最新セキュリティマネジメント（第63回） 2026年（令和8年）改正個人情報保護法にどう対応するのか――情報漏えいの事前防止と事後対応に向けた体制の確立を

　2026年7月10日、改正個人情報保護法が国会で成立し、同月17日に公布された。子どもの個人情報や顔特徴データに対する保護が強化される。個人情報の取り扱いを外部から委託されている企業では、委託元だけでなく受託者側にも情報保護の義務が課される。悪質で重大な違反に金銭的な負担を求める課徴金制度も導入されるなど、さまざまな規制強化が実施される。企業としてこれらの改正にどう対処すればよいのか考えてみたい。

個人情報保護法の主な改正ポイント

　今回改正された内容について、主なものを見ていこう。

（1）課徴金制度の新設

　まず課徴金制度である。個人情報の取り扱いに関する悪質な違反に対して、金銭的な負担を課す制度が新設される。対象は、不適正な利用の禁止、適正な取得、第三者提供の制限などに違反する行為だ。例えば、違法または不当な行為に使われると分かっていながら、利益を得る目的で個人データを第三者に提供する行為が該当する。

　課徴金の額は、対象行為によって得られた財産的利益などに相当する額が基礎になる。企業の売上高は関係しない。ただし、どんな違反でも課されるわけではない。個人情報保護委員会の資料によれば、本人の数が1000人を基準とする大規模な事案で、個人の権利利益が侵害された、あるいは侵害されるおそれが生じた場合などに限られる。規模による線引きはないため、中小企業も無関係ではない。

（2）委託先（受託者）への直接の義務付け

　次は業務委託先の義務だ。個人データの取り扱いを委託された受託事業者には、委託業務の遂行に必要な範囲を超えた取り扱いが禁止される。これまでも委託元が委託先を監督する義務はあったが、今回は委託先自身にも直接、義務が課される。ただし、取り扱いの方法の全部を委託契約で合意し、委託先の状況を委託元が把握するための措置も取り決めていれば、この義務は免除される。

（3）子どもの個人情報の保護

　新たに設けられたのが、子どもの個人情報の保護に関する規定だ。16歳未満の子どもの個人情報を取得する際には、原則として法定代理人（親権者など）の同意が必要になる。塾など子ども向けの事業はもちろん、16歳未満を含む全年齢が顧客となるサービスでも、年齢確認と同意取得の仕組みを整えなければならない。従業員の家族情報を扱う場面でも同様の配慮が要る。

（4）顔特徴データの規律強化

　顔特徴データの規律も強化される。対象は、顔の骨格や皮膚の色、目、鼻、口などの部位の位置や形状から抽出した特徴情報だ。取り扱う事業者には、顔特徴データを扱っている旨や、自社の名称や住所、代表者の氏名などの周知が義務付けられる。本人は違法行為の有無を問わず利用停止を請求でき、オプトアウト制度による第三者提供も認められない。勤怠管理や入退室管理、防犯カメラで顔認証を使う企業は運用の見直しが必要だ。

（5）不正取得・不適正利用の禁止

　特定の個人の所在地や勤務先、電話番号、メールアドレス、Cookie IDなどを含む個人関連情報についても、不正な取得と不適正な利用が禁止される。これらを用いてフィッシングサイトへ誘導する詐欺や、取得時に説明した目的とは異なり広告目的で第三者に提供する行為が該当する。

（6）オプトアウト制度での確認義務

　オプトアウト制度に基づいて個人データを第三者に提供する際には、あらかじめ提供先の身元と利用目的を確認しなければならない。身元とは、氏名または名称、住所、代表者の氏名をさす。

（7）罰則の強化

　罰則も強化される。個人情報保護委員会の資料によれば、法定刑の上限は、重い規定で3年以下・150万円以下（現行は2年以下・100万円以下）まで引き上げられる。従来の「不正な利益を図る目的」による提供行為に加えて、「損害を加える目的」での提供行為も対象になる。

規制強化だけではない――AI開発・統計目的での緩和

　今回の改正は規制強化ばかりではない。AI開発などを含む統計情報等の作成だけを目的とする場合、本人の同意なくデータを取得したり提供したりできる。ただし、統計情報等の作成にのみ利用されることの担保、事業者名や作成内容の公表、提供側と受け取る側の書面による合意が条件だ。目的外の利用と第三者提供は禁じられる。

