オプトアウト（opt out）とは、既定では取扱いが続く状態を前提に、本人が「やめてほしい」と申し出ることで停止させる仕組みを指します。個人情報保護法の第三者提供、広告メールの配信停止、ターゲティング広告の停止、AIサービスの学習利用と、登場する場面は広いのに、根拠となる法律も手続きも分野ごとに違います。ここでは条文と公的資料をたどりながら、日本の制度でオプトアウトが実際にどう機能しているかを整理します。
まとめ：オプトアウトの要点
- オプトアウトは「本人が申し出るまで続く」方式、オプトインは「本人が同意するまで始まらない」方式。日本の制度はどちらか一方ではなく、場面ごとに使い分けられている。
- 個人情報保護法のオプトアウト制度は第27条第2項。本人への通知等に加えて個人情報保護委員会への届出が必要で、届け出た内容は委員会が公表する。
- 要配慮個人情報、第20条第1項違反で取得した個人データ、他社からオプトアウトで提供された個人データは、オプトアウトでは第三者提供できない。
- 2026年7月17日公布の改正法（令和8年法律第56号）で、オプトアウト提供時に提供先の身元と利用目的を確認する義務（新第27条第7項）が加わり、顔特徴データ等はオプトアウト提供が禁止される。施行日は公布から2年を超えない範囲で政令が定める。
- 広告メールは特定電子メール法第3条第1項でオプトイン規制だが、同意を得た後も第3条第3項で受信拒否に従う義務がある。オプトインとオプトアウトは二者択一ではない。
- ターゲティング広告のオプトアウトで止まるのは「クッキーを使ったターゲティング」であって、広告配信そのものではない。
オプトアウトの意味とオプトインとの違い
離脱の意思表示がオプトアウト、参加の意思表示がオプトイン
英語の opt は「選ぶ」、opt out は「抜ける・不参加を選ぶ」です。日本語では「離脱」「除外」「停止の申し出」と訳し分けられますが、制度上の意味は一貫していて、初期状態が「対象に入っている」であることが核心になります。対して opt in は「参加を選ぶ」で、初期状態は「対象に入っていない」です。
両者の違いは、何もしなかった人がどちら側に置かれるかに集約されます。同じ候補者集団に対して、オプトアウト方式は停止を申し出なかった人も対象に含み、オプトイン方式は参加に同意した人だけを対象にします。気づかなかった人、面倒で手続きしなかった人の扱いが正反対になります。制度設計の議論が「どちらを既定にするか」に集中するのはこのためです。オプトイン側の仕組みと実務はオプトインとは？意味・オプトイン方式の仕組みと法律・活用方法を解説で扱っています。
| 比較軸 | オプトアウト | オプトイン |
|---|---|---|
| 初期状態 | 対象に含まれる | 対象に含まれない |
| 本人の行動 | 停止を申し出る | 同意を与える |
| 何もしない人 | 対象のまま | 対象外のまま |
| 個人情報保護法 | 第27条第2項（届出制） | 第27条第1項（本人同意） |
| 広告メール | 第3条第3項（受信拒否） | 第3条第1項（事前同意） |
| iOSのアプリ追跡 | 該当しない | ATTで許可を要求 |
日本の制度は併用が前提
「日本はオプトイン方式」「米国はオプトアウト方式」という整理をよく見かけますが、一つの法律の中でも両方が使われているため、この言い方は実務では役に立ちません。広告メールは送信前に同意が要る（オプトイン）一方、同意を得た相手からの受信拒否にも従わなければならない（オプトアウト）。個人データの第三者提供は本人同意が原則（オプトイン）ですが、届出を出せば同意なしで提供できる例外があり、その例外の中で本人に停止を求める権利が保障されます（オプトアウト）。広告メールでは、事前同意を得ていても、原則として受信拒否の通知に従わなければなりません。
個人情報保護法第27条第2項のオプトアウト制度
届出が必要な8項目と委員会による公表
