2026年改正個人情報保護法とは？AI活用と保護強化の境界線を徹底解説

最終更新：2026年7月23日
※本記事は継続的に最新情報へアップデートしています。

官報に散在していた破産者情報が地図上に集められたとき、公開情報は一人の生活を追い詰める道具へ変わった。閲覧履歴から算出された内定辞退率が企業へ渡ったとき、名前の見えないデータが採用判断を左右した。

そして2026年、AI、顔認証、子どものデータ利用が日常へ入り、個人情報保護法は再び境界線を引き直した。

今回の改正は単純な規制強化でも、AI開発を理由とした一律の規制緩和でもない。被害が深刻になりやすい利用には強い規律をかけ、本人への影響が限定された統計・AI利用には道を開く「保護と利活用の再設計」である。

守ればデータが動かず、動かせば人が傷つく。その難題に、2026年改正はどのような線を引いたのか。改正の目的、施行時期、企業実務への影響を、2022年改正からの流れとともに読み解く。

📖 読了時間 22分｜🎯対象：経営者・法務・総務・情シス・AI／データ活用担当者｜🛠 難易度：★★★☆☆

✅ 先に結論

2026年改正個人情報保護法の目的は、高リスクな個人情報利用への保護を強めながら、統計や一定のAI開発に必要なデータ連携を円滑にすることです。

成立・施行：改正法は2026年7月10日に成立し、7月17日に公布されました。原則として公布から2年以内に施行され、具体的な施行日や細目は今後の政令・規則・ガイドラインで定まります。
保護強化：16歳未満の子ども、特定生体個人情報、闇名簿、不正取得、悪質な違反への規律が強化されます。
利活用促進：統計情報等の作成だけに使われることが担保された一定のデータ提供や、統計作成等であると整理できるAI開発等について、本人同意を不要とする仕組みが導入されます。
企業対応：生体データ、子どもの情報、AI学習用データ、委託先、オプトアウト提供の棚卸しを始める必要があります。

この記事の著者・監修者　ケニー狩野（Kenny Kano）

Arpable 編集部（Arpable Tech Team）

株式会社アープに所属するテクノロジーリサーチチーム。人工知能の社会実装をミッションとし、最新の技術動向と実用的なノウハウを発信している。

役職：(株)アープ取締役。Society 5.0振興協会・AI社会実装推進委員長。中小企業診断士、PMP。著書『リアル・イノベーション・マインド』▶ 詳細情報

【2022年4月施行】改正個人情報保護法とは

Toggle

2026年、なぜ個人情報保護法は改正されたのか

改正の出発点は、AIとデータ連携の需要が高まる一方、従来の同意中心の仕組みだけでは保護と利活用の双方に限界が生じたことである。

個人情報保護委員会は、今回の改正理由として、デジタル技術の急速な進展によりデータ利活用への需要が高まる一方、違法な取扱いによって個人の権利利益が侵害されるリスクも高まったことを挙げています。

この二つは、どちらか一方だけを優先すればよい問題ではありません。個人情報を厳しく閉じれば、医療研究、統計分析、公共政策、AI開発に必要なデータが動きにくくなります。しかし、利活用だけを優先すれば、本人が知らないところで顔や行動が追跡され、病歴や子どもの情報が不適切に扱われる危険があります。

2026年改正の狙いは、「同意があるか」という一つの物差しだけではなく、利用目的、本人への影響、再識別や悪用の危険性に応じて規律を変えることです。

背景1：AI開発に必要なデータを動かしにくかった

複数の企業や医療機関が持つデータを横断的に分析すれば、疾病傾向の把握、不正検知、事故防止、需要予測などに役立つ可能性があります。

ところが、現行法では個人データの第三者提供や要配慮個人情報の取得について、原則として本人同意が必要です。過去に取得した大量のデータについて、後から一人ずつ新たな同意を得ることが困難なケースもあります。

そこで改正法は、特定個人との対応関係を排した統計情報等の作成だけに利用されることを条件に、一定の第三者提供や公開済みの要配慮個人情報の取得について、本人同意を不要とする仕組みを設けました。

