BtoB ECの個人情報｜取扱い設計6ステップと法対応

◆監修・編集責任者　小園 将隆　2026年8月20日

B2B EC-COLUMN

取引先担当者の情報も対象—BtoB ECにおける個人情報の範囲

BtoB ECの個人情報の取扱い設計で最初に決めるべきは、何を「個人データ」として扱うかの範囲です。取引先の担当者名やメールアドレスも同法の対象になり、令和7年度（令和7年4月1日〜令和8年3月31日）には個人情報取扱事業者等からの漏えい等報告17,139件が処理されています^*10。

BtoB ECの個人情報の取扱い設計とは、BtoB Web受発注で取得・保管・提供する取引先担当者の氏名・所属・連絡先・ログインIDなどの個人データを対象にした設計作業です。利用目的・保管場所・委託関係・安全管理措置・本人対応・漏えい時の報告経路を、個人情報保護法の要求に沿ってあらかじめ決めておきます。

個人情報保護法が適用される「個人データ」の範囲

個人情報とは、生存する個人に関する情報で、氏名・生年月日その他により特定の個人を識別できるものを指します^*3。BtoB ECでは、法人そのものの情報（会社名・所在地・法人番号）は対象外ですが、担当者個人に紐づく情報は対象になります。

取引先担当者の氏名・メールアドレスも個人情報に当たる

「法人間取引だから個人情報保護法は関係ない」という理解は誤りです。取引先担当者の氏名・所属・メールアドレス・ログインIDは、いずれも個人を識別できる情報であり、同法の適用対象になります^*3。安全管理措置（第23条）や委託先の監督（第25条）の義務は、この担当者情報にもかかります。

会員登録・見積・受注・問合せ・アクセスログで発生する個人データ

BtoB ECでは、会員登録・見積依頼・受注・問合せフォーム・ログイン履歴の各機能で個人データが発生します。設計段階では、画面や機能ごとに「誰の、どの項目を、何のために」取得しているかを一覧化しておくと、次のステップで扱う利用目的の特定に直結します。

ステップ1：取得項目と利用目的の特定が設計の起点

最初のステップは、取り扱う個人データと利用目的の特定です。ここが曖昧なまま設計を進めると、後工程のプライバシーポリシー改訂や委託契約の見直しでやり直しが発生します。

画面・機能ごとに取得項目を棚卸しする

会員登録・見積・受注・問合せ・アクセスログのそれぞれで、取得する項目（氏名・所属・メールアドレス・電話番号・ログインID等）を洗い出します。項目ごとに取得の必要性を確認し、不要な項目は取得しない設計にすることが、後の安全管理措置の負担を軽くします。

利用目的の特定と通知・公表が第17条・第21条の要件

個人情報取扱事業者は、利用目的をできる限り特定し、取得時に本人へ通知するか公表する必要があります^*3。BtoB ECでは「受発注業務の遂行のため」のように抽象的に書きません。見積対応・与信確認・請求書送付など具体的な利用場面を挙げておくと、後から目的外利用の指摘を受けにくくなります。

取引先企業との契約と本人（担当者）への説明は別に設計する

取引基本契約は取引先企業との合意ですが、個人情報保護法上の利用目的の通知・公表は担当者本人に対して行う必要があります。契約書に個人情報の取扱いを記載しただけで済ませず、プライバシーポリシーでの公表とあわせて設計します。個人データの保存期間や削除ルールも、この段階で決めておくと安全管理措置の設計がぶれません。

ステップ2：クラウド利用は委託該当性の判断が要点

BtoB ECの多くはパッケージ・SaaSを利用します。ここで決めるべきは、保管場所と、クラウドベンダーが「委託先」に当たるかどうかの判断です。

委託に当たるかどうかはQ&A7-53の基準で判断する

ガイドラインQ&A7-53は、判断基準を「電子データに個人データが含まれるかどうか」とはしていません。「クラウドサービス提供事業者において個人データを取り扱うこととなっているのかどうか」を基準とします^*7。契約条項で取り扱わない旨が定められ、適切にアクセス制御が行われていれば、委託に該当しない場合もあります。

