はじめに
令和8年7月17日、「個人情報の保護に関する法律等の一部を改正する法律」（令和8年法律第56号）が公布されました。今回の改正は、個人情報保護法のいわゆる「3年ごと見直し」に基づくものであり、課徴金制度の導入、特定生体個人情報（顔特徴データ等）に関する規律の新設、16歳未満の者に係る法定代理人の関与・利用停止等請求の特則と未成年者全般の最善の利益に関する責務、統計作成等のためのデータ利活用に関する特例の創設など、企業の個人情報管理の在り方に広く影響する内容を含んでいます。
改正法は、一部の規定を除き、公布の日から起算して2年を超えない範囲内において政令で定める日から施行されます。なお、罰則の強化に関する規定等は、公布の日から起算して6か月を経過した日（令和9年1月17日）に施行されます。施行までの間に、政令、規則、ガイドライン等が順次整備される予定です。
本稿では、改正の経緯と主な改正項目を整理したうえで、企業実務への影響と、施行までに準備しておくべき対応のポイントを解説します。
Q＆A
Q1. 改正個人情報保護法は、いつから施行されますか？
改正法は、原則として、公布の日（令和8年7月17日）から起算して2年を超えない範囲内において政令で定める日から施行されます。本稿執筆時点では、原則施行日は定められていません。ただし、罰則の強化に関する規定等は令和9年1月17日に施行されます。課徴金制度への対応や社内規程・契約書類の見直しには相応の期間を要するため、原則施行日の確定を待たずに準備に着手することが望まれます。
Q2. 課徴金制度は、どのような場合に適用されますか？
対象行為は、①違法行為又は不当な差別的取扱いを行うことが想定される第三者への個人情報の提供等、②偽りその他不正の手段による取得、③本人の同意を欠く違法な第三者提供、④統計作成等の特例に基づき取得・提供した情報の目的外利用又は許されない第三者提供等です。対象行為又はその中止の対価として金銭等を得た場合で、本人の権利利益が侵害され、又は侵害される具体的なおそれがあり、対象となる本人が1,000人を超えるなどの要件を満たすとき、原則として当該対価に相当する額の課徴金が命じられます。相当の注意を怠っていない場合等は対象外です。
Q3. 中小企業にも影響はありますか？
あります。個人情報保護法は、取り扱う個人情報の規模を問わず、個人情報データベース等を事業の用に供しているすべての事業者に適用されます。今回の改正により、防犯カメラ・顔認証システムの運用、16歳未満の子どもの個人情報の取扱い、個人データの取扱いの委託などの場面で、中小企業においても、プライバシーポリシーや社内規程、委託契約の見直しが必要となる可能性があります。
解説
1. 改正の経緯――いわゆる「3年ごと見直し」
個人情報保護法については、令和2年改正法の附則において、施行後3年ごとに、施行の状況等について検討を加え、その結果に基づいて必要な措置を講ずる旨の規定が置かれています。個人情報保護委員会は、この規定に基づく検討を進め、令和8年1月9日に「個人情報保護法 いわゆる3年ごと見直しの制度改正方針」を公表しました。
これを踏まえた改正法案は、令和8年4月7日に閣議決定のうえ国会に提出され、同年7月10日に成立し、同月17日に公布されました。今回の改正は、本人の権利利益の保護を強化する規律と、データ利活用を促進するための規律の合理化の双方を含む点に特徴があります。
2. 課徴金制度の導入
今回の改正のうち、企業実務への影響が大きいものの一つが、課徴金制度の導入です。対象行為は、（1）個人情報を利用して違法行為又は不当な差別的取扱いを行うことが想定される第三者への提供等、（2）偽りその他不正の手段による取得、（3）本人の同意を欠く違法な第三者提供、（4）統計作成等の特例に基づき取得・提供した情報の目的外利用又は許されない第三者提供等です。課徴金は、対象行為又はその中止の対価として得た金銭等に相当する額が基礎となり、本人の権利利益の侵害又はその具体的なおそれ、対象となる本人が1,000人を超えること等が要件となります。対象行為を防止するための相当の注意を怠っていない場合等には、課徴金は命じられません。
また、一定の再違反について課徴金額を加算する仕組みと、個人情報保護委員会による調査開始を予知する前に違反事実を自主報告した場合の減額の仕組みが法定されています。したがって、違反の予防に加え、問題発覚後の初動対応も重要です。課徴金の算定基礎と主要な手続は法律に規定されており、実務運用の詳細は今後の政令・個人情報保護委員会規則等で具体化される予定です。
3. 特定生体個人情報（顔特徴データ等）に関する規律
