個人情報保護法とは？定義・事業者の4つの義務・罰則を条文番号で解説【2026年10月時点】

個人情報保護法（正式名称「個人情報の保護に関する法律」平成15年法律第57号）は、個人情報を扱う事業者と行政機関に取扱いのルールを課し、個人の権利利益を守るための法律です。顧客名簿を1件でも事業に使っていれば、会社の規模や営利・非営利を問わず対象になります。この記事では、2026年10月1日時点の現行条文をもとに、どこまでが個人情報か、事業者が守る4つの基本ルール、漏えい時の報告、罰則、2026年7月に公布された令和8年改正の位置づけまでを、条文番号つきで整理します。

まとめ｜個人情報保護法で押さえる5つの要点

• 対象：個人情報データベース等を事業に使う者はすべて「個人情報取扱事業者」。人数の下限はなく、NPOや個人事業主も含まれます。
• 個人情報の範囲：生存する個人を識別できる情報と、個人識別符号を含む情報。死者・法人そのもの・統計情報は原則として該当しません。
• 4つの基本ルール：取得・利用（第17〜21条）、保管・管理（第22〜25条）、第三者提供（第27〜30条）、本人からの開示等請求への対応（第32〜35条）。
• 漏えい時：要配慮個人情報・財産的被害・不正の目的・1,000人超のいずれかに当たる漏えい等は、委員会への報告（確報は30日以内、不正の目的なら60日以内）と本人への通知が義務です。
• 罰則と改正：委員会の命令違反は1年以下の拘禁刑または100万円以下の罰金、法人は1億円以下の罰金。令和8年改正（令和8年法律第56号）で課徴金制度が加わりますが、本体の施行は政令待ちです。

条文と解釈の確認には、e-Gov法令検索の現行法と個人情報保護委員会のガイドライン（通則編）を参照してください。

個人情報保護法の目的と対象になる事業者の範囲

第1条が定める「有用性への配慮」と「権利利益の保護」

第1条は、この法律の目的を「個人情報の有用性に配慮しつつ、個人の権利利益を保護すること」と定めています。守るだけの法律ではなく、データの活用が「新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資する」ことも条文に明記されています。規制の多くが「一律禁止」ではなく「本人の同意」「利用目的の公表」といった手続きで活用を認める形になっているのは、この二つの目的を両立させる設計だからです。

なお、条文に「プライバシー権」という言葉はなく、保護の対象は「個人の権利利益」と書かれています。

人数・営利を問わない個人情報取扱事業者と、行政機関への一元化

第16条第2項は、個人情報データベース等を事業の用に供している者を「個人情報取扱事業者」と定義しています。個人情報保護委員会のガイドライン（通則編）は、ここでいう事業について「営利・非営利の別は問わない」とし、識別される個人の「数の多寡にかかわらず」該当すると説明しています。2015年改正の全面施行（2017年5月30日）までは、扱う個人が5,000人以下の小規模事業者は対象外でしたが、この除外は撤廃されました。

もう一つの変化が公的部門の一元化です。令和3年改正（デジタル社会形成整備法）により、行政機関個人情報保護法と独立行政法人等個人情報保護法が2022年4月1日にこの法律へ統合され、地方公共団体にも2023年4月1日から同じ法律の規律が適用されるようになりました。現在の個人情報保護法は、民間事業者向けのルール（第4章）と行政機関等向けのルール（第5章）を1本に収めた法律です。

「個人情報」の範囲と該当しない情報の線引き

第2条の個人情報と個人識別符号の具体例

第2条第1項は、個人情報を「生存する個人に関する情報」で、(1)氏名・生年月日その他の記述等により特定の個人を識別できるもの、または(2)個人識別符号が含まれるもの、と定めています。(1)には「他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるもの」も含まれるため、単体では誰のものか分からない情報でも、社内の顧客台帳と突き合わせれば本人が分かるなら個人情報です。

