1. なぜ今、プライバシーポリシー改定が必要なのか

「うちのプライバシーポリシー、最後に見直したのはいつだろう？」——そんな法務担当者は少なくありません。しかし2026年3月現在、プライバシーポリシーの改定が急務となる理由は明確です。

まず、2024年4月1日に施行済みの施行規則改正（施行規則7条3号の改正）への対応が完了していない企業は、今すぐ対応が必要です。ウェブスキミング被害の増加を背景に、漏えい等報告の対象が「個人データ」から「個人データになる前の個人情報」にまで拡大されています。安全管理措置の記載がこの範囲をカバーしているか、確認が欠かせません。

次に、個人情報保護委員会が2026年1月9日に公表した「制度改正方針」です。これは個人情報保護法のいわゆる3年ごと見直しの最終的な改正方針であり、2026年通常国会（1月23日〜6月21日）への法案提出が検討される局面にあります（提出・成立時期は今後の公表資料により変動する可能性があります）。成立した場合、施行まで一定の準備期間が置かれるのが通常で、過去の改正例では概ね1〜2年程度の期間が設けられています（ただし改正内容・政省令整備により変動します）。

さらに、生成AIの業務利用が急拡大しており、AIベンダーへの個人データ提供や学習利用に関するポリシー記載が新たな実務課題になっています。

この3つの変化に対応するため、プライバシーポリシーの「どこを」「どう直すか」を、差分表とチェックリストで可視化するのが本記事の目的です。

2. 法改正ステータス一覧（2026年3月時点）

3. 差分表：現行ポリシー → 追記すべき条項

以下の差分表は、プライバシーポリシーの各条項について「現行ポリシーで不足しがちな記載」と「改定方針を踏まえた追記の方向性」を一覧化したものです。法務担当者が「自社はどの条項を直す必要があるか」を手早く確認できるよう設計しています。

4.【確定対応】2024年施行規則改正のポイント

ウェブスキミング対策と報告対象の拡大

2024年4月施行の施行規則改正の核心は、不正目的のおそれがある漏えい等の報告対象が「個人データ」から拡大された点にあります。具体的には、「個人データとして取り扱われることが予定されている個人情報」——つまり、ECサイトの決済画面・会員登録フォーム・問い合わせフォーム・資料請求フォームなど、入力フォーム上で一時的に取り扱う個人情報で、まだデータベースに格納されていない段階の情報も報告対象に含まれるようになりました（施行規則7条3号）。

この改正は、近年深刻化するウェブスキミング（ECサイト等の入力フォームから不正にカード情報等を窃取する攻撃）への対策として導入されたものです。

プライバシーポリシーへの追記例

【安全管理措置】

当社は、保有する個人データのほか、個人データとして取り扱われることが
予定されている個人情報（入力フォームに入力中の情報等を含みます）に
ついても、不正の目的をもって行われるおそれがある行為による漏えい等
を防止するため、以下の安全管理措置を講じています。

(1) ウェブサイトへの不正プログラム設置の防止措置
(2) 入力フォームにおけるセキュリティ対策の実施
(3) 定期的なシステム脆弱性の点検
(4) 委託先との契約における安全管理措置の明文化
(5) 従業者に対する教育・訓練の実施

漏えい等報告体制の見直し

安全管理措置のポリシー記載に加え、社内の漏洩対応マニュアルが2024年改正の報告対象拡大に対応しているかも確認が必要です。特にランサムウェア攻撃による暗号化事案は、「不正目的のおそれがある漏えい等」に該当するため、報告義務の対象となります。

報告義務の詳細（速報・確報の期限など）は、個人情報漏えい時の「速報」「確報」報告義務を徹底解説で整理しています。

5.【先回り対応】制度改正方針（2026/1/9公表）12項目とポリシーへの影響

個人情報保護委員会が公表した制度改正方針は、「適正なデータ利活用の推進」「リスクに適切に対応した規律」「不適正利用等の防止」「規律遵守の実効性確保のための規律」の4つの柱のもと、12の改正項目が示されています。

以下では、プライバシーポリシーの改定に直接影響する主要項目を実務観点で整理します。

① 同意取得の例外拡大

現行法では、目的外利用・要配慮個人情報取得・第三者提供に原則として本人同意が必要です（法18条、20条2項、27条）。制度改正方針では、以下の場合に本人同意を不要とする方向が示されています。

• 統計作成等を目的とした利用（AI開発目的を含む）
• 取得の状況から見て本人の意思に反しない利用（契約履行に不可欠な場合等）
• 生命・公衆衛生の向上等のため同意取得が困難な場合の要件緩和

