2026.07.23
2026年（令和8年）改正個人情報保護法の概要（第1回）
のぞみ総合法律事務所
弁護士 當舎 修
（IAPP認定資格者：CIPP/E/US、CIPM、 AIGP）
1 はじめに
2026年（令和8年）7月10日、「個人情報の保護に関する法律等の一部を改正する法律」（以下「本改正法」といいます。）が国会で可決・成立し、同月17日に公布されました[1]。
今回の改正は、個人情報を含むデータの利活用を一律に抑制するのではなく、権利利益を侵害するリスクが比較的低い取扱いについて同意規制を緩和する一方、子どもの個人データ、顔特徴データ、個人情報ではないものの連絡可能な情報等について規律を強化するものです。さらに、個人情報保護法として初めて課徴金制度が導入され、個人情報保護委員会の勧告・命令その他の執行手段も拡充されます。
本稿は、改正法を2回に分けて解説する第1回であり、改正の経緯・趣旨及び全体像を確認した上で、（Ⅰ）適正なデータ利活用の推進と（Ⅱ）リスクに適切に対応した規律に関する改正事項を取り上げます。第2回では、（Ⅲ）不適正利用等の防止と（Ⅳ）規律遵守の実効性確保に関する改正事項を取り上げた上で、事業者に求められる対応について解説します。
2 改正の経緯・趣旨及び施行時期
（1）いわゆる「3年ごと見直し」から法案成立まで
個人情報保護法には、3年ごとに施行状況を検討し、必要な措置を講ずる旨が定められています[2]。これを受け、個人情報保護委員会は2023年11月から見直しを開始し、2024年6月の中間整理、同年12月の検討会報告書、2025年3月の「制度的課題に対する考え方」、2026年1月の「制度改正方針」を経て、同年4月7日に法案が閣議決定・国会提出されました。
（2）改正の趣旨
個人情報保護委員会は、デジタル技術の急速な進展に伴い、個人情報を含むデータの利活用に対する需要が高まる一方、個人情報の違法な取扱いにより個人の権利利益が侵害されるリスクも高まっていることを改正の背景として挙げています。
したがって、今回の改正は単純な「規制緩和」又は「規制強化」ではなく、事業者においても、データ利活用と取扱いの厳格化の両面から対応を検討する必要があります。
（3）施行時期
改正法は、原則として、公布日から起算して2年を超えない範囲内において政令で定める日（遅くとも2028年7月）から施行されます（本改正法附則1条本文）。なお、罰則関係の改正事項は、公布の日から起算して6か月を経過した日から施行されます（同条3号）。
改正法には政令や個人情報保護委員会規則（以下「規則」といいます。）への委任事項が多く含まれており、改正法の施行日までにこれらの下位法令が整備されるものと見込まれます。また、個人情報保護法の解釈等について実務上重要な意義を有する各種ガイドラインについても、同様のスケジュールで改正が見込まれます。事業者における改正法への対応に当たっては、個人情報保護委員会から公表される資料やパブリックコメント手続など、今後の動向を注視することが望まれます。
3 改正内容の全体像
改正法の内容は、主に以下の4つの柱に分類される12の項目から成り立っています。
| 本改正の柱 | 改正項目（主な条文） |
| Ⅰ. 適正なデータ利活用の推進 | ① 統計作成等目的による同意取得義務の免除（統計作成等の特例）（第2条第13項、第30条の2、第31条の3）【緩和】 ② 同意取得に係る例外規定の要件の緩和（第16条第9項、第18条第3項、第20条第2項、第27条第1項）【緩和】 |
| Ⅱ. リスクに適切に対応した規律 | ③ 子どもの個人情報に係る規制の明確化及び厳格化（第35条第9項・第10項、第40条の2、第58条の3）【強化】 ④ 顔特徴データ等（特定生体個人情報）に係る規律の新設（第16条第5項、第21条の2、第27条第2項、第35条第7項・第8項）【強化】 ⑤ 委託を受けた事業者の規律の整備（第30条の3、第58条の2）【強化】 ⑥ 漏えい等発生時の本人通知義務の緩和（第26条第2項）【緩和】 |
