2026年7月公布の改正個人情報保護法のポイントと実務対応

総合研究部 主幹研究員　高橋 優子

１．はじめに

2026年7月10日、「令和8年改正個人情報保護法」（以下、「改正法」という。）が成立し、2026年7月17日に公布されました。改正法は、デジタル技術の急速な進展に伴い、個人情報を含むデータの利活用に対する需要が高まっている一方で、個人情報の違法な取扱いにより個人の権利利益が侵害されるリスクも高まっていることを踏まえ、個人の権利利益の適切な保護を図るとともに、AI活用にも資する円滑なデータ連携を促進するための所要の措置を講ずるものであり、公布の日から2年以内に施行するとされています。
個人情報保護法には、「施行後3年ごとに検討を加え、必要な措置を講ずる」という見直し条項が設けられています（令和2年改正個人情報保護法 附則第10条）。2023年11月から、個人情報の保護に関する国際的動向、情報通信技術の進展、それに伴う個人情報を活用した新たな産業の創出及び発展の状況、及び現行法の施行状況等についての実態把握や、多様なステークホルダーからのヒアリング等を通じて、具体的な検討を行い、公布に至ったのです。

２．改正の背景と目的

今回の改正は、AIやビッグデータの活用が急速に進む中で、個人情報の適切な保護とデータ利活用の両立を図るために行われました。近年は生成AIの普及やデジタル化の進展により、大量の個人情報が収集・利用されるようになった一方で、情報漏えいや不正利用などによる個人の権利侵害のリスクも高まっています。
このような状況を背景として、改正法では個人情報保護の強化を図るとともに、AI開発や統計作成など社会的に有益な分野でのデータ活用を促進することを目的としています。また、課徴金制度の導入などにより法令遵守の実効性を高めるほか、顔特徴データなどの生体情報に関する保護を強化し、個人の権利・利益をより確実に守ることを目指しています。

３．改正法の概要

個人情報保護委員会が公表する「個人情報の保護に関する法律等の一部を改正する法律案（概要）」では、改正内容を4つに分けて説明しています。今回の改正では、以下の12項目が盛り込まれています。

ここからは、改正内容の「2 リスクに適切に対応した規律」に着目して、ポイントを見ていきます。

3-1．子どもの個人情報に係る規制の明確化および厳格化

近年、子どもが利用するデジタルサービスの拡大に伴い、子どもの個人情報の過剰収集、SNS等を通じた被害などへの懸念が高まっています。
また、子どもは、心身の発達段階にあるためその判断能力が不十分であり、個人情報の不適切な取扱いに伴う悪影響を受けやすいこと等から、子どもの発達や権利利益を適切に守る観点から、一定の規律を設ける必要があるため、改正されたとされています。
改正法では、16歳未満の子どもの個人情報について特別な保護を強化する方向が示されています。
16歳未満を年齢基準としているのは、個人情報保護委員会において「一般的には12歳から15歳までの年齢以下の子どもについて、法定代理人等から同意を得る必要がある」としている点や、GDPR第8条において「16歳未満の子どもに対する直接的に情報社会サービスを提供する場合において、その子どもの同意を法的根拠にする場合には、親権者の同意または承認も必要」としている点を参考にしています。

該当する条文は、以下の通りです。

今回の改正は、海外の動向（EUのGDPRや英国のAge Appropriate Design Code等）と同様に、「子どもの最善の利益」を重視した個人情報保護へ転換する流れの一環と位置付けられています。日本でも子どもの個人情報を特に保護すべき情報とし、より手厚く扱う方向が明確になった点が重要です。
 

3-2．顔特徴データ等に係る規律の新設

顔識別機能付きカメラシステム等のバイオメトリック技術の利用が拡大する中で、顔特徴データ等は、本人が関知しないうちに容易にそれゆえに大量に入手可能であり、一意性及び不変性が高く特定の個人を識別する効果が半永久的に継続するため、取扱いが本人のプライバシー等の侵害に類型的につながる可能性があります。
そこで、上記侵害を防止するとともに、顔特徴データ等の適正な利活用を促すため、顔特徴データ等の取扱いについて、透明性を確保した上で本人の関与を強化するため、顔特徴データ等に関する規律が改正法において追加されています。

