令和8年 個人情報保護法 改正デスクR8 PIPL WATCH

民間の解説サイトです。個人情報保護委員会などの国の機関の公式の窓口ではなく、届出や相談の受付はしていません。運営者情報

業種別ナビゲーション ／ 更新 2026-11-06

金融・保険・与信の8業種

業種別の入口から分けた、8業種の節です。業種ごとに、令和8年改正のうちまず見る3テーマを挙げています。

与信・信用情報、カード決済、保険、銀行・証券、暗号資産、貸金・ローン、前払式支払手段、ポイントサービスの8業種について、先に確認する3テーマを整理します。ほかの業種は業種別の入口にあります。該当するかどうかは個別に判断が必要で、このページは判定しません。

20. 与信審査・信用情報関連事業者

返済能力・信用力の審査のため、複数の事業者間でデータを共有し横断的に解析するニーズが高い業種です。まず見ておくとよいのは次の3テーマです。

  1. 統計作成等の特例: 統計情報等の作成にのみ利用されることを条件に、本人同意なき個人データ等の第三者提供や、公開されている要配慮個人情報の取得が可能になります。複数の事業者が持つデータを共有し横断的に解析するニーズの高まりが、この特例が新設される背景として一次資料に挙げられています。
  2. 委託先における個人データ等の適正な取扱い: 与信審査業務やスコアリングモデルの構築・運用を外部に委託している場合、委託先としての新しい義務・免除規定の対象になり得ます。
  3. 漏えい等報告・本人通知義務の緩和: 信用情報の漏えい等が起きた場合の報告・通知の扱いに関係します。

22. クレジットカード会社・決済代行事業者

会員数の多い決済処理を本業とし、決済データの統計的な利用や外部委託も多い業種です。1番のECサイト運営者・14番のフリマ・オークションサービス運営者とは異なり、決済処理そのものを本業とする点が特徴です。まず見ておくとよいのは次の3テーマです。

  1. 課徴金制度: 対象となる違反行為には「対象行為に係る本人の数について1,000人を基準とする」大規模事案という限定要件があります。会員数の多いカード会社・決済代行事業者は、この人数規模に達しているかをまず確認する意味があります。
  2. 統計作成等の特例: 決済データを統計情報等の作成にのみ利用する場合、本人同意なき個人データ等の第三者提供が可能になる特例に関係しうるテーマです。
  3. 委託先における個人データ等の適正な取扱い: 決済処理業務の一部を加盟店・システム会社等へ委託している場合、委託先としての新しい義務・免除規定の対象になり得ます。

この業種で先に読むページ: 漏えい等報告・本人通知義務の緩和（顧客・取引先の個人データを保有する業種として、漏えい等が起きた場合の報告・通知の扱いを確認できます）。

39. 保険代理店・保険会社（委託関係がある場合）

保険会社が保険募集や顧客対応の一部を保険代理店に任せる、あるいは保険代理店が事務やシステムの運用を外部に任せるなど、個人データの取扱いを他社に委ねる関係が日常的にある業種です。この節は、令和8年改正のうち委託先の規律だけを取り上げます。保険業法に固有の規律や、健康情報の取得場面については、委員会の改正資料から確かめられた範囲がないため、ここでは扱いません。まず見ておくとよいのは次の2テーマです。

  1. 委託先における個人データ等の適正な取扱い: 委託を受けた側に、委託された業務に必要な範囲を超えて取り扱ってはならないという義務が明文化されます（法第30条の3）。委託先が自ら取扱い方法を決めず、委託契約で取扱い方法と取扱い状況の把握のための措置を合意している場合は、委託先の義務が免除される規定も入ります（法第58条の2）。免除の前提となる契約事項の具体的な内容は、委員会規則で定められる予定で、2026年10月8日時点では未確定です。
  2. 漏えい等報告・本人通知義務の緩和: 委託先での漏えい等が起きた場合の連絡と報告の扱いに関係します。規則で定める範囲は未確定です。

保険会社と代理店のどちらが委託元・委託先に当たるか、その委託契約が上の免除の対象になるかは、個々の契約内容によります。このサイトでは判断できないため、顧問弁護士または個人情報保護委員会にご確認ください。

74. 銀行・信用金庫・証券会社などの金融機関

銀行・信用金庫・証券会社など、顧客の氏名・住所・取引の履歴を持ち、口座の名義人に未成年の子どもが含まれ、勘定系システムやコールセンターの運用を外部に任せている事業者です。これらの情報は特定の個人が分かるものとして、個人情報の保護に関する法律（法第2条第1項）の対象になりえます。金融分野では、個人情報保護委員会と金融庁が定めた「金融分野における個人情報保護に関するガイドライン」が別にあります。個人情報保護委員会事務局と金融庁は令和8年7月24日、このガイドラインの一部改正を公布したと公表しており、適用は令和9年4月1日からとされています（金融庁の報道発表）。法の改正と同じ日に始まるものではないため、いつから何を見直すかは、法の施行日と分けて確認する必要があります。ガイドラインの具体的な改正内容はこのサイトでは解説しません。委託先に取扱いを任せたときの受け手は、第三者に当たらないとされています（法第27条第5項第1号）。まず見ておくとよいのは次の3テーマです。

