のぞみ総合法律事務所
弁護士　當舎　修
（IAPP認定資格者：CIPP/E/US、CIPM、 AIGP）

1　はじめに

　2026年（令和8年）7月10日、「個人情報の保護に関する法律等の一部を改正する法律案」が国会で可決・成立し、同月17日、「個人情報の保護に関する法律等の一部を改正する法律」（令和8年法律第56号。以下「本改正法」といいます。）として公布されました[1]。本改正法は、原則として、公布日から起算して2年を超えない範囲内において政令で定める日（遅くとも2028年7月）から施行されますが（本改正法附則1条本文）、主な罰則改正は、公布の日から起算して6か月を経過した日である2027年1月17日に先行して施行されます（同条3号）。
　第1回では、改正の経緯・趣旨及び全体像を確認した上で、（Ⅰ）適正なデータ利活用の推進（統計作成等の特例、同意取得に係る例外規定の拡大・緩和）と（Ⅱ）リスクに適切に対応した規律（子どもの個人情報、特定生体個人情報、委託を受けた事業者、漏えい等発生時の本人通知）に関する改正事項を解説しました。第2回となる本稿では、（Ⅲ）不適正利用等の防止と（Ⅳ）規律遵守の実効性確保（個人情報保護委員会の執行権限の拡充、罰則の強化及び課徴金制度の導入）に関する改正事項を取り上げた上で、改正法の施行に向けて事業者に求められる対応を解説します。

2　不適正利用等の防止

（1）「連絡可能個人関連情報」の不適正利用・不正取得の禁止

ア　新たな情報類型
　改正法は、「連絡可能個人関連情報」を、特定の個人に対する送付、送達、訪問、電話、電子メール送信、電気通信による情報伝達等に利用することができる記述等を含む個人関連情報と定義します（改正法2条8項）。具体的には、①住居・勤務先等の所在地、②電話番号、③電子メールアドレス、④電気通信設備の利用者又は設備を識別する符号（Cookie ID等が想定されています。）、⑤その他個人情報保護委員会規則（以下「規則」といいます。）所定の記述等です。他の情報と容易に照合してこれらを特定できる場合も含まれます。
　これらは、事業者にとって特定の個人を識別できず「個人情報」に該当しない場合でも、フィッシング、投資詐欺広告、闇名簿流通、不当な名寄せ等の入口となり得るため、個人の権利利益の侵害につながる蓋然性が特に高い行為類型である不適正利用及び不正取得に限って、個人情報と同様の規律を及ぼすこととされました。

イ　不適正利用及び不正取得の禁止
　連絡可能個人関連情報について、違法又は不当な行為を助長し、又は誘発するおそれがある方法による利用が禁止され、偽りその他不正の手段による取得も禁止されます（改正法31条の2）。連絡可能個人関連情報を構成する記述等を含む仮名加工情報・匿名加工情報にも準用されます（改正法42条4項、46条の2）。
　したがって、情報から特定の個人を識別することができない、又は氏名等の特定の個人を識別可能な情報と結び付いていないという理由だけで、個人情報保護法上の規律を受けないと整理することはできなくなります。事業者は、連絡可能個人関連情報について、取得元・利用目的・提供先を確認するなど、情報流通全体を通じて不適正利用・不正取得が生じていないかを確認する必要があります。

（2）オプトアウト提供先の身元・利用目的の確認

　オプトアウト制度により個人データを第三者提供する事業者は、あらかじめ、①提供先の氏名又は名称及び住所（法人の場合はその代表者の氏名）、②提供先における個人データの利用目的を確認しなければなりません（改正法27条7項）。提供先は確認事項を偽ってはならず、虚偽回答には10万円以下の過料が科されます（改正法27条8項、186条1号）。提供元は、第三者提供した場合には確認した利用目的を含む記録を作成・保存する必要があります（改正法29条1項）。
　ただし、当該個人データの全部が、提供元が取得した時点で本人、国の機関、地方公共団体、学術研究機関等、報道機関、著述を業として行う者、宗教団体、政治団体（個人情報保護法57条1項各号に掲げる者）その他規則で定める者により公開されていた場合等については、提供元は例外的に確認義務を負わないこととされています（改正法27条7項）。
　改正の背景には、オプトアウト届出事業者から提供された名簿が特殊詐欺・強盗等の犯罪グループへ流通する、いわゆる闇名簿問題があります。確認義務は形式的な確認で完了するものではなく、提供先の実在性と利用目的の合理性について十分に確認し、犯罪利用等の兆候がある場合には提供を拒否する運用が必要です[2]。

