オプトアウトとは？オプトインとの違いと個人情報保護法での扱い

個人情報の取り扱いに関するルールは、年々厳しくなっています。個人データを第三者に提供するには原則として本人の同意が必要ですが、一定の条件のもとで本人の明確な同意を得ずに提供できる仕組みもあります。それが「オプトアウト」です。

ただしオプトアウトという言葉は、個人情報保護法の文脈だけでなく、メール配信の停止やCookieの利用拒否など、場面によって異なる意味で使われます。混同したまま理解していると、実務で判断を誤る原因になります。

この記事では、オプトアウトの意味とオプトインとの違い、個人情報保護法での扱い、そして2026年7月に公布された改正個人情報保護法のポイントまでを解説します。

オプトアウトとは

オプトアウト（opt-out）とは、英語で「脱退する」「参加しないことを選ぶ」という意味です。あらかじめ「参加している」状態を前提とし、本人が申し出た場合に対象から外れるという方式を指します。

たとえば、メールマガジンの配信が既定で有効になっていて、不要な人は「配信停止」の手続きをする。これがオプトアウト型の仕組みです。

場面によって意味が異なる

実務でオプトアウトという言葉が使われる代表的な場面は、次の3つです。

場面	意味	関係する法律
個人データの第三者提供	本人の求めがあれば提供を停止する前提で、同意なく第三者に提供する方式	個人情報保護法
メール配信	受信者が配信停止を申し出る仕組み	特定電子メール法
Cookieなどの利用者情報	外部への情報送信を利用者が停止できる仕組み	電気通信事業法

検索で「オプトアウト」を調べると、これらが混在した情報が出てきます。どの文脈の話なのかを最初に確認することが、正しく理解するための第一歩です。

本記事では、主に個人情報保護法におけるオプトアウトを中心に解説し、後半で他の2つにも触れます。

オプトアウトとオプトインの違い

オプトアウトと対になる概念が「オプトイン（opt-in）」です。

	オプトアウト	オプトイン
初期状態	参加・利用されている	参加・利用されていない
本人の行動	拒否したい場合に申し出る	同意する場合に意思表示する
本人の関与	事後的	事前
プライバシー保護	相対的に弱い	相対的に強い

オプトインは、本人が明確に同意して初めて利用や提供が始まる方式です。一方オプトアウトは、本人が拒否しない限り利用や提供が続く方式です。

本人が気づかないうちに情報が利用・提供されるリスクがあるため、個人情報の取り扱いにおいては、原則としてオプトインが求められる場面が多くなっています。

個人情報保護法におけるオプトアウト

ここからは、個人情報保護法でのオプトアウトについて詳しく見ていきます。

第三者提供の原則は「本人の同意」

個人情報保護法では、事業者が個人データを第三者に提供する場合、あらかじめ本人の同意を得ることが原則とされています（個人情報保護法第27条第1項）。これはオプトイン型の考え方です。

例外としてのオプトアウト規定

ただし一定の手続きを踏めば、本人の同意なく第三者提供ができる例外があります。これが「オプトアウト規定」（同条第2項）です。

オプトアウトによって第三者提供を行う場合、事業者は次の対応が必要です。

1. 必要な事項を本人に通知するか、本人が容易に知り得る状態に置くこと 第三者への提供を利用目的とすること、提供される個人データの項目、提供の方法、本人の求めに応じて提供を停止すること、その求めを受け付ける方法などが対象です。
2. 個人情報保護委員会へ事前に届け出ること 届け出た内容は委員会によって公表されます。

この届出をせずにオプトアウトで第三者提供を行うことはできません。 「プライバシーポリシーに書いておけば足りる」わけではない点に注意してください。

実際にオプトアウト規定を利用しているのは、主にいわゆる名簿業者などに限られます。一般の事業者が日常的に使う仕組みではありません。

オプトアウトで提供できない個人データ

オプトアウトの手続きを踏んでも、第三者提供が認められない個人データがあります。

① 要配慮個人情報 人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実など、本人に対する不当な差別や偏見が生じないよう、特に配慮が必要な情報です。

