Blog

ブログ

令和8年改正個人情報保護法の概要

2026.04.10

令和8年4月7日付けで「個人情報の保護に関する法律等の一部を改正する法律案」（以下「本法律案」といいます。）が閣議決定され、本法律案に含まれる個人情報保護法の改正案（以下「令和8年改正個人情報保護法」又は「改正法」といいます。）が公表されました。

本法律案は、デジタル技術の急速な進展に伴い、個人情報を含むデータの利活用に対する需要が高まっている一方で、個人情報の違法な取扱いにより個人の権利利益が侵害されるリスクも高まっていることを踏まえ、個人情報の有用性に配慮しつつ、その一層の保護を図るため、所要の措置を講ずるものであり、第221回特別国会に提出されています。

本稿では、この令和8年改正個人情報保護法の概要について、現時点における情報を基に解説します[i]。

[i] 個人情報保護委員会のウェブサイトにおいて公表されている令和8年改正個人情報保護法の関連資料は以下のとおりです。

令和8年改正個人情報保護法の立法経緯

個人情報保護委員会は、令和2年改正法附則10条[ii]の規定を踏まえ、個人情報の保護に関する法律[iii]（以下「現行個人情報保護法」又は「現行法」といいます。）の「いわゆる3年ごと見直し」について、令和5年11月から検討を進めており、令和7年3月に「個人情報保護法の制度的課題に対する考え方について[iv]」（以下「考え方」といいます。）を公表しました。

その後、10か月の間、3年ごと見直しの議論について進捗がありませんでしたが、令和8年1月に「個人情報保護法いわゆる3年ごと見直しの制度改正方針[v]」（以下「改正方針」といいます。）を公表し、令和8年改正個人情報保護法の方針を明確にしました。

この度、令和8年4月7日付けで本法律案が閣議決定され、その内容が公開されたことによって、第221回特別国会に提出されている令和8年改正個人情報保護法の内容が明らかになりました。同特別国会は、同年2月18日から7月17日まで開催されることが予定されているところ、同特別国会において本改正案が成立した場合、本改正案に含まれる個人情報保護法の改正案は「令和8年改正個人情報保護法」になります。

令和8年改正個人情報保護法は、原則としてその公布の日から起算して2年を超えない範囲内において政令で定める日から施行されることになります（改正法附則1条本文）。

[ii] 附則10条は、「政府は、この法律の施行後3年ごとに、個人情報の保護に関する国際的動向、情報通信技術の進展、それに伴う個人情報を活用した新たな産業の創出及び発展の状況等を勘案し、新個人情報保護法の施行の状況について検討を加え、必要があると認めるときは、その結果に基づいて所要の措置を講ずるものとする。」と定めています。

[iii] 個人情報の保護に関する法律（平成15年法律第57号）

[iv] 個人情報保護委員会「個人情報保護法の制度的課題に対する考え方について」（令和7年3月5日）

[v] 個人情報保護委員会「個人情報保護法いわゆる3年ごと見直しの制度改正方針」（令和8年1月9日）

令和8年改正個人情報保護法の項目

個人情報保護委員会が公表する「個人情報の保護に関する法律等の一部を改正する法律案（概要）」と題する文書（以下「概要資料」といいます。）では、「適正なデータ利活用の推進」、「リスクに適切に対応した規律」、「不適正利用等防止」及び「規律遵守の実効性確保のための規律」の四つの改正内容として説明しています（概要資料の「改正内容」1.～4.）。これらの四つの改正内容は、令和8年改正個人情報保護法の改正項目として、以下に掲げる12項目を含んでいます。

改正内容	改正項目
適正なデータ利活用の推進	① 統計作成等目的による同意取得義務の免除 ② 同意取得に係る例外規定の要件の緩和
リスクに適切に対応した規律	③ 子供の個人情報に係る規制の明確化及び厳格化 ④ 顔特徴データ等に係る規律の新設 ⑤ 委託を受けた事業者の規律の整備 ⑥ 漏えい等発生時の本人通知義務の緩和
不適正利用等防止	⑦ 特定の個人に対する働きかけが可能となる情報への規制の強化 ⑧ オプトアウトによる提供先の身元及び利用目的の確認の義務化
規律遵守の実効性確保のための規律	⑨ 勧告及び命令の行使の柔軟化 ⑩ 違反行為を補助等する第三者への措置の法定 ⑪ 罰則の強化及び拡大 ⑫ 課徴金制度の導入

本稿では、上記①～⑫の各項目について現時点で判明している情報を整理することにより、令和8年改正個人情報保護法の概要を解説します（なお、令和8年改正個人情報保護法には、民間部門と公的部門の両方の規律の改正が含まれていますが、以下においては、民間部門の規律の改正について解説します。）。

令和8年改正個人情報保護法の内容

1. 統計作成等目的による同意取得義務の免除

現行個人情報保護法では、統計情報等の作成にのみ利用される場合であっても、個人データの第三者提供及び要配慮個人情報の取得には原則として同意取得が必要とされています（現行法27条、28条、20条2項）。

この点について、考え方では、統計情報等の作成のために複数の事業者が持つデータを共有し横断的に解析するニーズが高まっていること、特定の個人との対応関係が排斥された統計情報等の作成や利用はこれによって個人の権利利益を侵害するおそれが少ないものであることから、このような統計情報等の作成にのみ利用されることが担保されていること等を条件に、本人同意なき個人データ等の第三者提供及び公開されている要配慮個人情報の取得を可能とすることが提案されていました（考え方1・2頁）。このような議論を踏まえ、改正方針では、個人データ等の第三者提供及び公開されている要配慮個人情報の取得について、統計情報等の作成（統計作成等であると整理できるAI開発等を含みます。）にのみ利用されることが担保されていること等を条件に、本人同意を不要とする方針が示されていました（改正方針1・2頁）。