3　規律遵守の実効性確保

（1）勧告・命令の行使の柔軟化

　改正法では、個人情報保護委員会が、違反是正のための措置だけでなく、違反事実の本人への通知・公表その他の権利利益保護措置を勧告し、又は命令の内容とすることができることとなりました（改正法148条1項～3項）。また、勧告に従わない場合の命令要件は、「個人の重大な権利利益の侵害が切迫している」場合から、「個人の重大な権利利益が害されるおそれがある」場合へ緩和されます（同条2項）。
　さらに、勧告を経ずに発出する緊急命令について、現行法が規定している個人の重大な権利利益が既に侵害されている場合に加えて、個人の権利利益の侵害が切迫している場合にも発出することができるようになります（同条3項）。重大被害が現実化する前の段階で命令が可能となるため、個人情報保護委員会の調査への初動対応、事実確認、是正計画及び本人保護策の提示等の重要性が増すことが想定されます。

（2）違反行為を支える役務提供者等への要請

　是正措置等をとるべき旨の命令を受けた事業者が命令に従わない場合、個人情報保護委員会は、その事業者が個人情報等の取扱いに利用する役務を提供する「取扱関係役務提供者」に対し、個人情報等の取扱い停止、役務提供停止その他違反を中止させるための措置を要請できます（改正法148条の2第1項）。委託先のほか、クラウドサービスやサーバのホスティング等のサービスを提供する事業者が想定されます。
　また、個人情報保護委員会が措置命令をした場合であって、違反行為が特定電気通信[3]による個人情報等を含む情報の送信であるときは、特定電気通信役務提供者に対し、当該情報の流通を防止する措置を要請できます（同条3項）。この要請は、取扱関係役務提供者に対する要請とは異なり、条文上、措置命令を受けた事業者が命令に従わないことまでを要件としていません。
　要請に応じた取扱関係役務提供者や特定電気通信役務提供者は、措置命令を受けた事業者に生じた損害について賠償責任を負いません（同条2項・4項）。これは取扱関係役務提供者や特定電気通信役務提供者に対する直接の「命令」ではありませんが、悪質事業者のインフラ利用を遮断し、違反行為による被害拡大を防止する実効的手段となり得ます。

（3）罰則の強化・拡大

　今回の改正において、以下のとおり罰則が強化・整備されています。なお、他の主な改正事項とは異なり、罰則改正は、公布の日から起算して6か月を経過した日（2027年1月17日）に施行されます（本改正法附則1条3号）。

• • 個人情報データベース等不正提供等罪：従来の自己又は第三者の不正な利益を図る目的に加え、本人その他の者に損害を加える目的を追加し、法定刑を1年以下の拘禁刑又は50万円以下の罰金から、2年以下の拘禁刑又は100万円以下の罰金へ引き上げます（改正法178条）。
  • 個人情報の不正取得罪：不正利益目的又は加害目的で、詐欺、暴行、脅迫、窃取・損壊、施設侵入、有線電気通信の傍受、不正アクセスその他の個人情報を保有する者の管理を害する行為により個人情報を取得した者を、2年以下の拘禁刑又は100万円以下の罰金に処します（改正法180条）。
  • 措置命令違反罪：措置命令違反を1年以下の拘禁刑又は100万円以下の罰金とします（改正法181条）。
  • 法人重科：法人の業務に関して個人情報データベース等不正提供又は措置命令違反が行われた場合、法人に1億円以下の罰金を科します（改正法185条）。また、個人情報データベース等不正提供等罪や個人情報の不正取得罪等については、日本国外で行われた行為にも適用されます（国外犯処罰。改正法184条）。

