2026年個人情報保護法改正の概要（後編） こども・顔特徴データの保護と課徴金制度

リスクに適切に対応した規律

こどもの個人情報の取扱い

現行法とその課題

現行法上、こどもの個人情報の取扱いに係る事業者の義務には明文規定がなく、通則ガイドライン^[1]及びQ&A（Q1-62）^[2]において、対象となる個人情報の項目や事業の性質等に応じて個別具体的に判断されるものの、一般に12歳から15歳までの年齢以下の場合には法定代理人等の同意が必要とされると示されるにとどまり、年齢基準が不明確でした。

改正法の概要

改正法では、16歳未満の者の個人情報を取り扱う場合について、原則として、利用目的の通知、第三者提供等（目的外利用・要配慮個人情報の取得・第三者提供の総称）の同意取得等の対象を本人ではなく法定代理人としました（40条の2）。また、16歳未満の者の保有個人データについては、法定代理人の同意を得て取得した場合等の例外を除き、違法行為の有無等を問わない利用停止請求等が可能となります（35条9項）。

さらに、未成年者の個人情報等の取扱いについて、年齢及び発達の程度に応じて最善の利益を優先して考慮し、権利利益を害することがないよう必要な措置を講ずる努力義務が定められました（58条の3第1項）。この規定の対象は16歳未満に限られません。

特定生体個人情報（顔特徴データ等）の規律

現行法とその課題

現行法上、顔特徴データ^[3]は個人識別符号として個人情報に該当すると整理されていますが、原則として利用目的を公表すれば取得可能であり、要配慮個人情報ではなく通常の個人情報と同様の規制が課せられています。

もっとも、同データは本人が関知しないうちに大量に取得可能で、複数地点の機器のデータの名寄せにより半永久的な行動追跡が可能となるリスクがあり、本人のプライバシー等の侵害に類型的につながりやすい状況にありました。

改正法の概要

改正法では、「特定生体個人情報」の定義を新設し、特定生体個人識別符号（個人識別符号のうち、特別の技術又は多額の費用を要しない方法により取得できる身体の一部の特徴に係る情報であって、取得されていることを本人が容易に認識できないものとして政令で定めるものを変換した符号）が含まれる個人情報と定義されました（16条5項）。

典型的には顔特徴データが想定されますが、対象範囲は政令に委ねられています。事業者は、適用除外に該当する場合を除き、一定の事項を、あらかじめ本人に通知し、又は本人が容易に知り得る状態に置かなければなりません（21条の2）。また、本人は、適用除外に該当する場合を除き、利用停止等又は第三者への提供の停止を請求できます（35条7項）。さらに、特定生体個人情報に係る個人データについては、オプトアウト制度による第三者提供が禁止されます（27条2項）。

データ処理等の委託先事業者に対する規律

現行法とその課題

現行法上、委託元による委託先の監督義務（25条）が定められていますが、クラウド利用の拡大により個人データの取扱いが実質的に他者に依存する場面が増え、委託先が委託業務の範囲を超えて独自にデータを利用する事案も生じています。他方、委託先が個人情報取扱事業者に当たる場合には第4章の義務が常に全部適用され、機械的処理を行うにすぎない委託先には過剰な規制となっていました。

改正法の概要

改正法では、再委託を含め委託を受けた事業者に対し、原則として、委託された個人情報を委託業務の遂行に必要な範囲を超えて取り扱ってはならない義務が明文化されます（30条の3）。

他方、委託契約において、①委託された個人情報等の取扱いの方法として委員会規則で定める事項、②漏えい等・範囲外取扱い・契約違反を知ったときの委託元への速やかな報告、③その他委員会規則で定める事項が定められ、かつ取扱いが①の定めに従って委託を受けた業務の遂行に必要な範囲内で行われる場合には、当該受託情報の取扱いについて、当該委託先への第4章第2節から第4節までの各義務規定及び58条の3第1項の適用が原則として免除されます（58条の2）。

もっとも、これにより委託先の義務が免除される場合でも安全管理措置、従業者及び委託先の監督（23条〜25条）、漏えい等報告（26条）、範囲外取扱いの禁止（30条の3）、16歳未満の読替規定（40条の2第1項）等は引き続き適用されます。

