日本の個人情報保護法制で初めて、行政上の措置として金銭的不利益を課す課徴金制度が導入されます。すべての違反が対象になるわけではありません。対象となる行為・要件・算定の枠組みのうち、何が決まっていて何がこれから政令・規則で決まるのかを分けて書きます。「課徴金納付命令」など呼び方の違いは用語の対応表で確かめられます。
課徴金・措置命令・罰則の違い（対象行為と金銭の有無）
どれも個人情報保護委員会が関わる制裁・強制の仕組みですが、何に対して、何を求めるかが違います。改正法の本文（e-Gov法令検索の現行条文と、委員会公表の改正法本文で確認、2026-10-19）で、条と金銭の有無を並べます。
| 制度 | 根拠の条 | 対象行為 | 金銭の納付 | 施行 |
|---|---|---|---|---|
| 課徴金納付命令 | 改正法第148条の3（新設） | 第1項の各号の違反行為（個人情報の提供など）と、第2項の第20条第1項違反の取得・利用のうち、対価として金銭等を得たもの | あり。得た金銭等に相当する額として政令で定める方法で算定した額を、国庫に納付する | 公布の日から2年以内に政令で定める日 |
| 措置命令 | 改正後の法第148条第2項・第3項 | 勧告に従わない場合、または重大な権利利益を害する事実があり緊急に措置をとる必要がある場合に、是正措置等をとるべきことを命じる | なし。違反の中止や是正などの措置を求める | 公布の日から2年以内に政令で定める日（用語としての導入） |
| 罰則（措置命令違反） | 改正後の法第181条 | 措置命令に違反した場合。1年以下の拘禁刑または100万円以下の罰金 | 罰金は刑罰として科される。課徴金とは別の手続 | 2027年1月17日（読み替えの経過措置あり。罰則改正の記事） |
課徴金は、命令に従わなかったかどうかに関係なく、第148条の3の要件がそろえば命じられます。措置命令と罰則の関係は勧告・命令の実効性の記事と罰則改正の記事で確認できます。
課徴金の要件・算定の骨子（改正法本文の条ごとの表）
改正法の本文で確かめた、課徴金に関する条の内容です。金額の算定式は政令で定めるとされ、未確定です。
| 条 | 内容 |
|---|---|
| 第148条の3第1項 | 次の行為をした場合で、その違反行為または違反行為をやめることの対価として金銭等を得たとき、課徴金の納付を命じなければならない。 一 違法な行為や不当な差別的取扱いを行うことが想定される状況にある第三者への個人情報の提供 二 第三者の求めによる個人情報の利用で、その第三者が違法な行為や不当な差別的取扱いを行うことが想定される状況にある場合 三 第27条第1項（第三者提供の制限）に違反する個人データの提供 四 第30条の2第4項・第9項、第31条の3第5項の違反となる個人情報の取扱い 五 第30条の2第10項・第11項、第31条の3第6項・第7項の違反となる個人情報の提供 違反行為が行われた期間を通じて、防止するための相当の注意を怠った者でないと認められるときは除かれる |
| 第148条の3第1項ただし書 | 違反行為に係る個人情報または個人データの本人の数が千人を超えないとき、その他個人の権利利益を害する程度が大きくない場合として政令で定めるときは、納付を命ずることができない |
| 第148条の3第2項 | 第20条第1項（適正な取得）に違反して個人情報を取得し、利用した場合で、その利用またはやめることの対価として金銭等を得たとき。相当の注意を怠った者でないと認められるとき、本人の数が千人を超えないときなどは、第1項と同じ扱い |
| 第148条の4 | 報告や資料の提出の求めに応じず、算定の基礎となる事実を把握できないときは、委員会が入手した資料を用い、委員会規則で定める合理的な方法で対価額を推計して命じることができる |
| 第148条の5 | 過去10年以内に課徴金納付命令（確定したもの）を受けたことがあり、その後も課徴金対象行為をしていた者には、算定額の1.5倍の課徴金を命じる |
| 第148条の6 | 課徴金対象行為に該当する事実を委員会規則で定めるところにより委員会に報告したときは、算定した額から50%を減額する。調査があったことで命令があるべきことを予知してした報告は除く |
| 第148条の7第1項・第2項 | 命令を受けた者は課徴金を納付しなければならない。算定した額に1万円未満の端数があるときは切り捨てる |
