プライバシーポリシー改定の主な検討ポイント（概観）

改正状況の全体像（2026年9月18日時点のタイムライン）

改正の柱は、「適正なデータ利活用の推進」「リスクに適切に対応した規律」「不適正利用等防止」「規律遵守の実効性確保のための規律」の4つです。緩和（同意規制の例外拡大、統計作成等の特例）と強化（子供・生体データ・課徴金）が同時に入る大型改正であり、企業側の準備も「緩和を使うための体制整備」と「強化への対応」の二本立てになります。

【施行済・対応必須】2024年改正の漏えい等報告範囲と、現行法上の安全管理措置

この2つは実務上セットで語られがちですが、法的な根拠条文が異なる別論点です。混同すると、プライバシーポリシーの記載範囲を誤ることになります。

1. 漏えい等報告の対象範囲の明確化（施行規則第7条第3号の改正） 2024年4月1日施行済

ECサイト等に不正プログラムを設置し、ユーザーの入力情報を事業者のサーバを介さず直接窃取する「ウェブスキミング」被害を踏まえ、2024年4月1日施行の施行規則第7条第3号の改正により、個人データだけでなく、取得し、または取得しようとしている個人情報であって個人データとして取り扱われることが予定されているものについても、不正の目的をもって行われたおそれがある行為による漏えい等が生じた場合には、法第26条の報告・通知の対象となることが明確化されました。

2. 安全管理措置の概要の公表（法第32条第1項第4号・施行令第10条第1号） 現行法上の義務

保有個人データについて、その安全管理のために講じた措置を本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む）に置く義務は、令和2年改正で導入され2022年4月に全面施行された現行法上の義務です。個人情報保護委員会のQ&Aでは、ホームページに安全管理措置の概要と問合せ窓口を掲載し、具体的な内容は本人からの問合せに応じて遅滞なく回答するという対応も可能とされています。実務上、この公表の受け皿としてプライバシーポリシーが使われているのが一般的です。

漏えい対応の社内周知には、法令改正を社内に伝えるパターン別テンプレート集も活用してください。速報・確報の報告期限については個人情報漏えい時の「速報」「確報」報告義務を徹底解説でまとめています。

【成立・公布済】令和8年改正法の主要改正点

以下は2026年7月17日に公布された改正法の条文に基づく内容です。条文上確定している事項と、政令・委員会規則・ガイドラインに委任されている事項が混在するため、見出しにバッジを付して区別しています。

改正法で確定＝法律の条文で定まった事項／政令・規則＝対象範囲・手続が政令または委員会規則に委任されている事項／GL・Q&A＝考え方や具体例がガイドライン等で示される予定の事項

1. 統計作成等に関するデータ利活用の特例 改正法で確定 政令・規則

改正法は、統計情報等の作成にのみ利用される場合について、個人データ等の第三者提供および公開されている要配慮個人情報の取得に本人同意を不要とする特例を新設しました（改正法第30条の2、第31条の3）。「統計作成等」は、大量の情報から傾向・性質に係る情報（個人に関する情報を除く）を作成する行為のうち、個人の権利利益を害するおそれが少ないものとして委員会規則で定めるものと定義され（同第2条第13項）、統計作成等と整理できるAI開発等が含まれるものとされています。

特例の利用には、条文上、次のような担保措置が課されます。

• 提供元・提供先（または取得者）の氏名・名称、行おうとする統計作成等の内容等を、インターネットの利用その他規則で定める方法により公表し、取り扱っている期間は継続して公表すること
• 第三者提供の場合は、当該提供がこの特例によるものである旨を書面（電磁的記録を含む）で合意すること
• 提供を受けた側・取得者は、公表した内容の統計作成等に必要な範囲を超えて取り扱ってはならず、原則として再提供も禁止されること
• 外国にある第三者に提供する場合は、基準適合体制の整備等が前提となること

2. 目的外利用・要配慮個人情報取得・第三者提供の同意例外 改正法で確定 政令・規則

• 契約履行等の例外：本人との間の契約の履行のために必要やむを得ないことが明らかである場合その他、取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかである場合として規則で定める場合に、本人同意が不要となります（改正法第18条第3項第7号、第20条第2項第7号、第27条第1項第8号）。
• 同意取得困難性要件の緩和：生命・身体・財産の保護、公衆衛生の向上・児童の健全な育成のために必要な場合について、「本人の同意を得ることが困難であるとき」に加えて「その他本人の同意を得ないことについて相当の理由があるとき」にも依拠できるようになりました。
• 学術研究例外：「学術研究機関等」に、病院その他の医療の提供を目的とする機関・団体が含まれることが明示されました（改正法第16条第9項）。

