2026年改正個人情報保護法とは？企業が押さえるべき変更点と実務対応

この記事のポイント

• 改正法は2026年7月10日に成立し、7月17日に公布されました。施行日は原則として公布から2年を超えない範囲で政令により定められます。
• 改正の大きな方向性は、一定のデータ利活用について本人同意規制を合理化する一方、子ども・顔特徴データ等の高リスク領域と、悪質な違反に対する執行を強化することです。
• 「AI開発なら個人データを同意なく自由に使える」わけではありません。統計情報等の作成にのみ利用されること等の条件を満たす必要があります。
• 課徴金制度は導入されますが、すべての個人情報保護法違反に課される制度ではなく、経済的誘因のある重大・大規模な一定の違反行為を対象とします。
• 2026年11月1日時点では政令・委員会規則・ガイドラインの整備が継続中です。企業は「法律で確定した事項」と「今後具体化される実務」を区別して準備する必要があります。

2026年7月17日、「個人情報の保護に関する法律等の一部を改正する法律」が公布されました。今回の改正は、個人情報保護法のいわゆる3年ごと見直しを踏まえた大きな改正です。

企業実務の観点では、AI開発等を含む統計情報等の作成に関する本人同意規制の見直し、16歳未満の子どものデータ、顔特徴データ、委託先の規律、漏えい時対応、不適正利用等の防止、オプトアウト規制、課徴金制度など、広い範囲に影響します。

今回の改正は、「個人情報保護を厳しくする改正」だけでも、「AIのために規制を緩和する改正」だけでもありません。一定のデータ利活用を円滑にする一方で、リスクの高い取扱いと悪質な違反に対する規律・執行を強くするという組合せになっています。

本記事では、改正内容を企業の実務担当者向けに整理したうえで、特にAI・データビジネスにどのような影響があるのかを解説します。

1　改正法は成立・公布済み。ただし細部はまだ整備中

改正法案は2026年4月7日に国会へ提出され、7月10日に可決・成立し、7月17日に公布されました。

施行期日は、原則として公布の日から起算して2年を超えない範囲内で政令により定められます。したがって、2026年11月1日時点ですべての改正規定が施行されているわけではありません。

また、個人情報保護委員会は、施行に向けて政令・委員会規則・ガイドライン等を継続して整備しています。2026年8月26日には政令・規則等で定める事項の全体像が示され、9月から10月にかけて「基本的な考え方」①～③も公表されています。

そのため、現時点の記事では「改正法の条文・公布資料で確定していること」と、「政令・規則・ガイドラインで今後さらに具体化されること」を区別して読む必要があります。

2　統計情報等の作成―AI開発に使える新しい例外

今回の改正で特に注目されるのが、「統計情報等の作成」にのみ利用される場合の本人同意規制の見直しです。

改正法は、個人データ等の第三者提供や、公開されている要配慮個人情報の取得について、統計情報等の作成にのみ利用されることが担保されている場合等には、一定の条件の下で本人同意を不要とする仕組みを設けました。政府資料は、この「統計作成等であると整理できるAI開発等」を含むと明記しています。

ここで注意したいのは、「AI開発」というラベルさえ付けば、個人データを自由に集め、自由に使えるようになるわけではないことです。

中心になるのは、個人との対応関係を排斥した一般的・汎用的な分析結果を得るための統計情報等の作成にのみ利用されることです。第三者提供については、提供者・受領者間で利用目的を拘束する仕組み等も問題になります。

したがって、AIモデルを学習した後に個人を特定して営業する、個人ごとの信用評価に使う、個人データを別目的のサービス運営にも流用する、といった利用まで一括して正当化するものではありません。

AI開発で例外利用を検討するときの確認ポイント

• 取得・提供するデータは何か。個人情報、個人データ、要配慮個人情報等のどれに該当するか
• AI開発の目的が「統計情報等の作成」にのみ利用されると整理できるか
• 学習後のモデル・成果物から特定個人への働きかけ等を行わない設計になっているか
• 第三者提供を伴う場合、提供先の利用目的・再提供等を契約上どのように拘束するか
• 政令・規則・ガイドラインで具体化される条件を施行前に再確認する

