定代理人の関与が関係します。例外や規則で定める事項は未確定です。

退会後に会員の記録をどれだけの期間保管してよいか、ハンドルネームと本名の対応表をどこまで運営者の間で共有できるかは、利用規約や取扱いの内容によって変わるため、このサイトでは判断できません。顧問弁護士または個人情報保護委員会にご確認ください。

104. インフルエンサーマーケティング・PR代理店

対象: インフルエンサーマーケティング会社・PR代理店・SNS運用代行事業者

この節で想定する場面は、キャンペーン応募者の情報、出演者の顔写真・動画、フォロワー分析データの受託を扱う場面です。

インフルエンサーを起用するPR代理店やSNS運用代行では、プレゼントキャンペーンの応募者の氏名・住所・連絡先、起用するインフルエンサーや出演者の顔写真・動画、広告主から預かるフォロワーの分析データやメッセージ送信先のリストが集まります。顔写真や動画は、それだけで特定の個人を識別できれば個人情報に当たります。SNSのアカウント名やメールアドレスのように本人へ連絡できるが個人情報に当たらない場合がある情報は、連絡可能個人関連情報の新しい規律（法第31条の2）が関係しえます。広告代理店・アドテクの事業全般は37. 広告代理店・アドテク事業者、メールやSMSの配信代行は34. SMS配信代行・メール配信代行事業者にあり、ここでは重ねずに、起用と運用を請け負う側が先に確認する点に絞ります。まず見ておくとよいのは次の3テーマです。

  1. 漏えい等報告・本人通知義務の緩和: 応募者リストの誤送信、運用アカウントの乗っ取り、広告主へ渡す集計ファイルの宛先間違いなどが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
  2. 委託先における個人データ等の適正な取扱い: 広告主からキャンペーンの運営や分析を任される場合の義務（法第30条の3）と、抽選や発送、動画編集を外部に任せる場合の監督（法第25条）が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
  3. 連絡可能個人関連情報: 応募の際に集めたメールアドレスなどの連絡先を、集めた目的と違う宣伝に使ったり、偽りの説明で集めたりする行為が、新設される不適正利用・不正取得の禁止に関係します。何が連絡可能に当たるかは委員会規則で定める部分で、未確定です。

応募者の情報を広告主に渡してよい範囲、出演者の動画を二次利用できる範囲、フォロワー分析データが個人データに当たるかは、契約と取扱いの実態によって変わるため、このサイトでは判断できません。顧問弁護士、所管の行政庁、個人情報保護委員会にご確認ください。

109. データセンター・レンタルサーバー・クラウド基盤の提供事業者

この節で想定する場面は、顧客のデータを預かる側として、委託元との契約、越境移転、事故時の連絡を扱う場面です。

データセンター、レンタルサーバー、クラウド基盤の提供事業者には、顧客である企業のシステムやデータが載ります。預かるデータの中身を事業者が見ない設計か、運用や保守の過程で見られる状態か、データの保管場所が海外かによって、個人情報保護法上の立場の整理が変わります。開発・SaaS側の委託の論点は開発・SaaS委託の論点で扱っているため、ここでは基盤を提供する側に絞ります。個人情報保護法は、個人データの取扱いを委託する側に対し、委託を受けた者への必要かつ適切な監督を求めています（法第25条）。外国にある第三者への個人データの提供は、条件を満たす場合を除き、本人の同意などが必要です（法第28条）。保管場所が海外のサーバーである場合の整理は外国にある第三者への提供（法第28条）の整理で確認してください。先に見ておくとよいのは次の3テーマです。

  1. 漏えい等報告・本人通知義務の緩和: 設備への不正アクセス、設定の誤りによる他の顧客への表示、障害の復旧作業中の流出などが起きた場合に、顧客である委託元との連絡と報告の分担が問題になります（法第26条第1項ただし書）。規則で定める範囲は未確定です。
  2. 委託先における個人データ等の適正な取扱い: 委託を受けた側に、委託された業務に必要な範囲を超えて取り扱ってはならないという義務が明文化されます（法第30条の3）。委託契約で取扱い方法と状況把握の措置を定める点は委託先契約で定める事項の3論点で整理しています。
  3. 罰則（2027年1月17日施行）: 業務で取り扱った個人情報データベース等を不正な利益を図る目的で提供または盗用する行為は、不正提供等罪の対象です。運用担当者による預かりデータの持ち出しは、従業者による持ち出しの典型として想定される場面に関係します。

