個人情報保護法改正で何が変わる？ 押さえるべき影響と実務対応

2026年７月17日、改正個人情報保護法が公布されました。
個人情報保護法は「３年ごとの見直し規定」により、継続的に点検が進められてきました。
今回の改正では、利用停止・消去請求の要件緩和、漏えいなどの本人通知ルールの見直し、課徴金制度の導入を含むペナルティの強化など、企業実務に直結する変更が行われました。
今回の改正のうち、企業実務への影響が特に大きい３つのポイントを中心に、企業が見直しておきたい実務対応を解説します。

2026年改正で変わる３つのポイント

個人情報保護法については、政府が施行後３年ごとに施行状況を検討することとされており、この「３年ごとの見直し」に沿って改正が行われてきました。
今回の見直しでは、個人の権利利益の保護、情報通信技術の進展に伴う生体データへの対応、法の実効性を確保するための規律の整備などが論点となりました。

改正法は2026年７月10日に成立し、同月17日に公布されました。
大部分は「公布の日から起算して２年を超えない範囲内において政令で定める日」に施行されます。
一方、一部の罰則強化などに関する規定は2027年１月17日に先行して施行されます。

企業実務への影響が大きいのは次の３点です。
１つ目は、16歳未満の子どもの権利保護の拡大です。
現行法では、一定の法令違反があった場合などに、本人は利用停止・消去や第三者提供の停止を請求できます。
改正後は、本人が16歳未満の場合、一定の例外を除き、法令違反などがなくても利用停止・消去や第三者提供の停止を請求できるようになります。
法定代理人も本人に代わって請求できます。
また、顔特徴データなどを含む「特定生体個人情報」についても、一定の例外を除き、違法行為の有無などを問わず、利用停止・消去や第三者提供の停止を請求できるようになります。

２つ目は、漏えいなどに関する本人通知の緩和です。
これまでは、一定の漏えいなどが発生した場合、個人情報保護委員会への報告と本人への通知が必要でした。
今回の改正では、本人への通知が困難な場合に加え、通知を行わなくても本人の権利利益の保護に欠けるおそれが少ない場合については、通知に代えて代替措置による対応が認められます。

３つ目は、ペナルティの強化です。
新たに課徴金制度が導入されます。
対象となるのは、個人情報の不適正な利用・提供、不正な手段による取得・利用、統計作成等の特例に違反する取り扱いなど、一定の重大な違反行為です。
課徴金は、違反行為によって得られた財産的利益などに相当する額を基礎として算定されます。
過去10年以内に課徴金納付命令を受けた場合の加算や、自主申告による減額の仕組みも設けられます。
ただし、違反行為を防止するための相当の注意を怠っていなかった場合や、対象行為に係る個人情報または個人データの本人の数が1,000人を超えない場合など、一定の要件に該当するときは課徴金の対象外とされます。
また、「個人情報データベース等不正提供等罪」の処罰対象となる目的が拡大され、法定刑も引き上げられます。
個人情報を不正に取得する行為を処罰する規定も新設されます。

このほか、統計作成等を目的とする個人情報の利用・提供について、一定の要件を満たせば本人の同意を不要とする特例も設けられます。

企業への影響と見直すべき実務対応

ここからは、企業が見直すべき実務対応をみていきます。
まず、特定生体個人情報の取扱いを棚卸ししましょう。
顔認証による入退室管理など、自社で対象となる情報を取り扱っていないか確認し、必要な周知事項を整理し、周知方法を整備します。

次に、16歳未満の個人情報を取り扱う事業者では、本人や法定代理人から利用停止・消去などの請求を受けた場合に備え、本人確認や請求への対応フローを整備しておくことが重要です。
課徴金制度への対応として、社内規程や管理体制を整備すると共に、違反防止のために講じた対策を記録・保存しておきましょう。
個人データを第三者に提供している場合は、同意取得や第三者提供に関する記録・確認の運用を再点検してください。
特にオプトアウトによる第三者提供を行なっている場合は、提供先の身元や利用目的の確認など、改正後の義務への対応が必要です。

統計作成等の特例を利用する場合は、提供元と提供先との間で書面による合意を行うなど、改正後に求められる手続への対応が必要です。
委託先についても、委託を受けた業務の遂行に必要な範囲を超えて個人情報を取り扱ってはならないことが明確化されます。
委託契約では、業務の範囲や個人情報の取扱方法、再委託、安全管理措置などについて、必要な事項を具体的に定めておきましょう。
漏えいなどへの対応では、検知から報告・通知までの手順と責任者をあらかじめ定め、今後示される委員会規則やガイドラインを踏まえ、本人通知の代替措置が認められる場合の判断基準も整理しておきます。

今回の改正への対応は、自社の個人データ、契約、社内規程を棚卸しし、影響のある部分を洗い出すことから始まります。
施行日や政令・規則、ガイドラインなどの最新情報を確認しながら、専門家にも相談して準備を進めましょう。


※本記事の記載内容は、2026年10月現在の法令・情報等に基づいています。