「割賦販売法って、EC サイトを運営する自社にも関係あるの？」
「2026 年現在、改正に対応するには何をすればいい？」
「PCI DSS 4.0 への対応は割賦販売法の要件と関係している？」
クレジットカード決済を取り扱う事業者にとって、割賦販売法は決済システム・セキュリティ運用に直結する重要な法律です。一般社団法人日本クレジット協会の集計によれば、クレジットカード不正利用被害は近年 500 億円超で推移しており、その多くが EC 加盟店経由の情報漏洩に起因しています。割賦販売法の改正は、こうした被害を抑制するための法的フレームワークとして段階的に強化されてきました。
本記事では、決済プロバイダーである JPCC の視点から、割賦販売法の基本、改正の要点、EC 事業者に求められる実務対応を 2026 年最新情報で整理します。
決済の導入や見直しでお悩みではありませんか？審査に強いJPCCが、あなたの事業に合った決済導入を無料でご相談に乗ります。
割賦販売法とは？基礎定義と適用範囲
割賦販売法 (かっぷはんばいほう) は、分割払い・後払いを含むクレジット取引を規制し、消費者保護と公正な取引を確保することを目的とした法律です。経済産業省が所管し、クレジットカード会社・加盟店・決済代行業者の業務基準を定めています。
規制される取引の種類
主な対象取引は以下の 4 種類です。
- 割賦販売: 商品代金を 2 か月以上にわたって 3 回以上で分割して支払う取引
- ローン提携販売: 販売事業者と提携した信販会社からの融資による販売
- 包括信用購入あっせん: クレジットカードによる一括・分割・リボルビング払い
- 個別信用購入あっせん: 個別商品ごとに信販会社が立替払いする取引
EC サイトで最も一般的なのは「包括信用購入あっせん」(クレジットカード決済) です。決済ゲートウェイを経由するオンライン決済の大半が該当します。
適用される事業者の範囲
規制対象はクレジットカード発行会社 (イシュア)、加盟店契約会社 (アクワイアラ)、加盟店 (EC 事業者・店舗)、決済代行業者など、決済プロセスに関わる全プレイヤーに及びます。特に 2018 年以降、加盟店である EC 事業者にも明確なセキュリティ対策義務が課されている点が重要です。
割賦販売法の改正の歴史と 2026 年の論点
2016 年改正 (2018 年 6 月施行)：EC 事業者へのセキュリティ義務化
EC 加盟店を狙ったクレジットカード情報漏洩の急増を受け、加盟店に以下が義務付けられました。
- クレジットカード情報の適切な管理 (非保持化または PCI DSS 準拠)
- 不正使用の防止策 (本人認証、セキュリティコード、不正検知)
本人認証の中心となる 3D セキュア が必須化されたのもこの改正からです。
2020 年改正 (2021 年 4 月施行)：QR コード決済と少額後払いの規制
キャッシュレス決済の多様化を受け、規制対象が拡大されました。
- QR コード決済事業者など新規参入プレイヤーへのセキュリティ強化
- 少額の包括信用購入あっせん業者制度の新設
- 書面交付義務の電子化対応
- 業務停止命令の新設と罰則強化
2024 年改正と 2026 年の最新動向
2024 年以降は、PCI DSS v4.0 への完全移行 (2024 年 4 月発効) や EMV 3-D Secure 2.x の普及に合わせ、ガイドラインの実務適用が深化しています。2025 年公表の「クレジットカード・セキュリティガイドライン【6.0 版】」が現行の実務基準です。
2026 年現在の重要トピックは EMV 3-D Secure 必須化、AI 不正検知の活用拡大、トークン決済の標準化の 3 点です。詳しくは AI を活用した決済不正検知 もあわせてご確認ください。
EC 事業者に求められる具体的な実務対応
カード情報の非保持化 (通過型と非通過型)
EC 事業者が自社サーバーでカード情報を保持しないことが原則です。実現方法は以下の 2 通り。
- 通過型 (トークン型): 加盟店サーバーは「トークン」のみを受け取る方式。実装難度低・UX 良好
- 非通過型 (リダイレクト型): 決済代行業者のページへ遷移する方式。実装は最も容易だが UX 面で離脱率が上がりやすい
自社で PCI DSS を取得・維持するコストは年間数百万〜数千万円規模になるため、ほとんどの EC 事業者は決済代行業者経由の非保持化を選択します。
PCI DSS 4.0 への準拠