ポリシーへの影響：利用目的の記載について、「すべて本人同意を前提」とする過剰な記載は見直しが必要になる可能性があります。法令に基づく例外を正確に反映した記載に改めることが望ましいです。

② 委託先規律の強化

現行法では委託先への直接の義務規定はなく、委託元の監督義務（法25条）のみが定められています。制度改正方針では、委託先に対して以下の直接義務を新設する方針が示されています。

• 委託業務の範囲を超えた取扱いの禁止（明文化）
• 安全管理に係る義務
• 委託先が「機械的に処理するのみ」のケースでは、一定の契約合意を条件に4章の義務を免除（安全管理義務・範囲制限義務のみ適用）

ポリシーへの影響：委託先管理の条項を大幅に強化する必要があります。具体的には、適格性審査・契約要件・監査・事故報告・再委託の統制について、契約条項との対応関係を明確にした記載が求められます。

委託先管理の実務テンプレートは、個人情報保護法×生成AI時代の委託・再委託チェックリストで詳しく解説しています。

③ 漏えい等の本人通知義務の緩和

制度改正方針では、本人の権利利益の保護に欠けるおそれが少ない場合は、本人への通知義務を緩和する方向が示されています。

ポリシーへの影響：通知省略の判断基準と、省略した場合の証跡保持について社内ルールを整備しておく必要があります。ポリシーには「法令に基づき通知を省略する場合がある」旨の記載を加えることが考えられます。

④ 課徴金制度の導入

制度改正方針では課徴金制度の導入が明記されています。悪質な違反行為で得た収益を徴収する仕組みで、経済的な抑止力を狙ったものです。

ポリシーへの影響：直接のポリシー記載よりも、ガバナンス体制の強化（社内規程・教育・監査）が重要です。ポリシーの実効性を裏付ける運用体制の構築が求められます。

⑤ 16歳未満の個人情報保護

子どもの個人情報について、法定代理人の同意取得などの上乗せ規律が新設される方向です。現行法のQ&A（1-62）では12〜15歳以下について法定代理人の同意が必要とされていましたが、これが法律レベルで明確化されます。

⑥ その他の主要項目

• 顔特徴データ等：取扱事項の周知義務化・利用停止等請求の要件緩和・オプトアウト提供禁止
• 不適正利用・不正取得の禁止強化：特定個人への働きかけが可能な情報の不適正利用規制
• 命令の要件見直し：切迫している場合にも命令を発出可能に
• 罰則強化：不正提供罪に加害目的の提供も処罰対象化・法定刑引上げ

制度改正方針の全体像は、【2026年改正動向】個人情報保護法の3年ごと見直しで企業が今から準備すべきことで詳しく解説しています。

6. テンプレート概要（用途別A/B）

プライバシーポリシーは、事業モデルによって重点を置くべき条項が大きく異なります。そこで本テンプレートは、以下の2パターンに分けて別記事で詳細版を提供しています。

テンプレート共通：基本構成（骨格）

プライバシーポリシー

1. 事業者情報
   - 名称、所在地、代表者、個人情報保護責任者、問い合わせ窓口

2. 個人情報の取得・利用目的
   - 取得する情報の種類
   - 利用目的（具体的に列記）
   - 法令に基づく同意不要の利用（統計分析等）★制度改正方針対応

3. 第三者提供
   - 提供の条件（原則同意、法令例外）
   - 外国にある第三者への提供

4. 委託先管理 ★強化
   - 適格性審査、契約要件、監査、事故報告、再委託統制

5. 安全管理措置 ★強化
   - 個人データ＋予定個人情報の保護
   - ウェブスキミング対策

6. 本人の権利（開示・訂正・利用停止等）

7. 漏えい等の報告・本人通知

8. 生成AI利用に関する措置 ★新設

9. 子どもの個人情報 ★制度改正方針対応

10. ポリシーの改定・通知方法

11. 問い合わせ窓口

6-A. 詳細テンプレートA：サイト運営・マーケ向け（EC / メディア / SaaS）

テンプレAは、フォーム・Cookie・広告計測・外部送信が絡む「取得が多い」タイプのサイトを想定しています。2024年施行（ウェブスキミング等）と、制度改正方針（委託先・子ども・顔特徴等）を踏まえ、改定で揉めやすい条項だけを厚くしています。

