2026年7月10日、個人情報保護法の改正法が国会で成立し、7月17日に公布されました。いわゆる3年ごと見直しの結果で、2023年から3年かけて検討されたものです。個人情報保護委員会の概要資料によれば、改正の柱は4つ。適正なデータ利活用の推進、リスクに応じた規律、不適正利用の防止、そして規律を守らせるための課徴金の新設です（記事末尾の出典参照）。

この改正について、経営層の間で最初に広まった言葉は「AI開発なら本人の同意が要らなくなる」でした。半分は正しく、半分は危ない読み方です。正しいのは、統計作成等（AI開発等を含む、と概要資料に明記）にのみ使う場合に、個人データの第三者提供と、公開されている要配慮個人情報の取得について、本人同意を不要とする特例が入ったこと。危ないのは、その特例には条件があり、しかも施行は公布から2年以内に政令で定める日で、まだ使えないことです。

この記事では、個人情報保護委員会が公表した概要資料と国会の附帯決議、9月9日に示された政令・規則の整備スケジュールを読み、経営が読み違えやすい3点を整理したうえで、いま決めておく3行にまとめます。

この記事の要点：改正法は7月10日成立、7月17日公布、施行は2年以内。統計作成等（AI開発等を含む）にのみ使う場合は本人同意が不要になるが、公表と書面合意と目的外利用の禁止が条件で、社内の個人単位のAI利用は対象外。課徴金は、不正取得、不適正利用、違法な第三者提供、統計特例違反の重大な違反が対象。委託先の義務、顔特徴データ、16歳未満の規律も入る。経営が決めるのは、特例を先取りしないこと、課徴金の4類型で棚卸しすること、委託契約と顔認証と子供向けを点検すること。

新しい高速道路の開通告知にたとえると

新しい高速道路の建設が決まり、開通は2年以内、とだけ発表された状態を考えます。物流の経路計画を、いまから引き直すのは正しい。しかし、まだ舗装もされていない道を、今日トラックで走ることはできません。そして開通後は、その道に速度違反の取り締まり装置も同時に設置される、と告知されています。

改正個人情報保護法は、この状態です。特例という新しい道が引かれることは決まった。開通日は政令待ち。開通と同時に、課徴金という取り締まりも始まる。経路計画（データ活用の設計）を見直す時期であって、走り出す時期ではありません。

4つの柱を、経営の言葉で

概要資料の4つの柱を、会社にとって何が変わるかの順で並べ替えます。

柱主な内容（概要資料より）会社への影響
1. 適正なデータ利活用の推進統計作成等（AI開発等を含む）にのみ利用される場合、第三者提供と公開されている要配慮個人情報の取得について本人同意を不要とする。本人の意思に反しないことが明らかな取扱い（契約の履行に不可欠な提供など）も同意不要。学術研究機関等に医療機関を含むことを明示使える場面は限定的。条件を守れる設計が要る
2. リスクに適切に対応した規律16歳未満は法定代理人の同意と通知を対象とし、最善の利益を優先する責務。顔特徴データ等は一定事項の周知を義務化し、オプトアウトによる第三者提供を禁止。委託先に、委託された業務の範囲を超えた取扱いの禁止を明文化。漏えい時の本人通知を一部緩和子供向けサービス、監視カメラや入退室の顔認証、データ処理の外注に直接効く
3. 不適正利用等防止個人情報ではないが特定の個人への働きかけが可能な情報の不適正利用と不正取得を禁止。オプトアウト制度で提供先の身元と利用目的の確認を義務化名簿や行動履歴の売買、取得経路の点検
4. 規律遵守の実効性確保命令の要件見直し、違反を補助する第三者への措置、罰則強化と詐欺等による不正取得罪の新設、重大な違反で個人の権利利益が侵害された場合の課徴金違反が、指導で済む話から、金額の話になる

施行期日は、原則として公布の日から起算して2年を超えない範囲内、と概要資料にあります。委員会は8月26日に政令・規則で定める事項の全体像を、9月9日に整備の進め方を公表しており、9月中旬から10月中旬にかけて基本的な考え方を順に示し、団体との意見交換と事務局ヒアリングを経て、2027年1月以降に意見公募（パブリックコメント）を始める予定です。つまり、細部が決まるのは来年です。

読み違えやすい3点

1.「AI開発なら同意不要」は、条件付きで、まだ使えない

特例の条件を、概要資料からそのまま引きます。統計作成等にのみ利用されることが担保されていること。担保のための規律として、一定の事項の公表（取得者や提供元・提供先の名称、行おうとする統計作成等の内容）、統計作成等のみを目的とする提供である旨の書面による合意、取得者と提供先の目的外利用と第三者提供の禁止、が挙げられています。具体的な範囲は委員会規則で定める、とも書かれています。

