2026年4月、個人情報保護法の改正法案が閣議決定され、国会に提出されました。「もう対応しなければいけないのか」「CookieバナーやGA4の扱いはどうなるのか」と不安を感じているWeb担当者・マーケターの方も多いのではないでしょうか。
今回の改正は、2020年改正法に盛り込まれた「3年ごと見直し」の規定に基づくものです。個人情報保護委員会は2023年11月に「いわゆる3年ごと見直し規定に基づく検討」を公表し、その後、関係団体や有識者へのヒアリングなどを進め、2026年1月に制度改正方針を公表しました。
本記事では、2026年5月時点での改正法案の審議状況と、サイト運営者・マーケティング担当者が確認しておきたいポイントを整理します。詳しくは、無料ホワイトペーパー「改正個人情報保護法とアクセス解析」もあわせてご覧ください。
目次
2026年個人情報保護法改正案は、まだ成立前
2026年4月7日、政府は「個人情報の保護に関する法律等の一部を改正する法律案」を閣議決定し、国会に提出しました。4月21日には衆議院の「地域活性化・こども政策・デジタル社会形成に関する特別委員会」へ付託され、5月21日に同委員会で可決されています。5月26日には衆議院本会議でも可決され、現在は参議院での審議中です。まだ法律として成立・施行されたものではありません。
法案が成立したとしても、すぐにすべての実務対応が確定するわけではありません。施行日や具体的な運用ルールは、今後の政令・個人情報保護委員会規則・ガイドライン等で示される部分があります。そのため、現時点では「すぐに全サイトで対応必須」と受け止めるのではなく、自社の計測環境を整理し、今後のガイドラインに照らして判断できる状態をつくることが重要です。
なお、日本弁護士連合会（日弁連）は2026年4月16日付で意見書を取りまとめ、AI開発・統計作成における同意不要化や課徴金制度などについて意見を示しています。専門団体からも論点が示されている段階であり、今後のガイドライン整備の内容は引き続き注視が必要です。
今回の改正案、サイト運営者が注目すべき主なポイント
今回の改正案には、Webサイトの運営や広告・マーケティング業務に関わる内容が複数含まれています。以下に主なポイントを整理します。
16歳未満の個人情報保護の強化（広告担当者は特に注意）
今回の改正案では、16歳未満（こども）の個人情報について、法定代理人（保護者）への同意・通知の明文化など、通常の個人情報よりも手厚いルールが設けられる方向です。また、こどもの個人情報等を取り扱う際には、本人の最善の利益を優先して考慮する責務規定も盛り込まれています。
特に確認したいのは、大学のオープンキャンパス告知、学習塾・予備校、スポーツ教室など、中学生や高校1年生など16歳未満の利用者が含まれうる層を対象に、広告配信、資料請求、イベント申込、会員登録、問い合わせフォームなどを運用しているケースです。単に広告を出しているかどうかだけでなく、16歳未満の利用者に関する情報を取得しているか、その情報を広告配信やマーケティングオートメーションに利用しているかを確認しておく必要があります。
また、フォームで年齢を取得しているサイトや、年代別にセグメントしてMAツールで管理しているケースも、この規制の影響を受ける可能性があります。
※具体的な要件や適用範囲については、成立後の政令・ガイドラインで明確化される予定です。現時点では法案に基づく情報として参考にしてください。
統計作成・AI開発における本人同意の緩和
改正案では、一定の要件を満たし、統計情報等の作成のみを目的とする場合、第三者への個人情報提供について本人同意を不要とする特例が設けられる方向です。個人情報保護委員会の説明では、この「統計作成等」には、一定の要件を満たすAI開発も含まれると整理されています。
企業がデータ分析ベンダーや外部の分析基盤に個人データを渡すケースで、この特例が適用されるかどうかは、目的が統計情報等の作成に限定されているか、安全管理措置や第三者提供の制限が適切に設計されているかによって変わります。安易に「統計目的だから同意不要」と判断するのではなく、成立後のガイドラインで要件を確認することが重要です。
なお、日弁連の意見書では、この特例が不適切なプロファイリングや差別につながるリスクについて懸念が示されています。
顔特徴データなど生体情報の保護強化
顔特徴データなど、身体の一部の特徴に係る情報を含む個人情報等については、周知義務の強化、利用停止等請求の要件緩和、オプトアウトによる第三者提供の禁止などが盛り込まれる方向です。
店舗・施設での顔認証システムや、動画・写真を活用したサービスを運営している場合はもちろん、採用・入退室管理・マーケティング目的でカメラやAIを活用しているケースも対象になりうる点を確認しておく必要があります。
サイト解析で見ておきたい4つの観点
法改正の詳細は、今後のガイドライン等を確認する必要がありますが、サイト解析ツールの選定・運用を考えるうえで、今のうちから確認しておきたい観点があります。
- Cookieを使っているか（ファーストパーティ・サードパーティの区別を含む）
- IPアドレスや広告IDなど、個人の識別につながりうる情報を扱っているか
- 取得したデータを外部サービス（広告プラットフォーム・分析ツールなど）に送信しているか、送信先で何に使われるか
- 取得データをAI分析・CRM（顧客管理システム）など別用途に使っているか
「Cookieかどうか」だけで判断するのではなく、自社のどのドメイン（環境）で、どのデータを、何の目的で、どこに送っているかの全体像を把握することが重要です。これらを整理しておくことで、成立後のガイドラインが示された際に、自社サイトがどの規定に関係するかを素早く確認できます。
「Cookieレスなら安心」だけでなく、「説明できる計測」が重要に
Cookieを使わないことは、プライバシー対応を考えるうえで大きなメリットです。しかし、これからのサイト解析では「Cookieを使っていない」だけでなく、どのデータを取得し、どこで保管し、何に使っているかを説明できることがより重要になってきます。
特に、GA4やMA・広告ツールなど複数のプラットフォームにデータが流れている場合、それぞれの役割と取得情報を整理できているかどうかが問われます。「外部ツールに何を送っているか把握していない」という状態は、今後リスクになりえます。
たとえばQA ZEROは、Cookieを使わず、IPアドレスも保存しない設計のため、「どのデータを取得し、何に使っているか」を整理しやすいアクセス解析ツールです。GA4などの外部ツールと役割を分けながら、自社の計測環境を説明できる状態にする際の選択肢のひとつとして活用できます。
今やるべきは同意バナーよりも「棚卸し」
現時点では、すべてのサイトで一律に同意バナーが必要になるという話ではありません。まず取り組むべきは、自社サイトで使っているツールと情報の流れを一覧化することです。
- アクセス解析ツール（GA4、Adobe Analyticsなど）
- 広告タグ（Google広告、Meta広告など）
- ヒートマップ・セッション録画ツール
- チャットボット・問い合わせフォーム
- MAツール
これらのツールごとに「何のデータを取得しているか」「外部に送信しているか」「保存場所はどこか」「利用目的はプライバシーポリシーに記載されているか」を確認しておくと、今後の対応判断がスムーズになります。
この棚卸しをしておくことで、法改正後のガイドラインが示されたときに、自社でどう対応すべきかを落ち着いて判断できます。今できる準備を進めておきましょう。
無料資料：改正個人情報保護法とアクセス解析
QA ZEROでは、2026年4月の改正法案閣議決定を踏まえ、アクセス解析・Cookie・同意バナーの観点から確認すべきポイントを全9ページの無料資料にまとめています。
「自社サイトでは何を確認すべきか」「GA4や外部解析ツールをどう考えればよいか」を社内で共有したい方は、ぜひご活用ください。
▼無料資料ダウンロードはこちら
