令和8年7月17日に個人情報の保護に関する法律等の一部を改正する法律（令和8年法律第56号。以下「令和8年改正法」という。）が公布されました。現在、個人情報保護委員会において、施行に向けた政令・委員会規則・ガイドライン等の検討が進められています。
本稿では、令和8年改正法による改正後の個人情報の保護に関する法律（以下「新法」という。）の内容について、政令・規則等の検討状況とあわせて取り上げます。
本改正は、令和2年改正法附則第10条に基づく、いわゆる「3年ごと見直し」を踏まえたものです。個人情報保護委員会は、改正事項を、適正なデータ利活用の推進、リスクに適切に対応した規律、不適正利用等防止、規律遵守の実効性確保の4点に整理しています[1]。
個人情報保護委員会は、テーマごとに「基本的な考え方」[2]を示した後、意見交換やヒアリングを経て具体的な内容を議論し、政令・規則等の条文案を示して意見公募手続を開始することとしています。
統計情報等の作成（統計作成等であると整理できるAI開発等を含む。）にのみ利用されることが担保されていること等を条件に、個人情報（新法第30条の2）及び個人関連情報（新法第31条の3）の第三者提供及び公開されている要配慮個人情報の取得について、本人の同意なく行うことが可能となります。
同意は不要となりますが、あくまでも特例です。第三者提供の場合には、①提供元・提供先の双方が、氏名又は名称や行おうとする統計作成等の内容等を公表していること、②書面（電磁的記録を含む。）による合意で、当該提供が特例によるものである旨を明確に定めることが要件とされています（新法第30条の2第5項）。また、提供を受けた者は、公表した統計作成等に必要な範囲を超えた取扱いや第三者への再提供が原則として禁止されます。これらに違反して対価を得た場合には、課徴金の対象となり得ます（同条第9項・第10項、新法第148条の3第1項第4号・第5号）。
「統計作成等」の具体的な範囲は委員会規則で定めることとされています（新法第2条第13項）。「基本的な考え方②」において、規則では、目的外利用・第三者提供を防止するための措置、漏えい（統計情報等からの復元等を含む。）の防止その他の安全管理措置、不要となった個人情報等を遅滞なく消去するための措置を講じた上で行われる行為に限定する方向が示されています。また、学習データを増やす目的で本人に働きかけ、その反応等のデータを得る場合など、作成の過程で個人に直接影響を及ぼす手法は制限する方向が示されています。
現行規定では、目的外利用、要配慮個人情報の取得、個人データの第三者提供については、例外規定に該当する場合を除き、本人の同意が必要とされています。新法では、次の場合にも同意が不要となります。
また、「学術研究機関等」に、病院その他の医療の提供を目的とする機関又は団体が含まれることが明示されます（新法第16条第9項）。
「基本的な考え方①」においては、「取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかな場合」として、事業者と第三者との間の契約であって、状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかなものの履行のために必要やむを得ないことが明らかである場合（本人の家族が本人分の宿泊予約をした場合等）や本人との契約締結に先立って本人の要望に応じて行うことが必要やむを得ないことが明らかである場合（EC取引でクレジットカード払いを希望した場合の本人認証等）を追加する方向が示されています。
現行規定では、子供の個人情報の取扱いについては、ガイドラインやQ&Aに記載があるのみでした。新法では、本人が16歳未満の場合、同意取得や通知等の規定中の「本人」が「本人の法定代理人」と読み替えられます（新法第40条の2第1項）。ただし、16歳未満であることを知らないことについて正当な理由がある場合等は除かれます。また、16歳未満の本人及びその法定代理人は法定代理人の同意を得て取得された場合等の例外を除き、違法な取扱いの有無にかかわらず、利用停止等を請求できるようになります（新法第35条第9項、同第37条第1項）。
さらに、個人情報取扱事業者等は、未成年者に関する個人情報等の取扱いについて、その年齢及び発達の程度に応じて最善の利益を優先して考慮した上で、未成年者の権利利益を害することがないように必要な措置を講ずるよう努めなければならないとされます（新法第58条の3第1項）。また、未成年者である本人の法定代理人も、同意等をするに当たっては、本人の最善の利益を優先して考慮しなければなりません（同条第2項）。なお、同条の「未成年者」は18歳未満の者を指し、第40条の2の「16歳未満」とは範囲が異なります。
顔特徴データ（顔の骨格や目・鼻・口の位置・形状等から抽出した特徴情報を、本人を識別できるようにしたもの）等は、本人が関知しないうちに容易に大量に入手可能であり、一意性・不変性が高いという特徴があります。そこで新法では、「特定生体個人情報」として新たな規律が設けられます（新法第16条第5項）。具体的には、①取り扱う旨や利用目的、開示等の請求等の手続等の周知が義務付けられ（新法第21条の2）、②違法な取扱いの有無にかかわらず利用停止等を請求できることとされ（新法第35条第7項）、③オプトアウト制度に基づく第三者提供が禁止されます（新法第27条第2項）。