| Ⅲ. 不適正利用等の防止 | ⑦ 特定の個人に対する働きかけが可能となる情報（連絡可能個人関連情報）への規制の強化（第2条第8項、第31条の2）【強化】 ⑧ オプトアウトによる提供先の身元及び利用目的の確認の義務化（第27条第7項・第8項、第29条第1項）【強化】 |
| Ⅳ. 規律遵守の実効性確保のための規律 | ⑨ 勧告及び命令の行使の柔軟化（第148条）【強化】 ⑩ 違反行為を補助等する第三者への措置の法定（第148条の2）【強化】 ⑪ 罰則の強化及び拡大（第176条～第186条）【強化】 ⑫ 課徴金制度の導入（第148条の3～第148条の17）【強化】 |
以下では、上記の12の改正項目のうち①から⑥までについて解説します。
4 適正なデータ利活用の推進
（1）統計作成等の特例（上記①）
ア 「統計作成等」の定義
改正法は、「統計作成等」を、統計の作成その他の大量の情報から当該情報を構成する要素に係る情報を抽出し、分類、比較その他の解析を行うことにより、当該大量の情報の傾向又は性質に係る情報（個人に関する情報であるものを除きます。）を作成する行為のうち、個人の権利利益を害するおそれが少ないものとして規則で定めるものと定義します（改正法2条13項）。
政府資料は、「統計作成等であると整理できるAI開発等」を含むと説明していますが、AI開発であれば当然に特例が利用できるわけではありません。最終成果が個人に関する情報ではないこと、取扱目的の全部が統計作成等を行う目的等であることのほか、具体的な対象範囲については、権利利益を害するおそれが少ない類型として今後規則で定められる内容に合致する必要があります。
イ 本人同意が不要となる取扱い
一定事項の公表その他の要件を満たすことを条件として、次の場面における本人同意が不要となります（改正法30条の2、31条の3）。
| ・ 現に公開されている要配慮個人情報の取得：自ら統計作成等を行う目的又は統計作成等を行う第三者へ提供する目的で、公開済みの要配慮個人情報を取得する場面 ・ 個人情報の提供：提供先が統計作成等を行う目的で取り扱う必要がある個人情報を、当該提供先へ提供する場面 ・ 個人関連情報の提供：提供先が統計作成等を行う目的で取り扱う必要がある個人関連情報を、当該提供先へ提供する場面 |
上記の「統計作成等を行う目的」は、当該目的の全部が統計作成等を行う目的である必要があります。また、提供先は、個人情報取扱事業者又は行政機関の長等に限定されます。外国にある提供先については、個人情報保護法上の措置に相当する措置を継続的に講ずるために必要なものとして規則で定める基準に適合する体制（基準適合体制）を整備している者であることが必要です。
ウ 特例利用の要件
統計作成等に関する特例を利用するためには、以下の要件を満たす必要があります。
| ・ 要配慮個人情報の取得の場合、事業者の氏名・名称、行おうとする統計作成等の内容その他規則で定める事項を、インターネットその他規則所定の方法で公表すること ・ 第三者提供の場合、提供元及び提供先の双方が事業者の氏名・名称、行おうとする統計作成等の内容その他規則で定める事項を公表し、当該提供が特例に基づくことを明確に定めた書面（電磁的記録を含みます。）による合意を締結すること ・公表事項は、取扱期間中は継続して公表し、変更時には原則としてあらかじめ所定事項の公表を行うこと ・ 原則として統計作成等又はそのための提供として公表した範囲を超える取扱いをしないこと ・ 特例により取得・提供された情報、その複製・加工情報について、法令に基づく場合、委託等の限定的な例外を除き、第三者への再提供をしないこと ・ 個人データに該当しない情報についても、安全管理措置、従業者・委託先の監督等を行うこと ・ 外国の基準適合体制を有する提供先に提供する場合、相当措置の継続的実施を確保し、その措置に関する情報を公表すること |
