クローズドEC（会員制）構築の進め方｜要件と法対応

◆監修・編集責任者　小園 将隆　2026年8月14日

B2B EC-COLUMN

会員限定で公開する、クローズドEC（会員制ECサイト）の定義

クローズドECとは、会員登録と審査を経てログインした取引先だけが、商品・価格・在庫を閲覧して発注できる、公開範囲を限定したECサイトのことです^*1。一般に公開されたECサイトと異なり、登録のない来訪者には商品や価格が表示されません。

閉じ方は0か1かではなく4段階に分かれます。要件のぶれを防ぐには、先に段階を決めてから機能を選ぶとよいでしょう。会員を事業者に限定すること自体にも、法令上の意味があります。特定商取引法第26条第1項第1号は、購入者が「営業のために若しくは営業として締結するもの」に係る販売について、通信販売等の規定を適用しないと定めています^*5。会員審査は、この前提を成り立たせる手続きでもあります。2026年1月1日施行の取適法では、書面交付義務を電子メールなどの電磁的方法とすることが可能になりました^*4。発注内容の明示をEC画面で完結させる設計が取れます。

単一価格・単一カタログが存在しない、オープンECとの違い

一般消費者向けのオープンなBtoC ECでは、同一商品に単一の価格・単一のカタログを表示するのが基本です。これに対しクローズドECでは、取引先ごとに価格・在庫・カタログが異なる状態を前提に設計します。ログイン前後で見える情報が変わる点が、両者を分ける基準になります。

取引先別価格・与信・専売品―「閉じる」動機となる商慣行

日本の卸取引で「閉じる」必要が生じる理由は複数あります。取引先ごとの価格差、与信枠に応じた発注上限、専売品や建値の秘匿、在庫の引当優先順位などです。これらは自社サイトを訪れる全員に同一条件を示すオープンECの構造とは相性が悪く、公開範囲の制御が前提になります。

EC化率40.0%・クラウド利用80.6%が示す商取引の電子化

総務省『令和7年版 情報通信白書』は、経済産業省の調査を引用し、2023年のBtoB取引のEC化率が40.0%であったと記載しています^*1。同白書は、全社での利用と一部の事業所又は部門での利用を合計すると、2024年は80.6%の企業がクラウドサービスを利用していると報告しています^*2。企業のクラウド利用が広がった時期と重なっており、事業者間取引の電子化は特殊な選択ではなく、標準的な流れの一部になりつつあります。世界のEC市場についても、同白書は2024年の7.2兆ドルから2028年に10.4兆ドルへ拡大すると予測しています^*2-A。閉じたECは、この拡大の中で成立する一形態です。

クローズドサイト・会員種別など6つの基本用語

本記事で用いる基本用語を先にまとめます。クローズドサイトは会員以外に情報を公開しないサイト全般を指す語です。会員種別は取引先を区分する属性（一般取引先・専売取引先など）を意味します。会員ランクは取引実績や与信に応じて付与する等級です。与信枠は取引先ごとに設定する発注上限額を指します。シングルサインオン（SSO、1回の認証で複数システムを利用できる仕組み）は複数ユーザーの管理を簡略化する手段です。アクセス制御は担当者や情報の範囲を限定する仕組みを指します^*6。

全面クローズドから公開カタログまで、「閉じる」の4段階

クローズドECの設計は、隠す対象が異なる4段階に整理できます。同じ4項目（何を隠すか・向くケース・限界・集客への影響）で各段階を見ていきます。

段階①全面クローズド―ログイン必須で何も見せない

トップページからログインを必須とし、未ログインでは商品名すら表示しない段階です。専売品を扱う卸売業や、公開自体が競合への情報提供になりかねない業態に向きます。反面、検索エンジンからの新規流入はほぼ見込めません。

段階②価格のみ非表示―商品情報は公開のまま

商品情報は公開し、価格と在庫だけをログイン後に表示する段階です。取引先ごとに価格が異なるものの、商品自体の存在は広く知らせたい場合に適します。

段階③カタログの会員種別出し分け

取引先の区分（会員種別）ごとに見えるカタログを変える段階です。専売品や地域限定品を、対象の会員種別だけに表示する制御が可能になります。カタログ自体は公開範囲の外に置きつつ、内容を出し分ける設計のため、権限マトリクスの粒度が要件を左右します。

段階④公開カタログ＋クローズド発注

カタログ自体は検索エンジンの対象として公開し、発注導線だけを会員限定にする段階です。新規の取引先候補が検索から商品情報にたどり着ける一方、発注や価格の確認にはログインを要求します。集客と秘匿の両立を図る設計です。

