令和8年個人情報保護法改正のポイント～デジタル技術・AI等の発展を背景として～

１　改正の全体像

　はじめに、改正の全体像を概観します。

⑴　適正なデータ利活用の推進

・　統計作成等特例

　統計作成等（AI開発等を含むとされています。）の場合に限って、個人データ等の第三者提供および公開されている要配慮個人情報の取得について、本人の同意を不要とします。今回の改正で最も注目されている内容です。

・　同意取得についての要件緩和

　取得状況からみて本人の意思に反せず権利利益を害しないことが明らかな場合について、本人同意を不要とします。

　生命等の保護等のために取り扱う場合の同意取得困難性要件を緩和します。

　学術研究例外の対象に医療機関が含まれることを明示します。

⑵　リスクに適切に対応した規律

・　顔特徴データ等

　顔特徴データ等について、取扱いに関する一定の事項の周知を義務付け、利用停止等請求の要件を緩和するとともに、オプトアウトによる第三者提供を禁止します。

・　子供（16歳未満の本人）の個人情報等

　本人の同意等について法定代理人を対象とすることの明文化、利用停止等請求の要件の緩和、子供の最善の利益を優先する責務の規定をします。

・　委託を受けた事業者の義務

　データ処理の委託を受けた事業者について、個人データ等の適正な取扱いに関する規律を整備します。

・　漏えい等通知の義務の緩和

　漏えい等発生時について、本人の権利利益保護に欠けるおそれが少ない場合は、本人への通知義務を緩和します。

⑶　不適正利用等の防止

・　連絡可能個人関連情報

　「連絡可能個人関連情報」（住所、電話番号、Cookieなど、個人情報ではないものの、特定個人に対するアプローチ・働きかけが可能となる情報）について、不適正利用および不正取得を禁止します。

・　オプトアウトの提供先に関する確認義務

　オプトアウト制度（本人の求めにより停止することを条件に同意なく第三者提供を可能とする制度）について、提供先の身元や利用目的の確認を行うことを義務化します。

⑷　規律遵守の実効性確保

・　課徴金制度の導入

　重大な違反行為により個人の権利利益が侵害された場合等に、違反行為によって得た財産的利益等に相当する額の納付を命じる課徴金制度を導入します。これにより、違反行為に対する抑止力を高めます。

・　個人情報保護委員会の勧告・命令の要件見直し

　個人情報保護委員会が違反行為の是正を速やかに求められるよう、命令の要件を見直します。さらに、本人への事実の通知または公表その他の必要な措置をとるよう、勧告・命令できることとします。

・　違反行為を補助する第三者への措置

　違反行為を補助等する第三者に対して違反行為の中止のために必要な措置等をとるよう要請する根拠規定を設けます。

・　刑事罰の強化等

　個人情報データベース等の不正提供等の罪について、加害目的での提供を処罰対象に追加するとともに、法定刑を引き上げます。また、詐欺行為等による不正取得について罰則を設けます。

２　統計作成等の特例（AI開発等に関するデータ利活用）

⑴　統計作成等についての同意取得義務の免除

　改正個人情報保護法（以下「改正法」といいます。）においては、大量のデータを抽出・分類・比較・解析することによって傾向や性質に関する情報を作成する行為であって、個人に関する情報を含まず、個人の権利利益を害するおそれが少ないもの¹を「統計作成等」（改正法2条13項）と定義しました。そして、統計作成等を行う目的の場合には、公開されている要配慮個人情報の取得や第三者提供に関する本人の同意が不要となる特例²が設けられました（改正法30条の2第1項、第5項）。

