【実務解説】2026年改正個人情報保護法が変える「データの持ち方」：課徴金導入とスケジュールに伴う実務準備

はじめに

本改正は、単なる個別論点の微修正にとどまらず、個人情報の不適正利用に対する経済的ペナルティ（課徴金制度）の導入から、16歳未満の子どもの権利保護、生体データの適正管理、そしてAI開発を視野に入れた「統計作成等の特例」の新設に至るまで、実体規律と実効性確保の仕組みを一体で組み替える抜本的な内容となっています。

実務上極めて重要なのが、「先行施行」と「本体施行」に分かれる二段階スケジュールです。データベースの不正提供等に係る罰則の強化、加害目的の提供行為の処罰化、詐欺や不正アクセス等による不正取得罪の新設など、「罰則強化」に関する規定は、公布の日（2026年7月17日）から起算して6か月を経過した日である【2027年1月17日】に先行施行されます（法附則第1条第3号）。政令の指定に左右されないこの一律の固定日に向けて、企業は名簿持ち出しや内部不正に対する社内統制を前倒しで整備しなければなりません。一方、課徴金制度やこども特則、特定生体個人情報の周知義務、統計作成等の特例などの主要な制度（本体施行）は、公布の日から起算して2年を超えない範囲内において政令で定める日（遅くとも2028年夏頃まで）に施行されます（法附則第1条柱書）。

1. 業界の背景と経営リスク：課徴金制度の実像と5大要件

今回の法改正において、最も大きな社会的注目を集めたのが「課徴金制度」の導入です。しかし、一部の報道やGDPR（EU一般データ保護規則）のイメージから「漏えい事故を起こせば売上高の数％が科される」と誤解されがちですが、実態は全く異なります。

(1) 課徴金の算定基礎は「利益剥奪型」

本制度における課徴金額の算定基礎は、売上高連動方式ではなく、法律に定められた通り「違反行為、またはその行為をやめることの対価として得た金銭等の財産上の利益（対価額。算定方法は政令で定められます）」に相当する額となります（改正法第148条の3第1項・2項）。すなわち、不当に経済的利益を得る悪質な違反行為のインセンティブを根本から断つ「利得剥奪」を目的とした設計です。したがって、セキュリティの甘さに起因する「単なる過失による情報漏えい事故（安全管理措置義務違反）」は、課徴金納付命令の対象外とされています。

(2) 課徴金納付命令の「5大要件」（すべてAND条件）

1. 対象行為への該当（5類型に限定）
   • ① 違法な行為や不当な差別的取扱いを行うことが想定される第三者への個人情報の提供
   • ② 第三者の求めによる個人情報の利用であり、その第三者が違法行為等に用いることが想定される場合
   • ③ 本人の同意なしに行う個人データの第三者提供（法第27条第1項違反）
   • ④ 統計作成等の特例（AI特例）に違反した目的外利用・第三者提供
   • ⑤ 偽りその他不正の手段による個人情報の取得・利用（法第20条第1項違反・新設第148条の3第2項）
2. 対価要件（経済的利益）：対象行為、またはその行為をやめることの対価として金銭等の財産上の利益（対価額）を得ていること（※上記5類型すべてにおいて対価の獲得が必須要件であり、これがないと課徴金は発生しません）。
3. 主観的要素（注意義務違反）：違反行為を防止するための「相当の注意を怠った者」であること（事業者が適切な内部統制を尽くしていたと認められる場合は免責の余地があります）。
4. 大規模要件（本人数）：対象行為に係る個人情報または個人データの本人の数が1,000人を超えること。
5. 権利利益侵害要件（実害性）：個人の権利利益を害する程度が大きくない場合に該当しない（実害や具体的なおそれがある）こと。なお、その具体的な基準は今後の政令で定められます。

(3) リニエンシー（自主申告減免）と再犯加算・推計規定

• 自主申告減免制度：委員会規則の定めに従い、事業者が調査開始前に自ら違反事実を委員会に報告した場合は課徴金額が50%減額されます。ただし、「調査による課徴金納付命令があるべきことを予知してされた報告は減額の対象外（命令を予知した自主申告は除外）」となります（改正法第148条の6）。
• 再犯加算措置（1.5倍）：過去10年以内に確定した課徴金納付命令を受けたことがある事業者が、再び対象行為を行った場合、課徴金額が1.5倍に義務的に加算されます（改正法第148条の5）。
• 推計規定：事業者が委員会による報告・資料提出要求（第146条第1項）に応じない等により算定の基礎となる事実を把握できない場合、委員会は事業者自身や取引先等の資料を用いて、委員会規則で定める合理的な方法で対価額を「推計」して命令できます（改正法第148条の4）。

