個人情報保護法改正とは？2026年7月公布の令和8年改正で企業対応はこう変わる

個人情報保護法改正とは、社会の変化に法制度を追随させるため「3年ごと見直し」の規定に沿って繰り返される、個人情報保護法（個情法）の内容変更を指します。直近の令和8年改正法は2026年7月10日に成立し、同年7月17日に令和8年法律第56号として公布されました。課徴金制度の導入、16歳未満の子どもの同意規律、統計作成・AI開発向けデータの本人同意不要化などが新たに盛り込まれています。この記事では、令和8年改正の成立から公布までの経緯と主要12項目、2022年施行の現行ルールとの違い、そして施行までに企業が着手すべき対応と、いま見送ってよい施策までを2026年8月時点の情報で整理します。

まとめ｜2026年改正の要点と施行までに企業が着手すべき対応

令和8年改正個人情報保護法は2026年7月10日に成立し、7月17日に令和8年法律第56号として公布されました。施行は一括ではありません。罰則に関する一部の規定は公布から6か月を経過した2027年1月17日に先行し、本体部分は「公布の日から起算して2年を超えない範囲内において政令で定める日」に施行されるため、期限は2028年7月16日になります。

企業に影響が大きい変更は3つです。第一に、違反で得た財産上の利益に相当する額の納付を命じる課徴金制度。第二に、16歳未満の子どもと顔認証等の特定生体個人情報に関する規律の強化。第三に、統計作成やAI開発を目的とする第三者へのデータ提供を本人同意なしで認める統計特例。課徴金は対象が4類型に絞られ、対象となる本人の数が1,000人以下であれば課されません。過去10年以内に課徴金納付命令を受けていた場合は1.5倍で加算され、調査開始前の自主申告には50%の減額が用意されています。

やるべきことの順番ははっきりしています。まず着手するのは、自社がどの個人データをどの目的で保有しているかの棚卸しと、課徴金の対象になりうる取り扱いの洗い出しです。次に、AIやデータ分析でデータを二次利用する予定がある企業は、同意取得の設計と、それを支える業務システム側のログ・アクセス制御を見直します。逆に、政令や委員会規則が固まる前に細部の運用を作り込む対応は、後で手戻りが出るため先送りして構いません。個情法そのものの定義や基本ルールは個人情報保護法とは何かを解説した記事で確認できます。

個人情報保護法改正とは何か——3年ごと見直しが生む継続的な法改正

「改正」を一度きりの出来事ととらえると、対応が後手に回ります。個情法は改正の仕組みそのものが法律に組み込まれており、数年おきに内容が更新される前提で設計されています。

「3年ごと見直し」規定による個人情報保護法の継続的な制度改正

個情法には、施行後3年ごとに社会情勢や技術の変化を踏まえて制度を検討し、必要な措置を講じる旨の規定があります。2015年（平成27年）改正で導入されたこの仕組みにより、法律は固定されたものではなく、定期的に更新される制度として運用されてきました。令和8年改正も、個人情報保護委員会が2023年11月から検討を始め、2026年1月9日に制度改正の方針案をまとめ、同年4月に法案提出へ至った、この見直しサイクルの産物です。企業側も「一度対応すれば終わり」ではなく、3年単位で規律が積み増される前提で体制を組む必要があります。

令和2年・令和3年の各改正で既に義務化された現行の実務ルール

令和8年改正を理解する前に、いま効力を持つルールを押さえておきます。2022年4月に全面施行された令和2年改正では、一定の個人データ漏えいが起きた場合の個人情報保護委員会への報告と本人への通知が義務化されました。あわせて、保有個人データの開示請求にデジタル方式（電磁的記録の提供）が加わり、Cookie等の個人関連情報を第三者へ提供する際の規律や、外国にある第三者への越境移転のルールも強化されています。罰則面では、個人情報データベース等の不正提供や委員会命令違反に対する法人重科が設けられ、最大1億円の罰金が科されうる水準になりました。これらは令和8年改正の「新設項目」ではなく、既に守るべき現行ルールです。