　統計作成等には、個人の推論や特定を伴わないAIの学習モデル開発等が含まれるとされており、生成AIの基盤モデル構築や、業界を横断したデータ連携の後押しとなります。

---

⑵　要配慮個人情報の取得についての同意取得義務免除の要件

・　統計作成等の必要性

　統計作成等目的、または特例の対象となる第三者提供を行う目的で、現に公開されている要配慮個人情報を取り扱う必要があることが要件です。

・　公表

　取得者は、要配慮個人情報を用いて行おうとする統計作成等の内容等、規則で定める事項を公表していることが必要です。

⑶　第三者提供についての同意取得義務免除の要件

・　統計作成等の必要性

　第三者（提供先）が統計作成等を行う目的で取り扱う必要があることが要件です。

です。

・　公表

　提供元および提供先（第三者）の双方が、統計作成等の内容等、規則で定める事項を公表していることが必要です。

・　書面合意

　提供元と提供先との間の書面による合意（契約）により、当該提供がこの特例規定によるものである旨が明確に定められていることが必要です。

⑷　継続的公表義務

　特例を満たすための公表義務は、その情報を特例の対象として取り扱っている期間中は、継続して公表する必要があります。

⑸　目的外利用・第三者提供の禁止

　特例の対象となる情報³は、原則として公表されている内容の統計作成等を行うために必要な範囲を超えて取り扱ってはならないとされています。また、個人データか否かを問わず、原則として第三者に提供することが禁止されています。

⑹　統計作成等特例についての留意点

　特例はAI開発等のためのデータの利活用を後押しするものですが、事業者としては、特例の要件に違反した場合、後述の課徴金納付命令の対象となる等のリスクがあります。適切なルールの策定・運用が重要です。

　改正法が特例を導入したことについては、国会の議論でも、社会的にも、賛否両論がありました。例えば、特例によれば、病歴や犯罪歴などの「公開されている要配慮個人情報」について、本人同意なしでの取得・提供が可能になりますが、これが個人の識別やプロファイリングに悪用・流用されるのではないか、ひいては、不適切なプロファイリングや差別・偏見につながるおそれがあるのではないか等の懸念が指摘されています。

　この懸念に対して、実効性のある歯止めが設けられるのかについては、今後の運用にかかっていますので、引き続き策定されるガイドライン等を注視する必要があります。

３　同意取得についての要件緩和

　現行法では目的外利用、第三者提供、要配慮個人情報の取得等を行う際、原則として本人の同意が必要ですが、改正法では以下の3点において例外要件が緩和・明確化されます。

・　取得の状況からみて本人の意思に反しないことが明らかな場合の例外

　本人との契約履行に必要不可欠である等、取得状況からみて「本人の意思に反せず権利利益を害しないことが明らか」として規則で定める場合には、同意取得義務が免除されます。例えば、ホテル予約サイトが宿泊先ホテルへ予約者情報を提供する場合や、金融機関の海外送金に伴う情報提供などが想定されています。

　なお、どのような場合に「取得の状況からみて本人の意思に反しないことが明らか」といえるかは、現時点では明確ではありません。今後の規則やガイドラインの整備を注視する必要があります。

・　生命・身体保護等に関する困難性要件の緩和

　人の生命・身体・財産の保護や公衆衛生の向上等に必要な場合、従来は「本人の同意を得ることが困難であるとき」に限定されていましたが、新たに「本人の同意を得ないことについて相当の理由があるとき」が追加され、同意免除に依拠できる幅が広がりました。

・　学術研究機関等に病院等が含まれることの明示

---

　学術研究の例外規定が適用される「学術研究機関等」の定義に、病院その他の医療機関・団体が含まれることが法律上明記され、医療分野での臨床症例の分析や共同研究が円滑に進むよう整理されました。

４　顔特徴データ等（特定生体個人情報）

　本人が気づかないうちに取得され得る情報（特定生体個人識別符号）を含む個人情報が新たに「特定生体個人情報」と定義されました。防犯カメラの映像から抽出される顔特徴データ等が想定されています。

　特定生体個人情報を取り扱うにあたっては、利用目的、どのような身体的特徴情報を扱うかを含めた詳細な事項の周知（通知または容易に知り得る状態に置くこと）が義務付けられます。

　特定生体個人情報については、顔特徴データ等の不変性を考慮して、違法性の有無を問わず、本人からの利用停止等請求が広く認められます。また、オプトアウト制度による第三者提供が禁止されます。

　もっとも、防犯カメラ等による顔特徴データの収集やこれに基づくプライバシー侵害、プロファイリング、監視社会化等に対する社会的な懸念が存在することは事実であり、今後もセンシティブな問題であり続けます。

