該当性チェック（11テーマ）

課徴金の導入

個人データを扱うすべての事業者に関係します。対象となる行為は4類型に限定されており、そのうえで大規模事案などの要件で絞られます。

いま決まっていること

対象行為は、不適正な利用の禁止（法第19条）違反、適正な取得（法第20条第1項）違反、第三者提供の制限（法第27条第1項）違反、統計特例違反の4類型。あわせて、対象行為を防止するための相当の注意を怠っていたか、権利利益の侵害または侵害のおそれが生じたか、本人の数について1,000人を基準とする大規模事案かで限定されます。

これから決まること

政令で課徴金額の算定方法（法第148条の3第1項・第2項）と、対象外となる「個人の権利利益を害する程度が大きくない場合」の範囲。委員会規則で推計方法・減額のための報告の方法・弁明の機会付与の通知方法等。

Q7で「1,000人を超える」と回答されました課徴金は「対象行為に係る本人の数について1,000人を基準とする」大規模事案に限定されます。上の4類型に当たる取扱いがないかを、優先して確認する対象になります。

Q7で「1,000人を超えない」と回答されました1,000人という基準は対象行為に係る本人の数で判断されるものとして示されています。保有している人数が1,000人以下でも、直ちに対象外が確定するわけではありません。この基準がどう当てはめられるかは、政令・ガイドラインが示されてから確認する必要があります。

課徴金制度について詳しく読む／出典: 改正法の概要（S-06・S-07）、政令・規則等で定める事項の全体像（S-16）／確認日 2026-09-04

算定方法・対象外の範囲についての事務局案（政令は未公布）（S-111）は確認日 2026-10-14

顔特徴データ等

顔認証・顔識別機能付きカメラなどを使っている事業者に関係します。法律事務所の解説では「特定生体個人情報」とも呼ばれます。

いま決まっていること

3つの規律が入ります。(1)事業者の名称・住所・代表者の氏名、顔特徴データ等を取り扱うこと、その利用目的、元となった身体的特徴の内容、利用停止請求に応じる手続等の周知の義務付け (2)オプトアウト制度に基づく第三者提供を不可とすること (3)違法行為等の有無を問わない利用停止等請求を可能とすること。

これから決まること

政令で規律の対象となる身体の一部の特徴に係る情報の範囲（法第16条第5項）と、周知義務・利用停止等請求の例外事由。委員会規則で周知の方法と周知事項（法第21条の2第1項）。どのように周知すれば足りるかは、まだ決まっていません。2026年9月16日、委員会事務局は周知方法について「機器の検知対象者が十分認識できる場所への掲示」を論点として示しましたが、決定ではありません。

Q1で「わからない」と回答されました従来型の防犯カメラ（防犯目的の録画のみ）は、この改正で新設される顔特徴データ等の規律の対象外です。対象になるのは、撮影した画像から顔の特徴情報を抽出し、本人を識別する仕組みを使っている場合です。自社のカメラ・入退室管理・本人確認の仕組みが録画のみか、特徴情報の抽出まで行っているかを、機器の仕様書やベンダーへの確認で洗い出してください（従来型防犯カメラの現行法上の留意点を詳しく読む）。

顔特徴データ等について詳しく読む（防犯カメラの区別・用途別の早見つき）／出典: 改正法の概要（S-09・S-13〜S-15）、全体像（S-16）／確認日 2026-09-04

周知方法の論点（S-30）は確認日 2026-09-21

防犯カメラの現行法上の扱い（S-32）は確認日 2026-09-23

こどもの個人情報

16歳未満の人の個人情報を取り扱う事業者に関係します。学習塾、子ども向けサービス、小児医療などが該当します。

いま決まっていること

年齢の基準は16歳未満。16歳未満の者が本人である場合、同意の取得や通知等について法定代理人を対象とすることが明文化され、保有個人データの利用停止等請求の要件も緩和されます。適用除外として、本人が16歳未満であることを知らないことに正当な理由がある場合、法定代理人が営業を許可し当該営業に関して取得した場合、本人が16歳以上であると信じさせるために詐術を用いた場合、法定代理人の同意を得て取得された場合が挙げられています。

これから決まること

政令で利用停止等請求の例外事由（法第35条第9項第12号）。委員会規則で「取得の状況からみて子供本人の権利利益を害しないことが明らかである場合」（同項第8号）と、公開されていた場合の公開主体（同項第9号）。2026年9月16日、委員会事務局はこれらの範囲について目的外利用等の規律緩和と同様の考え方でよいか等を論点として示しましたが、決定ではありません。

