改正個人情報保護法（令和8年改正）とは・意味、変わること・施行日・具体例

最終確認日：2026年10月26日

改正個人情報保護法（令和8年改正）とは？

改正個人情報保護法（令和8年改正）とは、2026年7月17日に公布された「個人情報の保護に関する法律等の一部を改正する法律」によって改められる個人情報保護法のこと（※2）。法律の番号は、令和8年法律第56号だ（※6）。個人情報保護法の英語の名前は、個人情報保護委員会の英語のページでは「Act on the Protection of Personal Information」となっている（※11）。

個人情報保護委員会は閣議決定を知らせる発表で、改正の主な中身として次のことを挙げた（※4）。

• 身体の一部の特徴に関する情報を含む個人情報などは、違法な扱いなどがなくても、本人が利用の停止などを求められるようにする。
• 個人情報を違法に扱って財産上の利益を得た場合に、委員会が課徴金の納付を命じる制度を設ける。
• 統計などを作る第三者へ個人情報を渡すときなどに、本人の同意を要らなくする。

今の法律では、法律が定める例外を除いて、個人データを第三者に渡すときは本人の同意が必要だ（※1）。改正後は、統計情報等の作成にだけ使われることが担保されているなどの条件を満たせば、本人の同意なしに提供できるようになる。委員会は、この「統計情報等の作成」に、AI開発等のうち統計作成等に当たると整理できるものも含むとしている（※1）。

改正個人情報保護法で変わることと施行日

委員会は、改正の中身を4つの分野に分けて示している（※1）。

• 適正なデータ利活用の推進：統計作成等の特例のほか、個人情報を得たときの状況に照らして本人の意思に反せず、そのため本人の権利や利益を害さないのが明らかな扱いでは、同意を要らなくする。人の生命などを守るためや公衆衛生を高めるためなどに個人情報を扱う場合に求められている「本人の同意を得ることが困難であるとき」という要件をゆるめる。病院など医療を提供する機関も、学術研究の例外の対象に含まれることを明示する。
• リスクに適切に対応した規律：16歳未満の子どもの個人情報、顔特徴データ等、データ処理を委託された事業者、漏えいが起きたときの本人への通知の決まりを見直す。
• 不適正利用等防止：電話番号やメールアドレス、Cookie ID など特定の個人に連絡できる記述を含む情報は、個人情報に当たらなくても、不適正な利用や不正な取得を禁じる。本人の求めがあれば提供を止めることなどを条件に、同意なしに第三者へ提供できるオプトアウト制度では、提供先の身元と利用目的の確認を義務にする。
• 規律遵守の実効性確保のための規律：委員会の勧告や命令の決まりを見直し、罰則の対象を広げて重くし、課徴金の制度を設ける。

統計作成等の特例の対象と事業者にかかる決まり

改正法は「統計作成等」を、大量の情報を分析してその傾向や性質を示す情報を作る行為のうち、個人の権利や利益を害するおそれが小さいと委員会規則で定めたものと定義した。作る情報からは、個人に関する情報を除く（※3）。

特例を使う事業者には、統計情報等の作成にだけ使われることを担保するための決まりがかかる。委員会の資料が挙げる決まりは、次のようなものだ（※1）。

• 提供元・提供先などの名前と、行おうとする統計情報等の作成の内容を公表する。
• 提供元と提供先は、統計情報等の作成だけを目的とした提供であることを、書面で合意する。
• 提供先などは、受け取った情報を目的の外で使ったり、さらに第三者に提供したりしてはならない。

特例は、第三者への提供のほか、取得する時点で公開されている要配慮個人情報を取得するときにも使える（※1）。要配慮個人情報は、信仰や病歴、犯罪の経歴など、差別のもとになりうる情報を指す。委員会の資料は、ウェブスクレイピングによる取得を例に図示している（※1）。ウェブスクレイピングは、ウェブサイトから情報を自動で集めることをいう。

委員会は2026年10月1日に、統計作成等の要件について、委員会規則で定める内容の案を示した。特定の個人との対応関係をなくしたAIモデルや統計情報を作る行為のうち、目的外の利用の防止、違法な第三者提供の防止、適切な安全管理と元のデータの復元の防止、要らなくなったデータの削除の体制を整えて行うものに限る、という案だ（※7）。

