2026年（令和8年）7月10日、「個人情報の保護に関する法律等の一部を改正する法律」が参議院本会議で可決・成立し、同月17日に公布されました。本改正は、統計作成・AI開発等の目的に限り、公開済みの要配慮個人情報の同意なき取得・第三者提供を認める規制緩和を含む一方で、課徴金制度の新設と刑事罰の引上げにより、違反行為に対する制裁を大幅に強化するものです。報道では「センシティブな情報も同意なしで使えるようになる」という側面が強調されがちですが、企業実務の観点からは、規制緩和の射程は限定的であり、むしろ「ルールを破った事業者への経済的制裁が格段に厳しくなった」点にこそ本質があります。本コラムでは、改正の全体像、課徴金の発動要件と実務上想定される違反シナリオ、特例の射程に関する誤解（採用スクリーニングへの利用等）、および施行までに企業が整備すべきデータガバナンスについて解説します。
改正の全体像 ― 4つの柱と施行時期
改正法の内容は、大きく4つの柱に整理できます。第一に、データ利活用の推進です。すでにインターネット等で公開されている要配慮個人情報（病歴・犯罪歴等）について、統計の作成やAI開発といった、特定の個人に対する判断に直結しない目的に限り、本人の同意なく取得し、または第三者に提供できる特例が新設されました。従来は、ウェブ上のデータをAIに学習させる際に要配慮個人情報が混在していれば原則として同意取得が必要であり、これが国内のAI開発の障壁とされていたことへの対応です。ただし、特例の対象となる用途は今後定められる個人情報保護委員会規則の範囲に限られ、「AI開発であれば何でも許容される」わけではありません。
第二に、リスクに応じた規律の強化です。子どもの個人情報や生体データの取扱いについて、より厳格な規律が整備されました。第三に、個人関連情報の不適正な利用の防止に関する規律の整備、第四に、課徴金制度の導入と刑事罰の強化を中心とする、規律遵守の実効性確保です。個人に対する刑事罰は「2年以下の拘禁刑または100万円以下の罰金」に引き上げられています。
施行は、公布の日（2026年7月17日）から起算して2年を超えない範囲内において政令で定める日とされており、遅くとも2028年夏までには全面施行される見込みです。データの棚卸しや社内規程・委託契約の見直しには相応の期間を要するため、施行日を待たずに準備に着手することが望まれます。
課徴金制度 ― 発動要件と加算・減額の仕組み
新設された課徴金は、違反行為によって得た利益に相当する額の納付を命じる経済的制裁であり、過失による漏えいが生じただけで直ちに課されるものではありません。発動が想定されるのは、おおむね次の要件がそろう場合です。すなわち、①不適正な取得や同意のない第三者提供等の対象違反行為が存在すること、②当該違反の対価として売上等の利益を得ていること、③対象となる本人の数が1,000人を超えるなど規模・悪質性が大きいこと、④事業者が「相当の注意」を怠っていたこと、です。
実務上、一般企業において想定される違反シナリオとしては、（i）名簿業者等からデータを購入する際に適法な取得経路の確認を怠り、当該データを営業活動に利用して売上を上げる類型、（ii）統計・AI開発目的の特例により取得したデータを自社マーケティングに転用し、または第三者に有償提供する類型、（iii）提供先が差別的取扱いや違法行為に利用することを認識しながら対価を得てデータを提供する類型が挙げられます。特に（ii）の目的外転用は、担当部門が違法性を認識しないまま行ってしまいやすい典型例であり、特例データの利用範囲を区分管理する社内体制の整備が不可欠です。
また、過去10年以内に課徴金納付命令を受けた事業者に対しては課徴金額が1.5倍に加算される一方、当局の調査開始前に違反を自主申告した場合には課徴金額が半額に減額される制度が設けられました。インシデント発生時に「隠す」判断がいかに不合理かを、制度自体が示しているといえます。
特例の射程に関する誤解 ― 採用スクリーニングへの利用は許されない
改正を受けて、「応募者の病歴や過去のトラブルを採用のバックグラウンドチェックに利用できるのではないか」という誤解が現場から生じることが予想されますが、これは特例の射程を完全に外れる利用です。特例はあくまで統計・AI開発等の、特定の個人に対する判断に直結しない用途に限定されており、特定の応募者の要配慮個人情報を同意なく取得して合否判断に用いることは、従来どおり原則として違法です。加えて、厚生労働省は職業安定法に基づく指針等により、採用選考において本人の適性・能力に関係のない情報の収集を行わないよう求めています。人事部門が「同意不要になった」との誤解に基づいて行動すれば、個人情報保護法違反と企業の信用失墜を同時に招くことになります。改正内容の社内周知にあたっては、「何ができるようになったか」よりも先に「何が変わっていないか」を明確に伝えるべきです。
漏えいの代償 ― 報告・通知義務とベネッセ事件の教訓