こどもの個人情報について詳しく読む／16歳未満の読替表（どの条文で「本人」が「法定代理人」になるか）／出典: 改正法の概要（S-08）、全体像（S-16）／確認日 2026-09-04

利用停止等請求の例外事由の論点（S-30）と条文の読替表（S-31）は確認日 2026-09-21

委託先における個人データ等の適正な取扱い

個人データの取扱いを委託している事業者と、委託を受けている事業者の双方に関係します。

いま決まっていること

委託先に対し、委託を受けた業務の遂行に必要な範囲を超えて個人データ等を取り扱ってはならない義務を明文化（法第30条の3）。機械的に取り扱うのみの委託先は、契約で合意すれば法第4章の義務が原則免除される規定も新設（法第58条の2）。

これから決まること

委員会規則で、委託先の義務の免除の前提として委託契約において定める事項及び契約の方法（法第58条の2）。つまり、既存の委託契約書を作り直す必要があるかどうかは、この規則が出るまで確定しません。

Q3で「はい」と回答されました委託している側（委託元）か、委託を受けている側（委託先）かで確認すべき点が異なります。委託先は、委託を受けた業務の遂行に必要な範囲を超えて個人データ等を取り扱ってはならない義務（法第30条の3）を新たに負います。委託元は、委託先が機械的な取扱いのみを行う場合に義務が免除される規定（法第58条の2）の対象に当てはまるか、既存の委託契約書の記載を洗い出しておくと、免除の前提となる契約事項が規則で示された際にすぐ対応できます。

委託先の個人データ取扱いについて詳しく読む／出典: 改正法の概要 第2の3「個人情報取扱事業者等からデータ処理等の委託を受けた事業者に対する規律の在り方」、全体像（いずれもS-16）／確認日 2026-09-04

オプトアウト制度の強化

オプトアウトの届出をして、本人の同意なく個人データを第三者に提供している事業者に関係します。

いま決まっていること

オプトアウト制度に基づいて第三者提供するときは、あらかじめ提供先の身元（氏名又は名称、住所、代表者の氏名）と利用目的を確認しなければならなくなります（法第27条第7項）。確認に係る事項を偽ってはならず、違反は過料の対象です。例外は、その個人データを取得した時点で本人・国の機関・地方公共団体等により公開されていたものである場合等です。あわせて、顔特徴データ等はオプトアウト制度に基づく第三者提供ができなくなります（Q1で「はい」の場合は両方に関係します）。

これから決まること

委員会規則で、提供先の名称・住所等の確認方法（法第27条第7項柱書）と、公開主体に係る例外事由およびそれに準じる例外事由（同項ただし書）。何をもって「確認した」といえるかは、この規則が出るまで確定しません。なお、衆参の附帯決議にはオプトアウト届出事業者に対する監視・監督等の徹底が含まれていますが、附帯決議は規則の内容を決めるものではありません。

Q4で「わからない」と回答されました個人情報保護委員会は、届け出されたオプトアウト届出書を公表しており、委員会のオプトアウト届出のページにある「オプトアウト届出書検索・届出書一覧表示」から参照できます。自社の名称で検索し、届出の有無と届け出た内容を社内の担当部署と突き合わせてください。名簿等を受け取る側の事業者も、同じ公表から提供元がオプトアウト届出を行っているかを確認できます。なお、オプトアウト提供された個人データをさらにオプトアウト提供することは、現行法でも禁止されています。

オプトアウト制度の強化について詳しく読む／出典: 改正法の概要・全体像（S-21）／確認日 2026-09-05

顔特徴データ等の扱い（S-14）は確認日 2026-09-04

附帯決議（S-33）は確認日 2026-09-23

オプトアウト届出書の公表（S-37）は確認日 2026-09-28

提供先の確認方法についての事務局案（規則は未公布）（S-111）は確認日 2026-10-14

統計作成等の特例

統計の作成やAIの開発のために個人データを使う事業者に関係します。本人の同意を不要とする特例です。

いま決まっていること

統計の作成やAI開発等の場面で、本人の同意なく個人データを取り扱える特例が設けられます。ただし、この特例に違反した目的外利用・第三者提供は課徴金の対象4類型の一つです。

