クレジットカード・決済業界の案件で気をつけたい規制とセキュリティのルール｜割賦販売法・ガイドライン・PCI DSS

カード決済の案件で守るルールの土台は、割賦販売法が定めるカード番号の適切な管理と不正利用防止の義務、その実務上の指針であるクレジットカード・セキュリティガイドライン、国際基準のPCI DSSの3つです。チャージ式の支払手段や送金のサービスに関わる案件では、これに資金決済法が加わります。

どれも直接の宛先は事業者ですが、事業者はこれらを踏まえて社内の規程を作り、委託先にも守らせます。フリーランスに求められるのは、条文の解釈より、カード情報の扱いの決まりを守る行動です。この記事では、2026年10月時点で各機関の公開資料から確かめた内容と、現場で気をつけたい点を整理します。個別の解釈が必要な場面では、発注側の担当部門や専門家に確かめてください。

割賦販売法：カード番号を扱う事業者の義務

割賦販売法第35条の16第1項は、「クレジットカード番号等取扱業者」に、経済産業省令の基準に従って、カード番号の漏えい、滅失、毀損の防止など、適切な管理のために必要な措置を講じることを求めています。対象は7つの号で定められており、クレジットカード・セキュリティガイドラインは、それぞれを「1号事業者」から「7号事業者」と呼んでいます。

同じ条の第3項は、カード番号の取扱いを委託した場合に、委託先（二段階以上の委託を含む）に必要な指導などを行うことを求めています。フリーランスが参画先から受けるカード情報の扱いの指示は、この流れの中にあります。

このほか、加盟店と契約を結ぶ事業者には経済産業省への登録（第35条の17の2）と、契約前と契約後の加盟店の調査（第35条の17の8）が、加盟店にはカード番号の不正な利用を防止する措置（第35条の17の15）が定められています。

カード番号の不正な提供・盗用には罰則がある

第49条の2は、クレジットカード番号等取扱業者やその委託を受けた事業者、またそれらの役員・職員やその職にあった者が、業務で知ったカード番号を、自己または第三者の不正な利益を図る目的で提供し、または盗用したときの罰則を定めています。自分がこの条文の対象にあたるかは契約の形にもよりますが、業務で見たカード番号を、目的の外で使わない・渡さない・控えないことが基本だと覚えておきます。

クレジットカード・セキュリティガイドライン

ガイドラインは、クレジット取引セキュリティ対策協議会（事務局：日本クレジット協会）がまとめたもので、2026年10月時点で日本クレジット協会のページに掲載されている最新版は2026年3月の【6.1版】です。

ガイドラインの4-2によると、経済産業省の「割賦販売法（後払分野）に基づく監督の基本方針」で、このガイドラインに掲げる措置は、割賦販売法が義務付けるカード番号の漏えい等の防止と不正利用の防止のための措置の実務上の指針と位置付けられています。ガイドラインの措置またはそれと同等以上の措置を講じていれば、法律の「必要かつ適切な措置」を講じているとみなされる、という関係です。

立場ごとのカード情報保護の指針対策

EC加盟店の「脆弱性対策」として、ガイドラインは、管理画面のアクセス制限と管理者のID・パスワードの管理（2段階認証または多要素認証、ログイン失敗時のアカウントロックなど）、公開ディレクトリの設定不備への対策、定期的な脆弱性診断またはペネトレーションテスト、ウイルス対策ソフトの導入と運用、カード番号の有効性を悪用して確かめる攻撃への対策を挙げています。

不正利用対策では、EC加盟店に、オーソリゼーション処理の体制整備、加盟店契約上の善良な管理者の注意義務の履行、EMV 3-Dセキュアの導入、適切な不正ログイン対策を求めています。EMV 3-Dセキュアと不正ログイン対策は【6.0版】（2025年3月）で指針対策に加わったもので、2026年3月の改訂資料は、【6.1版】では指針対策の追加・変更はなく、各事業者の着実な実施に向けた内容を記載したと説明しています。用語や仕組みの説明はカード・決済の業務知識の記事で扱っています。