委託先の監督義務は第25条が定める

委託に該当する場合、個人情報取扱事業者は委託先に対する必要かつ適切な監督を行わなければなりません^*3。ベンダーに任せた時点で自社の責任が消えるわけではなく、自らが講ずべき安全管理措置と同等の措置を委託先が講じているかを確認する義務が残ります^*6。

クラウド注意喚起が示す3つの考慮要素—ベンダー選定時の確認軸

個人情報保護委員会は令和6年3月25日に注意喚起を公表しました^*8。クラウド事業者が不正アクセス被害を受け、個人情報取扱事業者に該当すると判断された事案を踏まえたものです。契約条項の確認とアクセス制御の実装状況を見落とすと、想定していなかった委託先監督義務を負うことになります。判断を誤ったまま設計を進めた場合の手戻りは小さくありません。

出典：個人情報保護委員会「クラウドサービス提供事業者が個人情報保護法上の個人情報取扱事業者に該当する場合の留意点について（注意喚起）」（令和6年3月25日）^*8

可視化した委託該当性のリスクを自社の契約書に当てはめて確認したい場合は、無料相談で要件を整理すると論点の整理が早く進みます。

ステップ3：安全管理措置は7区分で具体化する

ステップ3では、個人データの安全管理措置を設計に落とし込みます。ガイドライン通則編は、講ずべき安全管理措置を7つの区分に整理しています^*6。

基本方針の策定から技術的安全管理措置まで7区分で整備する

7区分は基本方針の策定・規律の整備・組織的安全管理措置・人的安全管理措置・物理的安全管理措置・技術的安全管理措置・外的環境の把握です^*6。BtoB ECでは、会員データベースへのアクセス権限の最小化や、運用担当者への取扱いルール周知が中心になります。

外的環境の把握—海外リージョンのクラウドを使う場合

外国のクラウドに個人データを保存する場合は、当該外国の制度等を把握した上で安全管理措置を講じる必要があります^*9。事業者の所在国名・サーバ所在国名・把握した上で講じた措置の内容を、本人の知り得る状態に置くことも求められます^*9。サーバ所在国が特定できない場合は、その旨と理由、参考となる情報を示す必要があります^*9。

取引先ごとのデータ分離は権限設計と合わせて検討する

BtoB EC特有の論点として、取引先ごとに閲覧できる担当者情報を分離する設計があります。代理店経由の閲覧範囲や、担当者アカウントの引き継ぎといった権限設計の詳細は、安全管理措置の一要素として扱います。深く踏み込む場合は、権限・アカウント管理の設計と合わせて検討します。

ステップ4：第三者提供と個人関連情報の線引き

ステップ4では、第三者提供の扱いと、個人データに該当しない「個人関連情報」の線引きを決めます。広告タグやMAツールを導入する設計では、この区別を知らないまま進めるとリスクが見えにくくなります。

第三者提供の原則と委託・共同利用の整理

個人データを第三者に提供する場合は、原則としてあらかじめ本人の同意を得る必要があります（第27条第1項）^*3。ただし、委託・事業承継・共同利用に当たる場合は、提供先が「第三者」に該当しないものとして扱われます（第27条第5項）^*3。BtoB ECの設計では、どの提供先が委託でどの提供先が第三者提供に当たるかを、契約類型ごとに確認します。

広告タグ・MAツール連携は個人関連情報の論点になる

個人関連情報とは、Cookie等の識別子と紐づく閲覧履歴など、個人データには該当しない個人に関する情報を指します。個人関連情報を個人データとして取得することが想定される場合、提供元は本人同意の取得状況等を確認する義務を負います^*3。BtoB ECに広告タグ・MAツールを組み込む設計では、この確認義務の有無を洗い出しておく必要があります。

外国にある第三者への提供は第28条で切り分ける

外国にある第三者に個人データを提供する場合は、原則として外国にある第三者への提供を認める旨の本人の同意を、あらかじめ得る必要があります（第28条第1項）^*3。委託先が外国に所在する場合は、ステップ3の外的環境の把握（10-7）とあわせて設計します^*9。

