改正個人情報保護法｜公布後に企業が確認すべき現在地と準備事項

こんにちは。LegalAgent 代表弁護士の朝戸です。

自社のプライバシーポリシーを最後に改定したのはいつか、すぐに思い出せない法務担当者もいるのではないでしょうか。サービス開始当初の文面をそのまま使い続け、委託先の増加や海外クラウドの導入が進んでも、本文だけが過去の事業実態にとどまっているケースは見受けられます。そうした企業にとって、令和8年7月に公布された改正個人情報保護法への対応は、規約の字句を修正するだけにとどまらない見直しにつながります。

改正法の成立・公布と施行時期

個人情報保護法には3年ごとの見直し規定が置かれており、個人情報保護委員会は令和8年1月9日に「制度改正方針」を公表しました。これを受けた「個人情報の保護に関する法律等の一部を改正する法律案」は、令和8年4月7日に閣議決定され、第221回国会に提出されました。

衆参両院の議案情報によると、同法案は令和8年5月21日に衆議院の特別委員会で可決され、5月26日の本会議で可決されて参議院へ送付されました。参議院では6月12日にデジタル社会の形成及び人工知能の活用等に関する特別委員会へ付託され、7月8日に同委員会で可決、7月10日の本会議で可決されて成立しています。改正法は令和8年7月17日に公布され、法律第56号となりました。したがって、改正内容は審議中の法案ではなく、すでに公布された法律として扱う前提に立ちます。

一方で、施行日はまだ確定していません。改正法は、一部の規定を除き、公布の日から起算して2年を超えない範囲内において政令で定める日から施行することとされています。文言どおりに読めば、遅くとも令和10年7月16日までには施行されますが、具体的な日付を定める政令は本稿執筆時点（2026年9月20日）では確認されていません。政令のほか、委員会規則やガイドラインの改正も順次示される見込みであり、社内資料には「公布済み・施行日未定」という現在地を明記しておくと、担当者が入れ替わっても前提を誤りません。

課徴金制度と罰則の引上げ

今回の改正で大きな柱と位置づけられているのが、課徴金制度の新設です。参議院の議案要旨によると、個人情報の違法な取扱い等によって財産上の利益を得た個人情報取扱事業者に対して、個人情報保護委員会が課徴金の納付を命ずる制度が整備されました。あわせて、個人情報データベース等の不正な提供等を行った事業者に対する罰則の法定刑も引き上げられています。

従来の法律にも指導や勧告、命令といった行政上の措置は設けられていますが、これらは違反状態の是正を促す性格のものであり、不当に得た経済的利益そのものを吸い上げる枠組みではありませんでした。課徴金制度の施行後は、違反による不当な利得を取り除く手段が新たに加わります。

実務上の意味合いとして、法令違反が「指摘を受けてから直せば足りる問題」にとどまらなくなる点が挙げられます。委託先の確認が形式倒れになっていたり、第三者提供の記録作成を怠っていたりする企業は、施行日を待たず、早めに現状を点検しておくことが安全策につながると考えられます。

生体情報・未成年者情報と連絡可能な情報の規律

改正法には課徴金以外にも実体的な見直し項目が含まれています。参議院の議案要旨によると、身体の一部の特徴に係る情報が含まれる特定生体個人情報について、違法な取扱い等がなくとも本人が利用停止等を請求できる規定が設けられました。16歳未満の者の個人情報等を取り扱う場合における本人の法定代理人への通知等の規定も整備され、特定の個人への連絡に利用できる記述等を含む連絡可能個人関連情報については、不適正な利用と不正な取得が禁止されます。統計等の作成を行う第三者へ個人情報を提供する場合等については、統計等の作成の内容等を公表しているときは本人の同意を不要とする扱いが導入されました。

もっとも、各規定の具体的な適用範囲は、今後の政令、委員会規則及びガイドラインで詰められる部分が残っています。現時点で条文の解釈を断定することは避けるのが穏当です。それでも、顔認証や指紋、声紋といった生体情報を扱うサービス、16歳未満の利用者を想定した事業、連絡先を収集して営業や広告に用いる事業を営む企業にとっては、現在のプライバシーポリシーや同意取得画面が実態を正しく説明できているかを確かめておく価値があります。これらの情報は改正前の法律でも配慮を要する場面があり、施行日の確定を待たずに点検の優先順位が高い分野です。

現行の条文を基準とした先行点検

施行日の確定を待たずとも、現在効力を有する個人情報保護法の条文に照らして今すぐ確認できる項目は複数存在します。

第17条は利用目的の特定を義務づけ、第18条は特定された利用目的の達成に必要な範囲を超えた取扱いを制限しています。ポリシーに掲げた利用目的と、日々の運用におけるデータ処理が整合しているかは、改正部分の施行を待たずに見直すべき事項です。「サービスの提供のため」といった大まかな記載にとどめたまま広告配信や外部AIサービスへの送信を行っている場合、現在の規制下でもリスクを抱えている可能性があります。

また第21条は、本人から書面等で直接個人情報を取得する際、あらかじめ利用目的を明示することを定めています。会員登録や問い合わせ、資料請求の各画面で、この明示が利用者の目に触れる形で適切に反映されているかも確認対象です。

さらに第27条の第三者提供の制限や、第28条の外国にある第三者への提供制限も点検を要します。外部委託が増え、海外のSaaSやクラウドを活用する企業ほど、そのデータ連携が委託にあたるのか、それとも第三者提供や国外移転に該当するのかという区分があいまいになりがちです。ここを整理しないまま改正部分の対応だけを進めても、土台が揺らぎかねません。

早期に着手できる社内準備

施行日が定まっていない現段階であっても、次の4点については先行して着手しておくことが有益だと考えられます。

• 社内規程の確認：個人情報の取扱手順や委託先の選定基準、安全管理措置の記載が、現在の実務と合致しているかの点検
• 委託契約の棚卸し：漏えい発生時の通知義務、再委託の承諾条件、監査への協力条項が契約書に含まれているかの確認
• 漏えい対応フローの明確化：事故の発覚から社内報告、事実確認、委員会への報告に至る役割分担と期限の手順化
• 同意取得画面の再確認：利用目的が抽象的になっていないか、生体情報や未成年者の情報に応じた同意画面の設計が必要かの検討

これらの作業は、施行日を定める政令が公布されてから着手しても十分な対応時間を確保しにくい性質を持っています。とりわけ委託契約の見直しは相手方との協議を伴うため、現時点で該当する契約書を洗い出しておくのが現実的です。

課徴金制度が施行されれば、社内規程が形骸化して実態と乖離している状態のリスクは、従来の指導や勧告にとどまる段階よりも重くなります。政令の公布をただ待つのではなく、現在の条文を基準にした点検を終えておけば、施行日がいつに定まっても落ち着いて対応できます。