2. データ利活用の最新動向：「統計作成等の特例」と実務上の未確定要素

(1) 特例の定義とAI開発への適用

「統計作成等」とは、大量の情報から要素情報を抽出し、分類・比較・解析を行って、情報の傾向や性質に係る情報（個人に関する情報を除く）を作成する行為を指します（法第2条第13項）。複数の事業者がデータを持ち寄ってAIの事前学習用データを作成するケースなどが典型的な想定場面です。一定の要件（提供元・提供先双方の事業者名の公表、統計作成内容の事前公表、特例に基づく提供である旨の書面等による合意）を満たすことで、本人の同意を得ずに個人データを第三者提供する「新たな法的ルート」が創設されました（改正法第30条の2第5項）。

(2) 実務上の境界線と委員会規則による明確化

本特例は「AI関連であれば何でも同意不要になる」という自由化ではありません。特例を適用して実施できるのは、成果物から特定の個人を識別・再接続する要素（個人に関する情報）が排除される場合に限られます。特に「個人別レコメンドやパーソナライズ広告の配信」といった、特定の個人に対する働きかけを目的とした利用については、統計作成等に該当しにくく特例は適用されない（従来どおり本人の個別の同意等が必要）と解されています。ただし、一次資料（法律案条文等）においてレコメンド等の除外が明示的に断定されているわけではなく、具体的な定義、適用範囲、対象データの詳細については「今後の個人情報保護委員会規則で定められる未確定事項」となっており、今後の動向を慎重に見極める必要があります。

3. 具体的な事例：2つのリテールチェーンによる顔特徴データの横断突合プロジェクト

【事例の前提】

衣料品チェーンA社とドラッグストアチェーンB社は、それぞれの店舗に顔識別機能付きカメラシステムを導入し、来店客の性別・年代などの属性やリピート分析（同一人物の再来店識別）を行っています。両社はマーケティングの高度化を目指し、両店舗の「顔特徴データ（ハッシュ値等の個人識別符号・個人データ）」を横断的に突合・解析し、事業者横断的な来店客の行動傾向分析レポートの作成や、新たな属性推定AIモデルの開発を行う共同プロジェクトを企画しました。なお、不特定多数の来店客から個別に同意を得ることは困難な状況です。

【現行法における限界：混ぜるな危険】

現行法のもとでは、A社・B社からシステム開発受託企業（AI開発企業）へのデータ提供を「委託（法第27条第5項第1号）」として整理することは可能です。しかし、委託先は委託元に代わって処理を行う受動的な存在にすぎず、委託されたデータを自社のAI学習に用いる「独自利用」は原則として禁止されています（独自利用の禁止）。さらに、異なる委託元（A社とB社）から提供された個人データ同士を本人ごとに突合することは、本人の同意がない限り許されません（いわゆる「混ぜるな危険」の原則。「混ぜるな危険」は実務家の間で用いられる通称であり、個人情報保護委員会の用語ではありません。またQ&A 7-43①は現行法の解釈を示したものです）。したがって、現行法下でこのプロジェクトを同意なしに進めることは極めて困難でした。

【改正法における「統計作成等の特例」を用いた実務フロー】

• ステップ1：特定生体個人情報の周知義務への対応　顔特徴データは、本改正において新設された「特定生体個人情報」（第16条第5項）に該当します。A社・B社は、特定生体個人情報を取り扱う旨、利用目的、変換元の身体特徴の内容、開示等請求手続などを、店舗のカメラ周辺への分かりやすい掲示やWEBサイトを通じて、あらかじめ本人に通知・公表しなければなりません（改正法第21条の2）。
• ステップ2：第三者提供特例に基づく公表と書面合意　A社・B社（提供元）とAI開発企業（提供先）は、それぞれの事業者名や統計作成等の内容（横断分析およびAIモデル開発の目的）を事前に公表し、これが特例に基づく提供である旨の「書面等による合意」を締結した上で、データをAI開発企業に提供します（改正法第30条の2第5項）。この特例ルートは委託スキームではないため、「混ぜるな危険」の制約を受けずにデータの突合が可能となると考えられます。
• ステップ3：データ突合・解析と「個人情報の除外」　AI開発企業は提供を受けたA社とB社のデータを本人ごとに突合・解析し、事業者横断的な分析レポートを作成、あるいは推定AIモデルの学習を行います。ただし、この成果物は、特定の個人を再識別したり個人に働きかけたりする要素を完全に排除した、純粋な「傾向または性質に係る情報（統計情報等）」として出力されなければなりません。

