個人情報保護法の課徴金制度とは？2026年改正で企業リスクはどう変わるか

この記事のポイント

• 2026年改正で課徴金制度が導入されますが、「個人情報を漏えいしたら売上の数％を払う」という一般的な制度ではありません。
• 成立法では、違法な第三者提供等のうち、違反行為又はその停止の対価として財産上の利益を得るような、限定された利益連動型の行為が中心です。
• 違反防止のため相当の注意を怠っていない場合や、原則として対象本人が1,000人を超えない場合等には課徴金対象から除外されます。
• 2026年11月1日時点では施行前で、具体的な政令・規則・ガイドラインの整備が続いています。確定事項と今後決まる事項を分けて見る必要があります。

2026年7月17日、改正個人情報保護法が公布されました。今回の改正で注目されている制度の一つが「課徴金」です。

「個人情報保護法にもGDPRのような巨額制裁金が入るのか」「情報漏えいをしたら課徴金が発生するのか」といった疑問を持つ企業も少なくありません。しかし、成立した改正法の課徴金制度は、そのような一般的な売上連動型制裁金とはかなり異なる設計です。

むしろ、悪質な個人データ取引等によって事業者が得た経済的利益を保持させないことを中心にした、対象を限定した制度です。ここを正確に理解しないと、通常の漏えい事故と課徴金制度を混同してしまいます。

1　改正法の施行時期―2026年11月時点ではまだ施行前

改正法は2026年7月10日に成立し、同月17日に公布されました。一部を除き、公布から2年以内の政令で定める日から施行されます。

個人情報保護委員会は現在、施行に向けて政令、委員会規則、ガイドライン等を検討しています。そのため、本記事で述べる改正法の骨格は成立済みですが、対象除外の細部や算定方法など、政令等に委ねられている部分は今後具体化されます。

実務では「法律は成立済み、詳細運用は整備中」という二段階で情報を追う必要があります。

2　課徴金は何のために導入されるのか

従来の個人情報保護法にも、個人情報保護委員会による報告徴収、立入検査、指導・助言、勧告・命令、刑事罰等の仕組みがあります。

しかし、個人情報を違法に販売するなどして利益を得た場合、違反をやめさせるだけでは、違反によって得た経済的利益が事業者に残ることがあります。そこで、違反による利益を剥奪し、違反の経済的インセンティブをなくす観点から課徴金制度が検討されました。

この政策目的からも分かるように、今回の制度は「個人情報に関するあらゆる違反に金銭制裁を科す」という制度ではなく、違反行為と財産上の利益が結び付く一定の類型を対象とします。

3　「漏えい＝課徴金」ではない

ここが最も誤解されやすいところです。成立した改正法の課徴金規定は、通常のサイバー攻撃や誤送信による個人データ漏えいについて、その発生だけを理由に課徴金を科す仕組みではありません。

もちろん漏えい事故には、個人情報保護委員会への報告・本人通知、安全管理措置、行政対応、損害賠償、信用毀損等の別のリスクがあります。しかし、「1万人分漏えいしたから課徴金が発生する」という単純な関係ではありません。

課徴金制度を理解する際は、「情報管理事故」と「個人情報を利用・提供して利益を得る違反行為」を区別する必要があります。

4　どのような行為が課徴金の対象になるのか

改正法は、個人情報取扱事業者が一定の違反行為を行い、その違反行為又は違反行為をやめることの対価として、金銭その他の財産上の利益を得た場合に、個人情報保護委員会が課徴金納付を命ずる仕組みを設けています。

条文上は、例えば、個人情報を利用して違法行為や不当な差別的取扱いを行うことが想定される状況にある第三者への個人情報提供など、特に悪質性の高い行為類型が対象になります。制度検討過程では、本人の同意なく個人データを違法に販売するケース、違法行為を行う者への転売が想定される名簿業者へデータを販売するケース、不適正な利用により対価を得るケース等が具体例として示されてきました。

したがって、企業が通常のマーケティングやデータ分析をしているだけで直ちに課徴金対象になるわけではありません。他方、データ販売・第三者提供をビジネスとして行う企業、名簿・リード情報等を取得・流通させる企業では、提供先と利用目的の確認を今まで以上に重く見る必要があります。

5　「相当の注意」を尽くしていた場合の除外

改正法では、違反行為が行われた期間を通じて、その違反を防止するための相当の注意を怠った者ではないと認められる場合には、課徴金の対象から除外されます。

これは、結果的に違法行為があった場合でも、適切な確認・管理を尽くしていた事業者まで一律に課徴金対象にすることを避ける仕組みと考えられます。

実務上重要なのは、「注意していました」と後から説明するだけではなく、どの相手に、どの情報を、何の目的で提供したかを確認したプロセスと記録を残すことです。データ提供先の本人確認、利用目的、契約、過去の取引、異常な利用兆候、再提供条件等を確認した記録が、将来の説明可能性に直結します。

