２　改正を理解するための個人情報保護法の基礎

個人情報保護法では、「個人情報」「個人データ」「保有個人データ」「個人関連情報」など、似た用語が使い分けられています。

どの区分に該当するかによって、第三者提供、安全管理措置、漏えい等報告、開示・利用停止等に関する規律が異なります。今回の改正を理解するために必要な範囲で、基本的な用語を確認します。

⑴　個人情報

個人情報とは、生存する個人に関する情報であって、その情報に含まれる氏名、生年月日その他の記述等により、特定の個人を識別できるものをいいます。

例えば、次のような情報が該当します。

• 氏名と勤務先
• 本人を識別できる顔写真
• 個人を識別できるメール
• 特定の従業員について記録された人事評価
• 個人を識別できる録音・映像
• 指紋認証データ等の個人識別符号

氏名が記載されていなくても、所属、役職、経歴、事案の内容等を他の情報と照合することによって特定の個人を識別できる場合には、個人情報に該当することがあります。

⑵　個人データ

個人データとは、個人情報データベース等を構成する個人情報をいいます。

例えば、次のようなものです。

• 顧客管理システムに登録された顧客情報
• 従業員名簿
• 会員データベース
• 患者情報を検索できる診療記録
• 名刺管理ソフトに登録された取引先担当者の情報

担当者が受け取った直後の名刺は個人情報ですが、名刺管理ソフトに登録され、氏名や会社名から容易に検索できるようになると、通常は個人データに該当します。

⑶　保有個人データ

保有個人データとは、個人情報取扱事業者が、開示、訂正、削除、利用停止、第三者提供の停止等を行う権限を有する個人データです。

例えば、企業が自ら管理し、本人からの開示・訂正等の請求に対応する権限を有する顧客データや従業員データが該当します。

単にサーバー内にデータを保存しているというだけではなく、事業者がその内容を訂正したり、利用を停止したりする権限を有するかが問題となります。

⑷　要配慮個人情報

要配慮個人情報とは、不当な差別、偏見その他の不利益が生じないよう、特に慎重な取扱いが必要とされる個人情報です。

例えば、次のような情報が含まれます。

• 病歴
• 健康診断の結果
• 障害に関する情報
• 犯罪歴
• 犯罪被害を受けた事実
• 人種、信条、社会的身分に関する情報

企業実務では、健康診断結果、休職者の診断書、障害者雇用に関する情報、労災やハラスメントに関する調査資料等に、要配慮個人情報が含まれることがあります。

要配慮個人情報の取得には、法令上の例外に該当する場合を除き、原則として本人同意が必要です。

⑸　本人同意は、すべての取扱いに必要なわけではありません

個人情報保護法は、個人情報を取り扱うすべての場面で、本人同意を求めているわけではありません。

通常の個人情報を取得・利用する場合には、利用目的をできる限り特定し、その利用目的の範囲内で取り扱うことが基本となります。

本人同意が特に問題となるのは、主に次のような場面です。

• 利用目的の範囲を超えて個人情報を利用する場合
• 要配慮個人情報を取得する場合
• 個人データを第三者に提供する場合
• 外国にある第三者へ個人データを提供する場合

今回の改正では、これらの場面のうち、本人の意思に反せず権利利益を害しないことが明らかな一定の取扱いや、特定の個人との対応関係が排斥された分析結果を作成する一定の取扱いについて、本人同意に関する規律が見直されます。

⑹　第三者提供と委託の違い

個人データを外部の事業者に渡す場合でも、すべてが本人同意を必要とする「第三者提供」になるわけではありません。

第三者提供の例

自社の顧客情報を、別の会社が自社の営業や広告に利用するために渡す場合は、原則として第三者提供に当たります。

個人データの第三者提供には、法令上の例外に該当する場合を除き、原則として本人同意が必要です。

委託の例

次のような場合は、通常、委託として扱われます。

• 商品の配送のために配送会社へ氏名・住所を渡す
• 給与計算会社へ従業員情報を渡す
• コールセンターに顧客対応を委託する
• データ入力会社に名簿の入力を依頼する
• クラウドサービス上で顧客データを処理する