対象には、統計作成等であると整理できるAI開発等も含まれます。ただし、統計情報等の作成にのみ利用されることが担保される場合に限られます。

つまり、AI開発という名称だけで対象になるのではなく、特定の個人を識別・評価するのではない一般的な分析結果を作る利用であることが必要です。

背景2：顔や身体の特徴は、漏れても交換できない

流出したパスワードなら変更できます。しかし、顔や指紋を基に生成された識別情報は、クリック一つで再発行できません。

しかも顔特徴データは、本人が意識しないままカメラから取得され、複数の場所で収集された情報を結び付けることで、行動を継続的に追跡できる可能性があります。

特定生体個人情報は、漏えい後に取り替えることが難しいからこそ、取得・利用・提供・利用停止まで、取扱いの全過程を通じて強く守る必要があります。

背景3：子どもの情報が法律上明確に守られていなかった

これまでもガイドラインやQ&Aでは、本人が同意による結果を判断できない場合、親権者や法定代理人から同意を得る必要があるとされてきました。

しかし、法律上は子どもの個人情報に関する統一的な年齢基準や、法定代理人の関与が明文化されていませんでした。

改正法は16歳未満を基準とし、同意取得や通知等に法定代理人を関与させるほか、子どもの最善の利益を優先して考慮する責務を設けます。

背景4：違反して利益を得る事業者への抑止が不足していた

従来法にも勧告、命令、罰則はありました。しかし、大量の個人情報を悪質に利用して多額の利益を得る事業者にとって、固定額の罰金だけでは十分な抑止にならない場合があります。

改正法では、重大な違反によって得られた財産的利益等に相当する額を基礎とする課徴金制度が導入されます。

これは単なる罰金の引上げではありません。「違反した方がもうかる」という経済的誘因そのものを取り除くことが目的です。

改正法はいつ成立し、いつから施行されるのか

改正法は2026年7月に成立・公布されたが、具体的な施行日は未確定であり、企業実務の詳細は今後の政令・規則・ガイドラインで固まる。

2026年改正個人情報保護法の主な経過
時期	出来事	企業にとっての意味
2023年11月	いわゆる3年ごと見直しの検討開始	令和2年改正法の施行状況と技術・国際動向の検証が開始
2026年4月7日	改正法案を閣議決定・国会提出	改正内容が法案として具体化
2026年7月10日	参議院本会議で可決・成立	「改正案」から成立済みの法律へ移行
2026年7月17日	改正法を公布	施行準備期間が開始
公布から2年以内	政令で定める日に原則施行	施行日・詳細要件は今後決定
※個人情報保護委員会および国会の公表資料を基にArpable編集部が整理（2026年7月23日時点）。一部規定は施行時期が異なる可能性があります。

現時点で注意すべきなのは、改正法が成立したことと、すべての義務がすでに施行されたことは別だという点です。

具体的な対象データ、公表事項、周知方法、例外要件、課徴金の運用などは、政令、個人情報保護委員会規則、ガイドラインで明確になります。

企業は、今すぐプライバシーポリシーを断定的に書き換えるのではなく、まず対象となるデータと業務を棚卸しし、今後の下位規範に合わせて改定できる準備を進めるべきです。

改正の本質――守る情報と使える情報の境界線を引き直す

改正法は規制の強化と緩和を同時に行い、本人へ及ぼすリスクと利用目的に応じて規律を変える方向へ進んだ。

個人情報を厳しく守れば、医療研究や統計分析に必要なデータまで動かなくなる。一方、データ活用を優先しすぎれば、本人の知らないところで顔や病歴、行動履歴が結び付けられる。

2026年改正が向き合ったのは、「守るか、使うか」という単純な二択ではありません。何のために使い、誰へ影響を与えるのかによって、守り方を変えるという難題です。

改正法は、そのために次の二つを同時に進めます。

本人への影響が深刻になりやすい取扱い：顔特徴データ、子どもの情報、闇名簿、不正取得、悪質な違反を厳しく規律する
特定個人への判断や働きかけを目的としない利用：統計情報等の作成に限定し、必要な条件を満たす場合にデータ連携を進める

