割賦販売法 第35条の16（クレジットカード番号等の適切な管理）
クイックジャンプ
- クレジットカード番号等取扱業者（次の各号のいずれかに該当する者をいう。以下同じ。）は、経済産業省令で定める基準に従い、その取り扱うクレジットカード番号等（包括信用購入あつせん業者又は二月払購入あつせんを業とする者（以下「クレジットカード等購入あつせん業者」という。）が、その業務上利用者に付与する第二条第三項第一号の番号、記号その他の符号をいう。以下同じ。）の漏えい、滅失又は毀損の防止その他のクレジットカード番号等の適切な管理のために必要な措置を講じなければならない。
- 一クレジットカード等購入あつせん業者
- 二包括信用購入あつせん又は二月払購入あつせん（以下この項及び第三十五条の十七の二において「クレジットカード等購入あつせん」という。）に係る販売の方法により商品若しくは権利を販売する販売業者（以下「クレジットカード等購入あつせん関係販売業者」という。）又はクレジットカード等購入あつせんに係る提供の方法により役務を提供する役務提供事業者（以下「クレジットカード等購入あつせん関係役務提供事業者」という。）
- 三特定のクレジットカード等購入あつせん業者のために、自己の名をもつて特定のクレジットカード等購入あつせん関係販売業者又はクレジットカード等購入あつせん関係役務提供事業者にクレジットカード等購入あつせんに係る購入の方法により購入された商品若しくは権利の代金又は受領される役務の対価に相当する額の交付（当該クレジットカード等購入あつせん関係販売業者又はクレジットカード等購入あつせん関係役務提供事業者以外の者を通じた当該クレジットカード等購入あつせん関係販売業者又はクレジットカード等購入あつせん関係役務提供事業者への交付を含む。次号において同じ。）をすることを業とする者（同号において「立替払取次業者」という。）
- 四特定の立替払取次業者のために、自己の名をもつて特定のクレジットカード等購入あつせん関係販売業者又はクレジットカード等購入あつせん関係役務提供事業者にクレジットカード等購入あつせんに係る購入の方法により購入された商品若しくは権利の代金又は受領される役務の対価に相当する額の交付をすることを業とする者
- 五利用者からクレジットカード番号等の提供を受けて、当該クレジットカード番号等を決済用情報（当該クレジットカード番号等以外の番号、記号その他の情報であつて、当該利用者がそれを提示し又は通知して、特定の販売業者から商品若しくは権利を購入し、又は特定の役務提供事業者から役務の提供を受けることができるものをいう。以下この項において同じ。）と結び付け、当該決済用情報を当該利用者に提供することを業とする者
- 六前号に掲げる者から委託（二以上の段階にわたる委託を含む。）を受け、クレジットカード番号等をその結び付けられた決済用情報により特定することができる状態で管理することを業とする者
- 七第三号から前号までに掲げる者のほか、大量のクレジットカード番号等を取り扱う者として経済産業省令で定める者
- 2.前項の「二月払購入あつせん」とは、カード等を利用者に交付し又は付与し、当該利用者がそのカード等を提示し若しくは通知して、又はそれと引換えに特定の販売業者から商品若しくは権利を購入し、又は特定の役務提供事業者から役務の提供を受けるときは、当該販売業者又は当該役務提供事業者に当該商品若しくは当該権利の代金又は当該役務の対価に相当する額の交付（当該販売業者又は当該役務提供事業者以外の者を通じた当該販売業者又は当該役務提供事業者への交付を含む。）をするとともに、当該利用者から当該代金又は当該対価に相当する額を、当該利用者が当該販売業者から商品若しくは権利を購入する契約を締結し、又は当該役務提供事業者から役務の提供を受ける契約を締結した時から二月を超えない範囲内においてあらかじめ定められた時期までに受領することをいう。