身体の一部の特徴に係る情報を変換した一定の個人識別符号が含まれる「特定生体個人情報」について、新たな規律が設けられました。具体的には、利用目的等の一定事項の事前通知又は本人が容易に知り得る状態への掲載、本人による利用停止等請求の要件の緩和、オプトアウト制度による第三者提供の禁止などが定められています。対象となる身体的特徴・個人識別符号の具体的範囲は政令等で定められます。
防犯カメラと連動した顔認証システムを運用する企業や、入退室管理・本人認証に生体情報を用いる企業においては、自社が取り扱う情報に政令等で指定される特定生体個人情報が含まれるかを整理したうえで、周知方法や本人からの請求への対応手順を見直す必要があります。
4. 16歳未満の者・未成年者の個人情報
16歳未満の者の個人情報については、一定の例外を除き、同意取得や通知等に法定代理人を関与させることが明文化されるとともに、利用停止等請求の要件が緩和されました。他方、年齢・発達の程度に応じて最善の利益を優先して考慮し、権利利益を害しないために必要な措置を講ずる努力義務は、16歳未満に限らず未成年者全般の個人情報等の取扱いに及びます。法定代理人にも、同意や開示等請求に当たり本人の最善の利益を優先して考慮する義務が課されます。
子ども向けのサービスやアプリを提供する企業だけでなく、会員登録等を通じて結果的に16歳未満の子どもの個人情報を取得し得る企業においても、年齢確認の方法、同意取得の流れ、プライバシーポリシーの記載を点検することが求められます。
5. データ利活用の促進――統計作成等の特例と本人関与の見直し
規律の合理化の面では、①現に公開されている要配慮個人情報を統計作成等のために本人同意なく取得する特例と、②個人情報・個人関連情報を統計作成等のために本人同意なく第三者提供する特例が設けられました。AI開発も、法令上の「統計作成等」に該当し、個人情報保護委員会規則で定める範囲に限って対象となり得ます。取得者・提供元・提供先には一定事項の公表が求められ、第三者提供では書面又は電磁的記録による合意も必要です。取得者・提供先による公表目的外の利用や、一定の場合を除く第三者提供は禁止されます。
また、本人との契約履行のため必要やむを得ないことが明らかな場合など、取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかであり、個人情報保護委員会規則で定める場合には、同意を不要とする見直しも行われています。医療機関等が学術研究機関等に明示的に位置付けられるなど、医療・研究分野におけるデータ利活用にも影響する内容が含まれています。
6. 委託先管理・漏えい等報告・個人関連情報
個人データ等の取扱いの委託については、委託先が委託業務の遂行に必要な範囲を超えて取り扱ってはならないことが明文化されました。他方、委託先が取扱方法を自ら決定せず指示どおりに機械的処理のみを行う場合には、委託契約で取扱方法の全部と、委託元が取扱状況を把握するために必要な措置等を定め、契約どおりに取り扱うこと等を条件に、法の一部規定を適用しない仕組みが設けられました。ただし、委託業務の範囲を超える取扱いの禁止や安全管理に関する義務は引き続き適用されます。
漏えい等報告・本人通知については、本人通知がなくても権利利益の保護に欠けるおそれが少ないと個人情報保護委員会規則で定める場合の通知義務の緩和や、認定個人情報保護団体などの第三者による体制・手順等の事前確認を受けること等を前提とした一定範囲の速報免除など、実務負担の合理化が図られます。他方、違法な第三者提供が報告対象に追加されます。あわせて、住所、電話番号、メールアドレス、Cookie ID等の記述等を含む「連絡可能個人関連情報」について、不適正利用や偽りその他不正の手段による取得を禁止する規律が設けられました。
7. 監督・罰則の強化
個人情報保護委員会による監督についても、個人の重大な権利利益の侵害が切迫し、緊急に措置をとる必要がある場合に、勧告を前置せず緊急命令を発することを可能とする要件の拡大や、勧告・命令の内容に本人への事実の通知・公表等を加える見直しなど、強化が図られています。また、措置命令に従わない事業者の違反行為に関与する役務提供者等に対し、委員会が必要な措置を要請できる制度も設けられました。
刑事罰についても、個人情報データベース等の不正提供等及び保有個人情報の不正提供等の法定刑が、1年以下の拘禁刑又は50万円以下の罰金から、2年以下の拘禁刑又は100万円以下の罰金に引き上げられ、加害目的の提供も処罰対象に加わりました。また、自己・第三者の不正な利益を図る目的又は加害目的で、詐欺、暴行、脅迫、不正アクセス等により個人情報を取得する行為について、2年以下の拘禁刑又は100万円以下の罰金とする新たな罰則が設けられました。