（4）課徴金制度の導入

ア　対象行為
　個人情報保護法に初めて課徴金制度が導入されます（改正法148条の3～148条の17）。対象は、あらゆる違反ではなく、次の特に悪質な類型に限定されます。

違法な行為又は不当な差別的取扱いを行うことが想定される状況にある第三者への個人情報の提供 違法な行為又は不当な差別的取扱いを行うことが想定される状況にある第三者の求めによる個人情報の利用 本人同意等の根拠を欠く個人データの第三者提供（改正法27条1項違反） 統計作成等の特例における目的外取扱い又は第三者提供制限違反 偽りその他不正の手段による個人情報の取得（改正法20条1項違反）及び当該個人情報の利用

　なお、対象行為がなくなった日から7年を経過すると課徴金納付命令を発することができなくなります（改正法148条の7第7項）。

イ　対価性・免責・小規模除外
　要件を満たす場合、個人情報保護委員会は課徴金の納付を命じなければならないこととされていますが、その対象は、対象行為又は対象行為をやめることの対価として、代金、報酬、利用料、手数料その他の金銭・財産上の利益を得た場合に限られます。また、違反期間を通じて違反を防止するための相当の注意を怠った場合に限って対象となります。さらに、本人の数が1,000人を超えない場合その他権利利益を害する程度が大きくない場合として政令で定める場合には、課徴金納付命令の対象とはなりません。
　したがって、EUの一般データ保護規則（GDPR）に規定されている制裁金のように、一般的な安全管理措置義務違反や漏えい等報告義務違反を含む広範な違反について、全世界売上高を基準とした課徴金が課され得る制度ではありません。
　なお、安全管理措置義務違反、漏えい等報告の懈怠、外国第三者提供規制違反等は、課徴金の直接の対象には列挙されていませんが、依然として個人情報保護委員会による勧告・命令等の監視監督権限の対象であり、命令に従わない場合には命令違反罪が適用される可能性もあります。また、個人データの本人からプライバシー侵害等に基づく損害賠償請求を受ける可能性があるほか、深刻な事案については個人情報保護委員会による公表や報道等を契機としたレピュテーションリスクが生じ得ることに十分留意する必要があります。

ウ　課徴金の額、加算・減額等
　課徴金の額は、違反行為又はその中止の対価として得た金銭等に相当する額を、政令所定の方法で算定した額です。違法行為による利得を剥奪する性格が中心であり、事案それ自体の悪質性や事業規模に応じて高額となる仕組みとはなっていません。なお、事業者が個人情報保護委員会による報告徴収等に応じない場合、同委員会は、当該事業者若しくはその取引先又は同種の事業を行う他の事業者等から入手した資料に基づく合理的な方法によって対価額を推計することができます（改正法148条の4）。
　また、課徴金の対象行為を繰り返す場合の加算や、自主的な申告に基づく減額（リニエンシー）については、以下のとおり定められています。

加算：報告徴収等が最初に行われた日から遡って10年以内に課徴金納付命令を受け、その命令日以後も対象行為を行っていた者は1.5倍（改正法148条の5） 自主申告による減額：調査により命令を予知した後ではない段階で、対象行為を個人情報保護委員会に報告した場合は50％減額（改正法148条の6）

　「相当の注意」の判断基準、対価額の算定・推計方法、権利利益を害する程度が大きくない場合等は、今後、政令・規則・ガイドライン等により具体化されるものと見込まれます。国会における附帯決議でも、「課徴金制度の運用に当たっては、個人情報取扱事業者等が過度に萎縮することのないよう、課徴金納付命令の基準等について明確なガイドラインを策定するなど、その運用の透明性の確保に努めること」が求められています[4]。

4　企業における今後の対応

（1）政令・規則・ガイドライン等の継続的フォロー

　改正法は既に公布されましたが、多くの重要事項を政令・規則に委任しています。また、個人情報保護法の解釈運用については、実務上、個人情報保護委員会が公表する各種ガイドラインやQ&A等が重要な意義を有しているため、これらの改正に向けた今後の議論を注視していく必要があります。
　例えば、次に掲げる事項は、一般的に事業者の活動に影響し得るものとしてその動向をフォローすることが望ましく、その結果、自社のビジネスに特に大きな影響が生じることが予想されるような場合には、今後のパブリックコメント手続等の機会を利用して意見を提出し、解釈の明確化を求めるといったことも考えられます[5]。