- 3.クレジットカード番号等取扱業者は、クレジットカード番号等取扱受託業者（当該クレジットカード番号等取扱業者からクレジットカード番号等の取扱いの全部若しくは一部の委託を受けた第三者又は当該第三者から委託（二以上の段階にわたる委託を含む。）を受けた者をいう。以下同じ。）の取り扱うクレジットカード番号等の適切な管理が図られるよう、経済産業省令で定める基準に従い、クレジットカード番号等取扱受託業者に対する必要な指導その他の措置を講じなければならない。
この条文の基本情報
クレジットカード番号等の適切な管理とは何ですか？
定義クレジットカード番号等の適切な管理とは、割賦販売法第35条の16に定められた規定で、「クレジットカード番号等取扱業者（次の各号のいずれかに該当する者をいう。」と規定しています。
出典：e-Gov法令検索（デジタル庁）
- 割賦販売法第35条の16（クレジットカード番号等の適切な管理）は、日本の割賦販売法に含まれる条文です。
- 割賦販売法第35条の16の条文原文は「クレジットカード番号等取扱業者（次の各号のいずれかに該当する者をいう。」で始まります。
- 割賦販売法第35条の16は第一節に置かれています。
- 割賦販売法の公布日は昭和36年7月1日です。
- 割賦販売法について、LawPlayer が e-Gov法令検索から取得した令和8年4月5日時点では廃止情報はありません。
- 割賦販売法第35条の16の前の条は割賦販売法第35条の15です。
- 割賦販売法第35条の16の次の条は割賦販売法第35条の17です。
- 割賦販売法第35条の16には、要件・効果とよくある質問をまとめた解説が本ページにあります。
この条文を引用する
下の三行はそのまま引用に使えます（法令番号・条番号・出典・取得日を含みます）。
- 正式書式
割賦販売法（昭和三十六年法律第百五十九号）第35条の16 - 官報・e-Gov
e-Gov法令検索 https://laws.e-gov.go.jp/law/336AC0000000159 - 本サイト収録
割賦販売法（昭和三十六年法律第百五十九号）第35条の16（LawPlayer 収録、取得日 令和8年4月5日）https://lawplayer.com/jp/article/336AC0000000159/35_16
わかりやすく解説 AI による整理。効力は条文原文が基準です
要点割賦販売法35条の16は、カード会社・加盟店・決済代行業者・コード決済事業者等に、経済産業省令の基準に従いカード番号等の漏えい防止措置を義務づけ、委託先の指導も求める。
Q · 小さなネットショップでも、カード番号の管理って法律上の義務なの？
義務です。加盟店も本条の管理義務の対象です
割賦販売法35条の16第1項第2号により、クレジットカード決済を受け付ける販売業者・役務提供事業者（加盟店）は「クレジットカード番号等取扱業者」に当たり、経済産業省令の基準に従ってカード番号等の漏えい防止などの措置を講じる義務を負います。実務上は、カード情報を自社で保持しない「非保持化」か、PCI DSSへの準拠が求められます。決済システムを外部に委託している場合でも、同条3項により委託先・再委託先を指導する義務が残ります。
解説
カード番号を守る法的な義務は、カード会社だけでなく、あなたが毎日使うネットショップや決済アプリの運営会社にもかかっている。割賦販売法35条の16は、クレジットカード番号等を扱う事業者を「クレジットカード番号等取扱業者」とし、漏えい・滅失・毀損（データが壊れて使えなくなること）を防ぐ措置を義務づける。対象は、カード会社、カード決済を受け付ける加盟店、加盟店に代金を支払う決済代行業者、カード番号をQRコード決済やスマホ決済に結び付ける事業者とその委託先、さらに経済産業省令で定める大量取扱者である。外部委託しても責任は残る。3項により、委託先や再委託先まで指導・監督する義務を負うからだ。カード情報の漏えいが発覚したとき、多くの人は「犯人が悪い」で話を終わらせる。しかし法律は、どの段階の事業者が、経済産業省令の基準に沿った措置を講じていたかを問う。この視点を持つ消費者と事業者は、事故後の交渉で優位に立てる。
