2026年4月7日、個人情報保護法の改正案が閣議決定され、第221回国会に提出された（TMI総合法律事務所の解説）。「令和8年改正」と呼ばれるこの改正の背景には、違法に収集・売買された個人情報リスト、いわゆる「闇名簿」の流通が深刻化しているという問題意識がある。あわせて、統計作成やAI開発のための情報利用に関する規律が事業者にとって過度に高いハードルになっているという指摘にも対応した内容になっている。
改正の4本柱
改正は「適正なデータ利活用の推進」「リスクに適切に対応した規律」「不適正利用等防止」「規律遵守の実効性確保」の4つを柱とする。施行は公布日から2年を超えない範囲とされており、政令・規則・ガイドラインの策定はこれからで、全面施行は最短でも2028年になる見通しだ。まだ先の話に見えるかもしれないが、広告・マーケティング実務に関わる論点は既に明確になりつつある。
マーケターが押さえるべき3論点
第一に、Cookieや広告ID、メールアドレスといった識別子が「連絡可能個人関連情報」として新たに規律の対象になる（マーケター向け解説記事）。委託先が委託業務の範囲を超えてこれらのデータを利用することも明確に禁じられる方向で、広告代理店や計測ツールベンダーとの契約内容・データ利用範囲を点検する必要が生じる。
第二に、これまで曖昧だった同意取得の「例外」が明文化される。契約履行に必要でやむを得ず、本人の権利利益を害さないことが明らかな場合は、個別同意の取得が不要になる規定が設けられる見込みだ。これは同意チェックボックスを増やすだけの運用からの転換を意味し、利用目的ごとに法的根拠を整理し直す作業が実務上必要になる。
第三に、課徴金制度の導入により違反の実効性確保が強化される。影響を受ける本人が1000人以上の場合などが対象とされ、これまでの指導・勧告中心の運用から、金銭的なペナルティを伴う運用への転換が想定される。16歳未満のデータや生体データについても、より慎重な取り扱いが求められる。
「個人を特定しない計測」への移行と符合する
この改正の方向性は、広告業界がここ数年進めてきた「個人を特定しない計測」への技術的シフトと符合している。本誌が9月26日に報じた通り、GoogleはData ManagerをGA4に統合し、新指標「Uplift」などプライバシー配慮型の計測手法を強化している。法改正による識別子の規律強化と、プラットフォーム側の技術的対応は、方向としては同じ流れの両輪と見ることができる。
もっとも、この見方に対しては、法規制の強化がAI開発事業者にとっての情報利用のハードルを下げる「統計作成等の特例」も同時に含んでいる点をどう評価するかで意見が分かれるだろう。プライバシー保護強化とデータ利活用促進という一見矛盾する目的が同じ改正案に同居している以上、規制強化一辺倒の受け止め方は正確ではない。
今から着手すべきこと
全面施行までにはまだ猶予があるが、規則・ガイドラインの確定を待ってから動き出すのでは遅い。まず自社が取得しているCookie・広告ID等の項目、取得経路、利用目的、提供先を棚卸しすること。次に、それぞれのデータ利用が契約履行に基づくものか同意が必要なものかを仕分けること。そして、広告代理店・計測ツール・CDPベンダーとの契約書を点検し、委託先によるデータの目的外利用の余地がないか確認すること。この3点は、規則確定を待たずに今すぐ着手できる作業だ。