【2026年10月更新】個人情報保護法の実務完全ガイド｜2024年施行規則改正と2026年改正法を比較
2026年7月成立・公布の改正法（令和8年法律第56号）と、2026年10月時点の施行準備状況を反映。現行法と未施行規定を区別しています。
📌 この記事の結論
A. 施行済みの現行ルール：2024年4月の施行規則改正により、ウェブスキミング等に関し、個人データとして取り扱われることが予定される個人情報の漏えい等も、一定の場合に報告対象事態の判断に含まれます。なお、保有個人データの安全管理措置に関する公表等の規律は2022年施行の改正に由来し、2024年改正で新たに設けられた義務ではありません。
B. 令和8年改正法（成立・公布済み／主な規定は施行待ち）：2026年7月10日成立、同月17日公布（令和8年法律第56号）。課徴金制度、統計作成等に関する同意規制の特例、16歳未満の保護、顔特徴データ等の規律、委託を受けた事業者の規律見直しなどが盛り込まれました。制定されたことと現時点で適用されることは別です。
C. 施行準備と現行義務の点検：プライバシーポリシー、委託契約書、漏えい対応フローの3文書を優先して確認します。改正法の具体的な運用要件が確定していない項目については、現行ルールを維持しつつ規則等の整備を追跡してください。
🔗 関連記事
目次
個人情報保護法の実務対応を効率化したい方へ
プライバシーポリシー作成から漏えい対応、委託先管理まで——日常業務を即座に効率化するAIプロンプト集（全42本）をご用意しています。
まず結論：現行法と令和8年改正法の区別
🎯 法務担当者のための3分類整理
A. 今すぐ対応が必要（施行済み）
2024年4月施行の施行規則改正（第7条第3号）により、ウェブスキミング等について個人データ化前の個人情報が漏えい等報告の判断対象となる場合が明確になりました。漏えい対応マニュアルとWebフォームの事故検知・初動フローを点検してください。保有個人データの安全管理措置の公表等は2022年施行の改正に由来する既存の規律であり、2024年改正の新設事項ではありません。
B. 令和8年改正法（成立・公布済み／主要規定は未施行）
2026年1月9日に制度改正方針が公表され、4月7日に第221回国会へ法案が提出されました。7月10日に成立、7月17日に公布された改正法は、統計作成等の利活用特例、課徴金、16歳未満の保護、顔特徴データ、委託先規律の見直し等を含みます。主な規定は施行待ちであり、従前のルールを直ちに置き換えるものではありません。
C. 社内規程・委託契約・漏えい対応フローで見直すべきこと
改正法は一部を除き、2026年7月17日の公布から2年以内で政令の定める日に施行されます。2026年10月13日時点で主要規定の施行日は未確定です。現行の安全管理・委託先監督・漏えい対応を継続しながら、制度設計の動向を確認して社内規程や契約の改定計画を準備します。
| 区分 | 状況 | 対応優先度 | 時期 | 主な内容 |
|---|---|---|---|---|
| 🟢 2024年施行規則改正 | 施行済み | 最高（未対応なら即時） | 2024年4月1日施行 | ウェブスキミング対策（施行規則第7条第3号改正） |
| 🟡 令和8年改正個人情報保護法 | 成立・公布済み／主要規定は施行待ち | 高（施行準備） | 2026年7月10日成立、7月17日公布。一部を除き公布から2年以内の政令指定日に施行（具体日は未確定） | 課徴金、同意規制の特例、委託先規律、16歳未満の保護、顔特徴データ等 |
令和8年改正法の状況：2026年4月7日に国会提出、7月10日に成立、7月17日に公布（令和8年法律第56号）。主な改正規定はまだ施行前です。一部を除き、公布日から2年以内の政令指定日に施行されます。政令・規則・ガイドラインの具体化は進行中であり、成立した改正法の内容と現時点で適用される義務を区別してください。
公式情報：個人情報保護委員会「令和8年改正個人情報保護法」
個人情報保護法の基本構造
個人情報保護法とは
個人情報保護法（正式名称：個人情報の保護に関する法律）は、個人情報の適正な取扱いを定めた法律です。2003年5月に制定され、2005年4月から全面施行されました。
