改正個人情報保護法（2026年）のポイント

（1672×941 ピクセル, 183 Kbyte）

2026年（令和8年）改正の全体像
医療研究・AI開発のためのデータ利活用
子どもの個人情報
特定生体個人情報
委託先とサプライチェーン管理
連絡可能個人関連情報
オプトアウトと漏えい通知
実効性の確保と罰則
これまでの記事との関係
施行に向けた今後の動き
参考サイト

2026年改正の全体像

2026年（令和8年）7月10日、改正個人情報保護法が成立し、7月17日に「個人情報の保護に関する法律等の一部を改正する法律」（令和8年法律第56号）として公布されました。2022年（令和4年）の全面施行後に行われた「3年ごと見直し」にもとづく12項目の改正で、データを社会で役立てやすくする緩和策と、被害を受けやすい人や悪質な取扱いへの強化策を組み合わせています。

施行は、一部の規定が2027年（令和9年）1月17日、主要な規定は公布から2年以内（2028年7月16日まで）の政令で定める日です。前回2020年（令和2年）改正のスケジュールにならえば、施行は2028年（令和10年）春ごろになると見込まれます。要件の細部は政令、規則、ガイドラインで決まるため、事業者は施行日と対応内容を継続して確認する必要があります。

医療研究・AI開発のためのデータ利活用

大量の情報から傾向や性質を導く行為が統計作成等として新たに定義されました。この目的に限り、提供元と提供先の名称、行おうとする統計作成等の内容を公表し、書面で根拠を明示すれば、本人の同意なく個人情報を第三者へ提供できます。提供先は公表した内容以外に使えず、委託や共同利用以外の再提供もできません。

現に公開されている要配慮個人情報も、取得者の名称と統計作成等の内容を公表すれば、同意なく取得できるようになりました。ただし公表した内容以外に使うことはできず、個人データに当たらない場合でも安全管理措置、従業者の監督、委託先の監督の義務を負います。公開情報なら何に使ってもよいという制度ではありません。

学術研究機関等の定義に「病院その他の医療の提供を目的とする機関又は団体」が明記され、大学病院以外の市中病院も学術研究の例外を使えることが明確になりました。多数の症例を分析する研究や希少疾患の研究が進めやすくなる一方、研究目的の限定、安全管理、審査体制、成果から本人を特定できない工夫は引き続き必要です。

なお、統計作成等の特例は第三者提供の禁止（法第27条第1項）の例外事由そのものではないため、外国にある第三者への提供や確認記録義務については別に検討する必要があります。データを商品広告、採用、保険料算定など個人への決定や働きかけに転用すれば、特例の前提から外れます。

子どもの個人情報

16歳未満が本人である場合、通知や同意の取得は法定代理人（親権者等）に対して行うことが明文化されました。あわせて、未成年者の個人情報等の取扱いでは本人の最善の利益を優先して考慮する責務規定が置かれ、ターゲティング広告や行動追跡への利用に歯止めがかかります。子ども本人にも、発達段階に応じた分かりやすい説明が必要です。

ただし、16歳未満のものであることを知らないことに正当な理由がある場合、法定代理人が本人の営業を許可していた場合、法定代理人がいない場合などは例外です。子どもの個人情報を積極的に集めていない事業者も、「知らないことに正当な理由がある」といえる取得の手順を用意しておく必要があります。

また、16歳未満が本人であれば、法令違反などの要件がなくても利用停止等や第三者提供の停止を請求できます。ただし、あらかじめ法定代理人の同意を得て取得した場合、法定代理人などが公開していた情報である場合、本人が16歳以上と信じさせる詐術を用いた場合などは例外です。特定の保有個人データだけを消去できるデータの持ち方をしていないと、請求への対応が難しくなります。

学校、ゲーム、SNS、学習アプリでは、年齢確認の方法自体が過剰な情報収集にならない配慮も必要です。年齢を確かめるために身分証の画像や顔の映像を集めれば、別の規律が働きます。子ども向けサービスや、利用者に未成年が含まれ得る事業者は、法定代理人と接点を持てる取得の流れを作ることになります。