PCI DSS：国際ブランドがつくった基準

PCI DSSは、カード情報を保護するための国際的なセキュリティ基準です。基準をつくるPCI SSCは、公式ページによると、American Express、Discover、JCB International、MasterCard、Visaの5つの国際ブランドが2006年に設立した団体です。PCI SSCは基準の策定と維持を担い、実施状況の監視は行わないとしており、どの事業者が準拠や検証を求められるかは、国際ブランドやアクワイアラーなどが運営するプログラムで決まると説明しています。

版については、PCI SSCが2024年6月11日にv4.0.1を公表し、v4.0は2024年12月31日で廃止され、以後はv4.0.1が唯一の版になると案内しています。v4.0で追加された要件のうち、適用日が先に設定されていたものは2025年3月31日から適用されています。ガイドラインの用語集は、PCI DSSを12の要件と約400の要求事項から成り、準拠の検証方法には認定セキュリティ評価機関（QSA）による訪問審査と、自己問診（SAQ）があると説明しています。

フリーランスにとって大切なのは、要件を全部覚えることではなく、自分の作業がカード情報を扱う環境の範囲に入るかどうかを知ることです。範囲に入る作業では、アカウントの発行、アクセスの記録、変更の手順などが基準に沿って管理されます。

資金決済法：チャージ式・送金のサービス

コード決済や電子マネーの中には、資金決済法で動くサービスがあります。資金決済法は、前払式支払手段の発行者に、発行の業務に係る情報の安全管理のために必要な措置（第21条）と、業務の委託先への指導（第21条の2）を求めています。資金移動業者にも、情報の安全管理（第49条）と委託先への指導（第50条）が定められています。e-Gov法令検索では、2026年10月時点で2026年8月12日施行の改正を反映した条文が掲載されています。

金融庁の事務ガイドライン（第三分冊：金融会社関係）の「資金移動業者関係」は、利用者に関する情報管理態勢の着眼点（II-2-2-3）で、カード番号や有効期限を含む個人情報を「クレジットカード情報等」として、保存期間と保存場所を限ること、業務上必要な場合を除き画面にカード番号を全桁表示しない措置をとること、独立した内部監査部門が定期的または随時に監査することなどを挙げています。テスト画面や管理画面の表示の仕様で、番号の一部を伏せる決まりがあるのは、こうした考え方を踏まえたものです。

現場で気をつけたい5つの行動

具体的な決まりは参画先の規程が優先します。

1. カード情報を控えない：画面、ログ、チケット、チャットにカード番号を貼らない。テストは用意されたテスト用のデータだけを使う
2. 範囲の外に持ち出さない：カード情報を扱う環境のデータを、許可された場所と端末の外に出さない
3. 権限は申請した範囲だけ使う：作業に必要な範囲を超えて、環境やデータに触れない
4. 変更は手順どおりに：本番の設定やプログラムの変更は、承認と記録の手順に沿って行う
5. 異常はすぐに報告する：不審なアクセスや設定の誤り、誤送信に気づいたら、決められた経路ですぐに伝える

貸与された端末の使い方は貸与PCの記事、万一情報を漏えいしてしまったときの対応は漏えい時の対応の記事、個人情報を扱う業務の契約は個人情報を扱う業務の契約の記事で整理しています。銀行の案件で守るFISCの安全対策基準などは銀行の規制の記事、EC事業者側の規制はEC・通販業界の規制の記事で扱います。

よくある質問

フリーランスもPCI DSSの要件を全部理解しておく必要がありますか？

全部を理解していなくても参画はできます。準拠が求められるのは事業者で、現場ではそれを踏まえた参画先の規程や手順に従うことが求められます。まずは、自分の作業がカード情報を扱う環境の範囲に入るかどうかと、その範囲で決められた手順を確かめてください。セキュリティの専門職として参画する場合は、基準書をPCI SSCの公式サイトで確かめておくことをおすすめします。

カード番号が表示される画面のスクリーンショットを、不具合の報告に使ってもよいですか？

参画先の規程で認められていない限り、避けてください。報告には、番号を伏せた画面や、テスト用のデータで再現した画面を使うのが基本です。迷ったときは、撮る前に参画先の担当者に確かめてください。

規制の解釈に迷ったときはどうすればよいですか？

自分で結論を出さず、発注側の担当者やセキュリティ・コンプライアンスの部門に確かめてください。フリーランスとしての契約上の責任に関わる場合は、弁護士などの専門家に相談することをおすすめします。取引先の規程に従う範囲の考え方は取引先の規程の記事で扱っています。