電話番号・メールアドレス・Cookie IDなど、個人情報には当たらないが本人へ連絡できる情報を保有・取得している事業者に関係します。マーケティングリスト・営業リスト・広告配信のためのメールアドレス収集を行っている場合は特に確認が必要です。何が新しく禁止されるのか、何がこれから委員会規則で決まるのかを分けて書きます。
1. 現行制度との違い
個人関連情報とは、電話番号、メールアドレス（氏名がアドレスに含まれないもの）、Cookie ID等に紐付いた個人に関する情報のうち、他の情報と容易に照合することにより特定の個人を識別できる場合を除き、「個人情報」に該当しないものを指します。
現行規定では、この個人関連情報は「一定の場合における第三者提供」のみが規律の対象でした。対象は、渡す側（提供元）では個人データに当たらないが、受け取る側（提供先）で個人データになると想定される個人関連情報を第三者に提供する場合です。このとき、本人の同意が得られていることなどの確認が、提供元に義務付けられていました。取得や自社での利用そのものを制限する規定はありませんでした。
この確認事項は法第31条第1項に定められています。本人が16歳未満の場合は、確認する同意が「本人の法定代理人の同意」に読み替えられます（法第40条の2第2項）。読み替えられる条文の一覧は16歳未満の読替表にまとめています。
今回の改正では、個人関連情報のうち「特定の個人に対して何らかの連絡を行うことができる記述等」が含まれるものを連絡可能個人関連情報と位置づけます。そして、第三者提供の場面に限らず、不適正利用と不正取得の2つの行為そのものを禁止する規定が新設されます（第31条の2）。
2. 規律の内容
(1) 対象となる記述等の範囲
一次資料が挙げる対象は、特定の個人の所在地（住居、勤務先等）、電話番号、メールアドレス、Cookie ID等の記述等で、これらを利用して特定の個人に対して連絡を行うことができるものに限るとされています。これらの記述等が含まれる仮名加工情報・匿名加工情報についても、同様の規律が導入されます。行政機関等についても同様の改正が行われます。
(2) 禁止される2つの行為
個人の権利利益の侵害につながる蓋然性の特に高い行為類型として、次の2つに限って個人情報と同様の規律（禁止）が導入されます。
- 不適正利用: 違法または不当な行為を助長し、または誘発するおそれがある方法での利用。
- 不正取得: 偽りその他不正の手段による取得。
一次資料は、規律の必要性を示す想定事例を3件挙げています。
- フィッシングサイトが、事業者のふりをしてメールアドレスを取得し、認証情報やクレジットカード情報等を窃取する。
- 投資詐欺広告がメールアドレスを取得し、その後SNS等へ誘導して財産的被害を発生させる。
- オンラインメンタルヘルスカウンセリングサービスが「治療支援目的のみに利用し第三者提供しない」と偽ってメールアドレスと健康情報を取得し、実際には他の事業者へ第三者提供する。
| 項目 | 現行 | 改正後 | 状態 |
|---|---|---|---|
| 規律の対象となる行為 | 提供先で個人データになると想定される個人関連情報の第三者提供のみ（第31条第1項） | 第三者提供に限らず、不適正利用と不正取得の2つを禁止（第31条の2を新設） | 法律で確定 |
| 取得・自社での利用の制限 | なし | 連絡可能個人関連情報について、上の2つの禁止が及ぶ | 法律で確定 |
| 仮名加工情報・匿名加工情報 | 同様の規律なし | 同様の規律を導入（第42条第4項、第46条の2） | 法律で確定 |
| 「連絡可能」に当たる記述等の範囲 | — | 第2条第8項第5号の範囲は委員会規則で定める | 未確定 |
| 施行日 | — | 公布の日から2年を超えない範囲で政令が定める日 | 未確定 |
条文番号は本文の1と2、および関連ページ（仮名加工情報の改正）のとおりです。
3. いつから
この規律は本体部分に含まれ、「公布の日から起算して2年を超えない範囲内において政令で定める日」から施行されます。実際の施行日は政令で指定されます。決定タイムラインで追記していきます。
4. 自社が該当するかを考える順序
- 自社が保有・取得している情報のうち、氏名等と結び付いていないため「個人情報」として管理していないメールアドレス・電話番号・Cookie ID等がないかを洗い出す。これらは連絡可能個人関連情報に当たりうる。
- マーケティングリスト・営業リストの取得経路を確認する。取得の際に虚偽の説明をしていないか、名簿の入手元が適法な経路かを点検する。名簿をオプトアウト制度に基づいて受け取っている場合は、提供元から身元・利用目的の確認を求められる改正も入る（オプトアウト制度の強化）。
- 広告配信・メール配信のために外部から個人関連情報を購入・取得している場合、提供元がどのように取得した情報かを確認する仕組みがあるかを見直す。
- 委員会規則で「連絡可能」の範囲が示された段階で、自社が保有する記述等のうち対象に含まれるものを再点検する。
扱っているリストの種類別の早見表
| 扱っているもの | この改正で関わりうる点 | 確かめる点 | 参照先 |
|---|---|---|---|
| 外部から入手した営業リスト（メールアドレス・電話番号） | 氏名と結び付いていなければ個人情報に当たらず、個人関連情報として、不適正利用と不正取得の禁止の対象になりうる。 | 入手元の取得経路に偽りがないか。入手時に聞いた利用目的と実際の使い方が食い違っていないか。 | オプトアウト制度の強化 |