（A-1）Cookie・外部送信（広告/解析/埋め込み）

外部送信（第三者のタグ・SDK等）を使う場合、ユーザー視点では「誰に何が送られているか」が最大の関心点です。ポリシー上は、送信先・送信される情報・目的が最低限の核になります。

条文ひな形（外部送信・Cookie）

【Cookie等の利用および外部送信について】

当社は、［サイト/サービス名］において、以下の目的でCookie、広告識別子、
端末情報、アクセスログ等を利用する場合があります。
(1) サービス提供・維持・改善（不正アクセスの検知・防止を含む）
(2) 利用状況の分析（アクセス解析）
(3) 広告配信・効果測定（リターゲティングを含む）※利用する場合

また当社は、上記目的のため、［解析/広告/埋め込み等のサービス名］を提供する
外部事業者に対し、以下の情報を送信する場合があります。
・送信先：［送信先事業者名］（サービス名：［例：Google Analytics 等］）
・送信される情報：［例：IPアドレス、Cookie識別子、端末情報、閲覧URL、
  参照元、操作履歴等］
・送信の目的：［例：アクセス解析、広告の効果測定、サービス改善 等］

当社は、Cookieの利用停止（オプトアウト）方法として、
［設定方法URL/ブラウザ設定/同意管理画面］を案内します。

外部送信の棚卸し用（記載する情報の最小セット）

（A-2）安全管理措置（2024年施行：入力フォーム段階を含む）

条文ひな形

【安全管理措置】

当社は、保有する個人データのほか、個人データとして取り扱われることが
予定されている個人情報（入力フォームに入力中の情報等を含みます）についても、
不正の目的をもって行われるおそれがある行為による漏えい等を防止するため、
必要かつ適切な安全管理措置を講じます。

当社が講じる主な安全管理措置は以下のとおりです。
(1) アクセス制御、識別・認証（ID/パスワード管理等）
(2) 暗号化、通信の保護（TLS等）
(3) ウェブサイトへの不正プログラム設置の防止措置
(4) 入力フォームにおけるセキュリティ対策（改ざん検知等）
(5) 脆弱性点検・ログの取得・監視
(6) 委託先との契約における安全管理措置（再委託を含む）
(7) 従業者教育、インシデント対応体制の整備

（A-3）子どもの個人情報（16歳未満を想定した準備条項）

【子どもの個人情報について】

当社は、16歳未満の方が当社サービスを利用するにあたり個人情報を
提供する場合、法定代理人の同意を得たうえで提供するよう
お願いすることがあります。
当社は、子どもの個人情報について、より慎重に取扱い、
必要かつ適切な安全管理措置を講じます。

（A-4）漏えい等の報告・本人通知（通知省略の予告）

【漏えい等が発生した場合の対応】

当社は、個人情報（個人データを含みます）の漏えい等が発生し、
又はそのおそれがある場合、法令および関係ガイドラインに基づき、
個人情報保護委員会への報告および本人への通知等、
必要な対応を行います。

なお、法令に基づき本人への通知を省略できる場合には、
通知を行わないことがあります
（この場合、当社は判断の根拠および対応の記録を適切に保存します）。

テンプレA：公開前チェック

• 外部送信先（解析/広告/埋め込み）を棚卸しし、送信先・送信情報・目的を埋めた
• Cookie同意の方式（同意バナー/オプトアウト）と、リンク/導線を用意した
• フォーム入力段階の安全管理措置をポリシーに含めた（2024年施行対応）
• 子どもデータを扱う場合の基本方針（法定代理人同意の考え方）を定めた
• 漏えい時の窓口・報告/通知の流れ（誰が何をするか）を社内で確認した

6-B. 詳細テンプレートB：BtoB受託・委託先向け（BPO / SI / データ処理受託）

テンプレBは、委託元から個人データを預かり、システム処理・運用・保守・サポート等を行う事業者を想定しています。制度改正方針では委託先への直接義務が示されているため、委託元との契約整合と再委託統制がコアになります。

（B-1）受託データの範囲制限

【受託データの取扱い（範囲制限）】

当社は、委託元から受託する個人データ（以下「受託データ」といいます）について、
委託元との契約または指示に基づく範囲でのみ取り扱い、
当該範囲を超えて利用しません。

（B-2）再委託（事前承諾・監督）

【再委託について】

当社が受託データの取扱いを第三者に再委託する場合、
委託元との契約または指示に従い、必要な手続きを経たうえで実施します。
当社は、再委託先に対しても、受託データの取扱い範囲の制限および
安全管理措置等、必要な事項を契約により義務付け、適切に監督します。

