> 更新（2026年9月8日）: この改正法は2026年7月10日に成立し、7月17日に公布されました（令和8年法律第56号）。施行期日は、一部の規定を除き、公布の日から起算して2年を超えない範囲内において政令で定める日とされています。政令・規則・ガイドラインは順次整備されています。出典は個人情報保護委員会「「個人情報の保護に関する法律等の一部を改正する法律」の公布について（令和8年7月17日）」https://www.ppc.go.jp/news/press/2026/260717/ です。
2026年4月7日、政府は個人情報保護法（個情法）の改正案を閣議決定しました。AIの開発・普及を後押しするためデータ利活用の規制を緩和する一方、違反企業への課徴金制度を新設して執行を強化する「アクセルとブレーキ」の両面改正です。同改正法はその後2026年7月10日に成立し、7月17日に公布されました。本記事では成立した改正法の主要8項目と、企業が今から着手すべき実務対応を整理します。
改正の全体像 — 利活用拡大と執行強化の同時進行
今回の改正は、個人情報保護法（平成15年法律第57号）の3年ごと見直し（同法附則第10条）に基づくものです。改正法は2026年5月26日に衆議院を通過し、同年7月10日に成立、7月17日に公布されました。施行は公布から2年以内（遅くとも2028年7月17日まで）で、一部規定は公布後6か月で先行するなど段階的に行われます。施行まで猶予はありますが、データ資産の棚卸しやプライバシーポリシー改定には時間を要するため、2026年中の着手が推奨されます。
| 区分 | 主な改正項目 |
|---|---|
| 利活用の拡大 | ①AI学習・統計作成目的の同意不要特例 ②委託先義務の合理化 ③漏えい報告の簡素化 |
| 規律の強化 | ④課徴金制度 ⑤特定生体個人情報の新規律 ⑥未成年者保護 ⑦不適正利用の禁止拡大 ⑧不正取得・提供罪の処罰範囲拡大 |
① AI学習・統計作成目的の同意不要化
最大の目玉が、AI開発や統計作成の目的で個人情報を利用する場合、本人の同意を不要とする特例の創設です。個人が特定されない形での統計的処理や、本人の権利利益を害さないことが明らかな利用については、現行法第18条（利用目的による制限）・第27条（第三者提供の制限）の同意原則を緩和します。生成AIの学習データ確保がボトルネックとなっている国内事情への対応です。
ただし「本人の権利利益を害するおそれ」がある場合は従来どおり規律が及ぶため、何が「害さないことが明らか」に当たるかのガイドラインが今後の実務上の焦点となります。AI著作権をめぐる論点は生成AIと著作権侵害訴訟もあわせて参照してください。
② 課徴金制度の新設 — 執行強化の本丸
これまで個情法の制裁は是正命令と、命令違反に対する刑事罰（個人情報保護法第178条等）に限られ、「やり得」が指摘されてきました。改正法は違反行為の対価として得た財産上の利益（不当利得）相当額を基礎とする課徴金を導入し、個人情報保護委員会が課徴金納付命令を出せるようにします。
| 課徴金制度の設計 | 内容 |
|---|---|
| 対象3類型 | 不正取得・不適正利用・違法な第三者提供（安全管理措置の不備による漏えい自体は対象外） |
| 規模要件 | 対象行為に係る本人の数が1,000人超 |
| 算定基礎 | 対象行為の対価として得た財産上の利益（不当利得）相当額 |
| 加算・減算 | 過去に納付命令を受けた者は1.5倍、違反事実を自主報告すれば50%減額（リニエンシー） |
EUのGDPRにおける制裁金制度に接近する内容で、グローバル企業の日本拠点にも影響します。GDPRとの比較はGDPRと日本の十分性認定で、閣議決定時点の詳細解説は個人情報保護法改正案の閣議決定もあわせて参照してください。
③ 特定生体個人情報の新規律
顔認証データ、指紋、DNA、声紋など、本人を識別できる生体データを「特定生体個人情報」として新たに類型化し、取得・利用に上乗せの規律を設けます。防犯カメラの顔認証や入退室管理など、生体情報を扱う事業者は取得目的の特定と安全管理措置の見直しが必要になります。
④ 未成年者（16歳未満）の保護強化
16歳未満の個人情報の取得・利用には原則として法定代理人の同意を要するものとし、子どものデータ保護を強化します。未成年者向けアプリ・ゲーム・SNSを運営する事業者は、年齢確認フローと同意取得設計の見直しが避けられません。
⑤〜⑧ その他の改正項目
- 不適正利用の禁止拡大：差別的取扱いにつながる「特定個人アプローチ情報」の不適正な利用を明確に禁止
- 漏えい報告の合理化：軽微な漏えいの報告負担を軽減し、重大事案への対応にリソースを集中
- 委託先義務の見直し：委託元・委託先間の義務分担を実態に即して整理
- 罰則の拡大：不正に取得・提供する行為の処罰範囲を拡大
企業が今すぐ着手すべき3つの対応
- データマッピング：自社が保有する個人データの種類・取得経路・利用目的を棚卸しし、生体情報・未成年データの有無を確認する
- プライバシーポリシー改定：AI学習利用の有無、利用目的の特定を改正方針に沿って見直す
- 委託先管理の点検：委託契約と監督体制を課徴金リスクを前提に再確認する
個人情報の取扱体制の構築や、課徴金リスクを踏まえた社内規程の整備については、早期に弁護士へ相談することが有効です。
一次情報
- 個人情報保護委員会「個人情報保護法 制度改正」: https://www.ppc.go.jp/
- e-Gov 法令検索「個人情報の保護に関する法律」: https://laws.e-gov.go.jp/law/415AC0000000057
