営業リストと個人情報保護法｜2026年改正で変わる4点と施行までの点検表

名簿業者から買ったリストと、何年もかけて社内にためてきた取引先の一覧。個人情報保護法が改正されたと聞いて、このまま営業に使い続けてよいのか、手が止まっていないでしょうか。

改正法は2026年7月17日に公布されましたが、施行日は一部の規定を除いてまだ決まっていません。今日の運用にかかっているのは現行法のルールで、手元のリストがすぐ使えなくなるわけではありません。

読み終えるころには、手元のリストのどの列を直せばよいかと、点検の結果ごとにそのリストを使い続けるか外すかを決められます。

この記事の結論

• 改正個人情報保護法は2026年7月17日に公布された。施行は一部を除き公布から2年以内に政令で定める日で、日付は未定。罰則の改正は公布から6か月を経過した日に施行される。
• 社名・代表電話・info@ のような法人そのものの情報は、改正後も個人情報ではない。代表者名・担当者名・氏名入りのアドレスの列は個人情報になる。
• 改正で営業リストに効くのは4点。名前のない電話番号・アドレスにも及ぶ不適正利用と不正取得の禁止、オプトアウト提供時の身元・利用目的の確認、課徴金、不正取得の罰則。
• オプトアウトで提供される名簿を買う側は、売り手から身元と利用目的を確認される。確認された事項を偽ると過料の対象になる。
• 施行までに、個人名の列の有無、各行の入手元と取得日、購入時の確認記録を点検する。手間が合わなければ、リストを持たずに送信まで任せる方法もある。

2026年の改正個人情報保護法はいつから営業リストに効くのか：公布は7月17日、施行日は一部を除き政令待ち

法改正で、営業リストがすぐに使えなくなったわけではありません。改正法はまだ施行されておらず、今日の運用にかかっているのは現行法です。

改正の経緯は、次の3つの日付です。

個人情報保護委員会の公布のお知らせは、施行の日付をまだ示していません。

例外は罰則の改正で、公布から6か月を経過した日に施行されます（改正法の附則第1条第3号）。変わるのは、不正取得の罰則の新設や、不正提供の法定刑の引上げなどです。

準備の期間はあります。委員会は改正法の成立後にまとめた『改正法の成立を受けた個人情報保護委員会の今後の取組について』で、施行までに十分な期間を確保するとしました。

同じ資料の工程表も、現時点での見込みで変わり得ると断っています。細かい運用を決める政令・規則・ガイドラインは、委員会が検討を続けている段階です。

改正しても変わらない境界：営業リストのどの列が個人情報になるか

BtoBのリストだから個人情報保護法の対象外、とは言えません。個人情報になるかどうかは列ごとに決まり、その線は2026年7月17日公布の改正個人情報保護法でも動いていません。

個人情報保護委員会のガイドライン（通則編）の整理では、法人そのものの情報は個人情報に当たりません。役員や従業員の情報は個人情報です。

スマートカイタクの窓口調査で、アドレスを公表していた法人番号のある企業（約24万社・2026年10月時点）を見ました。1社につき1アドレスで集計すると、公表アドレスの45.3%が info@ で始まっていました。

info@ で始まるアドレスは100件に約45件で、人の名前ではなく窓口の名前で置かれた代表アドレスです。残りは info@ 以外の形で、窓口名か人の名前かは1件ずつ見ないと分かりません。

会社のホームページで公開されている名前でも、集めれば扱いが変わります。公開情報でも、個人を識別できる情報を集めて検索できる形にすれば、原則として個人情報データベース等に当たります（委員会のガイドラインQ&A）。

そうなると、事業者の規模にかかわらず、利用目的の通知又は公表が要ります（第21条第1項）。リストを買って受け取った場合も、通則編は第三者提供を受けた場合として、通知又は公表が必要な事例に挙げています。

代表者名の列を持つリストを使うなら、自社が公表している利用目的に、営業の連絡に使う旨が入っているかを確かめましょう。プライバシーポリシーをまだ持っていない会社は、利用目的を載せるページを作るところからです。

通則編は「公表」を、不特定多数の人が知ることができるように発表することとしています。例に挙がっているのは、自社のホームページのトップページから1回程度の操作で届く場所への掲載です。

