名刺は個人情報にあたる？管理義務と実務対応｜2026年改正も解説

名刺に書かれた情報は個人情報にあたり、検索できる形に整理した時点で「個人データ」として法令上の義務が生じます。 それでも名刺は身近な存在であるだけに、法令を意識せずに個人任せで扱われがちです。さらに2026年7月には改正個人情報保護法が公布され、同法として初めて課徴金制度が導入されることが決まりました。この記事では、名刺が個人情報保護法上どう位置づけられるのか、企業に生じる義務は何か、実務で迷いやすい場面をどう判断すればよいのかを整理し、あわせて2026年改正の動向といまからできる備えを解説します。

なお本記事は法令の一般的な考え方を整理したものです。個別のケースが適法かどうかの判断は、個人情報保護委員会の公表情報を確認するか、弁護士等の専門家にご相談ください。

名刺は個人情報にあたるのか｜「個人情報」と「個人データ」の違い

名刺に書かれた氏名・会社名・部署・電話番号・メールアドレスは、特定の個人を識別できる情報であるため、一般に個人情報に該当するとされています。 そして重要なのは、その名刺を「探せる状態」にしたときに義務の重さが変わる点です。

受け取った名刺を引き出しに入れているだけの状態でも、個人情報を保有していることになります。そこからExcelに入力する、名刺管理システムに登録する、五十音順のファイルに整理する——こうして特定の人物を探し出せる状態にすると、その情報は「個人情報データベース等」を構成する個人データとして扱われるとされています。さらに、自社で開示・訂正・削除ができるものは保有個人データにあたり、本人からの開示や利用停止の請求に応じる義務が生じます。

「データ化するとリスクが増えるのではないか」と考える方もいますが、実務上は逆です。紙や個人のスマートフォンに散らばっている状態のほうが会社の管理が及ばず、後述する安全管理措置を講じることも、請求に応じることもできません。データ化の方法そのものは、以下の記事「名刺をデータ化する方法5選」で比較しています。

名刺を扱う企業に生じる5つの義務

名刺を個人データとして扱う企業には、取得から廃棄までの各段階で義務が生じます。 実務で押さえるべき5つを整理します。

① 利用目的を特定し、通知または公表する

個人情報を取得するときは、何のために使うのかを特定し、本人に通知するか公表しておく必要があるとされています。名刺交換の場で毎回説明するのは現実的ではないため、多くの企業は自社サイトのプライバシーポリシーに記載して公表しています。

「営業活動のため」といった曖昧な記載では足りない場合があります。プライバシーポリシーの書き方は、「商談や契約手続のご連絡」「セミナーやメールマガジンのご案内」「サービス改善のための分析」のように、実際の業務に沿って列挙するのが確実です。書いていない使い方をしないこと、実際にしている使い方を書き漏らさないこと——この2点が確認のポイントです。

② 特定した目的の範囲を超えて使わない

名刺交換は連絡を取り合ってビジネスを進めるために行うものですから、その趣旨から想定される範囲での利用は許容されると一般に解されています。 一方、名刺情報を他社に提供する、無関係の事業の宣伝に使うといった利用は、目的外利用や第三者提供の問題になり得ます。公表した利用目的の範囲を超えるなら、本人の同意を得るのが原則です。

③ 安全管理措置を講じる

漏えいや紛失を防ぐための措置です。ここで注意したいのは、「組織的・人的・物理的・技術的の4つ」だけでは足りない点です。個人情報保護委員会が公表する「個人情報の保護に関する法律についてのガイドライン（通則編）」（令和8年6月一部改正）では、この4つに加えて基本方針の策定と個人データの取扱いに係る規律の整備、さらに外的環境の把握が示されています（同ガイドライン10-1〜10-7）。外的環境の把握は外国で個人データを取り扱う場合に当該国の制度を把握するもので、名刺管理では見落とされやすい項目です。