ガイドライン（通則編）が示す該当例には、次のようなものがあります。

• 本人の氏名、または氏名と組み合わせた生年月日・連絡先・勤務先の役職
• 防犯カメラに記録された、本人が判別できる映像
• [email protected] のように、所属と氏名が読み取れるメールアドレス

個人識別符号は政令で定められたもので、顔や指紋などの身体の特徴をコンピュータ用に変換した符号（第2条第2項第1号）と、旅券番号・基礎年金番号・運転免許証番号・マイナンバーのように個人ごとに割り当てられる番号（同項第2号）の2種類があります。これらは単体で個人情報です。

個人情報に該当しない情報の例

次の3つは原則として個人情報に当たりません。いずれもガイドライン（通則編）に明記されています。

• 死者の情報：「生存する個人」が要件のため。ただし、遺族など生存する個人に関する情報でもある場合は、その遺族の個人情報になります。
• 法人そのものの情報：会社名や資本金は該当しません。ただし、役員や従業員に関する情報は個人情報です。
• 統計情報：特定の個人との対応関係が排斥されている集計値は「個人に関する情報」にも当たりません。

逆に、よく誤解されるのが「公開されている情報なら対象外」という考え方です。官報や名刺、Webサイトで公開されている氏名も、生存する個人を識別できる以上は個人情報です。また、「個人」は日本国籍の人に限られず、外国人も含まれます。

要配慮個人情報・仮名加工情報・匿名加工情報・個人関連情報の違い

個人情報のなかでも扱いが重いもの、加工して規律を緩めたもの、個人情報に当たらない周辺情報が、第2条で区別されています。

要配慮個人情報は、本人に対する不当な差別や偏見が生じないよう、取得の段階から本人の同意を求める点が通常の個人情報と違います（第20条第2項）。匿名加工情報の加工基準と提供時の義務は匿名加工情報の加工基準と第三者提供の義務で、個人情報と個人を特定できる情報（PII）の関係はPIIと個人情報の違いで詳しく扱っています。

個人情報・個人データ・保有個人データで変わる義務の範囲

第16条は、個人情報を検索できるよう体系化した集合物を「個人情報データベース等」、それを構成する個人情報を「個人データ」、そのうち事業者が開示や消去の権限を持つものを「保有個人データ」と定義しており、段階が進むほど義務が重くなります。

名刺の情報を表計算ソフトで検索できる一覧にすれば「個人データ」になります。紙の名刺でも、氏名順に整理し索引を付けるなど、容易に検索できるよう体系化していれば同様です。委託を受けて預かっているだけで、開示や削除を決める権限が委託元にあるデータは、受託者にとって「保有個人データ」には当たりません。

事業者が守る4つの基本ルールと根拠条文

政府広報オンラインは、事業者の義務を「取得・利用」「保管・管理」「第三者提供」「開示請求等への対応」の4つにまとめて説明しています。根拠条文は次のとおりです。

取得・利用のルール（第17条〜第21条）

個人情報を扱うときは、利用目的を「できる限り特定」しなければなりません（第17条第1項）。ガイドライン（通則編）は「事業活動に用いるため」「マーケティング活動に用いるため」を特定できていない例に挙げ、商品の発送、アフターサービス、新商品の案内といった用途まで書く例を示しています。特定した目的の範囲を超えて使うには、あらかじめ本人の同意が必要です（第18条）。

取得の場面では、偽りその他不正の手段による取得が禁止され（第20条第1項）、取得したら利用目的を速やかに本人へ通知するか公表します（第21条第1項）。申込書など本人から直接書面で受け取る場合は、あらかじめ目的を明示する必要があります（同条第2項）。令和2年改正で加わった第19条は、違法または不当な行為を助長・誘発するおそれがある方法での利用を禁じています。官報に載った破産者情報を集約してデータベース化し、インターネット上で公開するような使い方が、ガイドラインで不適正利用の例として挙げられています。

