個人情報保護委員会事務局は2026年10月29日、「個人情報の保護に関する法律についてのガイドライン（通則編）の一部を改正する告示（案）等」について、意見募集を始めました。
このページは、e-Govパブリック・コメントに掲載された案件ページ、意見募集要領、告示案（新旧対照）、個人情報保護委員会事務局の資料「個人情報の保護に関する法律についてのガイドライン（通則編）等における安全管理措置の手法の例示の追加等の概要」（令和8年10月）の内容を整理したものです。
意見募集の概要
| 項目 | 内容 |
|---|---|
| 案の公示日 | 2026年（令和8年）10月29日 |
| 所管 | 個人情報保護委員会事務局（監視・監督室） |
| 案件番号 | 240000133 |
| 対象 | 個人情報の保護に関する法律についてのガイドライン（通則編）、特定個人情報の適正な取扱いに関するガイドライン（事業者編）、同（行政機関等編）の各一部を改正する告示（案） |
| 根拠法令条項 | 個人情報の保護に関する法律4条、8条、9条、11条2項、131条、行政手続における特定の個人を識別するための番号の利用等に関する法律4条 |
| 受付締切 | 2026年11月27日（郵送の場合は同日必着） |
| 施行 | 未定（概要資料は「可能な限り早く」施行するとしている） |
安全管理措置についての条文とガイドラインの位置付け
個人情報保護法23条は、「個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない」と定めています。同法24条は、従業者に個人データを取り扱わせるに当たっての、従業者に対する必要かつ適切な監督を定めています。
ガイドライン（通則編）の「10（別添）講ずべき安全管理措置の内容」は、この措置の具体的な内容を、組織的・人的・物理的・技術的安全管理措置などに分けて示しています。概要資料は、別添の記載を次の2つに分けて説明しています。
- 「講じなければならない措置」：義務であり、従わなかった場合は法違反と判断される可能性がある
- 「手法の例示」：義務ではなく例。具体的な手法は、本人が被る権利利益の侵害の大きさを考慮し、事業の規模・性質、個人データの取扱状況、記録媒体の性質などに起因するリスクに応じて、必要かつ適切な内容とすべきもの
概要資料は、今回の改正は「手法の例示」の追加等であり、新たな規律を設けるものではないとしています。
改正の背景とスケジュール
概要資料によれば、2026年9月16日の第369回個人情報保護委員会で検討の方向性が示されました。背景として、サイバー攻撃の高度化・複雑化・巧妙化により個人データ等の漏えい等が生じていることを挙げ、次の4つの課題を示しています。
- 取扱い多様化への対応（クラウドサービスの普及、デバイスの高機能化など）
- ゼロトラストモデルの導入（組織内外を問わず何も信頼せず、全てを検証するという考え方）
- 横展開対策（侵入型ランサムウェア等による、侵入された後の被害拡大の防止）
- 記載の明確化（「講じなければならない措置」と「手法の例示」の対応関係などの整理）
9月16日の時点では、2026年12月頃にパブリックコメントを始め、2027年4月に施行する予定とされていました。概要資料は、大量の個人情報を取り扱う事業者が外部から不正アクセスを受けて大量の個人データが漏えいし、又はそのおそれが生じた事案を踏まえ、施行を可能な限り前倒すこととしたと説明しています。
FREE CONSULTATION
企業法務のご相談は、初回30分無料です
- ・日本・ニューヨーク州の弁護士 阿部祐介が担当します
- ・オンライン（Zoom等）・来所（東京・大手町）どちらも可
- ・日本語・英語のどちらでもご相談いただけます
主な追加・変更の内容（通則編別添）
組織的安全管理措置
- 組織体制の整備：責任部署の設置と役割の明確化などを手法の例示に追加
- 「個人データの取扱いに係る規律に従った運用」と「個人データの取扱状況を確認する手段の整備」の記載を一本化
