この表は、既存の解説ページを3つの部署に振り分けた「読む順番の案」です。改正対応で「誰が何を確認するか」は、法律や委員会の資料では決められていません。会社ごとに部署の名前も役割も違うため、ここでは確認する項目の性質（日程や社内規程、契約や権利義務、システムや記録）で3つに分けました。自社の体制に合わせて入れ替えてお使いください。
他のページとの違いは次のとおりです。該当性チェックは「自社にどのテーマが関係しそうか」を絞り込み、事業者側の準備スケジュールは「いつ何を準備するか」を時期で並べます。このページは、そのテーマを「どの部署が読むか」で引き直した表です。
1. 総務：日程・社内の手続き・本人や保護者への案内
期限と、本人・保護者から取る同意や通知の手続きに関わる項目です。
| 確認項目 | 現在の状態 | くわしく |
|---|---|---|
| 施行日・期限の確認 | 確定は2027-01-17（罰則関係）のみ。本体部分の施行日は未定 | 改正対応の期限の暦／事業者側の準備スケジュール |
| 罰則の施行に向けた社内への周知 | 2027-01-17施行（確定） | 2027年1月17日施行の罰則 |
| 16歳未満の利用者・保護者への同意の取り方 | 法定の年齢基準は新設。詳細は政令・規則で決まる部分あり | こどもの個人情報／読替表の一覧 |
| 施行前に取った同意・出した通知の扱い | 附則に定めあり（みなす場面と及ばない場面） | 経過措置 |
2. 法務：契約・制裁・第三者提供の判断
契約書の書き方、違反したときの制度、データの提供や利用の可否に関わる項目です。
| 確認項目 | 現在の状態 | くわしく |
|---|---|---|
| 委託先の義務と、委託契約に書く事項 | 委託先に法律上の義務。契約に書く事項は委員会規則で検討中（未定） | 委託先の取扱い／委託契約の論点 |
| 課徴金の対象となる行為・要件 | 枠組みは法律に定めあり。算定の詳細は政令・規則で決まる部分あり | 課徴金制度 |
| 勧告・命令など委員会の対応の強化 | 法律に定めあり | 勧告・命令等の実効性確保 |
| 団体訴訟制度 | 制度の内容は既存ページで整理 | 団体訴訟制度 |
| 契約の履行に伴う第三者提供・目的外利用 | 新設の例外あり（対象は限定的） | 目的外利用等の規律緩和 |
| オプトアウト届出事業者の確認義務 | 法第27条第7項で新設 | オプトアウト制度の強化 |
| 統計作成・AI開発での特例の使い方 | 特例の要件は法律に定めあり | 統計作成等の特例 |
| 生命等の保護・学術研究に関する例外 | 要件の緩和あり | 生命等の保護・学術研究例外 |
3. 情シス：システム・ログ・事故対応の準備
システムの仕様、記録の残し方、事故が起きたときの初動に関わる項目です。
| 確認項目 | 現在の状態 | くわしく |
|---|---|---|
| 漏えい等の報告・本人通知の見直し | 本人通知の緩和と、違法な第三者提供の追加が法律に定められた。詳細は政令・規則で決まる部分あり | 漏えい等報告・通知 |
| 不正アクセス時の平時の備えと初動 | 委員会の連絡会がまとめた着眼点（法改正とは別） | フォレンジック調査の着眼点 |
| 安全管理措置の手法の例示 | 委員会が検討中。令和9年4月施行までの予定日程あり | 安全管理措置ガイドラインの見直し |
| 顔認証・顔識別カメラなど顔特徴データ等の扱い | 3つの規律は法律に定めあり。詳細は政令・規則で決まる部分あり | 顔特徴データ等（特定生体個人情報とは） |
| メールアドレス・電話番号・Cookie IDなど連絡可能個人関連情報の保有状況 | 不適正利用・不正取得の禁止。対象範囲は委員会規則で決まる部分あり | 連絡可能個人関連情報 |
4. 部署をまたぐ項目と、使い方