特定生体個人情報

顔の特徴量など、身体の一部の特徴を符号に変換して本人を識別できる情報が特定生体個人情報として定義されました。対象は、特別な技術や多額の費用を要しない方法で取得でき、かつ取得されていることを本人が容易に認識できない特徴を政令で定めたものです。施設のカメラが撮影した映像から顔特徴データを抽出する用途が典型例です。

事業者は、特定生体個人情報を取り扱うこと、その利用目的、変換元となる身体的特徴の内容、開示等の請求に応じる手続などを、あらかじめ本人に通知するか、本人が容易に知り得る状態に置く必要があります。プライバシーポリシーへの掲載で足りるのか、施設内の掲示が必要かは、今後の個人情報保護委員会規則で定まります。

本人は、違法な取扱いがなくても、原則として利用停止等や第三者への提供の停止を請求できます。作成や取得について本人の同意を得ていた場合は例外ですが、施設のカメラで不特定多数の顔特徴データを扱う場合、同意を得ているケースは多くありません。オプトアウトによる第三者提供も禁止されました。

顔認証はパスワードと違って簡単に交換できません。漏えいが起きる前に、収集する範囲、保存期間、照合先、削除の方法、請求を受けたときに個々のデータを消せるかどうかを決めておくことが重要です。

委託先とサプライチェーン管理

個人データの取扱いの委託を受けた事業者は、委託された個人情報を業務の遂行に必要な範囲を超えて取り扱ってはならないことが条文で義務づけられました。これまでガイドラインの解釈で示されていた内容が法律に書かれた形です。SaaS、クラウド、コールセンター、システム開発会社は、委託元との契約だけでなく、自ら法令に適合する体制を整える必要があります。

一方で、取扱いの方法を契約で具体的に定め、事故や契約違反を知ったときは委託元へ速やかに報告することなどを取り決めた場合、委託先には安全管理措置、漏えい等報告、範囲外利用の禁止などが適用され、利用目的の通知・公表といった多くの規律は免除されます。委託元の指示どおり機械的に取り扱うだけの委託先を想定した仕組みです。

委託元も責任を手放せるわけではありません。データの保管国、再委託先、管理者権限、ログ、バックアップ、削除、事故連絡を一覧化し、契約と実態を定期的に確かめます。加えて、個人情報保護委員会が、違反行為に用いられる役務の提供者に対して中止のために必要な措置をとるよう要請できる根拠規定も設けられました。

連絡可能個人関連情報

住所、電話番号、電子メールアドレス、Cookie IDなど、特定の個人へ連絡や情報の伝達ができる個人関連情報が連絡可能個人関連情報として定義され、不適正な利用と不正な取得が禁止されました。それ自体は個人情報に当たらない情報でも規律の対象になる点が重要です。

容易に照合できる他の情報と結びつけて住所や電話番号を特定できる情報も含まれます。たとえば住所と容易に照合できる形で保管された購買履歴や閲覧履歴も対象です。相談内容は第三者へ渡さないと約束しながら、メールアドレスと健康状態の情報を広告目的で第三者へ提供する行為などが、不適正利用の例として想定されています。

オプトアウトと漏えい通知

本人の求めに応じて提供を止めることを前提に、同意なしで第三者提供するオプトアウト制度では、届出をした事業者に、提供先の身元と利用目的を確認する義務が課されました。名簿や広告データの流通では、届出の有無だけでなく、誰から入手し、誰へ渡り、どの目的で使われるのかを追跡できる管理が重要です。前述のとおり、特定生体個人情報はオプトアウトによる提供ができません。

漏えい時の本人通知については、本人への通知が難しい場合に加えて、「通知が行われなくても本人の権利利益の保護に欠けるおそれが少ない場合」にも代替措置で足りることになりました。社内でしか意味を持たない識別子だけが漏えいした場合などが想定されています。通知義務そのものが弱まるわけではありません。