  1. 漏えい等報告・本人通知義務の緩和: 顧客情報を載せたメールの誤送信、口座情報の入った書類の紛失、システムへの不正アクセスなどで漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。
  2. 委託先における個人データ等の適正な取扱い: 勘定系システム、コールセンター、事務センター、書類の保管や郵送を外部に任せている場合に、任せる側の監督と、任される側に新設される義務（法第30条の3）が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
  3. こどもの個人情報: 子ども名義の口座や、親権者の同意のもとで子どもの情報を集める場合に関係します。何が決まり何が未確定かは同ページに整理しています。

金融分野のガイドラインと法の改正がどう重なるか、顧客データを統計の作成に使ってよいか、個別の場面の判断はこのサイトではできません。顧問弁護士、個人情報保護委員会または所管の金融当局にご確認ください。

96. 暗号資産交換業者・ウォレット・NFT取引サービス運営者

この節で想定する場面は、口座開設時の本人確認書類、取引の履歴、顔画像による本人確認、海外の事業者への委託を扱う場面です。

口座の開設を受け付け、氏名・住所・生年月日、運転免許証などの本人確認書類の画像、暗号資産やNFTの取引の履歴、顔画像との照合による本人確認の記録を管理している暗号資産交換業者・ウォレット提供者・NFT取引サービスの運営者です。本人確認の仕組みそのものを他社に提供する事業はeKYC・本人確認サービス事業者、決済の取次ぎはクレジットカード会社・決済代行事業者、銀行や証券会社は銀行・信用金庫・証券会社などの金融機関にあり、ここでは暗号資産の口座管理と取引の記録に絞ります。システムの運用や本人確認の業務を海外の事業者に任せている場合は、委託先の項目に加えて越境移転のページも見てください。

  1. 顔特徴データ等: 口座開設時に、本人確認書類の顔写真と撮影した顔を照合する用途で、顔画像から作る特徴データを扱う場合に関係します。政令で定める範囲は未確定です。
  2. 委託先における個人データ等の適正な取扱い: 本人確認、システムの運用、取引の監視を外部に任せている場合に、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。委託先が海外の事業者のときの法第28条との関係は外国にある第三者への提供（越境移転）で整理しています。契約書の論点は委託先契約で定める事項の3論点を参照。
  3. 漏えい等報告・本人通知義務の緩和: 本人確認書類の画像や取引の履歴の流出、不正アクセスによる口座情報の漏えいなどが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。

暗号資産交換業や犯罪収益移転防止に関する法令上の義務と個人情報保護法の改正がどう重なるか、取引の記録をどれだけの期間保管してよいかは、事業の内容や所管の法令によって変わるため、このサイトでは判断できません。顧問弁護士、個人情報保護委員会または所管の金融当局にご確認ください。

110. 貸金業者・個人向けローン・リース・割賦販売事業者

この節で想定する場面は、申込者の審査情報を預かる事業者が、信用情報機関への照会、督促、業務の委託を行う場面です。

貸金業者、個人向けローンの取扱事業者、リース会社、割賦販売の事業者には、申込者の氏名・住所・勤務先・収入、借入や支払の状況、返済が遅れたときの督促の記録が残ります。審査の仕組みは与信審査・信用情報関連事業者、カードや決済はクレジットカード会社・決済代行事業者、預金取扱金融機関は銀行・信用金庫・証券会社などの金融機関の節で扱っているため、ここでは重ねず、申込者の情報を他の事業者に渡す場面と任せる場面に絞ります。個人情報保護法は、個人データを第三者に提供するときは、法令に基づく場合などを除き、あらかじめ本人の同意を得ることを求めています（法第27条第1項）。ただし、利用目的の達成に必要な範囲で取扱いを委託する場合の提供先は、第三者に当たらないとされています（同条第5項第1号）。個人データの取扱いを委託するときは、委託を受けた者への必要かつ適切な監督が求められます（法第25条）。先に見ておくとよいのは次の3テーマです。

  1. 漏えい等報告・本人通知義務の緩和: 申込書類の誤送付、督促状の宛先の誤り、審査情報を載せたシステムへの不正アクセスなどが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
  2. 委託先における個人データ等の適正な取扱い: 督促、回収、審査、システム運用を外部に任せている場合の監督（法第25条）と、任される側の義務（法第30条の3）が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
  3. 罰則（2027年1月17日施行）: 業務で取り扱った個人情報データベース等を不正な利益を図る目的で提供または盗用する行為は、不正提供等罪の対象です。申込者名簿や延滞者リストの持ち出しは、従業者による持ち出しの典型として想定される場面に関係します。