② 不正の手段により取得された個人データ

③ 他の事業者からオプトアウトにより提供を受けた個人データ

誤解されやすい点ですが、要配慮個人情報も、本人の同意があれば第三者提供は可能です。禁止されているのは、あくまでオプトアウトによる第三者提供です。

規制強化の経緯

オプトアウトによる第三者提供の対象は、段階的に絞られてきました。

• 2017年5月（平成27年改正の全面施行）：「要配慮個人情報」が新設され、オプトアウトの対象外とされた
• 2022年4月（令和2年改正の施行）：「不正取得された個人データ」と「オプトアウトにより提供を受けた個人データ」も対象外に追加された

令和2年改正は2020年6月に国会で成立し、2022年4月1日に施行されています。背景には、個人情報保護委員会の実態調査で、本人が提供した覚えのない名簿が流通している実態が明らかになったことがあります。オプトアウトで取得したデータをさらにオプトアウトで転売する、といった形で個人データが転々と流通するのを防ぐ狙いです。

【2026年】令和8年改正個人情報保護法が成立

2026年、個人情報保護法は大きな改正を迎えました。

成立から施行までの流れ

個人情報保護法には、3年ごとに施行状況を検討し、必要な措置を講ずる旨が定められています。この「3年ごと見直し」を受けて、次のように進みました。

• 2023年11月：個人情報保護委員会が見直しを開始
• 2026年1月：「制度改正方針」を公表
• 2026年4月7日：改正法案を閣議決定・国会提出
• 2026年7月10日：国会で可決・成立
• 2026年7月17日：公布（令和8年法律第56号）

施行は、公布の日から2年を超えない範囲で政令で定める日とされています。政府資料によれば、2028年春頃から同年7月頃の施行が見込まれています。

改正の主なポイント

今回の改正は、データの利活用を一律に抑制するのではなく、リスクの低い取り扱いは緩和し、リスクの高い領域は強化するという方向性で整理されています。

① 課徴金制度の導入 個人情報保護法として初めて、課徴金制度が導入されます。委員会の命令に違反した場合、不正な手段で個人情報を取得した場合、安全管理義務の重大な違反により大規模な漏えいが発生した場合などが対象です。

② 同意規制の一部緩和 AI開発や統計作成を目的とする場合など、権利利益を侵害するリスクが比較的低い取り扱いについて、同意規制を緩和する特例が設けられます。具体的な対象範囲は、今後公表される個人情報保護委員会規則で定められる予定です。

③ 規律の強化 こどもの個人データ、顔特徴データ、個人情報には該当しないものの連絡が可能な情報などについて、規律が強化されます。

④ 執行の実効性強化 緊急命令の発動要件が見直されるなど、個人情報保護委員会がより機動的に対応できる仕組みが整備されます。

なお、団体による差止請求や被害回復の制度、プロファイリング規制などは、今回の改正では見送られました。

事業者に求められること

多くの制度の具体的な内容は、今後の政令、委員会規則、ガイドラインに委ねられています。施行までの間に公表される規則やガイドラインを継続的に確認し、自社の体制を見直していくことが求められます。

とくに課徴金制度の導入により、違反した場合の経済的な影響はこれまでより大きくなります。「これまで問題にならなかったから大丈夫」という判断は通用しなくなると考えておくべきでしょう。

マーケティングで知っておきたい他のオプトアウト

個人情報保護法以外にも、マーケティング実務で押さえておくべきオプトアウトがあります。

メール配信（特定電子メール法）

広告や宣伝を目的とするメールを送信する場合、特定電子メール法により、原則として事前に受信者の同意を得る必要があります（同法第3条）。つまりメールマーケティングは、オプトイン型が原則です。

ただし、同法には次の例外が定められており、これらに該当する相手には同意なく送信できます。

• 名刺などの書面により、自己のメールアドレスを通知した者
• 送信者と取引関係にある者
• 自己のメールアドレスをインターネットで公表している団体や、営業を営む個人

もっとも、例外の運用には注意が必要です。名刺交換をしたからといって無制限に広告を送り続けてよいわけではなく、社会通念上相当な範囲での利用が前提とされています。また、公表されたアドレスの近くに「広告メールお断り」と併記されている場合は、例外は適用されません。