令和8年改正個人情報保護法では、統計情報等の作成にのみ利用される場合の同意取得義務の免除について以下のルールを定めています。

改正対象	改正の具体的な内容
「統計作成等」「統計作成等目的」の定義	「統計作成等」の定義：統計の作成その他の大量の情報から当該情報を構成する要素に係る情報を抽出して分類、比較その他の解析を行うことにより、当該大量の情報の傾向又は性質に係る情報（個人に関する情報であるものを除きます。）を作成する行為のうち、個人の権利利益を害するおそれが少ないものとして個人情報保護委員会規則で定めるものをいうもの（改正法2条13項）。「統計作成等目的」の定義：統計作成等を行う目的（改正法30条の2第1項）
同意取得義務の免除条件	要配慮個人情報の取得に係る同意取得義務の免除：以下の条件を満たす場合、現に公開されている要配慮個人情報を本人の同意を得ないで取得することができます（改正法30条の2第1項）。 ① 必要性：統計作成等目的で、又は統計作成等の例外の対象となる提供を行う目的で、現に公開されている要配慮個人情報を取り扱う必要があること ② 公表：個人情報保護委員会規則で定める事項を公表していること第三者提供に係る同意取得義務の免除：以下の条件を満たす場合、個人情報取扱事業者又は個人関連情報取扱事業者は、原則として個人情報又は個人関連情報を本人の同意を得ないで第三者に提供することができます（改正法30条の2第5項、31条の3第1項）。 ① 必要性：当該第三者が当該情報を統計作成等目的で取り扱う必要があること ② 公表：当該事業者及び当該第三者が、個人情報保護委員会規則で定める事項を公表していること ③ 書面合意：当該第三者との間の書面による合意により、当該提供がこの規定によるものである旨が明確に定められていること
継続的公表義務	取扱期間中の継続的な公表義務：統計作成等の例外を満たすために必要な公表義務は、当該例外の対象となる情報を取り扱っている期間は、継続して公表しなければなりません（改正法30条の2第2項及び第6項、31条の3第2項）。
目的外利用及び第三者提供の禁止	目的外利用の禁止：統計作成等の例外の対象となる情報又は当該情報を複製若しくは加工した個人に関する情報[vi]は、限定的な例外を除き、公表されている内容の統計作成等を行うために必要な範囲を超えて取り扱ってはなりません（改正法30条の2第4項及び第9項、31条の3第5項）。第三者提供の禁止：当該情報は、限定的な例外を除き、個人データか否かを問わず、第三者に提供してはなりません（改正法30条の2第10項及び第11項、31条の3第6項及び第7項）。

2. 同意取得に係る例外規定の要件の緩和

現行個人情報保護法では、目的外利用、要配慮個人情報取得及び第三者提供を行う場合には原則として本人の同意を得ることが求められます（現行法18条、20条2項、27条、28条）。この同意取得義務に係る例外要件の緩和として、令和8年改正個人情報保護法では、以下の三点の改正が定められています。

(1) 取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかな取扱いの例外の新設

現行個人情報保護法では、取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかな場合であっても、本人同意の取得義務は免除されません。これに対して、改正方針では、取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかな取扱いである場合は本人同意を不要とする方針が示されていました（改正方針2頁）。

令和8年改正個人情報保護法では、本人との間の契約の履行のために必要やむを得ないことが明らかである場合その他当該個人情報等の取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかである場合として個人情報保護委員会規則で定める場合は、本人同意の取得義務が免除されることになりました（改正法18条3項7号、20条2項7号、27条1項8号）。

この例外に該当する具体例としては、考え方では、①本人が、事業者Aの運営するホテル予約サイトで事業者Bの運営するホテルの宿泊予約を行ったため、事業者Aが事業者Bに当該本人の氏名等を提供する場合、②金融機関が海外送金を行うために送金者の情報を送金先の金融機関に提供する場合等が紹介されていました（考え方2頁）。

(2) 同意取得の困難性要件の緩和

現行個人情報保護法では、同意取得義務の例外として、「人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき」及び「公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき」（現行法18条2項2号及び3号、20条2項2号及び3号、27条1項2号及び3号）が定められており、いずれも同意取得の困難性要件があります。

この点、改正方針では、このような同意取得困難性要件を緩和する方針が示されていました（改正方針2頁）。

令和8年改正個人情報保護法では、「本人の同意を得ることが困難であるとき」のみならず、「その他の本人の同意を得ないことについて相当の理由があるとき」にも同意取得義務の例外に依拠できるようになりました（改正法18条2項2号及び3号、20条2項2号及び3号、27条1項2号及び3号）。

ここでいう「その他の本人の同意を得ないことについて相当の理由があるとき」に該当する具体例として、考え方の時点では、本人のプライバシー等の侵害を防止するために必要かつ適切な措置（氏名等の削除、提供先との守秘義務契約の締結等）が講じられているため、当該本人の権利利益が不当に侵害されるおそれがない場合等が紹介されていました（考え方3頁）。

(3) 学術研究機関等に医療の提供を目的とする主体が含まれる旨の明示

現行個人情報保護法では、「学術研究機関等」とは、大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者をいうため（現行法16条8項）、医療の提供を目的とする機関又は団体は必ずしも含まれないと考えられます。

この点について、考え方では、医学・生命科学の研究においては、研究対象となる診断・治療の方法に関する臨床症例の分析が必要不可欠であり、病院等の医療の提供を目的とする機関又は団体による研究活動が広く行われている実態があることが指摘されていました（考え方3頁）。このような指摘を踏まえ、改正方針では、学術研究に係る例外規定の対象である「学術研究機関等」に、医療の提供を目的とする機関又は団体が含まれることを明示する方針が示されていました（改正方針2頁）。

令和8年改正個人情報保護法では、「学術研究機関等」の定義に括弧書を追加して、「（医療法…第1条の5第1項に規定する病院…その他の医療の提供を目的とする機関又は団体を含む。）」という文言を記載することで、医療の提供を目的とする機関又は団体が「学術研究機関等」の定義に含まれることを明示しました（改正法16条9項）。