保管・管理のルール（第22条〜第25条）

第23条は、個人データの漏えい・滅失・毀損を防ぐ「必要かつ適切な措置」を求めています。ガイドライン（通則編）の別添は、その中身を基本方針の策定、取扱規律の整備、組織的・人的・物理的・技術的安全管理措置、外的環境の把握に分けて示しています。外的環境の把握とは、外国で個人データを扱う場合にその国の個人情報保護制度を確認することです。従業員が100人以下の「中小規模事業者」には簡略な手法の例が示されていますが、過去6か月以内のいずれかの日に扱う個人が5,000人を超える事業者と、委託を受けて個人データを扱う事業者はこの特例から除かれます。

あわせて、従業者の監督（第24条）と委託先の監督（第25条）が義務づけられています。発送業務などを外部に任せても、委託元の責任は消えません。

第三者提供のルール（第27条〜第30条）

個人データを第三者に渡すには、原則として本人の同意が必要です（第27条第1項）。法令に基づく場合や、人の生命・身体・財産の保護に必要で、本人の同意を得ることが困難な場合などは例外です。業務委託、合併による事業承継、グループ会社との共同利用は「第三者」への提供に当たらないとされていますが（同条第5項）、共同利用はあらかじめ利用する者の範囲などを本人に通知するか、知り得る状態に置いておくことが条件です。

本人の同意の代わりに、停止の求めがあれば提供をやめる「オプトアウト」の仕組みで提供する方法もありますが、個人情報保護委員会への届出が必要で、要配慮個人情報は対象外です。制度の詳細はオプトアウトの意味と個人情報保護法の届出制度にまとめています。外国にある第三者への提供は第28条で別の規律がかかり、提供の記録・確認義務は第29条・第30条にあります。

開示・訂正・利用停止請求への対応（第32条〜第35条）

事業者は、保有個人データについて、事業者の名称や住所、利用目的、請求の手続き、安全管理のために講じた措置などを本人の知り得る状態に置かなければなりません（第32条）。プライバシーポリシーに載せる事項の根拠はこの条文です。

本人は、保有個人データの開示（第33条）、事実でない内容の訂正・追加・削除（第34条）、不正な取得や目的外利用などがあった場合の利用停止・消去（第35条）を請求できます。同条第5項では、利用する必要がなくなった場合、報告対象の漏えい等が生じた場合、本人の権利や正当な利益が害されるおそれがある場合にも、利用停止・消去や第三者提供の停止を請求できます。令和2年改正により、開示の方法は書面に限られず、電磁的記録での提供を本人が指定できるようになりました。

漏えい等が起きたときの報告義務（第26条）

2022年4月1日から、一定の漏えい等は個人情報保護委員会への報告と本人への通知が義務になりました（第26条）。対象は施行規則第7条が定める次の4類型で、実際に漏えいしていなくても「発生したおそれ」がある段階で対象になります。

1. 要配慮個人情報が含まれる個人データの漏えい等
2. 不正に利用されると財産的被害が生じるおそれがある個人データ（クレジットカード番号等）の漏えい等
3. 不正アクセスなど、不正の目的をもって行われたおそれがある行為による個人データの漏えい等（取得済みまたは取得予定で、個人データとして扱う予定の個人情報も含む）
4. 本人の数が1,000人を超える漏えい等

いずれの類型も、高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じた個人データは対象から外れます。

報告は2段階です。事態を知った後「速やかに」送る速報について、ガイドライン（通則編）は「概ね3～5日以内」を目安としています。確報は事態を知った日から30日以内、3の不正の目的による事態は60日以内です（施行規則第8条）。法人の場合、「知った」時点はいずれかの部署が事態を知った時点が基準になるため、現場で把握してから法務部門に上がるまでの日数も期限に含まれます。報告書式と社内の初動は個人情報保護委員会への報告義務｜対象4類型・速報3〜5日と確報30日の実務で、国内の漏えい事故の件数推移は個人情報漏えい件数の推移をグラフで解説で確認できます。