委託とは、委託元の利用目的を達成するため、委託された業務の範囲内で個人データ等を取り扱わせることです。

委託先が受け取った個人データ等を、自社の商品開発、広告、営業、AI学習等のために独自に利用する場合は、単なる委託の範囲を超える可能性があります。

⑺　個人関連情報

個人関連情報とは、生存する個人に関する情報ではあるものの、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しない情報です。

例えば、次のような情報が該当することがあります。

• Cookie IDに紐付く閲覧履歴
• 端末識別子に紐付く利用履歴
• 氏名と結び付いていない位置情報
• 年齢、性別、関心分野等の属性情報

提供元では個人を識別できなくても、提供先が会員情報等と組み合わせることにより、特定の個人の閲覧履歴等として利用できる場合があります。

今回の改正では、個人情報に該当しない場合であっても、特定の個人への連絡その他の情報伝達に利用できる記述等を含む個人関連情報について、新たな規律が設けられます。

４　AI開発等にも関係する「統計作成等」の特例

⑴　統計作成等とは

改正法は、新たに「統計作成等」という用語を定義しています。

統計作成等とは、大量の情報から必要な情報を抽出し、分類、比較その他の解析を行うことにより、その大量の情報の傾向又は性質に関する情報を作成する行為のうち、個人の権利利益を害するおそれが少ないものとして個人情報保護委員会規則で定めるものです。

重要なのは、作成される結果から「個人に関する情報」が除かれていることです。個人ごとの評価や判断を行う制度ではなく、特定の個人との対応関係が排斥された一般的・汎用的な分析結果を作成する取扱いが想定されています。

⑵　AI開発も対象となる可能性があります

個人情報保護委員会の説明資料は、「統計作成等であると整理できるAI開発等」が特例の対象となり得ることを明示しています。

以下は、制度の趣旨を理解するための一般的な実務例です。個別のAI開発等が特例の対象となるかは、利用目的、処理方法、出力内容及び実際の運用等を踏まえて判断する必要があります。

例えば、次のような利用が考えられます。

• 大量の文章から一般的な言語の傾向を学習するAIモデルの開発
• 大量の画像から物体や模様の一般的な特徴を学習する画像認識モデルの開発
• 多数の購買履歴から商品需要の傾向を分析するシステム
• 複数の医療データから疾病の発生傾向を分析する研究
• 多数の取引記録から不正取引に共通する特徴を分析するモデル
• 交通量、利用状況、故障履歴等から将来の需要や異常の傾向を予測するモデル

統計作成等の特例を利用できる場合であっても、氏名、住所、社員番号、顧客番号その他の識別子をそのまま利用・提供する必要があるとは限りません。統計作成等の目的に不要な項目はあらかじめ削除し、必要に応じて仮名化、匿名化、マスキングその他の方法により、本人の識別や情報の復元が生じにくい状態にすることを検討する必要があります。

⑶　特例を利用するための主な要件

改正法では、一定の要件を満たす場合に、公開されている要配慮個人情報の取得や、統計作成等を目的とする個人データ等の第三者提供について、本人同意を不要とする特例が設けられます。

主な要件として、次の事項が定められています。

• 統計作成等の内容その他の所定事項を公表すること
• 第三者提供の場合、提供元と提供先が、特例に基づく提供であることを書面又は電磁的記録で明確に合意すること
• 公表した統計作成等のために必要な範囲を超えて利用しないこと
• 法定の例外を除き、目的外利用や第三者提供を行わないこと
• 必要な安全管理措置等を講ずること

公表は、特例の対象となる情報を取り扱っている期間中、継続して行う必要があります。また、「AI開発」などの抽象的な記載だけで足りるのか、対象データ、分析内容、開発するAIの機能や成果物等について、どの程度具体的に示す必要があるのかは、今後の個人情報保護委員会規則やガイドライン等を確認する必要があります。