3. 子供の個人情報に係る規制の明確化及び厳格化

現行個人情報保護法では、子供の同意取得や通知の対象となる年齢について法令レベルでは定められておらず、個人情報保護委員会のQ&Aにおいて12歳から15歳までの年齢以下の子供について法定代理人等から同意を得る必要がある旨が述べられているのみです[vii]。また、保有個人データの利用停止等請求は、子供固有の規定は定められていません。さらに、子供本人の最善の利益を優先して考慮すべき旨の責務規定は定められていません。

これらの点について、考え方では、子供は心身が発達段階にあるためその判断能力が不十分であり、個人情報の不適切な取扱いに伴う悪影響を受けやすいこと等から、子供の発達や権利利益を適切に守る観点から、一定の規律を設ける必要がある旨が指摘されていました（考え方2頁）。このような指摘を踏まえ、改正方針では、①16歳未満の本人に関する同意取得・通知等をその法定代理人を対象とすることの明文化、②16歳未満の本人の保有個人データの利用停止等請求の要件緩和、及び③未成年者の個人情報等の取扱い等について本人の最善の利益を優先して考慮すべき旨の責務規定の追加という方針が示されていました（改正方針2頁）。

令和8年改正個人情報保護法では、子供の個人情報の取扱いについて以下のルールを定めています。

改正対象	改正の具体的な内容
16歳未満の本人に関する同意取得・通知等をその法定代理人を対象とすることの明文化	16歳未満の「本人」を「本人の法定代理人」へ読替え：個人情報取扱事業者又は個人関連情報取扱事業者が16歳未満の者の個人情報又は個人関連情報を取り扱う場合においては、原則として、「本人」とあるのを「本人の法定代理人」と読み替えるなどして、個人情報保護法の規定を適用します（改正法40条の2第1項本文及び第2項本文）。この読み替えによって、16歳未満の本人との関係では、同意取得や通知等の義務を遵守するためには、本人の法定代理人に対して対応を行う必要が生じます。「本人の法定代理人」への読替えの例外：上記の読替えの例外として、以下のいずれかに該当する場合には、「本人の法定代理人」への読み替えるなどの特例を適用しません（改正法40条の2第1項但し書及び第2項但し書）。 ① 当該事業者が、当該情報が16歳未満の者のものであることを知らないことについて正当な理由がある場合 ② 本⼈の法定代理人が当該本⼈の営業を許可していた場合であって、当該事業者が当該営業に関して当該情報を取得したとき ③ 本⼈に法定代理人がない場合又は当該事業者が本⼈に法定代理人がないと信ずるに足りる相当な理由がある場合
16歳未満の本人の保有個人データの利用停止等請求の要件緩和	16歳未満の本人による利用停止等請求の規定：16歳未満の本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが取り扱われているときは、原則として当該保有個人データの利用停止等又は第三者への提供の停止を請求することができるものとし、その請求に理由があることが判明したときは、利用停止等又は第三者への提供の停止を行わなければなりません（改正法35条9項及び10項）。一般的な利用停止等請求の規定（現行法35条5項）は、一定の要件を満たした場合にのみその請求を行うことができるのに対して、16歳未満の本人による利用停止等請求の規定（改正法35条9項）は、原則としてその請求を行うことができるようになっている点で、本人の請求権が強化されています。 16歳未満の本人による利用停止等請求の例外：上記の利用停止等請求の例外として、様々な事由が定められています（改正法35条9項各号）。子供の個人情報の取扱いに固有の例外としては、以下の事由が定められています（改正法35条9項1号、10号及び11号）。 ① あらかじめ当該本人の法定代理人の同意を得て当該保有個人データを取得した場合 ② 当該本人の法定代理人が当該本人の営業を許可していた場合であって、当該営業に関して当該保有個人データを取得したとき ③ 当該本人が自らが16歳以上であることを信じさせるために詐術を用いていた場合
未成年者の個人情報等の取扱い等について本人の最善の利益を優先して考慮すべき旨の責務規定の追加	事業者が未成年者の最善の利益を考慮する努力義務：個人情報取扱事業者等は、未成年者に関する個人情報等の取扱いについて、個人情報保護法の規定を遵守するとともに、その年齢及び発達の程度に応じて、その最善の利益を優先して考慮した上で、未成年者の権利利益を害することがないように必要な措置を講ずるよう努めなければなりません（改正法58条の3第1項）。法定代理人が未成年者の最善の利益を考慮する努力義務：未成年者である本人の法定代理人は、開示等の請求等又は個人情報保護法の規定の同意をするに当たっては、当該本人の最善の利益を優先して考慮しなければなりません（改正法58条の3第2項）。

4. 顔特徴データ等に係る規律の新設

現行個人情報保護法では、顔特徴データ等は個人識別符号に該当する可能性はありますが（現行法2条2項、現行法施行令1条1号ロ）、顔特徴データ等に係る固有の要求事項は定められていません。

この点について、考え方では、顔識別機能付きカメラシステム等のバイオメトリック技術の利用が拡大する中で、生体データのうち、本人が関知しないうちに容易に（それゆえに大量に）入手することができ、かつ、一意性及び不変性が高く特定の個人を識別する効果が半永久的に継続するという性質を有する顔特徴データ等は、その他の生体データに比べてその取扱いが本人のプライバシー等の侵害に類型的につながりやすいという特徴を有することとなっている旨が指摘されていました（考え方6頁）。このような指摘を踏まえ、改正方針では、①顔特徴データ等の取扱いに関する一定の事項の周知の義務化、②顔特徴データ等の利用停止等請求の要件緩和、及び③顔特徴データ等のオプトアウトによる第三者提供の禁止という改正の方針が示されていました（改正方針2頁）。