法的な位置づけ
割賦販売法35条の16は、クレジットカード番号等の適切な管理を定める規定である。カード会社、加盟店、立替払取次業者（決済代行業者）、カード番号を決済用情報と結び付ける事業者とその受託者、大量取扱者を「クレジットカード番号等取扱業者」とし、経済産業省令の基準に従った漏えい防止措置と、受託業者への指導措置を義務づける。
よくある質問 AI による整理
Q1クレジットカード番号等取扱業者とは？
割賦販売法35条の16第1項が定める、カード番号等の管理義務を負う事業者です。カード会社、加盟店、決済代行業者、コード決済事業者とその委託先、大量取扱者が含まれます。
Q2カード情報の非保持化とは何ですか？
自社のサーバーや端末でカード番号を保存・処理・通過させない状態をいいます。決済代行会社のリンク型やトークン型の決済を使うのが一般的な方法です。
Q3PCI DSS は法律上の義務ですか？
法律の条文はPCI DSSを直接名指ししていません。ただし実務上の指針とされるセキュリティガイドラインで、非保持化と並ぶ選択肢として位置付けられています。
Q4カード情報漏えい 加盟店 責任は？
本条の措置義務違反が問われるほか、加盟店契約に基づいて調査費や再発行費用の負担を求められることがあります。民法上の損害賠償責任を負う可能性もあります。
Q5カード情報が流出したら何をすべき？
当日中にカード会社へ連絡してカードの停止と再発行を依頼し、過去の明細を確認します。通知メールは補償期間を計算する際の証拠になるため保存しておきます。
Q6割賦販売法 カード情報 違反したらどうなる？
経済産業大臣が改善命令を出せます（35条の17）。命令に違反すると罰則の対象になります。罰則の内容は最新の条文で確認してください。
Q7決済代行会社を使えば加盟店の義務はなくなる？
なくなりません。決済画面の作り方によっては、カード番号が自社サーバーを経由する場合があり、そうなると非保持化と認められないこともあります。
Q8QRコード決済の会社もカード番号管理の対象？
対象です。カード番号を決済用情報と結び付けて利用者に提供する事業者は1項5号、その受託者は6号で明文の対象になっています。
この条文についての質問 AI による整理
Q1ネットショップでカード情報が漏れたら、不正利用された分はこっちが払うんですか？
多くの場合、払わずに済みます。カード会員規約では、届出日からさかのぼって一定期間内の不正利用を補償する規定が一般的です。ただし、暗証番号の管理に問題があった場合などは補償の対象外になりえます。漏えい元の事業者には、割賦販売法35条の16の管理義務違反を根拠に責任を問えます。実務のポイント：補償期間はカード会社によって異なり、60日程度が多いとされます。流出通知が届いた日に連絡を入れておくと、補償の範囲が明確になります
Q2小さい個人ショップでも、カード情報のセキュリティ対策って義務なんですか？
義務です。カード決済を受け付ける販売業者は、35条の16第1項第2号の対象です。実務上は、業界団体が作成し経済産業省が実務上の指針と位置付けるクレジットカード・セキュリティガイドラインに沿って、非保持化またはPCI DSS準拠を選ぶことになります。実務のポイント：決済代行会社の「リンク型」や「トークン型」を使えば、低コストで非保持化を実現しやすいです。独自に組み込んだ決済フォームのほうが、むしろ危険な場合があります
Q3システムを外注していて、漏れたのが外注先だったら、うちは悪くないですよね？
そうとは限りません。35条の16第3項は、委託先と再委託先の管理が適切に行われるよう指導する義務を、委託元に課しています。監督が不十分であれば、委託元の義務違反が問われえます。実務のポイント：事故後の交渉では、委託契約に監査権や再委託の承認条項があったか、年に一度でも点検した記録があるかが重視されます。契約書のひな型にこれらがなければ、次に契約を更新するときに追加してください
