2026年個人情報保護法改正の目的と施行時期

個人情報の保護に関する法律（以下「個人情報保護法」といいます。）は、平成15年（2003年）の制定以降、デジタル化・グローバル化に対応した見直しが重ねられてきました。

令和8年7月10日、AIの本格的な社会実装等のデータ利活用に対する需要や高度化するサイバー攻撃、「闇名簿」等の不適正利用リスクに対応する改正法が第221回国会で成立し、同月17日に公布されました（以下、改正後の法律を「改正法」といい、条番号は特記なき限り改正後のものをいいます。）。施行は、一部規定を除き、公布から2年を超えない範囲内で政令で定める日とされています。

本記事では、前後編に分けて、改正の経緯と改正法の概要を解説します。なお、改正法は、今後、政令、個人情報保護委員会規則（以下「委員会規則」といいます。）、ガイドライン等によって具体化されていくことになります^[1]。

改正までの経緯と国会審議・附帯決議のポイント

改正法成立までの経緯

個人情報保護委員会（以下「委員会」といいます。）は、令和5年（2023年）11月から法改正に関する検討を進めており、関係団体・有識者からのヒアリングを経て、令和6年（2024年）6月に改正法に関する「中間整理^[2]」を公表しました。

その後、令和7年（2025年）3月に「制度的課題に対する考え方^[3]」が公表されました。同年6月にデジタル行財政改革会議で決定された「データ利活用制度の在り方に関する基本方針^[4]」等を受けて令和8年1月に制度改正方針^[5]が示され、同年4月7日に法案が国会に提出されました。

国会審議の経過と衆参両院の附帯決議

法案は、衆議院「地域活性化・こども政策・デジタル社会形成に関する特別委員会」及び参議院「デジタル社会の形成及び人工知能の活用等に関する特別委員会」で審議され、①各規律の要件、②統計作成等の特例の導入への懸念、③こどもの個人情報の取扱い及び顔特徴データに係る規律の実効性確保、④課徴金導入を踏まえた体制整備―が主な論点となりました。

両院では附帯決議^[6][7]が付されており、主な事項は下表のとおりです。

論点	衆議院（令和8年5月21日）	参議院（令和8年7月8日）
「統計作成等」の概念の解釈	統計作成等の概念が限定的に解釈され、実質的な適用範囲が狭められることのないよう留意（適用範囲が不当に狭められないよう配慮）	研究開発・事業活動の過度な萎縮の防止と個人の権利利益の適正な保護の双方に配慮し、統計作成等の概念が適正に解釈されるよう留意
統計特例の識別防止・監督	・他の情報と照合して特定の個人を識別できないようにする措置を確実に実施 ・公表事項は事業者による公表に加え、委員会も状況把握に努め必要な情報を公表	・他の情報と照合して特定の個人を識別できないようにする措置を講ずる際、AIモデル等が行う特定個人の識別・要配慮個人情報の推知のリスクを十分に勘案することを追加 ・事業者に外国企業を含む旨を追記し、委員会の対応事項に事業者のモニタリング、報告徴収等適宜実施を追加
統計目的での要配慮個人情報の取扱い	漏えい・不適正利用等による権利利益の侵害が生じないよう、十分な安全管理措置及び委託先の監督を徹底	・統計作成等を目的とする要配慮個人情報の取扱いについて、委員会による重点的な監督の対象とすることを要請 ・病歴等の第三者提供については、医療分野の事情を踏まえたガイドライン改正等による医師等の守秘義務・医学系研究倫理指針との関係の明確化 ・他法令の別段の定めの尊重と事業者への周知徹底
こどもの個人情報	・こども基本法の精神にのっとり、こどもの最善の利益を最優先に考慮 ・同意取得にあたっては、消費者・事業者双方に過度な負担を生じさせない柔軟な手法を許容 ・教育・保育現場における、法令やガイドラインの周知徹底	こども基本法の精神にのっとり、こどもの最善の利益を最優先に考慮するにあたり、年齢その他の諸事情を勘案する旨を追加
特定生体個人情報	・義務化される周知行動の実効性確保策を検討・明示 ・特定生体個人情報が取り扱われている旨・本人からの利用停止請求等の手段について、監視カメラ・センサー等の機器の周辺に分かりやすく掲示する等の方法による周知を徹底	特定生体個人情報が取り扱われている旨・本人からの利用停止請求等の手段の掲示場所に、「監視カメラ・センサー等の機器の検知対象者が十分認識できる場所等」を追加
課徴金制度	・事業者等が過度に萎縮することのないよう、課徴金納付命令の基準等について明確なガイドラインを策定 ・課徴金対象行為を繰り返す悪質な事業者に対し、当該行為を着実に抑止するため、課徴金額の算定基礎の適切かつ確実な把握に努めるなど、実効性ある課徴金制度の構築	・ガイドライン策定について、衆議院決議にある「事業者等が過度に萎縮することのないよう」との文言は記載されていない ・実効性ある課徴金制度の構築のための手段に、「将来の課徴金額の見直しに向けた検討」「課徴金対象行為を限定する要件について、今後の個人情報保護委員会による権限行使等の状況を踏まえた見直し等の継続的な検討」を追加
PETs（プライバシー強化技術）	適切なインセンティブの在り方を検討	技術動向の調査研究・事業者による積極的な活用の促進を追加