課徴金制度の導入以前から、個人データの漏えい等であって個人の権利利益を害するおそれが大きいものが発生した場合、事業者には個人情報保護委員会への報告（速報はおおむね3〜5日以内、確報は30日以内）と本人への通知が義務付けられています（2022年4月施行）。不正アクセスによる漏えいは典型的な報告対象であり、「復旧対応を優先した」という理由で報告を後回しにすることは許されません。
漏えいがもたらす経営上の損失の大きさは、2014年のベネッセコーポレーション顧客情報漏えい事件が示しています。同事件では、委託先の従業員（派遣社員）が3,000万件を超える顧客情報を持ち出し、同社はお詫び対応として200億円の原資を用意しました。民事上も、最高裁平成29年10月23日判決が「損害が認められない」とした原審を破棄して審理を差し戻したほか、別の集団訴訟では委託先の監督を怠ったとして本体とグループ会社の双方に1人あたり3,300円の損害賠償を命じる判決が確定しています。持ち出しを行った本人には懲役2年6月・罰金300万円の実刑判決が言い渡されました。1人あたりの賠償額は少額でも、漏えい件数が数百万件規模に及べば、賠償・対応費用・信用毀損をあわせた損失は企業の存続を左右し得ます。委託先・再委託先の監督を含むデータガバナンスの整備は、課徴金対応以前の経営課題です。
施行までに企業が整備すべき事項
- 保有する個人データの棚卸し ― 取得経路・利用目的・保管場所・提供先の可視化
- データ取得時の適法性確認プロセスの整備 ― 名簿業者等からの取得時の確認記録
- 統計・AI開発目的で取得するデータの区分管理 ― 目的外転用を防ぐアクセス制御と社内規程
- 漏えい等発生時の報告・通知体制の点検 ― 速報3〜5日以内・確報30日以内に対応できる初動フロー
- 委託先・再委託先の監督体制の見直し ― 委託契約の監査条項・再委託制限の点検
- 子どもの個人情報・生体データを取り扱う場合の規律強化への対応
- 改正内容の社内研修 ― 特に「同意不要」報道の誤解の排除
よくあるご質問
Q. 「本人の同意なしに要配慮個人情報を使える」ようになったのですか。
A. 限定的な特例にとどまります。公開済みの要配慮個人情報を統計作成・AI開発等の目的で利用する場合に限られ、対象用途は今後の個人情報保護委員会規則で定められます。採用選考・与信など特定の個人に対する判断への利用は特例の対象外であり、従来どおり原則として同意が必要です。
Q. 課徴金は、情報漏えいを起こしただけで課されるのですか。
A. 過失による漏えいのみで直ちに課されるものではありません。対象違反行為の存在、対価としての利益、対象本人数1,000人超などの規模、相当の注意を怠ったことといった要件がそろった場合に、違反により得た利益相当額の納付が命じられます。違反歴があれば1.5倍への加算、調査開始前の自主申告により半額への減額があります。
Q. 施行までに何を準備すべきですか。
A. データの棚卸し、取得時の適法性確認プロセス、特例データの区分管理、漏えい時の報告・通知体制、委託先監督体制の5点を軸に、施行日から逆算した整備計画を立てるべきです。子どもの個人情報や生体データを扱う企業は規律強化への対応も必要です。
まとめ
令和8年改正個人情報保護法の要点は、①規制緩和は統計・AI開発等の限定的な特例にとどまり、特定の個人に対する判断への利用は従来どおり許されないこと、②新設された課徴金は、対象違反行為・対価としての利益・本人1,000人超等の規模・注意義務違反がそろった場合に発動し、違反歴による1.5倍加算と自主申告による半額減額の仕組みを持つこと、③特例データの目的外転用が実務上最も生じやすい違反類型であり、区分管理体制の整備が急務であること、④漏えい等の報告・通知義務（速報3〜5日以内・確報30日以内）と委託先監督は現行法上の義務であり、ベネッセ事件が示すとおり漏えいの代償は企業の存続に関わること、⑤施行（公布から2年以内）までに、データの棚卸しから社内規程・委託契約の見直しまでを計画的に進めるべきことの5点に整理できます。当事務所では、AI・データ関連法務を取扱分野とし、改正個人情報保護法への対応方針の策定、プライバシーポリシー・社内規程・委託契約の整備、漏えいインシデント発生時の初動対応を、顧問弁護士として継続的にご支援しています。自社の対応状況の点検については、お早めにご相談ください。
参考資料
- 個人情報保護委員会「令和8年 改正個人情報保護法について」
- 個人情報保護委員会「『個人情報の保護に関する法律等の一部を改正する法律』の公布について（令和8年7月17日）」
- 個人情報の保護に関する法律（e-Gov法令検索）
- 厚生労働省「公正な採用選考特設サイト」
関連する取扱業務・関連コラム
本コラムは一般的な情報提供を目的とするものであり、個別の事案に対する法的助言ではありません。改正法の施行時期・下位規則の内容は今後の政令・委員会規則等により確定します。法令・裁判例等は2026年8月時点の情報に基づきます。実際のご対応にあたっては、最新の法令・ガイドラインをご確認のうえ、専門家にご相談ください。
← コラム一覧へ戻る