改正個人情報保護法に備える | 情シスが今始めるべきこと

こんにちは、ひろかずです。

2026年7月10日に成立した改正個人情報保護法（令和8年法律第56号）について情シスの目線でどのようなことに留意して取り組んでいくかを整理しましたので共有します。

なお、筆者は弁護士ではなく、記事内の文章も法律の解釈ではありません。最終的な解釈や対応方針の決定については、法務部門や弁護士の方と相談の上で行ってください。

忙しい人向けの要約

• 改正個人情報保護法（令和8年法律第56号）は2026年7月10日に成立、7月17日に公布されました。施行は原則として公布から2年を超えない範囲内で政令が定める日（遅くとも2028年7月）で、罰則関係の一部と公示送達のデジタル化は公布から6か月を経過した日（2027年1月17日）に先行施行されます。
• 個人情報保護法として初めて課徴金制度が導入されますが、対象は不適正利用・不正取得・違法な第三者提供・統計作成等特例違反の4類型に限定され、サイバー攻撃による漏えいなど安全管理措置の不備そのものは対象外です。
• 情シスに直接関連するのは、委託先の義務の明文化（受託データの目的外利用禁止）、特定生体個人情報（顔特徴データ等）の規律新設、漏えい時本人通知の一部緩和の3点。委託契約・SaaSチェックシート・インシデント対応フローの改訂が必要になる。
• 細部は今後の政令・委員会規則・ガイドラインで確定するため、いま作り込むべきは「規程・契約のどこを変えるか特定できる状態」までの棚卸しであり、文言の確定は下位法令を待つのが手戻りを最小にする。

何が起きているの？

改正個人情報保護法は、2026年4月7日の閣議決定・国会提出から、5月26日の衆議院可決、7月10日の参議院可決・成立を経て、7月17日に令和8年法律第56号として公布されました。いわゆる「3年ごと見直し」に基づく改正で、個人情報保護委員会は円滑な施行に向けて政令・規則・ガイドライン等の検討を続けるとしています。

公布後、委員会は2026年7月31日に「改正法の円滑な施行に向けたロードマップ」を含む今後の取組を、2026年8月26日に「政令・規則等で定める事項の全体像」を公表しています。ロードマップでは、政令・委員会規則を2026年9月以降に検討・審議し、2027年1〜3月に意見募集、2027年春以降に公布、ガイドラインは2027年秋に意見募集という見込みが示されました。「全体像」は、どの論点を政令・委員会規則・ガイドラインのどこで定めるかをテーマ別に一覧化した資料で、自社のどの検討が下位法令待ちなのかを特定する材料になります。

施行は原則として、公布の日から起算して2年を超えない範囲内で政令が定める日、つまり遅くとも2028年7月です。罰則関係の改正事項と公示送達のデジタル化等は、公布から6か月を経過した日（2027年1月17日）に先行して施行されます（附則1条3号）。

改正の中身は4つの柱・12項目に整理されています

統計作成等の特例（統計特例）が新設されます

1つ目の柱「適正なデータ利活用の推進」として、提供先で統計作成等（一定のAI開発を含む）にのみ利用されることが担保される場合に、本人同意なく個人データを提供できる特例が新設されました（改正法30条の2）。対象範囲や公表事項、提供元・提供先の間で定めるべき事項といった要件の細部は、今後の委員会規則で確定されますが、同意取得を前提に組んできたデータ提供・共同分析のアーキテクチャに、新しい選択肢が加わる改正です。

リスクに適切に対応した規律：子ども・生体データ・委託・漏えい通知

2つ目の柱「リスクに適切に対応した規律」は、情報の性質や取扱いの態様に応じて規律を強化・緩和するものです。16歳未満の子どもの個人情報については、同意取得や通知等を本人ではなく法定代理人に対して行うことが明文化され（改正法40条の2）、利用停止等請求の要件緩和や、未成年者の最善の利益を優先して考慮する責務規定も置かれました。

年齢確認や保護者同意を扱うサービスでは、同意取得フローの改修対象になります。この柱にはほかに、特定生体個人情報の規律新設、委託先の義務の明文化、漏えい時の本人通知の一部緩和が含まれます。この3つは情シスへの影響が特に大きいため、次のセクションで個別に扱います。

不適正利用等防止：連絡可能個人関連情報の規律新設

3つ目の柱「不適正利用等防止」の中心は、「連絡可能個人関連情報」という新しい類型です。電話番号・メールアドレス・Cookie ID等、それ単体では特定の個人を識別できなくても本人への連絡・働きかけが可能な個人関連情報が対象で、違法・不当な行為を助長・誘発するおそれのある方法での利用と、偽りその他不正の手段による取得が禁止されます（改正法31条の2）。

