個人情報保護法改正2026｜広告運用者が押さえるポイントを解説
｜広告運用ノウハウ公開中！
より詳しく知りたい方は資料をダウンロード！
「2026年の改正個人情報保護法で、Cookieの扱いはどう変わるのか」と気になっている広告運用者やLP担当者は多いのではないでしょうか。
個人情報保護委員会が2026年1月9日の「制度改正方針」で示していた、Cookie ID等を含む個人関連情報への規制強化、16歳未満の規律強化、課徴金制度の導入は、2026年7月10日に成立した「個人情報の保護に関する法律等の一部を改正する法律」に条文として入りました。同法は2026年7月17日に公布されています。施行日は公布の日から起算して2年を超えない範囲内で政令が定めることとされており、2026年10月15日時点でその政令は公表されていません。
この記事では、成立した改正法の要点を条文と個人情報保護委員会の公表資料で確認し、広告運用者・LP担当者が施行までに準備すべき実務を解説します。
目次
01｜2026年改正個人情報保護法の内容と施行スケジュール
個人情報保護委員会は2026年1月9日に「個人情報保護法 いわゆる3年ごと見直しの制度改正方針」を公表しました。これを踏まえた改正法案は2026年4月7日に国会へ提出され、2026年7月10日に成立、同年7月17日に公布されています。改正の内容には、デジタル広告領域に関係の深い論点が複数含まれています。
広告運用に関係する主な論点と、成立した改正法での扱いは次の通りです。かっこ内は改正後の条番号です。
| 論点 | 内容 |
| 同意取得の例外拡大 | 個人データ等の第三者提供と、公開されている要配慮個人情報の取得について、統計情報等の作成にのみ利用される場合は本人同意を不要とする（第30条の2、第31条の3）。統計作成等であると整理できるAI開発等を含む |
| 個人関連情報の規制強化 | 電話番号・住所・メールアドレス・Cookie ID等のうち特定の個人への連絡に利用できるものを含む個人関連情報（連絡可能個人関連情報）について、不適正な利用と不正な取得を禁止（第2条第8項、第31条の2） |
| 16歳未満の規律強化 | 同意取得や通知等の相手を本人の法定代理人とすることを明文化し、違法行為の有無を問わない利用停止等請求を可能にする（第35条第9項・第10項、第40条の2、第58条の3） |
| 顔特徴データの規制 | 顔特徴データ等（条文上は特定生体個人情報）の取扱いに関する一定の事項の周知を義務化し、利用停止等請求の要件を緩和、オプトアウト制度に基づく第三者提供を禁止（第21条の2、第27条第2項、第35条第7項・第8項） |
| 課徴金制度の導入 | 違法な第三者提供、本人の同意を得ない第三者提供、偽りその他不正の手段による取得と利用、統計作成等の特例違反について、その対価として金銭等を得たときに課徴金納付命令の対象になる。対象行為に係る本人の数が1,000人を超えないときは命じられない（第148条の3） |
改正法は成立・公布を終えていますが、施行はまだです。附則第1条は「公布の日から起算して二年を超えない範囲内において政令で定める日から施行する」と定めており、2026年10月15日時点でその政令は公表されていません。個人情報保護委員会は公布後、政令・委員会規則・ガイドラインの整備を進めており、2026年9月16日、10月1日、10月14日に「政令・規則の整備に向けた基本的な考え方について①②③」を決定しています。この記事で触れる論点のうち、対象範囲や手続の細目を政令や委員会規則に委ねている部分は、まだ確定していません。整備状況は令和８年 改正個人情報保護法について（個人情報保護委員会）で公表されています。
02｜Cookieが規制対象になる理由と「個人関連情報」の整理
Cookieそのものは、現行法でも「個人関連情報」として整理されています。今回の改正でポイントになるのは、Cookie ID等のうち特定の個人への連絡に利用できるものを含む個人関連情報について、不適正な利用と不正な取得の禁止が条文に入ったことです。
個人関連情報の現行ルール（改正前）
現行の個人情報保護法では、Cookie・IPアドレス・端末識別子などは原則「個人関連情報」に分類されます。提供先（広告プラットフォーム等）で他の情報と紐づけて個人データとして取得することが想定される場合、提供元が本人同意の取得状況を確認・記録する義務を負います。
改正で追加された規律
成立した改正法は「連絡可能個人関連情報」という用語を新設しました。住居や勤務先などの所在地、電話番号、電子メールアドレス、電気通信設備を利用する者や設備を識別する符号などのうち、特定の個人への連絡や情報の伝達に利用できるものを含む個人関連情報が、これに当たります（第2条第8項）。そのうえで、違法または不当な行為を助長し、または誘発するおそれがある方法での利用と、偽りその他不正の手段による取得を禁止しています（第31条の2）。個人情報保護委員会の個人情報保護法等の一部を改正する法律について（個人情報保護委員会・2026年7月）は、この対象に入る記述等の例としてCookie IDを挙げ、「これを利用して特定の個人に対して連絡を行うことができるものに限る」としています。禁止されるのはこの2類型で、個人関連情報を使うこと自体が禁止されるわけではありません。広告配信におけるリターゲティングやプロファイリングでは、取得の経路と提供先の利用目的を確認できる状態にしておくことが要点になります。なお第2条第8項第5号は、連絡や情報の伝達に利用できる記述等を委員会規則で追加できるとしており、対象の範囲はまだ確定していません。