さらに通信販売の広告メールについては、特定商取引法の規制が別途かかる点にも注意が必要です。

そして、例外に該当する相手であっても、受信者から配信停止を求められた場合は、その意思に反して送信してはなりません。送信するメールには配信停止の方法を明示し、申し出があれば速やかに停止することが求められます。

Cookieなどの利用者情報（電気通信事業法）

2023年6月16日に施行された改正電気通信事業法では、外部送信規律と呼ばれるルールが設けられました。いわゆる「日本版Cookie規制」です。

Webサイトやアプリで、利用者の端末に記録された情報を外部に送信させる場合、事業者は次のいずれかの対応が必要です。

• 送信される情報や送信先を通知または公表する
• 利用者の同意を得る
• 利用者が送信を停止できるオプトアウトの措置を講じる

アクセス解析ツールや広告タグなどによる情報送信が、典型的な対象です。

ただし、この規律が適用されるのは、「電気通信事業を営む者」が、法令で定められた類型のサービスを提供している場合に限られます。総務省のFAQでも、電気通信事業を営んでいない場合は、たとえ情報の外部送信が行われていても規律の対象にはならないと説明されています。

たとえば、自社の商品やサービスを紹介するだけのWebサイトは、電気通信事業に該当しないことが多いとされています。一方で、各種情報をオンラインで提供するサービスなどは対象範囲が広く、該当するかどうかの判断が難しいケースも少なくありません。判断に迷う場合は、専門家に相談するか、安全策として対応を進めておくことが考えられます。

違反した場合の罰則

個人情報保護法に違反した場合、事業者だけでなく従業員個人が処罰の対象となる場合もあります。

個人情報データベース等不正提供罪

事業者の従業員や元従業員が、業務で取り扱った個人情報データベース等を、自己または第三者の不正な利益を図る目的で提供または盗用した場合、罪に問われます。

法定刑は1年以下の拘禁刑または50万円以下の罰金です。さらに両罰規定により、法人にも1億円以下の罰金が科される可能性があります。

命令違反に対する罰則

個人情報保護委員会の命令に違反した場合も罰則があります。行為者には1年以下の拘禁刑または100万円以下の罰金、法人には1億円以下の罰金が定められています。

なお、刑法改正により2025年6月から懲役刑は「拘禁刑」に一本化されています。

従業員教育の重要性

たとえば、勤務先のデータベースから顧客情報を持ち出し、転職先や名簿業者に提供するといった行為は、この罪に該当する可能性があります。

企業にとっては、法的な責任だけでなく社会的な信頼を大きく損なう事態です。アクセス権限の管理、ログの記録、定期的な教育といった対策を講じることが求められます。

規制が強まるほど、自社で取得したデータの価値は上がる

ここまで見てきたように、個人データの第三者提供に関するルールは、2017年、2022年、そして2026年と、段階的に厳しくなってきました。今回の改正では課徴金制度も導入され、違反時の影響はさらに大きくなります。

この流れは、マーケティングの実務にも大きな影響を与えています。

外部から購入した名簿や、出どころの不明確なデータに頼る手法は、年々リスクが高くなっています。 2022年の改正で、オプトアウトで取得したデータの再提供が禁止されたのも、まさにこの問題への対応でした。

一方で価値が高まっているのが、自社が本人から直接、適切な同意を得て取得したデータです。

• Webサイトでの行動履歴
• 資料請求や問い合わせの内容
• 電話での問い合わせ記録
• 購買履歴や契約情報
• CRMに蓄積された顧客情報

こうしたファーストパーティデータは、取得の経緯が明確で、利用目的も本人に示したうえで集めたものです。規制が強まる環境において、最も安心して活用できるデータと言えます。

ただし、多くの企業ではこれらのデータが社内のあちこちに散らばり、十分に活かされていないのが実情です。そして個人データである以上、安全に管理されていることが大前提になります。

「オムニデータバンク」は、広告運用に必要なファーストパーティデータをセキュアに収集・管理・運用するマーケティングプラットフォームです。社内に散在するデータを統合し、安全に管理しながら、広告のターゲティングや効果測定に活用できます。

規制に左右されにくい、自社データを軸にしたマーケティングを進めたい方は、こちらからお問い合わせください。