個人情報取扱事業者が個人データを第三者に提供するには、原則として本人の同意が要ります（第27条第1項）。その例外が同条第2項で、本人の求めに応じて提供を停止することとしたうえで、所定の事項を「あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たとき」に、同意なしの提供が認められます（条文はe-Govの個人情報の保護に関する法律で確認できます）。届出事項は第1号から第8号までで、事業者の氏名・名称・住所・代表者名、第三者提供を利用目的とすること、提供する個人データの項目、取得の方法、提供の方法、本人の求めに応じて提供を停止すること、求めを受け付ける方法、そして委員会規則で定める事項です。
届け出れば終わりではありません。第27条第3項は、代表者名等に変更があったときや提供をやめたときは遅滞なく、提供するデータ項目・取得方法・提供方法・受付方法等を変更するときはあらかじめ、本人への通知等と委員会への届出を求めています。届出を受けた委員会は、第4項により届出事項を公表しなければなりません。委員会による公表後は、届出事業者自身も速やかにインターネット等で届出事項を公表する必要があります。届出済みの事業者は個人情報保護委員会のオプトアウト届出ページにある「オプトアウト届出書検索・届出書一覧表示」で検索でき、取引先の名簿事業者が届出を出しているかを自分で確かめられます。制度の全体像は個人情報保護法とは？その定義と基本的な概念を解説も参照してください。
オプトアウトで第三者提供できない個人データ
第27条第2項にはただし書があり、次のいずれかに当たる個人データはオプトアウトでは提供できません。
- 要配慮個人情報（人種、信条、病歴、犯罪の経歴など）
- 第20条第1項の規定に違反して取得されたもの（偽りその他不正の手段による取得）
- 他の個人情報取扱事業者からこの項本文の規定により提供されたもの（その全部または一部を複製・加工したものを含む）
この範囲は令和2年改正法の施行に伴って令和4年4月1日から変更されたもので、それ以前に届出を出していた事業者は対象データの見直しが必要でした。既存の届出をそのまま使い続けている場合、提供しているデータ項目が今の条文に収まっているかを確認する価値があります。
受領データの再オプトアウト提供の禁止
3つ目の除外が実務では効きます。個人情報保護委員会は「オプトアウト提供された個人データをオプトアウト提供することは禁止されております」と明記しています。つまりオプトアウトによる提供は1回で止まる設計で、名簿が届出事業者の間を無限に転々とすることを条文で塞いでいます。複製・加工したものも同じ扱いなので、項目を並べ替えたり他のデータと突き合わせたりしても除外は外れません。
裏を返せば、オプトアウト提供でデータを受け取る側は、その入手経路を記録しておかないと自社が再提供できるかどうかを判断できません。第30条の確認・記録義務と合わせて、提供元がオプトアウト届出事業者かどうかを取得時点で押さえておく必要があります。
2026年改正で変わるオプトアウト制度
2026年7月10日に第221回国会で「個人情報の保護に関する法律等の一部を改正する法律」が成立し、同年7月17日に公布されました（令和8年法律第56号）。オプトアウト制度に直接関わる改正が2つ入っています。
提供先の身元と利用目的の確認義務（新第27条第7項）
改正の背景を、個人情報保護委員会は自ら説明しています。いわゆる「闇名簿」問題が深刻化するなかで、オプトアウト届出事業者である名簿屋が、法に違反するような行為に及ぶ者にも名簿を転売する悪質な名簿屋に名簿を提供する事案が発生しており、オプトアウト制度に基づいて提供された個人データが闇名簿作成の情報源の一つになっている、という認識です。提供元には提供先を確認する義務がこれまで課されていませんでした。
そこで新第27条第7項は、オプトアウトで個人データを提供するときはあらかじめ、提供先の氏名または名称・住所・代表者氏名と、提供先における当該個人データの利用目的を確認しなければならないと定めます。例外は、取得時点でそのデータの全部が本人、国の機関、地方公共団体、学術研究機関等によって公開されていた場合などに限られます。第8項では、確認を求められた第三者が事項を偽ることを禁じており、委員会の資料では違反時に過料の対象とすると説明されています。