間違えやすい点 AI による整理
- 「うちは決済代行会社に任せているからカード情報は関係ない」と考える加盟店は多い。しかし決済画面の設計しだいで、カード番号が自社サーバーを一瞬でも通過していることがある。通過型と呼ばれる仕組みで、非保持化と認められないことがある。決済代行会社を使っていても、それだけで本条の義務が消えるわけではない
- カード情報の漏えいは個人情報保護法の問題だと理解している人は多い。ただ、加盟店にとってそれ以上に重いのは、割賦販売法上の措置義務と、カード会社・決済代行会社との加盟店契約である。漏えい後にはフォレンジック調査費、カードの再発行費用、不正利用分の補填を求められ、カード決済の停止に至る例もある（具体的な負担は契約と事案によって異なる）。中小のECサイトが閉鎖に追い込まれるのは、多くの場合、行政罰よりもこうした費用の負担による
- 消費者の立場で「流出したら自分が損をする」と心配するのは、問いの立て方がずれている。カード会員規約では、届出から一定期間さかのぼった不正利用を補償する規定が一般的である（会員規約をご確認ください）。消費者にとっての本当のリスクは、明細を確認せずに補償期間を過ぎてしまうことだ
| 比較の観点 | この条文 | ほかの条文 |
|---|---|---|
| 規律の目的 | 35条の16：カード番号等の漏えい・滅失・毀損の防止（情報管理） | 35条の17の15：カード番号等の不正利用の防止（現行の条番号は要確認） 個人情報保護法26条：漏えい等発生後の委員会報告・本人通知 |
| 義務の主体 | カード会社・加盟店・決済代行業者・コード決済事業者と受託者・大量取扱者 | 主に加盟店（カード決済を受け付ける販売業者等） 個人情報取扱事業者全般 |
| 行政の関与 | 基準不適合の場合は35条の17により改善命令 | 加盟店調査を通じて加盟店契約を結ぶ事業者が確認 個人情報保護委員会による報告徴収・勧告・命令 |
他国ではどう定めているか 5 か国
台湾では一般的な個人情報の安全管理義務と、金融監督管理委員会によるカード業務規制を組み合わせて規律している。日本のように加盟店や決済代行業者までを一つの条文で列挙する構造ではない
韓国はカード業の規制法と信用情報保護法の二本立てで、加盟店に対する遵守事項も置いている
中国人民銀行の規則で、アクワイアラーと加盟店のカード情報保護を規律している
ドイツはGDPRのセキュリティ義務と決済サービス監督法で対応しており、カード番号に特化した法律上の条文は置いていない
米国には連邦法がなく、州法と業界基準のPCI DSSで規律している。ネバダ州はPCI DSSへの準拠を法律に取り込んでいる
AI による対応参考であり、公式の対照ではありません。各国の原文が基準です
想定される場面と対応 AI による整理
こんなときに使う
- あなたが小さなECショップを経営していて、注文フォームから届いたカード番号を管理画面のCSVにそのまま残していたとしたら、どうなる？ 加盟店として本条の対象になる。実務上の指針は、カード情報を自社で保持しない「非保持化」か、国際基準PCI DSSへの準拠を求めている。CSVに番号が残っていれば、どちらの対策もとれていないことになる
- 利用したことのある通販サイトから「不正アクセスによりカード情報が流出した可能性」というメールが届いた。いま確認すべきなのは謝罪文の丁寧さではない。流出した件数、期間、セキュリティコードが含まれていたかの三点だ。セキュリティコードが含まれていれば、サイトはカード番号を保持すべきでない状態で保持していた疑いが強い
- 決済代行会社のシステム担当者のあなたは、ログ解析を海外の下請けに丸投げしていた。漏えい元がその下請けだった場合も、責任は消えない。3項で、再委託先を含む受託業者への指導義務を負うのはあなたの会社である
