【2026年】個人情報保護法の改正点｜課徴金が入る前の備え

「改正されたと聞いたが、自社の業務のどこに効くのか分からない」「課徴金という言葉だけが先に届いて、対象が読めない」——法人向けの発信を担う部門で起きている戸惑いです。今回の改正は、規制が一方的に強まっただけの内容ではありません。罰の側が重くなる一方で、分析のための利活用には道が広がる二方向の改正です。この記事では、マーケの実務に効く部分に絞って要点を整理します。

3年ごとの見直しから改正まで

この法律には、施行から3年ごとに見直しを検討する仕組みが置かれています。前回の大きな改正は2022年4月に全面施行され、2025年4月で3年を迎えました。これを踏まえ、2023年11月から個人情報保護委員会での検討が進められてきました。

検討の過程では、同意を求める場面が多すぎて実務が回らないという事業者側の声と、本人が知らないうちに情報が使われているという懸念の両方が扱われました。その結果、緩めるところと締めるところを同時に含む改正になりました。

2026年4月7日に法案が国会に提出され、7月10日に可決・成立、7月17日に公布されました。成立から公布までが1週間という速さで、実務の側の準備の期間としては公布後の2年が事実上すべてになります。

なお、公布された内容には政令や規則で具体化される部分が多く含まれます。特に対象の範囲や手続の詳細は、今後の公表を待つ必要があります。解説記事だけで判断せず、正式に公表される内容で確かめてください。

改正の3つの柱

改正の内容は、大きく3つに整理できます。第1に、執行の強化。課徴金の導入がその中心です。第2に、慎重な扱いが必要な情報についての規律の強化。こどもの情報、顔などの生体のデータ、個人情報には当たらないものの連絡が可能な情報が対象です。

第3に、利活用の側の緩和です。分析や統計の作成のために使う場合について、同意を求める場面を減らす方向の整理が含まれます。これは、生成の技術の発展を受けてデータの活用を進めたいという要請に応えるものです。

この3つを1つの改正に含めた点が、今回の特徴です。「締める」だけでも「緩める」だけでもないため、自社の運用のどの部分が締まり、どの部分が緩むのかを個別に見る必要があります。

実務の順序としては、まず締まる部分を確かめます。緩む部分は活用の機会であり、対応が遅れても不利益は生じません。一方、締まる部分に対応できていないと、施行の時点で違反の状態になる可能性があります。

課徴金の仕組みが初めて入る

最も注目されているのが課徴金です。これまでこの法律には、命令に従わない場合の罰則はあっても、違反そのものに対する金銭的な措置はありませんでした。今回の改正で、不当な利得に相当する額を納付させる仕組みが入ります。

対象となる違反の類型は限定されています。不適正な利用の禁止に関する規定への違反、不正な手段による取得の禁止に関する規定への違反、本人の同意を得ない第三者への提供の禁止に関する規定への違反、そして統計の作成などの特例に係る義務への違反です。

加えて、本人の数が1,000人を超える場合という規模の要件が置かれています。少数の情報に関する不注意な取り扱いが直ちに対象になる構造ではありません。ただし、名簿を扱う事業では1,000人はすぐに超える規模です。

対象となる違反	実務で起きうる形
不適正な利用	違法または不当な行為を助長する形での利用
不正な手段による取得	偽って取得する、本人が想定しない形で集める
同意なき第三者提供	名簿を無断で他社に渡す、共同利用の要件を満たさない共有
統計の作成などの特例に係る義務違反	特例の要件を外れた形で分析に使う

この表を見ると、法人向けマーケティングで関わりうるのは3行目の第三者への提供です。名簿の共有、共催の催しでの分配、代理店への引き渡し。いずれも要件を満たさないまま行うと該当しうる形です。

こどもの情報の扱いが変わる

16歳未満の個人情報について、原則として法定代理人の同意を要するなど保護を強める方向が示されています。これまで明確な年齢の線引きはガイドラインの水準にとどまっていました。法律の中に位置づけられることで、扱いが明確になります。

法人向けの事業では、「自社は16歳未満を対象にしていない」と考えがちです。しかし、採用の活動で高校生と接点を持つ場合、教育の分野の顧客を持つ場合、一般の消費者向けの企画を併せて行う場合には関わります。