表の項目に自社の取扱いが当てはまらないときは、その行は読み飛ばして構いません。たとえば16歳未満の本人を扱わない、委託先がない、顔特徴データ等を使わない、といった場合です。当てはまるかどうか分からない項目は、まず該当性チェックで確認してください。
- 委託先に個人データを渡している場合は、法務（契約）と情シス（渡し方・記録）の両方が関わります。委託先の取扱いを先に共有してください。
- 漏えい等が起きた場合の報告は、情シス（事実の把握）と総務（本人への案内）が同時に動きます。漏えい等報告・通知を共有してください。
- まだ決まっていない中身はまだ決まっていないこと一覧で確認できます。未定の項目は、決まった内容が公表されるまで「未定」として扱われています。
- 自社に当てはまる項目だけに絞るには、該当性チェックを先に実施すると、この表のどこを読めばよいかが分かります。
5. 法律の本文で確定している3点（部署を問わず先に共有する）
部署の割り振りより先に、改正法の本文（令和8年法律第56号）で日付と中身が確定している点を共有しておくと、どの部署の確認も同じ前提で進められます。2027年1月施行の罰則で整理している内容の要点です。
- 罰則関係の改正規定は、公布の日（2026年7月17日）から6か月を経過した日、つまり2027年1月17日に施行されます（附則第1条第3号）。本体部分の施行日は、公布から2年を超えない範囲で政令が定める日で、未定です。
- 新設される不正取得罪（個人情報保護法の改正後の第180条）は、人を欺く・暴行・脅迫、不正アクセスなどの行為で個人情報を取得した場合に、2年以下の拘禁刑または100万円以下の罰金です。
- 新設される措置命令違反の罪（改正後の第181条）は、1年以下の拘禁刑または100万円以下の罰金です。本体施行日の前日までは、同条の「措置命令」を第148条第2項または第3項の命令と読み替える経過措置があります（附則第3条）。
どの部署の誰が責任を負うかは、この表でも法律でも決まっていません。自社の事案への当てはめは、顧問弁護士または個人情報保護委員会に確認してください。
よくある質問
どの部署が何を確認するかは、法律で決まっていますか。
いいえ。改正対応で誰が何を確認するかは、法律や委員会の資料では決められていません。この表は、既存の解説ページを総務・法務・情シスの3つに振り分けた読む順番の案で、どの部署が責任を負うかを示すものではありません。
委託先に個人データを渡している場合は、どの部署が見ますか。
法務（契約）と情シス（渡し方・記録）の両方が関わります。委託先の取扱いのページを先に共有してください。
表の「現在の状態」は、どう読めばよいですか。
確定している期限は、罰則関係の2027-01-17だけで、本体部分の施行日は未定です。「政令・規則で決まる部分あり」とある項目は、その部分がまだ決まっていません。自社が対象になるかは、該当性チェックで絞り込んでください。
漏えい等が起きた場合は、どの部署が動きますか。
情シス（事実の把握）と総務（本人への案内）が同時に動きます。どの部署が責任を負うかを法律や委員会の資料が決めているわけではなく、この表の振り分けは読む順番の案です。漏えい等報告・通知のページを共有してください。（漏えい等報告・通知）
施行前に取った同意や出した通知は、改正後はどう扱われますか。
改正法の附則に定めがあり、みなす場面と及ばない場面があります。個別の同意や通知が当たるかは、経過措置のページで整理している条文を確認し、自社の事案への当てはめは顧問弁護士または個人情報保護委員会にご確認ください。（経過措置）
出典
- S-26個人情報の保護に関する法律等の一部を改正する法律（令和8年法律第56号）本文（PDF）（確認日 2026-09-05）
- S-16個人情報保護委員会事務局「政令・規則等で定める事項の全体像」（PDF・2026年8月26日）（確認日 2026-09-04）