講じるべき措置	名刺管理での具体例
基本方針の策定	取扱方針を社内規程やプライバシーポリシーで明文化する
規律の整備	取得・登録・共有・持ち出し・廃棄の流れをルール化する
組織的	管理責任者を決める／運用状況を点検し見直す
人的	名刺が個人データであることを研修で周知する／退職時の削除手順を示す
物理的	紙の名刺を施錠保管する／廃棄方法を定める／端末の持ち出しを管理する
技術的	閲覧・編集・削除の権限を役職や部署に応じて設定する／暗号化とログ
外的環境の把握	保管先クラウドのサーバー所在国／入力代行の海外作業の有無を確認する

紙の名刺を各自の引き出しに、画像を各自のスマートフォンに置いている状態では、これらのどれも会社としてコントロールできません。 名刺管理ソフトやCRMで権限管理とログが残る形に一元化することは、安全管理措置を実際に講じるための手段でもあります。

④ 従業者と委託先を監督する

法令は従業者に対する監督と、外部委託する場合の委託先に対する監督を、それぞれ事業者の義務としています。名刺で関わるのはデータ入力を代行サービスに委託する場合です。秘密保持契約（NDA）を結ぶだけでは監督義務を果たしたとは言えず、委託先が適切な安全管理体制を備えているかの確認が求められます。

⑤ 漏えい等が起きたときに報告・通知する

個人データの漏えいや不正アクセスなどが発生し、個人の権利利益を害するおそれが大きい場合には、個人情報保護委員会への報告と本人への通知が必要とされています。名刺データも対象です。ここで問題になるのが、そもそも何がどこにあるか分からない状態です。個人が管理する名刺が漏えいしても、対象者を特定できず報告も通知もできません。

実務でつまずきやすい4つの場面

条文を読んでも判断に迷うのは、具体的な運用の場面です。 よく問題になる4つを取り上げます。

場面1｜名刺を社内で共有してよいか

同じ会社の中で共有することは、第三者提供にはあたらないとされています。 営業部門が取得した名刺をマーケティング部門が活用することは、公表した利用目的の範囲内であれば問題になりにくいと考えられます。

ただし、共有する範囲は「業務上必要な人」に絞るのが安全管理措置の考え方です。全社員が全データを自由に閲覧・削除できる状態は、内部不正や誤操作のリスクを高めます。共有できることと、誰でも見られることは別です。なおグループ会社は法人格が別であるため、第三者提供にあたる場合があり、個別の判断が必要です。

場面2｜交換した名刺にメールマガジンを送ってよいか

眠っている名刺をメールマガジンで活用したいという相談は多い場面です。ここでは広告宣伝メールを規制する特定電子メール法も関わります。

同法は原則として事前の同意（オプトイン）を求めていますが、名刺などの書面によって相手が自らメールアドレスを通知した場合は、送信について同意があったものと扱えるとされています。 名刺交換をした相手への配信は、この例外にあたると解されるのが一般的です。ただし次の点には注意が必要です。

• 配信停止（オプトアウト）の求めがあれば、以後の送信はできません。 受信拒否の通知先を明記し、停止をすぐ反映できる仕組みが必要です
• 送信者の氏名・名称などの表示義務は、例外にあたる場合でも別途課されます
• 個人情報保護法の側では、公表した利用目的にメールマガジンの案内が含まれているかの確認が必要です

なお通信販売の電子メール広告については特定商取引法にも規律がありますが、同法は消費者保護を目的としており、営業のために、または営業として締結する取引（いわゆる企業間取引）は原則として適用除外とされています（同法26条1項1号）。法人担当者への自社サービスの案内であれば、同法を根拠に承諾が必須になるわけではないと考えられます。ただし相手が事業者なら一律に除外されるものではありません。 消費者庁の解説でも、適用除外にあたるかは取引の種類や契約内容、当該取引への習熟度などから総合的に判断するとされており、限定的に解釈されています。

つまり配信は実務上可能とされていますが、「同意が不要だから何でも送れる」わけではありません。 展示会で獲得した名刺を配信対象にする場合も、配信停止への対応と利用目的の記載は同じように必要です。