令和8年（2026年）改正の位置づけと本記事で扱う対象の範囲

本記事が主に扱うのは、2026年7月に成立・公布された令和8年改正です。この改正は現行ルールを土台に、課徴金という新しい制裁手段と、AI・データ分析時代に合わせたデータ利用ルールを重ねる内容になっています。2022年の全面施行から3年を経た見直しとして12項目が整理され、2006年以降でも規模の大きい改正と位置づけられました。同じ時期、EU側でもGDPRとAI Actの手続きを簡素化する動きが進んでおり、その内容はデジタルオムニバスの解説記事にまとめています。以降の章では、公布から施行までの時期、改正を貫く4つの柱、企業への影響が大きい変更点、そして着手すべき対応の順番を具体的に見ていきます。

令和8年改正の公布から段階施行までの日程と改正全体像の4本柱

施行時期を取り違えると、準備が早すぎても遅すぎても無駄が出ます。まず時系列と全体構造を正確につかみます。

2026年7月17日公布から2028年までの段階施行スケジュール

令和8年改正法案は、2026年4月7日に閣議決定され国会へ提出されました。衆議院で同年5月26日に可決、参議院で7月10日に可決して成立し、7月17日に令和8年法律第56号として公布されています。施行日は法律本文で一律に確定していません。罰則に関する一部の規定は公布から6か月を経過した2027年1月17日に先行し、課徴金や統計特例を含む本体部分は「公布の日から起算して2年を超えない範囲内において政令で定める日」に施行されます。公布日から逆算すると、遅くとも2028年7月16日までには全面施行される計算です。

実務上の意味は、この2段構えにあります。2027年1月の先行施行は罰則関係が中心で、社内の運用を大きく作り替える性質のものではありません。一方、体制や同意設計の作り直しを迫る課徴金・統計特例・生体データの規律は政令待ちであり、期日は公表され次第の確認になります。準備期間を「2028年まである」と丸めて捉えず、確定済みの日と未確定の日を分けて管理してください。

令和8年改正の全体像を形づくる4つの柱と主要な12項目の概観

令和8年改正は、大きく4つの柱で整理できます。第一に、統計作成やAI開発を目的とするデータ提供で本人同意を不要とするなど、適正なデータ利用を進める規律。第二に、16歳未満の子どもや顔認証等の生体データを想定したリスク対応規律。第三に、連絡可能な個人関連情報の不適正な取得・利用を防ぐ規律。第四に、課徴金制度の導入や刑事罰の引き上げによる実効性確保です。

4本柱の下に、同意規律の緩和、委託先規律の見直し、勧告・命令の柔軟化、オプトアウト時の提供先確認義務など12項目が並びます。次章では、そのうち企業の実務に直接跳ね返る変更を優先度順に取り上げます。

令和8年改正で企業実務への影響が大きい課徴金など6つの変更点

すべての項目を等しく身構える必要はありません。金銭リスクと運用変更の大きさで見ると、押さえるべきは次の6点に絞られます。

課徴金制度の対象4類型と1,000人基準・加算と自主申告減額の設計

令和8年改正の目玉は、行政上の金銭制裁である課徴金制度です。適用は無限定ではなく、対象行為は4類型に絞り込まれました。不適正な利用の禁止に反する取り扱い、適正な取得の規定に反する取得、第三者提供制限の規定に反する提供、そして統計作成等用情報の目的外利用・提供の禁止に反する取り扱いが、その4つにあたります。金額は「違反行為により得た財産上の利益に相当する額として政令で定める方法により算定した額」で、具体的な算定方法は今後の政令に委ねられました。

規模要件と加減算の設計も押さえておきます。対象行為に係る本人の数が1,000人以下の場合、課徴金は課されません。過去10年以内に課徴金納付命令を受け、その命令後も対象行為を続けていた事業者には、算定額の1.5倍が適用されます。反対に、調査が始まる前に自ら違反を申告した場合は50%の減額を受けられる仕組みが用意されました。従来は「行政指導・命令が入っても、従えば金銭的な痛手は限定的」と受け止められがちでしたが、課徴金の導入で違反の期待コストが跳ね上がります。逸脱を早期に検知して自主申告できる体制が、経済合理性の面からも意味を持つようになりました。

