改正個人情報保護法 2026年の改正で会社が施行までに準備すること

個人情報保護委員会は、2026年10月14日の委員会で改正法の政令・規則の整備に向けた基本的な考え方③(不適正利用等防止、規律遵守の実効性確保のための規律)を決定し、特設ページに掲載しました(令和8年 改正個人情報保護法について・同日更新)。2026年7月17日に公布された改正法について、総務・法務・人事が施行までに社内で進めておくことを、委員会の公表資料に沿って整理します。

決まっていることと、まだ決まっていないこと

この記事は、2026年10月20日時点の公表資料で書いています。先に、決まったことと決まっていないことを分けます。

本文では、条文に書かれていることを「法律で決定」、政令・規則・ガイドラインでこれから決めることを「方針(案)」と書き分けます。方針(案)は、委員会の事務局が「想定する」「してはどうか」と示している段階のものです。意見募集や委員会の議論で変わる可能性があります。

改正の主な点を、会社への影響が大きい順に見る

改正法は、委員会の整理で4つに分かれます。適正なデータ利活用の推進、リスクに適切に対応した規律、不適正利用等防止、規律遵守の実効性確保のための規律です。次の表は、この4つの中身を、一般的な会社の総務・法務・人事への影響が大きい順に並べ直したものです。順番は編集部の見立てで、業種や扱う情報によって入れ替わります。

8は会社が選んで使う緩和なので、使わない会社には義務は増えません。1から3は、使うかどうかにかかわらず全社に関わります。

今の決まりとの違い 漏えい等の報告と本人への通知

総務が最初に見直すのは、漏えい等が起きたときの流れです。今の決まりと、改正で見直される点を並べます。

ここで見落としやすいのは、速報の免除や、本人への通知の代わりの措置が認められるのは、一部の場合に限る点です。委員会は、本人が1名の誤送付でも本人にとっては深刻になり得るので、本人通知の重要性は変わらないと書いています。通知をやめてよいという意味にはなりません。

背景には件数の偏りがあります。委員会が受けた漏えい等の報告のうち、本人が1人の事案は全体の84.0%(10,184件)を占めていました(②の資料が引用する中間整理)。病院や薬局での書類の誤交付や、クレジットカードの誤送付が多いと説明されています。会社でも、宛先を間違えたメールや郵便は身近な事故です。

人事・総務の場面で何が変わるか

16歳未満の人の情報

16歳未満の本人について、同意の取得や利用目的の通知は、法定代理人(親権者など)を対象にすることが法律で決まりました(法律で決定)。16歳未満の本人は、違法かどうかを問わず、利用停止などを請求できるようになります。ただし、16歳未満であることを会社が知らないことに正当な理由がある場合などは例外です。今は、ガイドラインやQ&Aで一般的には「12歳から15歳までの年齢以下の子供は法定代理人などの同意が必要」と示されているだけでした。

人事・総務では、職場体験やインターンで中学生・高校生を受け入れる場面、社員の子供が参加する社内行事、採用イベントの申込みなどが当たります。契約の履行に必要な場合などの例外は規則で定めます(方針(案))。

顔の特徴データなど

顔認証の入退室や勤怠、顔識別機能のあるカメラを使う会社は、取り扱う前に、会社の名称・住所・代表者の氏名、顔の特徴データなどを取り扱うこと、利用目的、元になった身体の特徴の内容、開示などの請求の手続を、本人に知らせるか、本人が容易に知り得る状態に置く義務が加わります(法律で決定)。条文上の名前は「特定生体個人情報」で、対象にするものは政令で定めます。委員会は顔特徴データを想定しています(方針(案))。周知の方法は規則で決めます。

連絡先だけのリストにも歯止めがかかる

住所・電話番号・メールアドレス・Cookie IDなど、特定の人に連絡できる記述を含む個人関連情報は、これまで、第三者に提供する一定の場合しか規律の対象ではありませんでした。改正後は、不適正な利用と不正な取得が、個人情報と同じように禁止されます(法律で決定)。メールアドレスだけの問い合わせリストや営業リストも、委員会の想定事例には、治療支援だけに使うと偽って取得したメールアドレスと健康情報を、他の事業者に提供する例があります。