言い換えれば、法律が見ようとしているのは、データの名前だけではありません。

誰のために、何の目的で、どのように使い、最終的に特定の個人へどのような影響を与えるのか。この利用の流れ全体が、より重要になります。

2026年改正を貫く二つの方向
方向	対象	改正の狙い
保護を強める	顔特徴データ、子どもの情報、闇名簿、不正取得、悪質違反	本人が回避・回復しにくい被害を防ぐ
利活用を円滑にする	統計作成、一定のAI開発、医療・学術研究、契約履行に必要な提供	本人への影響が限定的な利用を過度に止めない
事後規律を強める	課徴金、命令、刑事罰、第三者への要請	同意規制の見直しと引換えに違反への抑止を高める
※個人情報保護委員会の改正概要を基にArpable編集部が整理。個別の適用可否は政令・規則・ガイドラインおよび具体的事実関係により異なります。

2026年改正で何が変わるのか

主要な変更は、統計・AI利用、子ども、特定生体個人情報、委託、個人関連情報、オプトアウト、制裁の七つに整理できる。

変更1：統計情報等の作成に限ったデータ利用を円滑化

改正法では、個人データ等が統計情報等の作成にのみ利用されることが担保されている場合、一定の条件の下で本人同意なしの第三者提供を可能にします。

公表、提供元と提供先の書面合意、目的外利用の禁止、再提供の制限などによって、統計情報等の作成だけに使われることを担保する必要があります。

特定の個人を評価し、選別し、広告を送り、採用や与信を判断するための利用は、「統計に使うだけ」という説明では正当化できません。

企業のAI導入全体の統制については、AI規制とガバナンス完全ガイドも参照してください。

変更2：16歳未満の個人情報における法定代理人の関与を明文化

本人が16歳未満の場合、利用目的の通知、目的外利用、要配慮個人情報の取得、第三者提供などの一定の場面で、法定代理人を対象とする規定が明文化されます。

また、違法な取扱いがなかった場合でも、一定の条件の下で利用停止等を請求できる仕組みが設けられます。

さらに、事業者には未成年者の年齢と発達の程度に応じて、本人の最善の利益を優先して考慮する責務が課されます。

企業は「保護者の同意欄を追加する」だけでなく、次の点を見直す必要があります。

年齢をどのように確認するか
子ども本人にも理解できる説明になっているか
保護者と子どもの利益が対立する場合をどう扱うか
広告、位置情報、行動履歴、学習履歴をどこまで取得するか
成長後の利用停止・削除請求に対応できるか

変更3：特定生体個人情報の保護を強化

改正の重要な論点の一つが、顔特徴データ等を含む特定生体個人情報に関する規律です。

改正法は、一定の身体的特徴を変換した「特定生体個人識別符号」を含む個人情報を、特定生体個人情報として規定しました。個人情報保護委員会の概要資料では、主に「顔特徴データ等」と表現されています。

ここで想定されているのは、単なる顔写真そのものではなく、顔の骨格や目、鼻、口の位置・形状などから抽出し、本人識別に使えるよう変換した特徴データです。具体的な範囲は政令等で定められる予定です。