基盤の提供事業者が個人データを「取り扱っている」と評価されるか、委託を受けた立場になるか、顧客との間で事故時の連絡をどう分担するかは、契約の内容とサービスの設計によって変わるため、このサイトでは判断できません。顧問弁護士、所管の行政庁、個人情報保護委員会にご確認ください。

115. オンラインゲーム・ソーシャルゲームの運営者

この節で想定する場面は、プレイヤーの登録情報と課金履歴を預かりながら、チャットの記録をもとに通報へ対応する場面です。

オンラインゲーム・ソーシャルゲームの運営者には、ニックネームやメールアドレス、年齢や生年月日の申告、課金や購入の履歴、チャットの記録、通報されたプレイヤーのIDと発言の記録が残ります。開発側の整理はこども向けスマホアプリ・ゲーム開発事業者の節で扱っているため、ここでは重ねず、運営で目立つ場面に絞ります。個人情報保護法は、個人情報を取得したときは、あらかじめ利用目的を公表している場合を除き、速やかに利用目的を本人に通知または公表することを求めています（法第21条第1項）。個人データの取扱いを委託するときは、委託を受けた者への必要かつ適切な監督が求められます（法第25条）。先に見ておくとよいのは次の3テーマです。

  1. こどもの個人情報（16歳未満）: 16歳未満のプレイヤーから登録情報や課金に関する情報を取得する場合に関係します。法定代理人の関与の考え方は同ページで整理しており、政令で定める部分は未確定です。
  2. 漏えい等報告・本人通知義務の緩和: 登録情報、課金履歴、チャットの記録を載せたシステムへの不正アクセスや、プレイヤーあての連絡の誤送付などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
  3. 委託先における個人データ等の適正な取扱い: 課金の決済、問い合わせ対応、チャットの監視、通報対応を外部に任せている場合、任せる側の監督（法第25条）と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。

通報を受けて運営者がチャットの記録を確認・保存してよい範囲、通報された側や保護者、捜査機関へ記録を示してよいか、課金履歴の保管期間、年齢の申告をどこまで確認すべきかは、サービスの内容と実際の運用によって変わるため、このサイトでは判断できません。通信の秘密や資金決済法、消費者保護に関する定めなど個人情報保護法以外の法律の関わりも同じです。顧問弁護士、所管の行政庁、個人情報保護委員会にご確認ください。

123. 映像制作会社・撮影プロダクション・モデル事務所・芸能事務所

この節で想定する場面は、出演者やエキストラの顔写真と契約情報、ロケ撮影に写り込む人、未成年の出演者の保護者の同意を扱う場面です。

映像制作会社・撮影プロダクション・モデル事務所・芸能事務所には、所属者や出演者の氏名・連絡先・顔写真・プロフィール、出演契約や報酬の情報、エキストラの登録情報、ロケ撮影に写り込んだ通行人の映像、未成年の出演者についての保護者とのやり取りが残ります。配信者や配信事務所は72番のライブ配信者の節、写真館は46番の写真館の節、出版社やWebメディアは65番の出版社・メディアの節で扱っているため、ここでは重ねず、出演者情報の管理に絞ります。特定の個人が分かる顔写真や映像は、個人情報の保護に関する法律（法第2条第1項）の対象になりえます。個人情報を取得したときの利用目的の通知または公表は法第21条第1項、個人データを第三者に提供するときの本人の同意は法第27条第1項に定められています。なお、顔写真そのものは顔特徴データではありません。顔から特徴情報を抽出して本人を識別できる状態にしたデータが、改正法で顔特徴データ等として扱われる対象に想定されています（詳しくは顔特徴データ等で確認できます）。先に見ておくとよいのは次の3テーマです。

  1. 漏えい等報告・本人通知義務の緩和: 出演者のプロフィールや契約書の誤送付、キャスティング用の名簿を載せたシステムへの不正アクセス、撮影素材を保存した機材の紛失などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
  2. 顔特徴データ等: 出演者の顔写真や撮影素材から顔の特徴を抽出して照合する仕組みを使う場合に関係します。顔写真や映像を保存しているだけの場合は、この項目の対象かどうかも含めて個別に確かめる必要があります。ロケの現場で顔識別機能付きのカメラを使う場合の掲示は周知事項の対応表で確かめられます。
  3. こどもの個人情報（16歳未満）: 子役や未成年のモデルの情報を、本人または保護者から取得する場合に関係します。改正法で定められる法定代理人の関与や、利用停止等請求の要件の緩和は、政令待ちの事項を含みます。「本人」が「法定代理人」に読み替わる条文は16歳未満の読替表で確認できます。

