個人情報保護法への対応支援

2026年8月、「個人情報の保護に関する法律等の一部を改正する法律」が成立しました。今回の改正は、近年のデジタル技術の進展やAI開発などによるデータ利活用ニーズと、個人情報の違法な取り扱いによる個人の権利利益が侵害されるリスク、双方の高まりを踏まえ、規制緩和と規制強化両方の要件が追加されています。

PwCコンサルティングは、個人情報保護法への対応に向けた現状把握から課題の抽出、海外拠点も含めた対応方針の策定・導入まで、幅広い支援を提供します。

2026年改正個人情報保護法のポイント

個人情報保護法は、個人情報の保護とデータの利活用のバランスを図る形で改正が重ねられてきました。今回は、消費者の個人情報やプライバシーの保護に対する意識の高まり、技術革新を踏まえた保護と企業のデータ利活用におけるバランスなどの観点から、主に以下の改正がなされました。これにより企業は、消費者をはじめとするデータ提供者（データ主体）の権利を保護するとともに、個人情報保護法によって課される義務への備え、イノベーション促進への対応を検討していく必要があります。

適正なデータ利活用の推進

• 統計情報の作成（AI開発を含む）のみに用いる場合、事前公表等を要件として、ウェブ上で公開されている要配慮個人情報の取得や個人データの第三者提供における本人同意の取得が不要に
• 事業者の取り扱いが、本人の意思に反しておらず、本人の権利利益を侵害しない場合、本人同意の取得が必要な場面における同意取得が不要に

子どもの個人情報の取り扱い厳格化

• 子ども（16歳未満）の個人情報取得時に、法定代理人に対する通知や同意取得が必須化
  
• 違法行為の有無を問わず、利用停止請求が可能に

顔特徴データの取り扱い厳格化

• 顔特徴データの利用目的や利用停止請求に関する手続き等の公表が義務化
• 違法行為の有無を問わず、利用停止請求が可能に
• オプトアウト制度による第三者提供を禁止に
  

個人データ処理の委託を受けた事業者に対する規制強化

• 委託元企業は委託先に対して「委託された個人データ等を委託業務遂行に必要な範囲を超えて取り扱ってはならない」義務を明文規定により課す必要がある
  

漏えい等発生時の本人通知要件を緩和

• 権利利益を害するおそれが低い場合、本人通知を代替措置（公表等）に置き換え可能に

不適正利用等防止

• メールアドレス・Cookie ID等、特定の個人に連絡可能な情報の不適正利用・不正取得を禁止に（仮名加工・匿名加工情報も対象）
• オプトアウト制度に基づく第三者提供時は、あらかじめ提供先の本人確認・利用目的確認が必要に
  

規律遵守の実効性確保のための規律強化

• 個人の権利利益の侵害が切迫している場面において、勧告を経ない直接命令が発出可能に
• 重大違反に対する課徴金制度を導入

個人情報保護法への対応策

個人情報保護法への対応策としては、主に1. データマッピング、2. 運用プロセスの見直し、3. システム改修・ソリューション導入、4. ドキュメント類の改訂、5. 従業員教育が挙げられます。

1. データマッピング

自社グループ内で取り扱う、日本に居住するデータ主体の個人情報の取り扱いフローを可視化することが求められます。特に、子どもの個人情報の取得状況や顔特徴データの利用有無を確認することで、改正個人情報保護法の影響を受ける取り扱いを特定する必要があります。

2. 運用プロセスの見直し

既存の個人情報保護の運用プロセスを改正個人情報保護法に合わせて見直す必要があります。具体的には、「子どもの個人情報の取り扱いに関する法定代理人に対しての通知や同意取得プロセスの整備」「顔特徴データの取り扱いに関する周知プロセスの整備」「個人情報をAI開発などに利活用する際の社内の申請・評価・承認プロセスの整備」「委託契約書の雛型見直しおよび、委託先管理プロセスの整備」「漏えい等発生時の対応に関する緩和要件の受け入れ方針整理および、方針を踏まえた対応プロセス・基準の見直し」です。

3. システム改修・ソリューション導入

子どもの年齢確認および法定代理人へ通知・同意取得する画面の更新や、同意取得状況により利用停止請求への対応が変わるため、同意管理基盤（Consent Management Platform：CMP）の導入の検討が必要です。

4. ドキュメント類の改訂

上記1～3の検討結果を社内の規程類や委託先との契約書、プライバシーポリシーなどへ反映する必要があります。

5. 従業員教育

eラーニングなどを通じた改正個人情報保護法の概要の学習や、1～4の実施により変更されたドキュメント類、社内運用フローを従業員に周知徹底することが必要です。

PwCのサービス

個人情報保護法への適切かつ確実な対応に向け、PwCコンサルティングは「現状把握および個人情報保護法とのギャップの特定」「対応方針の検討」「対応策の実行」の3つのステップでクライアントを支援します。また個人情報保護法の域外適用を見据え、海外拠点における対応もサポートします。

ステップ1. 現状把握および個人情報保護法とのギャップの特定

現状把握シートの配布やヒアリングを通して個人情報を取り扱う業務・運用を全て洗い出します。その結果を基に、個人情報保護法への対応状況（子どもの個人情報の取り扱い状況、通知・同意取得状況、顔特徴データの取り扱い状況など）を確認し、個人情報保護法と現行の運用フローのギャップを特定します。

ステップ2. 対応方針の検討

ステップ1で特定したギャップを踏まえ、対応方針や具体的な対応策を検討します。

また、クライアントが海外で日本法の適用を受ける個人情報を取り扱っている場合は、その国の個人情報の保護に関する制度などの外的環境を把握し、その環境を踏まえて個人情報を適切に管理・保護する必要があります。クライアントの海外拠点を含め、対応の役割分担やスケジュールを含めた方針を検討します。

ステップ3. 対応策の実行

ステップ2で検討した対応方針・対応策を基に、実行を支援します。さらに、個人情報保護委員会から発出される情報や外的環境の変化を踏まえ、必要に応じて追加施策を検討します。