【2026年国会成立】個人情報保護法の変更点とは？企業が気を付けるべきこと
2026年7月、個人情報保護法の改正法が成立しました。統計目的でのデータ提供が円滑になる仕組みから課徴金制度の導入まで、内容は利活用の促進と規制強化の双方に及びます。
当記事では改正の全体像を整理した上で、施行までに企業が着手すべき対応についても解説します。
改正内容は4つの柱で構成される
個人情報保護委員会の公表資料では、改正内容が次の4区分に整理されています。
https://www.ppc.go.jp/personalinfo/legal/r8kaiseihogohou/
全体としては、AI開発を含むデータ利活用のハードルを下げる一方で、悪質な違反は厳しく取り締まるという方向性が読み取れます。
改正の柱 | 主な改正項目 |
|---|---|
①データ利活用の推進 | ・統計作成等を目的とする場合の同意取得の義務免除 ・同意例外要件の緩和 |
②リスクに対応したルール | ・子どもの個人情報の規律 ・顔特徴データ等の規律新設 ・委託先規律の整備 ・漏えい時の本人通知義務の緩和 |
③不適正利用の防止 | ・個人関連情報（連絡が可能になる情報を含む）への規制 ・オプトアウト時の提供先確認の義務化 |
④規律遵守の実効性確保 | ・勧告、命令の柔軟化 ・第三者への措置要請 ・罰則強化 ・課徴金制度の導入 |
自社が利活用側の恩恵を受ける立場か、規制強化の影響を強く受ける立場かを、事業ごとに切り分けて評価することが重要です。
実務への影響が大きい3つの改正
改正項目のうち、事業運営や社内体制に直接的な影響を与えるものとして、以下3点を押さえておくと良いでしょう。
統計作成等目的であれば本人同意なしでのデータ提供が可能に
「統計情報等の作成のみで利用されること」が担保される場合、本人の同意なく、法令で定める要件を満たす第三者提供や取得が認められる仕組みが設けられます。
ここでいう「統計作成等」には、個別の事案に応じて統計作成と同様の性質を持つと評価されるAIの利活用が含まれ得ることが議論されています。
とはいえ無条件ではなく、委員会規則で定める事項の公表や目的外利用および再提供の禁止などの要件が課されます。また公表義務が課されるため、一度だけ公表すれば足りるとは限らず、法令や委員会規則に沿った適切な情報提供の運用が求められます。
顔特徴データの取扱いに新たな規律が加わる
現行法では、顔特徴データ等（顔の骨格や皮膚の色、目・鼻・口などの位置や形状から抽出した情報から識別可能なデータ）のような生体データについて、個人識別符号に該当する場合も含めて、ほかの個人情報と同様に利用目的の特定・公表等のルールに従って取得や利用する運用が行われてきました。
改正後は、顔特徴データ等を取り扱う事業者に対し、事業者に関する情報や、顔特徴データ等を取り扱う旨・利用目的等について、法令で定める事項の周知を求める仕組みが設けられます。
また、本人の求めに応じて提供停止等を条件として本人同意なく第三者提供を認めるオプトアウト制度について、顔特徴データ等の取扱いには追加的な制限が設けられます。
課徴金制度の導入により違反の経済的コストが変わる
改正法では、条文で定める特定の違反行為について、その違反行為またはそれをやめることの対価として得た金銭相当額の課徴金を課す仕組みが導入されます。
※本人の数が1,000人を超えないときなどは対象外で、大規模事案で適用される。
また、「一定期間内に課徴金を課された事業者には加算」する仕組み、「調査前の自主報告があれば課徴金を減額」する仕組みも設けられます。
委託先に課される義務と免除に留意
今回の改正で、委託先の事業者は「委託された業務に必要な範囲を超えて使ってはならない」というルールが法律上明文化されました。
その一方で、委託元の指示に従って単純なデータ入力や加工のみを行うような類型の委託先について、一定の条件を満たす場合には、委託先に課される一部の義務を緩和する仕組みが導入されます。
※取扱方法や漏えい時の報告方法などを委託契約に細かく定め、その内容どおりに必要な範囲内で処理している場合に限る。
ただし、委託先であっても、委託された範囲を超えて個人情報等を取り扱わないことや、安全管理措置などについては、法令上一定の義務が引き続き課されます。
委託元の企業としては、単純な処理のみを任せる委託先について、契約や運用を整えて改正法に基づく緩和措置の適用を検討するか、従来どおり委託先にも広く義務を課す運用を続けるかなど、事業形態に応じた選択を行う必要があります。
施行までに企業が着手すべき対応
まず取り組むべきは、自社が保有・取得している情報の分類です。
顔特徴データ等やメールアドレス、電話番号、Cookieなどを含む個人関連情報は、新たな規律の対象となっています。これらを扱っているかどうかで対応量が大きく変わってくるでしょう。
16歳未満の利用者が想定されるサービスでは、同意取得や通知の相手方を法定代理人とする対応も欠かせません。年齢確認の仕組みや同意フローの設計を、施行前に見直しておきましょう。
さらに、課徴金制度を踏まえた社内の発見・報告体制の整備にも注意が必要です。万が一不正な取扱いがあった場合に備えて、現場から経営層まで速やかに情報が上がるフローを作っておくことが大切です。