漏えい等報告・本人通知の合理化

現行法とその課題

現行法上、個人データの漏えい等について報告対象事態（委員会規則7条）が生じた場合、本人への通知が困難な場合であって公表等の代替措置を講じる場合を除き、本人への通知義務が生じるため、事業者への負担が生じていました（26条2項）。

改正法の概要

改正法では、上記の場合に加え、本人への通知が行われなくても本人の権利利益の保護に欠けるおそれが少ない場合として委員会規則で定める場合に、公表等の代替措置による対応が認められます（26条2項ただし書）。本人の権利利益の保護に欠けるおそれが少ない場合とは、社内識別子（ID）等、取得者においてそれ単体ではおよそ意味を持たない情報のみの漏えい等が想定されています。

また、漏えい等報告については、一定の範囲での速報の免除や、一定期間ごとに取りまとめた確報の許容等が委員会規則の整備に向けて検討されています。

不適正利用等の防止

連絡可能個人関連情報の不適正利用・不正取得の禁止

現行法とその課題

現行法上、個人関連情報については、提供先で個人データとなることが想定される場合の第三者提供に係る確認義務（31条）が課されるにとどまり、不適正利用の禁止（19条）及び適正取得義務（20条1項）は適用されません。

しかし、電話番号、住所、メールアドレス、Cookie ID等、特定の個人への連絡・働きかけが可能な記述等を含む情報は、フィッシングサイトへの誘導や投資詐欺広告の配信等に利用されることにより、権利利益の侵害が深刻になるおそれがあります。

改正法の概要

改正法では、住居・勤務先等の所在地、電話番号、電子メールアドレス、電気通信設備等を識別する符号（Cookie ID等）その他委員会規則で定める特定の個人への連絡その他の情報の伝達に利用できる記述等が含まれる（他の情報との容易な照合により当該記述等を特定できるものを含む）個人関連情報が「連絡可能個人関連情報」と定義され（2条8項）、不適正利用及び不正取得が禁止されます（31条の2）。同様の記述等を含む仮名加工情報・匿名加工情報にも準用されます（42条4項、46条の2）。

オプトアウト届出事業者に対する規律の強化

現行法とその課題

現行法上、オプトアウト届出事業者は本人の同意なく個人データを第三者に提供できますが、提供先の身元や利用目的を確認する義務はなく、同制度により提供された個人データが「闇名簿」作成の情報源の一つとなっている実態が指摘されていました。

改正法の概要

改正法では、オプトアウト制度に基づく第三者提供に際し、原則として、あらかじめ提供先の氏名又は名称、住所、法人等の場合は代表者氏名及び当該提供先における利用目的を確認することが義務付けられます（27条7項）。確認を求められた提供先は当該事項を偽ってはならないこととされ（同条8項）、違反は10万円以下の過料の対象となります（186条1号）。

規律遵守の実効性確保のための規律

勧告・命令等の実効性確保

現行法とその課題

現行法上、勧告を経ずに直ちに命令（緊急命令）を発出できるのは個人の重大な権利利益が既に侵害されている場合に限られており（148条3項）、また、勧告・命令の内容も違反行為の中止その他是正に必要な措置に限定され、本人への通知又は公表は求めることができませんでした。

改正法の概要

改正法では、重大な権利利益が害されるおそれがあるとき（緊急命令の場合は重大な権利利益を害する事実があり、又はその侵害が切迫しているため緊急に措置をとる必要があると認めるとき）には、勧告に従わない場合の命令や緊急命令が発出可能とされました（148条2項・3項）。

また、その内容についても、本人への通知又は公表等の本人の権利利益の保護のために必要な措置を求めることが可能となりました。さらに、一定の場合に、サービス提供者等に対し、違反行為に係る情報の取扱い・サービス提供の停止や情報の流通防止等を要請する制度が設けられました。

要請に応じて措置を講じた提供者は、措置命令を受けた事業者に生じた損害について賠償責任を負いません（148条の2）。

悪質事案に対応するための刑事罰の強化

現行法とその課題

現行法上、個人情報データベース等不正提供等罪及び保有個人情報不正提供等罪は「不正な利益を図る目的」による提供・盗用のみを対象とし、詐欺や不正アクセス等により個人情報を不正取得する行為自体は個人情報保護法上の直罰の対象外でした。

改正法の概要

改正法では、不正な利益を図る目的がある場合のほか「本人その他の者に損害を加える目的」による提供・盗用が対象に追加されるとともに、法定刑が1年以下の拘禁刑又は50万円以下の罰金から2年以下の拘禁刑又は100万円以下の罰金に引き上げられました（178条・179条）。

