個人情報保護法改正法の成立

2026年「個人情報の保護に関する法律の一部を改正する法律」が成立しました。本改正は、デジタル技術の進展とAI開発をはじめとするデータ利活用ニーズの高まり、および個人情報の不適正利用によるプライバシー侵害リスクの増大を背景に、規制緩和と規制強化を同時に進める点に特徴があります。

具体的には、AI開発を念頭に置いた統計作成等の特例や本人の意思に反しない利活用における同意取得要件の免除など、利活用を促進する緩和措置が導入される一方、子どもの個人データ・顔特徴データ・個人関連情報に関する新たな規律や課徴金制度の導入を含む規制強化が盛り込まれました。

同時に、全ての個人情報を対象に利用前の本人同意を徹底するベースライン型の「入口規制」から、個人情報のうち本人への影響・リスク観点よりも利用状況に対するモニタリングや罰則強化に重点を置いたリスクベース型の「出口規制」への政策的な変化も見られます。こうした動向も踏まえると、企業にはデータ戦略の高度化という攻めの取り組みと、強化された規律への対応という守りの強化をバランスよく対応することが求められるようになります。本インサイトでは、改正のポイントを整理した上で、企業が取り組むべき4つの論点を解説します。

改正法のポイント

本改正は、「規制緩和」と「規制強化」の両軸で整理できます。項目ごとの内容と適用例を以下に示します。

（1）規制緩和：主に本人同意の取得要件が緩和されます（図表1）。

図表1：規制緩和された項目とその適用例

（2）規制強化：取り扱いリスクに即した規律が強化され、罰則規定が導入されます（図表2）。

図表2：規制強化された項目とその適用例

企業に求められる対応――4つの論点

上記のうち、企業実務へのインパクトが特に大きい4つの論点について、求められる対応を整理します。

論点1：AIモデルの構築や高度なデータ分析を迅速に進めるため、新設された特例を活用し、データ利活用をどのように拡張していくことができるか

想定される場面（例）：

製造業の予知保全AI、金融・保険業の与信審査や不正検知モデル、製薬・医療機関の疾病予測モデル、人材・採用の採用審査モデル、小売業の需要予測モデル開発 など

対応：

「統計作成（AI開発含む）における本人同意不要化」の特例を活用するため、企業は、本制度の活用場面を特定し、個人データを統計情報として作成する方法の確立や、法令に定められた事前公表の実施など、技術的・法令的要件を適切にクリアする必要があります。

具体的には今後の個人情報保護委員会のガイドラインにより、技術的要件としてのデータ加工方法（匿名化や暗号化、秘密計算などの技術的アプローチ）や法令的要件としての対応事項が明確化される可能性があるため、関連する指針の動向を注視しつつ、自社のデータ利活用計画における本特例の適用可能性について、検討を進めておく必要があります。

特に、医療機関による臨床研究、製薬企業の治療薬開発、医療機器企業におけるSaMD（Software as a Medical Device）開発などの目的の下、複数の事業者・組織が保有する個人情報を横断的に分析する局面において、統計特例は大きな変化をもたらすことは確実です。ただし、重要な点は、この特例は本人同意を不要とする緩和措置を前提とする一方、利用状況の公表、提供事業者／利用事業者間の契約締結、目的外利用の禁止、再提供の禁止など複数の規制要件を代替的に設けていることです。本特例は個人データの利活用の入り口を広げる代わりに利用中のリスク管理をより厳格化し、ステークホルダーに対する社会的な説明責任を組織に強く求めていると考えるべきでしょう。そのため、個人情報の利活用戦略を再検討する場合には、法的な規制要件への字義的な対応にとどまらず、その内容が倫理的視点、あるいは社会的受容性の観点からも妥当であるかを多角的に検証することが重要です。また、マーケティング分野におけるオンライン広告やデータ分析では、複数のサービス提供者や広告事業者が関与するため、どの事業者がどの目的でデータを利用しているのかを、データ提供者本人が想定しないプロファイリングにつながらないよう理解しやすい形で示したり管理できることが重要です。

論点2：子ども（16歳未満）の個人データを取り扱う企業において法定代理人への通知等の対応をどのように実現するか

想定される場面（例）：

子ども向けゲーム・教育アプリ、医療・福祉・子育て支援、学習塾・通信教育、SNS・動画配信サービス など

対応：

子ども向けのサービスを展開する企業は「16歳未満の個人データ取得における法定代理人（保護者等）の関与」が必要となることから、子どもの年齢確認フローや法定代理人への通知フロー等を設計する必要があります。また、利用停止等請求に個別に対応するために、同意管理基盤（CMP）などを活用した年齢別データ管理なども必要になる可能性があります。

具体的には今後の個人情報保護委員会のガイドラインにより、法的に有効な子どもの年齢確認方法や法定代理人からの同意の取得方法などが示される可能性があるため、関連するガイドラインを注視しつつ、対応が必要となる自社サービスの特定と、サービス画面の改修や社内運用フローの変更を見据えた準備を進めておく必要があります。

論点3：委託の規律強化に伴い、委託先の管理をどのように再整理するか。

想定される場面（例）：

ITシステムの運用保守、データ処理やコールセンター業務のBPO（Business Process Outsourcing）委託、クラウドサービス事業者へのデータ保管 など

対応：

委託先に対して「委託された個人データを委託業務の範囲を超えて取り扱ってはならない」ことを明文化する必要があります。このため、委託業務ごとに、個人データの取り扱い範囲や具体的な利用目的の合意状況を確認するプロセスが必要です。また、個人データの安全管理をサプライチェーン全体で強化していくためには、委託先の選定・監督対応方法など、委託先管理に関する運用ルールの見直しも必要となります。

論点4：課徴金制度の導入や通知要件の緩和を踏まえ「インシデント対応プロセス・ルール」をどのように見直せばよいか

想定される場面（例）：

不正アクセスや設定不備、不注意等による個人データの漏えい・紛失などの発生時

対応：

インシデント発生時に企業と本人の双方における通知プロセスの負担を合理化するため、企業は、漏えい等の有事における迅速なトリアージ基準（暗号化等による影響度の判定ルール）や、本人への個別通知に代わる公表代替措置の判断基準を整備するとともに、グループ内でのインシデントエスカレーション・意思決定ルールを見直す必要があります。

具体的には、今後のガイドラインにより、個別通知が不要（代替措置で可）と判定される具体的な条件（高度な暗号化の適用状況やデータの内容等）や、課徴金算出の具体的なルールが明確になる可能性があるため、今後の規制動向を注視し、社内のインシデント対応マニュアルや判断プロセスの改定方針を整理しておく必要があります。

PwCの視点：改正法への対応を踏まえたプライバシーガバナンスの高度化

本改正への対応を通じて、企業の社会的信頼（デジタルトラスト）を向上させるためには、法令の条文に形式的に合わせるだけでなく、実効性のあるガバナンス体制を確保し、具体的な運用プロセスを確立させることによる「プライバシーガバナンスの高度化」が必要と考えます。

PwCでは、「プライバシーガバナンスの高度化」に向けて、企業の実情に応じたガバナンス体制の整備、データ利活用とプライバシー保護対応を両立可能な運用プロセスの整備、プライバシーリスクの低減に向けた技術的な対応支援など、プライバシー関連情報の取り扱いに関するさまざまな支援を提供しています。

改正個人情報保護法への対応を契機として、プライバシーガバナンスの高度化に向けた取り組みを検討してはいかがでしょうか。