なお、国会における附帯決議では、他の情報と照合して特定の個人を識別することができないようにするための措置を確実に講ずることと併せて、統計作成等の概念が限定的に解釈され、実質的な適用範囲が狭められることのないよう留意することが求められています。また、統計作成等に係る事項の公表については、本人が容易に知り得る状態に置かれるよう、事業者や行政機関等において公表するのみならず、個人情報保護委員会においても状況の把握に努め、必要な情報を公表することが求められています[3]。
エ 特例に関する違反のペナルティ
特例に関する違反は、個人情報保護委員会による一般的な監視監督権限（指導、勧告及び命令）の対象となり得ることに加えて、一定の場合には新設された課徴金制度の対象となり得ます。
（2）同意取得に係る例外規定の拡大・緩和（上記②）
ア 本人の意思に反しないことが明らかな場合
目的外利用、要配慮個人情報の取得及び個人データの第三者提供について、現行法の下では原則として本人の同意を取得する必要があります。改正法では、これらの場面において、本人との間の契約の履行のために必要やむを得ないことが明らかである場合その他取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかである場合として規則で定める場合には、本人の同意が不要とされています（改正法18条3項7号、20条2項7号、27条1項8号）。
政府資料では、ホテル予約サイトから宿泊施設への予約者情報の提供、外国送金に必要な送金者情報の送金先金融機関への提供等が想定例として示されています。
なお、国会における附帯決議では、恣意的判断や濫用を防ぐため、対象を必要最小限とし、規則で具体的範囲・判断基準を明記することが求められています[4]。
イ 生命・身体・財産保護等の「同意取得困難性」要件の緩和
人の生命、身体又は財産の保護のために必要な場合、公衆衛生の向上又は児童の健全な育成の推進のために特に必要な場合について、現行法の「本人の同意を得ることが困難であるとき」に加え、「その他本人の同意を得ないことについて相当の理由があるとき」にも同意例外の対象となります。
ウ 学術研究機関等に医療機関を明示
「学術研究機関等」の定義に、病院その他の医療の提供を目的とする機関又は団体が含まれることが明示されました（改正法16条9項）。これにより、大学附属病院に限らず、市中病院等も、要件を満たす学術研究について、目的外利用、要配慮個人情報の取得及び個人データの第三者提供に係る学術研究例外に依拠し得ることが明確になります[5]。
5 リスクに適切に対応した規律
（1）子どもの個人情報に関する規制強化（上記③）
ア 同意・通知等の相手方を法定代理人に読み替え
現行法に関するQ&Aでは、一般に12歳から15歳までの年齢以下について法定代理人等の同意取得が求められる旨が示されています[6]。
この点、改正法は、16歳未満の者の個人情報を取り扱う場合、利用目的の通知、目的外利用・要配慮個人情報取得・第三者提供等の同意その他一定の規定における「本人」を「本人の法定代理人」に読み替えています（改正法40条の2）。したがって、これらの場合においては、法定代理人への通知や法定代理人からの同意取得が求められることとなります。
ただし、事業者において当該情報が16歳未満の者のものであることを知らないことについて正当な理由がある場合等の一定の場合は、読み替えの対象外とされています。
イ 16歳未満の本人による利用停止等請求
現行法では、違法な取扱いその他の要件を満たす場合のみ、保有個人データの利用停止等を請求することができます。
しかし、改正法において、16歳未満の本人は、これらの要件を満たさなくても、保有個人データの利用停止・消去及び第三者提供停止を請求できます（改正法35条9項・10項）。