ステップ5：本人対応の窓口と公表事項の整備

ステップ5では、本人からの請求に応じる窓口と、公表すべき事項を整えます。ここで決めた内容が、プライバシーポリシーの改訂作業にそのまま反映されます。

本人の知り得る状態に置くべき事項—第32条と施行令第10条

個人情報取扱事業者は、保有個人データに関し、事業者の氏名・住所等、利用目的、開示等の請求手続などを本人の知り得る状態に置く必要があります^*3。施行令第10条は、これに加えて安全管理のために講じた措置、苦情の申出先、認定個人情報保護団体の名称と苦情解決の申出先を政令で定める事項としています^*5。

開示・訂正・利用停止の請求手続を決める

本人から保有個人データの開示・訂正・利用停止等を求められた場合の受付窓口と手続を、設計段階で決めておきます。手数料を定める場合はその金額と算定根拠も公表事項に含めます。

プライバシーポリシーと利用規約は役割を分けて書く

プライバシーポリシーは個人情報保護法上の公表事項を満たす文書として、利用規約はサービス利用条件を定める文書として、それぞれ役割を分けて設計します。両者に同じ内容を重複して書くと、改正時にどちらを直すべきか分からなくなります。

ステップ6：漏えい時の報告・通知フローの設計

ステップ6は、漏えい等が起きた場合の報告・通知フローです。報告義務が生じる類型と期限を、設計段階で運用フローに落とし込んでおきます。

出典：個人情報の保護に関する法律施行規則第7条^*4

報告義務が生じる4つの類型—施行規則第7条

報告義務が生じるのは4類型です^*4。要配慮個人情報を含む漏えい等、財産的被害が生じるおそれのあるもの、不正の目的をもって行われたおそれがある行為によるもの、本人の数が千人を超えるものが該当します。BtoB ECでは、与信情報や決済情報が絡む場合に該当しやすくなります。

速報と確報の期限—3〜5日の目安と30日・60日以内

施行規則第8条は、速報を「速やかに」報告するよう定めており、ガイドライン通則編はこの目安をおおむね3〜5日以内としています^*4*6。確報は事態を知った日から30日以内、施行規則第7条第3号（不正目的による行為）に当たる場合は60日以内です^*4。この条文上の期限とガイドラインの目安を混同しないよう、設計段階で両方を運用フローに落とし込みます。

本人への通知は第26条第2項、委託先から委託元への報告も必要

個人情報取扱事業者は、漏えい等により本人の権利利益を害するおそれが大きい事態が生じたときは、本人に対しても通知する必要があります^*3。委託先で漏えい等が発生した場合は、委託先から委託元へ速やかに報告する体制も、契約書に盛り込んでおきます。

令和8年改正法—委託先規律と課徴金が設計に与える影響

令和8年改正個人情報保護法は2026年7月17日に公布されました^*1。設計を進めるうえでは、現行法の話と改正後の話を段落単位で区別して理解しておくことが重要です。

公布は2026年7月17日、施行日は政令で今後定まる

改正法は令和8年7月10日に成立し、同月17日に公布されました^*1。施行期日は「原則として公布の日から起算して2年を超えない範囲内」で政令により定められる予定であり、現時点では確定していません^*1。「2028年施行」のような断定はできない段階です。

委託を受けた事業者の義務が第30条の3で見直される

改正法は、データ処理等の委託を受けた事業者について、委託された個人データ等の適正な取扱いに係る義務を見直します（第30条の3、第58条の2）^*2。委託先が委託された業務の範囲を超えて独自に個人データを利用する事案が生じていることを踏まえた見直しであり、委託契約の設計に直接関わります^*2。

本人通知の緩和と課徴金の導入が設計に与える影響

改正法は、本人の権利利益の保護に欠けるおそれが少ない場合について、漏えい等発生時の本人への通知義務を緩和します（第26条第2項）^*2。あわせて、違反行為によって得られた財産的利益等に相当する額の課徴金の納付を命じる制度が導入されます（第148条の3〜第148条の17）^*2。報告・通知フローの設計は、この見直しを踏まえて更新できるように、根拠条文をひも付けて記録しておくと改定時の手戻りを抑えられます。