秘匿性が高いほど検索流入は減る―4段階を6軸で比較

4段階の違いを、隠す対象・新規取引先の獲得・検索流入・構築の重さ・運用負荷・秘匿性の担保という6つの軸で整理すると、次のようになります。構築費用の水準そのものは本記事の主題外のため、ここでは扱いません。

秘匿・与信・専売―閉じる理由を先に特定する

段階を選ぶ前に、閉じる理由を秘匿・与信・専売のいずれかに特定しておく必要があります。理由が特定できないまま全面クローズドを選ぶと、新規獲得の導線を失うだけの結果になりかねません。複数の理由が重なる場合は、優先順位を付けたうえで段階を決めます。

申込から与信、会員種別付与までの会員審査フロー

公開範囲の段階を決めた次は、誰を会員として受け入れるかを審査するフローの設計です。ここは上位の解説記事で最も手薄になりやすい領域です。

申込から初回ログインまでの標準フロー

標準的な流れは、申込・事業者性の確認・与信・会員種別の付与・アカウント発行・初回ログインの順です。事業者性の確認と与信を分けて設計すると、審査基準が明確になり、承認までの期間の見通しも立てやすくなります。

法人番号・登記情報など事業者性確認の材料

事業者性の確認では、法人番号、登記情報、適格請求書発行事業者の登録番号、既存の取引実績などを確認材料にします。個人事業主を対象に含める場合は、確認できる材料が法人と異なる点にも留意が必要です。

特定商取引法26条が審査を要求する理由

会員審査がなぜ必要かは、法令面から説明できます。特定商取引法第26条第1項第1号の適用除外は、契約が「営業のために若しくは営業として締結するもの」であることを要件としています^*5。一般消費者が自由に登録できる状態では、この前提が崩れます。会員審査は機能上の選好ではなく、この前提を維持するための手続きという性格を持ちます。

営業・与信・情報システムで分ける承認の責任

審査の責任分界も設計項目です。事業者性の確認は営業、与信枠の設定は与信管理部門、アカウント発行は情報システムというように役割を分け、承認履歴を記録として残す運用にします。承認者が不明確なまま進めると、後から審査基準を説明できなくなります。なお、与信枠の金額設定や掛売り代金の回収方法そのものは本記事の主題外です。

個人情報保護法10-6が求める、認証・権限設計の要件

会員の情報を扱う以上、認証と権限の設計は個人情報保護法の要求から逆算できます。個人情報保護委員会のガイドライン（通則編）10-6 技術的安全管理措置は、次の4項目を「講じなければならない措置」と定めています^*6。（1）アクセス制御、（2）アクセス者の識別と認証、（3）外部からの不正アクセス等の防止、（4）情報システムの使用に伴う漏えい等の防止です。

個人情報保護法GL10-6が定める技術的安全管理措置4項目

ガイドラインは「担当者及び取り扱う個人情報データベース等の範囲を限定するために、適切なアクセス制御を行わなければならない」と定めています^*6。手法の例示として「ユーザーIDに付与するアクセス権により、個人情報データベース等を取り扱う情報システムを使用できる従業者を限定する」ことが挙げられています^*6。会員種別ごとに見える情報・できる操作を分ける設計は、この要求を満たす具体策です。

アクセス制御―会員種別×権限マトリクスへの落とし込み

アクセス制御は、会員種別と操作を掛け合わせたマトリクスに落とし込むと、要件として扱いやすくなります。会員種別は発注担当・承認者・経理担当・管理者など、操作は閲覧・発注・承認・請求確認などが該当します。

識別と認証―ID・パスワード・ICカードの例示

アクセス者の識別と認証について、ガイドラインは「個人データを取り扱う情報システムを使用する従業者が正当なアクセス権を有する者であることを、識別した結果に基づき認証しなければならない」と定めています^*6。識別・認証手法の例示は「ユーザーID、パスワード、磁気・ICカード等」です^*6。

複数ユーザー・部署別権限などBtoB固有の論点

BtoB固有の論点は4つあります。1社に複数ユーザー（発注者・承認者・閲覧のみ）を持たせるか、部署別の予算枠をどう扱うかの2点です。加えて、退職者のアカウントをどう失効させるか、取引先側の管理者に権限委譲するかも決める必要があります。これらは会員登録時ではなく、権限マトリクスの設計段階でまとめて決めておく必要があります。

