令和8年改正で最初に動くのは罰則です。課徴金や顔特徴データ等の規律は政令待ちで公布から2年以内の政令で定める日までかかりますが、罰則関係は2027年1月17日に施行されます。日付が法律で確定している唯一の期限であり、準備期間はここから逆算します。何が引き上げられ、何が新設されるのかを、法律の条文から整理します。
1. なぜ罰則だけ先に施行されるのか
改正法の附則第一条は、施行日を2つに分けています。原則は「公布の日から起算して2年を超えない範囲内において政令で定める日」です。ただし第三号は、「公布の日から起算して6か月を経過した日」（2027年1月17日）から施行する規定を個別に列挙しています。罰則に関する条文はすべてこの第三号に含まれています。
課徴金・顔特徴データ等・委託先規律などの本体部分は、対象範囲や手続を政令・委員会規則で定めないと運用できません。一方、罰則の引き上げと新設は条文だけで完結します。そのため、先に施行できます。あわせて公示送達のデジタル化（法第163条第2項・第3項）も同日施行されます。
2. 引き上げられる法定刑
既存の3つの罰則が引き上げられます。条文番号は改正により繰り上がりますが、ここでは分かりやすさのため現行の条文番号で示します。
(1) 個人情報データベース等の不正提供等罪の法定刑（現行 法第179条 → 第178条）
個人情報取扱事業者（法人の場合はその役員・代表者・管理人）やその従業者、またはこれらであった者が、業務に関して取り扱った個人情報データベース等を不正な利益を図る目的で提供または盗用した場合の罰則です。委員会の改正法の概要資料では「個人情報データベース等の不正提供等罪」と呼ばれています。
| 項目 | 現行（第179条） | 改正後（第178条） |
|---|---|---|
| 目的の要件 | 自己若しくは第三者の不正な利益を図る目的 | 自己若しくは第三者の不正な利益を図り、若しくは本人その他の者に損害を加える目的 |
| 行為 | 提供または盗用 | 提供または盗用（変更なし） |
| 法定刑（行為者） | 1年以下の拘禁刑 または 50万円以下の罰金 | 2年以下の拘禁刑 または 100万円以下の罰金 |
| 法人への罰金（両罰規定） | 1億円以下（第184条第1項第1号） | 1億円以下（第185条第1項第1号。額は変更なし） |
従業者や退職者による持ち出しが典型例として想定される条文です。「利益を図る目的」がなくても「損害を加える目的」があれば対象になる点が、実務上の変更点です。
(2) 保有個人情報の不正提供・盗用（現行 法第180条 → 第179条）
行政機関等の職員等が、業務に関して知り得た保有個人情報を不正な利益を図る目的で提供・盗用した場合の罰則です。(1)と同じく、目的に「損害を加える目的」が追加され、法定刑が2年以下の拘禁刑または100万円以下の罰金へ引き上げられます。
(3) 個人情報ファイルの提供（法第176条）
行政機関等の職員等が、正当な理由なく個人の秘密に属する事項が記録された個人情報ファイルを提供した場合の罰則です。
3. 新設される2つの罰則
(1) 不正取得罪（新設 法第180条）
これまで罰則の対象は「持っている情報を不正に提供・盗用すること」でしたが、取得する行為そのものが新たに罰則の対象になります。条文が挙げる手段は次のとおりです。
- 人を欺く、人に暴行を加える、人を脅迫する行為
- 財物の窃取・損壊、施設への侵入、有線電気通信の傍受
- 不正アクセス行為（不正アクセス禁止法第2条第4項に規定するもの）
- その他、個人情報を保有する者の管理を害する行為
これらの手段により、不正な利益を図る目的または本人等に損害を加える目的で個人情報を取得したときは、2年以下の拘禁刑または100万円以下の罰金となります。第2項で、刑法その他の罰則の適用を妨げないことが明記されています。
(2) 措置命令違反（新設 法第181条）
措置命令に違反した場合、1年以下の拘禁刑または100万円以下の罰金となります。
4. 法人への罰金（両罰規定・現行 法第184条 → 第185条）
法人の代表者や従業者などが、その法人の業務に関して違反行為をしたときは、行為者を罰するほか、法人にも罰金刑を科す規定です（両罰規定）。改正により条文番号が第184条から第185条へ繰り下がり、対象となる罪が組み替えられます。