場面3｜名刺のデータ入力を外部に委託するとき

委託先の監督が義務となるため、価格と納期だけで選ぶのは避けたい場面です。確認しておきたい観点は次の3点です。

• 安全管理体制（作業環境、従業者の教育、再委託の有無とその管理）
• 契約内容（NDAに加え、委託した業務の範囲、事故時の報告義務、終了後のデータ削除）
• 原本や画像をどこで扱うか（海外拠点での作業は、外国にある第三者への提供や外的環境の把握が関わる可能性があります）

場面4｜退職者が名刺を持ち出す／個人スマホに残る

もっとも起こりやすく、見落とされやすい場面です。 紙の名刺を私物のファイルで持ち帰る、個人のスマートフォンに撮影した画像が残る、個人向けの名刺アプリに会社の顧客情報が蓄積されている——いずれも会社が管理できない場所に個人データが存在している状態です。

これでは安全管理措置も従業者の監督も機能しません。退職時に削除を求めても確認する手段がないためです。会社が管理するクラウドに一元化し、退職時にアカウントを停止すればアクセスも断てる状態にしておくのが現実的な対策です。この問題は別記事「個人向け名刺アプリの業務利用は危険？シャドーITのリスク」でも解説しています。

2026年改正で何が変わるか｜公布済み・施行はこれから

個人情報保護委員会の公表情報によると、改正個人情報保護法は2026年7月10日に成立し、同月17日に公布されました。 いわゆる「3年ごと見直し」による改正です。施行は公布から2年を超えない範囲で政令により定められ、全面施行は遅くとも2028年7月ごろ、罰則関係の一部は公布から6か月後（2027年1月ごろ）に先行して施行される見込みとされています。

名刺管理に関わりが深い改正点は次のとおりです。

• 初めて課徴金制度が導入される：勧告・命令といった執行手段も拡充されるとされています。現行法でも命令に従わない場合などには罰則がありますが、そこに課徴金が加わり、金銭的な不利益が制度として用意されるという変化です
• 委託先の規律が強化される：受託者が委託された業務の範囲を超えて個人データを取り扱うことの禁止が、法律上の義務として明確化されるとされています。データ入力代行のように個人データを外部に預ける場面では、契約と運用の確認が必要です
• 漏えい等報告が一部見直される：本人への通知について、代替措置により省略できる範囲が設けられるとされています。ただし対象を特定できる管理体制が前提である点は変わりません
• 同意規制が一部緩和される：統計作成などを目的とする取扱いについて、要件を満たす場合に同意取得を免除する仕組みも盛り込まれています

注意点として、この改正に対応する政令・規則・ガイドラインは本記事の執筆時点（2026年8月）でまだ整備されていません。 具体的な罰則の内容や課徴金の算定方法も今後定められる規則によります。現時点の実務は現行法に基づいて進め、個人情報保護委員会の公表資料を確認してください。

そのうえで、施行を待たずに着手できることがあります。個人データの棚卸し、アクセス権限を業務上必要な範囲に絞ること、委託先との契約と作業体制の確認、利用目的の記載の見直し——いずれも改正の内容にかかわらず有効です。名刺のような「担当者任せになりやすいデータ」から着手すると、体制の穴が見つかりやすくなります。

法令対応を仕組みで支えるなら：SmartViscaという選択肢

ここまでの義務の多くは、「会社が管理できる場所に、権限を分けて集約されている」ことが前提になります。 ルールを作っても、データが個人の手元に散らばっていては実行できません。

その選択肢の一つが、サンブリッジが提供する「SmartVisca（スマートビスカ）」です。世界No.1ビジネスプラットフォーム「Salesforce（セールスフォース）」を基盤とした名刺管理・顧客データ管理サービスで、法令対応の観点では次の点が実務に効きます。

• 会社が管理するクラウドに一元化：個人のスマートフォンや引き出しに個人データが残る状態を避けられ、退職時もアカウントの停止でアクセスを断てます
• 部署別・役職別の権限設定：閲覧や削除の権限を業務上必要な範囲に絞り、「共有はするが誰でも見られるわけではない」状態を作れます
• 第三者認証を取得したインフラ：金融や公共分野でも利用される「Salesforce Platform」の基盤により、大きな投資をせずに技術的な安全管理措置を確保できます
• 顧客データと同じ基盤で管理：開示や利用停止の請求に対応しやすく、標準搭載の一括メール配信なら配信停止の状態も一体で管理できます