Cookie ID以外に想定されている識別子（2026年10月14日の考え方③）
個人情報保護委員会は2026年10月14日に政令・規則の整備に向けた基本的な考え方について③（個人情報保護委員会・2026年10月14日）を決定しました。この資料は、第2条第8項第4号の「電気通信設備を利用する者又は電気通信設備を識別することができるように付された符号」について、Cookie ID以外にも、例えば広告識別子、SNSのID、オンラインサービスにおけるアカウントID、IMEI（国際移動体装置識別番号）等がこの定義に該当する符号として想定されると説明しています。
一方、委員会規則で追加できるとされている第5号については、今後の技術の進展によって個人に対する連絡等が可能となる記述等が新たに出現した場合に迅速に対応するために規則に委任したものとし、住所、電話番号、メールアドレス、Cookie ID等以外に規定すべきものがあるかを論点として示しています。規則の中身は、この時点ではまだ決まっていません。
広告運用では、Cookie IDだけでなく、広告識別子やSNS・オンラインサービスのアカウントIDを含むデータも、取得の経路と利用の仕方を説明できる状態にしておく対象になると考えておくのが安全です。禁止されるのは不適正な利用と不正な取得で、これらの識別子を使うこと自体が禁止されるわけではない点は、Cookie IDと同じです。
なお、自社サイトのドメインから発行されるファーストパーティCookieは、この規制とは性質が異なります。ファーストパーティCookieへの移行は、Cookie規制全体の流れに対する有効な選択肢の一つとして位置づけられます。
｜広告運用ノウハウ公開中！
より詳しく知りたい方は資料をダウンロード！
03｜広告運用とLP担当者への具体的な影響
改正法の施行を見据え、広告運用者・LP担当者の実務に影響が出るポイントを整理します。
1. 同意取得フローの見直し
成立した改正法に入ったのは、同意そのものの質を問う規定ではなく、同意を不要にする例外です。統計情報等の作成にのみ利用される場合の第三者提供と、公開されている要配慮個人情報の取得（第30条の2、第31条の3）、および取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかな場合（第27条第1項第8号ほか）が加わりました。いずれも具体的な対象範囲は委員会規則に委ねられており、2026年10月15日時点では確定していません。同意取得の形式が実質を伴っているかを問う条文は、改正後の法にも、個人情報保護委員会の概要資料にも見当たりません。CMP（同意管理プラットフォーム）の設計の見直しは、この改正を根拠にするのではなく、どの同意を根拠にどのタグを発火させているかを説明できるようにするために行う作業です。
2. 第三者提供時の確認・記録義務の徹底
Cookie等の個人関連情報を広告プラットフォームへ提供する際、本人同意の取得状況を確認・記録する義務（第31条第1項）は改正後も残ります。改正法は、提供先が統計情報等の作成のみを目的として取り扱う場合に、公表と書面による合意を条件としてこの確認を省ける特例を新設しましたが（第31条の3）、広告配信のための提供はこの特例に乗りません。確認と記録の運用はそのまま必要です。運用ログとして残せる体制が整っているかが、内部監査や開示請求対応の場面で問われます。
3. 16歳未満ユーザーへの配慮
16歳未満の者の個人情報を取り扱う場合、同意取得や通知等の相手を本人の法定代理人とすることが条文で明文化されました（第40条の2第1項）。本人が16歳未満であることを知らないことに正当な理由がある場合、法定代理人が本人の営業を許可していてその営業に関して取得した場合、本人に法定代理人がない場合は除かれます。Cookie等の個人関連情報を第三者に提供するときの同意の確認についても、相手は法定代理人になります（同条第2項）。あわせて、16歳未満の本人は、違法行為の有無を問わず利用停止等や第三者提供の停止を請求できるようになりました（第35条第9項）。年齢確認のフローや、子ども向けコンテンツの広告配信ポリシーを見直す必要があります。
4. 課徴金リスクの可視化
改正後の法第148条の3は、違法な行為や不当な差別的取扱いを行うことが想定される状況にある第三者への個人情報の提供、そうした第三者の求めによる個人情報の利用、本人の同意を得ない個人データの第三者提供、統計作成等の特例に反する取扱いや提供、および偽りその他不正の手段による取得とその利用について、その対価として金銭等を得たときに課徴金納付命令の対象になると定めています。対象行為に係る本人の数が1,000人を超えないときは、納付を命じることができません。漏えいそれ自体や安全管理措置の違反は、対象行為に入っていません。個人情報保護委員会の概要資料は、統計情報等の作成のみを目的として提供を受けた個人データを統計化せずに顧客企業への広告配信サービスのために用いて利益を得た場合を、対象になり得る違反行為の例として挙げています。法務・情報システム部門と連携し、広告タグの設置範囲や同意取得設計を点検することが重要です。