第三者へ情報を提供する場合には、提供元だけでなく、提供先においても所定事項を公表する必要があるため、提供先の公表内容や公表方法を契約締結前に確認することが重要です。

特例に基づいて取得・提供された情報については、複製や加工によって個人情報に該当しなくなった場合であっても、その情報が個人に関する情報である限り、目的外利用の制限や安全管理措置等の規律が及ぶ場合があります。

したがって、最終的に統計情報やAIモデルを作成する予定であることだけを理由として、学習・分析の途中段階にあるデータの管理を緩めることは適切ではありません。

具体的な対象範囲、公表事項、公表方法等は、今後制定される個人情報保護委員会規則等で定められる予定です。

⑷　仮名加工情報・匿名加工情報・統計情報との違い

単に氏名を削除しただけでは、匿名加工情報になるとは限りません。また、仮名加工情報について対応表等を用いて本人を識別できる場合、作成した事業者にとっては、原則として個人情報であり続けます。

⑸　学習済みモデル・パラメータとの関係

個人情報保護委員会の現行のQ&Aでは、複数の本人に関する個人情報を機械学習に用いて作成した学習済みパラメータについて、特定の個人との対応関係が排斥されている限り、個人情報には該当しないとされています。

ただし、学習済みモデルやパラメータが個人情報に該当しない場合であっても、学習元となる個人情報の取得、利用、第三者提供については、別途、個人情報保護法上の要件を確認する必要があります。

また、モデルが学習データ中の個人情報をそのまま出力する場合や、モデルへの働きかけによって特定の個人の情報を推知・復元できる場合には、個人の権利利益を害するおそれがあります。学習前のデータ処理だけでなく、出力段階でのフィルタリングや再識別リスクの検証も必要です。

５　本人同意に関するその他の見直し

⑴　本人の意思に反しないことが明らかな取扱い

現行法では、契約の履行に当然必要となる情報提供であっても、個人データの第三者提供等について、形式上、本人同意が必要となる場合があります。

個人情報保護委員会の説明資料では、次のような例が示されています。

• ホテル予約サイトが、予約者の氏名等を予約先ホテルへ提供する場合
• 海外送金に際し、送金元金融機関が送金者の情報を送金先金融機関へ提供する場合

これらは、本人が申し込んだ契約を履行するために必要不可欠であり、通常、本人の意思に反するものではありません。

改正後は、本人との間の契約の履行のために必要やむを得ないことが明らかな場合その他、個人情報の取得状況からみて本人の意思に反しないため、本人の権利利益を害しないことが明らかな場合として個人情報保護委員会規則で定める場合について、本人同意を不要とする規定が設けられます。

⑵　生命・身体・財産の保護、公衆衛生等

現行法では、人の生命、身体又は財産の保護、公衆衛生の向上、児童の健全な育成の推進等のために特に必要であっても、原則として「本人の同意を得ることが困難であるとき」という要件を満たす必要があります。

改正後は、本人同意を得ることが困難な場合に加え、「本人の同意を得ないことについて相当の理由があるとき」にも、例外が認められるようになります。

例えば、本人への影響を抑える措置を講じた上で行われる公衆衛生上の調査・研究等が関係する可能性があります。具体的な適用については、今後のガイドライン等を確認する必要があります。

⑶　病院等による学術研究

改正後は、学術研究機関等の定義に、病院その他の医療の提供を目的とする機関又は団体が含まれることが明示されます。

これにより、病院が臨床症例を分析するなど、学術研究目的で個人情報を取り扱う場合について、学術研究に関する例外規定が適用される可能性が広がります。

ただし、病院等が行うすべての個人情報の取扱いが学術研究に関する例外の対象になるわけではありません。実際に学術研究目的で取り扱う必要があることや、本人又は第三者の権利利益を不当に侵害するおそれがないことなど、各例外規定の要件を確認する必要があります。

