データプライバシー規制とは、特定の国や地域にいる人の個人データを保護し、事業者による取得、保存、利用の方法を法的に規律する枠組みである。 日本の個人情報保護法、EUのGDPR（一般データ保護規則）、米国カリフォルニア州のCCPAのように、国、地域、州のいずれの単位でも定められ、データプライバシーを個人の権利として保障する。
保護される情報の範囲、保存してよい期間、利用してよい目的は規制ごとに異なる。共通するのは、個人を特定できる情報（PII）を扱う事業者に、取得の目的を説明し、本人の求めに応じて開示や削除に応じる義務を課す点である。事業の拠点が国内にあるかどうかは適用の可否を左右しない。多くの規制は域外適用を定めており、日本の個人情報保護法も、国内にある者への物品または役務の提供に関連して取得した個人情報を国外で取り扱う場合に適用される（法第171条）。
対応の実務はデータガバナンスの設計とほぼ重なる。誰がどのデータに触れられるか、保持期間をどう定めるか、削除請求をどのシステムまで伝えるかが決まっていなければ、規程を整えても運用は追いつかない。国別および米国の州別の法令一覧は各国と米国州のデータプライバシー法のガイドにまとめている。
日本の個人情報保護法が事業者に課す義務
日本で顧客データを扱う事業者にとって、規制対応の起点は個人情報保護法である。所管は個人情報保護委員会で、ガイドラインの策定から報告徴収、勧告、命令までを同委員会が担う。顧客データの取り扱いに直結する義務は次のとおりである。
- 利用目的の特定と通知：個人情報を取り扱うにあたって利用目的をできる限り特定し（第17条第1項）、取得したときは本人への通知または公表を行う（第21条第1項）。特定した目的の達成に必要な範囲を超えて扱うには、本人の同意がいる（第18条第1項）。
- 第三者提供の制限：個人データを第三者に提供するには、法定の例外に当たる場合を除き、あらかじめ本人の同意を得なければならない（第27条第1項）。
- 委託と第三者提供の書き分け：提供先が自社の指示の範囲で処理するだけなら委託にあたり、要件は本人の同意ではなく委託先に対する監督義務になる（第25条）。提供先が自らの目的でも利用するなら第三者提供であり、原則として同意が必要になる。
- 個人関連情報の確認義務：Cookie IDや閲覧履歴のように単体では個人情報に当たらない情報でも、提供先で個人データとして取得されることが想定されるなら、本人の同意が得られていることをあらかじめ確認しなければならない（第31条第1項）。広告配信のためのデータ連携は、この規律の対象になりやすい。
- 漏えい等の報告：個人の権利利益を害するおそれが大きい事態が生じたときは、委員会への報告と本人への通知を行う（第26条）。
執行の構造は、行政が制裁金を直接科す国の規制とは異なる。委員会はまず勧告を行い、正当な理由なく従わない場合に命令を出す（第148条）。刑事罰が科されるのは命令に違反した段階で、行為者は1年以下の拘禁刑または100万円以下の罰金、法人にはあわせて1億円以下の罰金となる（第178条、第184条第1項第1号）。罰金額の上限だけを他国の制裁金と並べると小さく見えるが、命令とその公表が取引先や利用者との関係に及ぼす影響は別に見積もる必要がある。
2026年に公布された改正法で変わる点
2026年（令和8年）7月17日、個人情報の保護に関する法律等の一部を改正する法律が公布された。施行日は政令で定められ、原則として公布の日から起算して2年を超えない範囲とされている。顧客データの扱いに関わる変更は三つある。
- 課徴金の新設：不適正な利用の禁止（第19条）違反、適正な取得（第20条第1項）違反、第三者提供の制限（第27条第1項）違反、統計作成等の特例で認められた範囲を超える目的外利用と第三者提供の四類型が対象で、違反行為によって得た財産上の利益に相当する額の納付を命じられる。売上高に比例する額ではない。ただし、対象行為に当たれば直ちに課されるわけではなく、違反を防ぐための相当の注意を怠っていた場合で、かつ個人の権利利益が侵害されたか、侵害される具体的なおそれが生じた事案に限られる。本人の数についても1,000人を基準とする大規模な事案が対象である。