委員会への報告についても、第三者の確認を受けることを前提に速報を一部免除したり、本人が1名の誤交付・誤送付を一定期間ごとにまとめて確報したりする扱いが検討されています。他方、違法な第三者提供を報告対象とする方向も示されています。事故対応計画には、委託先からの速報、影響範囲の確認、委員会への報告、本人通知の判断を含めます。

実効性の確保と罰則

個人情報の違法な取扱いによって財産上の利益を得た事業者に対する課徴金制度が導入されました。額は、対象となる行為、または行為をやめることの対価として得た金銭などの財産上の利益に相当する額です。過去に課徴金納付命令を受けた事業者には1.5倍が課され、自ら違反の事実を報告した場合は50％が減額されます。

対象は、違法行為や不当な差別的取扱いが想定される相手への個人情報の提供、そうした相手の求めに応じた利用、同意のない第三者提供、統計作成等の特例に反する取扱い、不正の手段で取得した個人情報の利用に限られます。さらに、違反防止のための相当の注意を怠っていなかった場合、本人の数が1,000人を超えない場合、権利利益を害する程度が大きくない場合は対象外です。漏えいを起こしただけで課されるものではありません。

罰則も強化されました。個人情報データベース等不正提供罪は、加害の目的による提供も処罰の対象となり、法定刑が引き上げられます。詐欺、暴行、脅迫、窃盗、不正アクセスなどにより個人情報を不正に取得する行為への罰則も新設されました。なお、適格消費者団体等による差止請求・被害回復の制度は、今回の見直しでは導入が見送られています。

経営者は個人情報保護を担当部署だけの仕事にせず、データの棚卸し、リスク評価、教育、監査、経営会議への報告を続ける必要があります。特に本人1,000人を超える案件では、取得、利用、提供のそれぞれの場面で適法性を確認し、判断の記録を残す体制が課徴金のリスクを下げます。

これまでの記事との関係

個人情報保護法の適用除外と限界が示すように、個人情報保護法は情報の保有を一律に禁じる法律ではなく、利用のルールを定める法律です。2026年（令和8年）改正はこの考え方を進め、公益性の高い統計作成や研究では利用を広げ、子ども、生体情報、悪質なデータ取引には強い規律を置きました。古い記事にある「5千件基準」などは、その後の改正で変わっている点にも注意が必要です。

個人情報保護法改正とビッグデータで扱ったデータ利活用は、統計作成等の特例によって次の段階へ進みました。ただし、個人への働きかけを目的としないこと、提供先で公表内容以外に使わせないことが条件です。AI学習データに含まれる個人情報が指摘する学習データの危険に対しても、公開されている要配慮個人情報の取得条件、委託先の義務、課徴金が新たな歯止めになります。

AI音声クローン詐欺の仕組みと対策で取り上げた声のように、身体に由来する情報は後から変更できません。特定生体個人情報は、どの身体的特徴を対象とするかを政令で定める仕組みのため、自社が扱うデータが規律の対象になるかどうかは政令の内容を確認する必要があります。

施行に向けた今後の動き

いわゆる3年ごと見直しの経緯では、2023年（令和5年）11月からの実態把握、ヒアリング、中間整理、制度改正方針、法律案までの資料が公開されています。法律の公布で作業が終わるわけではありません。個人情報保護委員会は、施行に必要な政令、規則、ガイドラインを整備し、施行後も技術や被害の変化を踏まえて制度を見直します。

前回2020年（令和2年）改正のスケジュールにならえば、2026年（令和8年）末ごろまでに施行令・規則案、2027年（令和9年）にガイドラインや質疑応答集、続いて分野別ガイドラインが公表されると見込まれます。事業者は公開資料と意見募集を継続して確認し、規則やガイドラインの案が出た段階で自社の手順を見直すことになります。

JIPDECの発表によると、JIPDECは2026年（令和8年）7月22日、法令やガイドラインの整備状況を踏まえ、プライバシーマークの審査と個人情報保護マネジメントシステムの構築・運用に対応すると公表しました。Pマーク取得事業者は、指針改定を待つだけでなく、子ども・生体情報の有無、AI利用、委託先一覧、オプトアウト、事故通知の手順を先に点検しておくとよいでしょう。