2026年個人情報保護法改正法のポイントとは

ビジネスと法の世界で、個人情報保護をとりまく状況ほど、目まぐるしく変化するものはない。日々、個人にまつわる何らかの情報の収集と利用を伴う新たな技術やビジネスモデルが生まれ、発展している。他国の規律状況も注視し、調和や差別化を適切に意識しなければ、競争力の低下や、個人情報の主体者たる顧客の不利益や不信感を招きかねない。
こうした課題意識から、個人情報保護法には施行後3年ごとの見直しが規定されており、まさに2026年7月10日、改正法が成立した。国会審議を見守ってきた多くの企業の法務担当者は、“実務でどう対応すればよいのか”と悩んでいるのではないだろうか。
そんな悩みに確かな知見で寄り添ってくれるのが、杉村萬国特許法律事務所だ。個人情報保護委員会への出向経験を持ち、個人情報保護法の運用や改正に明るい寺田光邦弁護士と事務所代表の杉村光嗣弁護士に、改正法のポイントと実務家に必要な向き合い方について聞いたところ、寺田弁護士はまず、次のように指摘する。
「今回の改正法は、“中間整理”（個人情報保護委員会「個人情報保護法 いわゆる3年ごと見直しに係る検討の中間整理」（2024年6月27日））や“検討の充実に向けた視点”（「個人情報保護法のいわゆる3年ごと見直しの検討の充実に向けた視点」（2024年10月16日第304回個人情報保護委員会決定））の公表、さまざまなステークホルダーからのヒアリングを経て、想定よりも時間をかけて改正法案を練り上げたうえで国会に提出されました。中でも目立った論点となり、改正法のポイントの一つといえるのが、“AI開発”関連です」（寺田弁護士）。
個人情報保護法上、病歴や犯罪歴といった“要配慮個人情報”を取得する際には本人の同意が必要だ。また、そうではない個人データも、第三者への提供に際しては原則として本人の同意が求められる。
この点、AI開発の現場では、ウェブサイトからのスクレイピングによって大量のデータを取得することが一般的だが、その中に要配慮個人情報が含まれることは往々にしてある。だからといって、大量のデータ取得の都度、本人の個別同意を得ることは非現実的であり、一方でウェブ上の要配慮個人情報だけを取得しないしくみの構築も困難だ。また、事業者が取得した個人データについても、“AI事業者等に提供して、製品開発やマーケティングなどに役立てるための解析をしたい”というニーズが高まっていた。
「そこで、“AI開発などの統計情報等の作成目的で利用するのであれば、要配慮個人情報の取得や、個人データの第三者提供について本人の同意を不要にする”というのが、今回の改正法の目玉の一つなのです」（寺田弁護士）。

抽象的な規定の解釈には提言等で能動的に働きかける

統計情報等の作成目的の利用であれば、要配慮個人情報の取得や、個人データの第三者提供にあたり、本人の同意を得るという手続が不要になるというインパクトは大きい。事業者にとっては規制緩和となる一方、消費者からは不安の声も聞かれるところである。
もちろん、統計情報等の作成を目的としているからといって、無制限の利用が許されているわけではなく、一定の規律がある。事業者には、個人情報の提供元や提供先、計画している“統計情報等の作成等”の内容などの公表や、情報の提供は“統計情報等の作成”の目的に限定されたものである旨の提供元・提供先間の書面による合意などが義務づけられることになっているのだ。具体的な公表事項は、今後、個人情報保護委員会規則等で定められることが想定されている。ともあれ、法改正によってAI開発をはじめとした統計的情報分析が適法に行える余地が広まることは確かだろう。
また、“統計情報等の作成”にも定義づけがなされており、“‘AI開発’との題目さえあれば何でも該当する”というわけでもない。改正法によれば、「……大量の情報の傾向又は性質に係る情報……を作成する行為のうち、個人の権利利益を害するおそれが少ないものとして個人情報保護委員会規則で定めるものをいう」（改正法2条13項）などと定められている。
個人情報取扱事業者に義務づけられる具体的な公表事項も、“統計情報等の作成”の範囲も、条文上はいささか抽象的で、最終的には委員会規則の制定を待たなければ明確な範囲がわからない点は、事業者としてはやきもきさせられる。この点に関連して、寺田弁護士は個人情報保護法の特徴を説明する。
「個人情報保護法は“一般法”、要は“あらゆる分野を一般的に包括して規律する法律”です。一方で、個人情報の扱われ方は、たとえば医療や金融など、業界ごとにさまざまなバリエーションが存在します。これらを一般法が細かく規律することは難しく、ある程度抽象的になるのは仕方がない面があります。別途委員会規則や事業分野別のガイドラインが制定・策定され、そこで実質的な規律がなされることを想定しているからこその規定ぶりといえるでしょう」（寺田弁護士）。
寺田弁護士は、個人情報保護法のこうした特徴を踏まえたうえで、事業者は、委員会規則やガイドラインの制定・策定をただ待つだけでなく、事業者の立場から積極的に意見を提出するなど、規制の形成プロセスに関与し、実務に即したルールメイキングを目指すべきだと強調する。
「ビジネス上“こうしてほしい”というニーズがあるのであれば、規制やガイドラインの制定・策定過程で、個人情報保護委員会に提言していくことが有用です。“統計情報等の作成（「統計作成等」）”の定義に関してもヒアリングが実施されるかもしれませんし、少なくともパブリックコメントの募集はあると思いますので、意見や不安があれば、そうした場で意見を出していくとよいでしょう」（寺田弁護士）。