確かめるべきは、自社が集めている情報の中に16歳未満が含まれる可能性があるかどうかです。年齢を聞いていない様式では、含まれているかどうかも分かりません。含まれる可能性があるなら、年齢の確認の仕組みを検討する必要があります。

採用の広報を担っている場合は特に確認してください。インターンシップの案内、学校向けの説明会、職場の見学の申込。高校生が申し込む可能性のある窓口はすべて対象になりえます。

顔などの生体のデータの規律

顔の特徴、指紋、遺伝子の情報、声の特徴といった生体に関する情報について、新たな取り扱いの決まりが設けられます。現行法でも符号に変換したものは個人情報として扱われますが、固有の規律が加わる形です。

マーケティングの実務で関わるのは、催しの受付での顔の認証、会場に置くカメラでの来場者の把握、録画の映像と音声、そして生成の技術による声や姿の作成です。いずれも、この数年で導入が進んだ領域です。

対応の第一歩は棚卸しです。自社の中で、どの部署がどの仕組みを使い、何を保存しているのか。部署ごとに独立して導入されているため、全社の一覧を持つ会社は少ないのが実情です。まず現状を可視化してください。

連絡が可能な情報の扱い

改正では、個人情報には当たらないものの連絡が可能な情報についても規律を強める方向が示されています。氏名が分からなくても連絡が取れる形の情報が対象になりうるという整理です。

具体的にどこまでが対象になるのかは、今後の政令や規則で具体化される部分です。現時点で確定的に述べることはできないため、公表される内容を待って判断する必要があります。この記事の内容も、その前提で読んでください。

方向性として関わりうるのは、端末を識別する符号や、広告の配信に使われる識別のための情報です。氏名を持たない形で個人に届ける仕組みは、この論点に触れる可能性があります。広告の運用を担っている場合は注視してください。

備えとしては、自社がどういう識別の仕組みを使っているかを把握しておくことです。自社で発行している符号、外部のサービスが付与する符号、解析の道具が使う符号。一覧を持っていれば、範囲が定まったときに影響を素早く判断できます。

利活用の側は道が広がる

締める方向だけでなく、緩める方向の内容も含まれます。権利や利益を侵害するおそれが比較的低い取り扱いについては、同意を求める場面を減らす整理が示されました。実務の負担を減らす方向の変更です。

中心となるのは、統計の作成や分析のために使う場合の特例です。個人に対して何かをするのではなく、全体の傾向を掴むために使う場合には、個別の同意を要しない形で扱える道が広がります。

ただし、特例には要件が伴います。要件を外れた使い方をすれば、課徴金の対象となる類型に含まれます。緩和されたからといって自由に使えるわけではなく、要件を確かめて使う必要があります。

実務としては、自社が持っているデータのうち分析にしか使わないものと、個別の相手への働きかけに使うものを分けて整理しておきます。用途で分けておけば、緩和の恩恵を受けやすくなります。

マーケの実務にどう影響するか

影響の大きい順に挙げると、第1に名簿の共有の見直し。第2に、生体に関する情報を扱う仕組みの棚卸し。第3に、同意の取り方と記録の整備。第4に、識別の符号の把握。第5に、年齢に関する確認の検討です。

第1の名簿の共有は、共催の催し、代理店への引き渡し、グループ会社との共有といった場面で発生します。共同利用の要件を満たしているか、委託の範囲に収まっているか。ここは課徴金の対象の類型に直結します。

第3の同意の記録は、多くの会社で弱い部分です。同意を得た事実は残っていても、その時点でどういう説明を示していたかが残っていない。説明文の版を保管する運用にしておく必要があります。

第4の識別の符号については、広告の配信と解析の両方に関わります。自社が使っている道具がどういう符号で個人を区別しているのかを一覧にしておくだけで、範囲が定まったときの判断が速くなります。範囲が示されてから調べ始めると、対応が後手に回ります。

第5の年齢の確認は、採用の広報や教育の分野に関わる事業で必要になります。様式に年齢や生年の欄がない場合、16歳未満が含まれているかどうかを自社でも把握できていない状態です。まず把握できる形にするところから始めます。

漏えいが起きたときの対応は変わるか

個人データの漏えいなどが生じた場合、一定の要件に該当するときは個人情報保護委員会への報告と本人への通知が求められます。この枠組みは前回の改正で導入され、既に運用されています。今回の改正でも、この対応の重要性は変わりません。