16歳未満の子どもと顔認証等の生体データに関する規律の一段の強化

子どもと生体データは、令和8年改正で保護が一段強まった領域です。16歳未満の子どもについては、利用目的の通知、目的外利用や要配慮個人情報の取得、第三者提供の同意といった規定で「本人」を「本人の法定代理人」と読み替える形が採られました。あわせて、子ども本人の最善の利益を優先して考慮する責務規定が新設され、法定代理人の同意がない取り扱いには利用停止・消去の請求もできます。BtoCサービスで未成年ユーザーを抱える事業者は、年齢確認と保護者同意の取得フローを設計に組み込む必要があります。

生体データについては「特定生体個人情報」という区分が置かれました。顔の骨格、皮膚の色、目・鼻・口等の位置や形状から抽出した顔特徴データなどが該当します。取り扱う事実を本人へあらかじめ通知する義務が課され（法令に基づく場合など通知が不要な場面もあります）、オプトアウト方式による第三者提供は原則として禁止され、利用停止請求権も強められました。入退室管理や本人確認に顔特徴データを使う企業は、取得目的の開示と同意取得の設計を見直す対象になります。

統計作成やAI開発を目的とするデータ提供での本人同意の不要化

データを使う側にとって前向きな変更もあります。統計の作成や、AI・機械学習モデルの開発を目的とする場合に、一定の要件のもとで本人の同意なく個人データを第三者へ提供・利用できる規律が整えられました。これまで学習用データの収集は同意取得の負担が壁になりがちでしたが、目的が統計・研究開発に限定される範囲で、この壁が下がります。

ただし「同意が不要になる＝何をしてもよい」ではありません。特例を使う側には、次のような公表・合意の手続きが求められる設計になっています。

• 事業者の名称と統計作成等の内容を、インターネットの利用その他の方法であらかじめ公表すること
• 第三者提供を行う場合は、提供元と提供先の双方が所定事項を公表し、書面で合意しておくこと
• 公表事項は取扱期間中は継続して公表し、変更する場合は原則としてあらかじめ公表し直すこと
• 提供先を個人情報取扱事業者や行政機関等に限り、無制限に配布しないこと

加えて、目的の限定や、本人の権利利益を害さないための措置は引き続き求められます。統計特例に反する取り扱いは課徴金の対象4類型のひとつでもあるため、どのデータをどの目的で使うかの線引きを、施行前に社内で固めておく価値は高いといえます。同意なしで社外へデータを出す枠組みとしては、現行法の匿名加工情報の加工基準と第三者提供の義務もあわせて比較しておくと選択肢が整理できます。

連絡可能な個人関連情報の新設規律とオプトアウト時の提供先確認

電話番号やメールアドレス、Cookie IDのように、単体では特定個人を識別しないが本人に連絡が届きうる情報についても、規律が新設されました。こうした「連絡可能な個人関連情報」の不正な取得と不当な利用が禁止され、名簿・リード情報を売買したり広告配信でCookieを扱ったりする事業者は、取得元の適正性チェックを運用に組み込む必要があります。個人を識別しうる情報の範囲そのものは、PII（個人を特定できる情報）と個人情報の違いを整理した記事で全体像を確認できます。なお、Cookie IDが外部へ送信されること自体を利用者へ知らせる義務は電気通信事業法の側にあり、その対象判定と実装要件は外部送信規律を整理した記事にまとめています。

オプトアウト方式で第三者提供を行う場合の手当ても加わりました。提供先の氏名または名称、住所、そして利用目的を確認する義務が課され、その確認内容を記録として残すことも求められます。提供先が適正に取り扱うかどうかを、提供元が形式的にでも把握しないまま流すことはできなくなる、という整理です。

委託先規律の明確化と漏えい時の本人通知が緩和される場面の整理

負担が増える方向の改正ばかりではありません。委託については、委託先が委託業務の遂行に必要な範囲を超えて個人データを取り扱ってはならない旨が明記され、逆にいえば必要な範囲内の取り扱いの位置づけがはっきりしました。委託元が確認すべき論点も、業務範囲との対応関係で説明しやすくなります。