寺田 光邦 弁護士

長年議論の的だった課徴金制度がついに導入

もう一つの大きな改正ポイントが、課徴金制度の導入である。法改正の議論の度に俎上には載っていたものの、事業者側と消費者側の考えに隔たりが大きく、これまで見送られていた経緯があった。
消費者側からすれば、“やましいことがなければ課徴金を導入しても構わないはずだ”“多額の制裁金を課すGDPRなどと比べると罰則が弱すぎて規律の実効性に不安がある”という意見がある一方、事業者としては、ビジネスが萎縮することに対する懸念や、“現状の勧告や命令などで十分に規律されている”という立場の声があがっていた。長らく平行線をたどっていたが、結果として、今回初めて課徴金制度が改正法に盛り込まれた。
「ただ、“導入された”といってもだいぶ抑えられた印象があります。具体的には、まず課徴金の額については“違反行為によって得られた財産的利益等に相当する額”とされています。要するに、“違反行為で得た利益を出せばよい”ということ。“全世界の売上の数％”といった制裁金を課すGDPRなどと比べると低く、“本当にこれで抑止効果があるのか”という批判はあります」（寺田弁護士）。
課徴金納付命令の対象範囲も、“違法行為を行うことが想定される第三者への提供”など、いくつかの悪質な行為類型で、かつ“剥奪すべき違法な収益が観念される行為”に限定され、加えて“1,000人を基準とする大規模事案に限る”などの要件も複数ある。これで規律の実効性を担保するのに十分かどうかは、今後の動向を見守るべきだろう。

“保護と利活用のバランス”は実現できたのか

統計情報等の作成に際しての規制緩和と課徴金制度の導入による規律の引き締めに象徴的だが、改正法は“保護と利活用のバランスをいかに実現するか”という点に腐心していると寺田弁護士は述べる。
「適切なバランスを、一般法である個人情報保護法でどのように規律するかを決めるまでの悩みが見える内容かとは思います。大元の法律を厳しく、あるいは細かく規定しすぎて、現実的に不可能な内容になってしまえば、制度自体が使われなくなってしまいます。今回の統計情報等の作成に関する特例に関しても、あまりに規律が強すぎれば、結局活用されずに、AI等の開発において国際的な競争に後れをとることにもなりかねません。よって、利活用のしやすさにつながる“余白”がある程度必要です。一方、それが“抜け道”と評価されるようなものでは、個人の権利利益を害してしまいます。この点、今回の改正法は、今後の規則やガイドライン、あるいは課徴金制度などで個人の利益保護を図り、バランスをとろうという考えなのだろうと思います」（寺田弁護士）。
また、寺田弁護士は同時に、先進的な内容を含む、踏み込んだ改正になったとも評価する。
「統計情報等の作成に関する特例は、従来の“本人同意”に代わる新たな正当化事由を創出する取り組みで、知る限り諸外国に先駆けたAI開発を推進させるための改正です。長年の課題だった課徴金制度については、不十分との意見もありつつも、とにかく導入はされたため、ファーストステップとしては、評価できる内容だと思います」（寺田弁護士）。