出演者の顔写真をどの範囲まで制作会社やクライアントに渡してよいか、ロケ撮影で写り込んだ通行人の映像をどう扱うか、未成年の出演者について保護者の同意をどの形で残すかは、出演契約と制作の実態によって変わるため、このサイトでは判断できません。肖像権や著作権、労働に関する法律など個人情報保護法以外の定めの関わりも同じです。顧問弁護士、個人情報保護委員会にご確認ください。

130. 求人媒体・求人サイト・転職サイト運営者

この節で想定する場面は、求職者が登録した履歴書や職務経歴を預かり、応募やスカウトの形で企業に渡し、利用状況の分析に使っている場面です。

求人媒体・求人サイト・転職サイトの運営者には、求職者の氏名・連絡先・職務経歴・希望条件、企業への応募の履歴、閲覧や応募の行動の記録、スカウトの送受信の記録、会員登録のメールアドレスや端末の識別子が残ります。人材を紹介・派遣する事業は6. 人材紹介・人材派遣事業者、採用する企業の側は99. 採用選考で応募者の情報を扱う企業にあります。ここでは、媒体の運営者が、求職者の情報を預かり、企業に渡す場面に絞ります。まず見ておくとよいのは次の3テーマです。

  1. 連絡可能個人関連情報: 氏名と結び付けずに持つメールアドレスや電話番号、閲覧や応募の行動の記録を企業に渡す場面に関係します。提供先で個人データとして取得されると想定されるときの確認は、現行の法第31条第1項に定めがあります。改正で連絡可能個人関連情報について不適正な利用と不正な取得が禁止されますが、規則で定める内容は未確定です。
  2. 委託先における個人データ等の適正な取扱い: サイトの運営、応募の通知メールの配信、利用状況の分析を外部の事業者に任せ、求職者の情報を渡している場合に関係します。任せる側の監督（法第25条）と、任される側に新設される規定の両方が論点になります。規則で定める内容は未確定です。
  3. 漏えい等報告・本人通知義務の緩和: 会員のメールアドレスの流出、応募の通知の宛先の誤り、企業への応募情報の誤送信などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。

応募の際に企業へ渡す情報について求職者の同意をどう取るか、スカウトの送信や内定辞退の予測のような分析が適切か、企業に渡す閲覧履歴が個人関連情報や個人データに当たるか、提供が委託か第三者提供かは、サービスの設計や契約によって変わるため、このサイトでは判断できません。職業安定法など個人情報保護法以外の定めの関係も判断しません。顧問弁護士、個人情報保護委員会にご確認ください。

131. 口コミ・レビュー・比較サイト・ポータルサイト運営者

この節で想定する場面は、利用者の投稿を受け付けて掲載し、投稿の削除の求めを受け、掲載先の事業者に問い合わせや予約の情報を渡している場面です。

口コミ・レビュー・比較サイト・ポータルサイトの運営者には、投稿者の会員情報・メールアドレス・投稿の履歴、投稿の文中に出てくる第三者の氏名や状況、削除や訂正を求める連絡の記録、掲載先の事業者に送る問い合わせや予約の情報、アクセスの記録が残ります。店舗や施設の側の口コミへの対応は、たとえば美容医療・不妊治療・自由診療クリニックの節にあります。ここでは、投稿を預かって掲載する運営者の側に絞ります。まず見ておくとよいのは次の3テーマです。

  1. 漏えい等報告・本人通知義務の緩和: 会員のメールアドレスやパスワードの流出、匿名で投稿したはずの投稿者の情報の流出、削除の連絡を送った相手の宛先の誤りなどが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
  2. 連絡可能個人関連情報: 会員登録や問い合わせで集めたメールアドレスや電話番号を、氏名と結び付けずに持ち、掲載先の事業者などに渡す場面に関係します。提供先で個人データとして取得されると想定されるときの確認は、現行の法第31条第1項に定めがあります。改正で連絡可能個人関連情報について不適正な利用と不正な取得が禁止されますが、規則で定める内容は未確定です。
  3. 委託先における個人データ等の適正な取扱い: 投稿の審査や監視、問い合わせの対応、サイトの運営を外部の事業者に任せ、会員や投稿者の情報を渡している場合に関係します。任せる側の監督（法第25条）と、任される側に新設される規定の両方が論点になります。規則で定める内容は未確定です。