置き場所と書き足し方は、リストを自社で作る前に利用目的を公表する手順に沿って決められます。

名簿を買うこと自体は禁止されていません。ただし購入には、適正な取得と、提供を受けるときの確認・記録義務（第30条）がかかります。

代表者名の列が付くかどうかは、購入先ごとに違います。1,000件の費用・取れる列・規約で購入先を比べた表で、列と規約を見比べてから選んでください。

改正個人情報保護法で営業リストに効く4点：どの列・どの場面に当たるか

2026年7月17日公布の改正個人情報保護法のうち、営業リストに効くのは次の4つです。

同じ改正には、営業リストの運用に関係しない項目も入っています。報道で目にしても、法人向けのリストを直す理由にはなりません。

• 統計の作成のために提供する場合に、本人の同意を不要とする特例
• 16歳未満の本人について、同意や通知の相手を法定代理人とする明文化
• 顔特徴データの取扱いに関する周知の義務化
• 漏えいの際、本人の権利利益の保護に欠けるおそれが少ない場合の本人通知の緩和

団体による差止請求と被害回復の制度は、改正法には入りませんでした。国会の附帯決議で、導入に向けて引き続き検討するとされています。

営業リストの名前のない電話番号・メールアドレスも対象になる：連絡可能個人関連情報

名前を消したリストなら自由に使える、とは改正後は言えなくなります。氏名の無い電話番号やアドレスにも、2つの禁止がかかるからです。

今の整理では、氏名を含まない電話番号やメールアドレスは、他の情報と容易に照合して個人を識別できる場合を除き、個人情報ではありません。委員会の説明資料は、これを「個人関連情報」と呼んでいます。

2026年7月17日公布の改正個人情報保護法は、このうち特定の個人に連絡できるものを「連絡可能個人関連情報」とし、不適正利用と不正取得を禁止します。対象は、特定の個人に連絡できる所在地（住居や勤務先）・電話番号・メールアドレスなどを含む情報です。

電話番号については、改正法第2条第8項の定義で、特定の個人への電話やファクシミリの送信に使えるものに限られます。携帯番号だけを並べた名簿でも、特定の個人に電話できる番号なら、この対象になり得ます。

改正で新たにかかるのは、不適正利用と不正取得の禁止だけです。利用目的の公表や第三者提供の制限まで、個人情報と同じ義務がすべてかかるわけではありません。

不正取得の禁止は、偽りその他不正の手段で連絡可能個人関連情報を取得してはならない、という定めです（改正法第31条の2第2項）。委員会が想定事例に挙げているのは、フィッシングサイト、投資詐欺広告、偽りの説明による取得の3つです。

不適正利用に当たるかは、今の第19条と同じく、違法又は不当な行為を助長し、又は誘発するおそれがあるかで見ます。通則編は、その「おそれ」の有無を社会通念上の蓋然性で判断するとしています。

ここでいう「違法又は不当な行為」には、法令違反のほか、社会通念上適正とは認められない行為も入る、というのが委員会のQ&Aの説明です。改正の背景には、違法な行為をする者にも転売するブローカーと知りながら、用途を確かめずに名簿を売った事案がありました。

連絡可能個人関連情報で何がどこまで当たるかを示すガイドラインは、今後の委員会で順次検討される段階です。

スマートカイタクの窓口調査（法人番号のある企業の公表アドレス、2026年10月時点）で、公表アドレスのドメインを見ました。フリーメールや携帯キャリア（gmail・yahoo・docomo など）だったのは7.3%、100件に約7件です。

ISPのドメインは数えていないので、実際の割合はこれより高いと見てください。このうち info@ で始まるものは2.4%にとどまります。

こうした行が個人情報か、連絡可能個人関連情報に当たるかは、アドレスの形だけでは決められません。そこで安全側の運用として勧めたいのが、その行をどこで手に入れたかを説明できるかで分けることです。

これは条文が求めている線ではなく、編集部の判断です。個人情報については、不正に取得されたと容易に知ることができたデータを受け取ると第20条第1項に違反するおそれがある、と委員会のQ&Aは解しています。