ここで押さえておくべきは、統計作成等とは、特定の個人との対応関係が排斥されたものだ、という点です。国会の附帯決議も、他の情報と照合して特定の個人を識別できないようにする措置を確実に講じること、AIモデルが特定の個人を識別したり要配慮個人情報を推知したりするリスクを勘案すること、を求めています。

言い換えると、社内の営業支援AIに顧客の個人データを読ませて、個人ごとの提案を作らせる、といった使い方は、この特例の対象ではありません。それは個人を特定する利用であって、統計ではないからです。特例が効くのは、複数の事業者のデータを持ち寄って、個人が消えた形のモデルや統計を作る場面です。自社のAI活用の大半は、施行後も現行と同じ同意のルールの下にあります。

そして施行前です。いま特例を前提にデータを集める計画を動かすと、施行日まで違法な状態が続きます。

2. 課徴金は、名簿業者以外にも及ぶ

課徴金の対象は、概要資料では「重大な違反行為により個人の権利利益が侵害された場合等」とされ、違反で得た財産的利益等に相当する額を納付させる仕組みです。報道や法律事務所の解説によれば、対象となる違反は、不正取得、不適正利用、違法な第三者提供、統計特例違反の4類型に限定され、繰り返しには加算があるとのことです。

経営が読み違えやすいのは、これを名簿業者の話だと思うことです。附帯決議には確かに、いわゆる闇名簿への流用に緊急命令と課徴金を速やかに出すこと、とあります。ただ、4類型のうち違法な第三者提供と不適正利用は、普通の会社の普通の業務でも起こり得ます。グループ会社間で同意なく顧客データを回す。取得時に示した目的の外でデータを使う。委託先が委託の範囲を超えてデータを使う。これまでは指導や勧告で終わることが多かった行為が、施行後は金額の話になります。

3. 静かに効くのは、委託先、顔認証、子供

AIの話題の陰で見落とされやすいのが、2番目の柱です。

委託先については、委託された業務の範囲を超えて取り扱ってはならない義務が、委託先自身に明文で課されます。データ処理を外注している側は契約書の見直しが要り、受託している側（システム会社やコールセンターなど）は自分の義務になります。委託先が自ら取扱いの方法を決めないケースでは義務が免除される、という細かい設計もあり、ここは規則待ちです。

顔特徴データ等については、取り扱うこと、利用目的、元になった身体的特徴の内容、利用停止請求の手続などを本人に周知する義務ができ、オプトアウトによる第三者提供は禁止されます。監視カメラの顔認証、入退室管理、店舗の顧客分析。附帯決議は、カメラやセンサーの周辺に分かりやすく掲示するなどの周知を事業者に徹底させること、を求めています。

16歳未満については、同意や通知の相手を法定代理人にすることが義務になり、利用停止の請求要件が緩和されます。消費者向けのサービスで、年齢を確認していない会社は、確認の仕組みから作ることになります。

経営が決めること。3行で足ります

施行は2年以内で、細部は来年決まります。だからといって、来年まで何もしないのは違います。いま決めておくのは次の3行です。

  1. 特例を先取りしない。統計作成等の特例を使う計画は、規則案が出て意見公募が始まる2027年以降に設計する。それまでの新しいデータ活用は、現行法の同意ルールで組む。社内の個人単位のAI利用は、施行後も特例の対象外だと周知する。
  2. 課徴金の4類型で、自社の取扱いを棚卸しする。不正取得、不適正利用、違法な第三者提供、統計特例違反。特に、グループ会社間の共有、取得時の目的の範囲、Webからの収集、委託先の利用範囲を見る。指導で済んでいたものが金額になる前提で見直す。
  3. 委託契約と、顔認証と、子供向けを点検する。委託契約に業務範囲外の取扱い禁止を書き、顔特徴データを扱う場所に周知の掲示を計画し、16歳未満を扱うサービスで年齢確認と法定代理人の同意の仕組みを検討する。いずれも規則待ちだが、対象の洗い出しは今できる。

3行のうち、いちばん見落とされるのは3です。1と2は法務が動きますが、3は施設管理や店舗運営、システム部門の話で、法務の視界に入りにくい。経営から先に投げておく必要があります。

結び

以前、個人情報保護法とデータ管理の実務対応の記事で、法律は3年ごとに変わる前提で管理の仕組みを作るべきだと書きました。今回の改正は、その前提どおりに来た変更です。新しい道は引かれますが、開通までに2年あり、取り締まりも同時に始まります。

開通日を待たず、経路計画を今から引き直す。それが、この改正への正しい向き合い方だと考えています。

出典（一次情報）

この記事の改正法に関する記述は、以下の公開情報にもとづいています（いずれも2026年9月14日時点）。

上記は2026年9月14日時点の公開情報です。特例の具体的な範囲や課徴金の算定方法は、今後の政令・規則で定められます。自社への適用は、必ず法務部門または弁護士にご確認ください。