第1条では、個人情報の有用性に配慮しつつ、個人の権利利益を保護することを目的としています。所管する行政機関は個人情報保護委員会で、民間事業者のほか国の行政機関、地方公共団体等も適用対象に含まれます。
個人情報・個人データ・保有個人データの違い
個人情報保護法では、データの状態や管理状況によって呼び方と適用されるルールが異なります。実務上、どの段階の情報を取り扱っているかで義務の内容が変わるため、この区分の正確な理解が重要です。
| 用語 | 定義 | 例 | 適用されるルール |
|---|---|---|---|
| 個人情報 | 生存する個人に関する情報で、特定の個人を識別できるもの（第2条第1項） | 氏名、生年月日、住所、顔写真、マイナンバー等 | 取得・利用に関する規律 |
| 個人データ | 個人情報データベース等を構成する個人情報（第16条第3項） | 顧客データベース、従業員名簿等 | 安全管理措置（第23条）、第三者提供の規律（第27条） |
| 保有個人データ | 開示・訂正・利用停止等の権限を有する個人データ（第16条第4項）。※令和2年改正により、6ヶ月以内消去の短期保存データも含まれる | 顧客DB、短期保存の問い合わせ履歴等 | 開示請求・訂正請求・利用停止請求への対応義務 |
2024年施行規則改正で、いま対応が必要な点
ウェブスキミング対策（施行規則第7条第3号改正）
改正の背景
ECサイト等に不正プログラムを設置し、ユーザー入力情報を事業者のサーバを介さず直接窃取する「ウェブスキミング」被害が深刻化していました。改正前はウェブスキミング事案への適用関係が明確でなく、今回の改正により「個人データとして取り扱われることが予定されている個人情報」も報告対象事態の判断対象に含まれることが明確化されました。
改正の内容
2024年4月1日施行の施行規則改正により、「個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているもの」が報告対象事態の判断対象に含まれることが明確化されました（施行規則第7条第3号）。
具体的には、ECサイトの入力フォームに入力されたがまだデータベースに格納されていない情報も、不正目的をもって行われたおそれがある行為による漏えい等であれば対象になります。
安全管理措置の公表・問い合わせ対応（2022年施行の既存規律）
保有個人データの安全管理措置について、本人の知り得る状態に置くこと（求めに応じ遅滞なく回答する場合を含む）は、2022年施行の令和2年改正に基づく既存の義務です（法第32条第1項第4号、施行令第10条第1号）。2024年施行規則改正によって一律にプライバシーポリシーを変更する義務が新設されたわけではありません。以下は両者を区別して運用するための記載例です。
【保有個人データの安全管理措置に関する記載例】
当社は、取り扱う個人データの性質とリスクに応じて、組織的、
人的、物理的および技術的安全管理措置を講じています。
例：アクセス権限の管理、従業者の教育、不正アクセス防止、
Webフォームの安全性の点検、事故発生時の連絡体制の整備。
詳細については、本人からの求めに応じて、法令に従い回答します。
（ただし、公表等により安全管理に支障が生じる事項を除きます。）安全管理措置の内容をすべてプライバシーポリシーに詳細記載することが法令上の義務というわけではありません。ガイドライン上、「本人の知り得る状態に置くこと」が求められますが、詳細な技術的措置まで公表するかは各社の判断です。ただし、問い合わせがあった場合に遅滞なく回答できる体制は必要です。
📋 対応状況の確認項目
2026年改正法（成立・公布済み／施行待ち）の主な内容
以下は2026年7月17日公布の「個人情報の保護に関する法律等の一部を改正する法律」（令和8年法律第56号）を中心に整理したものです。一部を除き主要規定は施行前であり、具体的な委員会規則・ガイドラインは引き続き整備中です。令和8年改正法の公式資料を参照してください。
令和8年改正法は、①適正なデータ利活用の推進、②リスクに適切に対応した規律、③不適正利用等の防止、④規律遵守の実効性確保、という4つの柱で整理できます。以下の12項目は、成立・公布済みの改正法について企業実務の観点から整理したものです。いずれも個別の施行時期・下位規範の確認が必要です。