通信の暗号化という漏えい防止の前提

漏えい等の防止についても、ガイドラインは例示として「個人データを含む通信の経路又は内容を暗号化する」ことを挙げています^*6。会員制ECにおいては、通信の暗号化は選択肢ではなく前提条件として扱う必要があります。

構築を外注しても、同等の安全管理措置を監督する義務は残る

ガイドラインは、個人データの取扱いを委託する場合について「自らが講ずべき安全管理措置と同等の措置が講じられるよう、監督するものとする」と定めています^*6。ECの構築・運用を外部に委託する場合、この監督義務が発生します。委託先の選定時には、監督の実施方法まで確認しておくことが望ましいでしょう。

認証・権限の要件は、個人情報保護法の条文から逆算すると具体化しやすい一方、実装可能な粒度に落とし込む作業は専門知識を要します。無料相談で要件を整理することで、自社の会員構成に合った権限設計を確認できます。

サプライチェーン攻撃が2位、閉じたECのセキュリティ課題

公開範囲を閉じたことと、セキュリティが確保されることは別の問題です。閉じているという事実だけを理由に、リスクが下がったと扱うことはできません。

IPA10大脅威2026、組織向け上位の脅威

独立行政法人情報処理推進機構（IPA、情報処理システムの信頼性向上などを担う公的機関）は、2026年1月29日に「情報セキュリティ10大脅威 2026」を公表しました^*7。組織向けランキングの上位は、1位がランサム攻撃による被害、2位がサプライチェーンや委託先を狙った攻撃です。3位はAIの利用をめぐるサイバーリスク、8位はリモートワーク等の環境や仕組みを狙った攻撃でした^*7。

取引先を経由して侵入されるクローズドECの経路

クローズドECは、取引先という「委託先・取引先」の側から侵入される経路を持ちます。2位に挙げられたサプライチェーン攻撃は、この経路に直接該当します^*7。閉じたサイトであっても、取引先アカウントの管理が甘ければ、外部からの攻撃対象になり得ます。

アカウント乗っ取り時の影響範囲を設計時に確定する

取引先アカウントが乗っ取られた場合に、他社の価格が見えてしまうのか、代理で発注ができてしまうのかは、権限マトリクスの設計段階で確定させておくべき事項です。会員種別をまたいだ閲覧・発注ができない設計にしておけば、被害の範囲を限定できます。

ログの定期分析―閉じているほど異常が見えにくい

クローズドECは外部からの目が届きにくいため、異常を検知しにくいという性質もあります。ガイドラインの例示にも「ログ等の定期的な分析により、不正アクセス等を検知する」ことが挙げられています^*6。ログの取得と定期的な確認は、構築後の運用要件として組み込む必要があります。なお、脅威分類を含むセキュリティ対策全般の設計は本記事の主題外です。

特定商取引法26条の適用除外と、取適法が変えた書面対応

会員を事業者に限定すると、法令上の扱いはどう変わるのでしょうか。本節が本記事の差別化の要となる論点です。

特定商取引法26条1項1号が定める適用除外の要件

特定商取引に関する法律第26条第1項第1号は「前三節の規定は、次の販売又は役務の提供で訪問販売、通信販売又は電話勧誘販売に該当するものについては、適用しない」としたうえで、「売買契約又は役務提供契約の申込みをした者が営業のために若しくは営業として締結するもの又は購入者若しくは役務の提供を受ける者が営業のために若しくは営業として締結するものに係る販売又は役務の提供」を対象に挙げています^*5。適用除外になるのは訪問販売・通信販売・電話勧誘販売の前三節の規定であり、特定商取引法全体ではありません。

適用除外にならない場合に必要な表示事項

適用除外にならない場合は何が必要になるのでしょうか。特定商取引法第11条（通信販売についての広告）は、販売条件を広告するときに、販売価格、代金の支払の時期及び方法、商品の引渡時期、申込みの期間の定めがあるときはその旨及び内容、申込みの撤回又は解除に関する事項などの表示を義務づけています^*5。一般消費者も登録できる設計にする場合は、これらの表示を備える必要があります。

判断の分岐点は「誰が会員になれるか」

判断の分岐点は、会員として誰を受け入れるかです。これはH2-3で扱った審査設計と直結します。事業者も消費者も受け入れる混在型にするなら、消費者向けの表示要件を満たす前提で作る必要があります。「クローズドECだから特定商取引法は関係ない」と一律に断定することはできず、会員構成しだいで適用除外の成否が変わる点に注意が必要です。

