【2026年最新】個人情報保護法の改正はいつ？どうなる？見直しのポイントをわかりやすく解説

ビジネスにおけるデータ活用が加速する一方、個人情報の適切な取り扱いへの社会的な目も年々厳しくなっています。こうした状況を背景に、個人情報保護法の「3年ごと見直し」に基づく次期改正の法案が国会で審議され、2026年（令和8年）7月10日、本会議で可決・成立しました。公布は成立から2〜3週間程度で行われるのが通例で、順調に進めば2026年7月中下旬頃となる見込みです。施行は公布の日から起算して2年を超えない範囲内で政令により定められ、2028年7月頃までに施行される予定です。
本記事では、今回の改正で押さえるべきポイントと、企業が取り組むべき準備事項をまとめて解説します。

個人情報保護法の「3年ごと見直し」とは、定期的な改正を義務付けた附則規定のこと

個人情報保護法は、情報通信技術の急速な進展や国際的な動向に対応するため、法律の附則に「施行後3年ごとに見直しを行う」旨の規定が設けられています。

直近では2020年（令和2年）の改正を受け、2022年（令和4年）4月に施行されました。3年ごと見直し規定では施行日を起点に3年以内の検討開始が求められており、個人情報保護委員会は2023年（令和5年）11月から、今次の3年ごと見直しに向けた検討を本格的にスタートさせました。

この「3年ごと見直し」の仕組みは、平成27年（2015年）改正時から組み込まれた継続的な改善サイクルです。デジタル社会の変化スピードに法制度が追いつけるよう、定期的なアップデートを制度として担保しています。企業の法務担当者にとっては、改正内容を把握するだけでなく、次の改正時期を見越して準備体制を整えることも重要な業務のひとつです。

個人情報保護法改正の最新スケジュール

個人情報保護法の改正法案は、2026年（令和8年）7月10日、参議院本会議で可決・成立しました。公布は成立からおおむね2〜3週間以内に官報掲載により行われるのが通例で、2026年7月中下旬頃の見込みです。 施行は公布日から起算して2年を超えない範囲内において政令で定められており、2028年7月頃までに全面施行される予定です。

主なスケジュールは以下の通りです。

時期	内容
2023年11月	3年ごと見直し規定に基づく検討開始
2024年6月	検討の中間整理公表
2024年11月	有識者・経済団体等にヒアリング
2025年3月	「個人情報保護法の制度的課題に対する考え方」公表
2025年6月	データ利活用制度の在り方に関する基本方針（閣議決定）
2026年1月	制度改正方針（本方針）公表
2026年7月	参議院本会議で可決
2026年7月中下旬（予定）	改正法の公布
2027年（予定）	政令・委員会規則の公布
2027年（予定）	ガイドライン・Q&A公表
2028年7月頃までに（予定）	施行

なお、2025年（令和7年）6月に閣議決定された「データ利活用制度の在り方に関する基本方針」は、今回の個人情報保護法改正を政府全体のデータ利活用推進戦略の一環として位置づけたものです。単独の法改正にとどまらず、政府横断的な取り組みの一部であることを示しています。 

改正法案は、2026年（令和8年）1月9日に公表された「個人情報保護法 いわゆる3年ごと見直しの制度改正方針」を、同年4月7日に「個人情報の保護に関する法律等の一部を改正する法律案」として閣議決定・国会提出する形で具体化したものです。

企業としては、施行日に向けた対応準備を進めておくことが重要です。

個人情報保護法改正の内容

今回の改正法案は、4つの主要テーマを軸に構成されています。テーマごとに改正の内容と企業実務への影響を順に解説します。

1.適正なデータ利活用の推進

第1の柱は、データ活用推進に向けた同意規制の見直しです。AIやデータ解析の活用が進む中、現行の同意ルールがデータ利活用の障壁になっているとの声を受けて、本人の権利利益への影響が軽微な場面では規制を柔軟化する方向が打ち出されています。

統計作成等（AI開発含む）における同意緩和

現行法では、個人データを第三者に提供する場合や要配慮個人情報を取得する場合は、原則として本人の同意が必要です。今回の改正では、統計作成等にのみ利用されることが担保されている場合に限り、一定条件のもとで本人同意が不要となります。