事業者には、名称・住所・代表者、特定生体個人情報を扱うこと、利用目的、元となる身体的特徴、利用停止請求の手続など、一定事項の周知が求められます。

さらに、特定生体個人情報については、違法な取扱いがなくても一定の条件で利用停止等を請求できるようになり、オプトアウトによる第三者提供は禁止されます。

顔認証は便利だから使うのではなく、なぜ本人識別が必要で、保存期間や代替手段をどう設計するかまで説明できなければなりません。

顔・音声の悪用リスクについては、ディープフェイク詐欺の事例・見分け方・企業対策で詳しく解説しています。

変更4：データ処理を受託する事業者の責任を明文化

クラウド、データ入力、分析、AIモデル開発など、企業が個人データ処理を外部へ委託する場面は増えています。

現行法では委託元に委託先監督義務がありますが、委託先が契約の範囲を超えてデータを独自利用する事案も起きています。

改正法では、委託先に対して、委託された業務の遂行に必要な範囲を超えて個人データ等を取り扱ってはならないという義務を明文化します。

一方、委託先が委託元の指示どおり機械的に処理し、取扱方法や報告手順等について合意している場合には、義務の一部を合理化する仕組みも設けられます。

AIベンダーやクラウドへデータを渡す企業は、契約書だけでなく、実際のログ、再委託、モデル学習への転用、削除方法まで確認する必要があります。

技術面の安全管理は、AIが変えるセキュリティ｜ゼロトラスト・RBVM・最新脅威を徹底解説も参考になります。

変更5：個人情報でなくても「本人へ働きかけられる情報」を規律

氏名が含まれていないメールアドレス、電話番号、Cookie IDなどは、事業者が持つ他の情報と容易に照合できなければ、個人情報に該当しない場合があります。

しかし、これらを使えば、特定の人物へメールを送り、広告を表示し、SNSへ誘導することができます。健康情報などと組み合わせれば、本人へ深刻な被害を与える可能性もあります。

そこで改正法は、特定の個人へ働きかけることが可能な記述等を含む個人関連情報について、不適正利用と不正取得を禁止します。

「法律上の個人情報ではないから自由に使える」という形式論ではなく、実際に本人へどのような働きかけが可能かを見る規律です。

変更6：オプトアウト提供先の身元と利用目的を確認

名簿に記載された氏名や住所、電話番号は、それだけを見れば単なる連絡先に見えるかもしれません。しかし、資産情報、家族構成、年齢、行動履歴と結び付いた瞬間、その一行は特殊詐欺や強盗の標的を選ぶ材料へ変わります。

オプトアウト制度は、本人の求めに応じて提供を停止することなどを条件に、本人同意なしで個人データを第三者提供できる制度です。

ところが、名簿業者から転売された情報が闇名簿となり、特殊詐欺、投資詐欺、強盗などに悪用される問題が深刻化しました。

改正後は、オプトアウト制度で提供する際、提供先の氏名・名称、住所、代表者、利用目的を事前に確認する義務が課されます。提供先は確認事項について虚偽の説明をしてはなりません。

届出さえ行えばよい制度から、「誰に、何の目的で渡すのか」を確認する制度へ変わります。

変更7：課徴金・命令・刑事罰で違反への抑止を強化

改正法では、重大な違反で得られた財産的利益等に相当する額を基礎とする課徴金制度が導入されます。

また、個人情報データベース等の不正提供について、従来の「不正な利益を図る目的」に加え、「損害を加える目的」の提供も処罰対象となります。

詐欺、不正アクセスなどにより個人情報を不正取得する行為についても、新たな罰則が設けられます。

個人情報保護委員会による命令の要件も見直され、違反事業者への是正だけでなく、本人への通知や公表など、権利利益を守るための措置を求められるようになります。

さらに、クラウド、ホスティング、検索サービスなど、違反行為を補助する第三者へサービス停止等を要請する根拠も整備されます。

病歴や犯罪歴は、本人同意なしで使われるのか

本人同意なしの利用が無制限に認められるわけではなく、統計情報等の作成だけに利用されることを制度上担保する必要がある。

この改正で最も誤解されやすいのが、病歴や犯罪歴などの要配慮個人情報と、統計・AI利用の関係です。

結論から言えば、AI開発であれば、本人同意なしにセンシティブな情報を無制限で取得・利用できるようになるわけではありません。

改正法が認めるのは、情報を取得して本人へ直接働きかけたり、個人別の評価に利用したりすることではなく、統計情報等の作成だけに使われることが制度上担保された場合です。

統計情報等の作成に関する同意不要特例の判断軸
判断項目	求められる方向	認められないと考えられる利用
利用目的	統計情報等の作成だけに限定	採用、与信、広告、保険料などの個人別判断
公表	取得者・提供元・提供先、作成内容等を公表	誰が何を行うのかを明らかにしない利用
提供者間の合意	目的を限定した書面合意	提供後に自由な目的変更を認める契約
目的外利用・再提供	禁止または厳格に制限	取得後に営業利用や第三者販売へ転用
成果物	特定個人との対応関係を排した分析結果	本人を識別できる名簿・スコア・プロファイル
※具体的な対象範囲、公表事項、安全管理措置等は、今後の個人情報保護委員会規則・ガイドラインで明確化される予定です。