適正なデータ利活用の推進

統計作成等の特例（AI特例）

現行法とその課題

現行法上、要配慮個人情報の取得（20条2項）及び個人データの第三者提供（27条1項）には原則として本人同意が必要です。

しかし、特定の個人との対応関係が排斥された統計情報等の作成・利用は権利利益を侵害するおそれが小さい一方で、統計情報等の作成・利用目的で提供を受ける場合も原則として第三者提供の本人同意が必要である点が、事業者間のデータ連携やAI開発の障害となっていました。

特に、統計情報等の作成のために複数の事業者が持つデータを共有し横断的に解析することは、本人同意取得のハードルが実務上高く困難でした。

改正法の概要

改正法では、「統計作成等」を目的とした、①現に公開されている要配慮個人情報の取得及び②個人情報・個人関連情報の提供―について、一定の条件（統計作成等のみに利用すること、必要性、公表、提供元・提供先間の書面合意、目的外取扱い・再提供の制限等）のもと本人の同意を不要としました（30条の2第1項、第5項、31条の3第1項）。

「統計作成等」とは、大量の情報から要素に係る情報を抽出して分類・比較その他の解析を行い、その傾向又は性質に係る情報（個人に関する情報を除きます。）を作成する行為のうち、個人の権利利益を害するおそれが少ないものとして委員会規則で定めるもの、と定義されています（2条13項）。

統計作成等と整理できるAI開発等が含まれ、要配慮個人情報も統計作成等の特例を用いて提供可能となり、特例により提供を受ける場合には、公開されていない要配慮個人情報の取得についても本人同意が不要となります（20条2項8号）。ただし、具体的な対象範囲は委員会規則に委ねられている点に留意が必要です。

本人の意思に明らかに反しない場合の同意不要化

現行法とその課題

現行法上、契約の履行のために不可欠でおよそ本人の意思に反しないことが明らかな提供であっても、本人同意が必要とされ、手続負担と同意の形骸化を招いていました。

改正法の概要

改正法では、本人との間の契約の履行のために必要やむを得ないことが明らかである場合その他当該個人情報の取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかな場合として委員会規則で定める場合には、目的外利用、要配慮個人情報の取得及び第三者提供（以下総称して「第三者提供等」といいます。）につき本人同意が不要とされました（18条3項7号、20条2項7号、27条1項8号）。

ホテル予約サイトから宿泊先ホテルへの予約者氏名等の提供、海外送金における送金元金融機関から送金先金融機関への送金者情報の提供が想定事例とされています^[8]が、詳細は委員会規則で定められることとなります。

生命等の保護・公衆衛生例外における同意取得困難性要件の緩和

現行法とその課題

現行法上、生命・身体・財産の保護のために必要がある場合（生命身体財産例外）や、公衆衛生の向上・児童の健全な育成の推進のために特に必要がある場合（公衆衛生等例外）には第三者提供等について本人同意が不要です（18条3項2号・3号、20条2項2号・3号、27条1項2号・3号）。

一方で、いずれの場合も「本人の同意を得ることが困難であるとき」という要件を満たす必要があり、同意取得手続が負担となる場面がありました。

改正法の概要

改正法では、上記要件に加え、「その他本人の同意を得ないことについて相当の理由があるとき」も本人同意が不要とされました。氏名等の削除や守秘義務契約の締結などプライバシー侵害防止に必要かつ適切な措置が講じられ、権利利益が不当に侵害されるおそれがない場合等が想定され、具体的事例はガイドライン等で明確化される予定です。

学術研究例外の主体への医療提供機関の追加

現行法とその課題

現行法上、学術研究例外の適用主体である「学術研究機関等」（現行法16条8項）は大学病院を含める一方、市中病院や診療所等は含まれないと解されており、市中病院や診療所等により研究活動が広く行われている実態と乖離がありました。

改正法の概要

改正法では、「学術研究機関等」に、医療法1条の5第1項に規定する病院その他の医療の提供を目的とする機関又は団体が含まれることを明示しました（16条9項）。

続く後編では、リスクに適切に対応した規律、不適正利用等の防止、規律遵守の実効性確保と今後のスケジュールを解説します。

個人情報保護法改正・データ保護に関するご相談はこちらから

改正法の施行に向けては、今後公表される政令・委員会規則・ガイドラインの内容を踏まえ、データの利活用方針やプライバシーポリシー、社内規程等を見直していくことが求められます。

法律事務所ZeLoでは、データ保護対応の経験が豊富な弁護士でチームを編成し、改正法への対応や統計作成等の特例を活用したデータ連携のご検討など、企業規模やビジネススキームに合わせた支援を行っています。お気軽にお問い合わせください。

関連記事

注釈

[1] 個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律　政令・規則等で定める事項の全体像について」（2026年8月26日）において、以下で述べる改正法の各内容が、今後、政令、委員会規則、ガイドライン等のいずれによって具体化されていくのかが示されています。

[2] 個人情報保護委員会「個人情報保護法いわゆる3年ごと見直しに係る検討の中間整理」（2024年6月27日）

[3] 個人情報保護委員会「個人情報保護法の制度的課題に対する考え方について」（2025年3月5日）

[4] デジタル行財政改革会議決定「データ利活用制度の在り方に関する基本方針」（2025年6月13日）

[5] 個人情報保護委員会「個人情報保護法 いわゆる3年ごと見直しの制度改正方針」（2026年1月9日）

[6] 衆議院「第221回国会閣法第54号　附帯決議」（2026年5月21日）

[7] 参議院「個人情報の保護に関する法律等の一部を改正する法律案に対する附帯決議」（2026年7月8日）

[8] 個人情報保護委員会事務局「個人情報保護法等の一部を改正する法律について」（2026年7月）7頁