取適法―電磁的方法での発注内容明示

2026年1月1日に施行された取適法（正式名称：製造委託等に係る中小受託事業者に対する代金の支払の遅延等の防止に関する法律、通称・中小受託取引適正化法）は、令和7年5月16日に成立、5月23日に公布されました^*3。取適法の義務①は「発注に当たって、発注内容（給付の内容、代金の額、支払期日、支払方法）等を書面又は電子メールなどの電磁的方法により明示すること」です^*4。書面交付義務について、中小受託事業者の承諾の有無にかかわらず、電子メールなどの電磁的方法とすることが可能になりました^*4。電磁的方法が可能になったのは書面交付義務の履行方法であり、発注内容を明示する義務そのものが消えたわけではありません。取適法第4条第2項は、電磁的方法で明示した場合でも、中小受託事業者から当該事項を記載した書面の交付を求められたときは、遅滞なく交付しなければならないと定めています^*9。EC画面・マイページ・自動送信メールで明示を完結させる設計を採る場合も、書面交付の請求に応じられる出力機能を要件に含める必要があります。

取引記録を2年間保存する義務

取適法の義務②は、取引が完了した場合に給付内容や代金の額など取引に関する記録を書類又は電磁的記録として作成し、2年間保存することです^*4。委託事業者にはこのほか、受領した日から起算して60日以内の支払が義務③として定められています^*4。遅延利息（年率14.6%）が義務④であり、全体では4つの義務と11の遵守事項が課されます^*4。発注履歴の保存期間は、EC構築時の要件として組み込む必要があります。

資本金・従業員基準で決まる取適法の適用範囲

取適法の適用範囲を必要以上に広げて理解しないことも重要です。適用対象は、委託する取引の内容と、委託事業者・中小受託事業者の双方の規模の組合せから定まります^*9。委託事業者側の基準だけで判断することはできません。製造委託等の場合、資本金基準では、委託事業者が資本金3億円超で相手方が個人又は資本金3億円以下のときが対象です^*9。委託事業者が資本金1千万円超3億円以下で、相手方が個人又は資本金1千万円以下のときも対象になります^*9。従業員基準では、委託事業者が従業員300人超で相手方が従業員300人以下のときが対象です^*9。一方、資本金5千万円超・従業員100人超という基準は、製造委託等ではなく情報成果物作成委託又は役務提供委託に適用されるものです^*9。委託類型を取り違えると該当性の判断を誤ります。「すべてのBtoB取引で書面が不要になった」という理解は正確ではなく、委託類型と双方の規模の組合せで対象該当性が変わる点に注意が必要です。

電子帳簿保存法が求める電子取引データの保存

受発注データの保存には、電子帳簿保存法の観点も関わります。国税庁は、電子帳簿保存法について「取引に関する書類に通常記載される情報（取引情報）を含む電子データをやり取りした場合の、当該データに関する保存義務やその保存方法等についても同法により定められています」と説明しています^*8。所得税法・法人税法上の保存義務者は、電子取引の該当性を確認する必要があります^*8。クローズドEC上でやり取りする受発注データは、この保存義務の対象になり得ます。

閉じる理由の特定から公開前検証まで、構築8ステップ

ここまでの論点を、構築の手順として整理します。自社だけで判断が難しい項目も含まれるため、各手順で必要な確認事項を明記します。

内製でこの一連の要件を整理するには、法務・情報システム・営業の各担当者による横断的な確認が必要です。手順6の法令要件の確認だけでも、特定商取引法・取適法・個人情報保護法という複数の法令にまたがるため、専門的な知見を要します。要件定義の進め方全般は本記事の主題外です。

1. 閉じる理由の特定（秘匿・与信・専売のどれか。複数あれば優先順位を付けます）
2. 公開範囲の段階の決定（H2-2の4段階から選びます）
3. 会員種別と権限マトリクスの設計（誰が何を見られ、何を発注でき、何を承認するかを決めます）
4. 会員審査フローの設計（事業者性の確認方法、与信との接続、承認者を確定します）
5. 認証要件の確定（識別と認証の方式、通信の暗号化、ログの取得と確認の運用を決めます）
6. 法令要件の確認（特定商取引法の適用除外の成否、取適法の対象取引該当性と電磁的方法での明示、電子取引データの保存を確認します）
7. 移行順序の決定（主要取引先から段階的に移行します。既存のオープンECがある場合は段階④から始めるのが現実的です）
8. 公開前の検証（別の会員種別のアカウントで、見えてはいけない価格・商品・在庫が見えないことを確認します）