したがって、病歴や犯罪歴が「AI学習なら自由に使える」ようになるわけではありません。

むしろ企業側には、次の説明が求められます。

なぜそのデータが必要なのか
なぜ特定個人への判断に使わないと言えるのか
目的外利用や再提供を技術・契約の両面でどう防ぐのか
学習後のモデルから個人情報が再現されないか
誰が監査し、違反時に停止できるのか

AIモデルの判断根拠や説明責任については、XAIと因果AIの実践ガイドも参照してください。

2022年改正から、何が進化したのか

2022年改正はデジタル社会の基盤を整え、2026年改正はAI時代の利用目的とリスクに応じて規律をさらに具体化した。

2022年4月に全面施行された令和2年改正は、本人の権利、漏えい報告、仮名加工情報、個人関連情報、罰則、域外適用など、現在の個人情報保護実務の土台を作りました。

今回の2026年改正は、その土台を否定するものではありません。

2022年改正で「デジタル社会に必要な基本ルール」を整え、2026年改正で「AI時代に高リスクな利用と有用な利用をどう分けるか」を具体化したと捉えると、改正の流れが理解しやすくなります。

2022年改正と2026年改正の役割比較
テーマ	2022年改正で整備された土台	2026年改正での進化
本人の権利	利用停止・消去・第三者提供停止の請求範囲を拡大	子ども・特定生体個人情報では違法性がなくても請求可能な範囲を拡大
データ活用	仮名加工情報を新設し、内部分析を円滑化	統計情報等の作成に限定した第三者間のデータ連携を円滑化
Cookie等	個人関連情報を新設し、提供先で個人データになる場合を規律	本人へ働きかけ可能な個人関連情報の不適正利用・不正取得を禁止
漏えい対応	委員会への報告と本人通知を義務化	リスクが低いケースの合理化と違法な第三者提供への対応を整備
罰則・執行	法人罰金の上限を引上げ	課徴金、不正取得罪、加害目的の提供、第三者への要請を導入
国際・委託	域外適用と外国第三者提供の規律を強化	委託先の独自利用を防ぐ義務を明文化
※各改正の代表的な内容を比較したものであり、すべての改正項目を網羅するものではありません。

2022年改正で整備され、現在も重要な実務

2026年改正だけを見ても企業実務は理解できず、利用停止、漏えい報告、仮名加工情報など2022年改正の土台は現在も有効である。

本人の利用停止・消去・第三者提供停止請求

2022年改正では、本人が利用停止等を請求できる範囲が広がりました。

目的外利用や不正取得などの違反がある場合だけでなく、個人データを利用する必要がなくなったとき、一定の漏えい等が発生したとき、本人の権利または正当な利益が害されるおそれがあるときにも、利用停止等を請求できるようになりました。

例えば、本人がダイレクトメールや勧誘電話の停止を明確に求めているのに、事業者が繰り返し連絡する場合などが考えられます。

2026年改正では、この考え方が子どもや特定生体個人情報へさらに広がります。

保有個人データのデジタル開示

本人は、保有個人データについて、電子メール、ダウンロード、記録媒体など、電磁的記録による開示を請求できます。

大量のデータ、映像、音声、アクセスログなどは紙での提供に適さないため、事業者は開示請求の受付から本人確認、データ抽出、安全な提供までの手順を用意する必要があります。

