はじめに：なぜ今プライバシーポリシーの見直しが必要なのか

個人情報保護委員会は2025年1月22日に「個人情報保護法 いわゆる３年ごと見直しに係る検討の今後の検討の進め方について」を公表し、2025年の改正に向けた具体的な検討が進められています。さらに、2025年2月5日には「個人情報保護法の制度的課題に対する考え方について（個人データ等の取扱いにおける本人関与に係る規律の在り方）」が公表され、改正の方向性や論点整理が示されています（いずれも検討段階の資料です）。

法務担当者として押さえておくべきは、「施行日に間に合わせる」ではなく「施行前に運用開始」を目標とすることです。改正内容の確定を待つのではなく、検討案ベースでの準備を今から始める必要があります（ただし、検討案は最終案ではないため、確定後の修正を見越した運用設計を行ってください）。

改正状況の全体像（2025年10月現在）

【確定・対応必須】2024年改正のプライバシーポリシー対応

ウェブスキミング対策関連（個人情報保護法施行規則第7条第3号改正）

改正背景：
近年、ECサイト等に不正プログラムを設置し、ユーザー入力情報を事業者のサーバを介さずに直接窃取する「ウェブスキミング」被害が深刻化。従来は「個人データ」になる前の「個人情報」段階での窃取は報告対象外でしたが、被害実態を踏まえ個人情報保護法施行規則第7条第3号が改正され、一定の個人情報段階での漏えい等も報告・通知対象に含まれるようになりました。

改正内容：
2024年4月1日施行の個人情報保護法施行規則改正により、一定の漏えい等発生時に義務づけられている個人情報保護委員会への報告（個人情報保護法第26条）と本人への通知の対象が拡大されました。

プライバシーポリシーへの必要な追記例

漏洩対応の詳細については、法改正を社内へ効率的に伝えるテンプレを活用して、社内周知を徹底してください。

【検討案ベース】2025年改正案の想定変更点

1. 同意規制の柔軟化（検討案）

検討内容：
個人の権利利益への直接の影響の有無という観点を考慮し、以下の場合には本人同意を要しないデータ利活用ができると整理される可能性があります（あくまで検討案です）：

• 統計作成等、特定の個人との対応関係が排斥された一般的・汎用的な分析結果の獲得と利用のみを目的とした取扱い（AI開発等を含む）
• 取得の状況からみて本人の意思に反しない取扱い（例：店舗内の防犯カメラ映像を交通量調査に利用する場合等）

適用条文（検討中）：個人情報保護法第18条第1項（目的外利用の制限）、第27条第1項（第三者提供の制限）

プライバシーポリシー記載例（検討案ベース）

2. 漏洩等発生時の本人通知義務の緩和（検討案）

検討内容：
本人への通知が行われなくても本人の権利利益の保護に欠けるおそれが少ない場合においては、本人通知を要しないものと整理できるかが検討されています（検討案の一部）。

適用条文（検討中）：個人情報保護法第26条第2項（本人への通知）

プライバシーポリシーへの想定影響

• 漏洩時の対応手順の詳細化（本人通知を行う場合・行わない場合の基準明示）
• 通知を行わない場合の代替的な対応措置の説明（ウェブサイトでの公表等）
• 個人情報保護委員会への報告は引き続き義務（緩和の対象外）

3. 委託先事業者に対する規律強化（検討案）

検討内容：
DXの進展に伴い、委託された個人データ等の取扱いの態様や、その適正性を確保する能力など、個人データ等の適正な取扱いに係る義務の在り方を検討。特にクラウドサービス利用時の責任分界点の明確化が議論されています。

適用条文（検討中）：個人情報保護法第25条（委託先の監督）

プライバシーポリシーへの想定影響

• 委託先の監督体制に関する説明の充実（選定基準、定期的な監査実施等）
• クラウドサービス利用時の責任分界点の明確化（IaaS/PaaS/SaaSの区別）
• 委託先変更時の通知方法の見直し（重要な委託先変更時の事前通知等）
• 再委託時の管理体制の明示（再委託の承認プロセス、管理責任の所在）

4. 子供の個人情報等の取扱い（検討案・新規）

検討内容：
心身の発達過程にあり、本人による関与等の規律が必ずしも期待できない子供の個人情報等の取扱いについて、保護者の関与の在り方や事業者の配慮義務等が検討されています（検討段階の論点整理）。

【表で一発比較】2025年対応の差分表

共同利用・外国第三者提供・仮名加工情報の変更点

クッキー同意と行動ターゲティング広告の実務Q&A

電気通信事業法改正（2023年6月施行）により、クッキー等の外部送信規律が導入されました。プライバシーポリシーにおけるクッキー関連の記載は、個人情報保護法だけでなく、電気通信事業法第27条の12（外部送信規律）も考慮する必要があります。

Q1. クッキーバナー（同意取得ポップアップ）の設置は必須ですか？

Q2. プライバシーポリシーにクッキーについて何を記載すべきですか？

Q3. 行動ターゲティング広告を実施する場合の注意点は？

Q4. Google Analytics（GA4）を使用する場合の対応は？

課徴金制度の検討状況

現状：
個人情報保護法のいわゆる３年ごと見直しに関する検討会で計7回の会合を経て、2024年12月末に議論の状況を整理した報告書を取りまとめた段階です。課徴金制度の導入の是非や算定方法などは継続して検討中であり、具体的な金額水準や運用ルールは示されていません（検討段階）。

課徴金制度の検討ポイント

• 導入目的：違反行為の抑止と法令遵守の実効性確保
• 対象行為：個人情報の不正取得、目的外利用、無断第三者提供等（具体的範囲は検討中）
• 算定基準：違反行為により得た利益の額を基礎とする案が有力（具体的な倍率・上限額は未定）
• 減免制度：自主報告や是正措置の実施により減免する制度の導入が検討されている

プライバシーポリシーへの想定影響（導入された場合）

• 違反時のペナルティに関する説明の追加
• 法令遵守体制に関する記載の充実（コンプライアンス・プログラムの実施等）
• 内部通報制度の整備状況の明示

実務対応チェックリスト

🟢【最優先・今月中】2024年改正完全対応

🟡【年内目標】2025年改正案準備

🔵【継続対応】基本事項の確認

チェックリスト作成の効率化には、2025年の法改正ラッシュと対応スケジュールのまとめも併せてご活用ください。

段階的対応スケジュール

よくある質問（FAQ）

まとめ：「守り」から「攻め」のプライバシー戦略へ

個人情報保護法の改正対応は、単なる法令遵守を超えて企業価値向上の機会として捉えることが重要です。検討段階の論点を踏まえつつ、事前に運用設計を行うことで、施行時の負荷を低減できます。