投稿の文中にある第三者の情報が個人情報に当たる場合の扱い、本人から投稿の削除を求められたときに法第35条の利用停止等の請求の対象になるか、掲載先の事業者への情報の提供が第三者提供に当たるか、運営者が投稿者の情報を開示する場合の考え方は、サイトの設計や投稿の内容によって変わるため、このサイトでは判断できません。名誉毀損や投稿の開示請求の定めなど個人情報保護法以外の関係も判断しません。顧問弁護士、個人情報保護委員会にご確認ください。

133. 懸賞・プレゼントキャンペーンの事務局・景品配送の運営者

この節で想定する場面は、応募者の氏名・住所・連絡先を集めて抽選し、当選者に景品を発送し、発送や事務局の業務を外部の事業者に任せている場面です。

懸賞やプレゼントキャンペーンの事務局には、応募者の氏名・住所・電話番号・メールアドレス、応募の内容（アンケートへの回答を含む）、当選者の一覧、発送の記録、問い合わせの記録が残ります。キャンペーンを企画する会社が自社で事務局を持つ場合も、事務局を代行会社に任せる場合も、同じ論点があります。インフルエンサーを使った応募の企画は104番、携帯電話の販売店のキャンペーンは79番にあります。まず見ておくとよいのは次の3テーマです。

  1. 委託先における個人データ等の適正な取扱い: 応募の受付、抽選、景品の発送、問い合わせの対応を事務局の代行会社や発送業者に任せ、応募者の氏名や住所を渡している場合に関係します。任せる側の監督（法第25条）と、任される側に新設される規定の両方が論点になります。規則で定める内容は未確定です。
  2. 漏えい等報告・本人通知義務の緩和: 応募者の一覧の流出、当選通知や発送の宛先の誤り、景品の誤配送、応募フォームへの不正アクセスなどが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
  3. こどもの個人情報（16歳未満）: 子ども向けの商品のキャンペーンなどで、16歳未満の応募者の情報を集める場面に関係します。応募の受付や当選の連絡で法定代理人（保護者）がどう関わるかが論点になります。政令で定める内容は未確定です。

応募者の情報を集めるときの利用目的の通知や明示（法第21条）、応募のために集めた情報を後から別の販促に使うことが利用目的の範囲内か（法第18条）、当選者の氏名や居住地を公表するときの本人への説明、発送業者への情報の渡し方が委託か第三者提供か（法第27条第1項・第5項第1号）、景品表示法による景品類の上限など個人情報保護法以外の定めは、キャンペーンの設計によって変わるため、このサイトでは判断できません。顧問弁護士、個人情報保護委員会にご確認ください。

139. アフィリエイトサイト・ASP・ポイントサイト

対象: アフィリエイトサイト運営者・ASP・ポイントサイト運営者

この節で想定する場面は、アフィリエイトサイトの運営者が広告のリンクを貼り、ASP（アフィリエイト・サービス・プロバイダ）が成果の計測のためにクリックした人のブラウザへCookieなどのIDを付け、成果報酬の支払いのために提携先の氏名・住所・口座を預かり、広告主へ成果のデータを渡す場面です。会員の利用でポイントを付けるポイントサイトも含みます。

37番の広告代理店・アドテク事業者は広告の配信側、116番の共通ポイント運営事業者はポイントの発行側です。ここでは広告のクリックから成果の確定までを、運営者・ASP・広告主の三者で受け渡す仕組みに絞ります。Cookie IDなど、個人情報にも仮名加工情報・匿名加工情報にも当たらない、生存する個人に関する情報は個人関連情報です（法第2条第7項）。氏名などと容易に照合でき、特定の個人を識別できるものは、個人情報に当たります（同条第1項第1号）。第三者が個人関連情報を個人データとして取得することが想定されるときは、提供する側に、本人の同意が得られていることなどの確認が求められます（法第31条第1項）。成果のデータを渡された広告主が、自社の会員の情報と結び付けて個人データとして取得することが想定されるかは、仕組みごとに異なるため、このサイトでは判断しません。

  1. 連絡可能個人関連情報の不適正利用・不正取得の禁止: Cookie ID・メールアドレスなどを成果の計測や会員の連絡に使う場合に関係します。第三者提供に限らず、不適正利用と不正取得そのものが禁止される改正です。「連絡可能」に当たる記述等の範囲と施行日は未確定です。
  2. 委託先における個人データ等の適正な取扱い: ASPが広告主から成果の計測や報酬の支払いの事務を請け負う、運営者が会員管理や発送を外部に任せるなど、個人データの取扱いを任せている場合に関係します。ある取引が委託に当たるかは契約の中身で変わります。任せる側の監督（法第25条）と、任される側に新設される義務（法第30条の3）が論点になります。
  3. 漏えい等報告・本人通知義務の緩和: 報酬の支払いのために預かる氏名・住所・口座の情報や、会員の登録情報が漏えい等した場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。