令和8年改正個人情報保護法では、顔特徴データ等に係る規律について以下のルールを定めています。

改正対象	改正の具体的な内容
「特定生体個人識別符号」「特定生体個人情報」の定義	「特定生体個人識別符号」の定義：特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した個人識別符号のうち、特別の技術又は多額の費用を要しない方法により取得することができる身体の一部の特徴に係る情報であって当該情報が取得されていることを本人が容易に認識することができないものとして政令で定めるものを変換したもの（改正法16条5項）。今後、政令によって、顔特徴データ等が「特定生体個人識別符号」として定められることが想定されます。「特定生体個人情報」の定義：特定生体個人識別符号が含まれる個人情報（改正法16条5項）
顔特徴データ等の取扱いに関する一定の事項の周知の義務化	特定生体個人情報に係る周知義務：特定生体個人情報を取り扱うに当たっては、以下に掲げる事項について、原則としてあらかじめ本人に通知し、又は本人が容易に知り得る状態に置かなければなりません（改正法21条の2第1項） ① 当該個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名 ② 特定生体個人情報を取り扱うこと ③ 特定生体個人情報の利用目的 ④ 特定生体個人情報に含まれる特定生体個人識別符号に変換される身体の一部の特徴に係る情報の内容 ⑤ 開示等の請求等に応じる手続（手数料を徴収する場合は、その手数料の額を含みます。） ⑥ その他個人の権利利益を保護するために必要なものとして個人情報保護委員会規則で定める事項特定生体個人情報に係る周知義務の例外：上記の周知義務は、その義務を遵守することによって以下のいずれかに該当する場合は、例外的に適用されません（改正法21条の2第2項）。 ① 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合 ② 当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合 ③ 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、当該事務の遂行に支障を及ぼすおそれがあるとき ④ その他上記①～③に掲げる場合に準ずるものとして政令で定める場合
顔特徴データ等の利用停止等請求の要件緩和	特定生体個人情報に係る本人の利用停止等請求の規定：本人は、個人情報取扱事業者に対し、当該本人が識別される特定生体個人情報が取り扱われているときは、原則として当該特定生体個人情報の利用停止等又は第三者への提供の停止を請求することができるものとし、その請求に理由があることが判明したときは、利用停止等又は第三者への提供の停止を行わなければなりません（改正法35条7項及び8項）。一般的な利用停止等請求の規定（現行法35条5項）は、一定の要件を満たした場合にのみその請求を行うことができるのに対して、特定生体個人情報に係る本人による利用停止等請求の規定（改正法35条7項）は、原則としてその請求を行うことができるようになっている点で、本人の請求権が強化されています。特定生体個人情報に係る本人の利用停止等請求の例外：上記の利用停止等請求の例外として、様々な事由が定められています（改正法35条7項各号）。特定生体個人情報の取扱いに固有の例外としては、以下の事由が定められています（改正法35条7項1号及び2号） ① 当該個人情報取扱事業者が、あらかじめ当該本人の同意を得て、当該特定生体個人情報に含まれる特定生体個人識別符号を作成した場合 ② 当該個人情報取扱事業者が、あらかじめ当該本人の同意を得て、当該特定生体個人情報を取得した場合
顔特徴データ等のオプトアウトによる第三者提供の禁止	特定生体個人情報のオプトアウトの対象からの除外：オプトアウト制度に基づく個人データの第三者提供（＝一定の事項をあらかじめ本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出た場合に、本人の同意を得ないで個人データを第三者に提供すること）の対象から、特定生体個人情報が除外されています（改正法27条2項但し書）。

5. 委託を受けた事業者の規律の整備

現行個人情報保護法では、個人データの取扱いの委託を行う場合、委託をする事業者は委託を受けた事業者に対する必要かつ適切な監督を行わなければならないと定められていますが（現行法25条）、それ以外に委託を受けた事業者に固有の規定は定められておらず、個人情報取扱事業者一般の規律が適用されることになっています。

この点について、考え方では、個人情報取扱事業者等におけるDXの進展に伴い、個人データ等の取扱いについて、実質的に第三者に依存するケースが拡大している状況を踏まえ、委託を受けた事業者に対する規律の在り方を検討する旨が提案されていました（考え方5頁）。このような議論を受けて、改正方針では、①委託先が個人データ等を委託業務の遂行に必要な範囲を超えて取り扱ってはならない旨の明記、及び、②委託先に適用される義務が免除される条件の新設を行う方針が示されていました（改正方針2頁）。

令和8年改正個人情報保護法では、委託を受けた事業者の規律について、以下の義務及び適用除外を新たに整備しています。

改正対象	改正の具体的な内容
委託先が個人データ等を委託業務の遂行に必要な範囲を超えて取り扱ってはならない旨の明記	委託先の目的外利用の禁止：他の個人情報取扱事業者又は行政機関等から個人情報の取扱いの全部又は一部の委託を受けた個人情報取扱事業者は、原則としてその取扱いを委託された個人情報を、当該委託を受けた業務の遂行に必要な範囲を超えて取り扱ってはなりません（改正法30条の3）。委託先の目的外利用の禁止の例外：上記の禁止の例外として、「法令に基づく場合等」が定められています（改正法30条の3）。「法令に基づく場合等」とは、法令に基づく場合及び人命の救助その他非常の事態への対応のため緊急の必要がある場合をいいます（改正法30条の2第4項）。
委託先に適用される義務が免除される条件の新設	委託先の義務が免除される条件：他の個人情報取扱事業者等又は行政機関等から、個人情報等の取扱いの委託を受けた個人情報取扱事業者等が行う当該個人情報等の取扱いについては、以下の両方の要件を満たした場合、民間部門の規律である4章2節～4節（＝17条～46条）は原則として適用されません（改正法58条の2。以下、委託を受けた個人情報等を「受託個人情報等」、委託を受けた個人情報取扱事業者等を「受託個人情報取扱事業者」といいます。）。 ① 次に掲げる事項が委託に係る契約に定められていること (1) 個人情報等の取扱方法：受託個人情報等の取扱いの方法（受託個人情報等の安全管理のための措置に係る事項及び個人の権利利益の保護に支障を及ぼすおそれのない事項を除きます。）として、個人情報保護委員会規則で定める事項 (2) 委託元への報告：受託個人情報取扱事業者等が、受託個人情報等について個人情報保護法26条1項に規定する報告対象事態が生じ、又は受託個人情報等が委託業務の遂行に必要な範囲を超え、若しくは上記(1)に掲げる事項に係る契約の定めに違反して取り扱われたことを知ったときは、速やかに委託者に対してその旨を報告すること (3) その他：その他個人情報保護委員会規則で定める事項 ② 個人情報等の取扱いが委託を受けた業務の遂行に必要な範囲内において、上記(1)に掲げる事項に係る契約の定めに従って行われること委託先の義務として免除されない義務：上記の免除の条件を満たしたとしても、委託先に対しては、取扱方法を決定する権限の存在を前提としない規定が例外的に適用されます。具体的には、以下の義務は免除を受けずに常に委託先に適用されることになります（改正法58条の2）。 ① 委託を受けた業務の遂行に必要な範囲を超えて取り扱ってはならない旨の義務（改正法30条の3） ② 安全管理に関連する義務（改正法23条～26条等）

