1. なぜ今、個人情報保護法が見直されるのか

個人情報保護法には、「施行後3年ごとに検討を加え、必要な措置を講ずる」という見直し条項が設けられています（令和2年改正法 附則第10条）。2022年4月に全面施行された現行法は、2025年4月で施行から3年を迎え、すでに2023年11月から個人情報保護委員会（PPC）による検討が進められてきました。

当初は2025年の通常国会への法案提出が想定されていましたが、生成AIへの対応や課徴金制度の設計などの論点が複雑化し、見送りとなりました。

そして2026年1月9日、PPCはついに「個人情報保護法 いわゆる3年ごと見直しの制度改正方針」を公表しました。PPC文書では、政府全体のデータ利活用政策（令和7年6月13日閣議決定「データ利活用制度の在り方に関する基本方針」等）との整合のもと、改正案の早期提出を念頭に検討を加速する方針が示されています。今後の法案提出時期や成立時期は、国会審議の進捗により変動する可能性があります。

2. 制度改正方針の全体像──4つの柱と12の改正項目

今回の制度改正方針は、「緩和」と「強化」を併せ持つ点が最大の特徴です。データ利活用を促進しつつ、リスクの高い領域では規制を厳格化するという、バランスのとれた構造になっています。

PPCが示した4つの柱は以下の通りです。

これら4つの柱のもと、主要な改正論点を以下の一覧表で整理します。

全体として、利活用領域（柱I）では規制を緩和し、保護領域（柱II〜IV）では規制を強化するという明確な方向性が読み取れます。特に企業にとってインパクトが大きいのは、課徴金の導入、子どもデータ保護の強化、AI開発の同意緩和の3点です。

3. 企業影響が大きい5大改正ポイント【詳細解説】

3-1. 課徴金制度の導入——「後から対応すればいい」が通用しなくなる

今回の改正で最も大きなインパクトを持つのが、課徴金制度の導入です。現行法では、PPC（個人情報保護委員会）が勧告・命令を行い、命令違反に対して刑事罰を科すという仕組みですが、勧告→命令→罰則という段階的プロセスでは迅速な対応が難しいという課題がありました。

改正方針では、悪質な違反行為に対して、命令を経ずに直接課徴金を賦課できる仕組みの導入が示されています。不当に取得した個人情報の販売などで得た収益を徴収する趣旨で、対象は被害が大きな事案に限定される見込みです。

なお、制度改正方針では、課徴金の対象違反は不適正利用・不正取得・違法な第三者提供等の一定類型に限定する方向が示されています。独占禁止法の課徴金制度と類似した「違反行為の経済的誘因を小さくすることで抑止する」仕組みが想定されており、あらゆる違反に一律にかかるものではありません。

これは企業にとって「コンプライアンス対応を先送りしてきたツケ」が直接的に経済的制裁として跳ね返ってくることを意味します。「指摘されてから直せばいい」という姿勢は、もはやリスクそのものです。

3-2. 子どもの個人情報保護——16歳未満の同意取得が明文化

現行法には、子どもの個人情報に関する明文の上乗せ規定がなく、PPCのQ&Aで「12歳から15歳までの年齢以下の子どもについて、法定代理人等から同意を得る必要がある」と示されるにとどまっていました。

改正方針では、以下のポイントが明示されています。

なお、「16歳未満」という年齢基準は、EUのGDPR（一般データ保護規則）が加盟国により13〜16歳と幅を持たせていること、米国のCOPPA（児童オンラインプライバシー保護法）が13歳未満を対象としていることとの比較で読むと、国際的な規制トレンドとの整合性が見えてきます。日本の民法上の成年年齢（18歳）との関係も含め、今後の政省令・ガイドラインで「16歳」の具体的な適用範囲が詰められる見込みです。

3-3. AI開発のための同意規律の緩和——統計作成等目的の特例

生成AIの急速な普及を受け、統計作成等（AI開発を含む）を目的とする個人データの利用・第三者提供について、一定の条件下で本人同意を不要とする特例が設けられる方針です。