| 法人に科される罰金 | 現行（第184条第1項） | 改正後（第185条第1項） |
|---|---|---|
| 1億円以下の罰金刑 | 第178条（命令違反）・第179条（個人情報データベース等の不正提供・盗用） | 第178条（個人情報データベース等の不正提供・盗用。現行第179条の繰り上げ）・第181条（措置命令違反。新設） |
| 各本条の罰金刑 | 第182条（報告・資料提出の拒否や虚偽報告等。50万円以下） | 第180条（不正取得罪。新設。100万円以下）・第183条（現行第182条の繰り下げ） |
つまり、1億円以下の罰金が法人に科されうる範囲は、従業者等による個人情報データベース等の持ち出しと、委員会の命令に従わない場合という点で現行と変わりません。新しく加わるのは、不正取得罪も法人の両罰規定の対象になる点です（法人への罰金額は同条と同じ100万円以下）。この組み替えも2027年1月17日に施行されます。
5. 番号法（マイナンバー法）第49条・第51条も同じ日に改正
改正法の第2条は、行政手続における特定の個人を識別するための番号の利用等に関する法律（番号法）も改正しています。このうち罰則の第49条と第51条第1項の改正は、附則第一条第三号により個人情報保護法の罰則と同じ2027年1月17日に施行されます。法定刑の数値は変わらず、対象となる目的と手段が個人情報保護法の改正と揃えられます。
番号法の他の改正（本人の同意を得ないことに相当の理由がある場合の提供など）は、個人情報保護法の本体部分と同じく政令で定める日からの施行です。番号法のほか医療情報法や統計法などの改正は個人情報保護法以外の改正に整理しています。
6. いつから
2027年1月17日です。公布日（2026年7月17日）から起算して6か月を経過した日で、政令を待たずに日付が確定している唯一の期限です。本体部分（課徴金・顔特徴データ等・委託先規律など）は「公布から2年を超えない範囲内で政令が定める日」で、実際の日付は未定です。決定タイムラインで追記していきます。
7. 自社で確認しておく順序
罰則は体制を作り直す話ではなく、すでにあるはずの管理が機能しているかの確認が中心になります。
- 従業者・退職者が個人情報データベース等を持ち出せる状態になっていないかを確認する。引き上げの対象は事業者そのものではなく、行為をした個人だが、持ち出しが起きれば事業者の管理責任も問われる。
- 退職時のアクセス権限の停止、貸与端末の回収、持ち出しの検知手段があるかを点検する。「損害を加える目的」が加わったことで、金銭目的でない持ち出しも対象になりうる。
- 委託先・再委託先で同じ管理ができているかを確認する（委託先の個人データ取扱いの規律も本体施行で変わる）。
- 不正アクセスによる情報取得が新たに罰則の対象になるため、自社が被害を受けた場合の記録・通報の手順を確認する。あわせて漏えい等報告のフローも点検する。
- 個人情報保護委員会からの命令・報告徴収に応答する窓口が決まっているかを確認する。措置命令違反が罰則の対象になる。
たとえばこういう場面（仮想の事業者を仮定した確認の例）
以下は、実在しない事業者を仮定した例です。罰則に当たるかどうかの結論は示しません。
仮定: 従業員50人の人材紹介会社。退職を控えた従業員が、登録者の名簿を私物のメモリに保存している。別の日には、社外の者が他社のシステムに不正アクセスして顧客リストを入手し、この会社に持ち込む話があった。
| 場面 | この例で見ること | この記事の整理 |
|---|---|---|
| 従業員による名簿の持ち出し | 退職時のアクセス権限の停止、端末の回収、持ち出しの検知手段があるか | 行為者は個人。法人の業務に関して行われたときは、両罰規定で法人にも罰金刑が科されうる（1億円以下の範囲は現行と変わらない） |
| 不正アクセスによる顧客リストの入手 | 人を欺く・不正アクセス行為などの手段で、不正な利益を図る目的または本人等に損害を加える目的で取得する話ではないか | 新設の不正取得罪が対象とする手段・目的に当たりうる（法第180条。2年以下の拘禁刑または100万円以下の罰金） |