第三者提供記録の開示

本人は、自分の個人データが誰へ提供されたのかを確認するため、第三者提供記録の開示を請求できます。

第三者提供記録は、監督機関の調査だけでなく、本人がデータの流れを追跡するための仕組みになりました。

2026年改正でオプトアウト提供先の確認義務が加わることで、提供記録の重要性はさらに高まります。

短期保有データも開示・停止等の対象

以前は、6か月以内に消去するデータが保有個人データから除外されていました。

しかし、短期間でも漏えいすれば本人に回復困難な損害が生じます。現在は保存期間の短さだけを理由に、開示や利用停止等の対象外にはできません。

漏えい等の報告と本人通知

一定の漏えい等が発生した場合、事業者は個人情報保護委員会へ報告し、原則として本人へ通知する必要があります。

主な報告対象は、要配慮個人情報を含む漏えい、不正アクセス等による漏えい、財産的被害のおそれがある漏えい、1,000人を超える大規模漏えいなどです。

報告は通常、発覚後速やかに行う速報と、原則30日以内に行う確報に分かれます。不正目的のおそれがある場合の確報期限は原則60日以内です。

企業は事故発生後に判断するのではなく、誰が報告要否を決め、誰が委員会・本人・取引先へ連絡するかを事前に決める必要があります。

不適正な利用の禁止と破産者マップ問題

個人情報保護法は、形式的に同意や利用目的の要件を満たしていても、違法または不当な行為を助長・誘発するおそれがある方法による利用を禁止しています。

この規定の背景を理解する上で象徴的なのが、官報に散在していた破産者情報を集約し、地図上で容易に検索できるようにした「破産者マップ」問題です。

一件ずつ公開されていた情報でも、大量に集約し、検索・拡散しやすくすれば、差別や嫌がらせを誘発する危険性が高まります。

情報が公開されていることと、目的を問わず収集・集約・再公開してよいことは同じではありません。

認定個人情報保護団体

認定個人情報保護団体は、事業者の個人情報取扱いに関する苦情処理や、適正な取扱いのための情報提供を行う民間団体です。

2022年改正では、事業者の全部門・全分野だけでなく、特定の事業や業務範囲に限定した団体も認定できるようになりました。

専門分野ごとのルールや相談体制を整えやすくし、業界の自主的なガバナンスを機能させるための改正です。

仮名加工情報と匿名加工情報

仮名加工情報は、他の情報と照合しない限り特定の個人を識別できないよう加工した情報です。氏名の削除や識別子の置換などを行いますが、対応表等が残っていれば個人を再識別できる場合があります。

そのため、仮名加工情報は原則として事業者内部の分析に利用し、本人を識別する目的で他の情報と照合することはできません。

匿名加工情報は、特定個人を識別できず、元の個人情報へ復元できないように加工した情報です。仮名加工情報より加工度が高い一方、データの詳細性や分析価値が低下する場合があります。

仮名加工情報と匿名加工情報の違い
項目	仮名加工情報	匿名加工情報
識別可能性	他の情報と照合すれば識別できる場合がある	特定個人を識別できない
復元可能性	対応表等により復元できる場合がある	元の個人情報へ復元できない
主な用途	社内分析、研究、サービス改善	第三者提供を含む幅広い統計利用
本人の識別	識別目的の照合は禁止	識別行為は禁止
※個人情報保護委員会「仮名加工情報・匿名加工情報編」等を基にArpable編集部が整理。具体的な加工基準・取扱義務は、情報の内容や利用形態によって異なります。

個人関連情報とリクナビ問題

個人関連情報とは、生存する個人に関する情報であって、個人情報、仮名加工情報、匿名加工情報のいずれにも該当しない情報です。

Cookie、広告識別子、閲覧履歴、位置情報などが代表例ですが、提供先で他の情報と結び付けられ、個人データになる場合があります。

制度創設の背景にあるのが、就職情報サイトの閲覧履歴等から内定辞退率を予測し、企業へ提供したリクナビ問題です。

提供元では個人を直接識別できなくても、提供先では応募者IDと氏名を結び付けられ、採用判断へ利用できました。

データの性質は、提供元だけを見て判断するのではなく、提供先で何と結び付き、本人にどのような影響を与えるかまで確認する必要があります。

法人罰と域外適用

2022年改正では、個人情報保護委員会の命令違反や個人情報データベース等の不正提供について、法人に対する罰金の上限が大幅に引き上げられました。

また、日本国内の個人へ商品・サービスを提供し、その過程で個人情報を扱う外国事業者についても、報告徴収、立入検査、命令等の対象となる範囲が強化されています。

海外クラウドを利用しているという理由だけで日本法の責任が消えるわけではありません。委託元企業は、国外での取扱い、安全管理、再委託、政府アクセス等も確認する必要があります。