| 名刺・問い合わせフォームで本人から直接受け取った連絡先 | 氏名と一緒に管理していれば個人情報に当たる。氏名と切り離して連絡先だけを持つ場合は、個人関連情報としての扱いが問題になりうる。 | 連絡先だけを別のリストに分けて持っていないか。取得時に伝えた目的の範囲で使っているか。 | 個人データ取扱台帳の項目 |
| Cookie ID | 一次資料は、規律の対象の例にCookie IDを挙げている。ただし対象は、その記述等を利用して特定の個人に連絡できるものに限られる。 | そのCookie IDで、実際に個人へ連絡できる仕組みがあるか。 | まだ決まっていないこと一覧 |
| 広告識別子・SNSのID・アカウントID | 委員会事務局の案（決定ではない）は、第4号の「電気通信設備を識別することができるように付された符号」に当たるものとして想定されると注記している。 | 規則の条文が出たあと、自社が持つIDが対象に含まれるかを確認する。 | 決定タイムライン |
| 連絡先を含む仮名加工情報・匿名加工情報 | 連絡できる記述等が含まれる場合は、同様の規律が導入される。 | 加工後の情報に、連絡に使える記述等が残っていないか。 | 仮名加工情報の令和8年改正 |
| 16歳未満の本人の連絡先 | 第三者提供の場面で確認する同意が、法定代理人の同意に読み替えられる（法第40条の2第2項）。 | 16歳未満の利用者がいるサービスで、同意の取り方を見直す必要がないか。 | 16歳未満の読替表 |
表は、一次資料に書かれている範囲の一般的な整理です。「連絡可能」に当たる範囲は委員会規則で定められ、まだ出ていません。自社のリストが対象に当たるかの判断は、顧問弁護士または個人情報保護委員会にご確認ください。
5. よくある質問
Q1. 氏名と結び付いていないメールアドレスやCookie IDも、対象になりますか。
一次資料が挙げる対象は、特定の個人の所在地、電話番号、メールアドレス、Cookie ID等の記述等で、これらを利用して特定の個人に対して連絡を行うことができるものに限るとされています。氏名と結び付いているかどうかは要件として挙がっていません。「連絡可能」に当たる範囲の技術的な細目は委員会規則で定められ、規則は2026年10月6日の確認時点では公布されていません（確認日 2026-10-06）。
Q2. 連絡可能個人関連情報には、個人情報と同じ規律がすべて入りますか。
入りません。一次資料は、個人の権利利益の侵害につながる蓋然性の特に高い行為類型として、不適正利用の禁止と不正取得の禁止の2つに限って個人情報と同様の規律を導入するとしています。
Q3. マーケティングリストを外部から入手している場合、何を確かめればよいですか。
この記事の4に書いた順序で、取得経路に虚偽の説明がないか、入手元が適法な経路かを点検します。個別のリストが禁止の対象に当たるかの判断は、顧問弁護士または個人情報保護委員会にご確認ください。
Q4. 個人関連情報と個人情報は、何が違いますか。
個人関連情報とは、電話番号、メールアドレス（氏名がアドレスに含まれないもの）、Cookie ID等に紐付いた個人に関する情報のうち、他の情報と容易に照合することにより特定の個人を識別できる場合を除き、「個人情報」に該当しないものを指します。現行規定では、提供先で個人データになると想定される個人関連情報を第三者に提供する場合の確認義務（法第31条第1項）だけが規律の対象で、取得や自社での利用そのものを制限する規定はありませんでした。
Q5. 広告識別子やSNSのIDは、連絡可能個人関連情報に当たりますか。
確定していません。2026年10月14日の委員会事務局の案（「基本的な考え方について③」、決定ではありません）は、広告識別子、SNSのID、オンラインサービスのアカウントID、IMEI（国際移動体装置識別番号）を、第4号の「電気通信設備を識別することができるように付された符号」に当たるものとして想定されると注記しています。「連絡可能」に当たる記述等の範囲は委員会規則で定められ、規則の条文はまだ出ていません。
Q6. 新しい禁止はいつから適用されますか。
この規律は本体部分に含まれ、公布の日から起算して2年を超えない範囲内で政令が定める日から施行されます。実際の施行日は政令で指定されるため、現時点では未確定です。
次に読むページ
- オプトアウト制度の強化: 名簿を第三者から受け取る場合は、提供元に身元や利用目的の確認を求められる改正も入るため。
- 仮名加工情報の令和8年改正: 連絡先を含む仮名加工情報にも、同様の禁止が導入されるため。
- まだ決まっていないこと一覧: 「連絡可能」に当たる記述等の範囲が、規則でいつどこまで決まるかを追えるため。
出典
- S-20個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律について」（PDF） 第3の1「特定の個人に対する働きかけが可能となる個人関連情報に関する規律」（確認日 2026-09-05）
- S-20個人情報保護委員会事務局「政令・規則等で定める事項の全体像」（PDF）（確認日 2026-09-05）
- S-31個人情報保護委員会事務局「読替表（16歳未満の者の個人情報等の取扱いの規定関係）」（PDF・2026年9月16日）（確認日 2026-09-21）
- S-111個人情報保護委員会事務局「政令・規則の整備に向けた基本的な考え方について③」（PDF・2026年10月14日、第372回委員会）（確認日 2026-10-14）
- S-02個人情報保護委員会「令和8年改正個人情報保護法」（確認日 2026-09-04）