EC・通販業界の案件で気をつけたい規制とセキュリティのルール｜特商法・景表法・個人情報

EC・通販の案件で押さえたいルールは、特定商取引法の広告表示と最終確認画面、景品表示法の不当表示とステルスマーケティングの規制、個人情報保護法、そしてカード情報の管理の4つです。どれも直接の義務を負うのはEC事業者ですが、ECではそのルールが画面の項目やボタンの文言、データの扱い方としてシステムに現れます。

フリーランスに求められるのは、法令を解釈して結論を出すことではありません。要件の背景にルールがあると知り、画面や仕組みを作るときに「この表示で大丈夫か」を発注側に確かめられることです。この記事では、2026年10月時点で各機関の公式ページから確かめた内容を整理します。個別の判断は、発注側の法務・コンプライアンス部門や専門家に確かめてください。

特定商取引法：広告に表示する事項が決まっている

消費者庁の特定商取引法ガイドによると、通信販売の広告には、法第11条にもとづいて次のような事項を表示することになっています（主なもの）。

• 販売価格（送料も含む）と、送料以外に購入者が負担する金銭
• 代金の支払いの時期と方法、商品の引渡しの時期
• 申込みの撤回や契約の解除に関する事項（返品の特約を含む）
• 事業者の氏名（名称）、住所、電話番号。法人がインターネットで広告する場合は、代表者または責任者の氏名
• 2回以上の継続した契約が必要な場合は、その旨と販売の条件
• 商品が契約の内容に適合しない場合の販売業者の責任の定め

ECサイトで「特定商取引法に基づく表記」のページがあるのはこのためです。ほかに、著しく事実に相違する表示や、実際より著しく優良・有利と誤認させる誇大な広告の禁止（法第12条）、承諾していない人への電子メール広告の原則禁止（法第12条の3。いわゆるオプトイン規制）も定められています。消費者庁のガイドは、メール広告の承諾や請求を受けた記録は、最後に広告メールを送った日から3年間保存する必要があると説明しています。メール配信の仕組みを作る案件では、同意の記録をどこにどれだけ残すかが要件になります。

なお、法第26条第1項第1号は、購入者が営業のために、または営業として結ぶ取引には通信販売などの規定を適用しないとしています。法人向けの通販だけを扱う案件では、扱いが変わることがあります。どの取引が対象になるかは、発注側に確かめてください。

最終確認画面：注文を確定する画面に表示する事項

開発の立場で特に気をつけたいのが、法第12条の6の「特定申込みを受ける際の表示」です。消費者庁の特定商取引法ガイドによると、インターネット通販では、注文を確定する前の最終確認画面に、次の事項を表示する必要があります。

1. 分量
2. 販売価格（送料を含む）
3. 代金の支払いの時期と方法
4. 商品の引渡しの時期
5. 申込期間の定めがある場合は、その旨と内容
6. 申込みの撤回や解除に関する事項（返品の特約を含む）

あわせて、その画面での送信が契約の申込みになることを誤認させる表示と、上の事項について誤認させる表示が禁止されています。違反する表示で消費者が誤認して申し込んだ場合は、申込みを取り消せることも定められています（法第15条の4）。

消費者庁の「通信販売の申込み段階における表示についてのガイドライン」は、画面を作る側に直接関わる考え方を示しています。

画面の文言や配置は、デザインや導線の改善の依頼として届くことがあります。完了率を上げるための変更が、表示事項を見えにくくする方向に働いていないかは、実装の前に確かめたい点です。返品の流れなど業務の側の知識はEC・通販の業務知識の記事で扱っています。

景品表示法：不当な表示、ステマ、景品の上限

不当表示とステルスマーケティング

消費者庁の表示規制の概要によると、景品表示法は、品質などを実際より著しく優良と示す優良誤認表示と、価格などの取引条件を実際より著しく有利と誤認させる有利誤認表示を禁止しています。効果や性能の表示について、消費者庁長官が裏付けとなる合理的な根拠の資料の提出を求め、示せない場合に不当表示とみなす仕組み（不実証広告規制）もあります。

このほかに内閣総理大臣が指定する表示があり、その一つが「一般消費者が事業者の表示であることを判別することが困難である表示」、いわゆるステルスマーケティングです。消費者庁のページによると、2023年（令和5年）10月1日から景品表示法違反となっています。規制の対象は商品・サービスを供給する事業者（広告主）で、インフルエンサーなどの第三者は対象になりませんが、事業者が第三者に依頼・指示した投稿は事業者の広告に含まれます。

ECでは、レビューの掲載、インフルエンサーの投稿の取り込み、アフィリエイトの仕組みなどがこれに関わります。広告であることを示す表記をどこにどう出すかは、発注側が決めることです。作り手としては、レビューや投稿を表示する機能に、そうした表記を出す余地があるかを確かめておくと手戻りを減らせます。

景品の上限

消費者庁の景品規制の概要は、景品類の最高額と総額を次のように示しています（2026年10月時点のページによる）。

購入を条件としないオープン懸賞は、景品規制の対象外と説明されています。キャンペーンの設定画面を作る案件では、上限の判断そのものは発注側が行いますが、設定できる値の範囲や承認の手順を仕様に入れるかどうかを相談する材料になります。