- スマホ決済アプリにカードを登録しただけのユーザーの番号が、アプリ運営会社の委託先サーバーから流出した。カードと決済用情報を結び付ける事業者とその委託先も、明文で本条の対象である。ユーザーとカード会社のあいだに入っている会社だから関係ない、とは言えない
- セキュリティ会社のフォレンジック調査（不正アクセスの痕跡を解析する調査）で、ECサイトの改ざんが判明した。カード会社への報告、個人情報保護委員会への速報、顧客への通知を同時に進める必要があり、速報の目安は判明から概ね3〜5日以内である。経営陣の決裁が一日遅れると、すべての対応が一日遅れる
取るべき行動
被害を受けた側：1. 通知メールや報道の画面を保存し、日付を記録する2. 当日中にカード会社の窓口へ連絡し、カードの利用停止と再発行を依頼する3. 流出期間までさかのぼって明細を確認し、覚えのない請求は個別に申告する4. 通販サイトの説明が足りない場合は、流出項目、件数、原因調査の結果を書面で求める5. 補償の対象外になった損害は、事業者に対して民法415条・709条で請求できるかを検討する
訴えられた側：1. 漏えいが疑われた時点でカード会社・決済代行会社へ連絡し、フォレンジック調査会社に依頼する。証拠を消すので、サーバーの初期化は避ける2. 個人情報保護委員会への速報と確報、顧客への通知を並行して進める3. 非保持化やPCI DSS準拠の状況、委託先への指導記録を整理し、措置を講じていたことを立証できるよう準備する4. 経済産業大臣から改善命令が出た場合は、期限内の是正計画が最優先である。命令に違反すると罰則の対象になる（最新の改正状況をご確認ください）
時効（請求できる期限）：本条自体に特定の時効はなく、漏えい被害の賠償請求には一般消滅時効（民法166条、債権5年または10年）または不法行為の時効（民法724条、知った時から3年）が適用される。事業者側は、個人情報保護法に基づき、漏えいを知ってから速やかに、目安として概ね3〜5日以内に速報、30日以内（不正の目的による場合は60日以内）に確報を個人情報保護委員会へ提出する必要がある（個人情報保護法施行規則。最新の改正状況をご確認ください）
改正沿革 AI による整理
- 平成20年（2008年）改正 カード会社などを対象に、クレジットカード番号等の適切な管理義務を新たに導入したとされる（要検証）
- 平成28年（2016年）改正、平成30年（2018年）施行 対象を加盟店と、加盟店に代金を交付する決済代行業者に広げ、クレジットカード番号等取扱業者として整理したとされる（要検証）
- 令和2年（2020年）改正 カード番号を決済用情報に結び付けるコード決済事業者などとその委託先、大量取扱者を対象に加えたとされる（要検証）
改正の年表
- 1.平成20年（2008年） 新設：割賦販売法改正により、カード会社などにクレジットカード番号等の適切な管理義務を導入（改正法の内容は要検証）
- 2.平成28年（2016年） 改正：加盟店と、加盟店に代金を交付する決済代行業者を義務の対象に加え、クレジットカード番号等取扱業者として整理。平成30年（2018年）施行（要検証）
- 3.令和2年（2020年） 改正：カード番号を決済用情報と結び付けるコード決済事業者等とその受託者、大量取扱者を対象に追加（要検証）
- 割賦販売法 第35条の17管理義務違反に対する改善命令
- 割賦販売法 第35条の17の2加盟店契約を結ぶ事業者の登録制
- 割賦販売法 第35条の17の15カード番号の不正利用防止措置（現行効力を要確認）
- 割賦販売法 第2条包括信用購入あっせんとカード番号の定義
- 個人情報の保護に関する法律 第26条漏えい等の委員会報告と本人通知
- 民法 第709条漏えい被害者による損害賠償請求
ログインすると、この条文にメモを残して他の利用者と共有できます。
ログインして共同ノートを始める