改正個人情報保護法2026とは｜AI・統計利用の同意緩和と課徴金新設、中小企業が2028年の施行までに準備すべきこと

「顧客データを生成AIに読み込ませて分析したい。でも同意を取り直すのは現実的ではない」。中小企業のDX相談で、ここ1年ほど繰り返し聞く悩みです。この状況を大きく変える法律が、2026年7月10日に成立しました。個人情報保護法の改正です。

今回の改正は「緩和」と「強化」が同時に来ます。AIや統計のためのデータ利用は本人同意なしで進めやすくなる一方、16歳未満の情報や顔認証データの取り扱いには新しい義務が課され、悪質な違反には課徴金という重い制裁が新設されます。施行は遅くとも2028年7月ですが、個人情報保護委員会は9月9日に政令・規則・ガイドライン整備の進め方を決定し、細則づくりが本格化しています。

この記事では、改正の全体像を「緩和された点」「強化された点」「制裁の新設」の3つに分け、中小企業が今から進めておくべき5つの準備に落とし込みます。

改正個人情報保護法2026の全体像｜成立から施行までのスケジュール

まず、改正法がどこまで進んでいて、いつから守らなければならないのかを整理します。個人情報保護委員会の公表資料（令和8年改正個人情報保護法について）によると、経緯は次のとおりです。

• 2026年4月7日：「個人情報の保護に関する法律等の一部を改正する法律案」を閣議決定、国会に提出
• 2026年7月10日：国会で可決・成立
• 2026年7月17日：公布
• 2026年7月31日：個人情報保護委員会が「改正法の円滑な施行に向けたロードマップ」を決定
• 2026年8月26日：「政令・規則等で定める事項の全体像」を決定
• 2026年9月9日：「政令・規則・ガイドライン等の整備に関する今後の進め方」を決定。事業者団体などからの意見交換会・ヒアリングを経て細則を固める方針

施行日は「公布の日から起算して2年を超えない範囲内で政令で定める日」とされています。つまり遅くとも2028年7月17日までに全面施行されます。ただし、罰則の引き上げに関する一部の規定は公布から6か月後、2027年1月に先行して施行される見込みです。

「2年も先か」と感じるかもしれません。しかし、細かいルールは今後の政令・規則・ガイドラインで決まるため、2026年秋から2027年にかけて次々と公表されるはずです。前回の2020年改正では、施行前の準備期間に社内規程や委託契約の見直しが集中し、対応が間に合わない企業が出ました。細則が出るたびに自社の対応を当てはめていける状態を、今のうちに作っておくことが現実的な戦略です。

緩和された点｜AI・統計目的なら同意なしで使える「統計作成等の特例」

中小企業にとって最も影響が大きいのが、AI開発や統計分析のためのデータ利用を後押しする特例です。

なぜ緩和が必要だったのか

現行法では、取得時に示した利用目的の範囲を超えて個人データを使う場合や、第三者に提供する場合には原則として本人の同意が必要です。AIの学習や大規模な傾向分析では、数万人分のデータを扱うことも珍しくなく、一人ひとりから同意を取り直すのは事実上不可能でした。この「同意の壁」が、日本企業のデータ活用を遅らせているという指摘が長く続いていました。

特例の内容と3つの条件

改正法では、多数の情報から傾向や性質といった情報を抽出する行為、いわゆる統計作成等を目的とする場合の特例が設けられます。AI開発もこの「統計作成等」に含まれると整理されており、次のような扱いが可能になります。

• 統計作成等の目的であれば、本人同意なしに個人データを第三者へ提供できる
• 公開されている要配慮個人情報（病歴など）を、統計作成等の目的で同意なく取得できる

ただし、条件は決して緩くありません。法律・解説資料から読み取れる主な要件は次の3つです。

• 個人を識別しない：特定の個人を識別する形で結果を利用しないこと。全体が統計作成の目的であることが必要
• 権利利益を害さない：本人の権利利益が侵害されるおそれがないこと
• 取り扱いを継続的に公表する：事業者は、どのような統計作成等を行っているかをインターネット等で継続的に公表する義務を負う

逆に言えば、特定の顧客を対象にしたプロファイリングや、個人を再識別できる形でのデータ保持は対象外です。「AI利用なら何でも同意不要」ではなく、「個人に紐づかない傾向分析なら同意不要」と理解するのが正確です。要件の細部は委員会規則で定められるため、続報を確認する必要があります。

同意取得の例外も広がる

もうひとつの緩和として、本人の意思に反しないことが明らかな場合の同意不要が明確化されます。たとえば、宿泊予約サイトが予約情報をホテルに渡すような、本人が当然に想定している提供が典型です。また、生命・身体・財産の保護のために必要な場合に求められていた「本人の同意を得ることが困難であること」という要件も緩和されます。日常業務での「これは同意が必要なのか」という迷いが減る改正です。