6　1,000人基準―すべての小規模違反を対象にする制度ではない

改正法では、対象となる個人情報・個人データの本人の数が1,000人を超えない場合など、個人の権利利益を害する程度が大きくない場合として政令で定める場合には、課徴金を命ずることができないとされています。

したがって、制度は悪質性・規模を一定程度絞り込む設計です。ただし、1,000人以下なら違法行為をしても問題ないという意味ではありません。課徴金の対象外でも、勧告・命令その他の法的リスクは別途残ります。

7　課徴金額は「企業売上の○％」ではない

改正法上、課徴金額は、対象となる違反行為又はその停止の対価として得た金銭等に相当する額を基礎に、政令で定める方法により算定する仕組みです。

つまり、EU GDPRのように世界売上高の一定割合を上限とする一般的な制裁金とは発想が違います。違法行為から得た財産上の利益を基準とする「不当利得剥奪」に近い設計です。

また、算定に必要な資料を事業者が提出しない場合に備えた推計の仕組みや、一定の場合の加算・減額等も設けられます。具体的な算定方法については、今後の政令等を確認する必要があります。

8　なぜ名簿・データ流通の管理が重要になるのか

制度の背景には、個人データが特殊詐欺等の犯罪に利用されるような悪質な流通への問題意識があります。個人情報保護委員会は従来から、名簿の提供先が違法行為に利用するおそれがある場合などについて監視・監督を強めています。

今回の改正では、オプトアウトによる第三者提供について、提供先の本人確認・利用目的の確認等も強化されます。課徴金だけを単独で見るより、「違法・不適正なデータ流通を止める」という改正全体の方向性の中で理解した方が分かりやすいです。

9　企業が施行前に確認しておきたい事項

特に、顧客・見込み客データ等を外部へ提供・販売する可能性がある企業では、施行前に次の点を棚卸ししておくことを勧めます。

• 個人データを誰に提供しているか。提供先一覧を作成できるか。
• 第三者提供の法的根拠（本人同意、オプトアウト、例外等）が整理されているか。
• 提供先の利用目的を確認し、不自然・違法な利用の兆候を検知できるか。
• 再提供・転売を認める場合、その範囲と管理方法が契約で定められているか。
• データの提供・利用から得る対価や収益の流れを説明できるか。
• 提供判断について、誰が承認し、どの資料を保存するか決まっているか。
• データ取得元について適法性を確認し、仕入れた名簿等を無条件に信頼していないか。

こうした管理は、課徴金を避けるためだけのものではありません。取引先から「このデータはどこから来たのか」と質問されたときに説明できるデータガバナンスの基礎になります。

10　改正法対応は「罰則チェック」ではなくデータフローの確認から

企業法務の観点では、課徴金制度だけを切り出して「対象になるか」を確認するより、自社の個人データがどこから入り、どこへ出て、どこで収益につながっているかを図にする方が有効です。

そのうえで、取得、目的外利用、第三者提供、委託、オプトアウト、統計作成等の特例といった法的根拠を重ねると、改正法によって変更が必要な部分が見えてきます。

今回の改正は、データ利活用を広げる規定と、悪質な取扱いへの執行を強化する規定を同時に含んでいます。課徴金制度は後者の代表ですが、制度全体としては「利用を止める」改正ではなく、適法な利用と悪質な利用をより明確に分けようとするものと見るのがよいでしょう。

まとめ

2026年改正個人情報保護法の課徴金制度は、あらゆる違反・漏えいに対する一般的な制裁金ではありません。成立法では、違法な第三者提供等を行い、それにより財産上の利益を得るような限定的なケースを中心に課徴金を課す仕組みです。

一方、データ流通をビジネスに組み込む企業にとっては、「提供先が誰か」「何に使うか」「なぜ適法に提供できるのか」を確認し記録する重要性が大きくなります。施行前の今こそ、プライバシーポリシーの文言だけではなく、実際のデータフローと契約・承認プロセスを見直すタイミングです。

参考資料

個人情報保護委員会「令和8年 改正個人情報保護法について」：https://www.ppc.go.jp/personalinfo/legal/r8kaiseihogohou/

個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律」の公布について（2026年7月17日）：https://www.ppc.go.jp/news/press/2026/260717/

個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律」：https://www.ppc.go.jp/files/pdf/260717_houritsu.pdf

個人情報保護委員会「個人情報保護法の制度的課題に対する考え方」：https://www.ppc.go.jp/files/pdf/seidotekikadainitaisurukangaekatanitsuite_250305.pdf

---

※本記事は一般的な情報提供を目的とするものであり、個別案件についての法律意見を提供するものではありません。