まとめ：段階・審査・権限・法令という4つの判断軸

本稿では、クローズドEC（会員制ECサイト）の構築を、公開範囲の段階・会員審査・認証と権限・法令要件という4つの判断軸で整理しました。要点を集約すると次の通りです。第一に、閉じ方は0か1かではなく4段階から選ぶこと。第二に、会員審査は特定商取引法の適用除外を成り立たせる手続きでもあること^*5。第三に、認証と権限は個人情報保護法ガイドラインの要求から逆算できること^*6。第四に、2026年1月施行の取適法により、対象取引であれば発注内容の明示を電磁的方法で完結できることです^*4。これらは自社の会員構成や取引内容によって当てはまり方が変わるため、個別の適法性は所管省庁の資料や専門家への確認を経て判断してください。

---

---

ご不明な点はお問い合わせフォームからもご連絡いただけます。

よくある質問

クローズドECにすると特定商取引法の表示義務はなくなりますか

会員を事業者に限定し、契約が「営業のために若しくは営業として締結するもの」に該当する場合に限り、通信販売等の規定（前三節）が適用除外になります^*5。一般消費者が登録できる状態であれば、適用除外は成立しません。クローズドECであること自体が表示義務を消すわけではなく、会員構成が要件を満たすかどうかで判断が分かれます。

会員登録を事業者に限定しないとどうなりますか

一般消費者も登録できる設計にした場合、特定商取引法第26条第1項第1号の適用除外は成立せず、第11条に定める販売価格・支払時期・引渡時期などの表示義務が発生します^*5。事業者限定にするか消費者混在にするかは、会員審査フローの設計段階で確定させておく必要があります。

2026年1月の取適法で、発注書面を紙で出す必要はなくなりましたか

対象取引に該当する場合、書面交付義務を電子メールなどの電磁的方法とすることが、中小受託事業者の承諾の有無にかかわらず可能になりました^*4。ただし変わったのは履行方法であり、発注内容（給付の内容・代金の額・支払期日・支払方法）を明示する義務自体はなくなっていません^*4。また、中小受託事業者から書面の交付を求められたときは、遅滞なく交付する必要があります^*9。適用対象かどうかは、委託類型と委託事業者・中小受託事業者双方の資本金又は従業員数の組合せで確認します^*9。

会員制にするなら認証はどこまで作り込めばよいですか

個人情報保護法ガイドライン（通則編）10-6は、アクセス制御とアクセス者の識別・認証を「講じなければならない措置」としています^*6。識別・認証手法の例示は、ユーザーID・パスワード・磁気やICカードなどです^*6。BtoBでは1社複数ユーザーや退職者アカウントの失効管理も権限設計に含める必要があります。

閉じたサイトでも受発注データの保存義務はありますか

対象取引に該当する場合、取適法は取引に関する記録を書類又は電磁的記録として作成し、2年間保存することを義務づけています^*4。加えて、所得税法・法人税法上の保存義務者は、電子帳簿保存法が定める電子取引データの保存要件も確認する必要があります^*8。クローズドサイトであることは、これらの保存義務を免除する理由にはなりません。

1. *1　出典：総務省「令和7年版 情報通信白書 第Ⅰ部第1章第1節2（2）」（2025年）
2. *2　出典：総務省「令和7年版 情報通信白書 第Ⅰ部第1章第1節2（1）」（2025年）
3. *2-A　出典：総務省「令和7年版 情報通信白書 第Ⅱ部第7節2「EC」」（2025年）
4. *3　出典：公正取引委員会「中小受託取引適正化法（取適法）関係」
5. *4　出典：公正取引委員会「2026年1月から「下請法」は「取適法」へ！（リーフレット No.01）」（令和7年8月）
6. *5　出典：e-Gov法令検索（デジタル庁）「特定商取引に関する法律」第11条・第26条
7. *6　出典：個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」10-6・3-4-4（令和8年6月一部改正）
8. *7　出典：独立行政法人情報処理推進機構（IPA）「情報セキュリティ10大脅威 2026【組織向け】」（2026年1月29日）
9. *8　出典：国税庁「電子帳簿等保存制度特設サイト」
10. *9　出典：e-Gov法令検索（デジタル庁）「製造委託等に係る中小受託事業者に対する代金の支払の遅延等の防止に関する法律」第2条第8項・第9項、第4条