ただし、当該保有個人データについて法定代理人の同意を得て取得した場合、本人との契約履行に必要やむを得ない場合その他規則所定の場合、本人が16歳以上であると信じさせるため詐術を用いた場合等は例外となります。
ウ 未成年者の「最善の利益」を優先する責務
16歳未満に限らず、未成年者の情報を取り扱う事業者は、年齢及び発達の程度に応じて、その最善の利益を優先して考慮した上で、権利利益を害しないよう必要な措置を講ずる努力義務を負います（改正法58条の3第1項）。法定代理人も、同意や開示等の請求を行う際、本人の最善の利益を優先して考慮しなければなりません（同条2項）。
（2）特定生体個人情報に関する規制強化（上記④）
ア 対象となる情報
改正法は、特定生体個人識別符号を含む個人情報を「特定生体個人情報」と定義します（改正法16条5項）。特定生体個人識別符号とは、個人識別符号のうち、特別の技術又は多額の費用を要しない方法で取得でき、かつ、取得されていることを本人が容易に認識できない身体的特徴の情報として政令で定めるものを変換した符号です。
政府資料では、顔の骨格、皮膚の色、目・鼻・口等の位置・形状から抽出した顔特徴データ等が例示されています。単なる顔写真は原則として対象外と説明されていますが、顔写真から特徴量を抽出して本人識別に利用する場合は対象となり得ます。
イ 取扱いに関する周知義務
特定生体個人情報を取り扱う事業者は、あらかじめ、以下の事項を本人に通知し、又は本人が容易に知り得る状態に置かなければなりません（改正法21条の2）。なお、本人又は第三者の生命・身体・財産その他の権利利益保護、当該事業者の権利利益保護、行政事務等の遂行のために必要な場合等には、例外的に通知等を要しないこととされています。
| ・ 事業者の氏名又は名称及び住所（法人の場合はその代表者の氏名を含みます） ・ 特定生体個人情報を取り扱うこと ・ 特定生体個人情報の利用目的 ・ 特定生体個人識別符号に変換される身体的特徴に係る情報の内容 ・ 開示等請求の手続（手数料を含みます） ・ その他規則で定める事項 |
国会における附帯決議では、監視カメラやセンサー等の機器の周辺に、特定生体個人情報を取り扱っている旨及び利用停止請求等の手段を分かりやすく掲示する等、周知の徹底が求められています[7]。
ウ 利用停止等請求及びオプトアウト提供
現行法では、違法な取扱いその他の要件を満たす場合のみ、保有個人データの利用停止等を請求することができます。
しかし、改正法において、本人は、これらの要件を満たさなくても、特定生体個人情報の利用停止・消去及び第三者提供停止を請求できます（改正法35条7項・8項）。ただし、事業者があらかじめ本人の同意を得ていた場合等は例外とされています。このように、改正法では、特定生体個人情報の取扱い一般に同意が求められるものではありませんが、同意の有無が利用停止等請求の可否に影響するため、実務上、同意取得を検討する必要が生じる可能性があります。
なお、特定生体個人情報は、要配慮個人情報と同様、オプトアウト方式による第三者提供の対象外となります（改正法27条2項ただし書）。
（3）委託を受けた事業者の規律（上記⑤）
ア 委託業務の範囲を超える取扱いの禁止
改正法において、個人情報の取扱いの委託を受けた個人情報取扱事業者は、法令に基づく場合又は人命救助・災害救援その他非常事態への対応のため緊急の必要がある場合を除き、委託された個人情報を、受託業務の遂行に必要な範囲を超えて取り扱ってはなりません（改正法30条の3）。再委託等、2段階以上の委託も対象です。
現行法においても、委託元における第三者提供該当性の観点から、ガイドラインで同様の解釈が示されていましたが[8]、改正後は、委託先自身が直接法律上の義務を負うこととなるため、これに違反した場合には個人情報保護委員会による監視監督の対象となり得ます。
イ 取扱方法を契約で定めた受託者に対する適用特例