6. 漏えい等発生時の本人通知義務の緩和

現行個人情報保護法では、個人情報取扱事業者は、漏えい等報告の義務を負うときは、本人への通知が困難な場合であって、代替措置を講じたときを除き、一律に本人への通知義務を負うこととなります（現行法26条2項）。

この点、改正方針では、本人通知義務を合理化する観点から、漏えい等発生時について、本人の権利利益の保護に欠けるおそれが少ない場合は、本人への通知義務を緩和する方針が示されていました（改正方針2頁）。

令和8年改正個人情報保護法では、本人通知義務の例外として「本人への通知が行われなくても本人の権利利益の保護に欠けるおそれが少ない場合として個人情報保護委員会規則で定める場合」が追加されました（改正法26条の2但し書）。

上記の例外に該当する場合の具体例としては、考え方の時点では、サービス利用者の社内識別子（ID）等、漏えいした情報の取得者において、それ単体ではおよそ意味を持たない情報のみが漏えいした場合等がその例として挙げられていました（考え方3頁）。

7. 特定の個人に対する働きかけが可能となる情報への規制の強化

現行個人情報保護法では、個人情報について不適正利用の禁止及び不正取得の禁止が定められていますが（現行法19条、20条1項）、個人関連情報、仮名加工情報及び匿名加工情報については定められていません。

この点について、考え方の時点では、特定の個人に対して何らかの連絡を行うことができる記述等である電話番号、メールアドレス、Cookie ID等を含む情報については、当該情報が個人情報に該当しない場合であっても、当該個人への連絡を通じて当該個人のプライバシー、財産権等の権利利益の侵害が発生し得る上、当該記述等を媒介として秘匿性の高い記述等を含む情報を名寄せすることにより、プライバシー等が侵害されたり、上記連絡を通じた個人の権利利益の侵害がより深刻なものとなったりするおそれがある旨が指摘されていました（考え方5頁）。このような指摘を踏まえ、改正方針では、特定の個人に対する働きかけが可能となる個人関連情報等について、不適正利用及び不正取得を禁止する方針が示されていました（改正方針2頁）。

令和8年改正個人情報保護法では、特定の個人に対する働きかけが可能となる情報への規制として、以下のルールが定められています。

改正対象	改正の具体的な内容
「連絡可能個人関連情報」の定義	連絡可能個人関連情報：次に掲げる記述等が含まれる個人関連情報（他の情報と容易に照合することができ、それにより次に掲げる記述等を特定することができることとなるものを含みます。）（改正法2条8項）。 ① 特定の個人が所在し、又は所在していた場所の所在地[viii]（例：住居、勤務先） ② 電話番号[ix] ③ メールアドレス[x] ④ 電気通信設備を利用する者又は電気通信設備を識別することができるように付された符号[xi]（例：Cookie ID）
特定の個人に対する働きかけが可能となる情報の不適正な取扱いの禁止	連絡可能個人関連情報の不適正利用の禁止：違法又は不当な行為を助長し、又は誘発するおそれがある方法により、連絡可能個人関連情報を利用してはなりません（改正法31条の2第1項）。連絡可能個人関連情報の不正取得の禁止：偽りその他不正の手段により、連絡可能個人関連情報を取得してはなりません（改正法31条の2第2項）。仮名加工情報及び匿名加工情報への準用：上記の連絡可能個人関連情報に係る規定は、上記①～④の記述等が含まれる仮名加工情報及び匿名加工情報（他の情報と容易に照合することができ、それにより当該記述等を特定することができることとなるものを含みます。）の取扱いに準用されます（改正法42条4項、46条の2）。

8. オプトアウトによる提供先の身元及び利用目的の確認の義務化

現行個人情報保護法では、オプトアウト制度に基づく個人データの第三者提供を行う場合、提供先の身元及び利用目的の確認は義務付けられていません（現行法27条2項）。

この点について、考え方の時点では、近時いわゆる「闇名簿」問題が深刻化する中で、オプトアウト届出事業者である名簿屋が、提供先が悪質な（法に違反するような行為に及ぶ者にも名簿を転売する）名簿屋であると認識しつつ名簿を提供した事案が発生しており、オプトアウト制度に基づいて提供された個人データが「闇名簿」作成の際の情報源の一つとなっている現状がある旨が指摘されていました（考え方7頁）。このような指摘を踏まえ、改正方針では、オプトアウト制度に基づく第三者提供時の提供先の身元及び利用目的の確認を義務化する方針が示されていました（改正方針2頁）。

