日本2026年个人信息保护法修订：AI数据使用、未成年人和生物识别

日本《个人信息保护法》根据2020年修法设有三年一次的制度检讨条款，要求政府结合国际发展和技术变革进行评估。个人信息保护委员会（PPC）自2023年开始检讨，听取企业、消费者团体和专家意见，2024年6月就中期整理征求公众意见，并于2026年1月9日公布拟议修法方向。

参议院法案概要列出的主要变化包括：在统计等成果的制作内容已经公开、并符合其他条件时，允许向负责统计制作的第三方提供个人信息而无需本人同意。PPC后续文件指出，统计等成果制作可能包括AI开发，部分已公开的敏感个人信息也可能纳入相关规则。修法要求在处理16岁以下未成年人信息时向法定代理人通知等；对包含面部特征等身体特征的特定生物识别个人信息，即使处理本身并不违法，个人也可请求停止使用。

修法还禁止不当使用或取得能够联系特定个人的相关信息，例如部分电话号码、地址、电子邮件或Cookie ID。对于通过违法处理个人信息而获得经济利益的企业，PPC可命令支付行政附加金；非法提供个人信息数据库等的刑事法定处罚也被提高。关于16岁以下未成年人法定代理人的通知，《个人编号法》及匿名、假名加工医疗信息相关法律作出配套调整。

Sources: [3] [6] [7]

内阁于2026年4月7日批准法案并提交国会。众议院负责地方振兴、儿童政策及数字社会的特别委员会审议并提出附带决议后，于5月26日通过。参议院数字社会及人工智能运用特别委员会审议后，于7月10日通过并成立法律，7月17日以2026年第56号法律公布。

附带决议要求，在制定PPC规则前听取利益相关方意见，与欧盟《通用数据保护条例》（GDPR）等海外制度保持协调，并避免过度抑制包括AI在内的研发；附带决议本身不具有法律约束力。公布后，PPC于2026年7月31日发布实施路线图，8月26日说明拟由政令、委员会规则和指南规定的事项。9月9日确定规则制定程序：按议题公布基本思路，与代表个人及企业的团体交换意见并举行听证，再提出具体规定和条文草案，之后公开征求意见。

PPC已分三批公布基本思路。2026年9月16日讨论在取得背景下明显不违背本人意愿的数据处理（如酒店预订网站与酒店间的信息提供）、儿童信息及面部特征数据。10月1日讨论统计例外（包括AI开发）、受托服务商的适当处理及数据泄露报告与通知。10月14日讨论可联系个人的相关信息、加强选择退出机制及行政附加金。

1. 2026-04-07 — 内阁批准法案并提交国会 [1] [2]
2. 2026-05-26 — 众议院通过 [2]
3. 2026-07-10 — 参议院通过，法律成立 [1] [2]
4. 2026-07-17 — 作为2026年第56号法律公布 [1] [2]
5. 2026-09-09 — PPC决定政令、规则及指南的制定程序 [7]
6. 2026-10-14 — PPC提出第三批基本思路（附加金、选择退出、联系信息） [7]
7. 2027-01-17 — 部分修订实施（依据e-Gov法律检索） [5]

Sources: [1] [2] [4] [7]

已经确定的后续安排

• 2027-01-17 — e-Gov法律检索记载部分修订将于2027年1月17日实施；PPC路线图表示，公告送达电子化条款在公布六个月后生效。 [4] [5]
• 根据PPC于2026年9月9日确定的程序，政府将在利益相关方交流与听证后向委员会提出政令及规则的具体方案和草案，再公开征求意见，并按议题推出指南与问答。 [7]

通常的程序步骤

The usual procedure for this kind of instrument; not a forecast for this reform.

• 政令和委员会规则草案通常会在通过前通过e-Gov公开征求意见，期限原则上至少30日。

尚未确定的事项

• 主要条款的具体生效日期尚未确定；法律要求最迟在公布两年后，即2028年7月之前实施。
• PPC的基本思路只是讨论文件，并非最终规则。行政附加金的计算方法、统计例外的具体范围等政令、委员会规则和指南的最终内容，在核实日期尚未确定。

日本个人信息处理企业在主要条款生效后可能面临多方面变化。若满足公开等法定条件，为统计或AI开发提供数据可能无需本人同意；某些明显符合数据取得背景及本人意愿的提供也可能免于同意。与此同时，面向未成年人的服务、面部或其他生物识别信息、外包安排、数据泄露处置及Cookie ID等联系标识符，应按照新规则进行评估。

对违法处理并获利的企业，新增行政附加金构成经济风险，非法提供个人信息数据库等的刑事处罚也将加重。具体义务取决于仍在制定并将公开征求意见的政令、委员会规则与指南。

核查清单

• 梳理依赖同意的处理活动，判断是否可能落入统计或明显不违背本人意愿的例外，以及应当公开哪些信息。
• 识别涉及16岁以下未成年人的服务与数据集，并检查通知法定代理人的程序。
• 盘点面部及其他生物识别数据处理，研究如何回应停止使用请求。
• 审查外包合同、数据泄露响应程序、联系标识符的取得及使用。
• 追踪PPC的基本思路、未来的政令、委员会规则、指南草案及公众意见征集。

Sources: [3] [4] [7]