なお、ここでいう「統計作成等」には、AI開発等も含まれます。ただし、この特例を利用するためには以下のような条件をすべて満たす必要があります。

なお、公表にあたっては、事業者や行政機関による公表にとどまらず、本人が容易に知りえる状態に置かれるよう配慮することが求められています。また、提供先においては他の情報と照合して特定の個人を識別できないようにするための措置を確実に講じることも、特例活用の前提として求められる対応です。 

特例の適用を受けた後も、公表の継続・目的外利用の禁止・第三者への再提供禁止・安全管理措置・委託先の監督といった追加的な義務が課されます。特に要配慮個人情報を含む場合は、漏えいや不適正な利用による権利利益の侵害が生じないよう、安全管理措置と委託先の監督をより一層徹底することが求められます。 これらに違反した目的外利用・第三者提供は課徴金の対象となるため、形式的な要件充足だけでなく実態を伴った運用が不可欠です。

複数の事業者がデータを持ち寄ってAI開発の学習データを作成するケースなどが、この特例の典型的な想定場面として挙げられます。

契約履行等の例外新設（本人の意思に反しない取扱い）

目的外利用・要配慮個人情報の取得・第三者提供については、今回の改正で新たに2つのケースが同意不要の例外として追加されました。1つ目は、本人との契約を履行するうえで必要不可欠であることが明らかな場合です。2つ目は、取得の状況からみて本人が望んでいると合理的に判断でき、本人の権利利益を害しないことが明らかな場合です。 

「本人の意思に反しないことが明らかな場合」の具体的な範囲と判断基準は今後の個人情報保護委員会規則で定められる予定です。想定場面としては、ホテル予約サイトを通じて宿泊予約を行った際に、予約サイト事業者がホテル事業者に宿泊者の氏名等を提供する場合や、金融機関が海外送金のために送金者の情報を送金先の金融機関に提供する場合などが示されています。規則公表後に自社の対応フローへ反映しておくことが望ましいでしょう。 

公衆衛生・学術研究の例外緩和

現行法では、人の生命・身体・財産の保護や公衆衛生の向上等を目的とする場合の例外規定を利用するには、「本人同意を取得することが困難な状況」であることが条件とされています。

今回の改正では、この要件に加えて「本人の同意を得ないことについて相当の理由があるとき」も例外規定を活用できるよう緩和されます。

また、学術研究目的の例外規定である「学術研究機関等」の対象範囲に、病院・診療所等の医療の提供を目的とする機関または団体が含まれることも法令上明確化されます。これにより、臨床研究などの場面での医療データ活用が促進されることが期待されます。

2.リスクに適切に対応した規律

第2の柱は、新たなリスクへの対応です。個人のデータ活用が高度化・多様化する中で、従来の法制度では想定していなかった問題が顕在化してきており、今回の改正では特定の属性や取扱い形態に応じた規律が整備されます。

16歳未満の子どもの個人情報への保護強化

16歳未満の子どもの個人情報については、同意取得や通知等の対象を、原則として子ども本人ではなく法定代理人（親権者等）とすることが明文化されます。子どもの保有個人データに関する利用停止等の請求要件も緩和されます。

16歳未満の子どもの保有個人データについては、事業者に法令違反がない場合でも、原則として本人（または法定代理人）から利用停止等を請求できるようになります。通常の利用停止等請求は一定の法令違反がある場合に限られるため、子どもの個人情報については手厚い保護が設けられた形です。

さらに、未成年者の個人情報等の取扱う際は、本人の最善の利益を優先して考慮すべき旨の責務規定が設けられます。同意取得にあたっては、消費者・事業者双方に過度な負担が生じないよう、柔軟な対応方法が認められる方向であり、具体的な内容は今後のガイドラインで示される予定です。 子どもを対象としたサービスや、会員登録等で子どもの個人情報を取り扱う事業者にとっては、社内規程の見直しが必要になる可能性があります。