個人情報保護法と、Webの外部送信

ECは会員・購入履歴・配送先など、多くの個人情報を扱います。個人情報保護法は、個人情報取扱事業者に、次のような義務を定めています。

• 個人データの漏えい・滅失・毀損の防止など、安全管理のために必要かつ適切な措置（第23条）
• 個人データの取扱いを委託する場合の、委託先に対する必要かつ適切な監督（第25条）
• 権利利益を害するおそれが大きい漏えい等が生じたときの、個人情報保護委員会への報告と本人への通知（第26条）
• 本人の同意を得ない第三者提供の原則禁止（第27条）

個人情報保護委員会のページによると、報告が必要になるのは、要配慮個人情報を含む場合、財産的被害が生じるおそれがある場合、不正の目的によるおそれがある場合、本人の数が1,000人を超える場合などです。報告は、発覚から速やかに（3〜5日以内に）速報、30日以内（不正の目的によるおそれがある場合は60日以内）に確報とされています。第26条第1項のただし書は、委託を受けた事業者が委託元に通知した場合は、委託先自身の報告を要しないとしています。フリーランスにとっての実務は、異常に気づいたら、決められた経路ですぐ委託元に伝えることです。

また、総務省のページによると、2023年6月16日から電気通信事業法の外部送信規律が施行されています。対象となる事業者は、利用者の端末から外部に情報を送らせる場合に、送られる情報の内容、その情報を取り扱う者の名称、利用目的などを通知・公表するか、同意の取得やオプトアウトの措置をとる必要があります。ECサイトに計測や広告のタグを足す作業は、この公表の内容に関わることがあります。対象になるかどうかの判断は発注側に確かめてください。

委託先として個人情報を扱う契約で確かめることは個人情報を扱う業務の契約の記事、フリーランス自身が事業者として守ることや改正の動きは個人情報保護法の記事で扱っています。

カード情報：EC事業者は「持たない」か「守る」か

割賦販売法第35条の16は、クレジットカード番号等を取り扱う事業者（カードで販売する販売業者を含む）に、経済産業省令の基準に従って、カード番号等の漏えい等を防ぐ適切な管理の措置を求めています。第35条の17の15は、カードで販売する販売業者に、不正な利用を防ぐための措置を求めています。

日本クレジット協会の加盟店向けのページは、クレジットカード・セキュリティガイドライン6.0版（2025年3月4日改訂）を示し、EC加盟店に、カード情報を保持しない「非保持化」またはPCI DSSへの準拠、自社のシステムやサイトの脆弱性対策、EMV 3-Dセキュアの導入や不正ログイン対策などを求めています。

ECの案件では、カード番号を自社のサーバーに通さない決済の方式が前提になっていることが多くあります。その前提を崩す改修（ログにカード情報が残る、入力画面を自社で作り直すなど）をしないことが、作り手として最低限の注意です。決済の仕組みやガイドラインの詳細はクレジットカード・決済業界の規制の記事で扱います。

現場で気をつけたい5つの行動

1. 表示に関わる変更は、実装の前に確かめる：価格・送料・定期購入の条件・返品・確定ボタンの文言や位置に触れる変更は、表示事項への影響を発注側に確かめる
2. 本番の顧客データを持ち出さない：テストには加工したデータを使い、私用の端末やクラウドサービスに保存しない
3. カード情報を通さない前提を守る：ログやエラーの出力、デバッグの仕組みに、カード情報や認証情報が残らないようにする
4. タグや外部サービスの追加を記録する：計測や広告のタグ、外部のスクリプトを足したら、何をどこに足したかを残す
5. 異常はすぐに報告する：誤表示、意図しないメールの送信、データの漏えいの疑いに気づいたら、決められた経路ですぐに伝える

万一情報を漏えいしてしまったときの対応は漏えい時の対応の記事で整理しています。

よくある質問

表示が法令に合っているかを、エンジニアが判断する必要がありますか？

判断するのはEC事業者で、多くは法務・コンプライアンス部門や専門家が確かめます。エンジニアに期待されるのは、表示事項に関わる変更に気づき、実装の前に確認を入れることです。法令の解釈に迷う場合は、自分で結論を出さず、発注側に確かめてください。

法人向けの通販サイトでも、最終確認画面の決まりはかかりますか？

特定商取引法第26条第1項第1号は、購入者が営業のために、または営業として結ぶ取引には通信販売などの規定を適用しないとしています。ただし、法人向けと個人向けが混在するサイトもあり、一律には言えません。どの取引が対象になるかは、発注側の判断を確かめてください。フリーランス自身のWebサイトでの表示の考え方は名刺代わりのWebサイトの記事で扱っています。

カード決済の案件に入るには、PCI DSSの知識が必要ですか？

決済の基盤そのものを作る案件では求められることがあります。ECの一般的な開発案件では、カード情報を保持しない方式が前提になっていることが多く、その前提を崩さないことがまず大切です。決済の分野の規制はクレジットカード・決済業界の規制の記事で扱います。