この記事の結論
- 改正法は2026年7月10日に成立。施行日は未定だが、遅くとも2028年7月16日までに施行される。
- 課徴金制度の新設と罰則の引上げに加えて、16歳未満の子どもの個人情報、顔認証データ等の生体情報、委託先による取扱い、メールアドレス等の連絡先情報について規律が強化される。
- 統計作成やAI開発を目的とする第三者提供は、一定の条件のもとで本人の同意が不要となる。
- 企業に求められる対応として、委託契約の再確認、子どもの個人情報・顔認証データ等を扱う業務の把握、広告・分析に用いる識別子の利用実態の確認が必要となる。
個人情報保護法の3年ごと見直しに基づく改正法が、2026年7月に成立・公布されました。
データの利活用を後押しする規定と、企業への規制を強める規定の両方が盛り込まれています。
この記事では、大阪で企業法務を扱う弁護士が、「いつから施行されるのか」「何が変わるのか」「自社は何をすべきか」という3つの疑問について、改正のポイントを解説します。
改正個人情報保護法はいつから施行される?
主要な改正規定は、公布日の2026年7月17日から起算して2年を超えない範囲内で政令が定める日に施行されます。
2026年9月時点で具体的な施行日は未定ですが、遅くとも2028年7月16日までに施行されます。
罰則に関する一部の規定は、公布から6か月後の2027年1月17日に先行して施行されるとされています。
施行までに時間はあるものの、法改正に対応するための社内規程や契約書の見直しには相応の期間がかかるため、早めの着手が望まれます。
2026年改正で何が変わる?企業実務に影響する5つの改正点
1.統計作成・AI開発のための第三者提供は同意が不要となる(規制緩和)
AI開発などを含む統計情報等の作成にのみ利用されることが担保されている場合、個人データの第三者提供に本人の同意が不要となります。
ただし、提供先が個人情報取扱事業者や行政機関等に限られること、統計作成等のみを目的とする提供である旨を提供元と提供先が書面で合意すること、双方が事業者名や実施内容をあらかじめ公表していることなどの条件を満たさなければなりません。
提供を受けたデータを統計化せずに販売したり、広告配信に利用したりすれば、課徴金の対象になります。
2.16歳未満の子どもの個人情報は法定代理人の同意が原則になる(規制強化)
16歳未満の子どもの個人情報については、同意の取得や通知の相手方を原則として法定代理人とすることが明文化されます。
子どもの保有個人データは、事業者側に法令違反がない場合でも利用停止等を請求できるようになる点も見逃せません。
子ども向けのサービスやアプリを提供している企業は、年齢確認と保護者の同意を取得フローを設計し直す必要があります。
3.顔認証データなど「特定生体個人情報」の規律が新設される(規制強化)
顔特徴データ等のうち政令で定めるものは、特定生体個人情報として新たな規律の対象となります。
取り扱う事業者には事業者名や利用目的などの周知義務が課され、本人は法令違反の有無を問わず利用停止等を請求できるようになります。
オプトアウト制度による第三者提供も禁止されるため、顔認証や入退管理の仕組みを運用している企業は運用の見直しが必要です。
4.委託先にも直接の義務が課される(規制強化)
改正後は、委託先が委託された業務の遂行に必要な範囲を超えて個人データを取り扱うことが、法律上明確に禁止されます。
また、委託先が委託元の指示に従って機械的に個人データを取り扱うにとどまり、取扱方法を決定する権限を有しない場合には、委託契約で取扱方法などについて合意していることを条件に、委託先に対する一部の義務が適用されない仕組みも設けられています。
この仕組みを利用できるかどうかは委託契約の内容によるため、契約書の見直しが必要になります。
5.「連絡可能個人関連情報」という区分が新設される(規制強化)
住所や電話番号、メールアドレス、Cookie IDのように、特定の個人へ連絡その他の情報の伝達を行うことができる情報を含む個人関連情報は、連絡可能個人関連情報として新たに定義されます。
この情報については、違法または不当な行為を助長するおそれのある方法での利用と、不正な手段による取得が禁止されます。
仮名加工情報や匿名加工情報にも同様の規律が準用される点に注意が必要でしょう。
課徴金制度と罰則強化|違反するとどうなる?
個人情報保護法に初めて課徴金制度が導入される
個人情報保護法として初めて、課徴金制度が導入されます。
納付命令が出される主な要件は、次のとおりです。
- 不適正な利用、不正の手段による取得、本人の同意のない第三者提供、統計作成等の特例に違反する利用・提供といった対象行為があること
- その行為により、個人の権利利益が侵害され、または侵害される具体的なおそれが生じていること
- その行為の対価として財産上の利益を得ていること
ただし、対象行為を防止するための相当の注意を怠ったとは認められない場合や、対象となる本人が1,000人以下の場合など、一定の場合には課徴金納付命令の対象外となります。
課徴金の額は、違反行為またはその中止の対価として得た財産上の利益に相当する額として算定されます。
個人情報保護委員会の調査が始まる前に違反の事実を自ら報告した場合には課徴金の額が50%減額され、反対に過去10年以内に納付命令を受けたにもかかわらず違反を繰り返した場合には算定額の1.5倍に加算されます。
このため、社内で違反を早期に把握し、自主的に報告できる体制が重要になるでしょう。
不正提供罪の法定刑引上げと不正取得罪の新設される
個人情報データベース等の不正な提供に対する罰則が、1年以下の拘禁刑または50万円以下の罰金から引き上げられ、他人に損害を加える目的での提供も処罰の対象に加わります。
改正後の法定刑は2年以下の拘禁刑または100万円以下の罰金です。
不正の利益を得る目的や他人に損害を与える目的で、詐欺的な手段や不正アクセスによって個人情報を取得する行為への罰則(2年以下の拘禁刑または100万円以下の罰金)も新設されます。
企業が施行までに着手すべき対応
政令やガイドラインの公表はこれからですが、施行前に取り組みたい対応は、次の4点です。
- 委託契約の内容を点検し、取扱いの範囲と方法を明確にする
- 顔特徴データや16歳未満の子どもの個人情報を扱っている業務を洗い出す
- 広告や分析で利用している識別子の取得目的と利用実態を照合する
- 違反を早期に把握し、自主的に報告できる社内体制(相談窓口・報告ルート)を整える
いずれも実態の把握から始まるため、部署をまたいだ調査には時間がかかります。
2026年改正個人情報保護法に関するよくある質問
Q.改正個人情報保護法はいつから施行されますか。
A.主要な規定は、公布日(2026年7月17日)から2年以内の政令で定める日に施行されます。2026年9月時点で具体的な日付は決まっていませんが、遅くとも2028年7月16日までに施行されます。Q.課徴金はどのような場合に課されますか。
A.同意のない第三者提供や不正取得などの対象行為によって財産上の利益を得た場合で、対象となる本人が1,000人を超えるなど一定の要件を満たす場合に課されます。対象行為を防止するための相当の注意を怠っていない場合は対象外です。Q.中小企業にも影響がありますか。
A.はい。委託先としての直接の義務、連絡可能個人関連情報の規律、罰則の引上げは事業規模を問わず適用されます。顔認証や子ども向けサービスを扱う企業は特に注意が必要です。まとめ
2026年の改正は、データ利活用の後押しと規制の強化が同時に進む内容となっています。
澁谷・坂東法律事務所では、個人情報の取扱いに関する社内体制の整備についてご相談を承っております。
改正への対応にお悩みの方は、まずはお気軽にご相談ください。