もっとも、個人情報保護法上の例外が認められる場合でも、研究倫理指針、医療関係法令、医師その他の医療従事者の守秘義務等を別途確認する必要があります。

６　16歳未満の者・未成年者の個人情報

⑴　16歳未満の者には法定代理人が関与します

改正法では、本人が16歳未満である場合、利用目的の通知等や、目的外利用、要配慮個人情報の取得、第三者提供等に関する本人同意について、原則として法定代理人を関与させる仕組みが設けられます。

例えば、次のような事業者に影響する可能性があります。

• 学校、学習塾、オンライン学習サービス
• ゲーム、SNS、動画配信サービス
• スポーツクラブ、競技団体
• 医療機関
• 通信販売、会員制サービス
• 児童向けアプリやWebサービス

ただし、16歳未満の者の情報を取り扱うすべての場面で、常に保護者の同意が必要になるわけではありません。

事業者が本人を16歳未満であると知らなかったことについて正当な理由がある場合、法定代理人が本人の営業を許可しており、その営業に関して個人情報を取得した場合、本人に法定代理人がいない場合等について、例外が定められています。

⑵　利用停止等の請求がしやすくなります

16歳未満の者に関する一定の保有個人データについては、違法な取扱いがあったか否かを問わず、利用停止等を請求できる制度が設けられます。

子どもの時期に提供した情報が、長期間にわたり利用され続けることによる不利益を防ぐことが目的です。ただし、法定代理人の同意を得て取得された場合など、一定の例外があります。

⑶　未成年者の最善の利益

16歳未満に限らず、未成年者の個人情報等を取り扱う事業者には、本人の年齢及び発達の程度に応じて、その最善の利益を優先して考慮し、未成年者の権利利益を害することがないよう必要な措置を講ずる努力義務が設けられます。

また、法定代理人が本人に代わって同意、開示等請求その他の行為を行う場合にも、本人の年齢及び発達の程度に応じて、本人の最善の利益を優先して考慮することが求められます。

企業としては、次の点を確認する必要があります。

• 利用者の年齢確認方法
• 保護者への通知・同意取得の方法
• 子どもにも理解できる説明表示
• 保護者からの開示・利用停止等請求への対応
• 広告、プロファイリング、位置情報利用の必要性
• 成人後も子どもの頃の情報を保有し続ける必要性

７　顔特徴データ等の「特定生体個人情報」

⑴　顔写真と顔特徴データは異なります

改正法は、新たに「特定生体個人情報」という用語を設けています。

個人情報保護委員会の説明資料では、当面、顔認証等に利用される顔特徴データが想定されています。

例えば、顔認証システムでは、顔の骨格、皮膚の色、目・鼻・口等の位置や形状から特徴情報を抽出し、登録済みのデータと照合して本人を識別します。

単に防犯カメラに顔が映っている場合と、顔画像から特徴量を抽出し、本人認証、行動追跡、名寄せ等に利用する場合とは、区別して考える必要があります。

⑵　周知義務

特定生体個人情報を取り扱う事業者には、個人情報保護委員会規則で定める方法により、あらかじめ次の事項等を本人に通知し、又は本人が容易に知り得る状態に置く義務が設けられます。

• 事業者の名称、住所、代表者の氏名
• 特定生体個人情報を取り扱っていること
• 利用目的
• 元となる身体的特徴の内容
• 利用停止等請求に応じる手続

例えば、入退館管理、本人確認、顔認証決済、イベント会場のセキュリティ、防犯目的の顔識別システム等が関係する可能性があります。

もっとも、周知することによって本人又は第三者の権利利益を害するおそれがある場合や、事業者の正当な利益を害するおそれがある場合など、一定の例外も設けられています。具体的な適用については、今後の個人情報保護委員会規則やガイドライン等を確認する必要があります。