具体的には、以下の条件が想定されています。

これは、従来「委託」として整理せざるを得なかった生成AI利用を柔軟化するもので、ユーザー企業が入力した個人データをAIベンダーがモデル学習に使えるようになる可能性があります。ただし、著作権や営業秘密、秘密保持契約上の制約は引き続き検討が必要です。

3-4. 委託先の義務見直し——責任の所在がより明確に

DXの進展に伴い、個人データの取扱いを実質的に第三者に依存するケースが拡大しています。現行法では、委託を受けた事業者に直接適用される明示的な義務は限定的でした。

改正方針では、委託先に対して以下のような義務が新設される方向です。

クラウドサービスの利用やBPO（業務委託）を多用する企業にとって、サプライチェーン全体でのデータ管理体制の再構築が不可避です。

3-5. 漏えい時の本人通知義務の緩和——合理化の方向へ

現行法では、漏えい等報告と本人通知がセットで義務づけられていますが、改正方針では、本人の権利利益の保護に欠けるおそれが少ない場合は、本人への通知義務を緩和する方針が示されました。

たとえば、社内識別子（ID）など、漏えいした情報の取得者においてそれ単体ではおよそ意味を持たない情報のみが漏えいした場合に、代替措置（公表等）による対応を認める方向です。

ただし、漏えい等報告の合理化（PPC報告の免除等）については検討が継続されることとなり、今回の改正では大幅な変更は見送られています。

改正案で通知義務が一部緩和されるとはいえ、現行法のルールを無視してよいわけではありません。速報・確報のフローや、ウェブスキミング対応の現行実務は今後も引き続き重要です。まずは現行法の全体像を確認しておきましょう。

4. 法案成立から施行までのロードマップ

前回の令和2年改正のスケジュールを参考に、今回の改正のロードマップを整理すると以下のようになります（あくまで過去実績ベースの見通しであり、確定情報ではありません）。

5. 今すぐ始める「先回り準備」チェックリスト

法改正が施行されてからでは、社内規程の修正やシステム対応が間に合いません。以下のチェックリストで、今の段階からできる準備を整理しました。

上記チェックリストの実行にあたって、届出・コンプライアンス管理の効率化にはAIツールの活用が効果的です。法改正ごとの業務フローの見直しを自動化する実践ノウハウも参考にしてください。

6. 既存の漏えい対応実務への影響

当サイトの「個人情報保護法の実務完全ガイド【2025年最新版】」でも詳しく解説していますが、2024年4月施行の施行規則改正により、ウェブスキミング対応として「個人データになる前の個人情報」も漏えい報告の対象に拡大されています。

今回の改正方針で示された本人通知義務の緩和は、この漏えい対応実務にも影響を及ぼします。しかし、重要なのは以下の点です。

7. 今後のウォッチポイント——次にアクションが必要になるタイミング

今後、法改正が進むにつれて以下のタイミングで企業のアクションが必要になります。当サイトでは継続的にアップデート記事をお届けしますので、ブックマークの上、定期的にチェックしてください。

こうしたアクションを効率化するには、AIを活用した報告書・レポートの作成が有効です。改正動向の経営層向けサマリ作成にも応用できます。

8. まとめ：「改正待ち」ではなく「改正準備」を

2026年1月9日のPPC制度改正方針は、個人情報保護法の歴史の中でも「緩和」と「強化」が最も大胆に同居した改正になりそうです。

法務・情報セキュリティ担当者に求められるのは、法案が確定するのを「待つ」ことではなく、改正方針をベースに自社の準備を「先に進める」ことです。

特に以下の3点は、改正の成否にかかわらず実施して損のない取り組みです。

当サイトでは、今後も改正法案の国会審議の進捗、施行令・規則の策定状況、ガイドライン改訂など、最新情報を継続的にフォローしていきます。

あわせて読みたい関連記事