これから決まること

委員会規則で特例の対象範囲（法第2条第13項）、公表の内容・方法、基準に適合する体制の内容等（法第30条の2、第31条の3、第72条の3）。自社の使い方が特例に入るかは、この規則が出るまで確定しません。

統計作成等の特例について詳しく読む／出典: 改正法の概要・全体像（S-22）／確認日 2026-09-05

課徴金の対象4類型についてはS-06も参照（確認日 2026-09-04）

生命等の保護・公衆衛生向上での同意取得困難性要件の緩和

医療・公衆衛生・学術研究に関わる事業者に関係します。

いま決まっていること

生命等の保護および公衆衛生の向上のために必要な場合の「同意を得ることが困難であるとき」という要件が緩和されます。あわせて、学術研究機関等に医療提供機関を含むことが明示されます。

これから決まること

政令・委員会規則にゆだねられた事項はありません。ガイドライン・Q&Aで基本的な考え方と具体事例、とくに「公衆衛生の向上のために特に必要がある場合」の考え方が示されます。

生命等の保護・学術研究例外について詳しく読む／出典: 改正法の概要・全体像（S-24）／確認日 2026-09-05

あわせて「仮名加工医療情報に関する法律」でも16歳未満の者の個人情報等の取扱いについて所要の措置が講じられます（S-11、確認日 2026-09-04）

連絡可能個人関連情報の不適正利用・不正取得の禁止

電話番号やメールアドレスなど、連絡が取れる情報を集めて使っている事業者に関係します。個人情報に当たらない形で保有している場合も対象になりえます。

いま決まっていること

連絡可能個人関連情報について、不適正な利用と不正な取得が禁止されます。

これから決まること

委員会規則で、規律の対象となる記述等の範囲（法第2条第8項第5号）。どこまでが「連絡可能」に当たるかは、この規則が出るまで確定しません。

連絡可能個人関連情報について詳しく読む／出典: 改正法の概要・全体像（S-20）／確認日 2026-09-05

規律の対象となる記述等についての事務局案（規則は未公布）（S-111）は確認日 2026-10-14

漏えい等報告・本人通知義務の緩和

個人データを保有するすべての事業者に関係します。報告と通知の負担が軽くなる方向の改正です。

いま決まっていること

本人通知が行われなくても権利利益の保護に欠けるおそれが少ない場合の扱い、速報の免除、確報の取りまとめ、違法な第三者提供の報告対象化が見直されます。

これから決まること

委員会規則で、通知が不要となる場合（法第26条第2項、法第68条第2項第1号）と、速報の免除・確報の取りまとめ・違法な第三者提供の報告対象化（法第26条第1項）の具体的な内容。

漏えい等報告・本人通知の緩和について詳しく読む／出典: 改正法の概要（S-19）／確認日 2026-09-05

目的外利用・要配慮個人情報取得・第三者提供の規律緩和

個人データを扱うすべての事業者に関係します。本人の意思に反せず権利利益を害しないことが明らかな場合の取扱いが緩和されます。

いま決まっていること

目的外利用（法第18条第3項第7号）、要配慮個人情報の取得（法第20条第2項第7号）、第三者提供（法第27条第1項第8号）のそれぞれに、新しい例外が置かれます。

これから決まること

委員会規則で、該当する場合の具体的な規定。どの場面が緩和の対象になるかは、この規則が出るまで確定しません。2026年9月16日、委員会事務局は契約の履行に伴う第三者提供の対象範囲（本人以外との契約の履行、契約締結前の要望対応の追加）と16歳未満の場合の扱いを論点として示しましたが、決定ではありません。

目的外利用等の規律緩和について詳しく読む／出典: 改正法の概要・全体像（S-23）／確認日 2026-09-05

契約履行に伴う第三者提供の論点（S-30）は確認日 2026-09-21

勧告・命令等の実効性確保

すべての事業者に関係します。違反行為を補助する第三者に対して中止を要請できる根拠規定が置かれます。

いま決まっていること

緊急命令の要件緩和、勧告・命令内容の拡大（本人への通知・公表等）、違反行為を補助する第三者への中止要請の根拠規定が設けられます。

これから決まること

政令・委員会規則にゆだねられた事項はありません。ガイドライン・Q&Aで基本的な考え方と具体事例が示されます。

勧告・命令等の実効性確保について詳しく読む／出典: 改正法の概要・全体像（S-25）／確認日 2026-09-05