令和8年改正個人情報保護法の成立

「個人情報の保護に関する法律等の一部を改正する法律」が2026年7月10日に成立し、7月17日に公布されました（令和8年法律第56号）。課徴金制度の導入を含む、民間部門の実体規律としては令和2年改正以来の大きな見直しです。

改正の全体像は、個人情報保護委員会が公表した改正法の概要資料にまとめられています（同委員会の令和8年 改正個人情報保護法についてに、法律本文や新旧対照表とあわせて掲載されています）。

改正の全体像

改正内容は5つの区分に整理できます。

規律の本体は、公布から2年を超えない範囲内で政令が定める日から施行されます（附則1条本文）。個人情報保護委員会が2026年7月31日に公表した今後の取組では、政令・委員会規則・ガイドライン等の検討と意見募集を経て2028年春から7月頃に施行するという、現時点での大まかな見込みが示されています。これに対し、罰則の改正と公示送達のデジタル化は、公布から6か月を経過した2027年1月17日に先行して施行されます（附則1条3号）。

影響が重いのは、課徴金制度の導入と、特定生体個人情報および16歳未満の個人情報に関する新たな義務です。一方で統計作成等の特例と同意要件の緩和は、これまで同意の取得が壁になっていた場面を動かします。強化と緩和が同じ改正に含まれているため、片方だけを見て対応を決めることはできません。

データ利活用の推進

統計作成等の特例（30条の2、31条の3）は、一定の条件のもとで、現に公開されている要配慮個人情報の取得、個人データの第三者提供、提供先で個人データとして取得されることが想定される個人関連情報の第三者提供について、本人同意を不要とするものです。複数の事業者が持つデータを横断的に解析する場面が想定されています。

ここでいう「統計作成等」は、大量の情報を解析して「当該大量の情報の傾向又は性質に係る情報（個人に関する情報であるものを除く。）を作成する行為」のうち、個人の権利利益を害するおそれが少ないものとして委員会規則で定めるものと定義されました（2条13項）。概要資料にある「統計作成等であると整理できるAI開発等を含む」という表現は、AI開発一般がこの特例に乗るという意味ではありません。解析の結果として個人に関する情報を作り出す類型は、定義から外れます。

特例には、一定事項の公表、目的に必要な範囲を超えた取扱いの禁止、第三者提供の制限といった条件が付きます。第三者に提供する特例では、提供元と提供先の双方による公表と、特例に基づく提供である旨を明記した書面（電磁的記録を含む）による合意も必要です。これらのうち一部の違反は課徴金の対象に組み込まれています（後述）。緩和と制裁が一体で設計されている点は、特例に依拠する前提で開発計画を立てる場合に見落とせません。

同意の要件も緩和されます。生命身体財産の保護や公衆衛生の向上等のために取り扱う場合の「本人の同意を得ることが困難であるとき」に「その他本人の同意を得ないことについて相当の理由があるとき」が加わりました。また、本人との契約の履行のために必要やむを得ないことが明らかである場合など、取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかな場合として委員会規則で定める場合も、同意が不要になります。学術研究例外の「学術研究機関等」に病院その他の医療の提供を目的とする機関・団体が含まれることも明示されました。

リスクに対応した規律

16歳未満の者については、同意取得や通知等に法定代理人の関与が義務づけられ、一定の例外を除き、違法行為の有無を問わない利用停止等請求が可能になります。あわせて、未成年者の個人情報等の取扱いについて、年齢と発達の程度に応じて最善の利益を優先して考慮したうえで、その権利利益を害することがないよう必要な措置を講ずる努力義務が置かれます（58条の3）。

顔の特徴量については「特定生体個人情報」が新設されました。特別の技術や多額の費用を要しない方法で取得でき、取得されていることを本人が容易に認識できない身体の一部の特徴に係る情報として政令で定めるものを、本人を識別できるように変換した符号が「特定生体個人識別符号」で、これを含む個人情報が特定生体個人情報です。顔が写った画像一般ではなく、本人を識別する目的で抽出・変換された顔特徴データなどが想定されており、対象範囲は政令に委ねられています。該当する場合は、事業者名や利用目的、開示等の請求に応じる手続等の周知が義務づけられ（21条の2）、オプトアウト制度に基づく第三者提供は禁止されます。顔識別機能付きの防犯カメラや顔認証型の入退室管理は、該当する可能性を前提に棚卸しすべき対象になります。

委託については、受託者に対し、委託された業務の遂行に必要な範囲を超えて個人情報を取り扱ってはならない義務が明文化されました（30条の3）。他方、委託契約に委員会規則で定める事項（取扱いの方法、漏えい等の事態・委託範囲を超えた取扱い・契約違反を知ったときの委託元への報告など）が定められ、取扱いがその定めに従い委託業務に必要な範囲内で行われるときは、当該受託個人情報等の取扱いについて、第2節から第4節までの規定が原則として適用されません（58条の2）。委託元の指示した方法で機械的に処理する類型が典型例です。ただし安全管理措置（23条）、従業者・委託先の監督（24条、25条）、漏えい等の報告（26条）など、条文が除外として列挙したものは引き続き適用されます。クラウド利用について従来行ってきた整理（個人データのクラウド環境への格納と個人情報保護法）を置き換えるものではなく、委託に当たる場合に受託者側へ及ぶ義務の範囲が変わるという関係です。

漏えい等が発生した場合の本人への通知は、通知が困難な場合に加えて、通知が行われなくても本人の権利利益の保護に欠けるおそれが少ない場合として委員会規則で定める場合にも、代替措置での対応が認められます（26条2項ただし書）。