信用情報機関への照会や登録が同意なしでできる場合に当たるか、督促や回収の委託先が第三者に当たるか、貸金業法・割賦販売法など個人情報保護法以外の法律がどう関わるかは、事業の内容と契約の実態によって変わるため、このサイトでは判断できません。顧問弁護士、所管の行政庁、個人情報保護委員会にご確認ください。

113. 前払式支払手段・資金移動業・両替

対象: 前払式支払手段（電子マネー・プリペイドカード・ポイント）の発行者・資金移動業者・両替事業者

この節で想定する場面は、利用者の本人確認の情報や利用履歴を預かる事業者が、不正利用の監視と決済代行への委託を行う場面です。

電子マネー、プリペイドカード、ポイントの発行者、資金移動業者、両替事業者には、利用者の氏名・連絡先・本人確認書類の情報、チャージや支払の利用履歴、不正利用を見つけるための取引の記録が残ります。クレジットカードと決済代行はクレジットカード会社・決済代行事業者、銀行などは銀行・信用金庫・証券会社などの金融機関、暗号資産は暗号資産交換業者・ウォレット・NFT取引サービス運営者の節で扱っているため、ここでは重ねず、利用履歴の扱いと外部への委託に絞ります。個人情報保護法は、個人データを第三者に提供するときは、法令に基づく場合などを除き、あらかじめ本人の同意を得ることを求めています（法第27条第1項）。ただし、利用目的の達成に必要な範囲で取扱いを委託する場合の提供先は、第三者に当たらないとされています（同条第5項第1号）。個人データの取扱いを委託するときは、委託を受けた者への必要かつ適切な監督が求められます（法第25条）。先に見ておくとよいのは次の3テーマです。

  1. 漏えい等報告・本人通知義務の緩和: 利用履歴や本人確認書類の情報を載せたシステムへの不正アクセス、利用者あての通知の誤送付などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
  2. 委託先における個人データ等の適正な取扱い: 決済代行、不正利用の監視、本人確認、コールセンターを外部に任せている場合の監督（法第25条）と、任される側の義務（法第30条の3）が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
  3. 罰則（2027年1月17日施行）: 業務で取り扱った個人情報データベース等を不正な利益を図る目的で提供または盗用する行為は、不正提供等罪の対象です。利用者の名簿や利用履歴の持ち出しは、従業者による持ち出しの典型として想定される場面に関係します。

不正利用の監視のために利用履歴を使うことが利用目的の範囲に収まるか、決済代行の委託先が第三者に当たるか、資金決済法など個人情報保護法以外の法律がどう関わるかは、事業の内容と契約の実態によって変わるため、このサイトでは判断できません。顧問弁護士、所管の行政庁、個人情報保護委員会にご確認ください。

116. 共通ポイント・ポイントサービスの運営事業者

この節で想定する場面は、会員の購買履歴を、提携先やポイントの交換先と結び付けて扱う場面です。

共通ポイントやポイントサービスの運営事業者には、会員の氏名・連絡先、提携先ごとの購買履歴とポイントの付与・利用の記録、ポイントの交換先とのやり取りの記録が残ります。残高や発行そのものは前払式支払手段の発行者・資金移動業者・両替事業者の節で扱っているため、ここでは重ねず、提携先との情報共有に絞ります。個人情報保護法は、個人データを第三者に提供するときは、法令に基づく場合などを除き、あらかじめ本人の同意を得ることを求めています（法第27条第1項）。特定の者との間で共同して利用する場合は、必要な事項をあらかじめ本人に通知するか本人が容易に知り得る状態に置くことで、提供を受ける者が第三者に当たらないとされています（同条第5項第3号）。提供先が個人データとして取得することが想定される個人関連情報には、別の制限があります（法第31条）。先に見ておくとよいのは次の3テーマです。

  1. 漏えい等報告・本人通知義務の緩和: 会員情報や購買履歴を載せたシステムへの不正アクセス、会員あての通知の誤送付などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
  2. 委託先における個人データ等の適正な取扱い: 会員管理、ポイントの付与の計算、問い合わせ対応、会員向け配信を外部に任せている場合、任せる側の監督（法第25条）と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
  3. 連絡可能個人関連情報の不適正利用・不正取得の禁止: 提携先と共有する会員の情報や、広告や配信に使う識別子に、電話番号・メールアドレス等の連絡先が含まれる場合に関係しうるテーマです。規則で定める範囲は未確定です。

提携先との情報共有が共同利用に当たるか、委託や第三者提供のどれに当たるか、購買履歴をポイントの交換先に渡してよい範囲、会員の購買傾向を広告に使うことが利用目的の範囲に収まるかは、仕組みと契約の実態によって変わるため、このサイトでは判断できません。資金決済法や景品表示法など個人情報保護法以外の法律の関わりも同じです。顧問弁護士、所管の行政庁、個人情報保護委員会にご確認ください。

出典