はじめに

2026年7月10日、個人情報保護法の大きな改正法が成立し、同月17日に公布されました。施行日はまだ決まっておらず、「公布から2年を超えない範囲内」で政令により定められるとされていますので、実際に義務が発生するのは少し先になる見込みです。予定がこちらに示されています。

もっとも、今回の改正には、違反した場合に金銭的な負担（課徴金）を命じられる制度の導入をはじめ、企業の個人情報の取扱い実務を大きく変える内容が含まれています。現在は国の個人情報保護委員会（※）が政令やガイドラインの整備を進めている段階であり、企業にとっては「施行までの準備期間」が始まったところといえます。

※個人情報保護委員会…個人情報の取扱いを監督する国の機関。事業者への指導・勧告・命令などを行います。

本記事では、改正項目の中から、規模や業種を問わず多くの事業者に関係し得る3つのポイントに絞ってご紹介します。

1　「課徴金制度」の導入――違反が”割に合わない”仕組みへ

今回の改正の目玉の一つが、課徴金制度の導入です。課徴金とは、刑事罰の罰金とは別に、行政が違反行為による利益に相当する金額の納付を命じる仕組みで、独占禁止法や金融商品取引法ではすでに使われています。

改正法では、個人情報の違法な第三者提供や、不正な手段による取得・利用など、悪質性の高い類型の違反が対象になるとされています。

他方で、相当な注意を怠らなかった場合や、影響を受ける本人の数が一定数以下（現時点では、1,000人を基準とするとのこと）の場合には適用が除外され、また自主的に報告した場合の減額の仕組みも設けられるとされています。

この制度設計からは、「うっかりミスを直ちに処罰する」というより、利益目的の悪質な違反を抑止しつつ、自主的な発見・報告を促す趣旨がうかがわれます。

中小企業にとっては、過度に恐れる必要はない一方、「漏えいや違反に気づいたときに、隠さず速やかに対応できる体制」を持っているかどうかが、これまで以上に重要になると考えられます。

2　子どもの個人情報――「16歳未満」は保護者の同意が基本に

二つ目のポイントは、16歳未満の子どもの個人情報に関するルールの新設です。

改正法では、16歳未満の本人について同意の取得や通知を行う場面では、原則として保護者などの法定代理人を相手方とすることとされ、また、子ども本人や保護者からの利用停止の請求が現行法より広く認められるとされています。さらに、事業者には子どもの「最善の利益」を優先的に考慮し、未成年者の権利利益を害することのないように必要な措置を講ずる努力義務も課されるとされています。

たとえば、子ども向けのオンラインサービス、学習塾・習い事、ゲームアプリなどを運営する事業者では、「利用者の年齢をどう確認するか」「保護者の同意をどう取得するか」という実務上の課題に直面することになります。年齢確認の具体的な方法は今後のガイドラインで示されると見込まれますので、該当しそうな事業者は、その動向を注視しておく必要があると考えられます。

3　顔認証などの「生体データ」に新しい規律

三つ目は、顔の特徴データなどの生体情報に関する規律の新設です。

指紋や顔特徴データのように、本人が変更できず、しかも本人が気づかないうちに取得され得る情報について、改正法は新たな類型（「特定生体個人情報」＝「特定生体個人識別符号の技術又は多額の費用を要しない方法により取得できる身体の一部の特徴に係る情報であって当該情報が取得されていることを本人が容易に認識することができなもの」として政令で定めるものを変換したものが含まれる個人情報）を設け、取得時の周知や、本人からの利用停止請求への対応などを求めることとしています。

近年、防犯目的で顔認証カメラを導入する店舗・施設が増えていますが、こうした利用は「防犯」という正当な目的がある一方で、本人が知らないまま照合が行われるという性質上、プライバシーへの影響が大きいと指摘されてきました。

改正法は、利用を一律に禁止するのではなく、透明性の確保と本人の関与の機会を求める方向の規律と理解できます。顔認証システムを導入済み・導入予定の事業者は、施行までに運用の見直しが必要になる可能性があります。

4　いま何をしておくべきか

施行日が未定である以上、直ちに社内規程を改訂する必要まではありませんが、次のような準備は今から始められると考えられます。

第一に、自社が扱っている個人情報の棚卸しです。子どもの情報を扱っていないか、顔認証などの生体情報を利用していないか、外部への提供や委託がどうなっているかを整理しておくと、施行が近づいたときの対応が格段に楽になります。

第二に、漏えい等が起きたときの初動フローの確認です。課徴金制度には自主報告による減額の仕組みが予定されており、現行法の下でもすでに一定の漏えいには個人情報保護委員会への報告義務があります。「誰が、いつまでに、どこへ報告するか」を決めておくことは、改正の前後を問わず有益です。

第三に、ガイドライン等の公表を待って対応する項目の仕分けです。今回の改正は政令・規則・ガイドラインに委ねられた部分が多く、細部は今後明らかになります。すべてを先取りして対応するのではなく、「今できること」と「公表を待つこと」を分けて管理するのが現実的でしょう。

おわりに

個人情報保護法は約3年ごとに見直しが行われており、今回の改正はその中でも影響範囲の広いものといえます。もっとも、具体的にどのような対応が必要かは、事業の内容や扱う情報の性質によって大きく異なります。自社への影響の見立てや、プライバシーポリシー・社内体制の見直しをご検討の際は、どうぞお気軽にご相談ください。

【ご注意】 本記事は一般的な情報提供を目的とするものであり、個別の事案に対する法的助言ではありません。改正法の施行時期や細目は今後の政令・ガイドライン等により変わり得ますので、実際の対応にあたっては最新の情報をご確認のうえ、専門家にご相談ください。記事の内容は作成時点（2026年9月）の情報に基づいています。