⑶　本人による利用停止等

特定生体個人情報については、違法な取扱いがあるか否かを問わず、一定の場合に本人が利用停止等を請求できるようになります。

また、本人から提供停止の求めを受け付けること等を条件とするオプトアウト制度によって、特定生体個人情報である個人データを第三者に提供することはできなくなります。

８　委託先に対する規律の見直し

⑴　委託先自身に直接の義務が課されます

現行法では、個人データの取扱いを委託する場合、主として委託元が委託先を監督することによって、適正な取扱いを確保する仕組みとなっています。

改正後は、他の個人情報取扱事業者又は行政機関等から個人情報の取扱いの委託を受けた個人情報取扱事業者に対し、法令に基づく場合等を除き、委託された業務の遂行に必要な範囲を超えて個人情報を取り扱ってはならないという義務が直接課されます。再委託など、2以上の段階にわたる委託も対象となります。

例えば、次のような行為は問題となり得ます。

• 委託された顧客データを自社の営業に利用する
• 委託されたデータを自社のAIモデルの学習に利用する
• 委託元の承認なく他社に再提供する
• 委託業務と無関係な分析やプロファイリングを行う

IT企業、クラウド事業者、データ入力会社、給与計算会社、コールセンター、発送代行会社等には、特に影響が大きい改正です。

⑵　取扱方法を自ら決定しない委託先についての特例

委託先が、委託元の指示に従い、取扱方法を自ら決定せずに機械的な処理のみを行う場合もあります。

例えば、委託元が処理方法をすべて指定し、委託先がその指示どおりにデータ入力だけを行う場合です。

改正法では、委託契約において所定の取扱方法や報告事項等を定め、委託先の取扱状況を委託元が把握するための措置等について合意した場合には、委託先に対する一部の義務を適用しない制度が設けられます。

もっとも、次の義務等は残ります。

• 委託業務の遂行に必要な範囲を超えて取り扱わないこと
• 安全管理措置を講ずること
• 漏えい等や契約違反の取扱いを知った場合に、委託元へ速やかに報告すること

具体的な契約事項や報告方法等は、今後の個人情報保護委員会規則等により明確化されます。

⑶　委託契約の見直し

企業は、施行までに委託契約について、少なくとも次の点を確認する必要があります。

• 委託する個人データ等の範囲
• 利用目的と処理方法
• 目的外利用の禁止
• AI学習その他の二次利用の禁止又は条件
• 再委託の承認・管理
• 安全管理措置
• 監査・報告
• 漏えい時の報告期限
• 調査協力
• データの返却・消去
• 契約終了後の取扱い

９　漏えい等報告・本人通知の見直し

個人データの漏えい等が発生した場合、一定の事案については、個人情報保護委員会への報告と本人への通知が必要です。

この2つは別の義務です。

• 個人情報保護委員会への報告
• 漏えい等の対象となった本人への通知

⑴　本人通知の合理化

今回の改正では、本人への通知が行われなくても、本人の権利利益の保護に欠けるおそれが少ない場合について、本人通知義務を緩和し、代替措置による対応を認める制度が設けられます。

個人情報保護委員会の説明資料では、漏えいした情報がサービス利用者の社内識別用ID等であり、その情報を取得した第三者にとって、それ単体ではおよそ意味を持たない場合などが想定されています。

ただし、この見直しは本人通知に関するものです。本人通知が不要となる場合であっても、個人情報保護委員会への報告義務まで当然になくなるわけではありません。

⑵　漏えい等報告の見直し

説明資料では、一定の体制・手順について認定個人情報保護団体等の第三者による確認を受けることなどを前提として、速報を一定の範囲で免除する仕組みや、本人1名に係る誤交付・誤送付等について確報を一定期間ごとにまとめて行う仕組みが示されています。