課徴金の対象となる重大な違反と額の決まり

課徴金の対象は、重大な違反に限られる。委員会の資料は、対象の違反の類型として、不適正な利用、偽りなどの不正な手段による取得、本人の同意のない第三者提供、統計作成等の特例の違反を挙げている（※1）。このうち不適正な利用で対象になるのは、その個人情報を使って違法な行為や不当な差別的取扱いをすることが想定される第三者に個人情報を提供することと、その第三者の求めで個人情報を利用することだ（※3）。

改正法は課徴金の額を、違反の行為の対価、または違反をやめる見返りとして得た「金銭等に相当する額として政令で定める方法」により算定した額としている（※3）。違反の対象になった個人情報の本人の数が1,000人を超えないときなどは、課徴金の納付を命じることはできない。違反を防ぐための相当の注意を怠っていなかったと認められる事業者も、対象から外れる（※3）。

過去に課徴金の納付命令を受けた事業者は、額が1.5倍になる場合がある。委員会の報告の求めや立入検査が最初に行われた日からさかのぼって10年以内に確定した納付命令を受けていて、その命令の日以後にも今回の課徴金の対象になった行為をしていた場合だ。

違反の事実を委員会に自ら報告した事業者は、額が半分に減る。ただし、調査を受けて命令が出ることを予知したあとの報告は、減額の対象にならない（※3）。

改正法の大部分は公布から2年以内に政令で定める日に施行

改正法の大部分は、公布の日から2年を超えない範囲で、政令で定める日に施行される。罰則の見直しや公示送達のデジタル化など一部の規定は、公布の日から6か月を経過した日に施行される。経過措置を政令にゆだねる規定などは、公布の日に施行された（※3、※5）。

委員会が2026年7月31日に示したロードマップでは、改正法の施行を2028年の春から7月ごろに置いている。委員会は、このロードマップを大まかな見込みとし、状況によって変わりうるとしている（※5）。

改正個人情報保護法が生まれた背景

2020年の改正法の附則は、施行の状況を3年ごとに検討するよう定めていた（※1）。委員会は、この「3年ごと見直し」の検討を2023年11月から進めてきた（※10）。今回の改正法の附則も、施行のあと3年ごとに施行の状況を検討するよう定めている（※3）。

政府の方針にも、改正の検討が書き込まれていた。2025年6月13日に閣議決定された規制改革実施計画は、統計作成等の目的に限った扱いで本人の同意をどう求めるかなどを検討し、結論が出たら改正法案を速やかに国会に出すとした。

2025年12月23日に閣議決定された人工知能基本計画も、改正案を早く国会に出すことを掲げた。計画は、AI開発等のうち統計作成等に当たると整理できるものを進めやすくするために、本人の同意の求め方などを検討するとした（※1）。

委員会は、改正の理由として、個人情報を含むデータを活用したい需要が高まる一方で、違法な扱いによって個人の権利や利益が損なわれるおそれも大きくなっていることを挙げている（※4）。

改正個人情報保護法に関する主な出来事・ニュース

• 2026年1月9日　個人情報保護委員会「個人情報保護法　いわゆる３年ごと見直しの制度改正方針」を公表：個人情報保護委員会は、3年ごと見直しの検討をまとめた制度改正方針を公表した。
• 2026年4月7日　政府「個人情報の保護に関する法律等の一部を改正する法律案」を閣議決定：政府は改正法案を閣議決定し、第221回国会に提出した。
• 2026年7月10日　国会「個人情報の保護に関する法律等の一部を改正する法律」が成立：改正法は、国会で可決されて成立した。
• 2026年7月17日　政府「個人情報の保護に関する法律等の一部を改正する法律」を公布：改正法が公布された。
• 2026年7月31日　個人情報保護委員会、改正法の成立を受けた今後の取組を決定：個人情報保護委員会は、施行に向けて政令・規則・ガイドラインなどを整える方針と、ロードマップを決めた。
• 2026年8月26日　個人情報保護委員会、政令・規則等で定める事項の全体像を決定：個人情報保護委員会は、政令や委員会規則、ガイドラインなどで定める項目の全体像を決めた。
• 2026年10月1日　個人情報保護委員会、政令・規則の整備に向けた基本的な考え方②を決定：個人情報保護委員会は、①に続き、適正なデータの利活用とリスクに応じた規律について、政令・規則で定める内容の考え方を決めた。
• 2026年10月14日　個人情報保護委員会、政令・規則の整備に向けた基本的な考え方③を決定：個人情報保護委員会は、不適正な利用などを防ぐ規律と規律が守られるようにするための規律について、政令・規則で定める内容の考え方を決めた。