- 個人データの取扱いに係る規律を明確化して従業者に周知すること、あらかじめ整備した規律と照らし合わせることを追加
- 講じた安全管理措置について、取扱状況や情報技術の進歩などを踏まえて定期的に評価・見直しを行い、必要に応じて改善することを追加
人的安全管理措置
- 従業者に対する定期的な研修等の内容・実施方法などを評価し、見直し、改善することを追加
物理的・技術的安全管理措置
- アクセス者の識別と認証の対象を「個人データを取り扱う情報システムを使用する者」に変更（概要資料は明確化であるとしている）
- 識別・認証の手法として、指紋認証・静脈認証・顔認証を追加
- ユーザーID・パスワードを利用する場合には、同一のユーザーID・パスワードの使い回しの原則禁止及び類似パスワードの使い回しの制限、最低パスワード文字数の設定、一定回数以上ログインに失敗したIDの停止等を行う
- 組織外ネットワークからのアクセスや、管理者権限でのアクセス、重要な個人データへのアクセスでは、多要素認証（フィッシングに耐性のあるものを含む）を導入する
- アクセス要求ごとに、アクセス元の場所、アクセス時間、デバイスのセキュリティ状態等の動的コンテキストを評価し、リスクに応じてアクセスの可否を判断する仕組みを導入する
- 組織が許可し、セキュリティ基準を満たしたデバイスからのみ個人データへのアクセスを許可する
- 特権アカウントを割り当てる従業者、利用する端末、利用する場面等を最小限に限定する
- 人事異動や従業者の退職など組織体制に変更が生じた場合に、アクセス権限の変更を適切に行う
- 個人データの削除や機器の廃棄で、暗号化消去等、容易に復元できない手段を採用する
「不正アクセス等の検知等」の項目の新設
告示案は、技術的安全管理措置に「(5)不正アクセス等の検知等」の項目を設けます。認証ログ、アクセスログ、操作ログ、通信ログ等のログ等を一定の期間保管すること、ログ等を漏えい・改ざん・不正消去等から保護すること、ログ等の定期的な分析により不正アクセス等の発生又は兆候を早期に検知すること、早期に検知等するための仕組み（例えば、IDS/IPS、EDR等）を導入すること、不正アクセス等が発生した場合でも情報システムの被害が広がらないよう必要な対策を講ずることなどが記載されています。
Q&Aの一本化とマイナンバーガイドライン固有の記載
「個人情報の保護に関する法律についてのガイドライン」に関するQ&Aにある「手法の例示」は、ガイドライン本体の別添に記載を一本化するとされています。マイナンバーガイドライン（事業者編）では、源泉徴収票等を作成する事務で従業員等から提出された書類等の複製等を作成している場合に、その複製等の廃棄・削除方法について手続を明確にしておくことが重要である旨を追記するとされています。
意見の提出方法
意見募集要領によれば、意見は次のいずれかの方法で提出します。
- e-Govの当該意見募集ページの意見提出フォーム
- 郵送（締切日必着。封書表面に「ガイドライン改正案に関する意見提出」と記入）
- 電子メール（件名「ガイドライン改正案に関する意見提出」）
電話等による意見は受け付けず、提出する意見は日本語に限るとされています。意見の対象は、今回の案に記載の改正内容に関するものとされています。最終的な内容は案から変更される可能性があるとされています。
出典
- e-Govパブリック・コメント「個人情報の保護に関する法律についてのガイドライン（通則編）の一部を改正する告示（案）等に関する意見募集について」（案件番号240000133。意見募集要領・告示案・改正概要・更新案のPDFを掲載）https://public-comment.e-gov.go.jp/servlet/Public?CLASSNAME=PCMMSTDETAIL&id=240000133&Mode=0
- e-Gov法令検索「個人情報の保護に関する法律」（平成15年法律第57号）https://laws.e-gov.go.jp/law/415AC0000000057
本ページは、官公庁が公表した内容と条文の文言をもとに構成しています。個別の事案について判断が必要な場合は、弁護士にご相談ください。