04｜施行前に準備すべき4つの対応
施行日は政令が定めることになっており、2026年10月15日時点では確定していません。一方で、広告計測環境の見直しには時間がかかります。今のうちに着手できる対応を4つにまとめました。
1. CMPと同意取得設計の見直し
現状のCMPで取得している同意の範囲・粒度を点検し、広告タグの発火条件と整合させます。「同意していないユーザーには広告タグを発火させない」設計が原則です。
2. プライバシーポリシーの記載確認
利用目的、第三者提供先、取得する情報の種類を明示しているか、現行の改正電気通信事業法（2023年6月施行）の外部送信規律と合わせて点検します。
3.ファーストパーティCookie・サーバーサイド計測への移行
サードパーティCookieはSafariで完全ブロック済み、Chromeでもプライバシーサンドボックスの開発が継続されています。広告計測の足回りをファーストパーティCookie＋サーバーサイド計測（コンバージョンAPI）に切り替えることで、規制と計測ロスの双方に備えられます。
4. 内部運用ログの整備
「いつ・どの同意を・どの目的で取得したか」を記録する体制を整え、開示請求や内部監査に対応できるようにします。広告配信ログ・LP側のタグ管理ログを横断して参照できる仕組みが望まれます。
05｜Squad beyondを活用したファーストパーティ計測の整備
LPを複数本運用している環境では、計測タグの差し替えやサーバーサイド計測の導入を、LPごとに個別対応するのは現実的ではありません。Squad beyondはLPの一元管理機能を備えており、タグ管理・CV計測・媒体連携を1つの管理画面で扱える設計です。
特に、媒体最適化機能では、Squad beyond側で計測したCVデータを広告媒体側へ直接送信できる仕組み（コンバージョンAPI連携）を提供しています。ピクセル計測のみに依存しない構成にすることで、Cookie規制と計測精度の両面に対応しやすくなります。
具体的な機能はSquad beyond独自のCookie規制への取り組みで公開しています。LP運用と広告計測を分離せず、同じ基盤で扱える点が特徴です。
06｜個人情報保護法の改正についてよくある質問（FAQ）
Q. 2026年の改正個人情報保護法はいつから施行されますか？
A. 改正法は2026年7月10日に成立し、同年7月17日に公布されました。施行日は「公布の日から起算して二年を超えない範囲内において政令で定める日」とされており（附則第1条）、2026年10月15日時点でその政令は公表されていません。施行日が決まるまでに、CMP（同意管理プラットフォーム）の見直しやファーストパーティCookie計測への移行を進めておくと、施行後の対応負荷を抑えられます。
Q. Cookieが規制対象になると、広告運用にどのような影響が出ますか？
A. リターゲティング広告の配信やコンバージョン計測の精度が低下する恐れがあります。改正法で禁止されたのは、特定の個人への連絡に利用できる記述等を含む個人関連情報の、不適正な利用と不正な取得です（第31条の2）。Cookieの利用そのものが禁止されるわけではないため、取得の経路と提供先の利用目的を確認できる状態に整えることと、ファーストパーティCookieやサーバーサイド計測へ移行することの両方が対応になります。
Q. 16歳未満のユーザーに対する規制強化で、サイト運営者は何をすべきですか？
A. 法定代理人（保護者など）による同意取得の仕組みを設ける必要があります。16歳未満のユーザーが含まれる可能性のあるサービスでは、プライバシーポリシーを改定し、年齢確認フローや子ども向けの広告配信ルールの見直しを行ってください。
Q. サーバーサイド計測やタグ管理を導入したいですが、ツールの初期費用や月額コストを抑える方法はありますか？
A. 複数機能を統合したツールへ移行し、トータルコストを下げる方法が有効です。「Squad beyond」なら別途必要なサーバー代や、制作・分析等の複数ツールの契約が不要になるため、表面的な価格に縛られず実質的な運用コストを安く抑えられます。
07｜まとめ
2026年改正個人情報保護法は2026年7月10日に成立し、同年7月17日に公布されました。Cookie ID等を含む個人関連情報への不適正な利用・不正な取得の禁止、16歳未満の規律強化、顔特徴データ等の規律、課徴金納付命令が条文に入っています。施行日は政令が定めることになっており、2026年10月15日時点では確定していません。公布から施行までの間に、CMP・プライバシーポリシー・ファーストパーティ計測・運用ログの4点を点検しておくことで、施行後の対応負荷を抑えられます。広告計測環境の整備は時間がかかる領域のため、今のうちに着手することをおすすめします。
広告運用者が知っておくべき最近の法改正についてまとめた記事もございますので合わせてご参考ください。
｜広告運用ノウハウ公開中！
サービス紹介資料はこちらからダウンロード