令和8年改正個人情報保護法では、オプトアウトによる提供先の身元及び利用目的の確認の義務化について、以下のルールを定めています。

改正対象	改正の具体的な内容
オプトアウトによる提供先の確認義務	確認義務：オプトアウト制度に基づく個人データの第三者提供（＝一定の事項をあらかじめ本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出た場合に、本人の同意を得ないで個人データを第三者に提供すること）を行う場合、次に掲げる事項の確認を行わなければなりません（改正法27条7項本文）。 ① 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名 ② 当該第三者における当該個人データの利用目的確認義務の例外：上記の確認義務は、個人データの全部が、その取得した時点において、本人、国の機関、地方公共団体、学術研究機関等、個人情報保護法57条1項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されていたものである場合又はこれに準ずる場合として個人情報保護委員会規則で定める場合には、例外的に適用されないことになっています（改正法27条7項但し書）。
オプトアウトによる提供先の確認に関する偽りの禁止	偽りの禁止：上記の確認を求められた第三者は、確認を求めた個人情報取扱事業者に対して、当該確認に係る事項を偽ってはなりません（改正法27条8項）。
オプトアウトによる提供先の確認に関する記録義務	記録義務：上記の確認を行った場合、当該確認した事項に関する一定の記録を作成しなければなりません（改正法29条1項）。

9. 勧告及び命令の行使の柔軟化

現行個人情報保護法では、勧告の前置を要する「命令」は、「個人の重大な権利利益の侵害が切迫していると認めるとき」に発出することができ、侵害の切迫性がなければならず（現行法148条2項）、また、勧告の前置を要しない「緊急命令」は、「個人の重大な権利利益を害する事実があるため緊急に措置をとる必要があると認めるとき」に発出することができ、現に重大な権利利益侵害がなければならないとされています（現行法148条3項）。また、勧告によって要求することができるのは「違反行為の中止その他違反を是正するために必要な措置をとるべき旨」であり（同条1項）、問題のある取扱いがあったことを認知させるための積極的な措置（例：本人通知又は公表）を求めることができるようになっていません。

このような状況を踏まえ、改正方針では、勧告及び命令の行使の柔軟化の観点から、①速やかな違反行為の是正が可能となる命令要件の見直し、及び②違反行為に係る事実の通知又は公表等の権利利益の保護のために必要な措置が可能となる勧告・命令内容の柔軟化を改正する方針が示されていました（改正方針2頁）。

令和8年改正個人情報保護法では、勧告及び命令の行使の柔軟化の観点から、以下のルールが定められています。

改正対象	改正の具体的な内容
速やかな違反行為の是正が可能となる命令要件の緩和	勧告の前置を要する「命令」の要件緩和：個人情報保護委員会は、勧告を受けた個人情報取扱事業者等が正当な理由がなくてその勧告に係る措置をとらなかった場合において、単に「個人の重大な権利利益が害されるおそれ」があると認めるときに命令を発出することができるようになりました（改正法148条2項）。この改正により、勧告の前置を要する「命令」の要件から、侵害の切迫性が取り除かれ、速やかに命令を発出できるようになりました。勧告の前置を要しない「緊急命令」の要件緩和：個人情報保護委員会は、個人の重大な権利利益を害する事実があるときのみならず、個人の重大な権利利益の侵害が切迫しているため緊急に措置をとる必要があると認めるときも、緊急命令することができるようになりました（改正法148条3項）。この改正により、現に重大な権利利益侵害がなくても、重大な権利利益侵害が切迫していれば緊急命令の要件を満たすことになり、速やかに緊急命令を発出できるようになりました。
違反行為に係る事実の通知又は公表等の権利利益の保護のために必要な措置が可能となる勧告・命令内容の柔軟化	積極的措置を求めることを可能とする勧告・命令内容の柔軟化：個人情報保護委員会は、「違反行為の中止その他違反を是正するために必要な措置」に加えて、「違反行為に係る事実の本人に対する通知若しくは公表その他の個人の権利利益を保護するために必要な措置」をとるべき旨を勧告又は命令することができるようになりました（改正法148条1～3項）。

10. 違反行為を補助等する第三者への措置の法定

現行個人情報保護法では、命令は個人情報保護法の義務規定に違反した個人情報取扱事業者等に対してのみ発出することができるものであり（現行法148条2項及び3項）、当該違反行為に関わる第三者に対して、当該個人情報取扱事業者等へのサービス提供の停止等を命じることはできず、任意の要請に係る根拠規定もありません。

このような状況を踏まえて、改正方針では、違反行為を補助等する第三者に対して当該違反行為の中止のために必要な措置等をとるよう要請する際の根拠規定を設ける方針が示されていました（改正方針2頁）。

令和8年改正個人情報保護法では、違反行為を補助等する第三者への措置について、以下のルールが定められています。

改正対象	改正の具体的な内容
取扱関係役務提供者に対する要請	「取扱関係役務提供者」の定義：個人情報取扱事業者等から個人情報等の取扱いの全部又は一部の委託を受けた者その他の個人情報取扱事業者等との契約に基づき個人情報取扱事業者等がその個人情報等の取扱いのために用いる役務を提供する者（改正法148条の2第1項）。考え方の時点では、個人情報等の保存に用いるためのクラウドサービスを提供する事業者、個人情報を公開するためのサーバのホスティング事業者、当該サーバのドメイン名をIPアドレスに変換するDNSサーバのホスティング事業者等が想定されていました（考え方9・10頁）「取扱関係役務提供者」に対する要請の根拠規定：個人情報保護委員会は、個人情報取扱事業者等が措置命令に従わない場合において、当該措置命令に係る違反行為に係る個人情報等の取扱いのために用いる役務を提供する取扱関係役務提供者に対して、当該違反行為に係る個人情報等の取扱いの停止、当該役務の提供の停止その他の当該違反行為を中止させるために必要な措置をとるべき旨を要請することができます（改正法148条の2第1項）。
特定電気通信役務提供者に対する要請	「特定電気通信役務提供者」の定義：情報流通プラットフォーム対処法[xii]に規定する特定電気通信（同法2条1号）による情報の流通に係る特定電気通信役務（同条3号）を提供する特定電気通信役務提供者（同条4号）（改正法148条の2第3項）。考え方の時点では、検索サービス提供事業者等が想定されていました（考え方10頁）「特定電気通信役務提供者」に対する要請の根拠規定：個人情報保護委員会は、措置命令をした場合であって、当該違反行為が特定電気通信による個人情報等を含む情報の送信であるときは、特定電気通信役務提供者に対して、特定電気通信による当該情報の流通を防止する措置をとるべき旨を要請することができます（改正法148条の2第3項）。
要請を受けて措置を講じた場合の免責	取扱関係役務提供者及び特定電気通信役務提供者の免責：取扱関係役務提供者及び特定電気通信役務提供者は、前項の規定による要請を受けて措置を講じた場合において、当該措置命令を受けた個人情報取扱事業者等に生じた損害については、賠償の責めに任じないとされています（改正法148条の2第4項）。