従業員の持ち出しは、会社の責任にもなる

②の資料は、コールセンターのシステム保守を担当していた会社の従業員が、約10年にわたり約928万人分の個人データ等を持ち出し、その一部が名簿業者に売却されたとされる事案を挙げています。改正では、個人データを不正な利益を図る目的で提供・盗用する罪に、損害を加える目的での提供が加わり、法定刑は拘禁刑1年以下から2年以下、罰金50万円以下から100万円以下に引き上げられます。会社に罰金を科す両罰規定(第184条)の罰金は、資料の表では1億円以下です。持ち出しを防ぐ社内の決まりと、懲戒の定めは、人事と法務で見直す項目です。

社内で今から始めること

1 個人データの棚卸し

何から手を付けるかが決まらないときは、棚卸しから始めます。改正のどの項目に当たるかは、台帳を作ると見えてきます。

台帳は、完璧に作ろうとせず、部署ごとに「分かる範囲」で埋めて、空欄を残して構いません。空欄が残った項目が、次に確かめることです。

2 委託先の洗い出しと契約の見直し

給与計算、健康診断、採用管理、コールセンター、システムの保守など、個人データを外部に任せている先を一覧にします。現行法は、委託元に委託先への必要かつ適切な監督を求めています。改正では、委託を受けた会社は、受けた業務に必要な範囲を超えて個人データを取り扱えなくなります(法律で決定)。取扱いの方法を委託元がすべて合意して、委託先の状況を委託元が把握できる措置も合意した場合は、委託先の義務の一部が免除されます。

契約に何を書くかは、規則で決めます。委員会の資料は、対象の情報、処理の内容、始期と終期、取り扱う国や地域を書面で定める案を示しています(方針(案))。今は、現在の契約書に、この項目が書かれているかを確かめるところまでで足ります。

3 社内規程の洗い出し

直す候補は次のとおりです。確定は規則の公表後にして、今は差分を表にします。

• 個人情報の取扱規程と、漏えい等が起きたときの手順(誰が判断し、誰が本人に連絡するか)
• 採用・応募者向けのプライバシーの案内と、16歳未満の場合の扱い
• 顔認証やカメラを使う場合の周知の文面
• 就業規則の秘密保持、持ち出し禁止、懲戒の定め
• 委託先との契約書のひな形

4 教育

従業員向けの教育は、改正後に何を覚えさせるかより、毎年の誤送信対策の延長で組み立てるのが現実的です。件数が最も多い、宛先間違いと誤送付を中心にします。持ち出しが処罰の対象になること、取得時の説明と実際の使い方を変えないことも、短く入れます。

施行までの段取り

委員会のロードマップは、政令・規則の意見募集と公布を2027年の春ごろから、ガイドラインの意見募集と公表を2027年の夏ごろ、施行を2028年の春から7月ごろと描いています。委員会は「大まかな見込みで、変わり得る」と注記しています。施行までに十分な期間を確保するとも書いています。

自社に影響する項目があるときは、意見募集に出せます。委員会は、個人や事業者から広くご意見を聞くと説明しています。

総務・法務・人事のチェックリスト

今日からできること

1. 総務・法務・人事で、個人データの台帳の雛形(上の表の6列)を1枚作る
2. 委託先を一覧にして、契約書の保管場所を確かめる
3. 漏えい等が起きたときの連絡先と判断者を、1枚の紙にする
4. 個人情報保護委員会の特設ページを、月に1度見る日を決める
5. 誤送信・誤送付の対策を、次の教育の最初に入れる

個別の判断は、弁護士か、個人情報保護委員会の個人情報保護法相談ダイヤル(03-6457-9849)に確かめてください(2026年10月20日時点の資料で書いています)。