SmartViscaは、Salesforceを導入していない企業でも利用できます。 ライセンスを含むパッケージとして最小5名から始められるため、「まず名刺管理から体制を整える」進め方が可能です。SmartViscaの概要がわかる資料を以下よりダウンロードしてご覧ください。

よくある質問（FAQ）

名刺は個人情報にあたりますか？

名刺の氏名・会社名・部署・連絡先は特定の個人を識別できるため、一般に個人情報に該当するとされています。さらに検索できる状態にすると「個人データ」として扱われ、利用目的の通知または公表、安全管理措置、委託先の監督などの義務が生じます。

交換した名刺を社内で共有しても問題ありませんか？

同一の事業者の内部で共有することは第三者提供にはあたらないとされており、公表した利用目的の範囲内であれば問題になりにくいと考えられます。ただし安全管理措置の観点から、閲覧や削除の権限は業務上必要な範囲に絞ることが望ましいです。グループ会社は法人格が別のため、個別の判断が必要です。

名刺交換した相手にメールマガジンを送ってよいですか？

特定電子メール法は原則として事前の同意を求めていますが、名刺などの書面で相手が自らメールアドレスを通知した場合は例外として扱えるとされています。ただし配信停止の求めがあれば以後は送信できず、送信者情報の表示義務も別途課されます。なお通信販売の電子メール広告に関する特定商取引法の規律は、営業のために締結する取引が原則として適用除外とされているため、法人担当者への案内であれば同法を根拠に承諾が必須になるわけではないと考えられます。

名刺のデータ入力を外注する場合、何を確認すべきですか？

委託先の監督が事業者の義務とされているため、秘密保持契約の締結だけでは十分とは言えません。安全管理体制、再委託の有無、事故時の報告義務、終了後のデータ削除を契約と運用の両面で確認してください。海外で作業する場合は、外国にある第三者への提供や外的環境の把握に関する規律が関わる可能性があります。

2026年の改正で企業は何をすればよいですか？

改正法は全面施行が遅くとも2028年7月ごろ、罰則関係の一部が2027年1月ごろの先行施行とされています。初めて課徴金制度が導入され、委託先の規律も強化されます。ただし政令・規則・ガイドラインは未整備のため、現行法に基づく実務を続けつつ、個人データの棚卸しと権限設定の見直しから着手するのが現実的です。

出典・参考（2026年8月4日現在）

本記事は、次の公的機関が公表する情報をもとに整理しています。実務判断の際は、最新の内容を各サイトでご確認ください。

• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（令和8年6月一部改正）※安全管理措置の項目構成（10-1〜10-7）
• 個人情報保護委員会「令和８年 改正個人情報保護法について」※成立日・公布日、政令・規則・ガイドラインの整備状況
• 個人情報保護委員会「いわゆる３年ごと見直しの経緯」※改正の背景
• 個人情報保護委員会「法令・ガイドライン等」※条文および関連ガイドライン
• 消費者庁「特定電子メールの送信の適正化等に関する法律（特定電子メール法）」※オプトインの原則と例外、表示義務
• 消費者庁 特定商取引法ガイド「訪問販売等の適用除外に関するQ＆A」※「営業のために若しくは営業として」の解釈

名刺に書かれた情報は個人情報にあたり、検索できる形にした時点で個人データとしての義務が生じます。 利用目的の通知または公表、安全管理措置、従業者と委託先の監督、漏えい時の報告——これらはいずれも、データが会社の管理下に集約されていて初めて実行できるものです。施行はこれからですが、個人データの棚卸しと権限設定の見直しはいまから着手できる対応です。名刺管理全体の考え方は、別記事「名刺管理とは？目的・メリットから5つの管理方法・失敗しない選び方まで完全ガイド」もあわせてご覧ください。