強化された点｜子ども・生体情報・連絡可能な情報の新ルール

緩和の裏側で、リスクが高い分野の規律は明確に強化されます。中小企業でも当てはまる場面が多いので、自社サービスと照らし合わせてください。

16歳未満の個人情報は法定代理人の同意が原則

16歳未満の子どもの個人情報を取得・利用する際は、原則として保護者など法定代理人の同意が必要になります。子ども本人は、違法性の要件なしに利用停止や消去を請求できるようになり、事業者には子どもの最善の利益を優先する努力義務が課されます。学習塾、習い事、子ども向けイベント、キッズ向けECなどを運営する企業は、年齢確認と同意取得のフローを見直す必要があります。

顔特徴データなどの「特定生体個人情報」

顔認証や指紋、声紋のように、特別な技術や多額の費用をかけずに取得でき、かつ本人が取得されたことに気づきにくい身体的特徴のデータが「特定生体個人情報」として新たに規律されます。取り扱う事業者には、事業者名や利用目的を本人に通知・周知する義務が課され、本人は同意なく利用停止を請求できます。店舗の防犯カメラで顔認証を使っている場合や、勤怠管理に顔認証を導入している場合は直接の対象です。

「連絡可能個人関連情報」の不適正利用・取得の禁止

メールアドレスやCookie ID、端末IDのように、それ単体では個人を識別できなくても本人に連絡やアプローチができる情報について、不適正な利用や取得が禁止されます。広告配信やメール施策の裏側で、こうした情報を出どころの分からない業者から取得している場合は要注意です。

委託先の規律と、漏えい時の本人通知の緩和

委託を受けた事業者が、委託された業務の範囲を超えて個人データを扱うことが明確に禁止されます。一方で、委託契約に取扱方法を明記していれば多くの規律が適用除外になる仕組みも整い、委託契約書の重要性が増します。また、漏えい時の本人通知は、IDのみの漏えいのように権利利益を害するおそれが少ない場合には、公表などの代替措置で済ませられるよう緩和されます。

課徴金・罰則の新設｜「1,000人超」の違反に何が課されるのか

今回の改正で最も注目されているのが、個人情報保護法として初めて導入される課徴金制度です。

課徴金の対象と算定

• 対象行為：個人データの不正取得、不適正な利用、違法な第三者提供など悪質な違反
• 規模要件：1,000人を超える個人データに関する違反
• 算定基準：違反行為によって得た不当な経済的利益に相当する額
• 賦課主体：個人情報保護委員会

解説によっては、違反を繰り返した事業者への加算や、自主的に報告した場合の減額といった仕組みも紹介されています。重要なのは、うっかりミスによる漏えいがただちに課徴金になるわけではないという点です。想定されているのは、名簿の不正販売や、同意を得ずに個人データを売って利益を得るような、違反によって儲けが出るケースです。

罰則の引き上げと法人重課

個人情報保護委員会の命令に違反した場合などの法定刑が引き上げられ、法人には個人より重い罰金を科す「法人重課」が導入されます。重大な違反を繰り返す事業者への加重処罰も設けられます。委員会の立入検査権限も強化されるため、「指導されても直さない」という姿勢のリスクは格段に大きくなります。この罰則関連が2027年1月に先行施行される見込みである点は、改めて押さえておいてください。

中小企業が今から進める5つの準備

細則が確定していない段階でも、着手できることは多くあります。当社が中小企業のDX支援で実際に行っている順番で紹介します。

準備1：個人データの棚卸しと「AI・統計目的」の切り分け

すべての出発点は、どの個人データを、何の目的で、誰に渡して使っているかの一覧化です。顧客管理システム、メール配信ツール、勤怠システム、問い合わせフォーム、防犯カメラといった単位で洗い出します。そのうえで、生成AIや分析ツールに読み込ませているデータがあれば、「個人に紐づく利用」なのか「傾向分析」なのかを分けておきます。後者は特例の対象になり得ますが、前者は引き続き同意や利用目的の範囲内で扱う必要があります。

準備2：顔認証・子ども向けサービス・広告データの有無を確認する

強化される3つの領域に自社が触れているかを確認します。顔認証を使っている、16歳未満が会員になり得る、外部から取得した広告用データを使っている。どれか一つでも当てはまれば、通知・同意フロー・データの出どころの確認が必要になります。該当しなければ、その旨を記録しておくだけでも、後の対応が楽になります。

準備3：委託契約書の「取扱方法」条項を見直す

改正後は、委託契約に取扱方法を明記しているかどうかで、委託先に適用される規律が変わります。給与計算の外注、Web制作会社への顧客データの受け渡し、コールセンターへの委託など、個人データを渡している取引先の契約書を洗い出し、取扱方法の記載があるかを確認しておきましょう。

