【2026年改正】個人情報保護法でBtoB営業はどう変わる？オプトアウト規制までの実務7ステップ

2026年1月9日、個人情報保護委員会は「個人情報保護法 いわゆる3年ごと見直しの制度改正方針」を公表し、改正法案は同年4月に閣議決定されました。 BtoB営業の現場では、営業リスト購入・テレアポ・名刺データ活用という日常業務の3点すべてに直接影響が及びます 。特に、課徴金制度の新設とオプトアウト届出業者への監督強化は、施行までの1〜2年で社内ルールを作り直す必要がある重さです。本記事では、一次資料に基づいて改正の中身と、いま着手すべき実務7ステップを整理します（出典: 個人情報保護委員会）。

2026年改正の概要：いつ・何が変わるのか

個人情報保護法は「3年ごと見直し」の規定に基づき、2023年11月から個人情報保護委員会で論点整理が進められてきました。2026年1月に方針が公表され、4月に閣議決定された改正法案は、通常国会（〜2026年6月）での成立を見込んでいます（出典: 牛島総合法律事務所）。

改正の4本柱

公表された制度改正方針は、次の4本柱で整理されています。

• データ利活用の促進 ：統計作成等の目的における同意要件の緩和
• リスクに応じた規律 ：個人関連情報の不適正取得・利用の禁止対象拡大
• 委託管理の再設計 ：実態に即した責任分担の明確化
• 執行強化 ：重大違反への課徴金制度の新設と罰則強化

特にBtoB営業に効くのは2番目と4番目で、 オプトアウト届出業者からのリスト購入や、不適正な名簿利用に対する監督権限が強化される見込み です（出典: TMI総合法律事務所）。

施行時期の目安

過去の2020年改正は公布から約2年で全面施行されました。2026年改正も同様のスケジュールを踏襲する場合、 2028年前後の施行が現実的なライン です。社内ルールの設計には少なくとも1年は要するため、いま着手すべきタイミングです。

BtoB営業に直撃する3つの論点

改正のうち、営業現場が真っ先に押さえるべき論点は3つに絞れます。

論点1：営業リスト購入の合法性が再定義される

現行法では、第27条の第三者提供制限の例外として「オプトアウト届出業者」からの名簿購入は条件付きで合法とされています。改正後は、 提供元の本人確認・利用目的確認の義務が強化される方向 で議論が進んでいます。購入側にも「適切な取得経路の確認」がより強く求められるため、 業者の届出番号や本人通知の証跡を稟議書に添付する運用が事実上の標準になる でしょう。

論点2：オプトアウト規制の強化

オプトアウト制度は、本人通知＋個人情報保護委員会への届出を条件に第三者提供を可能にする仕組みです。改正方針では、 届出業者に対する確認義務の追加と、不適正利用の禁止対象拡大 が示されています（出典: BUSINESS LAWYERS）。テレアポ・DM配信で配信停止依頼を受けた際、即時反映できる業務フローを持っていない営業組織は、課徴金リスクに晒されます。

論点3：名刺・問い合わせフォーム情報の利用範囲

改正でも変わらない大原則として、 個人情報は「特定した利用目的」の範囲内でしか使えません （第17条・第21条）。名刺アプリのSansanは公式に「データベース化された名刺は個人情報保護法の対象」と明示しており、社外スカウト機能などは本人の想定範囲内かを慎重に判断する必要があります（出典: 営業DX Handbook by Sansan）。

営業リスト購入はどこまでセーフか

「名簿販売は違法か」という相談は弁護士事務所への定番質問ですが、 結論は「条件付きで合法」 です。違法ラインを正しく理解しなければ、購入側もリスクを負います。

法人名と個人名のラインを区別する

法人の代表電話・代表メール・本社住所などは個人情報に該当せず、原則として自由に取り扱えます。一方、 個人名・個人メール・直通番号は個人情報に該当する ため、提供元のオプトアウト届出の有無、本人通知の実施状況が問われます（出典: モノリス法律事務所）。

過去の摘発事例から学ぶ実務リスク

2014年のベネッセコーポレーション顧客情報漏えい事件では、約3504万件の個人情報が流出し、購入側の名簿屋・通信教育会社にも社会的批判が及びました。同事件では下請けSEが懲役2年6月の実刑を受けています（出典: サレジオハックス）。 「うちは買っただけ」という言い訳は通用しない ことを、購買担当・営業企画は前提として動く必要があります。

安全な購入の3条件

• 個人情報保護委員会に オプトアウト届出済み の業者から購入する
• 取得経路（Web・展示会・公開情報）と 取得日 が明示されたデータを選ぶ
• 業者の プライバシーポリシーと利用目的記載 を稟議書に添付する

社内ルール化の具体的な進め方は営業リスト購入で失敗しない7つの秘訣で詳しく整理しているので、購買フローを刷新するときに参照してください。

名刺・問い合わせフォーム情報の利用ルール

名刺は「交換した瞬間に手に入った情報」のため、感覚的には自由に使えそうですが、 データベース化された時点で個人情報保護法の規律下に入ります 。

名刺データの取得目的を明示する

Sansanのプライバシーポリシーは、名刺データの利用目的を「業務上の連絡」「営業情報の提供」「自社サービスの案内」と列挙し、目的外利用を禁じています（出典: Sansan株式会社）。 自社が名刺データを営業活動に使うなら、プライバシーポリシーに同等の文言が記載されているかを再点検 してください。