むしろ、課徴金の仕組みが入ることで対応の記録の意味が増します。違反の状態を放置していたのか、気づいて速やかに手当てしたのか。経緯の記録が、その後の判断に影響しうる材料になります。

マーケティングの現場で起きやすい漏えいは、宛先の取り違えによる一斉配信、共有の設定を誤った資料の公開、名簿の入った端末の紛失です。いずれも、起きたときの連絡先を現場が知っているかどうかで初動が変わります。

• 宛先を誤って一斉配信したが、社内の誰に知らせるべきか分からず数日放置する
• 共有の設定を誤って名簿を公開していたが、記録を残さず設定だけ直す
• 委託先で漏えいが起きたことを把握しながら、自社としての対応を取らない
• 本人からの指摘で発覚したのに、指摘の内容を記録に残さない

防ぐには、1枚の連絡の手順を現場に配ります。「気づいたら誰に、何分以内に知らせる」という一文があるだけで、初動は変わります。判断は現場に求めず、知らせることだけを求めるのが実効性のある形です。

本人からの請求への対応

本人は、自分の情報について開示や訂正、一定の場合には利用の停止や第三者への提供の停止を請求できます。この請求は電磁的な記録の提供を含む方法で行えるとされており、対応の窓口と手順が求められます。

実務で困るのは、請求が来たときに自社のどこに情報が入っているかが分からないことです。解析の道具、配信の道具、顧客の管理の仕組み、表計算の名簿。散らばっているほど、請求への対応に時間がかかります。

したがって、棚卸しは請求への対応の準備でもあります。どの仕組みに何が入っているかの一覧があれば、請求が来たときに順に確かめられます。一覧を持っていない状態で請求を受けると、期限内の対応が困難になります。

窓口の連絡先は、自社のサイトで公表しておきます。問い合わせの様式に紛れ込ませるのではなく、情報の取り扱いに関する頁にはっきり示す形が望ましい対応です。

予算と体制を確保する説明のしかた

対応には人手と費用がかかります。社内で予算を得るには、説明の材料が必要です。課徴金の仕組みが入ることは、経営が関心を持つ論点になったという意味で説明の助けになります。

説明の組み立ては3段です。第1に、法が変わり、違反に対して金銭的な措置が入ること。第2に、自社の運用のうちどの部分が対象の類型に触れうるか。第3に、その部分を点検して直すために必要な工数と期間です。

避けるべきは、不安だけを煽る説明です。対象となる違反の類型が限定されている事実も併せて伝えます。正確な情報を示したうえで自社の課題を挙げるほうが、判断する側の信頼を得られます。

加えて、利活用の緩和という側面も伝えます。対応は守りだけでなく、データを分析に使う道が広がる話でもあります。守りと攻めの両面を示すと、投資としての説明が成り立ちます。

施行までにやること

2年という期間で進める作業を、順序をつけて整理します。第1段階は棚卸し。第2段階は、要件に照らした点検。第3段階は、運用と規程の見直し。第4段階は、担当者への周知と教育です。

第1段階の棚卸しに最も時間がかかります。部署ごとに独立して導入された仕組みが多く、聞いて回るだけで数か月かかることも珍しくありません。早く始めるほど余裕が生まれます。

聞き方を工夫すると早く進みます。「個人情報を扱っていますか」と聞くと、多くの部署が「扱っていない」と答えます。代わりに、使っている道具やサービスの名前を挙げてもらう形で聞きます。名前が分かれば、そこに何が入っているかは自分で調べられます。自己申告に頼らない聞き方が、抜けを減らします。

委託先と共同利用の見直し

名簿を外部に渡す形には、委託、共同利用、第三者への提供の3つがあります。この3つは要件も手続も違い、取り違えると違法な提供になります。まず、自社の各ケースがどれに当たるかを整理します。

委託は、自社の目的の範囲で処理を任せる形です。本人の同意は要りませんが、委託先を監督する義務が生じます。共同利用は、定められた事項を本人が知りうる状態に置くことで同意なしに共有できる形です。

第三者への提供は、原則として本人の同意が必要な形です。同意なしに渡せば、課徴金の対象となる類型に含まれます。共同利用のつもりで手続を踏んでいなかった、というのが最も起きやすい誤りです。