「4類型」は委員会の概要資料の分け方で、法本文は第148条の3第1項の各号と第2項に分けて書いています。算定式と対象外の範囲を定める政令は、下の第2〜4節のとおり確定していません。
1. なぜ導入されるか
現行法では、事業者が勧告・命令等を受けた後に違反行為を中止すれば、違反行為から得た経済的利得をそのまま保持できてしまう構造でした。個人による民事上の請求にも、時間・費用の面で限界があり、事後的な被害回復は困難です。そこで、経済的な動機があり、大量の個人情報を取り扱う悪質な違反行為を抑えるために、課徴金の制度が導入されます。重大な違反行為で個人の権利利益が侵害された場合などに、その違反行為で得た財産的利益等に相当する額の納付を命じるものです（法第148条の3〜第148条の17）。
2. 対象となる4つの行為類型
すべての法違反が対象になるわけではありません。対象は、次の2つを満たす行為類型に限られています。1つは「緊急命令の対象となっている重要な規制に違反する行為類型」であること、もう1つは「国内外において現実に発生しており、剥奪すべき違法な収益が観念できるもの」であることです。
- 不適正な利用の禁止違反（法第19条）
- 適正な取得違反（法第20条第1項）
- 第三者提供の制限違反（法第27条第1項）
- 統計特例違反（統計作成等の特例に依拠した取得・提供について、目的外利用または第三者提供を行った場合）
4類型を、対象の行為・根拠条文・算定方法が決まったかどうかで並べると次のとおりです（確認日 2026-10-09）。
| 類型 | 対象になる行為 | 根拠条文 | 算定方法 |
|---|---|---|---|
| 不適正利用 | 違法または不当な行為を助長・誘発するおそれがある方法での個人情報の利用 | 法第19条 | 未確定（政令で定める。違法な収益を基にする案と、対価として得た利益を基にする案の2通りが示されている） |
| 不適正取得 | 偽りその他不正の手段による個人情報の取得 | 法第20条第1項 | 同上 |
| 第三者提供の制限違反 | 法令に基づく場合などの例外を除き、あらかじめ本人の同意を得ないで個人データを第三者に提供すること | 法第27条第1項 | 同上 |
| 統計特例違反 | 統計作成等の特例に依拠して取得・提供したものの目的外利用または第三者提供 | 改正法第148条の3第1項第4号・第5号が、統計作成等の特例の条（第30条の2・第31条の3）の規定への違反を挙げる | 同上 |
どの類型も、次の「4つの限定要件」を満たさなければ課徴金は課されません。算定式を定める政令は公布されていません。
3. 課徴金が課される4つの限定要件
上の4つの行為類型のどれかに当てはまるだけでは、課徴金は課されません。次の4つがすべて揃う必要があります。
- 対象行為: 上記4類型のいずれかに該当すること
- 主観的要素: 対象行為を防止するための相当の注意を怠っていない場合か否かで限定
- 個人の権利利益の侵害: 侵害され、または侵害される具体的なおそれが生じた場合に限定（基本的に勧告等の対象となる事案に限定される）
- 大規模事案: 対象行為に係る本人の数について1,000人を基準とする大規模な事案に限定
4. 算定方法の枠組み
算定方法として、2通りの考え方が示されています。
- 対象行為または対象行為をやめることから直接的に違法な収益を獲得した場合
- 対象行為または対象行為をやめることの対価として得た金銭等の財産上の利益に相当する額
5. いつから
課徴金制度は本体部分に含まれ、「公布の日から起算して2年を超えない範囲内において政令で定める日」から施行されます。実際の施行日は政令で指定されます。決定タイムラインで追記していきます。
6. 自社が該当するかを考える順序
- 自社の取扱いが、上の4類型（不適正利用・不適正取得・第三者提供制限違反・統計特例違反）のいずれかに当てはまりうるか。当てはまらなければ、現時点で課徴金の対象にはならない。
- 取り扱う個人データの本人の数が、1,000人を基準とする大規模事案に近いか。小規模であれば優先度は下がる。
- 対象行為を防止するための相当の注意（安全管理措置・委託先監督等）を、現時点でどこまで講じているかを書き出しておく。政令・規則が出た時点で、差分がすぐ分かる。
- 統計作成等の特例（AI開発等での本人同意の不要化）を利用している場合は、公表事項・合意内容が特例の要件を満たしているかを確認する。規則で何が決まっていないかは規則整備の7論点と国会答弁の対応表で整理している。