成立した改正法の主な12項目（主要規定は未施行）
| 柱 | 項目 | 実務への影響度 |
|---|---|---|
| 適正なデータ利活用の推進 | ①同意規制の見直し（統計作成等の特例、本人意思に反しない場合の例外等） | 高 |
| ②学術研究例外の見直し（医療機関等を明示） | 中（医療分野） | |
| ③16歳未満の個人情報の保護強化 | 高（toC企業） | |
| リスクに適切に対応した規律 | ④顔特徴データ等の規律強化（周知義務化、オプトアウト提供禁止） | 高（防犯カメラ・生体認証利用企業） |
| ⑤委託を受けた事業者の義務を一定条件下で見直し（委託元の監督との関係を整理） | 高（全業種） | |
| ⑥漏えい等の本人通知義務の緩和 | 中 | |
| 不適正利用等の防止 | ⑦特定の個人への働きかけが可能な個人関連情報について不適正利用・不正取得を禁止 | 中 |
| ⑧オプトアウト事業者への規律強化（提供先確認義務等） | 高（名簿事業者等） | |
| 規律遵守の実効性確保 | ⑨課徴金制度（施行待ち） | 高（全業種） |
| ⑩命令要件の見直し | 中 | |
| ⑪罰則の強化（不正提供罪の対象拡大・法定刑引上げ、不正取得罪の新設） | 高 | |
| ⑫違反行為を補助する第三者に対する中止等の要請根拠 | 中（クラウド事業者） |
特に実務影響の大きい5項目の解説
①同意規制の見直し
令和8年改正法では、統計情報等の作成（統計作成等に該当するAI開発等を含む）のみを目的とした一定の個人データ等の第三者提供や、公開されている要配慮個人情報の取得に関する本人同意の特例が設けられています（改正後第30条の2、第31条の3等）。ただし、目的限定、公表、当事者間の合意等の条件があり、施行前に一般的なAI学習目的で同意なしの利用が解禁されたわけではありません。
実務上は、統計作成等に該当するAI開発のためのデータ連携に影響します。ただし、あらゆるAI学習や個人データの二次利用が自由になるわけではありません。実施に際しては、改正法の施行日、委員会規則における公表・契約等の要件、データの利用範囲、現行法との関係を確認する必要があります。
また、取得の状況から本人の意思に反しないことが明らかな場合の同意規制の例外や、生命等の保護・公衆衛生の向上等に係る同意取得困難性の要件緩和も改正法に盛り込まれました。具体的対象範囲は下位規範等を確認する必要があり、これらも施行前に適用できるものではありません。
③16歳未満の個人情報の保護強化
令和8年改正法では、16歳未満の本人について、同意取得や通知等の相手方を法定代理人とする取扱いの明文化、利用停止等請求の要件緩和、未成年者の最善の利益を優先して考慮すべき旨の責務規定が設けられました（改正後第35条第9項・第10項、第40条の2等）。施行前は現行法で判断し、年齢確認や代理人対応の準備を進めます。
未成年者向けサービスでは、年齢確認の方法、法定代理人同意の取得・確認、利用停止等請求への対応フローを検討します。ただし、年齢確認の手段や証跡の具体的方法を、改正法の成立だけを理由に一律の法的義務と断定することはできません。施行準備資料と規則の整備状況を確認してください。
⑤委託先規律の見直し
令和8年改正法には、委託を受けた事業者の規律を一定の条件下で見直す規定が盛り込まれました（改正後第30条の3、第58条の2等）。委託元の指示の下で処理する事業者について、一般的義務の適用関係を整理するものであり、「委託先への監督が不要になる」「SaaSなら一律に免責」という意味ではありません。対象となる処理、契約・監督、委員会規則の要件を確認します。
⑥漏えい等の本人通知義務の緩和
令和8年改正法は、本人の権利利益の保護に欠けるおそれが少ない一定の場合について、漏えい等発生時の本人通知義務を見直すものです（改正後第26条第2項）。改正規定の施行までは現行の本人通知・報告制度に従って判断してください。本人通知の例外の具体化に向けた規則等の整備状況も確認が必要です。
⑨課徴金制度の導入