その考え方にならい、出所を説明できない携帯番号やアドレスの行は、買わない・使わないと決めておけば迷いません。

営業リストを買う側は、売り手から身元と利用目的を確認される：オプトアウト確認義務

名簿業者からリストを買う側には、改正後、売り手から身元と利用目的を聞かれる場面が加わります。

オプトアウト制度は、本人の求めがあれば提供を止めることを条件に、同意なく第三者へ提供できる仕組みです。2026年7月17日公布の改正個人情報保護法は、この制度で提供する側に、提供先の身元と利用目的の確認を義務づけます（改正法第27条第7項）。

確認されるのは、身元として氏名又は名称・住所・代表者氏名、それに利用目的です。義務を負うのは売り手ですが、買い手も無関係ではいられません。

確認を求められた買い手は、確認事項を偽ってはなりません（改正法第27条第8項）。偽れば過料の対象です。

例外もあります。提供する個人データの全部が、売り手の取得時点で本人や国の機関、地方公共団体などによって公開されていたものなら、確認は要りません。

ただし、公開の主体や追加の例外、確認の具体的な方法は委員会規則で決まることになっています。まだ示されていないので、規則が出たら控えの形式も合わせ直してください。

現行法でも、名簿を買う側には、提供元の届出の確認と記録の作成がかかっています。

まず、買おうとしている名簿がオプトアウト提供かどうかです。委員会のQ&Aは、名簿業者は一般にオプトアウトの届出が必要で、買い手は委員会のホームページで届出を確かめる必要があるとしています。

確かめる先は、委員会のサイトの「オプトアウト届出書検索」です。届出者の氏名又は名称や法人番号を条件にして、届出書を検索できます。

迷ったら、業者に届出をしているかと、データが公開情報だけかを聞いてから検索しましょう。届出の中身についての問い合わせ先は委員会ではなく、届出をした業者です。

検索で見つからない業者から、オプトアウトで受け取るのは避けてください。確認・記録義務編のガイドラインは、公表されていない事業者からオプトアウトで受け取ると、不正の手段による取得（第20条第1項）に当たるおそれがあるとしています。

届出をしている業者から買う場合でも、買い手の確認・記録の義務は省けません。

確認するのは、提供元の名称・住所・代表者と、そのデータを取得した経緯です（第30条第1項）。経緯として見るのは、どこから取ったか（本人・他の事業者・公開情報など）と、どう取ったか（直接か、有償か、公開情報からか）です。

確かめ方は、提供元から契約書などの書面を見せてもらう方法が規則に挙がっています（施行規則第22条第2項）。確かめたら、受け取った年月日や確認した事項の記録を作ります（第30条第3項）。

オプトアウトで受け取ったときに記録する事項は、施行規則第24条で次の5つです。

記録は、受け取るたびに速やかに、文書かデータで作ります（施行規則第23条第1項・第2項）。取得の経緯の部分は、内容を書き残すほか、経緯を示す契約書などの書面そのものを保存する方法でもかまいません。

保存期間は、オプトアウトで受け取った場合、施行規則第25条第3号から3年と読めます。聞き方と記録の残し方は、リストを買う前に買い手の側でやることの手順に沿って進めてください。

オプトアウトで受け取ったデータを、さらにオプトアウトで他社に渡すことは、今も禁止されています。買ったリストを転売する予定があるなら、この時点で止めてください。

売り手から身元と利用目的を聞かれたときに出す控えは、次の4項目です。社内で1枚作っておけば、購入のたびに書き直さずに済みます。

営業リストで課徴金がかかる3つの違反と、1,000人・相当の注意という線

課徴金は、営業リストを持つ会社に一律にかかる制度ではありません。対象になる違反と、かかる線が決まっています。

2026年7月17日公布の改正個人情報保護法は、重大な違反行為で個人の権利利益が侵害された場合などに、違反で得た財産的利益等に相当する額を納めさせる課徴金を新設します。大量の個人情報を扱う、経済的な動機のある悪質な違反を抑えるための制度です。