委託先が自ら取扱方法を決定せず、委託元の指示に従って機械的に処理する場合等を念頭に、委託先と委託元との契約で規則所定の事項を定め、委託に係る個人情報の委託先による取扱いが受託業務の範囲内かつ当該契約に従って行われるときは、委託先に対して個人情報保護法上の多くの規律が適用されない旨の特例が設けられます（改正法58条の2）。
契約には、以下の事項を規定する必要があります。
| ・ 当該個人情報の取扱方法として規則で定める事項 ・ 漏えい等が生じ、又は受託業務の範囲を超え、若しくは当該契約に違反する取扱いを知った場合の委託元への速やかな報告 ・ その他規則で定める事項 |
なお、この特例が適用される場合であっても、安全管理措置、従業者・委託先監督、漏えい等の報告・本人通知、受託業務の範囲を超える取扱いの禁止等の義務は残ります。
（4）漏えい等発生時の本人通知義務の合理化（上記⑥）
現行法は、報告対象となる個人データの漏えい等が発生した場合、本人への通知が困難な場合を除き、本人通知を求めています。
この点、改正法は、本人への通知が行われなくても本人の権利利益の保護に欠けるおそれが少ない場合として規則で定める場合に、本人の権利利益を保護するために必要な代替措置を講ずることを条件として、本人通知に代えることを認めています（改正法26条2項ただし書）。
政府資料では、漏えいした情報がサービス利用者の社内管理用ID等であり、取得者にとって単体では意味を持たない場合等が例示されています。もっとも、これは本人通知に関する緩和措置であり、個人情報保護委員会への報告義務は残ります。また、本人通知をしない場合でも、上記のとおり代替措置は必要です。
6 まとめ
第1回で取り上げた改正事項には、事業者におけるデータ利活用を促進する側面と本人の権利保護を強化する側面の両方が含まれています。これらの詳細は、今後、政令・規則・ガイドライン等によって明らかになると見込まれますが、事業者においては、改正法の施行までに確実に対応することができるよう、まずは個人情報の取扱状況を確認する必要があります。
第2回では、不適正利用等の防止及び規律遵守の実効性確保のための改正事項（上記⑦から⑫まで）を紹介した上で、改正法の施行までに事業者に求められる対応について解説します。
※当事務所では、改正法への対応（社内規程・契約書の見直し、データ利活用スキームの設計、役職員向け研修等）に関するご相談を随時承っています。お困りの際にはお問合せフォームまでご連絡ください。
※本稿は、2026年7月執筆時点の法令・ガイドライン等に基づいていますが、その後の改正等により、閲覧時における法令等の内容・解釈等とは異なる可能性があります。
本記事に関するお問合せは、執筆者である當舎修弁護士に直接ご
[1] 個人情報の保護に関する法律等の一部を改正する法律（令和8年法律第56号）。以下、本改正法による改正後の個人情報保護法を「改正法」といい、改正前の個人情報保護法を「現行法」といいます。
[2] 令和2年改正法附則10条。いわゆる「3年ごと見直し」条項。
[3] 衆議院地域活性化・こども政策・デジタル社会形成に関する特別委員会「個人情報の保護に関する法律等の一部を改正する法律案に対する附帯決議」（令和8年5月21日）。なお、参議院においても、同旨の附帯決議が付されています（参議院デジタル社会の形成及び人工知能の活用等に関する特別委員会「個人情報の保護に関する法律等の一部を改正する法律案に対する附帯決議」（令和8年7月8日））。
[4] 前掲注3参照。
[5] もっとも、個人情報保護法のほか、研究倫理指針、医療・介護関係事業者向けガイダンス等の別のルールについて別途の検討が必要です。
[6] 個人情報保護委員会「『個人情報の保護に関する法律についてのガイドライン』に関するQ&A」（令和7年7月1日更新）A1-62。
[7] 前掲注3参照。
[8] 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」3-6-3(1)。