令和8年改正法により、重大な違反行為で個人の権利利益が侵害された場合等に、違反によって得られた財産的利益等に相当する額を基礎とする課徴金制度が設けられました（改正後第148条の3～第148条の17）。制度は成立・公布済みですが、主な規定は施行前であり、現時点の違反に直ちに改正法の課徴金が課されるわけではありません。また、一般の漏えい事故が一律に課徴金対象となるものではない一方、漏えい事故に対する安全管理義務や民事上の責任がなくなるものでもありません。
改正法の成立・公布と今後の施行スケジュール
| 時期 | 確認できる出来事 | 実務上の意味 |
|---|---|---|
| 2026年1月9日 | 制度改正方針公表 | 検討段階の方針を公表 |
| 2026年4月7日 | 改正法案を国会提出 | 第221回国会（特別会） |
| 2026年7月10日 | 改正法成立 | 内容が法律として確定 |
| 2026年7月17日 | 令和8年法律第56号公布 | 主要規定は未施行 |
| 2026年7月31日 | 委員会の施行準備ロードマップ決定 | 政令・規則・ガイドライン等の整備を開始 |
| 2026年8月26日 | 政令・規則等で定める事項の全体像を決定 | 詳細設計の検討 |
| 2026年9月9日 | 規則・ガイドライン等の整備の進め方を決定 | 関係者との意見交換等を推進 |
| 2026年9月16日・10月1日 | 政令・規則整備の基本的な考え方を審議・決定 | 公表資料を基に準備項目を確認 |
| 今後（具体的施行日は未確定） | 主要改正規定の施行 | 一部を除き公布から2年以内の政令指定日 |
上表の成立・公布日は確定情報です。一方、主な改正規定の具体的な施行日は2026年10月13日時点では未確定です。一部規定には別の施行時期があるため、改正法附則と政令の最新状況を必ず確認してください。
実務で先に整備すべき3文書（規程・委託契約・漏えい対応フロー）
改正法は成立・公布されましたが、主要規定の施行を待たずに着手できる社内の準備はあります。ここでは、現行法第23条に基づく安全管理措置の4要素を踏まえ、優先的に点検すべき3文書を整理します。
安全管理措置の4つの要素（法第23条）
個人情報保護法第23条に基づき、個人情報取扱事業者は個人データの安全管理のために必要かつ適切な措置を講じる義務があります。ガイドライン（通則編）では、以下の4つの観点からの措置が求められています。
| 措置の種類 | 概要 | 主な対応例 |
|---|---|---|
| 組織的安全管理措置 | 体制整備、規程策定、取扱状況の記録・点検 | 個人情報保護責任者の設置、取扱規程の策定、内部監査の実施 |
| 人的安全管理措置 | 従業者への教育・訓練、秘密保持 | 入社時・定期研修、秘密保持契約、アクセス権限の定期見直し |
| 物理的安全管理措置 | 入退室管理、機器・媒体の盗難防止 | 保管区域の立入制限、施錠管理、書類のシュレッダー廃棄 |
| 技術的安全管理措置 | アクセス制御、認証、不正アクセス防止 | 最小権限の原則、ログ管理、暗号化、侵入検知システム |
文書①：プライバシーポリシー
保有個人データの安全管理措置に関する公表等は2022年施行の既存制度です。これを確認したうえで、令和8年改正法の施行後に影響する同意・通知や16歳未満の取扱いについて、将来の改定項目を洗い出します。未施行の例外を先取りして現行の同意取得手続を緩和しないでください。
文書②：委託契約書
令和8年改正法で委託を受けた事業者の規律見直しが盛り込まれましたが、現行の法第25条の委託先監督義務は引き続き適用されます。委託の内容、管理権限、委託先の実態と事故対応を点検し、将来の新制度に備えて責任分界点を確認します。
文書③：漏えい対応フロー
改正法に本人通知義務を緩和する規定は設けられましたが、当該主要規定は施行前です。現行法の報告・通知義務を前提としてフローを維持し、施行後に必要な改訂箇所を準備します。
これらの文書整備を「その場で」効率化
個人情報保護法 AIプロンプト集
全42本｜買い切り5,480円（税込）
※ 条文・ガイドラインに基づかない創作を禁止する「ハルシネーション防止設計」