2026年9月16日の委員会資料では、規則で追加を検討する場合として、事業者と第三者との契約の履行に必要やむを得ない場合（家族による宿泊予約に伴う情報提供等）や、契約締結に先立って本人の要望に応えるために必要やむを得ない場合（3-Dセキュアによる本人認証等）が論点として示されています。いずれも現時点では基本的な考え方の段階であり、確定した規則ではありません。

3. 16歳未満の者の個人情報等の取扱いに関する新たな規律 改正法で確定 政令・規則

改正法第40条の2は、個人情報取扱事業者が16歳未満の者の個人情報を取り扱う場合について、利用目的の通知等・同意取得（目的外利用、要配慮個人情報の取得、第三者提供、外国にある第三者への提供）・漏えい等の本人通知などの規定を、「本人」から「本人の法定代理人」へ読み替えて適用することを明文化しました。例外は次の3類型です。

• 当該個人情報が16歳未満の者のものであることを知らないことについて正当な理由がある場合
• 法定代理人が本人の営業を許可しており、当該営業に関して個人情報を取得した場合
• 本人に法定代理人がない場合、またはないと信ずるに足りる相当な理由がある場合

あわせて、16歳未満の本人は、違法行為の有無を問わず保有個人データの利用停止等・第三者提供の停止を請求できるようになりました（改正法第35条第9項・第10項）。例外は法律上11類型（法定代理人の同意を得て取得した場合、生命・身体・財産の保護に必要な場合、本人が16歳以上であると信じさせるために詐術を用いた場合など）に加え、政令で定める場合が第12号として置かれています。

さらに、個人情報取扱事業者等は、未成年者に関する個人情報等の取扱いについて、年齢および発達の程度に応じ、その最善の利益を優先して考慮したうえで、権利利益を害することのないよう必要な措置を講ずる努力義務を負います（改正法第58条の3第1項）。マイナンバー法、匿名加工医療情報等法についても同趣旨の手当てがされています。

4. 特定生体個人情報（顔特徴データ等）に関する新たな規律 改正法で確定 政令・規則

改正法第16条第5項は「特定生体個人情報」を新たに定義しました。これは、個人識別符号のうち、①特別の技術または多額の費用を要しない方法により取得でき、かつ②取得されていることを本人が容易に認識できない身体の一部の特徴に係る情報として政令で定めるものを変換した符号（特定生体個人識別符号）が含まれる個人情報です。これに対し、次の規律が加わります。

• 周知義務（改正法第21条の2）：事業者の氏名・名称・住所・代表者氏名、特定生体個人情報を取り扱うこと、その利用目的、元となった身体的特徴の内容、開示等の請求等に応じる手続などを、あらかじめ本人に通知または本人が容易に知り得る状態に置くこと。例外は法律上3類型＋政令で定める場合。
• 利用停止等請求の緩和（改正法第35条第7項・第8項）：違法行為の有無を問わず請求可能。例外は法律上9類型＋政令で定める場合。
• オプトアウト制度に基づく第三者提供の禁止（改正法第27条第2項ただし書）。

政令で定める対象範囲は未確定ですが、2026年9月16日の委員会資料では、現行の施行令第1条第1号ロ（顔の骨格・皮膚の色・目鼻口等の位置形状によって定まる容貌）に係る顔特徴データを対象とする方向で論点が提示されています。周知方法についても、カメラやセンサー等の機器の検知対象者が十分認識できる場所に分かりやすく掲示することの重要性が論点として挙げられています。

5. 連絡可能個人関連情報に関する新たな規律 改正法で確定 規則

改正法第2条第8項は「連絡可能個人関連情報」を新設しました。住居・勤務先等の所在地、電話番号、電子メールアドレス、電気通信設備または利用者を識別する符号（Cookie ID等が想定されます）など、特定の個人に対する連絡その他の情報の伝達に利用できる記述等が含まれる個人関連情報がこれに当たります（その他の記述等は委員会規則で定められます）。

これらについて、個人情報ではない場合であっても、不適正利用の禁止・不正取得の禁止が導入されました（改正法第31条の2）。同旨の規律は、同様の記述等が含まれる仮名加工情報・匿名加工情報にも準用されます（同第42条第4項、第46条の2）。

6. 委託先（受託者）に関する規律の変更 改正法で確定 規則

改正法第30条の3は、個人情報の取扱いの委託（再委託を含む）を受けた個人情報取扱事業者に対し、法令に基づく場合等を除き、委託された個人情報を当該委託業務の遂行に必要な範囲を超えて取り扱ってはならない義務を直接課しました。行政機関等が受託者となる場合も同様です（同第71条の2）。