不適正利用等の防止

個人関連情報のうち、特定の個人への連絡に利用できる記述等が含まれるものは「連絡可能個人関連情報」とされ、不適正利用と不正取得が禁止されます（31条の2）。従来、個人関連情報は一定の場合の第三者提供のみが規律の対象でした。

オプトアウト制度に基づいて第三者提供を行う事業者には、あらかじめ提供先の身元と利用目的を確認する義務が課されます（27条7項）。確認を求められた提供先が事項を偽ることは禁じられ、違反は過料の対象です（同条8項、186条）。いわゆる闇名簿の情報源を断つことが狙いとされています。

規律遵守の実効性確保

命令の要件が見直され、権利利益の侵害が切迫している場合に勧告を経ずに命令を発出できるようになります。本人に対する違反行為の事実の通知や公表を命令の内容とすることも可能になりました（148条）。

新設された課徴金は、違反行為で得た経済的利得を剥奪し、違反の経済的誘因を小さくするものです。押さえておくべきは、対象行為が限定列挙されている点です。違法な行為や不当な差別的取扱いが想定される第三者への個人情報の提供とその第三者の求めに応じた利用、27条1項に違反する個人データの第三者提供、統計作成等の特例に係る目的外利用と禁止された第三者提供、20条1項に違反して取得した個人情報の利用が挙げられているにとどまります（148条の3）。いずれも、違反行為またはそれをやめることの対価として財産上の利益を得たことが要件です。

したがって、安全管理措置義務（23条）違反は入っておらず、外部からの攻撃や過失による漏えいそれ自体は課徴金の対象になりません。特例についても、公表などの手続違反がそれ自体として対象になるわけではありません。

額は違反行為の対価として得た利益に相当する額で、上限額を定めて制裁するEUの一般データ保護規則とは設計が異なります。防止のための相当の注意を怠っていない場合は対象外となり、本人の数が1,000人を超えないときは納付を命じられません。過去10年以内に確定した課徴金納付命令を受け、その後も対象行為をしていた場合は1.5倍になり（148条の5）、調査を契機とせずに自ら報告したときは50パーセントが減額されます（148条の6）。

罰則・手続

罰則の改正は、前述のとおり2027年1月17日に先行して施行されます。半年後に動く部分がある点は、社内への周知の順序に関わります。

新設される不正取得罪の規定は次のとおりです。

第百八十条　自己若しくは第三者の不正な利益を図る目的で、又は本人、個人情報を保有する者その他の者に損害を加える目的で、人を欺き、人に暴行を加え、若しくは人を脅迫する行為により、又は財物の窃取若しくは損壊、施設への侵入、有線電気通信の傍受、不正アクセス行為（不正アクセス行為の禁止等に関する法律（平成十一年法律第百二十八号）第二条第四項に規定する不正アクセス行為をいう。）その他の個人情報を保有する者の管理を害する行為により、個人情報を取得したときは、当該違反行為をした者は、二年以下の拘禁刑又は百万円以下の罰金に処する。
２　前項の規定は、刑法（明治四十年法律第四十五号）その他の罰則の適用を妨げない。
出典: 個人情報の保護に関する法律（令和8年法律第56号による改正後・2027年1月17日施行）

刑法や不正アクセス禁止法上の犯罪に該当し得る行為を含め、個人情報保護法の側からも直接処罰する規定です。2項が刑法その他の罰則の適用を妨げないとしているため、同一の行為がこれらの犯罪にも該当する場合には、その成立もあわせて問題になります。どの罪が成立し、どのように処断されるかは罪数の問題として決まります。

政令を待たずに着手できること

政令と委員会規則が出るまで確定しない部分が多く、規程の改定内容を確定するのは先になります。それでも次の3点は待つ必要がありません。

第一に、取扱いの棚卸しです。顔特徴データを用いる仕組みがどこにあるか、16歳未満の個人情報を取得している接点があるか、委託先に何をどこまで任せているか。いずれも新設された規律が適用されるかどうかの前提になります。顔認証は施設の入退室管理や店舗の来客分析として導入され、法務部門が把握していないことがあります。

第二に、委託の仕分けです。58条の2の特例は契約に所定の事項を定めることが前提なので、現在の契約で取扱いの方法をどこまで特定しているかによって、受託者側に及ぶ義務の範囲が変わります。契約書の改定は委員会規則を見てからで足りますが、対象となる委託の洗い出しは先にできます。

第三に、課徴金の対象になり得る事実を見つけたときのエスカレーション手順です。148条の6による自己報告での減額は、その行為について調査が行われ、そのために課徴金納付命令があるべきことを予知してされた報告には適用されません。これは26条の漏えい等の報告とは別の制度で、報告の方法や事項は委員会規則で具体化されます。それでも、事実を把握してから報告に至るまでの経路、初動の判断者、証拠の保全、決裁権限は、規程と内部統制の問題として先に設計できます。

なお、衆参両院の附帯決議は、プロファイリングに係る規制の在り方と、団体による差止請求制度・被害回復制度について引き続き検討するよう求めています。今回の改正には盛り込まれず、継続検討事項として残されています。

ロジットパートナーズ法律会計事務所のサービス

当事務所では、規程・ポリシー整備において、個人情報の取扱規程や委託先管理の手順の見直しに対応しています。違反を発見したときの報告経路や初動の判断者を社内でどう定めるかも、あわせて扱います（内部統制構築）。

AI開発でのデータの取扱いの検討や、委託契約・特例に基づく提供の条項整備も同様です（AIガバナンス構築、契約書作成・レビュー）。特例の適用の可否など、制度の適用関係について書面で見解を示す必要があるときは、意見書を作成しています（法律意見書）。社内の体制を整理するところから進めることもできます（法務コンサルティング）。