個人情報保護法プロンプト集の内容を確認する →条文・FAQベースで整理するペナルティと監督対応
A. 行政処分（現行法）
| 処分 | 内容 | 根拠条文 |
|---|---|---|
| 指導・助言 | 違反状態の是正を促す行政指導 | 第147条 |
| 勧告 | 違反行為の中止等を求める行政指導 | 第148条第1項 |
| 命令 | 違反行為の中止等を命じる行政処分（従わない場合は刑事罰） | 第148条第2項・第3項 |
改正法では、是正命令の要件見直し、本人への通知・公表等を求める制度、違反を補助する第三者に中止等を要請するための根拠規定（改正後第148条、第148条の2）を設けています。施行前の監督対応には現行法の規定を適用します。
B. 刑事罰（現行法）
令和2年改正により法定刑が大幅に引き上げられています。以下は現行法の規定です。
| 違反行為 | 個人（行為者） | 法人（両罰規定） | 根拠条文 |
|---|---|---|---|
| 委員会の命令違反 | 1年以下の拘禁刑または100万円以下の罰金 | 1億円以下の罰金 | 第178条、第184条 |
| 個人情報データベース等の不正提供・盗用 | 1年以下の拘禁刑または50万円以下の罰金 | 1億円以下の罰金 | 第179条、第184条 |
| 委員会への虚偽報告・検査拒否等 | 50万円以下の罰金 | 50万円以下の罰金 | 第182条、第185条 |
改正法では、不正提供等の処罰範囲の拡大や刑の引上げ、詐欺行為等による個人情報の不正取得に対する罰則新設を定めています（改正後第178条～第180条等）。適用の判断では、行為時点の施行済み規定を確認してください。
C. 課徴金制度（令和8年改正法で創設、施行待ち）
2026年7月17日に公布された令和8年改正法では、一定の重大な違反行為を対象とする課徴金制度が創設されました（改正後第148条の3～第148条の17）。施行前の現時点で課徴金を課す根拠として直ちに適用されるものではありません。制度の対象要件、利益額の算定、手続は、法律と今後の下位規範を確認する必要があります。
| 項目 | 制度改正方針（2026年1月） | 令和8年改正法（2026年7月公布） |
|---|---|---|
| 導入方針 | 導入の是非を含め継続検討 | 制度を創設（主要規定は施行待ち） |
| 対象行為 | 大規模事案（目安：1,000人）に限定する案等 | 重大な違反行為により個人の権利利益が侵害された場合等（改正条文に規定） |
| 算定方法 | 違法により得た財産的利益を基礎とする案 | 違反行為により得られた財産的利益等に相当する額を基礎とする |
| 安全管理措置違反 | 検討中 | 漏えい事故それ自体が一律に対象になるわけではない |
| 団体訴訟制度 | 検討中 | 今回の改正法では制度創設されていない |
D. 民事責任・レピュテーションリスク
法令上のペナルティとは別に、個人情報の漏えい等により、不法行為（民法第709条）や債務不履行（民法第415条）に基づく損害賠償請求を受ける可能性があります。財産的損害（不正利用による金銭被害等）、精神的損害（慰謝料）、二次被害対策費用（カード再発行等）のほか、顧客・取引先からの信頼喪失、メディアでの否定的報道、上場企業であれば株価下落といったレピュテーションリスクも深刻です。
部門別チェックリスト
【全社共通】個人情報保護体制の整備
【法務・コンプライアンス部門】
【人事部門】
【情報システム部門】
🔗 実務対応の関連記事
FAQ（よくある実務質問）
Q1. 2024年施行規則改正で何が変わりましたか？
A. 2024年4月施行の施行規則改正により、第7条第3号が改正され、ウェブスキミング対策として「個人データとして取り扱われることが予定されている個人情報」も報告対象事態の判断対象に含まれることが明確化されました。安全管理措置の公表内容又は問い合わせ対応体制の整備状況を確認してください。
Q2. 令和8年改正個人情報保護法はいつ施行されますか？
A. 改正法（令和8年法律第56号）は2026年7月10日に成立し、7月17日に公布されました。主要規定は一部を除き、公布から2年以内の政令指定日に施行されます。2026年10月13日時点で具体的な施行日は未確定です。個人情報保護委員会の改正法特設ページで最新状況を確認してください。