　顔認証システム等を事業で利用している事業者においては、今後、周知（掲示物、プライバシーポリシー等）に関する再検討や、利用停止請求時の具体的な対応に関する仕組みの準備等が必要になります。

５　子供の個人情報等

　16歳未満の者から個人情報を取得する場合、原則として通知や同意取得の対象を「法定代理人（親権者等）」と読み替える規定が創設されました。また、事業者には未成年者の最善の利益を優先考慮する努力義務が課されます。子供向けにサービスを提供する事業者は、年齢確認の手法や、法定代理人からの同意取得に関する管理プロセスの再検討が求められます。

６　委託を受けた事業者の義務

　データ処理の委託を受けた事業者について、個人データ等の適正な取扱いに関するルールの改正がされました。委託先の目的外利用の禁止の明文化、安全管理義務等について、規定の整備がされています。

７　漏えい等発生時の通知義務の緩和

　個人データの漏えいが発生した場合、現行法では、一定の場合、個人情報保護委員会への報告に加えて、本人への通知義務が定められています。

　このうち、本人への通知義務について、改正法では、社内で用いるIDのみが漏えいした場合等、「本人への通知が行われなくても本人の権利利益の保護に欠けるおそれが少ない場合」 には、代替措置を講じることを条件に、本人への個別通知を省略できる仕組みが新設されました。なお、この場合でも、個人情報保護委員会への報告義務は存続します。

８　連絡可能個人関連情報

　個人情報保護法において、例えばCookie等のそれ単体では特定の個人を識別できない情報は個人情報に該当しない「個人関連情報」であるとされています。また、現行法では、個人関連情報については、不適正利用や不正取得を禁止する規定がありません。

　改正法は、個人関連情報のうち、住所、電話番号、メールアドレス、Cookie等の特定の個人に対する何らかの連絡や情報伝達に利用可能な情報を「連絡可能個人関連情報」と定義して、その不適正利用や不正取得を禁止しました。この規定は、連絡可能個人関連情報を含む仮名加工情報や匿名加工情報にも準用されます。

　これにより、個人関連情報のうち連絡可能個人関連情報に該当するものについては、規制が強化されることになります。

９　課徴金制度の導入

　個人情報保護法に、法律違反によって得た経済的利益の剥奪を目的として、新たに課徴金制度が導入されました。

　もっとも、対象となる行為は、違法な第三者提供、不正取得、特定の不適正利用及び統計作成等特例に違反した目的外利用・第三者提供など、意図的かつ悪質な行為に限定されています。また、①事業者が違反を防止するための「相当の注意を怠った」ことや、②対象となる本人の数が1,000人を超える等の権利利益の侵害程度が大きい場合であること等も要件になっています。

　なお、事業者が課徴金対象行為を自ら委員会へ報告した場合には、課徴金の額が50%減額されるリニエンシー（課徴金減免制度）も設けられています。

10　刑事罰の強化等

　刑事罰の強化等がされました。

　「不正な利益を図る目的」に加えて加害目的での個人情報データベース等の不正提供が処罰対象に追加されたこと、不正提供等の罰則の法定刑について3年以下の拘禁刑又は500万円以下の罰金等への引き上げ、詐欺行為等による不正取得行為について罰則の新設等がされています。

11　おわりに

　改正法は公布から2年以内（罰則強化等の一定の規定は6か月以内）に施行されます。個人情報取扱事業者においては、改正法のほか、今後整備される規則やガイドラインも含めて、新たなルールに対応する準備を進めていく必要があります。

　自社が保有するデータの棚卸しとリスク再評価が必要になりますし、統計作成等特例、特定生体個人情報、連絡可能個人関連情報、16歳未満の本人の個人情報等について、これまでとは異なる管理等の体制を意識する必要があります。

　漏えい等報告等の危機管理の体制についても、アップデートが必要です。

　当事務所では、改正法等に準拠した個人情報保護の体制の構築、具体的には、社内規程の整備、プライバシーポリシー等の改定、契約書レビュー、AI利活用ビジネスの適法性評価等のサポートを積極的に提供しておりますので、ご相談ください。

---

¹個人情報保護委員会規則（以下「規則」といいます。）で定められます。

²統計作成等特例（以下「特例」といいます。）

³当該情報を複製・加工した情報を含みます。