点検の観点は3つです。共同利用として扱っているものについて、定められた事項を実際に公表しているか。委託として扱っているものが、本当に自社の目的の範囲に収まっているか。そして、委託先の監督を実際に行っているか。

監督は、契約書に条項を入れるだけでは足りません。定期的に状況を確かめる行為が伴います。年に一度、委託先に安全の管理の状況を報告してもらう。報告を受けた記録を残しておけば、監督を行った証跡になります。件数の多い会社では、重要度で分けて頻度を変える運用が現実的です。

同意の取り方と記録の整備

同意の取り方で確かめるのは3点です。第1に、利用の目的が本人が想定できる程度に具体的に書かれているか。第2に、同意の対象がどこまでかが明確か。第3に、同意した事実と、その時点の説明文を保管しているか。

第1の具体性は、「サービスの提供のため」だけでは足りません。「お問い合わせへの回答、関連する情報のご案内、サービスの改善のための分析」といった形で、何に使うのかを書き出す必要があります。

第3の記録は、様式の改訂と併せて考えます。説明文を変えたら、変えた日と変更前の文面を残す。後から「どういう説明で同意を得たのか」を示せる状態を作ります。

• 利用の目的は、本人が一般的かつ合理的に想定できる程度に具体的に書く
• 同意した事実だけでなく、その時点で示していた説明文も保管する
• 説明文を改訂したら、改訂の日と旧版を記録に残す

同意の撤回への対応も決めます。撤回の求めが来たときに、どのシステムからどう消すのか。複数の道具に同じ情報が入っている場合、消す手順を書き出しておく必要があります。

社内の体制と教育

制度への対応は、法務や情報システムだけでは完結しません。実際に情報を集めているのはマーケティングと営業の現場です。現場が判断できる形の材料を渡すことが、体制づくりの中心になります。

渡す材料は1枚で足ります。新しく名簿を集めるとき、外部に渡すとき、顔や声を扱うとき。この3つの場面で誰に相談するのかを書いた1枚です。詳しい説明より、相談先が分かることが重要です。

加えて、判断に困った事例を集める仕組みを作ります。現場から上がってきた事例を法務が判断し、判断の理由とともに事例集として蓄積する。この蓄積が、次の判断を速くします。

教育の頻度は、年に1回で足ります。ただし、新しく配属された人にはその時点で伝える必要があります。年1回の研修と、配属時の説明の2本立てが現実的な形です。研修の資料は、前述の1枚に判断の事例を数件足したものでよく、分厚い資料を作る必要はありません。

効果を測るなら、相談の件数を見ます。相談が増えるのは、現場が「これは確かめるべきことだ」と気づけるようになった証拠です。相談がゼロの状態は、判断できている状態ではなく気づいていない状態。件数の推移を、体制が機能しているかの目安に使えます。

よくある質問

小規模な会社でも課徴金の対象になりますか

規模の要件は本人の数で定められており、会社の規模では区切られていません。本人の数が1,000人を超える名簿を扱っているなら、会社が小さくても対象となりうる形です。ただし、対象となる違反の類型は限定されているため、まず自社の運用がその類型に触れていないかを確かめてください。

施行までに何もしなくても間に合いますか

間に合わない可能性が高いと考えてください。棚卸しだけで数か月、委託先との条件の見直しには相手の対応も要ります。様式や説明文の改訂には社内の承認が必要です。2年という期間は、着手が遅れると急に短く感じられます。棚卸しは今から始めてください。

政令が出るまで待ったほうがよいことはありますか

あります。連絡が可能な情報の範囲や、生体に関する情報の具体的な義務の内容は政令や規則で定められる部分があるため、その部分の運用の変更は待つのが合理的です。一方、棚卸しと現状の整理は詳細が固まっても無駄にならないので、先に進めてください。

まとめ

2026年7月17日に公布された改正は、執行の強化、慎重な扱いが必要な情報の規律の強化、そして利活用の緩和という3つの柱で構成されています。課徴金の対象は、本人の数が1,000人を超える不正な取得、不適正な利用、違法な第三者への提供などに限定されており、法人向けマーケティングで最も関わるのは第三者への提供の部分です。施行は公布から2年以内なので、棚卸し、要件に照らした点検、運用と規程の見直し、そして現場への周知を順に進めてください。政令や規則で具体化される部分があるため、詳細は正式に公表される内容で確かめることが前提です。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。