11. 罰則の強化及び拡大

現行個人情報保護法では、個人情報データベース等の不正提供等に係る罰則は、「不正な利益を図る目的」で実行行為を行った場合のみが対象となっており、「損害を加える目的」で実行行為を行った場合は対象となっていません（現行法179条）。

この点について、考え方の時点では、本人の権利利益を害する程度には、不正な利益を図る目的での行為と加害目的での行為とで差異が認められない旨が指摘されていました（考え方10頁）。このような指摘を踏まえ、改正方針では、個人情報データベース等の不正提供等に係る罰則について加害目的の行為も処罰対象とすることとともに法定刑を引き上げる旨の方針が示されていました（改正方針3頁）。

また、現行個人情報保護法では、個人情報データベース等の不正提供等に係る罰則は、提供又は盗用であり、取得それ自体を対象としていません（現行法179条）。

この点について、考え方の時点では、不正に取得された個人情報は不適正な利用がなされる蓋然性が高いため、詐欺行為・不正アクセス等の個人情報を保有する者の管理を害する行為により個人情報を取得する行為について、直罰の対象とする必要がある旨が指摘されていました（考え方10頁）。このような指摘を踏まえ、改正方針では、詐欺行為等により個人情報を不正に取得する行為に対する罰則を設ける旨の方針が示されていました（改正方針3頁）。

令和8年改正個人情報保護法では、罰則の強化及び拡大の観点から、以下のルールの改正が定められています。

改正対象	改正の具体的な内容
個人情報データベース等の不正提供等に係る罰則の処罰対象の拡大及び法定刑の引上げ	加害目的の行為を処罰対象に追加：現行個人情報保護法では、個人情報データベース等の不正提供等に係る罰則の処罰対象は、「不正な利益を図る目的」での提供又は盗用行為のみでしたが（現行法179条）、令和8年改正個人情報保護法では、「本人その他の者に損害を加える目的」での提供又は盗用行為が追加されました（改正法178条）。法定刑の引上げ：現行個人情報保護法では、個人情報データベース等の不正提供等に係る罰則の法定刑は、「1年以下の拘禁刑又は50万円以下の罰金」でしたが（現行法179条）、令和8年改正個人情報保護法では、「2年以下の拘禁刑又は100万円以下の罰金」に引き上げられました（改正法178条）。
詐欺行為等により個人情報を不正に取得する行為に対する罰則の新設	詐欺行為等個人情報不正取得罪の追加：以下の目的及び行為によって個人情報を取得することについて、新たな罰則を新設しました（改正法180条1項）。 ① 目的：自己若しくは第三者の不正な利益を図る目的、又は本人、個人情報を保有する者その他の者に損害を加える目的 ② 行為：人を欺き、人に暴行を加え、若しくは人を脅迫する行為、又は財物の窃取若しくは損壊、施設への侵入、有線電気通信の傍受、不正アクセス行為その他の個人情報を保有する者の管理を害する行為

12. 課徴金制度の導入

現行個人情報保護法では、個人情報保護法違反に対する金銭的制裁は、刑事罰としての罰金しか定められておらず、行政上の制裁としての課徴金は課すことができません。

この点について、考え方の時点では、課徴金は、行政上の措置として機動的に賦課されるものであり、違反行為の経済的誘因を小さくすることにより、違反行為を抑止することを目的として導入されるものであるところ、事後チェック型を志向する現代の市場経済社会において重要な法執行上の役割を果たしている旨が指摘されていました（考え方10頁。なお、課徴金制度については、慎重な議論を行う観点から、2024年7月から「個人情報保護法のいわゆる3年ごと見直しに関する検討会」にて議論し、同年12月末に報告書[xiii]が取りまとめられています。）。このような指摘を踏まえ、改正方針では、経済的誘因のある、大量の個人情報の取扱いによる悪質な違反行為を実効的に抑止するため、重大な違反行為により個人の権利利益が侵害された場合等について、当該違反行為によって得られた財産的利益等に相当する額の課徴金の納付を命ずることとする方針が示されていました（改正方針3頁及び6頁）。