違反したときの罰則と個人情報保護委員会の監督

報告徴収から勧告・命令までの監督の流れ

個人情報保護委員会は第130条にもとづき内閣府に置かれ、内閣総理大臣の所轄に属する行政委員会です。民間事業者に対しては、報告徴収と立入検査（第146条）、指導・助言（第147条）、勧告と命令（第148条）の権限を、事案に応じて行使します。第148条第3項の要件を満たす場合には、勧告を経ずに緊急命令を出すこともできます。いずれにしても、違反があっただけで直ちに処罰されるわけではなく、命令に違反したときに初めて刑事罰の対象になる「間接罰」が基本の構造です。

刑事罰の法定刑と法人の1億円以下の罰金

法人に対する罰金を1億円以下に引き上げたのは令和2年改正で、この法定刑の引上げは2020年12月12日に施行されました（現行の第184条）。表の「拘禁刑」は、刑法改正により2025年6月1日から懲役と禁錮が一本化された刑罰で、以前の資料では「懲役」と書かれています。第179条は命令を経ずに処罰される直罰規定で、従業員や元従業員が不正な利益を図る目的で顧客データベースを持ち出して売った場合などが対象です。

個人が他人の個人情報を広めた場合の扱い

「個人情報をばらすと個人情報保護法違反で罪になるか」という疑問に対する答えは、多くの場合「個人情報保護法の問題ではない」です。この法律の義務と罰則の名宛人は、個人情報取扱事業者とその従業者、行政機関等の職員であり、私人が友人の住所をSNSに書き込む行為を直接罰する条文はありません。ただし、内容や方法によっては刑法の名誉毀損罪や、民法上のプライバシー侵害による損害賠償の対象になり得ます。一方、従業員が業務で扱った顧客データベース等を、自己または第三者の不正な利益を図る目的で提供・盗用した場合は、前述の第179条の対象になります。

改正の経緯と2026年の令和8年改正の位置づけ

個人情報保護法は、社会情勢や技術の変化を踏まえて3年ごとに制度を見直す規定を持ち、ほぼ数年おきに改正されています。主な節目は次のとおりです。

直近の令和8年改正法は、2026年7月10日に成立し、7月17日に令和8年法律第56号として公布されました。違反で得た利益に相当する額の納付を命じる課徴金制度、16歳未満の子どもの同意を法定代理人から得る規律、顔特徴データなど特定生体個人情報の規律のほか、統計情報等の作成にのみ利用されることを担保し、所定の公表や書面による合意などの条件を満たすデータ提供で本人同意を不要とする特例（統計作成等と整理できるAI開発を含む）が盛り込まれています。本体部分の施行は「公布の日から起算して二年を超えない範囲内において政令で定める日」とされ、2026年10月時点で施行日は決まっていません。今の時点で企業が守るべきルールは、この記事で扱った現行法の条文です。改正項目ごとの企業対応の優先順位は個人情報保護法改正とは？2026年7月公布の令和8年改正で企業対応はこう変わるで解説しています。

海外とのデータのやり取りに関わる規律とGDPRとの関係

第171条は、日本国内にある者に商品やサービスを提供する事業者が、国内にある者の個人情報を外国で取り扱う場合にもこの法律を適用すると定めています（域外適用）。

逆方向の、日本から外国へデータを出す場面では第28条がかかり、原則として「外国にある第三者への提供」についての本人同意が必要です。ただし、日本と同等の水準の制度を持つと個人情報保護委員会が指定した国（EEA加盟国と英国）にあり、GDPRまたは英国GDPRの規律に服する第三者や、日本法と同等の措置を継続的に講じる体制を整えた第三者への提供は、この外国向けの同意の規律から外れ、国内と同じ第27条のルールで扱います。日本とEUは相互に十分性を認め合っていますが、EU域内の個人に商品やサービスを提供する日本企業にはGDPRそのものが適用されます。GDPRの適用範囲と日本企業の対応はGDPRとは？EU一般データ保護規則の対象となる個人データと日本企業の対応で詳しく整理しています。