施行までに企業が行うべき8つの準備

施行日を待って規程を書き換えるのではなく、対象データ、利用目的、委託先、本人関与の現状を先に可視化することが重要である。

もし今日、顧客から「私の顔データは、どこに、何の目的で保存されていますか」と尋ねられたら、あなたの会社はその場で答えられるでしょうか。

答えられないとすれば、問題はプライバシーポリシーの文面だけではありません。データの所在、利用目的、委託先、保存期間を、組織として把握できていない可能性があります。

1．顔画像・音声・指紋など生体関連データを棚卸しする

入退室、勤怠、本人確認、防犯、顧客分析、コールセンター、採用面接などで取得しているデータを確認します。

単なる画像や録音だけでなく、本人識別のために抽出・変換した特徴量が保存されていないかを確認してください。

2．16歳未満が利用するサービスを特定する

教育、ゲーム、SNS、EC、イベント、会員サービスなど、子どもが利用する可能性のあるサービスを洗い出します。

年齢確認、保護者同意、利用目的の説明、広告利用、位置情報、退会・削除請求の手順を確認します。

3．AI学習と統計利用の目的を分離する

「AI開発」という大きな目的だけでは不十分です。

統計的な一般化を目的とするのか、個人別の予測や推薦を目的とするのか、生成AIの学習に使うのか、検索・照合に使うのかを分けて記録します。

AIエージェントが外部システムや個人データへ接続する場合は、AIエージェントセキュリティ｜MCP・A2A接続をどう守るかも確認してください。

4．委託契約と実際のデータ処理を一致させる

契約上は「委託目的の範囲内」と書かれていても、委託先のサービス規約でモデル改善や品質向上に利用される可能性があります。

入力データ、ログ、バックアップ、再委託、海外移転、学習利用、削除証明、事故報告を契約と実態の両方で確認します。

5．オプトアウト提供先の確認手順を作る

名簿、マーケティングデータ、顧客候補情報などをオプトアウト制度で提供している場合は、提供先の身元・利用目的を確認する手順と記録を整えます。

形式的な申告書だけでなく、事業実態、Webサイト、過去の違反歴、不自然な大量購入なども確認すべきです。

6．利用停止・削除請求へ対応できるデータ構造にする

本人から停止請求を受けても、どこにデータがあるか分からなければ対応できません。

本番DB、分析基盤、データレイク、AI学習用データ、バックアップ、委託先を含めて、本人単位で検索・停止・削除できるかを確認します。

7．課徴金を経営リスクとして評価する

個人情報保護を法務部門だけの課題にしてはいけません。

違反による売上、コスト削減、データ販売収入などが課徴金算定に関係する可能性があるため、事業計画、M&A、データ事業、AIサービスの経営審査へ組み込む必要があります。

8．政令・規則・ガイドラインを継続確認する

施行日、特定生体個人情報の具体的範囲、統計特例の公表事項、低リスク漏えいの要件、課徴金の詳細は、今後の下位規範で明確になります。

法務、情シス、データ部門、事業部門で責任者を決め、個人情報保護委員会の公表資料を継続的に確認してください。

⚠ 実務上の注意

本記事は2026年7月23日時点の成立・公布済み改正法と公表資料に基づく一般的な解説です。個別事案への適用、施行後の具体的義務、契約・規程の改定については、最新の政令・規則・ガイドラインを確認し、必要に応じて弁護士等の専門家へ相談してください。

決まったことと、まだ決まっていないこと

法律の大枠は成立したが、企業実務を左右する具体的な対象範囲や手続は今後の下位規範に委ねられている。

2026年7月時点の確定事項と未確定事項
区分	内容
確定	改正法は2026年7月10日に成立し、7月17日に公布された
確定	原則として公布から2年以内の政令で定める日に施行される
確定	統計特例、子ども、特定生体個人情報、委託、個人関連情報、オプトアウト、課徴金等の制度が設けられる
未確定	具体的な施行日
未確定	特定生体個人情報の具体的な対象範囲と周知方法
未確定	統計特例で必要となる公表事項・安全管理・運用要件
未確定	漏えい報告合理化や課徴金制度の詳細な運用
※「未確定」は、法律に大枠が定められていても、具体的な実務要件が政令・委員会規則・ガイドライン待ちであることを示します。