統計作成等に含まれるAI開発等の範囲、権利利益を害するおそれが少ない類型、公表事項・方法 本人の意思に反せず権利利益を害しないことが明らかな同意例外の具体的範囲 16歳未満であることを知らない「正当な理由」、年齢・法定代理人確認の方法 特定生体個人識別符号の対象となる身体的特徴、周知方法・追加事項 受託者に対する適用特例に必要な契約事項 本人通知に代替措置を許容する低リスク漏えい等の範囲 連絡可能個人関連情報の追加類型 オプトアウト提供先確認の方法、例外、記録 課徴金の算定方法、軽微事案の除外、「相当の注意」の判断基準

（2）保有している個人情報等の洗い出し

　改正法への対応の出発点は、自社が保有する個人情報等の取扱状況の把握（データマッピング）です。特に、今回の改正で新たな規律の対象となる次の情報については、取得の経緯、利用目的、保存場所、提供先・委託先等を整理し、改正法の規律とのギャップを把握することが有益です。

16歳未満の子どもの個人情報（年齢確認の方法、法定代理人からの同意取得・法定代理人への通知のフロー） 特定生体個人情報（顔識別機能付きカメラシステム等の利用状況、周知・掲示の状況、同意取得の有無） 連絡可能個人関連情報（電話番号・メールアドレス・Cookie ID等の取得元、利用態様及び提供先） 委託により取り扱う個人情報（委託契約の内容、再委託の状況、受託者に対する適用特例の利用可否） オプトアウト制度に基づき提供する個人データ（提供先の確認・記録の状況） 統計作成等（AI開発等を含みます。）に利用し、又は利用する予定のデータ（特例の要件充足の見通し）

　この洗い出しの結果は、後記（4）の対応ロードマップの前提となるほか、漏えい等発生時の対応や課徴金への対応（後記（3））の基礎資料としても機能します。

（3）ガバナンスの確立（判断の平準化/証跡化）

　課徴金の適用を免れる要件である「相当の注意」を怠っていないことの立証や、個人情報保護委員会の調査・勧告・命令への的確な対応は、いずれも平時からの組織的な体制整備によって初めて可能となります。具体的には、次の2つの観点が重要です。

判断の平準化：同意取得の要否、例外規定への該当性、提供先の確認等について、部門や担当者ごとに判断がばらつかないよう、社内規程・チェックリスト・審査フローを整備し、疑義がある場合に法務部門等へ相談するルートを明確にすること 証跡化：第三者提供記録、同意取得の記録、オプトアウト提供先の確認記録、委託先の監督記録、研修の実施記録等を作成・保存し、事後に個人情報保護委員会や本人に対して、適切な取扱いを行っていたことを説明できる状態にしておくこと

　特に課徴金については、違反を防止するための相当の注意を怠っていなかったと認められる場合に、納付命令の対象外となります。実務運用は今後のガイドライン等の改正や事例の蓄積に委ねられる部分も大きいと見込まれますが、相当の注意を怠っていなかったことを示し得る予防体制（規程・研修・モニタリング・記録）を構築することが有益であると考えられます。

（4）対応ロードマップの管理

　改正法の施行は原則として公布日から2年以内（遅くとも2028年7月）ですが、罰則の改正は2027年1月17日に先行して施行されます。また、改正法に記載された各要件の詳細を定める政令・規則・ガイドライン等は施行までに順次整備されていきます。
 そのため、①現状把握（前記（2）の洗い出しとギャップ分析）、②下位法令等の内容を踏まえた詳細設計（社内規程・プライバシーポリシー・委託契約ひな形の改定、システム改修等）、③施行前の運用テスト・役職員研修という段階に分けて、担当部門と期限を明確にした対応計画を策定し、進捗を管理することが望まれます。
　特に、今回の改正は、本人の権利利益の保護強化とデータ利活用の双方の側面を持ち、新たなルールが多数含まれる広範な内容となっています。そのため、法務部門だけでなく、広告・マーケティング部門、情報システム・セキュリティ部門等、これまで以上に各部門が連携して対応することが求められます。部門横断的な推進体制を設け、経営層に対して定期的に進捗を報告することも有益です。