3　「本人の意思に反しないことが明らか」な取扱い

目的外利用、要配慮個人情報の取得、第三者提供についても、新たな本人同意不要の場面が設けられました。

取得の状況からみて本人の意思に反しないため、本人の権利利益を害しないことが明らかな取扱いである場合には、本人同意を不要とするという考え方です。

典型例としては、本人が申し込んだサービスを実現するために、そのサービスの性質上当然に想定される第三者提供等を行うような場面が考えられます。

もっとも、「企業にとって便利だから」「プライバシーポリシーに広く書いてあるから」というだけで使える例外ではありません。取得時の状況、本人の合理的な期待、取扱いの必要性、権利利益への影響を具体的に確認する必要があります。

4　生命・身体・財産保護、公衆衛生等の例外も使いやすくなる

現行法でも、生命・身体・財産の保護や公衆衛生の向上等のために必要な場合には本人同意に関する例外がありますが、「本人の同意を得ることが困難であるとき」といった要件が問題になることがあります。

改正法では、一定の場面について同意を得ないことに合理的な理由がある場合も含められる方向で要件が緩和されます。

また、学術研究例外の対象となる「学術研究機関等」に、医療の提供を目的とする機関・団体が含まれることも明示されました。医療・研究データの利用では実務上重要な変更です。

もっとも、例外が広がることと安全管理措置等が不要になることは別問題です。データの機微性に応じたアクセス制御、目的管理、第三者提供管理等は引き続き必要です。

5　16歳未満の子どもの個人情報

改正法は、16歳未満の者が本人である場合について、同意取得や一定の通知等の相手方を法定代理人とすることを明文化します。

また、16歳未満の者の保有個人データについて、利用停止等請求の要件を緩和し、未成年者の個人情報等の取扱いについて「本人の最善の利益を優先して考慮」すべき旨の責務規定を設けます。

子ども向けアプリ、教育サービス、ゲーム、SNS、EC、位置情報サービス等では、単にプライバシーポリシーを書き換えるだけでなく、年齢確認、保護者同意のフロー、プロフィール公開範囲、広告・レコメンド、データ保持期間等をサービス設計レベルで確認する必要があります。

6　顔特徴データ―本人への周知、利用停止、オプトアウト提供の禁止

顔認証・顔識別等に使われる顔特徴データ等についても、特別の規律が設けられます。

改正法では、顔特徴データ等の取扱いに関する一定事項の周知を義務化し、利用停止等請求の要件を緩和するとともに、オプトアウト制度に基づく第三者提供を禁止します。

顔特徴データは、パスワードのように容易に変更できず、継続的な追跡・識別にも利用できるため、漏えい・目的外利用時の影響が大きい情報です。

店舗カメラ、入退室管理、本人確認、イベント、マーケティング分析等で利用している企業は、取得時の表示、利用目的、保存期間、第三者提供、委託先、利用停止への対応を棚卸しした方がよいでしょう。

7　委託先の規律―「委託だから何でも処理できる」ではない

クラウド、データ分析、BPO、AIベンダー等へのデータ処理委託に関する規律も見直されます。

改正法では、データ処理等の委託を受けた事業者について、委託された個人データ等を適正に取り扱うための規律が整理・明確化されます。委託範囲を超えた処理を行わないことが重要になります。

一方、処理方法や講ずべき措置を契約等で具体的に定め、委託元による監督等を行う場合について、委託先に適用される義務の整理も行われます。

AIサービスではここが特に重要です。顧客から受領した個人データを「サービス提供のための処理」として扱うのか、ベンダー自身のモデル改善・汎用学習にも使うのかによって法的な評価が変わり得ます。