また、自己若しくは第三者の不正な利益を図る目的又は本人、個人情報を保有する者その他の者に損害を加える目的で、人を欺く行為、暴行・脅迫、財物の窃取・損壊、施設侵入、有線電気通信の傍受、不正アクセス行為その他個人情報を保有する者の管理を害する行為による個人情報の不正取得について直罰規定が新設されました（180条。2年以下の拘禁刑又は100万円以下の罰金）。

課徴金制度の導入

現行法とその課題

現行法上、違反事業者は勧告・命令を受けた後に違反行為を中止しさえすれば経済的利得をそのまま保持でき、直罰規定のみでは抑止として限定的でした。本人による民事上の請求にも時間・費用の面で限界がありました。

改正法の概要

改正法では、①個人情報を利用して違法行為又は不当な差別的取扱いを行うことが想定される状況にある第三者への個人情報の提供、②そのような第三者の求めにより行う個人情報の利用、③27条1項に違反する個人データの提供（16歳未満の者につき法定代理人の同意を得ずに提供した場合を含みます。）、④統計作成等の特例に係る目的外利用、⑤同特例に違反する提供（148条の3第1項）―が課徴金の対象行為となります。

加えて、20条1項に違反して取得した個人情報を利用した場合も対象となります（同条2項）。いずれも違反行為又はこれをやめることの対価として金銭等を得たことが要件であり、課徴金額は当該金銭等に相当する額として政令で定める方法により算定されます。違反行為を防止するための相当の注意を怠った者でないと認められる場合、及び本人の数が1,000人を超えないときその他政令で定めるときは課徴金の対象外となります。

施行までのスケジュール

令和8年7月31日、委員会は「個人情報の保護に関する法律等の一部を改正する法律の成立を受けた個人情報保護委員会の今後の取組について^[4]」を公表し、施行に向けたロードマップを示しました。これによれば、政令・委員会規則について令和9年（2027年）1月頃に意見募集を行い、ガイドライン及びQ&Aについては同年秋頃までに公表することが見込まれています。

ただし、このスケジュールは大まかな見込みであり、今後変更される可能性があります。また、統計作成等の特例に係る事務局レポートの作成が検討されており、特例の利用を検討する事業者は注視が必要です。その後、政令・規則の整備に向けた基本的な考え方が公表されてきており、特例の要件や担保措置等の具体化に向けた検討が進められています。

改正法の施行に向けて企業に求められる対応

改正法においては、規定が非常に複雑となっているため、事業者としては、まず、改正内容と方向性を正確に理解することが必要となります。また、前編の冒頭で述べたとおり、改正内容の多くが今後、政令や委員会規則によって具体化されることとなりますので、これを注視し、自社における個人データの取得、利用、提供等の各段階を棚卸しした上で、サービス設計の見直し、プライバシーポリシーや契約書面の改定を進めていくことが求められます。

なお、本記事は令和8年10月4日時点の公表資料に基づくものです。改正までの経緯と国会審議・附帯決議、適正なデータ利活用の推進については、前編をご参照ください。

個人情報保護法改正・データ保護に関するご相談はこちらから

改正法の施行に向けては、今後公表される政令・委員会規則・ガイドラインの内容を踏まえ、データの利活用方針やプライバシーポリシー、社内規程等を見直していくことが求められます。

法律事務所ZeLoでは、データ保護対応の経験が豊富な弁護士でチームを編成し、16歳未満の者の個人情報や顔特徴データの取扱い、委託契約の見直し、漏えい等発生時の対応など、企業規模やビジネススキームに合わせて改正法への対応を支援しています。お気軽にお問い合わせください。

関連記事

注釈

[1] 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（2016年11月、2026年6月一部改正）

[2] 個人情報保護委員会「「個人情報の保護に関する法律についてのガイドライン」に関するＱ＆Ａ」（2025年7月1日）Q1-62

[3] 顔の骨格及び皮膚の色並びに目、鼻、口その他の顔の部位の位置及び形状から抽出した特徴情報を、本人を識別することを目的とした装置やソフトウェアにより本人を識別することができるようにしたものをいいます。

[4] 個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律の成立を受けた個人情報保護委員会の今後の取組について」（2026年7月31日）