他方、改正法第58条の2は、委託契約において受託個人情報等の取扱いの方法などを規則で定めるところにより定めており、かつ、その定めに従って委託業務の遂行に必要な範囲内で取り扱われる場合には、第4章第2節〜第4節の多くの義務規定の適用を原則として免除します。ただし、第30条の3の義務および安全管理措置等（第23条〜第26条）は引き続き適用されます。契約に定めるべき事項には、漏えい等の事態や契約違反を知ったときに速やかに委託者へ報告することが含まれます。

委託契約に定めるべき具体的事項と契約の方法は委員会規則に委任されており未確定です。委託・再委託の整理には個人情報保護法×生成AI時代の委託・再委託チェックリストも参考になります。

7. 漏えい等発生時の報告・本人通知に関する変更 改正法で確定 規則

改正法第26条第2項ただし書に、「本人への通知が行われなくても本人の権利利益の保護に欠けるおそれが少ない場合として委員会規則で定める場合」が追加され、本人通知義務が緩和されました。委員会資料では、サービス利用者の社内識別子（ID）等、それ単体ではおよそ意味を持たない情報のみが漏えいした場合などが想定例として挙げられています。行政機関等についても同様の改正がされています（同第68条第2項第1号）。

8. 本人関与・利用停止等に関する変更 改正法で確定

利用停止等請求（改正法第35条）は、対象が拡張されました。第1項の請求事由に統計作成等の特例違反・受託者の義務違反が追加され、第3項の対象に統計作成等特例に基づく提供制限違反が追加されています。これに加え、前述のとおり特定生体個人情報（第7項・第8項）と16歳未満の本人（第9項・第10項）について、違法行為の有無を問わない請求権が創設されました。開示等の請求等の代理人についても、政令で定める代理人が追加されています（同第37条第3項）。

9. オプトアウト関係の規律 改正法で確定 規則

オプトアウト届出に基づき個人データを第三者提供する場合、提供元はあらかじめ提供先の氏名・名称、住所、代表者氏名および当該第三者における利用目的を確認する義務を負います（改正法第27条第7項）。確認を求められた第三者は、当該事項を偽ってはならず（同第8項）、違反は過料の対象とされています。取得時点で本人・国の機関・地方公共団体・学術研究機関等その他規則で定める者により公開されていたデータ等は例外です。あわせて、要配慮個人情報に加え特定生体個人情報についてもオプトアウトによる第三者提供が禁止されます。

10. 課徴金その他の義務履行確保・執行強化 改正法で確定 政令・規則

詳細は課徴金制度・執行強化・罰則のセクションで整理します。

確定事項／政令・規則事項／ガイドライン事項の区別

2026年9月18日時点で最も重要なのは、「何が決まり、何がまだ決まっていないか」を社内で正確に共有することです。個人情報保護委員会が2026年8月26日に決定した「政令・規則等で定める事項の全体像について」に基づき、主要テーマを3分類すると次のとおりです。

【表で比較】現行法→改正法の差分一覧（条文番号つき）

Cookie同意・外部送信規律と「連絡可能個人関連情報」

クッキー関連の規律は、個人情報保護法だけでなく電気通信事業法第27条の12（外部送信規律・2023年6月16日施行）も考慮する必要があります。外部送信規律は令和8年改正によって変更されていません。一方で、Cookie ID等が「連絡可能個人関連情報」に該当し得ることから、不適正利用・不正取得の禁止という新しい軸が加わる点が変更点です。

あなたのサイトはどれ？ ─ Cookie対応の判定表

Q. クッキーバナーの設置は法的に必須ですか？

Q. 改正法で「Cookieが個人情報になる」のですか？

いいえ。改正法は個人情報の定義自体を変更していません。変更点は、Cookie ID等の「連絡可能個人関連情報」について、個人情報ではない段階でも不適正利用・不正取得が禁止されることです（改正法第31条の2）。したがって、プライバシーポリシーの記述を直ちに書き換える必要はありませんが、Cookie ID・メールアドレス等の取得経路と利用目的が説明可能な状態になっているかを棚卸ししておく必要があります。

Q. GA4利用時の対応ポイントは？

GA4のIPアドレス等の取扱いはGoogleの処理ポリシーと事業者側の設定に依存します。「自動的に全面匿名化される」と断定する表現は避け、自社の設定に基づき必要な措置を講じている旨を記載してください。外部送信規律の適用がある場合は、送信される情報の内容・送信先・利用目的を通知または公表する必要があり、その受け皿としてプライバシーポリシーやクッキーポリシーにGA4の使用状況、オプトアウトの方法、Googleのプライバシーポリシーへのリンク等を記載することが実務上よく行われています。

