2026年7月17日、改正個人情報保護法が公布された。結論から言うと、今回の改正は「AI開発のためのデータは使いやすく、そのかわり違反には重い罰を」という二本立てだ。AI学習や統計作成が目的なら本人の同意なしに個人データを扱える特例が新設される一方、法律として初めて課徴金（違反企業からお金を徴収する制度）が導入された。何がどう変わるのかを、順に整理する。
2026年改正個人情報保護法とは
今回の改正は「個人情報の保護に関する法律等の一部を改正する法律」として、2026年7月17日に令和8年法律第56号として公布された。2026年4月7日に閣議決定され、7月に国会を通過した流れだ。
背景にあるのは、生成AIの急速な普及だ。従来の個人情報保護法は「本人の同意」を軸に組み立てられていたが、大量のデータを学習させるAI開発とは相性が悪いという指摘が続いていた。約2年半の検討を経て、データの利活用と保護のバランスを取り直したのが今回の改正だと説明されている。
改正の柱は大きく4つに整理される。
- データ利活用の推進（AI・統計目的の同意要件の緩和）
- リスクの高い情報への規律強化（こども・生体情報）
- 不適正な利用の防止
- ルールを守らせる実効性の確保（課徴金・刑事罰）
目玉①：AI学習・統計作成なら本人同意が不要に
もっとも注目されているのが、統計作成やAI開発を目的とする場合に、本人の同意なしで個人データを第三者に提供できる特例だ（改正法30条の2第1項、31条の3第1項などで手当てされたとされている）。
「公開されている要配慮個人情報」も対象に
さらに踏み込んだのが、要配慮個人情報の扱いだ。要配慮個人情報とは、病歴・障害・犯罪歴・人種・信条など、取り扱いに特に配慮が必要とされる情報のこと。これまでは取得に原則として本人同意が必要だった。
改正後は、すでに公開されている要配慮個人情報について、統計作成等の目的に限り、条件を満たせば同意なく取得できるようになるとされている。取得の同意要件も「困難であるとき」から「相当の理由があるとき」へと緩和された。
ただし「使い放題」ではない
誤解されやすい点だが、これは無条件の解禁ではない。専門家の解説では、おおむね次の条件が挙げられている。
- 統計作成等の目的のみに使うことが担保されていること（個人を特定する用途に転用しない）
- 個人情報保護委員会規則で定める事項を公表していること
- 第三者に提供する場合は、提供先との書面による合意があること
つまり「AI開発と言えば何でも許される」のではなく、目的の限定と透明性の確保がセットになっている、という設計だ。
目玉②：初めての「課徴金制度」
もう一方の柱が、個人情報保護法として初導入となる課徴金制度だ。課徴金とは、違反によって得た利益を国が取り上げる金銭的な制裁を指す。
報じられている制度の骨格は次の通りだ。
- 対象は、違法な第三者提供や不正取得・不正利用など限定された類型
- 原則として、本人の数が1,000人を超える規模の違反が対象
- 「相当の注意」を怠った事業者に限られる
- 金額は、違反行為によって得た財産的利益に相当する額（算定方法は政令で定める）
「うっかりミスの漏えい」が直ちに課徴金の対象になるわけではなく、意図的・悪質な類型を狙い撃ちにした制度と読み取れる。あわせて、悪質な違反への刑事罰も強化された。
目玉③：こどもと「顔データ」の保護が強化
利活用を広げる一方で、リスクの高い領域は締められた。
- 16歳未満の個人情報については、法定代理人（保護者）の同意が必要であることが明文化された。
- 顔の特徴を数値化したデータなど特定生体個人識別符号は、本人の関与なく第三者提供する「オプトアウト」の対象から外され、事前の通知義務も課されるとされている。
顔認証データは一度流出すればパスワードのように変更できない。取り返しがつかない情報ほど強く守るという方向性が示された形だ。
いつから施行される？