- 統計作成等に限った利用での同意不要化：統計情報等の作成にのみ利用される場合、個人データの第三者提供と、公開されている要配慮個人情報の取得について本人の同意を不要とする。統計作成等と整理できるAI開発がここに含まれることが明示された。
- 16歳未満の本人と顔特徴データの規律：16歳未満の本人については法定代理人を同意の相手方とすることが明文化され、利用停止等請求の要件も緩和される。顔特徴データ等については一定の事項の周知が義務化され、オプトアウトによる第三者提供が禁止される。
政令、規則、ガイドラインは整備の途上にある。設計に着手する前に、個人情報保護委員会の令和8年 改正個人情報保護法のページで最新の状態を確認したい。
主要なデータプライバシー規制の比較
制裁の上限が最も重いのはEUのGDPR（2,000万ユーロまたは全世界年間売上高の4%）と中国のPIPL（5,000万元または前年度売上高の5%）である。 日本の事業者が関わりやすい四つの規制を並べると次のようになる。
| 規制 | 適用の範囲 | 施行 | 保護の対象 | 制裁の上限 |
|---|---|---|---|---|
| 個人情報保護法（日本） | 国内の事業者。国内にある者への物品または役務の提供に関連する場合は国外での取り扱いも対象 | 2003年成立、直近の全面施行は2022年4月1日 | 国内にある本人 | 命令違反に対し1年以下の拘禁刑または100万円以下の罰金、法人は1億円以下の罰金 |
| GDPR（EU） | EU域内に拠点を持つ事業者。域外の事業者でも、域内にいる個人への商品や役務の提供、行動の監視に関連する取り扱いは対象 | 2018年5月25日適用開始 | EU域内にいる個人 | 2,000万ユーロまたは全世界年間売上高の4%のいずれか高い額 |
| CCPA（米国カリフォルニア州） | 州内で事業を行い、前年の年間総収入2,500万ドル超、10万人以上の消費者または世帯の個人情報を売買もしくは共有、年間収入の50%以上を個人情報の販売または共有から取得、のいずれかに該当する事業者 | 2020年1月1日施行、CPRAによる改正は2023年1月1日 | カリフォルニア州の消費者 | 違反1件あたり2,500ドル、故意または16歳未満の情報に関わる違反は7,500ドル |
| PIPL（中国） | 中国国内での取り扱い。国内の個人への商品や役務の提供、行動の分析を目的とする国外での取り扱いも対象 | 2021年11月1日施行 | 中国国内にいる自然人 | 情状が重い場合、5,000万元または前年度売上高の5%以下 |
制裁の重さだけが違いではない。国外へデータを出すときの手続きも規制ごとに分かれる。PIPLは、個人情報を国外に提供する前に、国家インターネット情報部門による安全評価、専門機関による認証、当局が定める標準契約の締結のいずれかを満たすことを求める（第38条）。重要情報インフラ運営者などには国内保存が義務づけられ、国外提供には安全評価が必要になる（第40条）。日本の個人情報保護法も外国にある第三者への提供には原則として本人の同意を求めるが、日本と同等の水準にあると委員会規則で認められた国と、委員会規則の基準に適合する体制を整えた提供先は、この同意の対象から外れる（第28条第1項）。顧客データのアクティベーション先が海外のSaaSであれば、この判定は連携の設定に着手する前に済ませておきたい。
顧客データの運用に何が求められるか
マーケティングとデータの担当者にとって、プライバシー関連法は、同意を取得して記録すること、その状態をすべてのチャネルで参照すること、削除請求を保持するすべてのシステムへ伝えることという三つの運用要件になる。
- 同意は記録するだけでは足りない。 メール配信、広告連携、分析基盤のいずれもが、取得時点ではなく現在の同意状態を参照しなければ、同意管理の記録と実際の挙動が食い違う。
- 削除請求は伝播させる。 本人が削除を求めたとき、そのレコードの写しを持つすべてのシステムが実行しなければならない。顧客データがツールごとに分散していると、どこに写しがあるかを洗い出す作業から始まる。