対象行為のうち、営業リストに関係するのは次の3つです。

4つ目の対象行為は統計特例の違反で、営業リストの運用とは関係しません。

委員会事務局の説明資料が示している、課徴金がかかる線は次の3つです。

• 大規模な事案に限られ、対象行為にかかる本人の数は1,000人が基準
• 対象行為を防ぐための相当の注意を怠っていない事業者は外れる
• 個人の権利利益が侵害された、または侵害される具体的なおそれが生じた場合に限られる

1,000人は、違反行為に係る個人情報・個人データの本人の数です。改正法は、この数が千人を超えないときなどは課徴金の納付を命じることができない、と定めています（改正法第148条の3）。

持っているリストの件数ではなく、違反に当たる行為に関わった本人の数で見ることになります。

このうち、自社で手を打てるのは相当の注意の線です。何をもって相当の注意とするかの基準は、まだ示されていません。

それでも、入手元と取得日、購入時の確認の記録を残しておけば、自社がどんな注意を払っていたかを後から説明できます。

国会の附帯決議は、事業者が過度に萎縮しないよう、課徴金の基準を明確なガイドラインで示すことを求めています。金額を心配するより先に、表の3つの場面に当たる取引をしていないかを確かめましょう。

施行までに手元の営業リストで確かめる8項目

2026年7月公布の改正個人情報保護法の施行までに、手元の営業リストで確かめることは次の8項目です。

5の行で1件ずつ見る件数は、相手の会社の規模で見積もれます。スマートカイタクの窓口調査（法人番号のある企業の公表アドレス、2026年10月時点）で、会社のドメインでないアドレスの割合を従業員規模別に見ると、次のとおりでした（従業員数はスマートカイタクの判定）。

いずれも企業が自社サイトで公表しているアドレスで、出所が分からないという意味ではありません。入手元の列と合わせて確かめる行が多いのは、小規模の会社を中心に組んだリストです。

2の列の足し方は、公的名簿から取り込む行に入手元と取得日を足す手順をそのまま使ってください。

8の台帳は法律の義務として挙げたものではありませんが、停止を求められた相手に送り続けるなら話は別です。通則編は、DMの送付や電話勧誘の停止を求められたのに繰り返した場合を、本人の利用停止等の請求が認められると考えられる事例に挙げています。

台帳の列は、配信前に突き合わせる除外リストの列を写して作れます。

点検の結果ごとに、リストをどう扱うか

点検のあとに迷うのは、そのリストを使い続けてよいかどうかです。リストの型ごとに、法律が求めることと、安全側の運用として編集部が勧めることを分けました。

過去に買った、確認記録の無いリストをどう扱えるかは、委員会の資料にも示されていません。

入手元が分からない行を外すのは、条文が求めている線ではなく、編集部の判断です。

個々の行が個人情報や連絡可能個人関連情報に当たるか迷うときは、弁護士など専門家に確認してください。

営業リストを自社で持ち続けるか、送信まで任せるか

2026年7月公布の改正個人情報保護法の施行後も、営業リストを自分で作って回すことはできます。成り立つ条件は、次の3つです。

• 法人の代表窓口（社名・フォームURL・代表アドレス）だけで組み、個人名の列を持たない
• 各行の入手元と取得日を、追加のたびに残せる
• 断りの台帳を自分で持ち、配信前に突き合わせられる

この3つを満たせるなら、点検の手間は小さく済みます。個人名の列、購入時の確認記録、売り手に出す身元と利用目的の控えが、そもそも生まれにくいからです。

手が止まるのは、買ったリストに代表者名や担当者名の列が混ざっている場合です。追加で買うたびに、個人名の列・購入時の確認記録・売り手に出す控えの点検を全行やり直すことになります。

その作業が合わないなら、リストを手元に持たずに送信まで任せる方法があります。

スマートカイタクは、送信先リストの作成から営業文の配信、レポート提出までを代行するサービスです。リストの作成はスマートカイタク側で行い、作成費用も条件の指定も全プラン無料。

