プライバシーポリシーの主な修正ポイント（概観）

改正状況の全体像（タイムライン）

制度改正方針では、「適正なデータ利活用の推進」「リスクに適切に対応した規律」「不適正利用等防止」「規律遵守の実効性確保」の4つの柱が示されています。政府としても通常国会への法案提出を目指す旨が示されており、企業は今から準備を始める段階です。

【施行済・対応必須】2024年改正のプライバシーポリシー対応

ウェブスキミング対策（施行規則第7条第3号改正） 施行済

近年、ECサイト等に不正プログラムを設置し、ユーザー入力情報を事業者のサーバを介さず直接窃取する「ウェブスキミング」被害が深刻化しています。2024年4月1日施行の施行規則第7条第3号の見直しにより、「個人データとして取り扱われることが予定されている個人情報」についても、不正目的をもって行われたおそれがある行為による漏えい等の場合には、法第26条に基づく報告・通知の対象となることが明確化されました。

プライバシーポリシーへの追記（安全管理措置の概要）

漏洩対応の社内周知には、法令改正を社内に伝えるパターン別テンプレート集も活用してください。速報・確報の報告期限については個人情報漏えい時の「速報」「確報」報告義務を徹底解説でまとめています。

【制度改正方針】令和8年改正の想定変更点

以下は2026年1月9日公表の「制度改正方針」に基づく内容です。法案化・条文化の過程で変更される可能性があるため、見出しの改正方針バッジが付いた項目は確定事項ではありません。

1. 同意規制の緩和 改正方針

制度改正方針では、個人の権利利益への影響の有無という観点から、以下の場合に本人同意を不要とする方向が示されています。

• 統計作成等目的：特定の個人との対応関係が排斥された一般的・汎用的な分析結果の獲得・利用のみを目的とした取扱い（AI開発を含む統計作成等）について、一定の条件（公表義務・当事者間合意・目的外利用禁止）の下で本人同意を不要とする
• 本人の意思に反しない取扱い：取得の状況からみて本人の権利利益を害しないことが明らかな場合（例：ホテル予約サイトからホテルへの宿泊者情報の提供等）
• 同意困難な場合の緩和：生命・公衆衛生等の保護のため必要な場合について「本人の同意を得ることが困難であるとき」に加え「相当の理由があるとき」にも依拠可能とする

プライバシーポリシー記載例（改正方針ベース）

2. 子供の個人情報の保護 改正方針

制度改正方針では、16歳未満の者が本人である場合、同意取得や通知等について法定代理人を対象とすることの明文化が示されています。また、子供の個人情報の取扱いにおいて、子供の最善の利益を優先して考慮する責務が新設される方向です。

• 16歳未満からの同意取得→法定代理人が対象（例外事由あり）
• 顔特徴データ等の取扱いに関する周知義務
• 顔特徴データ等のオプトアウト制度による第三者提供の禁止

3. 委託先への直接義務の新設 改正方針

現行法では委託先に直接適用される明示的な義務はありませんが、制度改正方針では委託を受けた事業者に対する義務の新設が示されています。一方で、委託元の指示に従い機械的に処理するのみのケースでは、一定の条件下で一般的義務の適用を免除する方向も議論されています。

プライバシーポリシーへの想定影響

• 委託先の監督体制に関する説明の充実（選定基準、監査実施状況等）
• クラウドサービス利用時の責任分界点の明確化（IaaS/PaaS/SaaSの区別）
• 再委託時の管理責任の所在・承認プロセスの明示

委託・再委託の整理には個人情報保護法×生成AI時代の委託・再委託チェックリストが参考になります。

4. 漏えい等報告の合理化 改正方針

本人への通知が本人の権利利益の保護に欠けるおそれが少ない場合（例：数字の羅列である会員番号のみが漏えいした場合、暗号化状態のまま復号が技術的に困難な場合等）について、本人通知を不要とし代替措置で対応可能とする方向が示されています。なお、個人情報保護委員会への報告義務は維持されます。

加えて、速報義務の一部免除（第三者の確認を受けた体制を整備している場合）や、軽微な事案（1名の誤交付等）の確報の取りまとめ報告なども議論されています。

【表で比較】現行法→制度改正方針の差分一覧

クッキー同意と外部送信規律の実務Q&A

クッキー関連の規律は、個人情報保護法だけでなく電気通信事業法第27条の12（外部送信規律・2023年6月施行）も考慮する必要があります。

あなたのサイトはどれ？ ─ Cookie対応の判定表

Q. クッキーバナーの設置は法的に必須ですか？

Q. GA4利用時の対応ポイントは？

GA4のIPアドレス等の取扱いはGoogleの処理ポリシーと事業者側の設定に依存します。「自動的に全面匿名化される」と断定する表現は避け、自社の設定に基づき必要な措置を講じている旨を記載してください。プライバシーポリシーには、GA4の使用・送信情報の内容・オプトアウト手段・Googleプライバシーポリシーへのリンクを記載します。

課徴金制度の方針 改正方針

制度改正方針では、課徴金制度の導入が明確に方針として示されました。悪質な違反行為で得た収益を徴収する仕組みで、被害が大きな事案に対象を限定する方向です。一方、消費者団体等による団体訴訟制度は今回見送りとされています。

なお、現行法でも重大な命令違反等に対して法人に罰金が科される規定があり、罰則は段階的に強化されています。制度改正方針では、罰則規定の法定刑の見直しや、詐欺行為等による個人情報の不正取得に対する罰則の新設も示されています。

実務対応チェックリスト

🔴 最優先：2024年改正の完全対応（対応済みか確認）

🟡 法案成立前に着手：制度改正方針への準備

🔵 継続対応：基本事項の確認

チェックリスト作成の効率化には規程改正の影響範囲分析プロンプト設計ガイドも活用ください。

段階的対応スケジュール

全体の法改正スケジュールは【2026年版】企業法務が押さえるべき法改正カレンダーにまとめています。

よくある質問（FAQ）

まとめ

今回の3年ごと見直しは、「緩和」と「強化」を併せ持つ大型改正です。同意規制の柔軟化でデータ利活用の幅が広がる一方、課徴金制度の導入・委託先への直接義務・子供の保護強化など、企業の対応負荷も増加します。