1. なぜ今、個人情報保護法が見直されるのか

個人情報保護法には、「施行後3年ごとに検討を加え、必要な措置を講ずる」という見直し条項が設けられています（令和2年改正法 附則第10条）。2022年4月に全面施行された現行法は、2025年4月で施行から3年を迎え、すでに2023年11月から個人情報保護委員会（PPC）による検討が進められてきました。

2025年の国会提出は見送られましたが、その後、個人情報保護委員会（PPC）が2026年1月9日に制度改正方針を公表しました。2026年4月7日に改正法案が国会に提出され、同年7月10日に成立、7月17日に公布されています。

2026年の改正は、データ利活用の円滑化と権利利益保護の強化を組み合わせたものです。成立した法律の内容は確定していますが、主要規定の施行日や政令・委員会規則・ガイドラインの詳細は施行準備段階にあります。最新資料は個人情報保護委員会「令和8年 改正個人情報保護法について」で確認できます。

2. 令和8年改正法の全体像──4つの柱と主要12論点

2026年7月17日に公布された令和8年改正法は、一定のデータ利活用に関する同意規律の緩和と、本人の権利利益保護・実効的な執行の強化を組み合わせています。以下では、2026年1月の制度改正方針に沿った4つの柱を維持しつつ、成立法の内容に照らして整理します。

PPCが示した4つの柱は以下の通りです。

これら4つの柱のもと、主要な改正論点を以下の一覧表で整理します。

全体として、一定の統計作成等を促進する一方で、子ども・顔特徴データ等の保護と執行を強化する構造です。委託先の規律は単純な一律強化ではなく、目的外取扱い禁止の明文化と、一定条件下での一般的義務の免除を併せ持ちます。

3. 企業影響が大きい5大改正ポイント【詳細解説】

3-1. 課徴金制度の創設——悪質な違反行為の経済的誘因を抑止

令和8年改正法は、一定の重大な個人情報保護法違反について課徴金納付を命じる制度を創設しました。ただし、2026年10月13日時点で、その主要規定を現行の適用制度として扱うことはできません。対象行為や算定方法は成立法の規定に基づき、今後の委員会規則等も確認する必要があります。

個人情報保護委員会の公式概要によれば、経済的誘因を伴う大量の個人情報の取扱いによる悪質な違反行為を抑止するため、違反行為により得た財産的利益等に相当する額を基礎とする仕組みです。すべての漏えい事故に一律に課徴金が科される制度ではありません。

課徴金の創設は、従来の勧告・命令や刑事罰による監督に加えて、違反の経済的誘因へ働きかけるものです。なお、課徴金を「命令なしに直接賦課できる」といった表現だけで理解せず、法定の対象・手続・要件を個別に確認する必要があります。

企業の実務では、課徴金制度の施行に先立ち、個人情報の取得・第三者提供の適法性、オプトアウト提供の有無、データ取扱いの収益構造などを点検します。課徴金額をデータ件数だけで機械的に試算することはできません。

3-2. 16歳未満の個人情報保護——法定代理人の関与を明文化

改正前のガイドライン・Q&Aでは、本人の同意能力に応じ、法定代理人等からの同意取得を求める考え方が示されていました。令和8年改正法は、原則として16歳未満の本人に関する同意取得・通知等について、法定代理人の関与を条文上明確化しています（一定の例外あり）。主要規定は施行前です。

成立した改正法には、次の規律が盛り込まれています。

サービス事業者は、本人の年齢把握、法定代理人の確認・同意記録、利用停止等請求フローを棚卸しする必要があります。ただし、16歳未満のすべての取扱いについて例外なく代理人同意が必要になるわけではありません。具体的な例外や確認手続は、成立法と今後の政令・規則・ガイドラインに照らして設計します。

3-3. AI開発のための同意規律の緩和——統計作成等目的の特例

令和8年改正法は、統計情報等の作成（統計作成等と整理できるAI開発等を含む）のみに利用されることを担保する等の条件の下で、個人データの第三者提供等や公開されている要配慮個人情報の取得について、本人同意の例外を設けています。主要規定は施行前であり、あらゆる生成AI利用が自由になるものではありません。

具体的には、以下の条件が想定されています。

この特例は、統計作成等の目的と法定の条件に合う場合に限られます。ユーザー企業の個人データをAIベンダーがモデル学習に無条件で利用できるとするものではありません。営業秘密、著作権、契約上の守秘義務、目的外利用の制限などは別途確認が必要です。