- 委託か第三者提供かを先に判定する。 「データを渡す」という一語で運用を設計すると、同意を得ないまま第三者提供にあたる連携を続ける状態が生まれやすい。
これらはファーストパーティデータを集約し、顧客単位で参照できる状態にして初めて現実的になる。CDP（カスタマーデータプラットフォーム）が規制対応の文脈で挙がるのは、同意の状態を顧客プロファイルの属性として保持し、名寄せで束ねた識別子すべてに撤回と削除を伝播させられるためである。製品を比較する段階では、同意情報をプロファイル側に保持できるか、削除請求を連携先まで伝播できるかを確認項目に入れたい。製品ごとの違いは主要CDPの比較にまとめている。
ただし、基盤があれば要件が満たされるわけではない。何を保持し、いつ消し、誰に渡してよいかを決めるのは法務とガバナンスの仕事であり、CDPはその決定を実行に移す層である。
FAQ
個人情報保護法とGDPRの主な違いは何か
最も大きな違いは執行の仕組みで、GDPRは監督機関が行政制裁金を直接科すのに対し、現行の個人情報保護法は勧告と命令を経て、命令に違反した場合に刑事罰を科す構成を取る。 同意の位置づけも異なる。GDPRは同意を処理の適法な根拠の一つとして並べるが、個人情報保護法は利用目的の特定と通知を原則とし、本人の同意を要件とするのは要配慮個人情報の取得、第三者提供、目的外利用などの場面に限られる。
日本の企業がGDPRやCCPAの対象になるのはどのような場合か
EU域内にいる個人に商品や役務を提供する場合、またはその行動を監視する場合はGDPRの対象となり、カリフォルニア州で事業を行い規模の要件を満たす場合はCCPAの対象となる。 拠点が日本にあるかどうかは判断を左右しない。CCPAの規模の要件は、前年の年間総収入が2,500万ドルを超えること、10万人以上の消費者または世帯の個人情報を売買もしくは共有すること、年間収入の50%以上を個人情報の販売または共有から得ていることのいずれかである。
個人情報保護法に違反するとどうなるのか
個人情報保護委員会による報告徴収と勧告を経て、正当な理由なく従わない場合に命令が出され、その命令に違反すると行為者に1年以下の拘禁刑または100万円以下の罰金、法人には1億円以下の罰金が科される。 2026年7月17日に公布された改正法の施行後は、これに課徴金納付命令が加わる。ただし対象は、第19条、第20条第1項、第27条第1項の違反と統計作成等の特例違反のうち、防止のための相当の注意を怠り、個人の権利利益が侵害されたか侵害される具体的なおそれが生じた、本人の数1,000人を基準とする大規模な事案に限られる。額は違反行為によって得た財産上の利益に相当する額で、売上高には比例しない。
規制の変化にどう追随すればよいか
条文を追う作業と、変更をシステムに反映できる状態を保つ作業は分けて考えたい。 前者は所管当局の公表資料にあたるのが確実で、日本であれば個人情報保護委員会が改正法の政令やガイドラインの検討状況を随時公表している。後者は、同意状態の参照と削除の伝播を、規制ごとの個別対応ではなく共通の仕組みとして持てるかで決まる。規制が増えるたびに連携先ごとの改修が必要な構成では、追随の速度が上がらない。
Related Terms
- データマスキング：規制の要件を満たすために個人データを保護する手法
- データクリーンルーム：規制対象の個人データを開示せずに事業者間でデータを突き合わせる仕組み
- Cookieに依存しないトラッキング：規制の強化とブラウザの制限を受けて広がった計測の手法
- データライフサイクル管理：保持期間と削除の方針を定める仕組み
この記事は他の言語でも読めます： Data Privacy Regulations: GDPR, CCPA & Global Laws · Leis de proteção de dados: alcance e fiscalização · Regulaciones de privacidad de datos: LFPDPPP, RGPD