周知の方法について、「基本的な考え方①」では、カメラ等の機器の周辺や検知対象者が十分認識できる場所に分かりやすく掲示する方法とし、令和5年の顔識別機能付きカメラシステムに関する報告書等を参考とする方向が示されています。
委託元による監督が十分に機能せず、委託先が委託業務の範囲を超えて個人情報を利用する事案が生じていたことを踏まえ、新法では、委託先は委託された個人情報を委託業務の遂行に必要な範囲を超えて取り扱ってはならないこととされます（新法第30条の3）。他方、委託契約において委員会規則で定める事項を定め、その定めに従って取り扱う場合には、安全管理措置等を除き、委託先に対する多くの義務規定の適用が除外されます（新法第58条の2）。「基本的な考え方②」では、委員会規則において、対象となる個人情報等、処理の内容、取扱いの始期及び終期、取扱いの行われる国又は地域のほか、漏えい等発生時の報告や委託終了時の返還・消去等を契約において定めるべきとする方向性が示されています。
現行規定では、漏えい等報告の義務を負うときは、原則として一律に本人への通知義務を負います。新法では、本人への通知が行われなくても本人の権利利益の保護に欠けるおそれが少ない場合として委員会規則で定める場合には、代わるべき措置をとることで、本人への通知が不要となります（新法第26条第2項）。 「基本的な考え方②」では、本人への通知が不要となる場合として、外部の事業者・団体等と共用性のないサービス利用者の社内識別子（ID）など、それ単体ではおよそ意味を持たない情報のみが漏えいした場合が考えられるとの方向性が示されています。
電話番号、メールアドレス、Cookie ID等は、それ単体では個人情報に該当しない場合でも、本人への連絡を通じて権利利益の侵害が発生し得ます。そこで新法では、これらを含む個人関連情報を「連絡可能個人関連情報」と定義し、その不適正な利用と不正な取得を禁止します（新法第2条第8項、第31条の2）。
新法では、オプトアウト制度に基づいて提供する際に、提供先の身元と利用目的を確認しなければならないこととされます（新法第27条第7項）。確認を求められた提供先が確認事項を偽った場合は、過料の対象となります（同条第8項、新法第186条第1号）。
個人の重大な権利利益の侵害が切迫している場合にも、緊急命令を発出できるようになります。また、措置命令を受けた事業者が当該命令に従わない場合には、違反事業者に役務を提供するクラウド事業者等（取扱関係役務提供者）に対し、違反行為を中止させるための措置を要請できるようになります（新法第148条の2第1項）。
刑事罰については、個人情報データベース等不正提供等罪について、従来の「不正な利益を図る目的」に加えて「本人その他の者に損害を加える目的」での提供等も処罰対象とされ、法定刑が2年以下の拘禁刑又は100万円以下の罰金に引き上げられ、詐欺行為や不正アクセス行為等による不正取得罪が新設されるなど、刑事罰が強化されています。
違法な行為等を行うことが想定される第三者への個人情報の提供やそのような第三者の求めによる個人情報の不適正利用、違法な第三者提供、統計作成等の特例に違反する取扱い・提供や、不正の手段により取得した個人情報の利用等によって対価を得た事業者に対し、その対価に相当する額の課徴金の納付が命じられます。ただし、相当の注意を怠った者でないと認められる場合や、本人の数が千人を超えない場合等は対象外です（新法第148条の3第1項・第2項）。
令和8年改正法は、データ利活用の促進と規律遵守の実効性確保を同時に進めるものです。政令・規則等の具体的な内容は今後の検討に委ねられている部分が多いため、事業者の方においては、今後公表される政令・規則・ガイドラインの内容を注視しつつ、自社における個人情報の取扱いへの影響を確認していくことが求められます。
令和8年改正法は、データ利活用の促進と規律遵守の実効性確保を同時に進めるものです。政令・規則等の具体的な内容は今後の検討に委ねられている部分が多いため、事業者の方においては、今後公表される政令・規則・ガイドラインの内容を注視しつつ、自社における個人情報の取扱いへの影響を確認していくことが求められます。
以 上
[1] 「個人情報保護法等の一部を改正する法律について」（令和8年7月）個人情報保護委員会事務局（以下「概要」という。）
[2] 個人情報の保護に関する法律等の⼀部を改正する法律 政令・規則の整備に向けた基本的な考え⽅について①（適正なデータ利活⽤の推進、リスクに適切に対応した規律①）令和８年９⽉16日 個人情報保護委員会事務局 （以下「基本的な考え方①」という。）
個人情報の保護に関する法律等の⼀部を改正する法律 政令・規則の整備に向けた基本的な考え方について②（適正なデータ利活⽤の推進、リスクに適切に対応した規律②）令和８年10月１日個人情報保護委員会事務局 （以下「基本的な考え方②」という。）