依頼する側は、リストの代わりに条件を渡します。スマートカイタクで指定できる条件は、対象顧客・業種・従業員数・設立年・地域・データソース元の6つです。

既存取引先や競合など送信を避けたい企業は事前に登録でき、リスト作成の段階で除外されます。

スマートカイタクは、一度送信した企業には1ヶ月間は再送信しない運用です。自分で回す場合も、同じ相手に送る間隔を台帳の列として持たせておくと、送り過ぎを防げます。

スマートカイタクの月額プランでは配信停止リンクが標準で付き、受け取り側が自分で停止すると以降のリストからも外れます。配信の開始は、入金確認後最短2営業日です。

見積もりを頼むときは、次の2つを問い合わせフォームに書けば進められます。

• 送りたい相手の条件（対象顧客、業種、従業員数、設立年、地域、データソース元）
• 送信を避けたい企業の社名またはURL（改行区切り）

問い合わせは、フォーム営業代行のサービスページから進めてください。

よくある質問

個人事業主の営業リストは個人情報ですか

氏名や個人名の入ったアドレスが入っていれば、個人情報です。ガイドラインが個人情報から外しているのは「法人等の団体そのものに関する情報」で、個人事業主の行を同じ扱いにはできません。

個人情報は、生存する個人に関する情報です（現行法第2条第1項）。

屋号と代表電話だけの行をどう扱うか迷ったら、弁護士など専門家に確認してください。

名刺交換した相手の名前やアドレスを営業リストに入れて使ってもいいですか

自社の従業者であることを明らかにして名刺を交換した相手なら、自社業務の広告宣伝メールを送る範囲で使える場合があります。

委員会のQ&Aは、この前提で名刺の連絡先に自社業務の広告宣伝メールを送ることを、利用目的が取得の状況から明らかな場合に当たると解しています。

ただし、これは利用目的の通知や公表の話です。メールを送る行為そのものの決まりは別にあるので、法人宛ての営業メールで送れる相手と文面の直し方もあわせて確かめてください。

公開されている情報なら自由に集めて使えますか

自由には使えません。公開されている情報でも、個人を識別できる情報を集めて検索できる形にすれば個人情報データベース等になり、事業者の規模にかかわらず利用目的の通知又は公表が要ります（第21条第1項）。

ページを閲覧するだけなら「取得」にはなりません。一方、「不特定多数の者が取得できる公開情報」だけのデータベースを受け取るときは、現行法の確認・記録義務はかかりません。

改正後の売り手の確認義務にも、提供するデータの全部が、売り手の取得時点で本人や国の機関、地方公共団体などによって公開されていた場合の例外があります。

どこまでが例外に入るかは委員会規則で決まるので、公開情報で組んだリストなら確認が要らない、とはまだ言えません。

退職者が前の会社から持ってきたリストを使ってもいいですか

使わないでください。不正に持ち出されたと知り得るリストを受け取ると、それだけで第20条第1項に違反するおそれがあります。

第20条第1項の違反は、改正法で課徴金の対象行為の1つになります。前の会社でどう集めたかを説明できないリストは、受け取らないと社内で決めておきましょう。

取引先リストを他社に渡してもいいですか

担当者名などの個人データが入っていれば、原則として本人の同意なしには渡せません（第27条第1項）。

渡した先で違法な再提供が起きると予見できるのに渡すことは、ガイドライン（通則編）で不適正利用の事例にも挙がっています。社名や代表電話のような法人そのものの情報だけなら、個人データの提供には当たりません。

改正個人情報保護法の課徴金はいつから適用されますか

2026年7月17日公布の改正個人情報保護法の施行日からです。施行日は公布から2年以内に政令で決まり、まだ決まっていません。

課徴金の基準を示すガイドラインも、まだ出ていません。

まとめ：営業リストは、施行日を待たずに「個人名の列」と「入手元」から点検する

今かかっているのは現行法です。2026年7月17日公布の改正個人情報保護法の施行後は、連絡可能個人関連情報、オプトアウト提供時の確認、課徴金、不正取得の罰則の4点が営業リストに効きます。

点検は、個人名の列と入手元から始めましょう。

自分で回すなら、最初の作業は2つです。手元のリストに代表者名・担当者名・氏名入りのアドレス・携帯の列があるかを確かめ、入手元と取得日の2列を足してください。

任せるなら、6つの条件と送信を避けたい企業を問い合わせフォームに書けば、見積もりに進めます。