顔特徴等の生体データへの規律導入

顔認識技術の普及を背景に、顔特徴データ等の生体データに関する規律が新たに導入されます。改正法案には以下の3点が盛り込まれています。

周知義務の対象となる事項は、事業者名・住所・代表者氏名、特定生体個人情報を取り扱う旨、利用目的、変換元の身体の特徴の内容、開示等請求手続などです。周知の具体的な手段としては、監視カメラやセンサー等の機器の周辺への掲示が想定されています。 また、利用停止等の請求については、事業者に違法行為等がない場合でも原則として本人から請求できるようになります。

顔認証や入退管理システムなどを運用している事業者は、現行の利用目的の通知・公表状況やオプトアウト制度の利用有無を確認するとともに、カメラ設置箇所への掲示対応を含めた周知体制の整備を早めに検討しておくことが望ましいでしょう。

データ処理等の委託先への規律整備

現行法では、個人データの取扱いを委託する場合、委託元が委託先に対して必要かつ適切な監督を行う義務を負うとされています。しかし、委託先が委託された業務の範囲を超えて独自に個人データを利用するケースが発生していることを踏まえ、今回の改正では委託先への直接の義務付けが行われます。改正の方向性は以下の通りです。

委託先への義務の明文化

委託された個人データを、委託業務の遂行に必要な範囲を超えて取り扱うことを、法令上明示的に禁止されます。

義務免除のルール

以下の条件をすべて満たす場合は、委託先への法第4章の義務規定（利用目的の通知・第三者提供制限等）の適用が原則として免除されます（ただし、安全管理措置・従業者の監督・委託先の監督に関する義務は免除されません）。

• 委託契約において、個人情報の取扱い方法、委託元が委託先の取扱い状況を把握するための措置、その他規則で定める事項（詳細は今後の委員会規則で定められる予定）、について合意していること
• 委託先がその合意内容にしたがって個人情報を取り扱うこと

この改正は委託元・委託先の両方に実務上の影響があります。現行の委託契約書の内容を確認・見直すことが重要です。

漏えい時の本人通知の緩和

現行法では、漏えい等が発生した場合、本人への通知が困難な場合を除き、一律に本人への通知義務が課されています。今回の改正では、本人への通知が行われなくても本人の権利利益の保護に欠けるおそれが少ない場合には、通知義務を緩和し、代替措置による対応が認められます。

例えば、社内識別子（ID）等、それ単体では取得者にとっておよそ意味を持たない情報が漏えいした場合などが想定されています。通知義務の緩和は事業者の負担軽減につながる一方、どのようなケースが該当するかの判断基準は、今後個人情報保護委員会規則で定められる予定です。適用範囲は規則によって明確化されるため、規則の公表後に内容を確認したうえで自社の対応フローを見直すことをお勧めします 。

3.不適正利用等の防止

第3の柱は、個人情報の不正・不当な利用への対策強化です。個人データが犯罪行為や不当な差別的取扱いに悪用されるリスクが高まっていることから、今回の改正では不適正な利用形態に対する規律が強化されます。

個人関連情報の不適正利用・不正取得への規律新設

今回の改正では、電話番号・メールアドレス・Cookie ID・ウェブサービスのログインIDなど、特定の個人への連絡が可能となる記述等を含む個人関連情報が「連絡可能個人関連情報」として新たに定義されます。なお、該当する記述等を直接含まない情報であっても、他の情報と照合することで連絡可能個人関連情報に該当すると判断される場合があります。取り扱うデータの内容によっては意図せず規律の対象となる可能性があるため、注意が必要です。

この連絡可能個人関連情報に対しては、以下の2種類の規律が新たに課されます。

• 不適正利用の禁止：違法または不当な行為を助長・誘発するおそれがある方法による利用の禁止
• 不正取得の禁止：偽りその他不正の手段による取得の禁止

想定される具体例としては、Cookie IDやメールアドレスを用いてフィッシングサイトへ誘導する詐欺行為や、取得時にユーザーへ説明した利用目的に反して広告目的で第三者に提供する行為などが挙げられています。

また、これらの規律は連絡可能個人関連情報だけでなく、同様の記述等を含む仮名加工情報・匿名加工情報にも準用されます。

行動ログやウェブサイトの閲覧履歴を活用したマーケティングを行う事業者は、取得時にユーザーへ説明した目的・方法に反する利用が行われていないか、データの取扱い実態を改めて整理することが求められます。