PCI DSS は、カード情報を取り扱う事業者が満たすべき国際セキュリティ基準です。2024 年 4 月に v4.0 が完全発効しており、認証・暗号化・脆弱性管理などの要件が強化されています。詳細は PCI DSS とは？要件と認証フローを徹底解説 をご参照ください。
多面的・重層的な不正使用対策
クレジットカード・セキュリティガイドラインでは、以下を組み合わせる「多面的・重層的」な対策が推奨されています。
- 本人認証 (EMV 3-D Secure)
- セキュリティコード認証 (CVV)
- 属性・行動分析による不正検知
- 配送先住所のリスク評価
不正利用が発生した場合は チャージバック として加盟店側に費用負担が発生するため、予防的な対策投資が結果的にコスト削減につながります。
違反した場合のペナルティと事例
行政処分：業務改善命令と業務停止命令
セキュリティ対策が不十分と判断された場合、経済産業大臣による業務改善命令が発出されます。改善が見られない場合や悪質な事案では、最長 1 年の業務停止命令が下される可能性があります。2020 年改正で業務停止命令が新設されたことで、実効性が大きく高まりました。
罰則：罰金と懲役
違反内容に応じて、法人には最大 3 億円の罰金、個人には 3 年以下の懲役または 300 万円以下の罰金が科せられます。役員の刑事責任も問われるため、決済関連業務は経営層の関与が不可欠です。
加盟店契約解除のリスク
行政処分とは別に、アクワイアラから加盟店契約を解除されるリスクも重要です。一度解除されると、他社との新規契約も困難になり、事実上 EC 事業の継続が不可能になるケースもあります。実際、過去には大手 EC モールに出店していた事業者が、加盟店契約解除によりカード決済を停止された事例が複数報告されています。EC 決済手段の選定 ルールを社内で文書化し、内部統制の一環として運用することが推奨されます。
加盟店調査義務への対応
アクワイアラは加盟店に対する初期調査と定期調査が義務付けられており、加盟店側にも契約時の情報開示と継続的なセキュリティ運用報告が求められます。社内で年 1〜2 回のセキュリティ自己点検を実施し、決済代行業者・アクワイアラからの照会に即応できる体制を整えることが必要です。
PSP 活用で割賦販売法対応をスムーズに
EC 事業者が自力で全ての要件を満たすのは現実的ではありません。決済代行業者 (PSP) の活用が標準的な解決策となっています。
- トークン決済の導入: 自社サーバーでカード情報を扱うことなく非保持化を実現
- 3D セキュア 2.x の組込み: リスクベース認証でユーザー体験を損なわず本人認証を実施
- 不正検知サービスの活用: 月額数万円から導入可能。AI を活用したリアルタイム検知が標準化中
JPCC では、上記要件を満たす決済ゲートウェイサービスを提供しています。割賦販売法対応について個別相談をご希望の場合は、JPCC までお問い合わせください。
割賦販売法に関するよくある質問
Q1. 個人事業主の EC サイトでも割賦販売法は適用されますか？
はい、適用されます。事業規模や法人格の有無に関わらず、加盟店としての義務 (カード情報非保持化、不正使用対策など) が課されます。決済代行業者経由の非保持化対応で現実的に要件を満たせます。
Q2. PCI DSS 準拠と非保持化のどちらを選ぶべきですか？
多くの EC 事業者にとっては非保持化が推奨です。PCI DSS 準拠の自社取得・維持コスト (初回 500〜2000 万円、年間 100〜500 万円) は決済代行業者経由の非保持化と比較して大きく、ROI が成立するのは年商数十億円規模以上の大規模 EC に限られます。
Q3. 違反が発覚した場合、即座に業務停止になりますか？
原則として、まず業務改善命令が発出されます。改善計画の提出と実施が確認されれば業務停止には至りません。ただし、漏洩事案など消費者被害が甚大な場合は、改善命令と並行して別途行政処分や刑事告発が行われる可能性があります。
Q4. 越境 EC の場合、割賦販売法はどう適用されますか？
日本国内の事業者として日本居住者向けに販売する場合は適用されます。海外居住者向けの販売であっても、日本のアクワイアラや決済代行業者を利用する場合は加盟店契約上の義務として準拠が求められるのが一般的です。海外決済代行を利用する場合は、現地法令と日本法の両方への配慮が必要となります。
Q5. 法人カード (コーポレートカード) も対象ですか？
法人カードによる「事業用途の購入」は、原則として割賦販売法の保護対象外です。ただし、個人事業主が個人カードを業務利用する場合や、法人カードでも個人的利用が混在する場合は運用上の取り扱いに注意が必要です。社内で利用範囲を明確化することが推奨されます。