漏えい時の対応でも緩和が入りました。令和2年改正で義務化された委員会報告と本人通知のうち、本人への通知が行われなくても本人の権利利益の保護に欠けるおそれが少ない場合には、通知義務が免除される方向で見直されています。暗号化などの代替的な保護措置が講じられていた事案が想定されており、実務では「暗号化して保管していたかどうか」が事後対応の負荷を左右する要因です。現行の報告期限と4類型、改正で示された速報の一部免除の方向性は個人情報保護委員会への報告義務の解説にまとめました。国内の漏えい事故がどの規模で起きているかは、個人情報漏えい件数の推移をまとめた記事が参考になります。

施行までに企業が着手すべき対応と、いま見送ってよい施策の優先順位

ここからは判断を言い切ります。公布から本体施行まで最長2年ありますが、着手すべきものと、あえて動かないものを分けることが、無駄な工数を避ける近道です。

まず最初に着手——保有個人データの棚卸しと課徴金リスクの把握

最初にやるべきは、規律の細部を待たずに始められる棚卸しです。自社がどの個人データを、どの部署で、何の目的で、どこ（自社サーバー・クラウド・委託先）に保有しているかを一覧化します。この台帳がなければ、課徴金の対象になりうる取り扱いも、子ども・生体データの該当有無も判断できません。特に課徴金は本人1,000人という規模要件が置かれたため、「どのデータセットが何人分か」を数えられる状態にしておくと、リスクの当たりを付ける精度が上がります。棚卸しは政令の内容に左右されないため、公布直後の今こそ着手する対象です。委託先が業務範囲外でデータを扱っていないかの確認も、委託規律が明確化された点を踏まえ、この段階で進めます。

AI・データ利用を進める企業の同意設計と業務システムの改修対応

統計・AI開発向けの同意不要化を使ってデータ分析やモデル開発を進めたい企業は、同意設計とシステム面の対応を並行して見直します。同意なしで扱える範囲と、通常業務で本人同意が要る範囲を取り違えると、特例の外で違反を起こしかねません。実務では、どの目的でどのデータを使うかを記録し、アクセス権限とログを個人データ単位で管理できる状態が前提になります。権限設計そのものの型はRBAC（ロールベースアクセス制御）の解説記事が実装視点で参考になるはずです。分析用データを個人データのまま扱うか加工して扱うかの線引きは、仮名加工情報の作成基準と分析基盤の設計要件を先に押さえると判断しやすくなります。

こうした要件は、既存の基幹システムの改修や、データ基盤の再設計を伴うことが多く、コンプライアンスとシステム設計の一体的な検討が必要です。個人データを扱う業務システムの構築・改修を外部と進める場合は、基幹システム開発の相談窓口で、アクセス制御やログ保全を含めた設計から相談できます。認証・管理体制の整備をどう対外的に示すかは、PマークとISMSの違いを比較した記事が判断の材料になります。

2027年1月の一部施行までに確認しておく罰則関係の対象範囲

先行施行が確定している2027年1月17日については、対象が罰則関係の一部にとどまるため、全社的な体制構築より「自社が該当するか」の切り分けを先に済ませます。確認する観点は限られています。個人情報データベース等の不正提供・盗用に近い行為が起こりうる業務があるか、委員会からの報告徴収や命令に対応する窓口が決まっているか、退職者を含む従業者のデータ持ち出しを検知できるか、の3点です。該当がなければ、この期日に向けた追加作業は生じません。該当する業務がある部署だけ、先に手順を整えておけば足ります。

