令和8年個人情報保護法の新設・変更点

総合研究部 主幹研究員　芹野 祐介

令和8年に改正されました個人情報保護法は、AI技術の急速な普及、データ流通の高度化、そして名簿業者による連絡先情報の不適切な流通など、近年顕在化した新たなプライバシーリスクに対応するための包括的な制度改正となりました。(1)「連絡可能個人関連情報」という新しい情報類、「(2)特定生体個人情報」への特別な規律、(3)統計作成・研究等を念頭に置いた個人情報の利用・提供ルール、(4)16歳未満の子どもの個人情報についての特別な保護、(5)個人情報保護委員会の監督権限と課徴金制度の強化、(6)行政機関・マイナンバー・医療情報分野への同様の保護強化、という6つの柱が中心となり、法律の目次自体にも、監督について「報告及び立入検査」「措置命令等」「課徴金納付命令等」などの新しい区分が設けられています。

Ⅰ．連絡可能個人情報

「連絡可能個人関連情報」という新たな概念が導入されます。従来の個人関連情報では氏名等の個人データと共に利用される際に法律の対象となっていましたが、今回の改正では連絡先情報が本人に対する接触可能性を生み出す点に着目し、そのリスクを独立した規制対象として位置づけました。そのためマーケティングや営業活動における個人への連絡先のデータ取得プロセスの透明性と適正性が重要視されることになると思料しています。

Ⅱ．「特定生体個人情報」の新設

静脈などの特定の生体個人識別符号に関係する身体的特徴の情報を一定の方法で変換したものを含む個人情報として定義されています。特別な技術や多額の費用を要しない方法で取得できる身体の一部の特徴であって、本人が取得されていることを容易に認識できないものが前提となります。この情報を取り扱う事業者には、通常の個人情報とは別に、事前に本人へ一定事項を通知する、または容易に知り得る状態に置く義務が設けられます。
現在顔の画像データや静脈データ、声紋データ等の生体認証技術が企業の入退室管理、本人確認、決済等の幅広い分野で利用されていますが、取得目的や使用用途が「セキュリティ向上のため」等と透明性が確保されていない事例が多いため、本年の改正で厳格化されることとなったと推察されます。

そのため取扱企業は生体情報取得そのものを必要最小限にすることが重要です。認証に不要な情報まで保存するのではなく、利用目的を収集前に明確し目的を達成するために必要な範囲に限定し、保存期間を明確化し利用する必要がなくなった情報については適切かつ確実に削除する仕組みを構築することも必要です。本人からの利用停止や消去等の請求に応じる必要があるため体制構築も取得前に完了させる必要があるため取り扱い企業は根本から体制を見直す必要があります。

Ⅲ．個人情報の「統計作成等」利用に関する特例

「統計作成等」という用語が新設され、大量の情報から要素を抽出・分類・比較・解析し、個人に関する情報そのものではない「傾向や性質に係る情報」を作成する行為のうち、個人の権利利益を害するおそれが少ないものとして規則で定めるもの、とされています。そのうえで、公開されている要配慮個人情報を統計作成等のために取得する場合について、一定の公表を行うことを条件に、本人の同意なしで取得できる特例が設けられています。取得した側には、利用している期間中、利用目的等の事項を継続して公表することも求められます。
また、統計作成等を目的として個人情報を第三者へ提供する場合についても、一定の条件を満たせば本人同意なしで提供できる仕組みが新設されています。資料では、提供者・第三者双方の氏名等や統計作成等の内容を公表すること、さらに書面・電磁的記録による合意によって統計目的の提供であることを明確にすることなどが条件とされています。急速なAI開発の発展によってインターネットに繋がっている環境に保存されている情報はAIによって収集される現状を反映したものと推察されます。個人情報取り扱い事業者にとっては今年度中の対策が必須となる事項であると思料しております。