（B-3）安全管理措置（受託向け）

【安全管理措置（受託データ）】

当社は、受託データの漏えい、滅失または毀損の防止その他
受託データの安全管理のため、組織的・人的・物理的・技術的な
安全管理措置を講じます。
当社が講じる主な措置には、アクセス権限管理、ログ取得・監視、
暗号化、委託先管理、従業者教育等が含まれます。

（B-4）インシデント発生時の報告

【インシデント発生時の対応】

当社は、受託データに関する漏えい等が発生し、又はそのおそれがある場合、
委託元との契約または指示に従い、速やかに事実関係の把握、拡大防止、
原因調査および再発防止策の実施を行い、必要な報告を行います。

（B-5）機械的処理のみのケース（該当する場合のみ記載）

制度改正方針で示されている「委託先が指示に従い機械的に処理するのみ」の類型が法制化された場合に備え、受託形態が近い事業者は以下のような条文を準備しておくと整理しやすいです（該当しないなら記載不要）。

【受託業務の性質（機械的処理）】

当社が受託する業務のうち、委託元の指示に従い、受託データを機械的に
処理することを主とするものについては、法令および契約に基づき、
取扱い範囲の制限および安全管理措置を中心に適切な措置を講じます。

テンプレB：公開前チェック

• 委託元契約（DPA等）とポリシーの記載が矛盾していない
• 再委託の要件（事前承諾/通知/統制）が契約・運用に落ちている
• インシデント時の連絡先・一次報告の期限感が社内で定義されている
• 「当社が何をしないか」（目的外取扱い禁止）が明確
• 問い合わせ窓口が受託/一般それぞれで迷わない（窓口分離も検討）

7. 生成AI利用に関するポリシー記載

生成AIの業務利用が広がる中、対外的なプライバシーポリシーに「AIをどう使っているか」の記載を求められる場面が増えています。ただし、ポリシーに書くべき範囲と社内規程に委ねるべき範囲を分けることが重要です。

プライバシーポリシーに記載すべき事項

1. 入力制限の原則：個人情報を生成AIに入力することを原則として行わない旨
2. 仮名化・匿名化：業務上やむを得ず個人情報を用いる場合は、事前に仮名化・匿名化を行う旨
3. 委託先管理：AIベンダーとの契約において、学習データへの利用可否・出力物の二次利用・セキュリティ要件・事故時の報告義務を明記する旨
4. 人の関与：AI出力結果は必ず人間が検証し、個人情報に関する誤用がないことを確認する旨

社内規程に委ねるべき事項（ポリシーには書かない）

• AI利用申請書の書式・承認フロー
• 利用可能なAIサービスのホワイトリスト
• 部門ごとの利用ルール・制限事項

8. 対応スケジュール

以下は、前回改正（2020年改正）のスケジュール感を参考にした想定タイムラインです。

「誰が何をやるか」の運用フロー

9. 改定チェックリスト

今すぐ（2024年施行の確定義務）

• プライバシーポリシーの安全管理措置に「個人データになる前の個人情報」の保護が含まれているか
• ウェブスキミング対策（不正プログラム防止・脆弱性点検）が安全管理措置に記載されているか
• 社内の漏洩対応マニュアルが施行規則7条3号の報告対象拡大に対応しているか
• 委託先との契約書に安全管理措置の具体的条項が盛り込まれているか
• 報告フロー（速報30日以内・確報60日以内）の試運転を実施したか

3〜6ヶ月以内（制度改正方針への先回り対応）

• 委託先管理の条項を具体化（適格性審査・監査・事故報告・再委託統制）
• 生成AI利用に関する暫定ルールの制定（社内規程＋ポリシー記載の切り分け）
• 同意取得フローの棚卸し（過剰同意がないか）
• 子どもの個人情報を取り扱うサービスの有無を確認し、該当する場合は対応方針を策定
• 顔特徴データ等の取扱い有無を確認

法案成立後

• 確定条文に基づくポリシー改定版の確定
• 全社研修の実施（課徴金制度・委託先義務の変更を含む）
• 委託先への制度改正に関する通知・対応要請
• ガイドライン・Q&A公表後の最終調整

10. 関連記事・参考資料

公的資料

• 個人情報保護法 いわゆる3年ごと見直しの制度改正方針（個人情報保護委員会, 2026/1/9）
• 個人情報保護法 いわゆる３年ごと見直しについて（個人情報保護委員会）
• 個人情報保護法ガイドラインQ&A（個人情報保護委員会）