（5）附帯決議からうかがわれる今後の方向性

　国会における附帯決議では、今回の改正で見送られ、又は限定的な制度設計にとどまった事項についても、継続的な検討が求められています（脚注4参照）。その中でも、特に以下の事項は、中期的な制度動向として注目に値します。

閲覧履歴・購買履歴等から信条等の機微な情報を推知するプロファイリングに係る規制の在り方の継続的な検討 プライバシー強化技術（PETs）の活用促進と適切なインセンティブの在り方の検討 課徴金の額及び対象要件の見直しに向けた継続的な検討 団体による差止請求制度及び被害回復制度の導入に向けた検討の継続

　これらは直ちに事業者の対応を求めるものではありませんが、今後の政令・規則・ガイドライン等の整備や、次の「3年ごと見直し」を含む今後の制度改正の方向性に影響を及ぼす可能性があるため、諸外国の法制度の動向と併せてフォローしておくことが望まれます。

5　おわりに

　今回の改正は、AI開発を含む統計作成等の特例に見られるように、データ利活用の選択肢を広げる一方、子どもの保護、顔特徴データ等の取扱い、連絡可能個人関連情報の利用、委託先による個人情報の取扱いなど、本人の権利利益の保護を強化しています。

事業者においては、施行までの準備期間を活用して、まずは改正法への対応を計画的に進めることが重要です。しかし、それにとどまらず、この機会に自社における情報利用の実態を把握してデータガバナンスを高め、顧客・従業員等の個人情報を適切に保護するとともに、個人情報等の適切な利活用を含むデータ戦略を検討することで、事業の維持・成長につなげることも考えられます。

※　当事務所では、改正法への対応（社内規程・契約書の見直し、データ利活用スキームの設計、役職員向け研修等）に関するご相談を随時承っております。お困りの際にはお問合せフォームまでご連絡ください。
※　本稿は、2026年8月執筆時点の法令・ガイドライン等に基づいていますが、その後の改正等により、閲覧時における法令等の内容・解釈等とは異なる可能性があります。

本記事に関するお問合せは、執筆者である當舎修弁護士に直接ご連絡いただくか、又は弊所ウェブサイトのお問合せフォームまでお問合せください。

本連載の他の記事は、下記からご確認ください。
・2026年（令和8年）改正個人情報保護法の概要（第1回）

---

[1] 以下、本改正法による改正後の個人情報保護法を「改正法」といい、改正前の個人情報保護法を「現行法」といいます。

[2] 例えば、違法行為を営むことが疑われる事業者に対して、当該行為を助長するおそれが想定されるにもかかわらず個人情報を提供する場合や、個人情報保護法27条1項に違反する第三者提供を行うと予見される事業者に個人情報を提供する場合、当該提供行為は、不適正利用として個人情報保護法違反となる可能性があります（個人情報保護法19条、個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」3-2事例1及び事例4）。

[3] 不特定の者によって受信されることを目的とする電気通信の送信をいいます（特定電気通信による情報の流通によって発生する権利侵害等への対処に関する法律2条1号）。

[4] 衆議院地域活性化・こども政策・デジタル社会形成に関する特別委員会「個人情報の保護に関する法律等の一部を改正する法律案に対する附帯決議」（令和8年5月21日）。なお、参議院においても、同旨の附帯決議が付されています（参議院デジタル社会の形成及び人工知能の活用等に関する特別委員会「個人情報の保護に関する法律等の一部を改正する法律案に対する附帯決議」（令和8年7月8日））。

[5] 国会における附帯決議においても、規則等を定めるに当たっては、あらかじめ国民や団体等の関係者から意見を聴取し、その意見を的確に反映するなど、政策決定過程の透明性と予見可能性を十分に確保することが求められています（前掲注4参照）。