2026年改正個人情報保護法でCookie規制はどう変わるか｜連絡可能個人関連情報
本記事のポイント
- 個人情報保護法は従来クッキーを主たる規制対象としていなかったが、2026年法改正でCookieは「連絡可能個人関連情報」に該当することになり、規制が導入された。
- 但し、個人情報保護法2026年改正によって、クッキーに対して強い規制がかかるわけではない。現時点で下位規範やガイドラインが未公表のため、それらを待つ必要はあるが、現状、改正個人情報保護法よりも、日本で重要な規制は、電気通信事業法の外部送信規律である。
- 他社サイトを真似してCookieバナーを導入しても、日本法上必要な対応を満たしているとは限らない。
- なお、Cookieが会員情報等と結び付く場合には、従来より個人情報として、個人情報保護法の各種規制に服する。
担当者がまず確認すべき事項
- クッキーについて自社が公表等している内容の把握、実態との齟齬がないか確認
- 連絡可能個人関連情報規制に関するガイドラインなどが公表されるまでCookieへの新規制状況をウォッチ
動画解説
本記事に記載しきれていない部分も動画には含まれています。動画の方が、内容が豊富で、かつ熱量や細かなニュアンスまでお伝え可能なため、ぜひ動画でご視聴ください。1.5倍速視聴もおすすめです。
タイムライン
- 00:00 クッキーバナーは本当に必要か
- 00:26 WebサイトでよくあるCookie対応①対応無②プライバシーポリシー記載のみ
- 01:17 ③みなし同意
- 01:45 ④同意（カテゴリ別）
- 05:12 日本法上クッキーバナーや同意は義務ではない
- 05:55 ①GDPR・ePrivacy Directiveとの関係
- 09:33 ②ヨーロッパ当局のクッキーバナー
- 12:04 日本法上の規制① 個人情報保護法 ←★★★本ブログ記事該当箇所★★★
- 17:28 日本法上の規制② 電気通信事業法 外部送信規律
- 20:46 日本法上の規制② 電気通信事業法 外部送信規律が適用になる場合
- 22:21 まとめ
00:00 はじめに・個人情報のよくある誤解
01:37 個人情報の定義
03:50 電話番号は個人情報か
06:27 メールアドレスは個人情報か
08:27 容易照合性と個人情報該当性
09:31 「誰の情報か分かる」とは何か
11:49 Cookieは個人情報か
13:11 なぜ連絡可能個人関連情報が必要なのか
15:12 改正への意見・個人情報保護法による規制の意義
15:59 Cookie規制と電気通信事業法の課題
17:26 規制のPDCAと実務への反映
18:18 Cookieバナー実務との関係
19:50 今後の制度設計の方向性
クッキーバナー、クッキー同意の法的意義の全体像
別ブログ記事参照。
GDPR対応とクッキーバナーの関係
現在普及しているカテゴリ別同意の背景にはグローバル対応がある。
日本法上重要な規制は電気通信事業法の外部送信規律である
別ブログ記事参照。
個人情報保護法とクッキーの関係
クッキーは従来個人情報保護法の主たる規制対象ではなかったが、2026年個人情報保護法改正で規制対象となった。
クッキーは個人情報か
クッキー単体では個人を特定できないことが多い。個人を特定できないと、個人情報ではない。
この点の詳細解説は別記事を参照されたい。
Cookieが個人情報になる場合
もっとも、以下のような場合は個人情報に該当する。
- 顧客管理システム等の個人情報と紐付ける
- 長期間の履歴等を含んでおり、その内容から個人識別が可能になる
また、クッキーが提供先で個人データとなる場合等は、個人関連情報の提供規制（→解説別記事参照）がかかる。
ただし、クッキー単体では個人を特定できないことが多いと思われる。
2026年改正個人情報保護法とCookie
2026年改正個人情報保護法では、
「連絡可能個人関連情報」
という新たな規制対象が設けられた。
クッキーはこの対象に含まれることとなった。
ただし動画公開時点では施行前であり、実際の規制運用は今後明らかになる部分がある。
改正個人情報保護法の規制内容
現時点では、
- 不適正取得の禁止
- 不適正利用の禁止
が「連絡可能個人関連情報」に対する規制である。
クッキーバナー設置義務や同意取得義務を直接定めるものではない。
注意が必要なケース
例えば、
- 利用者への説明内容と実際の運用が異なる
- 問題視される利用方法を利用者に説明せずに採用している
といったケースでは不適正取得・不適利用として評価される可能性がある。
詳細は別解説記事を参照されたい。
改正個人情報保護法でクッキーバナーや同意が要求されるか（推測）