したがって委託契約やAI利用規約では、入力データを何の目的で使えるのか、サブプロセッサへ提供するのか、保存期間、削除、学習利用の有無等を明確にする必要があります。

8　漏えい時の本人通知はリスクに応じて合理化

漏えい等が発生した場合の本人通知についても見直しがあります。

本人の権利利益の保護に欠けるおそれが少ない場合には、本人通知義務を緩和する仕組みが設けられます。

これは漏えい時対応を軽視してよいという意味ではなく、漏えいの内容・本人への影響に応じて、通知に伴うコストと権利利益保護の必要性をバランスさせる方向です。

企業としては、インシデント対応手順を「一定件数以上なら機械的に同じ対応」とするだけでなく、情報の種類、暗号化、第三者取得可能性、悪用可能性等を評価できる体制にしておくことが重要になります。

9　個人情報でなくても「特定個人への働きかけ」ができる情報を規制

改正法では、個人情報には該当しないものの、特定の個人に対して連絡・広告表示等の働きかけを行える情報について、不適正な利用や不正取得を禁止する規律が設けられます。

この領域では、電話番号、メールアドレス、住所、Cookie ID等と他の情報を組み合わせて特定の人へ働きかけるデータ利用が問題になり得ます。

個人情報かどうかの形式的な区分だけを見て、「個人情報ではないから自由に使える」と判断することは危険になります。広告、データブローカー、名簿、オンライン識別子等を扱う事業者は特に注意が必要です。

10　オプトアウト第三者提供―提供先の身元・利用目的を確認

本人の求めに応じて第三者提供を停止すること等を条件に、本人同意なく個人データを第三者提供するオプトアウト制度も厳格化されます。

提供元に対し、提供先の身元と利用目的を確認する義務が課され、提供先側にも虚偽の説明をしないことが求められます。

名簿等が詐欺・犯罪に利用される問題への対応という意味合いが強く、データを販売・提供する事業者は、相手方確認を形式的な申告書だけで終わらせず、どの程度の本人確認・利用目的確認を行うかが課題になります。

11　命令・罰則の強化と、第三者への協力要請

個人情報保護委員会による執行手段も強化されます。

違反が生じてから段階的に対応するだけでなく、速やかに是正を求めるため命令要件が見直され、本人への違反事実の通知・公表等、権利利益保護のために必要な措置を命ずることも可能になります。

また、違反行為を補助する第三者に対して、違反行為の中止に必要な措置等を要請するための根拠規定も設けられます。例えば、違法な個人情報取扱いに利用されるサービスの提供者等が問題になる場面が考えられます。

刑事罰についても、個人情報データベース等の不正提供等に関する対象・法定刑が見直され、詐欺等による個人情報の不正取得に対する罰則も設けられます。

12　課徴金制度―すべての違反に課されるわけではない

今回の改正で大きく注目されているのが課徴金制度です。

もっとも、個人情報保護法に違反すれば何でも売上高の数％を課される、といった包括的な制度ではありません。政府資料は、経済的誘因のある、大量の個人情報の取扱いによる悪質な違反行為を実効的に抑止することを目的として、重大な違反行為によって個人の権利利益が侵害された場合等に課徴金を命じる制度と位置付けています。

対象行為や主観的要件、規模要件等は法令・政令等により具体化されますが、個人情報保護委員会が2026年10月に示した考え方では、対象となる一定の違反について、取扱対象者数1,000人を一つの大規模性の基準とする方向が示されています。

課徴金額についても、違反によって得られた財産的利益等に相当する額を基礎とする考え方です。

企業実務で重要なのは、「課徴金があるから全部を同じ強度で管理する」ことではなく、収益化と結び付いた大規模なデータ利用、第三者提供、違法取得等について、これまで以上に意思決定・法務レビューの記録を残すことです。

13　AI企業にとって何が変わるか

今回の改正は、AI企業にとって特に重要です。一方では、統計作成等と整理できるAI開発についてデータ利活用の余地が広がります。他方では、データの取得・利用が不適正であれば、課徴金その他の執行強化の影響を受けます。