施行時期は段階的だ。専門家の解説によると、一部の規定は2027年1月17日に施行され、中心となる規定は公布から2年を超えない範囲で政令が定める日（つまり2028年7月16日まで）に施行される見込みとされている。
細かな要件の多くは今後の個人情報保護委員会規則や政令に委ねられており、実務上の詳細はこれから固まっていく段階だ。自社の対応を検討する場合は、最新の公式情報を確認し、必要に応じて弁護士など専門家に相談してほしい。本記事は制度の概要を中立的に整理したものであり、個別の法的判断を示すものではない。
独自の視点｜抑止の位置が「入口の同意」から「出口の吐き出し」へ
ここまでの事実を筆者なりにつなげると、次のように読める。特例で外れたのは本人同意という入口の関門で、代わりに置かれたのは目的の限定・所定事項の公表・書面合意という、いずれも記録に残る形式要件だ。他方で新設された課徴金は、金額の基準が違反により得た財産的利益に相当する額とされている。事前に一件ずつ許可を取らせる代わりに、逸脱すれば儲けを取り上げる設計だ。ここから筆者は、今回の本質は緩和でも厳格化でもなく、抑止をかける位置が入口から出口へ移ったことではないかと考える。
この見立てが正しければ、実務で重くなるのは同意取得の運用より、「何の目的でどこまで使ったか」を後から示せる証跡づくりだと予想する。外れても、説明できる状態を保つ負担が増える方向は変わらない。今後の政令次第で変わりうる。
独自の視点｜線引きが「機微さ」から「取り返しがつくか」へ
何を強く守るかという線引きにも、興味深い逆転がある。病歴や犯罪歴といった要配慮個人情報は、従来もっとも慎重に扱うべき情報だった。それが、公開済みのものは統計作成等の目的に限り同意なく取得できる方向へ動いた。逆に顔の特徴を数値化した特定生体個人識別符号は、オプトアウトから外され事前通知義務まで課されるという。機微さの順序では逆に見えるが、流出後に変更できるかどうかという軸で並べ替えると説明がつくのではないか。
この読みが正しければ、今後の政令や委員会規則も「再発行できるか」を手がかりに切り分けられていくと予想する。外れても、公開済みかどうかと保護の強さが一致しなくなった点は変わらない。細目はこれから固まる段階で、今後の状況次第で変わりうる。個別の法的判断は専門家に確認してほしい。
よくある質問
改正個人情報保護法はいつから施行されるのか？
一部の規定は2027年1月17日、中心的な規定は公布（2026年7月17日）から2年以内に政令で定める日に施行されるとされている。正確な期日は今後の政令で確定するため、個人情報保護委員会の公表情報の確認が確実だ。
AIの学習に個人データを自由に使えるようになったのか？
いいえ。統計作成やAI開発といった目的に限定され、目的外に使わないことの担保・所定事項の公表・第三者提供時の書面合意といった条件を満たす必要があるとされている。目的を限定した緩和であり、無条件の解禁ではない。
課徴金はどんな会社が対象になるのか？
違法な第三者提供や不正取得などの限定された類型で、原則として本人の数が1,000人を超える規模の違反が対象とされている。金額は違反により得た利益に相当する額とされ、算定方法は政令で定められる予定だ。
参考・出典
- 令和8年改正個人情報保護法とは？ポイントを弁護士が解説（BUSINESS LAWYERS）
- 【弁護士解説】令和8年個人情報保護法改正とは？全体像を弁護士が解説（GVA法律事務所）
- 個人情報保護法改正はいつから？課徴金・こども個人情報・生体情報の変更点【2026年公布】（法改正ナビ）
- 2026年（令和8年）改正個人情報保護法の概要（のぞみ総合法律事務所）
※本記事は2026年7月28日時点の公開情報にもとづく一般的な解説である。施行期日や細目は今後の政令・個人情報保護委員会規則で定められるため、最新かつ正確な内容は個人情報保護委員会の公式発表を確認してほしい。個別の対応については専門家に相談してほしい。
コメント