個人情報保護委員会の説明資料では、違法な個人データの第三者提供についても、漏えい等報告の対象事態に加える方向が示されています。

具体的にどのような第三者提供が報告対象となるか、報告方法や期限をどのように定めるかについては、今後制定される個人情報保護委員会規則等を確認する必要があります。

10　連絡可能個人関連情報

⑴　個人情報でなくても規律の対象となります

改正法は、新たに「連絡可能個人関連情報」という概念を設けます。

例えば、氏名が分からない状態で保有している次のような情報です。

• 住所
• 電話番号
• メールアドレス
• Cookie ID
• 端末や通信設備の利用者を識別する符号

これらは、他の情報と容易に照合できず、個人情報には該当しない場合があります。

しかし、その情報を使って特定の個人に電話、メール、郵便、広告表示その他の情報伝達を行うことができる場合には、本人のプライバシー、財産その他の権利利益を侵害するおそれがあります。

⑵　不適正利用・不正取得の禁止

連絡可能個人関連情報については、違法又は不当な行為を助長し、又は誘発するおそれがある方法による利用と、偽りその他不正の手段による取得が禁止されます。

例えば、電話番号やメールアドレスに、健康情報、借金、投資経験その他の秘匿性の高い情報を結び付け、詐欺的な勧誘や犯罪に利用する行為等が問題となります。

Cookie IDについては、すべてのCookie IDが当然に対象となるわけではありません。特定の個人に対する情報伝達に利用できるものであることが必要です。

11　オプトアウト制度による第三者提供

オプトアウト制度とは、本人から提供停止の申出があれば提供を停止すること等を条件として、所定の届出・通知等を行った上で、個人データを本人同意なく第三者に提供する制度です。

名簿事業者等が利用することがあります。

今回の改正では、オプトアウト制度によって個人データを第三者に提供する場合、提供元は、あらかじめ次の事項を確認しなければなりません。

• 提供先の氏名又は名称
• 住所
• 法人の場合は代表者の氏名
• 提供先における利用目的

提供先が、これらの確認事項について虚偽の説明をすることも禁止されます。

この改正は、名簿が悪質な業者に転売され、特殊詐欺や強盗等に利用される、いわゆる「闇名簿」問題への対策という側面を有しています。

なお、この新たな確認義務については、提供元が個人データを取得した時点で、その個人データの全部が本人、国の機関、地方公共団体等により公開されていた場合など、一定の例外が設けられています。

12　勧告・命令、第三者への要請、刑事罰

⑴　緊急命令の対象が広がります

現行法では、個人の重大な権利利益が既に侵害されている場合に、勧告を経ずに命令を出すことができます。

改正後は、個人の権利利益の侵害が切迫している場合にも、勧告を前置せずに緊急命令を出せるようになります。

また、勧告・命令の内容として、違反行為の中止その他の是正措置だけでなく、本人への事実の通知又は公表その他の本人の権利利益を保護するために必要な措置を求めることができるようになります。

⑵　クラウド事業者等への要請

措置命令を受けた事業者がその命令に従わない場合、個人情報保護委員会は、違反行為に係る個人情報等の取扱いに利用される役務を提供する事業者に対し、個人情報等の取扱い又はサービスの停止その他の必要な措置を要請できるようになります。

また、違反行為が特定電気通信による個人情報等を含む情報の送信である場合には、措置命令をした上で、特定電気通信役務提供者に対し、その情報の流通を防止する措置を要請できる制度も設けられます。

例えば、クラウドサービス、ホスティングサービスその他個人情報等の取扱いに利用されるサービスの提供者や、一定の場合における特定電気通信役務提供者が関係する可能性があります。

要請に応じた事業者は、その措置によって措置命令を受けた事業者に生じた損害について、賠償責任を負わないものとされます。

⑶　刑事罰

個人情報データベース等の不正提供等について、従来の「自己若しくは第三者の不正な利益を図る目的」に加え、本人その他の者に損害を加える目的で行う場合も処罰対象となります。

また、自己若しくは第三者の不正な利益を図る目的又は本人、個人情報を保有する者その他の者に損害を加える目的で、詐欺、不正アクセスその他の個人情報を保有する者の管理を害する行為により個人情報を取得した者を処罰する規定も新設されます。