いま先走ると無駄になる対応——政令前に確定できない施策の見極め

一方で、いま作り込むべきでない対応もあります。課徴金の算定方法、統計特例の細目、子ども・生体データの運用要件は、施行に向けて政令や個人情報保護委員会の規則・ガイドラインで具体化される部分がなお残る見込みです。これらが固まる前に、社内規程の文言や同意取得画面の細部まで確定させると、下位法令の公表で前提が変わり、作り直しになります。だからこの段階では、規程やシステムを「どこを変えるか特定できる状態」まで準備し、確定的な作り込みは委員会の規則・ガイドライン公表後に回すのが妥当な判断です。ベンダーの「改正対応パッケージ」を要件も見ずに先行導入するのも、この時点では見送って構いません。棚卸しと影響範囲の特定を先に済ませ、細部の実装は下位法令の確定を待つ——この順番が手戻りを最小にします。

よくある質問

個人情報保護法改正について、実務担当者から寄せられやすい質問に答えます。

個人情報保護法の令和8年改正はいつ施行されますか？

令和8年改正法は2026年7月10日に成立し、7月17日に令和8年法律第56号として公布されました。施行は段階的です。罰則に関する一部の規定は公布から6か月を経過した2027年1月17日に先行し、課徴金や統計特例を含む本体部分は「公布の日から2年を超えない範囲内で政令で定める日」に施行されます。逆算すると、遅くとも2028年7月16日までには全面施行される計算になります。

個人情報保護法はなぜ何度も改正されるのですか？

個情法には「施行後3年ごとに社会情勢や技術の変化を踏まえて検討し、必要な措置を講じる」という3年ごと見直しの規定があるためです。2015年改正で導入されたこの仕組みにより、デジタル社会の変化に合わせて数年おきに内容が更新されます。企業は一度対応して終わりではなく、定期的に規律が積み増される前提で体制を整える運用が現実的でしょう。

課徴金制度が導入されると企業のリスクはどう変わりますか？

対象は不適正利用・不正取得・第三者提供制限違反・統計特例違反の4類型に絞られ、違反で得た財産上の利益に相当する額の納付を命じられます。対象となる本人が1,000人以下なら課されない一方、過去10年以内に課徴金納付命令を受けていた場合は1.5倍で加算されます。調査開始前の自主申告には50%の減額があるため、逸脱を早期に検知して自ら申告できる体制の価値が高まりました。

AI開発のためのデータ収集は同意なしでできるようになりますか？

令和8年改正では、統計の作成やAI・機械学習モデルの開発を目的とする場合に、一定の要件のもとで本人同意なく個人データを第三者提供・利用できる統計特例が整えられました。ただし事業者名と統計作成等の内容の公表、提供時の双方公表と書面合意、提供先の限定といった手続きが条件になります。特例に反する取り扱いは課徴金の対象でもあるため、同意が不要な範囲と通常業務で同意が要る範囲は明確に線引きしておいてください。

改正に向けて企業が最初にやるべきことは何ですか？

最初に着手すべきは、保有する個人データの棚卸しです。どのデータを、どの部署が、何の目的で、どこに保有し、それぞれ何人分あるかを一覧化すれば、課徴金の1,000人基準に触れうる取り扱いや、子ども・生体データの該当有無を判断できます。棚卸しは政令の内容に左右されず今すぐ始められるため、公布直後のこの時期に取りかかる価値があります。

関連記事

• 個人情報保護法とは？その定義と基本的な概念を解説：改正の前提となる個情法そのものの定義・基本ルールを押さえたい方へ。
• PII（個人を特定できる情報）とは？個人情報との違い：個人関連情報の新規律を読むときの前提となる概念整理に。
• Pマーク（プライバシーマーク）とISMSの違い：改正対応の一環として個人情報保護体制を対外的に示す認証の選び方。
• デジタルオムニバスとは？EUのGDPR・AI Act簡素化：EU側でデータ規制がどう動いているかを併せて確認したい方へ。
• EU AI Actとは：AI開発でのデータ利用に関わる、EU側のAI規制動向とあわせて確認したい方へ。
• サイバーレジリエンス法とは：製品・サービスのセキュリティ規制という別軸の国際規制動向の把握に。
• サイバーセキュリティ基本法：日本国内のセキュリティ関連法制度の全体像を押さえたい方へ。
• 資料請求：一創のシステム開発・データ基盤構築のサービス資料をお送りします。