課徴金制度・執行強化・罰則 改正法で確定

課徴金納付命令の対象と算定（改正法第148条の3〜第148条の17）

個人情報保護法として初めて課徴金制度が導入されました。条文上、次の枠組みが確定しています。

勧告・命令等の実効性確保（改正法第148条、第148条の2）

• 勧告・命令の内容に、違反行為の中止等に加えて本人に対する違反事実の通知または公表その他の措置を含められるようになりました。
• 措置命令に従わない場合、委員会は取扱関係役務提供者（委託先、サーバのホスティング事業者等）に対し、取扱いの停止や役務提供の停止等を要請できます。要請に応じた第三者は、違反事業者に生じた損害について賠償責任を負いません。

罰則（2027年1月17日先行施行）

• 個人情報データベース等の不正提供等罪は、「不正な利益を図る目的」に加えて「損害を加える目的」が対象となり、法定刑が2年以下の拘禁刑または100万円以下の罰金に引き上げられました（改正法第178条）。
• 詐欺・暴行・脅迫、窃取・損壊、施設への侵入、有線電気通信の傍受、不正アクセス行為等により個人情報を取得する行為について、2年以下の拘禁刑または100万円以下の罰金の罰則が新設されました（同第180条）。
• 行政機関等の職員等による個人情報ファイルの提供に係る罰則は3年以下の拘禁刑または150万円以下の罰金に引き上げられました（同第176条）。
• 措置命令違反は1年以下の拘禁刑または100万円以下の罰金（同第181条）、オプトアウトの確認事項について虚偽の回答をした場合は過料の対象です（同第186条第1号）。

プライバシーポリシー・公表事項・同意画面への実務上の影響

1. 利用目的・第三者提供の記載

改正法は本人同意の原則を維持したうえで例外を追加するものであり、現行のプライバシーポリシーの基本構造を書き換える必要はありません。統計作成等の特例に依拠する場合、要求されるのは「プライバシーポリシー内の記載」ではなく、法定の公表事項（事業者の氏名・名称、行おうとする統計作成等の内容等）を規則で定める方法により継続して公表することです。実務的には、プライバシーポリシーとは別の専用ページを設けて相互リンクする設計が管理しやすくなります。

2. 同意画面・未成年者向けUI

• 16歳未満の利用者が想定されるサービスでは、同意・通知の相手方が法定代理人になります。年齢確認の方法、法定代理人の同意取得フロー、例外（営業許可、法定代理人がない場合等）の判定ロジックを設計する必要があります。
• 両院の附帯決議では、消費者・事業者双方に過度な負担を生じさせない柔軟な手法を許容すべきとされており、具体的手法はガイドライン等で示される見込みです。過度に重い年齢確認を先行実装するのはコスト効率が悪い可能性があります。
• 未成年者向けには、年齢と発達の程度に応じた平易な表現のプライバシー説明（子供向けサマリー版）を準備しておくと、施行時の対応が容易になります。

3. 特定生体個人情報の「周知」

顔特徴データ等を扱う場合に求められるのは、ウェブサイトのポリシー掲載だけでは足りない可能性がある「周知」です。委員会資料では、カメラ等の機器の検知対象者が十分認識できる場所に分かりやすく掲示することの重要性が論点として示されています。実務上は、①施設入口・カメラ設置場所の掲示物、②詳細を記載したウェブページ、③利用停止等請求の受付窓口の三点セットで設計するのが現実的です。

4. 委託・クラウド利用の説明

委託先の監督に関する説明（選定基準、監査の実施状況、再委託の承認プロセス、責任分界点）は、改正法の施行前でも充実させる価値があります。ただし、委託契約に定めるべき事項は委員会規則で定まるため、契約書のひな型改訂は規則確定後にまとめて行うのが効率的です。

5. Cookie・外部送信

電気通信事業法の外部送信規律に基づく確認機会の付与は現行どおり継続します。加えて、Cookie ID・メールアドレス等の取得経路と利用方法を整理し、不適正利用・不正取得に当たらないことを説明できる状態にしておきます。

実務対応チェックリスト（時期別）

🔴 今すぐ：現行法との整合性を確認すべき事項

🟡 今から：データフロー・対象情報を棚卸しすべき事項

🔵 政令・規則・ガイドライン確定後：プライバシーポリシー等へ反映すべき事項

チェックリスト作成の効率化には規程改正の影響範囲分析プロンプト設計ガイドも活用ください。

段階的対応スケジュール

全体の法改正スケジュールは【2026年版】企業法務が押さえるべき法改正カレンダーにまとめています。

よくある質問（FAQ）

まとめ

令和8年改正は、同意規制の柔軟化と統計作成等の特例によってデータ利活用の幅を広げる一方、子供の個人情報・特定生体個人情報・連絡可能個人関連情報の規律を強化し、課徴金制度と執行手段の拡充で実効性を確保する構造になっています。2026年9月18日時点では法律が公布され、政令・規則・ガイドラインの整備が進行中という段階です。