法令遵守にとどまらず、自社固有のリスクを把握する

　企業はこれらの法改正に、どう向き合えばよいのか。求められるのは、法令遵守にとどまらず、自社固有のリスクを把握した上での自主的な対処だ。何から着手すべきかを見ていこう。

まず個人情報の「棚卸し」から始める

　出発点は、社内にどんな個人情報があるかの把握だ。どの部門が、どのような個人情報を、どんな目的で、どのシステムに持っているかを整理する。営業部やEC（電子商取引）部門なら顧客情報、人事部なら従業員情報だ。

　その上で、16歳未満の子どもの個人情報、顔特徴データ、個人番号（マイナンバー）、決済情報など、リスクの高い情報を洗い出す。

委託先とクラウドサービスを一覧化する

　個人データを預けている委託先やクラウドサービスは一覧にしておこう。適切な管理が実施されているかを、いつでも確認できる状態にしておく。委託契約書の見直しは特に急ぎたい。取り扱いの方法や委託元による把握の手段を契約で定めておけば、委託先の義務は免除される。

子ども・顔特徴データ・マーケティングの3領域を点検する

　16歳未満の個人情報を扱う企業では、法定代理人への対応手順や社内規程の整備が要る。

　顔認証など顔特徴データを使うなら、データの種類や保存期間、本人への周知内容を確認し、改正後の要件に沿う方針を検討したい。

　メールアドレスやCookie IDでマーケティングに取り組む企業では、取得時に顧客へ説明した目的や方法に反した利用がないか、実態を点検しておく。

社内規程とプライバシーポリシーを見直す

　社内規程やプライバシーポリシーの見直しも要る。個人情報の取得目的や利用範囲、第三者提供のルールを必要に応じて更新する。規程が変われば、従業員教育の内容も見直しが必要だ。

漏えい時の初動手順を決めておく

　万一、情報漏えいが発生した際の備えも欠かせない。本人への通知と個人情報保護委員会への報告を遅滞なく行えるよう、誰が、いつ、何を判断するのかを事前に手順として定めておきたい。

安全管理措置を実務に落とし込む

　実務面の安全管理措置も欠かせない。アクセス権限の最小化、退職者アカウントの削除、クラウドの監査ログを含むログ管理、多要素認証、持ち出し制御の導入などが挙げられる。

施行までのスケジュールと着手時期

　改正法は、一部の規定を除き、公布の日から起算して2年を超えない範囲内で政令が定める日から施行される。公布は2026年7月17日なので、課徴金制度や委託先の義務、子ども・顔特徴データの規律、罰則の強化といった企業実務に関わる規定は、遅くとも2028年7月16日までに施行される（下表）。具体的な施行日は政令で定められるため、公表を待って確認する必要がある。

　猶予はあるように見える。だが個人情報保護委員会は政令や委員会規則、ガイドラインの整備を2026年内から進める方針で、実務の詳細は順次固まっていく。体制づくりが社内に定着するにはそれなりの時間もかかる。早めの着手をお勧めする。

区分	施行時期
改正法の公布	2026年7月17日
主要な規定の施行（課徴金制度、委託先の義務、子ども・顔特徴データの規律、罰則の強化など）	公布から2年以内に政令で定める日 （遅くとも2028年7月16日）

改正個人情報保護法についてよくある質問

Q1．当社は顧客も従業員も少ないのですが、個人情報保護法の対象になりますか？

　個人情報データベース等を事業に用いている事業者は、取り扱う件数の多少を問わず個人情報取扱事業者に該当します。2017年5月30日より前は5000人分以下を扱う事業者が除外されていましたが、この要件は廃止されました。今回新設される課徴金も、企業規模による線引きはありません。

Q2．課徴金と罰則は何が違うのですか？

　課徴金は、違反によって得られた財産的利益に相当する額の納付を命じる行政上の措置です。個人情報保護委員会は、経済的な誘因のある悪質な違反行為を実効的に抑止する狙いを示しています。一方の罰則は刑事罰で、今回の改正では法定刑の上限が引き上げられます。性質の異なる2つの仕組みが同時に強化されます。

Q3．オプトアウト制度とは何ですか？

　本人の求めに応じて提供を停止することなどを条件に、本人の同意を得ずに個人データを第三者へ提供できる制度です。名簿の販売などで使われてきました。今回の改正では、この制度を使う際に提供先の身元と利用目的の確認が義務付けられます。顔特徴データについては、オプトアウト制度による第三者提供そのものが禁止されます。

※掲載している情報は、記事執筆時点のものです。