顔特徴データ等のオプトアウト提供禁止
もう一つが「特定生体個人情報」の新設です。改正後の第16条第5項は、身体の一部の特徴に係る情報のうち、特別の技術または多額の費用を要しない方法で取得でき、かつ取得されていることを本人が容易に認識できないものを変換した符号（特定生体個人識別符号）を含む個人情報と定義します。委員会は顔特徴データを想定していると明記しており、具体的な範囲は政令以下で定めるとしています。
この特定生体個人情報が第27条第2項ただし書に追加され、オプトアウトで第三者提供できないデータは現行の3類型から4類型に増えます。ただし、法令に基づく提供などの同意不要の例外や、委託に伴う提供などは別に判断します。あわせて新第21条の2が、取り扱う事業者に対して名称・住所・代表者名、特定生体個人情報を取り扱うこと、その利用目的、元になった身体的特徴の内容、開示等の請求に応じる手続の周知を義務づけます。防犯カメラの顔特徴量を社外へ渡している事業者は、提供の根拠がオプトアウトかどうかをまず切り分ける必要があります。
改正法の施行時期と準備事項
ここは誤解が広がりやすいところです。改正法の附則第1条は「この法律は、公布の日から起算して二年を超えない範囲内において政令で定める日から施行する」と定めており、2026年9月時点で本体の施行日は未定です。上限は2028年7月16日ですが、それより早い日が政令で指定される可能性があります。委員会は2026年8月26日に政令・規則等で定める事項の全体像を、9月9日に整備の進め方を令和8年改正個人情報保護法の特設ページで公表しており、細目は今後の規則とガイドラインで固まります。
準備として先にできるのは、施行日を待つ作業ではありません。オプトアウト届出を出している事業者であれば、提供先ごとの身元情報と利用目的を今の時点で記録する運用に切り替えておくこと、提供しているデータ項目に顔特徴量が含まれていないかを棚卸ししておくことです。どちらも現行法の下で準備できますが、施行後の義務を満たすには、今後定められる確認方法や対象範囲に運用を合わせる必要があります。
メール配信のオプトアウト（特定電子メール法）
広告メールの同意取得後の受信拒否対応義務
特定電子メールの送信の適正化等に関する法律（特定電子メール法）の第3条第1項は、広告宣伝メールを送れる相手を4つに限定しています。あらかじめ送信を求めるか同意する旨を通知した者、省令の定めに従って自分のアドレスを通知した者、その広告に係る営業を営む者と取引関係にある者、省令の定めに従って自分のアドレスを公表している団体・営業を営む個人です。第3号と第4号があるため、「同意がなければ一律に違法」ではありません。
そのうえで第3条第3項は、これらの者から送信をしないように求める旨の通知を受けたときは「その通知に示された意思に反して、特定電子メールの送信をしてはならない」と定めます。ただし書で、本人の意思に基づいて広告以外を主目的に送られるメールに広告が付随する場合などは除かれます。入口はオプトイン、出口はオプトアウトという二層構造であり、同意取得の記録（第3条第2項）と配信停止の受付の両方を運用しなければ法令に適合しません。
広告メールの表示義務と違反時の罰則
第4条は送信時の表示義務です。送信者（送信委託者がいる場合は送信に責任を有する者）の氏名または名称、第3条第3項の受信拒否通知を受けるためのメールアドレスまたは通信設備を識別する符号、その他省令で定める事項を、受信者の画面に正しく表示させる必要があります。受信拒否の通知先としてメールアドレスを表示する方法も認められるため、配信停止リンクがないことだけで表示義務違反とは判断できません。
罰則は軽くありません。第34条は、送信者情報を偽った送信（第5条違反）や、記録保存に係るものを除く措置命令（第7条）違反について1年以下の拘禁刑または100万円以下の罰金を定め、第37条第1号で法人には3,000万円以下の罰金が科されます。米国のCAN-SPAM法との違いはCAN-SPAM法とは？1通53,088ドルの制裁金と8要件、特定電子メール法との違いにまとめています。