• フィッシング等への悪用や、これらの識別子を媒介とした名寄せによるプライバシー侵害のリスクが背景にあります。

氏名と切り離して管理しているメールアドレスや広告用IDも規律の対象になり得るため、「個人情報に該当しないから自由に使える」という前提でのデータ基盤設計は見直しが要ります。

規律遵守の実効性確保のための規律：命令の見直し・課徴金・罰則強化

4つ目の柱「規律遵守の実効性確保のための規律」は、個人情報保護委員会の執行手段を強化するものです。命令の要件が見直され、違反事実の本人への通知や公表を命じることも可能になったほか（148条）、個人情報保護法として初めて課徴金制度が導入され、罰則も引き上げられました。

課徴金制度の対象、算定、増額・減額の関係を整理すると、次のとおりです。

自主報告の時期によって減額の可否が変わるため、インシデント発生時の報告判断と社内エスカレーションの手順をあらかじめ整理しておく必要があります。

罰則については、個人情報データベース等の不正提供・盗用が「1年以下の拘禁刑／50万円以下の罰金」から「2年以下の拘禁刑／100万円以下の罰金」となり、主観的要件に「本人その他の者に損害を加える目的」が追加されました。あわせて、詐欺行為や不正アクセス等により個人情報を不正に取得する行為に対する罰則が新設されました。

なぜ情報システム・セキュリティ担当者に関係するの？

法改正対応は法務の仕事に見えます。ところが今回の改正で規律が動く場所は、契約書の条文よりも、情シスが日常的に管理している領域のほうに多くあります。

委託先の義務の明文化

データ処理等の委託を受けた事業者は、委託された個人情報を委託業務の遂行に必要な範囲を超えて取り扱ってはならない旨が明文化されました（改正法30条の3）。

受託データを自社プロダクトの品質向上に使う、汎用AIモデルの学習に使う、複数委託元のデータを混合して分析するなどの行為が委託範囲外として整理されることになります。自社が委託元としてSaaSベンダーやSIerを管理する場面と、自社サービスで顧客データを預かる委託先の立場になる場面、その両方で契約とチェック項目の見直しが要ります。なお、条文上の対象は「個人データ」ではなく「個人情報」です。

一方で、規制強化だけではなく緩和も入りました。委託先が自ら取扱いの方法を決定せず、委託契約で取扱方法や、漏えい等・範囲超過・契約違反を知ったときの委託元への速やかな報告といった委員会規則所定の事項を定めている場合には、委託先に対する法第4章の多くの義務の適用が免除される特例も置かれました（58条の2）。ただしこの特例に乗っても、30条の3の範囲外取扱いの禁止と安全管理措置に係る義務は残ります。契約に何を定めれば特例に乗るのかは、委員会規則待ちです。

特定生体個人情報の規律新設

顔特徴データ等について「特定生体個人情報」という概念が置かれ、取扱いに関する一定事項の周知義務（21条の2）、利用停止等請求要件の緩和、オプトアウトによる第三者提供の禁止が定められました。

顔認証の入退管理やPC・スマートフォンの生体認証基盤を運用しているのは情シスです。どのシステムがどの生体データを保持しているか、答えられる状態にしておく必要があります。

漏えい時の本人通知の一部緩和

本人への通知が行われなくても本人の権利利益の保護に欠けるおそれが少ない場合として個人情報保護委員会規則で定める場合は、本人への通知義務が緩和されます（26条2項）。

どの範囲が該当するかは規則で定まるため、現時点では確定していません。インシデント対応フローの通知判断に、新しい分岐が加わるということです。

よくある誤解

「漏えいしたら課徴金」

課徴金の対象行為は、不適正利用の禁止（19条）違反、不正の手段による取得（20条1項）違反、違法な第三者提供（27条1項）違反、統計作成等特例違反に限定されています。この限定列挙に安全管理措置（23条）違反は含まれておらず、サイバー攻撃による漏えいなど安全管理措置の不備そのものは課徴金の対象行為ではないと整理されています（148条の3）。

「施行は2028年だから今は何もしなくていい」

罰則関係の一部は公布6か月後に先行施行されます。それ以上に考慮すべきは契約のライフサイクルです。委託契約やSaaS利用契約は1年〜数年単位で更新されるため、次回更新時に改正対応条項を織り込まなければ、施行日に「旧法前提の契約」が大量に残ります。改正法の附則には、委託規律（30条の3・58条の2）に関する個別の経過措置・みなし規定は置かれておらず、施行に関し必要な経過措置は政令に委任されています（附則13条）。このため、既存の委託契約の棚卸しが必要と指摘されています。