3-4. 委託先の義務見直し——目的外取扱い禁止と一般義務の一部免除

現行法では、委託元は法25条に基づき委託先を必要かつ適切に監督します。また、委託先が個人情報取扱事業者である場合、委託先にも原則として一般的な義務規定が適用されます。令和8年改正法は、委託先による委託業務の範囲を超えた取扱いを禁止する一方、一定条件を満たす機械的な受託処理について一般的義務の一部を免除する仕組みを設けています。

したがって、「委託先の義務を一律に強化する」という理解は正確ではありません。委託元・委託先双方について、処理方法を誰が決定するのか、委託契約で何を合意しているのか、取扱状況をどう把握するのかを整理する必要があります。

クラウドサービスやBPOを利用する企業は、委託契約・再委託条件・アクセス制御・事故報告・監査可能性を整理しましょう。適用が免除される範囲や具体的な契約要件は、今後の委員会規則等も踏まえて確定させる必要があります。

3-5. 漏えい時の本人通知義務の見直し——施行までは現行法で対応

現行法26条では、報告対象となる漏えい等が発生した場合、個人情報保護委員会への報告と本人通知が問題になります。令和8年改正法は、本人への通知をしなくても権利利益の保護に欠けるおそれが少ない場合について、本人通知義務の限定的な緩和を規定しました（施行前）。

例えば、取得者にとってそれ単体では意味を持たない社内識別子のみの漏えい等が想定例として挙げられていますが、具体的な適用範囲や代替措置は委員会規則等を確認する必要があります。

委員会報告についても、一定の漏えい事案における速報・確報の取扱いの合理化が検討されています。成立法で本人通知に関する例外が設けられたことと、すべての報告義務が緩和されたことは同じではありません。

現時点では、既存の速報・確報と本人通知の判断フローを維持し、ウェブスキミング対策を含めた現行法対応を徹底してください。改正規定が施行された後に、新しい例外要件を適用します。

4. 改正法の成立・公布と施行準備ロードマップ

改正法の提出・成立・公布はすでに完了しています。以下は2026年10月13日時点で確認できる事実と、今後の準備事項を区別したロードマップです。

5. 今すぐ始める「先回り準備」チェックリスト

2026年7月に改正法が成立したため、もはや法案の成立を待つ段階ではありません。一方、主要規定の施行までの準備期間があります。現行法上の義務を守りつつ、今から行える実務点検を整理します。

上記チェックリストの実行にあたって、届出・コンプライアンス管理の効率化にはAIツールの活用が効果的です。法改正ごとの業務フローの見直しを自動化する実践ノウハウも参考にしてください。

6. 既存の漏えい対応実務への影響

2024年4月施行の施行規則改正では、ウェブスキミングのような事案を踏まえ、個人データとして取り扱われる予定の個人情報が、所定の不正目的行為による漏えい等の報告対象事態の判断に含まれることが明確化されています。既存の個人情報保護法の実務完全ガイドも参考にしてください。

令和8年改正法が本人通知義務について一定の合理化を規定した一方、主要規定が施行されるまでは現行の漏えい等報告・本人通知の判断基準が適用されます。

7. 施行前にウォッチすべき事項と対応時期

法案の国会審議を待つ段階は終わりました。今後は政令・委員会規則の具体化、ガイドライン改訂、施行期日の確定を優先して確認します。

こうしたアクションを効率化するには、AIを活用した報告書・レポートの作成が有効です。改正動向の経営層向けサマリ作成にも応用できます。

8. まとめ：「法案待ち」から「施行準備」へ

2026年7月に改正法が成立・公布されたことで、制度改正は方針段階を終え、施行に向けた準備段階に移りました。統計作成等の同意特例と、16歳未満・顔特徴データ等の本人関与、課徴金などの新制度を区別して把握することが重要です。

法務・情報セキュリティ担当者が行うべきなのは、現行法上の運用を維持しつつ、改正法の施行日に向けた影響評価・規程改訂・委託管理の点検を計画的に進めることです。

特に、次の3つを優先すると準備の抜け漏れを減らせます。

個人情報保護委員会は、2026年7月31日・8月26日・9月16日・10月1日にかけて、政令・規則等の整備に向けた資料を公表しています。最新の進捗は改正法の公式特設ページで確認してください。

あわせて読みたい関連記事