広告トラッキングのオプトアウト手続き
DDAIのオプトアウトで止まるもの・止まらないもの
日本のターゲティング広告では、DDAI（Data Driven Advertising Initiative）が参画企業をまとめて停止できるオプトアウトページを運用しています。ここで注意すべきは、DDAI自身が明示している限界です。「オプトアウトはクッキー技術を利用したターゲティングを停止するものであり、広告配信自体を停止するものではありません」。同じ広告が別のサービス経由で配信されている場合や、ターゲティングなしで配信されている場合は、オプトアウト後も表示されます。
もう一つの落とし穴が、オプトアウトの状態そのものがクッキーで保持されている点です。DDAIは、iOS・macOS・Safariでは第三者によるトラッキングが初期設定で無効になっているため「本サイトでのオプトアウトが正常に行えないように見えますが、問題はありません」と説明しています。ブラウザのクッキーを削除すればオプトアウト設定も一緒に消えます。第三者クッキーだけに依存した停止状態の管理は、そのクッキーが削除・拒否されると維持できないという構造的な弱さを抱えています。この前提変化についてはサードパーティCookie廃止の現在地と企業がとるべき対策【2026年最新】で扱っています。
iOSのアプリ追跡は許可を求めるオプトイン型
アプリ側は方式が反転します。AppleのApp Tracking Transparency（ATT）は、収集したデータを他社と共有してアプリやウェブサイトをまたいで追跡する場合、フレームワークを使って追跡許可を求めることを求めます。許可を求めるダイアログを出し、本人が許可しない限り追跡識別子は使えません。つまりウェブのクッキー広告がオプトアウト型で運用されてきたのに対し、iOSアプリの追跡はオプトイン型です。同じ「ターゲティング広告の停止」でも、利用者が取るべき行動はブラウザとアプリで違います。
AI学習の停止設定と法制度の適用範囲
生成AIの設定画面にある「学習に使わせない」トグルは、ここまで見てきた法制度上のオプトアウトとは別のものです。個人情報保護法の届出制度でも特定電子メール法の受信拒否でもなく、事業者が契約や設定として任意に提供している機能です。したがって根拠も範囲も提供者ごとに異なり、法定の手続きのように「この条文に基づいて請求できる」性質のものではありません。なお、学習利用の停止とは別に、不正使用監視のための保存・人によるレビューを変更する申請もあります。その条件は、Azure OpenAIのオプトアウト申請：不正使用監視のログ保持を止める条件と手順を見ると具体的につかめます。
法制度の側は、むしろ逆方向に動いています。2026年の改正では、個人データ等の第三者提供および公開されている要配慮個人情報の取得について、統計情報等の作成にのみ利用される場合は本人同意を不要とする特例が設けられました（第30条の2、第31条の3）。委員会はこの統計作成等に「統計作成等であると整理できるAI開発等を含む」と明記しています。AI学習のための提供が、そもそも同意もオプトアウトも要らない類型に整理される場面が出てくるということです。自社データをAI開発に回す計画があるなら、この特例の要件（公表義務や書面合意）を読むほうが、オプトアウト窓口を作るより先に効きます。
研究・医療分野のオプトアウトと倫理指針の手続き
医療機関の掲示や説明文書で「本研究はオプトアウトで実施します」という表現を見かけます。ところが根拠となる人を対象とする生命科学・医学系研究に関する倫理指針（令和8年8月27日一部改正、同年12月1日適用）の本文を検索すると、オプトアウトという語は1回も出てきません。指針が定めているのは、所定の事項を「研究対象者等に通知し、又は研究対象者等が容易に知り得る状態に置き、研究が実施又は継続されることについて、原則として、研究対象者等が拒否できる機会を保障しなければならない」という手続きです。