必須クッキーに同意やクッキーバナーが要求される可能性はほぼないだろう。なぜなら、不適正利用禁止や不適正取得禁止というふんわりした規制であるのに、ガイドラインでそのような規制をかけるのはやりすぎであり、そのようなことが行われるとは考えづらいためである。
機能性クッキーについても、可能性は極めて低いだろう。理由は同様である。
この点広告クッキーなどは説明は必要とされる可能性はあるものの、日本法上、電気通信事業法の外部送信規律規制が現に存在しているのに、さらにそれに加えて、個人情報保護法で規制を課すことの是非の問題があるし、個人情報保護法で規制するにしても、不適正利用禁止や不適正取得禁止というふんわりした規制ではなく、もっと明確な通知・公表等義務で実施するものと考えられるうえ、不適正利用禁止や不適正取得禁止のガイドライン解説で新たな義務を課すのは法規制として望ましくないため、可能性は低いと予想する。
なお、これはあくまで現状での推測に過ぎず、正確には改正個人情報保護法に基づく下位規範・ガイドラインが公表になるまでは不確定であるので、継続的ウォッチが必要である。
必須クッキー、機能性クッキー、広告クッキー等が何を指すかについては別ブログ解説記事を参照されたい。
実務担当者が行うべき確認事項
個人情報保護法対応
- クッキー利用実態を把握する
- 説明内容と実際の不一致がないか確認する
- 不適正利用・不適正取得のリスクを確認する
- ガイドライン等を継続的にウォッチする
Q&A
Q1. 2026年改正個人情報保護法でCookie規制は強化されますか？
強化されると言えば強化されるが、強い規制強化ではない。2026年改正個人情報保護法では、従来の「個人関連情報」に加え、「連絡可能個人関連情報」に関する規律が導入された。ただ、「連絡可能個人関連情報」に対する規制は、不適正取得禁止と不適正利用禁止のみであるため、そこまで強い規制とは評価できない。もっとも、下位規範やガイドラインの動向によっては変わってくる可能性がありえるため、継続的ウォッチが必要である。
Q2. Google AnalyticsのCookieも対象になりますか？
対象になり得る。
Google Analytics等のアクセス解析ツールで利用されるCookieについても、改正法上の検討対象となり得る。
Q3. 外部送信規律と改正個人情報保護法は何が違いますか？
外部送信規律と改正個人情報保護法は別の制度である。
外部送信規律は電気通信事業法の制度であり、情報送信に関する通知・公表等を求めるもの。
一方、改正個人情報保護法は、個人情報の取扱いを規律したり、個人情報に該当しなくてもCookie等の連絡可能個人関連情報の取扱いを規律する。
外部送信規律と改正個人情報保護法両方の検討が必要になる。
こちらのFAQも参照されたい。
クッキー単体では個人を特定できないことが多い。個人を特定できないと、個人情報ではない。
この点の詳細解説は別記事を参照されたい。
社内情報共有・紹介について
個人情報保護法、プライバシーガバナンスに関する理解の促進を目的として情報発信を行っています。
本記事および動画が参考になりましたら、同様の課題や関心を持つ方へご共有いただけますと幸いです。
YouTube動画、水町雅子ブログおよび水町雅子Webサイトは、著作権法の範囲内での、社内研修・勉強会・研究活動・社内情報共有（社内チャット・社内ポータル）・SNS等での紹介を歓迎しています（出典表示をお願いします）。なお、著作権を放棄するものでも、引用の範囲を超える利用を許諾するものでもありません。
執筆者プロフィール
弁護士 水町雅子（第二東京弁護士会、宮内・水町IT法律事務所所属）
現在、法人様向けのご相談のみお受けしております。
個人の方からのご相談には対応しておりませんので、ご了承ください。
SE（ITシステム開発）、コンサルティング等をシンクタンクにて行った後、弁護士登録。内閣官房・特定個人情報保護委員会にてマイナンバーの制度設計、ガイドライン作成、PIA制度化等を行う。
個人情報・ITに関して、首相官邸パーソナルデータに関する検討会参考人、内閣府「マイナンバーの利活用拡大のための検討タスクフォース」委員、こども家庭庁「こどもデータ連携の取組に関する検討会」委員、厚生労働省ITシステム等技術審査委員、東京都東京デジタルサービス会議構成員、東京都足立区情報公開・個人情報保護審議会委員、つくば市プライバシー影響評価制度検討懇話会委員、総務省・経産省・AMED実証事業等の支援等、実績豊富。
マイナンバー、個人情報、AI、医療情報、IT法務、企業法務、行政法務等に対応。書籍・論文執筆・講演のほか、日本経済新聞、朝日新聞、読売新聞、雑誌、TV等メディアコメント多数。
詳細な略歴はこちら。