8. 企業実務への影響と施行までの準備
以上の改正を踏まえ、企業においては、施行までの間に、次のような準備を進めることが考えられます。
| 検討事項 | 主な対応 |
|---|---|
| 現状の把握 | 取り扱う個人情報等の棚卸し（特定生体個人情報、未成年者の個人情報、連絡可能個人関連情報の有無の確認を含む） |
| 規程類の見直し | プライバシーポリシー、個人情報取扱規程、周知文書の改訂 |
| 契約の見直し | 委託契約における業務範囲、再委託、監督に関する条項の点検 |
| 体制の整備 | 漏えい等発生時の報告・通知フローの整備、課徴金制度を見据えた初動対応体制の構築 |
| 教育・周知 | 従業員研修の実施、関係部門への改正内容の周知 |
原則施行日、課徴金制度の実務運用、特定生体個人情報や統計作成等の具体的範囲等の詳細は、今後の政令、規則、ガイドライン等で定められる予定です。個人情報保護委員会の公表資料等により最新の動向を確認しながら、段階的に対応を進めることが重要です。
弁護士に相談するメリット
改正個人情報保護法への対応にあたっては、法令の正確な理解と自社の実情に応じた優先順位付けが必要となります。弁護士に相談することには、次のようなメリットがあります。
自社への影響を正確に把握できる
改正項目は多岐にわたりますが、企業ごとに影響の大きい項目は異なります。弁護士に相談することで、自社の事業内容やデータの取扱状況を踏まえ、対応すべき事項と優先順位を整理することができます。
規程・契約書類の見直しを法改正に即して進められる
プライバシーポリシー、個人情報取扱規程、委託契約書等の見直しにあたっては、改正法の条文や今後公表されるガイドラインとの整合性の確認が必要です。弁護士の関与により、法的根拠を踏まえた過不足のない改訂が可能となります。
漏えい等の発生時にも一貫した対応が可能となる
弁護士法人長瀬総合法律事務所では、平時の体制整備から、漏えい等が発生した場合の報告・本人通知・行政対応まで、一貫した支援を行っています。課徴金制度の導入により、問題発覚後の初動対応の重要性は一層高まっており、平時から相談できる体制を持つことが有益です。
まとめ
本稿の内容を整理すると、以下のとおりです。
- 令和8年7月17日、改正個人情報保護法（令和8年法律第56号）が公布されました。原則として、公布の日から起算して2年を超えない範囲内において政令で定める日から施行されますが、罰則の強化に関する規定等は令和9年1月17日に施行されます。
- 課徴金制度の導入、特定生体個人情報（顔特徴データ等）に関する規律、16歳未満の者に係る特則と未成年者全般の最善の利益に関する責務、委託先・漏えい等報告・連絡可能個人関連情報に関する規律の整備、監督・罰則の強化など、本人の権利利益の保護を強化する改正が行われました。
- 他方で、統計作成等の特例の創設や本人の同意に関する規律の見直しなど、データ利活用を促進するための合理化も図られています。
- 企業においては、取り扱う個人情報の棚卸し、プライバシーポリシー・社内規程・委託契約の見直し、漏えい等発生時の対応体制の整備を、施行前の段階から計画的に進めることが重要です。
弁護士法人長瀬総合法律事務所では、改正個人情報保護法への対応に関するご相談を承っております。自社への影響の把握や規程類の見直しをご検討の際は、どうぞお気軽にご相談ください。
なお、本稿は令和8年8月10日時点の公表情報に基づいています。施行日や制度の詳細は今後の政令、規則、ガイドライン等により定められるため、最新の情報は個人情報保護委員会のウェブサイト等をご確認ください。
リーガルメディアTV｜長瀬総合YouTubeチャンネル
弁護士法人長瀬総合法律事務所では、様々な分野の法的問題を解説したYouTubeチャンネルを公開しています。ご興味をお持ちの方は、ぜひこちらのチャンネルのご視聴・ご登録もご検討ください。
NS News Letter｜長瀬総合のメールマガジン
当事務所では最新セミナーのご案内や事務所のお知らせ等を配信するメールマガジンを運営しています。ご興味がある方は、ご登録をご検討ください。
ご相談はお気軽に｜全国対応
長瀬総合法律事務所は、お住まいの地域を気にせず、オンラインでのご相談が可能です。あらゆる問題を解決してきた少数精鋭の所属弁護士とスタッフが、誠意を持って対応いたします。
トラブルを未然に防ぐ｜長瀬総合の顧問サービス
企業が法的紛争に直面する前に予防策を講じ、企業の発展を支援するためのサポートを提供します。
複数の費用体系をご用意。貴社のニーズに合わせた最適なサポートを提供いたします。