13　課徴金制度

⑴　課徴金とは

課徴金は、刑事罰や損害賠償とは異なり、違反行為の経済的な誘因を小さくするため、違反事業者に金銭的不利益を課す行政上の措置です。

⑵　すべての漏えい事故が対象となるわけではありません

課徴金の対象となるのは、経済的誘因のある、大量の個人情報の取扱いによる悪質な違反行為のうち、法律上の要件を満たすものです。

主な対象行為は、次のとおりです。

• 個人情報を利用して違法な行為又は不当な差別的取扱いを行うことが想定される第三者への個人情報の提供
• 第三者の求めに応じ、その第三者が個人情報の利用を通じて違法な行為又は不当な差別的取扱いを行うことが想定される状況で行う個人情報の利用
• 本人同意その他の法定要件を満たさない個人データの第三者提供
• 統計作成等の特例に基づいて取得・提供された情報の目的外利用又は違法な第三者提供
• 偽りその他不正の手段によって取得した個人情報の利用

課徴金納付命令には、原則として、事業者が対象行為を防止するための相当の注意を怠ったと認められることに加え、対象行為又はその中止の対価として財産上の利益を得たことなどが必要です。

また、対象となる本人の数が1,000人以下である場合や、個人の権利利益を害する程度が大きくない場合として政令で定める場合には、課徴金を命ずることができません。

したがって、人数については、対象となる本人の数が1,000人を超えることが、原則的な基準となります。

例えば、多数の顧客データを違法に販売して利益を得た場合や、統計作成等のために提供された情報を、特例の目的を外れて個人別の広告配信等に利用し、利益を得た場合などが問題となり得ます。

15　今後確認すべき資料

今回の改正法には、政令や個人情報保護委員会規則に委ねられている事項が多く含まれています。

特に、次の事項については、今後の資料を確認する必要があります。

• 統計作成等の具体的な対象範囲
• AI開発が統計作成等に該当するための条件
• 統計作成等に関する公表事項と公表方法
• 特定生体個人情報の具体的な範囲
• 顔特徴データ等に関する周知方法
• 16歳未満であることの確認方法
• 法定代理人の確認・同意取得方法
• 委託契約に定めるべき事項
• 漏えい時の本人通知を代替措置に変更できる範囲
• 漏えい等報告の具体的な手続
• 課徴金制度の具体的な算定・運用
• 衆議院及び参議院の附帯決議を踏まえた個人情報保護委員会規則・ガイドラインの整備状況
• 各種ガイドライン、Q&Aの改正内容

個人情報保護委員会は、施行に向けて、政令、委員会規則、ガイドライン等を検討するとしています。企業としては、公布時点の法律だけで対応を確定せず、今後の資料を継続して確認する必要があります。

16　まとめ

2026年改正個人情報保護法は、AI開発等にも関係するデータ利用の円滑化と、個人の権利利益を保護するための規律強化を同時に行うものです。

企業実務上、特に重要なのは、次の点です。

• AI開発等を含み得る統計作成等の特例
• 16歳未満の者と未成年者の個人情報
• 顔特徴データ等の特定生体個人情報
• 委託先に対する直接的な規律
• 漏えい等報告・本人通知の見直し
• 連絡可能個人関連情報
• オプトアウト提供先の確認
• 勧告・命令、刑事罰及び課徴金制度

施行日はまだ決まっておらず、制度の詳細は今後の政令、個人情報保護委員会規則、ガイドライン等により具体化されます。

したがって、現時点で形式的な規程改訂を急ぐよりも、まず、自社がどのような個人情報を取得・利用・提供・委託しているかを整理し、AI利用、子どもの情報、顔認証、委託先管理等の実態を把握することが重要です。

具体的な対応は、事業内容、取り扱う情報、システム構成、委託関係等によって異なります。自社のデータの流れと改正内容を照らし合わせ、必要となる規程、契約、表示、社内運用等を検討する必要があります。

17　主な参考資料