第三者提供時の提供先の身元および利用目的の確認の義務化

現行のオプトアウト制度（本人が拒否を申し出るまでの間は個別の同意なしに第三者提供を行える仕組み）では、提供先の確認義務が設けられていませんでした。今回の改正では、オプトアウト制度に基づく第三者提供時に、提供先の身元および利用目的の確認を義務付けられます。

確認が必要な項目は、1.提供先の氏名または名称、2.住所、3.法人の場合は代表者氏名、4.提供先における利用目的の4点です。確認を行った場合には記録の作成も義務付けられており、確認を受けた提供先が虚偽の申告をした場合は10万円以下の過料が科されます。

オプトアウト制度を活用してデータを提供している事業者は、提供先の情報を適切に把握・管理できる体制の整備が新たに求められます。いわゆる闇名簿への流用など重大な違反が判明した場合には、緊急命令や課徴金納付命令が速やかに発出される運用が想定されており、従来以上に厳格な管理体制が必要です。

4.規律遵守の実効性確保のための規律・課徴金制度の導入

第4の柱は、ルール違反に対する制裁・是正手段の強化です。今回の改正の中でも特に注目されるのが違反行為に対する事後的規律の強化で、命令要件の見直しから課徴金制度の導入まで、複数の措置が一体的に整備されます。

命令の要件の見直し

現行法では、個人情報保護委員会が違反行為者に対して勧告を経ずに命令を発する「緊急命令」の発動要件が厳しく、迅速な是正対応に限界がありました。今回の改正では、速やかに違反行為の是正を求めることができるよう命令の要件が見直され、より機動的な対応が可能となります。 

勧告を経た措置命令については、これまで「個人の重大な権利利益の侵害が切迫している」場合に限られていたところ、「害されるおそれがある」場合にも発動できるよう要件が緩和されます。また、勧告を経ない緊急命令についても、侵害が切迫しているため緊急に措置をとる必要があると認められる場合に発動できることが法令上明記されます。 

さらに、違反行為によって権利利益を害された本人への事実の通知・公表など、本人保護のために必要な措置をとるよう勧告・命令することも可能となります。 

違反行為を補助する第三者への要請権限の新設

現行法では、違反行為を幇助（ほうじょ）または補助する第三者に対して、当該違反行為の中止に必要な措置を要請する際の根拠規定が明示されていませんでした。今回の改正では、こうした第三者への要請権限の根拠規定を法令上設けられます。

要請の対象は2種類に分けられています。

1. クラウドサービス事業者やホスティング事業者等の「取扱関係役務提供者」に対しては、措置命令に従わない事業者がいる場合に、当該個人情報の取扱い停止やサービス提供停止を要請できます。
2. SNS事業者や検索サービス事業者等の「特定電気通信役務提供者」に対しては、措置命令と同時に情報の流通防止措置を要請できます。

なお、要請を受けて適切に措置を講じた第三者は免責されますが、違反事業者と取引関係にある事業者は不適正な個人情報取扱いに加担していると評価されるリスクにも注意が必要です。

個人情報の不正提供・不正取得に対する罰則強化

現行法でも、個人情報データベース等の不正提供に係る罰則は設けられていますが、今回の改正では加害目的の提供行為も処罰対象に加わり、法定刑が2年以下の拘禁刑または100万円以下の罰金に引き上げられます。

また、不正な利益を得る目的や他者に損害を与える目的で、詐欺的行為または不正アクセス等によって個人情報を不正に取得する行為に対する罰則も新設されます。法定刑は同じく、2年以下の拘禁刑または100万円以下の罰金です。

これらの改正により、個人情報を悪用した行為に対する刑事的な抑止力が強化されます。

課徴金制度の導入

今回の改正で特に注目を集めているのが、課徴金制度です。現行法では刑事罰や命令による対応が中心でしたが、大量の個人情報を収集・悪用することで経済的利益を得る事業者に対しては、これらの手段では抑止力に限界があるとの判断から、経済的サンクションとして課徴金制度が整備されます。課徴金の対象となる主な行為は以下の通りです。