個人情報保護委員会が示した改正法の具体例

本人の権利を害さないのが明らかな提供の例はホテル予約と海外送金

委員会は、個人情報を得たときの状況に照らして本人の意思に反せず、そのため本人の権利や利益を害さないのが明らかな扱いの例として、2つの場面を挙げている（※1）。

• ホテルの予約サイトが、予約者の氏名などを予約先のホテルに提供する。
• 送金元の金融機関が、海外への送金のために、送金者の情報を送金先の金融機関に提供する。

どちらの提供も契約を果たすのに欠かせないが、今の規定では本人から同意を得る必要がある、と委員会は説明している（※1）。

統計目的のデータの流用は課徴金の対象になりうる

委員会は、統計作成等の特例で課徴金の対象になりうる違反の例も示した。統計情報等を作る目的で受け取った個人データを、統計にせずにそのまま第三者に売った場合や、顧客企業に向けた広告配信のサービスにそのまま使って利益を得た場合だ（※1）。

個人情報保護委員会は未払いの代金も課徴金の額に含める案を提示

委員会は2026年10月14日に、課徴金の額の算定の方法について案を示した。違反の行為などの対価としてすでに支払われた金銭等と、まだ支払われていないが受け取ることになっている金銭等を合わせた総額を、課徴金の額とする案だ。この算定の方法を踏まえた額の例として、委員会は次の想定事例を挙げている（※8）。

改正個人情報保護法の未確定の点と生成AIへの入力の注意

改正法の大部分は、まだ施行されていない。統計作成等の要件や公表の方法、課徴金の算定の方法などは、これから政令や委員会規則で決まる（※3、※5）。委員会は2026年9月から、定める内容の考え方を分野ごとに議論している（※2）。研修や社内の説明で改正法を取り上げるときは、施行の日と細かな要件がまだ決まっていないことを添えると、誤解を防げるだろう。

統計作成等の特例は、統計情報やAIモデルを作る目的にだけ使うことが担保された場合の決まりだ（※1、※7）。生成AIサービスへ個人情報を入力するときの注意点は、委員会が2023年6月2日に「生成AIサービスの利用に関する注意喚起等」で示している。委員会はこの中で、個人情報の入ったプロンプトの入力が、特定した利用目的を達成するのに必要な範囲に収まっているかを十分に確かめるよう、事業者に注意を促した。

本人の同意なしに個人データの入ったプロンプトを入力し、そのデータが応答の出力のほかの目的にも使われる場合は、法律に違反する可能性があると委員会はみている（※9）。

改正個人情報保護法に関する出典

※1 個人情報保護委員会事務局「個人情報保護法等の一部を改正する法律について」（2026年7月）
※2 個人情報保護委員会「令和８年 改正個人情報保護法について」
※3 個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律」（法律の本文）
※4 個人情報保護委員会「「個人情報の保護に関する法律等の一部を改正する法律案」の閣議決定について」（2026年4月7日）
※5 個人情報保護委員会事務局「個人情報の保護に関する法律等の一部を改正する法律の成立を受けた個人情報保護委員会の今後の取組について」（2026年7月31日）
※6 個人情報保護委員会事務局「個人情報の保護に関する法律等の一部を改正する法律　政令・規則の整備に向けた基本的な考え方について①」（2026年9月16日）
※7 個人情報保護委員会事務局「個人情報の保護に関する法律等の一部を改正する法律　政令・規則の整備に向けた基本的な考え方について②」（2026年10月1日）
※8 個人情報保護委員会事務局「個人情報の保護に関する法律等の一部を改正する法律　政令・規則の整備に向けた基本的な考え方について③」（2026年10月14日）
※9 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（2023年6月2日）
※10 個人情報保護委員会「いわゆる３年ごと見直しの経緯（令和８年 改正個人情報保護法関係）」
※11 Personal Information Protection Commission「System Reform Policy under the Triennial Review of the Act on the Protection of Personal Information (January 9, 2026)」（2026年1月9日）

改正個人情報保護法に関連する記事

• 「この資料、AIに貼っていい？」と迷ったら　生成AIに入力しない情報の例と、学習に使わせない設定（2026.10.19）