Q3. 委託先が小規模事業者でも監督は必要ですか？
A. はい。現行法第25条の委託先監督義務には、委託先が小規模であることだけによる一律の例外はありません。監督の具体的方法や頻度は、取り扱うデータの性質・量、委託内容、委託先の安全管理状況等に応じて決めます。法律が一律に「年1回のチェックリスト提出」を義務付けているわけではありません。令和8年改正法に盛り込まれた委託を受けた事業者の規律見直しは、主な規定が施行されるまでは現行義務を変更しません。
Q4. アクセスログはどのくらい保存すべきですか？
A. 法令上の一律の保存期間基準はありません。以下は社内基準を設計する際の実務的な参考値であり、法令が直接定める基準ではありません。
自社のリスク評価（取り扱うデータの種類・量、業界特性、過去のインシデント履歴等）に基づいて設定してください。
Q5. 仮名加工情報と匿名加工情報の違いは？
| 項目 | 仮名加工情報 | 匿名加工情報 |
|---|---|---|
| 定義 | 他の情報と照合しない限り特定個人を識別できない情報 | 特定の個人を識別できず、復元もできない情報 |
| 加工の程度 | 比較的軽度（氏名等の削除・置換） | 高度（統計処理、ノイズ追加等） |
| 第三者提供 | 原則禁止（共同利用等の例外あり） | 可能（公表義務あり） |
| 実務での用途 | 社内統計分析、マーケティング分析 | 他社への提供、公開データとしての利用 |
Q6. 課徴金制度はどうなりますか？
A. 令和8年改正法に課徴金制度が盛り込まれ、2026年7月に成立・公布されました。主な規定は未施行です。対象は、一定の重大な違反行為により権利利益が侵害された場合等であり、違反によって得た財産的利益等に相当する額を基礎とする仕組みです。現行の全ての漏えい事故に課徴金が発生するわけではありません。
参考情報
法改正テーマでは、必ず一次情報（法令・個人情報保護委員会の公式資料）を直接確認してください。二次情報のみに依拠すると、最新の改正内容や解釈変更を見逃すリスクがあります。
一次情報（公式サイト・法令）
e-Gov法令検索では、未施行条文・経過措置の有無を必ず確認してください。個人情報保護法は改正履歴が多く、旧条文番号の情報がネット上に残っている場合があります。現行法の条番号（安全管理措置：第23条、委託先監督：第25条、漏えい等報告：第26条等）と照合して確認することが重要です。
業界別ガイドライン
業種によっては、個人情報保護委員会とは別に監督官庁が業界特有のガイドラインを策定しています。金融分野（金融庁）、医療・介護分野（厚生労働省）、電気通信分野（総務省）など、該当する場合は併せて確認してください。
🔗 あわせて読みたい記事
📌 個人情報保護法対応の実務を効率化しませんか？
本記事で解説したプライバシーポリシー作成、安全管理措置、委託先管理、漏えい対応——これらをAIで効率化する『個人情報保護法 AIプロンプト集（全42本）』を提供しています。
6章構成で実務を網羅。2024年施行規則改正対応済み。
免責事項
本記事は2026年10月13日までに公表された一次資料を基に、現行法と令和8年改正法の未施行規定を区別して整理しています。個別取引では、施行日・経過措置・委員会規則・ガイドラインの最新情報を確認してください。
参照した主要な情報源
重要な注意事項
最新情報の確認先
プライバシーポリシーの作成プロンプト
個人情報保護法の現行ルールに沿ったプライバシーポリシーの作成をAIで補助。改正法に関係する条項は施行日と最新の委員会規則を確認してから反映してください。
法務プロンプト 8-05
個人情報保護法対応・企業向けプライバシーポリシー自動生成
📦 収録内容
💡 使い方のヒント
ダウンロード後、プロンプト本体をコピーしてお使いのAIに貼り付けてください。【入力情報】の部分を自社の情報に書き換えるだけで、すぐにプライバシーポリシーの作成を開始できます。最終版は必ず弁護士等の専門家にご確認ください。
🔍 関連ガイドへ進む
この記事と関連度の高い実務ガイドをまとめています。次に読むならこちら。