令和8年改正個人情報保護法では、以下の課徴金制度が導入されています。

改正対象	改正の具体的な内容
課徴金納付命令	違反行為に対する課徴金納付命令：個人情報取扱事業者が、次に掲げる行為（以下「違反行為」といいます。）をした場合において、当該違反行為又は当該違反行為をやめることの対価として金銭等[xiv]を得たときは、個人情報保護委員会は、当該金銭等に相当する額として政令で定める方法により算定した額に相当する額の課徴金を国庫に納付することを命じなければなりません（改正法148条の3第1項）。 ① 個人情報の提供であって、当該個人情報を利用して違法な行為又は不当な差別的取扱いを行うことが想定される状況にある第三者に対して行うもの ② 第三者の求めにより行う個人情報の利用であって、当該第三者が当該個人情報の利用を通じて違法な行為又は不当な差別的取扱いを行うことが想定される状況にある場合に行われるもの ③ 個人データの第三者提供の制限（改正法27条1項）の規定に違反する個人データの提供 ④ 統計作成等用要配慮個人情報等、提供統計作成等用個人情報等、及び提供統計作成等用個人データ等の目的外利用の禁止（改正法30条の2第4項及び第9項、31条の3第5項）に違反する個人情報の取扱い ⑤ 統計作成等用要配慮個人情報等、提供統計作成等用個人情報等、及び提供統計作成等用個人データ等の第三者提供の禁止（改正法30条の2第10項及び第11項、31条の3第6項及び第7項）に違反する個人情報の提供不正取得及び利用に対する課徴金納付命令：個人情報取扱事業者が、適正取得の義務（改正法20条1項）に違反して個人情報を取得し、当該個人情報を利用した場合において、当該利用又は当該利用をやめることの対価として金銭等を得たときは、個人情報保護委員会は、当該金銭等に相当する額として政令で定める方法により算定した額に相当する額の課徴金を国庫に納付することを命じなければなりません（改正法148条の3第2項）。課徴金納付命令の例外：以下のいずれかに該当する場合、上記の課徴金納付命令の対象外となります。 ① 相当の注意を怠っていないこと：当該個人情報取扱事業者が、当該違反行為又は当該取得及び利用（以下「課徴金対象行為」といいます。）が行われた期間を通じて、当該課徴金対象行為を防止するための相当の注意を怠った者でないと認められる場合（改正法148条の3第1項本文及び第2項本文） ② 大規模事案ではないこと又は権利利益侵害がないこと：本人の数が千人を超えないときその他個人の権利利益を害する程度が大きくない場合として政令で定める場合（改正法148条の3第1項但し書及び第2項但し書）
課徴金の算定金額の推計	課徴金資料による推計：個人情報取扱事業者が報告又は資料の提出の要求（改正法146条1項）に応じなかったときは、個人情報保護委員会は、課徴金の計算の基礎となるべき事実を把握することができない期間中の課徴金の算定金額を、以下の事業者から入手した資料その他の資料を用いて、個人情報保護委員会規則で定める合理的な方法により推計して、課徴金納付命令をすることができます（改正法148条の4）。 ① 当該個人情報取扱事業者若しくはこれと取引を行う他の事業者、又は ② 当該課徴金納付命令に係る課徴金対象行為に係る事業と同種の事業を行う他の事業者若しくはこれと取引を行う他の事業者
過去の課徴金納付命令歴による加算	課徴金納付命令歴のある者への1.5倍の加算：個人情報保護委員会は、以下のいずれの条件を満たす者に対しては、課徴金の算定金額の1.5倍に相当する課徴金を国庫に納付することを命じなければなりません（改正法148条の5）。 ① 10年以内の課徴金納付命令歴：報告徴収等[xv]が最初に行われた日（当該報告徴収等がない場合、弁明の機会の付与の通知を受けた日）から遡り10年以内に、課徴金納付命令を受けたことがあること ② 課徴金納付命令日以後の行為：当該課徴金納付命令の日以後において課徴金対象行為をしていた者であること
課徴金減免（リニエンシー）制度	課徴金減免制度：個人情報保護委員会は、個人情報取扱事業者が課徴金納付命令に係る課徴金対象行為に該当する事実を同委員会に報告したときは、課徴金の算定金額に100分の50を乗じて得た額を当該課徴金の額から減額するものとされています（改正法148条の6本文）。課徴金減免制度の適用除外となる場合：上記の課徴金減免制度は、その報告が、当該課徴金対象行為についての調査があったことにより課徴金納付命令があるべきことを予知してされたものであるときは、適用されません（改正法148条の6但し書）。

[vi] ここでいう「統計作成等の例外の対象となる情報又は当該情報を複製若しくは加工した個人に関する情報」としては、統計作成等用要配慮個人情報等、提供統計作成等用個人情報等及び提供統計作成等用個人データを想定しています。各用語の定義は、以下のとおりです。

「統計作成等用要配慮個人情報等」：改正法30条の2第1項の規定により取得された要配慮個人情報又はその全部若しくは一部を複製し、若しくは加工した生存する個人に関する情報（改正法30条の2第4項）
「提供統計作成等用個人情報等」：改正法30条の2第5項本文の規定により提供を受けた個人情報又はその全部若しくは一部を複製し、若しくは加工した生存する個人に関する情報（改正法30条の2第6項）
「提供統計作成等用個人データ等」：改正法31条の3第1項本文の規定により提供を受けた個人関連情報又はその全部若しくは一部を複製し、若しくは加工した生存する個人に関する情報（改正法31条の3第2項）。

[vii] 個人情報保護委員会「『個人情報の保護に関する法律についてのガイドライン』に関するQ&A」（令和7年7月1日）A1-62

[viii] 特定の個人に対する郵便若しくは信書便による送付、電報の送達又は特定の個人への訪問に利用することができるものに限るとされています（改正法2条8項1号）。

[ix] 特定の個人に対する電話又はファクシミリ装置を用いた送信に利用することができるものに限るとされています（改正法2条8項2号）。

[x] 特定電子メール法上の電子メールアドレスをいい、特定の個人に対する同法が規定する電子メールの送信に利用することができるものに限るとされています（改正法2条8項3号）。

[xi] 特定の個人に対する電気通信を利用した情報の伝達に利用することができるものに限るとされています（改正法2条8項4号）。

[xii] 特定電気通信役務提供者の損害賠償責任の制限及び発信者情報の開示に関する法律の一部を改正する法律（令和6年法律第25号）

[xiii] 個人情報保護法のいわゆる3年ごと見直しに関する検討会「個人情報保護法のいわゆる3年ごと見直しに関する検討会報告書」（令和6年12月25日）

[xiv] 「金銭等」は、金銭その他の財産上の利益をいいます。以下同様です。

[xv] 「報告徴収等」は、個人情報保護法146条1項の規定による報告若しくは資料の提出の要求又は立入検査をいいます。以下同様です。

Member

PROFILE

野呂悠登

#個人情報