自社対応と専門家依頼—条文解釈と工数の違い

取扱い設計を自社だけで進めるには、条文・施行規則・ガイドラインの解釈、クラウド契約書のレビュー、改正動向の継続的な確認という複数の知識が必要になります。担当者が要件定義と設計を兼務する体制では、改正内容の反映が後回しになりやすい傾向があります。

まとめ：取扱い設計を貫く3つの判断軸

本稿では、BtoB ECの個人情報について、取扱い設計で決めるべき6つのステップと令和8年改正法への向き合い方を整理しました。要点は3つに集約できます。第一に、取引先担当者の氏名や連絡先も個人情報保護法の対象になります。第二に、クラウド利用時は委託該当性の判断が設計全体を左右します。第三に、施行日は未定であるものの、委託先規律や本人通知の緩和を踏まえて設計しておけば、施行後の手戻りを抑えやすくなります。

---

ご不明な点はお問い合わせフォームからもご連絡いただけます。

よくある質問

取引先の担当者名と会社のメールアドレスだけでも個人情報に当たりますか。

当たります。生存する個人を識別できる氏名や連絡先は、法人間取引であっても個人情報保護法の対象になります^*3。

SaaSのBtoB ECを使う場合、ベンダーは委託先に当たりますか。

クラウドサービス提供事業者が個人データを取り扱うこととなっているかどうかで判断します^*7。取り扱わない契約かつ適切なアクセス制御が講じられていれば、委託に該当しない場合もあります。

海外のサーバーにデータが保存される場合、追加で必要な対応はありますか。

必要です。委託先が所在する外国の制度等を把握した上で安全管理措置を講じ、事業者の所在国名やサーバ所在国名を本人の知り得る状態に置く必要があります^*9。

漏えいが起きたら、いつまでに個人情報保護委員会へ報告する必要がありますか。

速報はおおむね3〜5日以内が目安で^*6、確報は事態を知った日から30日以内です^*4。不正の目的による行為が原因の場合、確報の期限は60日以内になります^*4。

令和8年の改正法が施行される前に設計したものは、作り直しになりますか。

施行日は未定で、公布の日から起算して2年を超えない範囲内で政令により定められます^*1。委託先の義務見直しや本人通知の緩和などの改正内容を踏まえて設計しておけば、大幅な作り直しは避けやすくなります。

1. *1　出典：個人情報保護委員会「『個人情報の保護に関する法律等の一部を改正する法律』の公布について」「令和8年改正個人情報保護法について」（令和8年7月17日）
2. *2　出典：個人情報保護委員会事務局「個人情報保護法等の一部を改正する法律について」（令和8年7月）
3. *3　出典：個人情報の保護に関する法律（平成15年法律第57号）第17条・第21条・第23条・第25条・第26条・第27条・第28条・第31条・第32条第1項（e-Gov法令検索）
4. *4　出典：個人情報の保護に関する法律施行規則（平成28年個人情報保護委員会規則第3号）第7条・第8条（e-Gov法令検索）
5. *5　出典：個人情報の保護に関する法律施行令（平成15年政令第507号）第10条（e-Gov法令検索）
6. *6　出典：個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（個人情報保護委員会）
7. *7　出典：個人情報保護委員会「個人情報の保護に関する法律についてのガイドラインQ&A」7-53（個人情報保護委員会）
8. *8　出典：個人情報保護委員会「クラウドサービス提供事業者が個人情報保護法上の個人情報取扱事業者に該当する場合の留意点について（注意喚起）」（令和6年3月25日）
9. *9　出典：個人情報保護委員会「個人情報の保護に関する法律についてのガイドラインQ&A」10-24・10-25（Q&A10-24／Q&A10-25）
10. *10　出典：個人情報保護委員会「令和7年度年次報告」（個人情報保護委員会）