「統計・AI開発の特例で、もうデータを自由に使える」

統計作成等（一定のAI開発を含む）にのみ利用される場合の同意規制緩和は盛り込まれましたが、対象範囲や条件は今後の個人情報保護委員会規則で定められる部分が残ります。施行前の現時点で特例を前提にデータ提供を始められる段階ではありません。

「うちはBtoBだから個人情報は少ない」

従業員の人事データ、入退室の顔認証、ヘルプデスクに添付される本人確認書類。個人データは顧客接点よりも社内システムに溜まっています。

実務で問題になりやすいポイント

法改正対応の「所管の空白」

法務は条文を、情シスはシステムを所管します。一方で、以下の作業の所管があいまいな場合は要注意です。

• SaaSベンダーに送るセキュリティチェックシートの改正対応項目の更新
• 委託契約の雛形に30条の3相当の条項を入れる判断は誰がするのか

規程類の連鎖改訂

個人情報管理規程を1本直すと、プライバシーポリシー、インシデント対応手順、委託先管理手順、SaaS利用ガイドラインまで改訂が波及します。改訂対象のマッピングだけでも先に済ませておくと施行対応が軽くなるでしょう。

あわせて決めておきたいのが、改訂作業を「誰が、何をきっかけに動かし始めるのか」です。具体的には、政令やガイドラインの公表といった改訂のきっかけを誰がキャッチし、どの部門が影響を受ける規程の洗い出しを始め、どの順番・承認ルートで各文書に反映するのか、という流れのスタート地点です。

• たとえば「法務が改正内容を確定 → 情シスが影響する規程・手順を特定 → 各所管部門が改訂 → 法務が最終確認」といった流れを先に合意しておくと、施行対応が動き出したときに役割分担の不明で止まりません。

自社が「委託先」である場合の影響

受託した個人情報を分析基盤に取り込んで自社の知見として蓄積する運用は、委託された業務の遂行に必要な範囲を超えた取扱いとして禁止されます（改正法30条の3）。現行法の時点でも、委託された業務の範囲外で個人データを統計情報に加工し、作成された統計情報を自社のために用いることはできない、複数の委託元から提供された個人データを区別せずに混ぜて取り扱う場合は「委託」に当たらないという整理が個人情報保護委員会のFAQで示されており、改正後はこれが委託先自身の法律上の義務になります。

作り込みすぎのリスク

課徴金の算定細目、統計特例の要件、特定生体個人情報の範囲は政令・規則・ガイドラインで具体化されます。これらが確定される前に同意画面や規程文言まで固めてしまうと、下位法令の公表後に作り直しになるでしょう。

技術的・運用的な確認ポイント

いま着手できる確認と、下位法令の確定を待つべきことを、領域ごとに1つの表に整理します。手戻りを避けるために、下位法令の確定に作り込みすぎないようにしましょう。

「統計特例を使いたいユースケースの仮整理」とは何をするのか

「何が起きているの？」で述べた統計作成等の特例（改正法30条の2）を、将来使うための準備です。ここでいう仮整理とは、要件が固まる前に提供を始めることではなく、特例の候補になり得るユースケースの一覧化です。

具体的には、現在は本人同意や匿名加工情報などの既存スキームで実施している統計分析・AI開発の洗い出し、同意取得がボトルネックで見送っているデータ提供・共同分析の構想の棚卸し、それぞれについて提供先・データ種別・利用目的を書き出します。規則の公表後に「自社のどの案件が特例に乗るか」をスムーズに判定できる状態を作ることが目的です。

経営層・監査部門への説明ポイント

経営層向け説明で抑えるポイント

• 個人情報保護法が改正され、初めて課徴金が入ったこと。
• ただし対象は不適正利用・不正取得・違法な第三者提供・統計作成等特例違反の4類型に限定され、漏えいそのものは対象外であること。
• 当社が優先すべきは、委託先・SaaSの契約棚卸しと生体データの特定で、施行（最長2028年7月）までに契約更新サイクルに乗せること。