したがって「AI学習だから例外」「公開情報だから自由」という二分法ではなく、データフローを工程ごとに見る必要があります。

例えば、Webスクレイピングで公開情報を取得する場面でも、要配慮個人情報、取得元サイトの利用条件、統計作成等の目的限定、個人への再利用、モデル出力からの再識別リスク等を分けて検討する必要があります。

また、顧客データを使ったファインチューニングやRAGでは、AIベンダーが単なる委託先として処理しているのか、自社目的で学習・改善に利用しているのかによって契約・法的整理が変わります。

14　企業が施行前に進めたい10項目

• 自社の個人情報・個人データ・個人関連情報のデータマップを更新する
• AI開発・データ分析の各用途について、本人同意・例外規定の根拠を整理する
• 「統計情報等の作成」例外を使う可能性があるプロジェクトを洗い出す
• 16歳未満のユーザーが存在するサービスの年齢確認・保護者対応を確認する
• 顔特徴データを取得・利用しているシステムを棚卸しする
• 委託先・クラウド・AIベンダーのデータ利用目的と再委託・学習利用を確認する
• オプトアウトによる第三者提供を行っている場合、提供先確認プロセスを見直す
• 漏えい時のリスク評価・本人通知判断の社内フローを整備する
• 収益化と結び付く大規模な個人データ利用について、課徴金リスクを踏まえた承認・記録プロセスを設ける
• 政令・規則・ガイドラインの確定後に、プライバシーポリシー、同意画面、委託契約、社内規程を再レビューする

15　改正対応は「施行直前にプライバシーポリシーを直す」だけでは足りない

今回の改正は、データの取得から利用、第三者提供、委託、インシデント、執行まで広い範囲を見直します。

そのため、施行直前に法務部がプライバシーポリシーの文言だけを修正しても、実際のシステム・データフローが改正法に対応していなければ不十分です。

特にAI・データビジネスでは、「どのデータを」「誰から取得し」「誰に渡し」「何のために処理し」「学習後に何が残るのか」を技術部門・事業部門・法務部門で共通言語にすることが重要です。

私は、施行対応を法律条文の差分確認ではなく、データフローと責任分担の棚卸しとして進める方が、今回の改正には合っていると思います。

16　まとめ

2026年改正個人情報保護法は、データ利活用の円滑化と、リスクの高い取扱い・悪質な違反への規律強化を同時に進める改正です。

AI開発等について新たな本人同意不要の仕組みが設けられる一方、それはAIなら何でも自由に使えるという例外ではありません。利用目的、データの性質、第三者提供、委託、本人への影響を具体的に整理する必要があります。

また、子どものデータ、顔特徴データ、オプトアウト、課徴金等については、サービス設計や経営判断に直接影響する可能性があります。

2026年11月1日時点では政令・委員会規則・ガイドラインの整備が継続中です。企業は、確定した改正法の方向性を踏まえてデータフローの棚卸しを先に進め、細部が確定した段階で契約・規程・UI等へ落とし込むのが現実的です。

参考資料

個人情報保護委員会「令和8年 改正個人情報保護法について」：https://www.ppc.go.jp/personalinfo/legal/r8kaiseihogohou/

個人情報保護委員会「個人情報保護法等の一部を改正する法律について」：https://www.ppc.go.jp/files/pdf/260717_kaiseihounitsuite.pdf

個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律」：https://www.ppc.go.jp/personalinfo/legal/r8kaiseihogohou/

個人情報保護委員会「政令・規則・ガイドライン等の整備に向けた検討の状況」：https://www.ppc.go.jp/personalinfo/legal/r8kaiseihogohou/

※本記事は一般的な情報提供を目的とするものであり、個別案件についての法律意見を提供するものではありません。

---

※本記事は一般的な情報提供を目的とするものであり、個別案件についての法律意見を提供するものではありません。