2026年個人情報保護法改正―3年ごと見直しとAI・こども・生体情報への対応

個人情報保護法には、2020年改正で設けられた、国際動向や技術革新を踏まえて政府が3年ごとに制度を検討する規定がある。個人情報保護委員会は2023年に見直しを開始し、事業者・消費者団体・専門家へのヒアリング、2024年6月の中間整理への意見募集を経て、2026年1月9日に法改正の方向性を公表した。

参議院の法案要旨によると、統計等を作成する事業者がその内容を公表している場合、一定の条件で本人同意なく個人情報を第三者に提供できる例外を設ける。委員会のその後の資料では、統計等の作成にAI開発が含まれ得ること、公開済みの要配慮個人情報の取得にも関係することが説明されている。16歳未満のこどもの情報を扱う場合の法定代理人への通知等を規定する。顔の特徴量などを含む「特定生体個人情報」については、違法な取扱いがなくても本人が利用停止を請求できる仕組みを設ける。

さらに、電話番号、住所、メールアドレス、Cookie ID等のうち特定個人への連絡が可能な「連絡可能個人関連情報」の不適正利用・取得を禁止する。違法な個人情報の取扱いによって経済的利益を得た事業者に対して、委員会が課徴金を命じ得る制度を設け、個人情報データベース等の不正提供に関する法定刑を引き上げる。マイナンバー法と匿名加工医療情報・仮名加工医療情報に関する法律にも、16歳未満の法定代理人への通知等について関連改正を行う。

Sources: [3] [6] [7]

2026年4月7日に法案が閣議決定・国会提出され、衆議院の地域活性化・こども政策・デジタル社会に関する特別委員会で附帯決議を付して審議された後、5月26日に可決された。参議院ではデジタル社会・AI活用の特別委員会で審議され、7月10日に可決・成立し、7月17日に令和8年法律第56号として公布された。

附帯決議では、委員会規則の制定前に関係者の意見を聴くこと、EU一般データ保護規則（GDPR）等の国外制度との整合性に配慮すること、AI開発等の研究開発を過度に萎縮させないこと等が求められた。附帯決議そのものには法的拘束力はない。公布後、委員会は2026年7月31日に施行準備のロードマップを、8月26日に政令・委員会規則・ガイドラインで定める事項の概要を示した。9月9日には、論点ごとに基本的考え方を示し、個人・企業の代表団体との意見交換や事務局ヒアリングを経て具体案・条文案を提示し、その後に意見募集を行う手順を決定した。

委員会はその後3回にわたり基本的考え方を提示した。9月16日は取得経緯から本人の意思に明らかに反しない取扱い（宿泊予約サイトとホテルの情報連携等）、こどもの個人情報、顔の特徴量情報を扱った。10月1日は統計作成の例外（AI開発を含む）、委託先の適切な取扱い、漏えい等の報告・本人通知を扱った。10月14日は連絡可能個人関連情報、オプトアウト規律の強化、課徴金を扱った。

1. 2026-04-07 — 法案を閣議決定・国会提出 [1] [2]
2. 2026-05-26 — 衆議院で可決 [2]
3. 2026-07-10 — 参議院で可決・成立 [1] [2]
4. 2026-07-17 — 令和8年法律第56号として公布 [1] [2]
5. 2026-09-09 — 委員会が政令・規則・ガイドラインの整備手続を決定 [7]
6. 2026-10-14 — 委員会が第三弾の基本的考え方（課徴金、オプトアウト、連絡可能情報）を提示 [7]
7. 2027-01-17 — 一部改正が施行（e-Gov法令検索） [5]

Sources: [1] [2] [4] [7]

確定している今後の予定

• 2027-01-17 — e-Gov法令検索は2027年1月17日に一部改正が施行されると記録している。委員会ロードマップでは、公示送達のデジタル化に係る規定が公布から6か月後に施行されると説明している。 [4] [5]
• 委員会が2026年9月9日に決定した手順では、関係者との意見交換・ヒアリング後に政令・委員会規則の具体案・条文案が委員会に提示され、その後にパブリックコメントが行われる。ガイドラインとQ&Aも論点ごとに整備される。 [7]

通常想定される手続

The usual procedure for this kind of instrument; not a forecast for this reform.

• 政令案や委員会規則案は通常、制定前にe-Govで原則30日以上の意見募集に付される。

未確定事項

• 主要規定の施行日はまだ定められていない。改正法上は公布から2年以内、すなわち2028年7月までに施行される必要がある。
• 委員会が示す基本的考え方は検討資料であり、確定規則ではない。課徴金の算定方法や統計作成例外の対象範囲など、政令・委員会規則・ガイドラインの最終内容は確認日時点で未決定である。

日本で個人情報を扱う事業者は、主要規定施行後、複数の影響を受け得る。統計作成やAI開発へのデータ提供は、公表等の法定要件を満たす場合に本人同意なく認められる可能性がある。取得経緯から本人の意思に明らかに反しない一定の提供についても同意不要となり得る。一方、こども向けサービス、顔などの生体情報、委託関係、漏えい対応、Cookie IDなど連絡可能な識別情報の扱いは新規律に照らした点検が必要になる。

違法な取扱いにより利益を得た場合の課徴金は、個人情報データベース等の不正提供に対する刑事罰の引上げとともに、金銭上のリスクを追加する。具体的な義務・要件は今後制定される政令・委員会規則・ガイドラインに依存し、意見募集を経て決定される。

確認事項

• 本人同意を根拠とする取扱いを洗い出し、統計作成や「本人の意思に明らかに反しない」例外に該当する可能性と必要な公表内容を確認する。
• 16歳未満の利用者を含むサービス・データと、法定代理人への通知手続を特定する。
• 顔認証その他の生体情報処理を棚卸しし、利用停止請求への対応方法を検討する。
• 委託契約、漏えい対応、連絡先識別子の取得・利用を点検する。
• 委員会の基本的考え方と今後の政令・規則・ガイドライン案、意見募集を追跡する。

Sources: [3] [4] [7]