この統計作成等の特例は、個人情報保護法上の規制を全面的に免除する制度ではなく、統計作成等という限定された目的について、本人同意を中心とした取得・利用・第三者提供等の規制を一定範囲で緩和する制度です。
統計作成等を名目とすれば自由に利用できるわけではなく、あらかじめ統計作成等の内容や目的を公表し、法令上定められた要件を満たす必要があります。統計作成等とは関係のない営業活動や個人へのサービス提供など、別の目的に利用することは認められていません。
また統計作成等を目的として個人データを第三者に提供することについても特例が設けられています。通常の第三者提供では本人同意が原則となりますが、統計作成等のために必要であり、法定の条件を満たす場合には、本人同意を得ずにデータを提供することが可能となります。また特例によって取得した個人情報は自由に第三者へ提供できるわけではなく、第三者提供については本人通知が必要となります。

緩和しているが目的の公表、利用範囲の限定、第三者提供の制限などを設けることで、個人の権利利益との均衡を図っている。個人を識別することを目的としない統計的なデータ利活用を可能とするために、保護と利活用の両立を図る制度として位置付けとしての特例となっています。

Ⅳ．16歳未満の方の個人情報の取り扱い

16歳未満の方について独立した特別規定が新設されています。「第四十条の二」として、16歳未満の方の個人情報について、利用目的、要配慮個人情報の取得、漏えい時の本人通知、第三者提供、外国への提供、開示・利用停止等など複数の規定について、本人ではなく法定代理人を意識した特別な読替えを行う仕組みです。
企業が実施すべき取組として、年齢確認の仕組みを整備することが必須となります。サービスへの登録時に年齢を確認し、16歳未満に該当する場合には、通常の利用者とは異なる個人情報の取扱いを適用できるようにする必要があります。また法定代理人の同意を適切に取得・管理する仕組みを構築する必要があります。単に「保護者の同意を得ています」という申告だけに依存するのではなく、サービスの性質や取得する情報の重要性に応じ適切な確認方法を検討する必要があります。取得した同意について「いつ、誰から、どのような内容」で同意を得たのかを記録できる体制を整備することも重要があり、企業としての個人情報管理体制の見直しが必要です。

Ⅴ．個人情報保護委員会の監督・権限の追加

新設された「取扱関係役務提供者等に対する要請」では、措置命令を受けた事業者が命令に従わない場合、その事業者が個人情報の取扱いに利用しているサービスを提供する者に対して、情報の取扱い停止やサービス提供停止など、違反行為を止めるために必要な措置を取るよう要請できる仕組みが設けられています。また新設された課徴金制度では、違反行為によって金銭等の利益を得た場合、その利益に相当する額を基礎として課徴金を国庫に納付させる仕組みが設けられています。個人情報数が1,000人を超えない場合など一定のケースでは課徴金納付命令を行わないことができる旨も規定されています。
従来の「指導・勧告中心」から、調査→勧告→措置命令→サービス提供者への要請→課徴金という、より強力な執行体系へ移行したことが大きな変更点です。

Ⅵ．変更点まとめ

実務上重要なのは、「連絡可能個人関連情報」「特定生体個人情報」「16歳未満の個人情報」「統計作成等」という新しい概念・制度が追加されたことです。これらは、従来の個人情報保護法だけでは対応しにくかった、オンライン上の連絡情報、生体情報、子どもの情報、ビッグデータ分析という現代的な利用形態を制度に反映したと推察されます。個人情報取扱事業者にとっては、第三者提供時の確認・記録、統計目的での利用時の公表、特定生体個人情報の利用目的等の通知、16歳未満の本人・法定代理人への対応など、実務上確認すべき事項が増えています。そのため規程やセキュリティポリシーの変更が急務となり、個人情報保護委員会の調査・立入検査、措置命令、課徴金、サービス提供者への要請まで整備されたことで、単に「個人情報を適切に管理する」だけでなく、違反を早期に発見・是正できる社内体制を作ることがより重要になると思料しています。