該当する条文は、以下の通りです。

3-3． 委託を受けた事業者の規律の整備

現行法の下では、事業者が個人データの取扱いを委託する場合、委託先の監督義務を負い（法第25条）、具体的には、自らが講ずべき安全管理措置と同様の措置が講じられるよう、監督を行う必要があります。
しかし、現状は、個人データ等の取扱いについて、実質的に第三者に依存するケースが拡大しており、さらに、委託先が委託された業務の範囲を超えて独自に個人データ等を利用する事案も生じています。一方で、個人データ等の取扱いの委託の中には、委託先自らは取扱いの方法を決定しないケースも存在しています。これらを踏まえ、委託の実態に合わせた規律を整備することとなりました。

該当する条文は、以下の通りです。

3-4．漏えい等発生時の本人通知義務の緩和

現行法では、事業者は、漏えい等発生時に個人情報保護委員会等への報告義務を負う場合（法第26条第1項）には、原則として本人通知を行わなければなりません（法第26条第2項本文）。
しかし、今回の改正により、本人への通知が困難であり、かつ代替措置を講じる場合には、本人通知は要しないこととされました（改正法第26条第2項ただし書）。

該当する条文は、以下の通りです。

また、今回の改正においては、以下の論点も含まれており、今後これらに関する改正が行われることが予想されます。

４．企業が取り組むべき実務対応

改正法を踏まえて危機管理の観点で、企業が主に取り組むべき実務を紹介します。

4-1． データ利用目的の棚卸し

企業は保有する個人情報を整理し、どのような目的で収集・利用しているのかを改めて確認し、実際の運用と公表している利用目的との整合性を確保する必要があります。これにより、目的外利用の防止と適切なデータ利活用の両立を図る管理体制を整備することが重要です。

4-2． 同意取得プロセスの見直し

個人情報を取得・利用する際には、本人が内容を理解した上で適切に同意できる仕組みを整える必要があります。また、子どもの個人情報や顔特徴データ等については、改正法に対応した適切な同意取得・周知の体制を整備することが求められます。

4-3． 課徴金リスクの評価

個人情報保護法違反に対する課徴金制度の導入という制裁強化を踏まえ、法令違反による課徴金や行政処分のリスクを評価することが重要です。定期的なリスク分析や内部監査を実施し、問題点を早期に把握・改善する体制を構築する必要があります。

4-4． 社内規程・研修の更新

法改正やAI技術の進展に対応するため、個人情報保護に関する社内規程や運用マニュアルを見直すことが重要です。また、従業員を対象とした研修を、内容を更新しつつ、定期的に実施し、個人情報の適切な取扱いと情報セキュリティに対する意識向上を図る必要があります。

4-5． インシデント対応体制の強化

個人情報の漏えいや不正アクセスなどの事故が発生した場合に備え、迅速に対応できる体制を整備することが求められます。対応手順を明確にするとともに、関係部署との連携体制を構築し、定期的な訓練や見直しを行うことで被害の拡大防止と早期復旧につなげることが重要です。

５．今後の法改正動向

AI時代の個人情報保護では、AIが大量のデータを高速かつ高度に分析できるため、個人情報の適切な管理がこれまで以上に重要になっています。
また、今回の改正内容に含まれる統計特例では、統計作成を目的とする場合に一定の条件の下で本人の同意なく個人情報を利用できるため、社会全体に役立つ統計を効率的に作成できるという利点があります。一方で、AIの発達により、匿名化されたデータでも他の情報と組み合わせることで個人が再識別される可能性や、統計目的で収集したデータが目的外に利用される懸念があります。

そのため、AI時代には、個人情報を適切に匿名化する技術の向上、利用目的の明確化、厳格なデータ管理、透明性の確保などを徹底し、個人のプライバシーを守りながらデータを活用することが重要です。
今回の改正以降は、AIの利活用を促進しながら個人の権利・利益を保護することが重要な課題となります。そのため、AI利用の透明性向上、再識別防止、目的外利用の抑制、子どもの個人情報保護、国際的なデータ移転管理などを中心に、規制がさらに強化されていくと考えられます。なお、具体的な内容は今後の法改正や個人情報保護委員会のガイドラインなどで段階的に整備される可能性があります。

６．おわりに

改正法への対応は、単なる法令遵守ではなく、企業の信頼性向上やAI時代における競争力の維持につながる重要な経営課題です。そのため、経営層が中心となって、個人情報保護体制やセキュリティ対策、AI利用に関するガバナンスを強化していくことが求められます。

また、法改正への対応を一度行えば終わりではなく、AI技術やデジタル社会の変化に合わせて継続的に見直し、運用していくことが重要です。企業は法令やガイドラインの改正に対応しながら、個人情報の管理体制やセキュリティ対策、従業員教育を定期的に見直し、適切な運用を継続する必要があります。これにより、個人の権利・利益を保護するとともに、企業への信頼を維持・向上させることができるのです。