問い合わせフォームのデータ転用は危険信号

「資料請求フォームで取った個人情報をメルマガ配信に流用」する運用は、利用目的に「メールマガジン配信」と書いていない限りアウトです。 取得時の利用目的に列挙されていない用途は、改めて本人の同意を取らない限り使えない のが原則です。営業リストの作成方針については営業リストの作り方｜成果を出す6つのコツも併せて確認してください。

名刺アプリの法人契約に潜む落とし穴

EightやSansanの法人契約では、社員間で名刺データを共有できる機能があります。これは本人通知なしで「第三者提供」に該当しうるため、 改正後はガイドラインで利用範囲がさらに明確化される可能性 があります（出典: なか2656のblog）。

改正対応の実務7ステップ

ここからは、施行までの1〜2年で営業組織が踏むべき7ステップをまとめます。 いずれも「いま着手しても無駄にならない」現行法でも有効な対応 です。

ステップ1：保有データの棚卸し

名刺・フォーム入力・購入リストを台帳化し、取得経路・取得日・本人通知の有無を明記します。 この台帳がないと、削除依頼が来たときにどこに記録があるか追えません 。

ステップ2：利用目的の見直しと再公表

プライバシーポリシーに「営業活動」「メール配信」「セミナー案内」「ウェビナー案内」を具体的に列挙し、本来目的を超える運用を停止します。改訂時は本人通知または公表が必要です。

ステップ3：営業リスト購入プロセスの標準化

業者選定時に、オプトアウト届出番号・取得経路・本人通知の有無を確認する書式を作り、購買稟議に必須項目として組み込みます。

ステップ4：オプトアウト受付の即時フロー化

配信停止・削除依頼を受けてから 24時間以内に反映するワークフロー を構築し、対応記録を3年以上保管します。CRM・MAツールの「Do Not Contact」フラグを必ず立てる運用にします。

ステップ5：名刺データの利用目的を社内徹底

Sansan等の名刺アプリ利用時、社外共有・スカウト利用は本人の想定範囲内かを四半期ごとにレビューします。法人プランの共有機能を使う場合は、社内ガイドラインを明文化します。

ステップ6：テレアポ・メール文面の合法性チェック

通話冒頭での社名・利用目的告知、メール末尾の配信停止導線、特定電子メール法の表示義務（送信者の氏名・名称・住所）を満たすか営業企画で監査します。

ステップ7：課徴金リスクに備えた内部統制と教育

改正法では重大違反への 課徴金制度の導入が示されています 。年1回の営業向け個人情報保護研修と、漏えい発覚から72時間以内の個人情報保護委員会報告体制を整備しましょう（出典: IKEDA & SOMEYA）。

よくある質問

Q. 2026年改正法はいつ施行されますか

2026年4月に閣議決定された改正法案は通常国会で審議中で、公布から1〜2年後の施行が見込まれています。 2028年前後を施行の現実的ラインとして準備するのが妥当 です（出典: 牛島総合法律事務所）。

Q. 法人の代表電話への営業電話は規制対象ですか

法人の代表電話番号は個人情報に該当しないため、個人情報保護法の対象外です。ただし、 特定電子メール法・特定商取引法の表示義務、相手先の社内NGリスト管理は別途必要 です。

Q. 名刺交換した相手にメルマガを送るのは合法ですか

名刺交換時に「メール配信に使う」と明示していない場合、原則として目的外利用に該当します。プライバシーポリシーで利用目的に「マーケティング配信」を列挙し、 初回配信時に配信停止導線を明示 する運用が安全です。

Q. オプトアウト届出業者からリストを買えば安全ですか

届出は最低条件であって免罪符ではありません。 業者が本人通知を実施しているか、取得経路が明示されているかを購入側が確認する義務 があります。改正後はこの確認義務がより明確化される見込みです（出典: BUSINESS LAWYERS）。

Q. 課徴金制度はいくらくらいの規模になりますか

2026年5月時点で具体的な金額水準は法案に明示されていません。EUのGDPRが「全世界売上の4%または2000万ユーロのいずれか高い方」を上限としていることから、 重大違反では数千万円〜数億円規模の負担を想定して内部統制を強化 するのが現実的です。

Q. 営業リスト購入と自社作成、改正後はどちらが安全ですか

改正後は購入・自社作成の双方で取得経路の説明責任が重くなります。 自社のWebサイト・展示会・問い合わせフォーム経由で利用目的を明示して取得した情報のほうが、説明コストは圧倒的に低い といえます。AIを活用した自社作成の手法はAIを活用した営業リスト作成で商談化率を劇的向上！ChatGPT活用6つの秘訣で詳しく扱っています。

まとめ

2026年改正の個人情報保護法は、BtoB営業の足元（営業リスト購入・テレアポ・名刺管理）に直接効く改正です。 「公布されてから動く」では1〜2年の施行猶予を空費する ことになります。本記事の7ステップを、四半期ごとのコンプライアンス会議で1つずつ進捗確認する運用に落とし込み、課徴金時代の営業組織に備えてください。