| 施行日 | この場面の確認は、いつまでに済ませるか | 罰則は2027年1月17日施行。課徴金などの本体部分は、その日には始まらない |
この例から言えるのは、罰則の確認は、新しい体制を作る話ではなく、持ち出しや不正な入手を防ぐ既存の管理が機能しているかを見る話だということです。ある行為が罰則に当たるかの判断は、顧問弁護士にご確認ください（確認日 2026-10-09。根拠は上の第3〜4節、第6節とQ1〜Q3）。
8. よくある質問
Q1. 2027年1月17日には、課徴金や顔特徴データ等の規律も始まりますか。
始まりません。この日に施行されるのは、改正法の附則第一条第三号に列挙された罰則関係などの規定です。課徴金・顔特徴データ等・委託先の規律などの本体部分は「公布の日から起算して2年を超えない範囲内において政令で定める日」からで、その政令はまだ公布されていません（確認日 2026-10-05）。
Q2. 引き上げられた罰則は、会社（事業者）にも科されますか。
罰則の行為者として挙げられているのは、事業者の役員・従業者やこれらであった者などの個人です。そのうえで両罰規定により、法人の業務に関して違反行為があったときは法人にも罰金刑が科されえます。1億円以下の罰金の範囲は、従業者等による個人情報データベース等の不正提供・盗用と措置命令違反で、額は現行と変わりません。新設の不正取得罪も法人の両罰規定の対象で、法人への罰金は100万円以下です（確認日 2026-10-05）。個別の事案に当たるかの判断は、顧問弁護士にご確認ください。
Q3. 「不正取得罪」が新設されると、何が罰則の対象になりますか。
人を欺く・暴行・脅迫、財物の窃取・損壊、施設への侵入、有線電気通信の傍受、不正アクセス行為などの手段で、不正な利益を図る目的または本人等に損害を加える目的で個人情報を取得した場合です。法定刑は2年以下の拘禁刑または100万円以下の罰金です（法第180条。確認日 2026-10-05）。ある行為が当たるかの判断は、顧問弁護士にご確認ください。
Q4. 措置命令違反の罰則は、本体部分の施行前でも適用されますか。
「措置命令」は本体部分の施行で導入される用語のため、2027年1月17日から本体施行日の前日までの間は、条文の「措置命令」を「法第148条第2項又は第3項の規定による命令」と読み替えて適用します（改正法の附則第三条）。つまりこの期間は、現行の命令規定に違反した場合が対象です。（この記事の3・決定タイムライン）
Q5. 2027年1月17日は、どのように決まった日ですか。政令で決まる日とは別ですか。
別です。改正法の附則第一条第三号が、「公布の日から起算して6か月を経過した日」（公布日は2026年7月17日）から施行する規定を個別に列挙しており、罰則に関する条文はすべてこれに含まれます。政令を待たずに日付が確定している唯一の期限です。課徴金などの本体部分は「公布から2年を超えない範囲内で政令が定める日」で、実際の日付は未定です。（この記事の1・同6）
出典
- S-26個人情報の保護に関する法律等の一部を改正する法律（令和8年法律第56号）本文（PDF） 第1条の罰則改正部分および附則第一条第三号・第三条（確認日 2026-09-05）
- S-36同法律の本文（PDF） 第1条の第184条（両罰規定）の改正部分、第2条の番号法第49条・第51条第1項の改正部分、附則第一条第三号（確認日 2026-09-27）
- S-26e-Gov法令検索「個人情報の保護に関する法律」（平成15年法律第57号） 現行の第176条・第179条・第180条（確認日 2026-09-05）
- S-36e-Gov法令検索「個人情報の保護に関する法律」 現行の第178条・第182条・第184条（確認日 2026-09-27）
- S-36e-Gov法令検索「行政手続における特定の個人を識別するための番号の利用等に関する法律」（平成25年法律第27号） 現行の第49条・第51条（確認日 2026-09-27）
- S-38同法律の本文（PDF） 第1条の第179条の改正部分、e-Gov現行法 第179条・第184条、個人情報保護委員会「改正法の概要」（PDF） 第4の3（確認日 2026-09-28）
- S-02個人情報保護委員会「令和8年改正個人情報保護法」（確認日 2026-09-04）