個人情報保護法・Pマーク・関連法の適用範囲の違い

法律上の義務と、任意の認証や別の法律の規律を取り違えると、必要な対応を落とすか、不要な対応に予算を使うことになります。

• Pマーク（プライバシーマーク）：日本産業規格JIS Q 15001（個人情報保護マネジメントシステム－要求事項）にもとづく民間の認証制度です。個人情報保護法は取得を義務づけていません。取引先の要件への対応や、自社の管理体制の整備・対外的な説明などを目的に取得するもので、Pマークを持っていても法律の義務（漏えい報告など）が免除されるわけではありません。ISMSとの選び方はPマーク（プライバシーマーク）とISMSの違いで比較しています。
• マイナンバー：個人識別符号に当たりますが、上乗せのルールは番号法にあり、本人の同意があっても法律で定められた事務以外には使えません。
• Cookieの外部送信：Webサイトの閲覧者の情報を広告事業者などへ送る場合、個人情報保護法の個人関連情報の規律（第31条）とは別に、電気通信事業法の対象サービスでは、外部送信規律に基づく通知・公表、同意取得、オプトアウト措置などの対応が必要になる場合があります。対象判定は電気通信事業法の外部送信規律を参照してください。

個人情報保護法の対応として最初にやるべきなのは、認証の取得ではなく、自社がどの個人データをどこに持ち、誰に渡しているかの棚卸しです。4つの基本ルールも漏えい報告も、この棚卸しが無いと判断の前提が作れません。

個人情報保護法についてよくある質問

個人情報保護法とはどんな法律ですか？

個人情報を扱う事業者と行政機関に、取得・利用・保管・第三者提供・開示請求対応のルールを課す法律です。正式名称は「個人情報の保護に関する法律」（平成15年法律第57号）で、2005年4月1日に全面施行されました。個人の権利利益の保護と、データの有用性への配慮の両立を目的としています（第1条）。

どこまでが個人情報ですか？

生存する特定の個人を識別できる情報すべてです。氏名単体、顔が判別できる防犯カメラ映像、氏名が読み取れるメールアドレスのほか、社内の他の情報と容易に照合して本人が分かる情報も含まれます。マイナンバーや運転免許証番号などの個人識別符号は単体で個人情報になります。

個人情報に該当しない例はありますか？

死者の情報（遺族の情報でもある場合を除く）、法人そのものの情報、個人との対応関係がない統計情報は該当しません。ただし、公開されている氏名や、法人の役員・従業員の氏名は個人情報に当たります。

個人情報をばらすと罪になりますか？

私人が他人の情報を広めても、個人情報保護法の罰則は通常適用されません。ただし、名誉毀損罪やプライバシー侵害による損害賠償の対象にはなり得ます。従業員が業務で扱った顧客データベース等を不正な利益目的で提供すると、第179条により1年以下の拘禁刑または50万円以下の罰金の対象です。

個人情報保護法の最新の改正はいつ施行されますか？

最新の令和8年改正法は2026年7月17日に公布されました。罰則関係の一部は2027年1月17日に施行され、課徴金制度などの本体部分は公布から2年以内に政令で定める日に施行されます。2026年10月時点で本体の施行日は未定のため、現行法の義務を前提に対応を進めてください。

関連記事

• 個人情報保護法改正とは？2026年7月公布の令和8年改正で企業対応はこう変わる
• 個人情報保護委員会への報告義務｜対象4類型・速報3〜5日と確報30日の実務
• GDPRとは？EU一般データ保護規則の対象となる個人データと日本企業の対応
• PII（個人を特定できる情報）とは？piiデータの定義・種類と個人情報の違い
• 匿名加工情報とは？加工基準と第三者提供の義務をデータ提供の設計要件に翻訳