ASPの利用規約や広告主との契約の定め、広告の表示の規制、Cookieの同意取得の画面の作り方、報酬の支払いに伴う税務の手続は、このサイトでは判断しません。個人情報保護法以外の法令も関係するため、顧問弁護士または個人情報保護委員会にご確認ください。

142. 営業代行・テレアポ・インサイドセールス

対象: 営業代行・テレアポ・インサイドセールスの受託会社（発注企業から預かる見込み客リスト、架電の録音、再委託先、取得経路の確認）

この節で想定する場面は、発注企業から見込み客のリストを預かって電話やメールで連絡し、結果を報告する会社が、架電を録音し、一部を別の会社へ外注し、自社でもリストを調達する場面です。

8番のコールセンター受託事業者は依頼元の顧客対応の窓口を担う会社、4番の営業リスト・名簿を扱うマーケティング事業者は名簿を売る・渡す側です。ここでは、発注企業のリストを預かって営業の連絡を代わりに行う側が、預かったデータと自社で集めたデータをどう扱うかに絞ります。

営業代行の業務ごとの確認の観点（該当性の判定ではありません）
場面確認すること条文・資料で確かめられること
発注企業から預かる見込み客リスト預かる範囲、使ってよい目的、終わった後の返却や消去、社内で触れる人ガイドライン通則編3-6-3（1）は、委託に伴って個人データが提供される場合の提供先は第三者に該当しないが、委託された業務の範囲でのみ提供元と一体のものとして扱われ、委託された業務以外に当該個人データを取り扱うことはできないとする
架電の録音録音の目的、利用目的の通知・公表、保管期間、発注企業へ渡すかどうか委員会のQ&A（A1-10）は、通話内容から特定の個人を識別できる場合は個人情報に当たり、利用目的を通知または公表する義務を負うが、録音していることを伝える義務までは負わないと説明する
架電・データ入力・録音の文字起こしの再委託先再委託先と業務内容を発注企業が把握しているか。再委託の条件を契約に書いているかガイドライン通則編3-4-4は、委託先が再委託しようとする場合、委託元が、再委託先、業務内容、取扱方法について事前報告を受けまたは承認を行うことが望ましいとする。同注記は、委託元が必要かつ適切な監督を行っていない場合に再委託先が不適切な取扱いをしたときは、元の委託元による法違反と判断され得るとする
リストの取得経路リストをだれがどこから入手したか。自社で調達するリストに、取得経路を説明できるか法第20条第1項は、偽りその他不正の手段による個人情報の取得を禁止する（e-Govで確認）。ガイドライン通則編3-3-1は、不正の手段で個人情報が取得されたことを知り、または容易に知ることができるにもかかわらず取得する場合を、不正の手段による取得の事例に挙げる

確認日は 2026-10-14 です（法はe-Govで、ガイドライン通則編とQ&Aは委員会の公表資料の本文で確認）。令和8年改正で確認するテーマは次のとおりです。決まっていないことは、まだ決まっていないものとして書いています。

  1. 委託先における個人データ等の適正な取扱い: 発注企業から個人データの取扱いを任される立場として、任される側に新設される義務（法第30条の3）が関係します。再委託の場面では、任せる側の監督（法第25条）も論点です。ある取引が委託に当たるかは契約の中身で変わり、規則で定める内容は未確定です。
  2. 連絡可能個人関連情報の不適正利用・不正取得の禁止: 電話番号・メールアドレスなどの連絡先を含むリストで営業の連絡をする業務に関係します。第三者提供に限らず、不適正利用と不正取得そのものが禁止される改正です。「連絡可能」に当たる記述等の範囲と施行日は未確定です。
  3. オプトアウト制度の強化: 取得経路をたどった先に、オプトアウトで提供された名簿が含まれる場合に関係します。オプトアウト届出事業者を対象に、提供先の身元・利用目的の確認義務が新設される改正で、規則で定める内容は未確定です。

発注企業との契約の内容、電話での営業に関するほかの法令、リストが適法に取得されたものかの判断は、このサイトでは行いません。個人情報保護法以外の法令も関係するため、顧問弁護士または個人情報保護委員会にご確認ください。

出典