ただし、対象行為に該当するだけでは課徴金納付命令の対象にはなりません。命令が発せられるには、1.上記の対象行為に該当すること、2.当該違反行為またはその行為をやめることの「対価」として財産上の利益を得ていること（対価要件）、3.以下の「課徴金納付命令の対象者」要件をすべて満たすことの3点が必要です。

課徴金の額は、独占禁止法（売上高の一定割合）のような算定方式とは異なり、違反行為によって得た対価そのものに相当する額が算定されます。なお、過去に課徴金納付命令歴がある場合は加算される規定があるほか、違反行為を自主申告した場合には課徴金が減免される制度（リニエンシー）も設けられています。

大量の個人情報を取り扱う事業者にとっては、コンプライアンス体制の整備が急務となります。

個人情報保護法改正に向けて企業が取るべき行動とは

改正法案が成立した今、企業の法務・コンプライアンス担当者が着手すべき準備事項を整理します。

1.委託契約書の総点検

受託事業者への直接的な義務付けが予定されていることから、現行の委託契約書を見直し、委託業務の範囲・取扱い方法の合意内容を明確化しておくことが重要です。特に、複数の再委託が発生するケースでは、委託の連鎖を通じた個人データの管理体制を早急に整備する必要があります。

2.生体データの取扱い実態の把握

顔特徴データ等の生体データを取り扱っている場合、取扱いに関する一定事項の周知状況やオプトアウト制度の利用有無を確認し、改正後の要件に照らして対応方針を検討しておきましょう。

3.子どもを対象とするサービスの規程整備

16歳未満の子どもの個人情報を取り扱う場合は、法定代理人への対応フロー・社内規程の整備を進めておくことが求められます。

4. 連絡可能個人関連情報の取扱い確認

Cookie IDやメールアドレス等の連絡可能個人関連情報を活用したマーケティングを行っている場合、データの取得・利用の実態を改めて整理し、取得時にユーザーへ説明した目的・方法に反する利用が行われていないか確認しておきましょう。

5.課徴金リスクへの備え

課徴金制度の導入に備え、個人情報の取扱いに関する内部統制の強化が不可欠です。特に1,000人超の個人情報を取り扱う事業者は、違反防止のための「相当の注意」を示せる体制の文書化が重要になります。

6.データ利活用の見直しと整理

統計作成等の特例や同意取得要件の緩和を活用できる場面がないか、現在のデータ活用の実態と照らし合わせて整理しておきましょう。新たな特例を適切に活用することで、コンプライアンスを維持しながらデータ活用の選択肢を広げられる可能性があります。

個人情報保護法への対応、同意管理の負担を軽減する方法

個人情報保護法の改正に向けて準備を進める中で、担当者の課題として挙げられるのが「同意管理の効率化」です。ウェブサイト上でのCookie利用や外部サービスへのデータ送信について、ユーザーから適切に同意を取得・記録・管理する仕組みを手作業で維持することには、工数面でも正確性の面でも限界があります。

こうした課題に対応する手段の一つが、同意管理を自動化するCMPツール（同意管理プラットフォーム）の活用です。株式会社DataSignが提供するwebtru（ウェブトゥルー）は、同意バナーの設置から、同意内容に基づく外部サービスの読み込み制御まで、プライバシー対応を自動化するCMPツールです。

特許技術によりウェブサイト上で動作している外部サービスを自動検出し、改正電気通信事業法の外部送信規律やGDPRなど、国内外の法規制への対応を効率的に進められます。国産唯一のGoogle認定CMPパートナーとして、NTTドコモやゆうちょ銀行をはじめ多くの企業で導入されています。

改正対応の工数を抑えながら、コンプライアンス体制を整えるための有力な選択肢として、ぜひご検討・お試しください。

※本記事は、個人情報保護委員会が2026年（令和8年）1月9日に公表した「個人情報保護法 いわゆる3年ごと見直しの制度改正方針」および2026年（令和8年）7月10日に国会で成立した改正法をもとに作成しています。本記事は公布（2026年7月中下旬頃を予定）および2028年7月頃の施行に向けて、内容が変更される可能性があります。