監査部門に対しては、委員会の執行が強化される点を添えて説明します。

• 命令の要件が見直され、違反事実の本人通知・公表を命じることも可能になったこと（148条）

見直し時のチェックリスト

• 改正法対応の所管（法務・情シス・セキュリティの役割分担）を文書で決めた
• 個人データを保持するシステム・SaaSの一覧があり、件数規模を把握している
• 顔特徴データ等を扱うシステムを特定した
• 委託契約・SaaS利用規約の二次利用条項を点検した
• セキュリティチェックシートに改正対応項目を追加する計画がある
• インシデント対応フローに本人通知の判断分岐を追記する準備をした
• 自社が委託先となる契約で、委託元への報告経路を確認した
• 政令・委員会規則・ガイドラインの公表をウォッチする担当と頻度を決めた
• 罰則関係の先行施行（公布6か月後）の影響有無を確認した
• 経営層への説明資料で「漏えい＝課徴金」と誤記していない

実務担当者が次に取るべき対応ステップ

1. 所管の確定（今月中）：法務・情シス・セキュリティの分担と、規程改訂を「誰が、何をきっかけに動かし始めるのか」を決める
2. 棚卸し（1〜2か月）：個人データ保有システムと生体データ利用システムの一覧化は、政令の内容に左右されず今すぐ始められます
3. 契約・チェックシートの改訂項目リスト化（3か月以内）：文言確定はせず、「どこを変えるか」を特定した状態まで進めます
4. インシデント対応フローのデータ分類整備（半年以内）：通知緩和の分岐に備える
5. 下位法令ウォッチ（今すぐ）と文言確定（2027年以降）：ウォッチは今すぐ始められます。委員会は2026年9月以降、「政令・規則等で定める事項の全体像」に沿ってテーマ別の議論を進めるため、委員会の会合資料を追う担当を先に決める。文言確定は政令・規則・ガイドライン公表後に、3・4で準備した箇所へ反映する

まとめ

施行は遅くとも2028年7月で、まだまだ時間があるように思えますが、委託契約の次回更新の多くは1年以内に来ます。

今週やるべきことは2つ。改正法対応の所管を決めることと、個人データと生体データの棚卸しに着手することです。文言の作り込みは規則とガイドラインが出てからで間に合いますので、棚卸しをしてから規則を読んでいきましょう。

この記事が誰かの役に立てば幸いです。

FAQ

Q1. 改正個人情報保護法はいつ施行されますか？

原則として公布日（2026年7月17日）から起算して2年を超えない範囲内で政令が定める日、つまり遅くとも2028年7月に施行されます。罰則関係の一部と公示送達のデジタル化は、公布から6か月を経過した日である2027年1月17日に先行施行されます。

Q2. 課徴金は情報漏えいを起こしたら課されますか？

いいえ。課徴金の対象は不適正利用・不正取得（取得したうえで利用した場合）・違法な第三者提供・統計作成等特例違反の4類型に限定されており、サイバー攻撃による漏えいなど安全管理措置の不備そのものは対象外と整理されています。

Q3. 課徴金の要件は？

対象行為への該当に加えて、違反行為を防止するための相当の注意を怠った者でないと認められる場合は対象から除かれます。また、対象行為に係る本人の数が1,000人を超えないときや、個人の権利利益を害する程度が大きくない場合として政令で定めるときは、納付を命じられません。政令の細目は今後定められます。なお、課徴金対象行為に該当する事実を規則の定めに従って自主的に報告したときは50％減額されます（148条の6）。

Q4. SaaSベンダーとの契約はどう変わりますか？

委託を受けた事業者が、委託された個人情報を委託業務の遂行に必要な範囲を超えて取り扱ってはならない義務が明文化されました（30条の3）。他方で、取扱方法等を契約で定めた場合に委託先の義務の多くが免除される特例も58条の2に置かれました。受託データの自社サービス改善やAIモデル学習への流用は委託範囲外と整理され、既存契約の棚卸しが必要です。

Q5. 顔認証システムを使っている場合、何をすべきですか？

顔特徴データ等が「特定生体個人情報」として規律され、取扱いに関する一定事項の周知義務やオプトアウト提供の禁止が定められました。まずはサーバ側に顔特徴データを保持するシステムを特定してください。周知の具体的な文面は委員会規則等の確定を待って作成するのが妥当です。

Q6. 漏えい時の本人通知は楽になりますか？

本人への通知が行われなくても権利利益の保護に欠けるおそれが少ない場合（社内IDのみの漏えい等が想定例）は、代替措置による対応が認められます。該当範囲は委員会規則で定められる予定のため、フロー確定は規則公表後に行ってください。

Q7. AI開発に個人データを同意なしで使えるようになりますか？

統計作成等（一定のAI開発を含む）にのみ利用されることが担保される場合の特例が設けられましたが、要件の細部は今後の規則で定められ、施行前の現時点で特例に基づく提供を開始できる段階ではありません。