準備4：漏えい時の対応手順を文書化する

本人通知が一部緩和されるとはいえ、委員会への報告義務はなくなりません。「誰が」「何時間以内に」「どこへ」報告するかを1枚の手順書にまとめ、委託先からの連絡経路も含めて決めておきます。パスキーによるパスワードレス化のような、漏えいの発生確率そのものを下げる施策と組み合わせると効果的です。

準備5：社内AIルールと保護法対応を一体で運用する

生成AIの利用ルールと個人情報の取扱ルールを別々に作っている企業は少なくありません。しかし今回の改正で、両者は事実上ひとつの論点になりました。生成AI利用ガイドラインの作り方で解説した社内ルールに、「個人データをAIに入力してよい条件」「統計目的として公表する内容」を組み込み、個人情報保護委員会の公表を定期的に確認する担当者を決めておくことをおすすめします。PII-Free設計のように、そもそも個人情報を持たない仕組みにできる業務は、それが最も強い対策です。

まとめ：緩和を活かし、強化に備える。鍵は「棚卸し」と「継続確認」

• 改正個人情報保護法は2026年7月10日成立・7月17日公布。全面施行は遅くとも2028年7月17日、罰則の一部は2027年1月に先行施行の見込み
• 緩和：AI開発を含む統計作成等の目的なら、個人を識別せず・権利利益を害さず・取り扱いを公表するという条件のもと、同意なしで個人データを提供・取得できる
• 強化：16歳未満は法定代理人の同意が原則、顔特徴データなどは通知・周知義務、連絡可能な情報の不適正利用は禁止
• 制裁：1,000人超の個人データに関する悪質な違反に、不当利得相当額の課徴金を新設。罰則引き上げと法人重課も導入
• 準備：データ棚卸し、強化3領域の該当確認、委託契約の見直し、漏えい対応手順、社内AIルールとの一体運用の5つを今から進める

今回の改正は、データを「使わない」ことで安全を確保してきた企業にとっては負担に映るかもしれません。しかし、条件を満たせば同意なしにデータを活かせる道が開かれたことは、リソースの限られた中小企業にこそ追い風です。生産性を高めるためのデータ活用と、法令遵守は対立しません。棚卸しから始めれば、両方を同時に前へ進められます。

株式会社Sei San Seiでは、個人データの棚卸しから生成AIの安全な業務組み込みまで、中小企業のDX推進を伴走型でご支援しています。「自社のデータ活用が改正法でどう変わるのか整理したい」という段階からでも、お気軽にご相談ください。

よくある質問

Q1. 改正個人情報保護法2026はいつから施行されますか？

改正法は2026年7月10日に成立し、7月17日に公布されました。施行は「公布の日から2年を超えない範囲内で政令で定める日」とされており、遅くとも2028年7月17日までに施行されます。罰則に関する一部の規定は公布から6か月後の2027年1月に先行して施行される予定です。具体的な施行日と細かなルールは、個人情報保護委員会が今後定める政令・規則・ガイドラインで確定します。

Q2. AI学習に個人データを使うとき、本人の同意は不要になるのですか？

条件付きで不要になります。新設される「統計作成等の特例」では、多数の情報から傾向や性質を抽出する目的であれば、AI開発を含めて本人同意なしに個人データを取得・提供できるようになります。ただし、特定の個人を識別する形で使わないこと、本人の権利利益を害するおそれがないこと、取り扱いの内容をインターネットで継続的に公表することが求められます。特定の個人を対象にしたプロファイリングは対象外です。

Q3. 課徴金はどのような場合に課されますか？

個人データの不正取得、不適正な利用、違法な第三者提供といった悪質な違反が対象で、1,000人を超える個人データに関する違反が要件とされています。金額は、違反によって得た不当な経済的利益に相当する額を基準に個人情報保護委員会が算定します。過失による漏えいがただちに課徴金の対象になるわけではなく、名簿の不正販売のように違反によって利益を得るケースが想定されています。

Q4. 小規模な中小企業にも改正法は関係ありますか？

関係あります。個人情報保護法は従業員数や取扱件数にかかわらず、個人情報を事業に使うすべての事業者に適用されます。特に、顧客リストへのメール配信や広告配信、防犯カメラの顔認証、16歳未満の会員登録などを行っている企業は、連絡可能な情報・特定生体個人情報・子どもの情報に関する新しい規律の影響を受けます。生成AIに顧客データを入力している企業は、利用目的とAI特例の要件を確認しておく必要があります。

Q5. 改正に向けて中小企業はまず何から始めればよいですか？

最初に取り組むべきは、自社がどの個人データを、何の目的で、誰に渡して使っているかの棚卸しです。そのうえで、AIや統計目的で使っているデータの整理、顔認証や子ども向けサービスの有無の確認、委託先との契約内容の見直し、漏えい時の対応手順の整備を進めます。政令・規則・ガイドラインは2026年秋以降に順次公表される見込みなので、個人情報保護委員会の公表内容を定期的に確認する担当者を決めておくことも重要です。