通知または容易に知り得る状態に置いたうえで拒否の機会を保障する、という構造は個人情報保護法第27条第2項とよく似ており、だからこそ現場で同じ通称が使われてきました。ただし指針の要件は、既存試料・情報を自機関で使う場合と他機関へ提供する場合とで通知すべき項目が分かれており、個人情報保護法の届出制度とは別物です。用語集で「医学研究でもオプトアウトが認められている」とだけ読むと、指針が求める通知項目を取り違えます。
オプトアウト窓口を設計するときに外してはいけない3点
窓口設計では、受付の継続性、停止・提供記録の管理、ブラウザ設定への依存を確認します。
1. 受付停止に備えて代替手段を用意する。個人情報保護法第27条第2項第7号は「本人の求めを受け付ける方法」を届出事項にしています。受付方法を変更するときは、窓口が一つでも複数でも、原則として事前の通知等と変更届出が必要です（第3項）。フォーム1本に寄せた運用は、そのフォームを止めるたびに手続きが発生します。特定電子メール法側も第4条で受信拒否用のアドレス等の表示を求めており、メールと個人データで別々の窓口を作ると本人が迷います。
2. 停止の記録を、提供先まで含めて残す。本人が停止を求めた時点で提供を止めればよいのは自社だけで、すでに提供済みのデータは提供先に残ります。新第27条第7項で提供先の身元と利用目的を確認する義務が入れば、誰にいつ何を渡したかの記録がそのまま対応範囲の台帳になります。現行の第29条でも提供年月日や提供先等の記録・保存が必要です。既存の記録を点検し、改正で加わる利用目的の確認・記録に対応できるよう準備します。
3. クッキーの停止状態を同意管理の正本にしない。DDAIの説明どおり、クッキーで保持されたオプトアウト状態はクッキー削除で消え、ブラウザが対象の第三者クッキーを拒否する環境では、そのクッキーによる停止状態を保存できない場合があります。本人単位で停止を管理する必要がある処理は、ブラウザ側の状態ではなく自社のデータベース側で持つべきです。広告のターゲティング停止と、個人データの第三者提供停止を同じ仕組みで扱おうとすると、後者が静かに失効します。
よくある質問
オプトアウトとオプトイン、どちらが有効なのですか？
本人の事前の意思確認を重視するならオプトイン、停止を申し出ない人も対象に含めるならオプトアウトという違いがあります。ただし日本の法制度は場面ごとに指定しているため、選べるものではありません。広告宣伝メールは特定電子メール法第3条第1項で事前同意等が原則ですが、取引関係がある相手への送信などには例外があり、個人データの第三者提供は第27条第1項の同意が原則で、届出を出した場合に限り第2項のオプトアウトが使えます。
オプトアウトの英語 opt out はどういう意味ですか？
opt は「選ぶ」、opt out で「抜けることを選ぶ」です。対義語が opt in（参加を選ぶ）。日本語の法令用語では「第三者提供の停止の求め」「送信をしないように求める旨の通知」といった表現が対応します。名詞として使うときは opt-out とハイフンでつなぐ表記が一般的です。
オプトアウト方式とは何ですか？
本人が停止を申し出るまで取扱いが継続する方式のことです。個人情報保護法では届出を前提とした第27条第2項の仕組み、広告分野ではクッキーによるターゲティングを本人の申し出で止める仕組みを指して使われます。初期設定と停止手続きは、利用する制度やサービスごとに確認してください。
広告のオプトアウトをしたのに同じ広告が出るのはなぜですか？
DDAIが説明しているとおり、オプトアウトが止めるのはクッキーを使ったターゲティングであって広告配信そのものではないためです。同じ広告が別のサービス経由で配信されている場合や、そもそもターゲティングなしで配信されている場合は表示され続けます。またブラウザのクッキーを削除すると、オプトアウトの設定自体が消えます。
オプトアウト届出をしている会社はどこで確認できますか？
個人情報保護委員会が第27条第4項に基づいて公表しています。同委員会サイトの「オプトアウト届出書検索・届出書一覧表示」で届出書を検索でき、名簿の提供元が届出を出しているかを確認できます。提供元の届出の確認と、改正法の施行後に提供元が行う提供先の身元・利用目的の確認は、対象も実施者も異なる手続きです。