⚠️ 実務上の最大の留意点

4. リスクに適切に対応した規律：委託先・16歳未満・インシデント報告の真実

(1) 委託先（受託者）に対する独自利用の直接禁止（新設第30条の3）

現行法では、委託先による受託データの独自利用（範囲外利用）は、委託元の監督義務（法第25条）や契約上の制約、ガイドラインのQ&Aによって律せられていました。しかし今回の改正では、「受託者自身（委託を受けた事業者）」に対し、「委託された業務の遂行に必要な範囲を超えて個人情報を取り扱ってはならない義務」が法律上の直接の義務として新たに課されます（新設第30条の3）。委託先の独自利用は明確な「法律違反」となり、違反した場合は措置命令や是正勧告、さらには課徴金納付命令の対象となり得ます。

(2) 16歳未満の子どもの個人情報：年齢確認（Age Assurance）の解釈

16歳未満の本人の個人情報を取り扱うに当たり、同意取得や通知等の対象を法定代理人（親権者等）に読み替える義務（第40条の2第1項）や、未成年者の最善の利益を優先して考慮すべき努力義務（第58条の3第1項）が新設されました。実務上の注意点として、「年齢確認（Age Assurance）の実施そのものが一律に法律上の義務として課されているわけではない」という点があります。条文上、事業者側が「16歳未満の者であることを知らないことについて正当な理由がある場合（法第40条の2第1項第1号）」は法定代理人への読替規定の適用除外となっています。そのため、「いかなる確認方法（自己申告、クレジットカード認証、身分証確認、AIによる年齢推定など）を講じていれば、法的に『正当な理由がある（不知について過失がない）』と認められるか、その確認方法の解釈が実務上の極めて重要な論点」になります。

(3) サイバーインシデント報告の「様式・窓口一元化」の位置づけ

個人情報漏えい等が発生した際の本人の権利利益保護に欠けるおそれが少ない場合の「本人通知義務の緩和（法第26条第2項関係。具体的な対象は今後の委員会規則で定められます）」と並び、サイバー攻撃に起因する漏えい報告の「様式と窓口の一元化・ワンストップ化」が議論されています。ただし、このワンストップ化については「改正法（令和8年法律第56号）自体には直接的な規定がなく、今後のサイバー対処能力強化法の施行等に合わせた運用および委員会規則の整備に委ねられている」というのが正確な位置づけです。

5. 権利保護の視点：外部消費者団体等による意見とその背景

「一般社団法人全国消費者団体連絡会ほか8団体『個人情報保護法改正案への意見』（2026年4月27日）」などの共同意見書においては、以下のような懸念や指摘がなされています。

• 安全管理措置義務違反が課徴金対象から除外され、悪質な事業者に限定されたことによる「大規模漏えいに対する抑止力の後退」への危惧
• 適格消費者団体等による「差止請求制度」や少額多数の被害を救済するための「集団的救済（被害回復）制度」の不採用・削除に対する懸念
• 統計作成等の特例（AI同意緩和）や要配慮個人情報の取得特例が新設されたことによる、本人同意原則の弱体化やセンシティブデータの流通リスクへの指摘

中立的かつ客観的なコンプライアンス体制を構築する上では、これら「権利保護を重視する外部団体の批判的な立場や指摘」についても背景情報として正しく理解し、適法性の確保のみならず、生活者からの社会的受容や信頼関係を構築するためのプライバシーガバナンスを別途回していく視点が重要です。

まとめ：今、経営層が取るべき3つの実務アクション

1. 【最優先・2027年1月17日まで】名簿データ等のアクセス統制・内部不正対策の再点検
2. 【2年以内施行に向けて】システム改修が必要なサービス・データの棚卸し（16歳未満の利用者、顔認証やカメラ画像分析の有無）
3. 【データ共有・外部委託契約の総点検】新設第30条の3（受託者の独自利用禁止）に備えた契約書点検