個人情報保護法分野で頼りになる弁護士像とは

頻繁に改正され、その度に複雑になっていく法律を理解し、関連する規則やガイドラインに自社の活動を適合させるためには、専門家との連携は欠かせない。適切なパートナー選定にあたって企業が意識すべきことは何か。この点について、杉村弁護士は以下のように述べる。
「知財法や民法の分野では判例や学説の蓄積があるので、そうした知識や経験則に裏打ちされた分析能力のある弁護士が頼りになります。しかし、個人情報の分野は法改正も頻繁で情勢の変化も激しく、規制のあり方が柔軟に変わっていくという特徴があります。この分野で求められる弁護士像は、最低限の条件として“規制の変化を的確に捉えられること”、そして望むべくは“規制に対する働きかけができること”です。立法に関わる機関とコネクションを持つ弁護士と組むことで、規制のあり方や解釈に影響を与えることができるかもしれません」（杉村弁護士）。
その点、寺田弁護士は冒頭でも述べたとおり個人情報保護委員会への出向経験を有し、個人情報保護法の運用・改正の現場を熟知している強みがある。寺田弁護士自身も「個人情報保護法は、専門家でも読むのに苦労する条文も多く、癖の強い法律で、運用面も含めて慣れていない弁護士にはとっつきにくいと思います。その点、私は委員会での勤務経験もあり、そのあたりの“癖”のようなものは把握しているつもりです」と自信を見せる。
さらに杉村弁護士は、「デジタルトランスフォーメーションに取り組むうえで個人情報保護法の理解は欠かせない」とし、デジタル関係のあらゆる法規や、デジタル技術そのものに詳しい弁護士が求められると指摘する。
「寺田自身、システム関係や知財の経験も豊富で、デジタルにも特化した弁護士ですし、さらに当事務所には理系出身の弁護士、技術者、弁理士が多く在籍しており、さまざまな技術分野に詳しい有識者が寺田を支えています」（杉村弁護士）。

杉村 光嗣 弁護士

個人情報保護の問題で“炎上”する企業の共通点とは

“法律”“政治”“技術”と三拍子が揃った事務所はなかなかなく、同事務所の確かな個性と強みになっている。加えて寺田弁護士は“多角的な視点を持つこと”の重要性を強調する。
「過去、個人情報の取扱いをめぐって社会的批判を引き起こした事件について、第三者委員会の報告書などを分析すると、おもしろいくらいに共通しているのが、“多角的な視点”が欠如していたという反省です。“法律を理解していなかった”ということもありますが、それ以上に、“個人情報の本人への配慮や技術的回避策の検討が欠けていること”が原因に挙げられています」（寺田弁護士）。
ビジネス上の利益を追求するあまり、あるいは、特に防災目的など公益性のある取り組みに顕著だが、“よいことをしている”という自覚が、関係者のプライバシーへの配慮に目を向かなくさせることがあると寺田弁護士は指摘する。
「今日では、プライバシーを保護するための技術が、たとえば秘密計算や差分プライバシーなど、さまざまに充実しています。“そうした技術を取り入れられないか”という発想を持つことが大事です。あるいは、個人データを利活用する担当者が、データの有用性にだけ着目して利活用を推し進めるのではなく、個人情報の本人や、そうでなくとも本人と実際に接している現場の担当者の意見を聞くようにするだけでも、適切な配慮ができるようになるのではないでしょうか」（寺田弁護士）。
法律を知らなければ正しい判断はできないが、法律を知っているだけでもまた、正しい判断はできないということだ。これも、さまざまな事例を知り尽くし、企業の具体的な案件に携わってきた寺田弁護士だからこそできるアドバイスだろう。
以上のような高度なプロフェッショナルサービスを提供しながらも、相談しやすい気安さ、敷居の低さを持っている点も、同事務所の魅力である。杉村弁護士は「具体的な案件がなくても、いつでも気軽にお声がけください」と笑い、寺田弁護士は「最近多いのは、社内で個人情報保護の研修をやってほしいというご相談です。従業員の皆さんが基本的な事項を押さえることは、炎上防止には大変効果的です。そういったご相談も、いつでもウェルカムです」と添えた。

※　個人情報保護法の改正法案は、2026年7月10日の参議院本会議にて可決、成立しました。本記事では、取材時点（2026年5月28日時点）での内容をベースに加筆修正を行っています。

読者からの質問（“タレントマネジメントツール”導入時の注意点）

→『LAWYERS GUIDE 企業がえらぶ、法務重要課題2026』を 「まとめて読む」
→ 他の事務所を読む