電話番号・メールアドレス・Cookie IDなど、個人情報には当たらないが本人へ連絡できる情報を保有・取得している事業者に関係します。マーケティングリスト・営業リスト・広告配信のためのメールアドレス収集を行っている場合は特に確認が必要です。何が新しく禁止されるのか、何がこれから委員会規則で決まるのかを分けて書きます。
1. 現行制度との違い
個人関連情報とは、電話番号、メールアドレス（氏名がアドレスに含まれないもの）、Cookie ID等に紐付いた個人に関する情報のうち、他の情報と容易に照合することにより特定の個人を識別できる場合を除き、「個人情報」に該当しないものを指します。
現行規定では、この個人関連情報は「一定の場合における第三者提供」のみが規律の対象でした。具体的には、提供元では個人データに該当しないが、提供先において個人データとなることが想定される個人関連情報を第三者提供する場合に、本人同意が得られていること等の確認を提供元に義務付けるという内容です。取得や自社での利用そのものを制限する規定はありませんでした。
今回の改正では、この個人関連情報のうち「特定の個人に対して何らかの連絡を行うことができる記述等」が含まれるものを連絡可能個人関連情報として位置づけ、第三者提供の場面に限らず、不適正利用・不正取得という2つの行為類型そのものを禁止する規定が新設されます（第31条の2）。
2. 規律の内容
(1) 対象となる記述等の範囲
一次資料が挙げる対象は、特定の個人の所在地（住居、勤務先等）、電話番号、メールアドレス、Cookie ID等の記述等で、これらを利用して特定の個人に対して連絡を行うことができるものに限るとされています。これらの記述等が含まれる仮名加工情報・匿名加工情報についても、同様の規律が導入されます。行政機関等についても同様の改正が行われます。
(2) 禁止される2つの行為
個人の権利利益の侵害につながる蓋然性の特に高い行為類型として、次の2つに限って個人情報と同様の規律（禁止）が導入されます。
- 不適正利用: 違法または不当な行為を助長し、または誘発するおそれがある方法での利用。
- 不正取得: 偽りその他不正の手段による取得。
一次資料は、規律の必要性を示す想定事例を3件挙げています。
- フィッシングサイトが、事業者のふりをしてメールアドレスを取得し、認証情報やクレジットカード情報等を窃取する。
- 投資詐欺広告がメールアドレスを取得し、その後SNS等へ誘導して財産的被害を発生させる。
- オンラインメンタルヘルスカウンセリングサービスが「治療支援目的のみに利用し第三者提供しない」と偽ってメールアドレスと健康情報を取得し、実際には他の事業者へ第三者提供する。
3. いつから
この規律は本体部分に含まれ、「公布の日から起算して2年を超えない範囲内において政令で定める日」から施行されます。上限は2028年7月16日で、実際の施行日は政令で指定されます。決定タイムラインで追記していきます。
4. 自社が該当するかを考える順序
個別の判断はできませんが、確認の順序は示せます。
- 自社が保有・取得している情報のうち、氏名等と結び付いていないため「個人情報」として管理していないメールアドレス・電話番号・Cookie ID等がないかを洗い出す。これらは連絡可能個人関連情報に当たりうる。
- マーケティングリスト・営業リストの取得経路を確認する。取得の際に虚偽の説明をしていないか、名簿の入手元が適法な経路かを点検する。
- 広告配信・メール配信のために外部から個人関連情報を購入・取得している場合、提供元がどのように取得した情報かを確認する仕組みがあるかを見直す。
- 委員会規則で「連絡可能」の範囲が示された段階で、自社が保有する記述等のうち対象に含まれるものを再点検する。
出典
- S-20個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律について」（PDF） 第3の1「特定の個人に対する働きかけが可能となる個人関連情報に関する規律」（確認日 2026-09-05）
- S-20個人情報保護委員会事務局「政令・規則等で定める事項の全体像」（PDF）（確認日 2026-09-05）
- S-02個人情報保護委員会「令和8年改正個人情報保護法」（確認日 2026-09-04）