次の表は、4つの類型ごとに、委員会のガイドライン（通則編）が挙げる事例から、一般にどんな業務で関係しうるかを並べたものです。事例は違反の例であって、ここに挙がる業務なら課徴金の対象になるという意味ではありません。課徴金が課されるかは、4つの限定要件がそろうかで決まります（確認日 2026-10-14）。
| 類型 | 一般に関係しうる業務 | 資料で確かめられること | 算定額・対象外の範囲 |
|---|---|---|---|
| 不適正利用（法第19条） | 名簿・個人情報を他の事業者へ提供する業務、官報などの公開情報を集めてデータベース化し公開する業務、採用選考で得た情報を使う業務、広告配信の業務 | ガイドライン通則編の法第19条関係は、事例として、違法な行為を営むことが疑われる事業者（貸金業登録を行っていない貸金業者等）への提供、官報に掲載される破産者情報を集約してインターネット上で公開すること、提供先で第27条第1項に違反する第三者提供がされると予見できるのに提供すること、採用選考で取得した情報を特定の属性のみにより正当な理由なく差別的取扱いに使うこと、違法な商品と予見できるのに広告配信に自社の個人情報を使うことなどを挙げる | 未確定（政令待ち） |
| 不適正取得（法第20条第1項） | 名簿・リストを仕入れる業務、会員登録やアンケートで個人情報を集める業務、取得を他の事業者に頼む業務 | ガイドライン通則編の適正取得は、事例として、取得する主体や利用目的を意図的に虚偽で示して取得すること、他の事業者に指示して不正の手段で取得させ、その事業者から取得すること、不正の手段で取得されたことを知り、または容易に知ることができるのに取得することなどを挙げる | 未確定（政令待ち） |
| 第三者提供の制限違反（法第27条第1項） | グループ会社・加盟店・同業者・提携先との間でお客さまのデータをやり取りする業務 | ガイドライン通則編は、第三者提供とされる事例として、親子兄弟会社・グループ会社の間、フランチャイズ組織の本部と加盟店の間、同業者間で個人データを交換する場合を挙げる（法第27条第5項各号の場合を除く）。同意が不要な例外は同項第1号以下に定められている | 未確定（政令待ち） |
| 統計特例違反 | 統計作成等の特例に依拠して、本人の同意なしに個人データを取得・提供する業務（AI開発等） | 特例の内容は統計作成等の特例のページで整理している。条番号は改正法第148条の3第1項第4号・第5号（第30条の2・第31条の3の規定への違反） | 未確定（政令待ち） |
算定額と、権利利益を害する程度が大きくない場合の対象外の範囲は、政令で定められるため、この表には金額や率を書いていません。自社の業務がどの類型に当てはまりうるかは、顧問弁護士または個人情報保護委員会にご確認ください。
当てはめの例（仮想の事業者を仮定した確認の進め方）
以下は、実在しない事業者を仮定した確認手順の例です。課徴金に当たるか否かの結論や金額は示しません。
仮定: 従業員30人ほどの通信販売会社。会員約400人分の氏名・住所・購入履歴を管理している。取引先の販促会社に、会員のデータを提供する話が出ている。
| 確認する点 | この例で見ること | 現時点で分かること |
|---|---|---|
| 対象行為 | 販促会社への提供が、法第27条第1項（第三者提供の制限）の例外に当たるか。本人の同意を得ているか | 類型の一つに関係しうる。例外や同意の有無は事実関係で変わる |
| 相当の注意 | 提供前の同意確認、提供先の確認、社内の承認手順を書き出せるか | どこまでで足りるかは、政令・規則・ガイドラインが出るまで確定しない |
| 権利利益の侵害 | 提供により会員の権利利益が侵害された、またはそのおそれが具体的に生じたといえる事態か | 勧告等の対象となる事案に限られる。害する程度が大きくない場合の範囲は政令待ち |
| 大規模事案 | 約400人は、1,000人を基準とする大規模な事案の数より少ない | 数え方の細部（誰の数を、どの時点で数えるか）は政令・ガイドライン待ち。会員数が増えたり、他のデータが重なったりする場合は見直す |
この例から言えるのは、4つの要件を順に書き出すだけで、確認が必要な点と、まだ決まっていない点が分けられるということです。同意の取り方など個別の判断は、顧問弁護士または個人情報保護委員会にご確認ください（確認日 2026-10-09。根拠は上の第2〜4節と出典に挙げた資料）。
7. よくある質問
Q1. 課徴金はいつから課されますか。
まだ決まっていません。課徴金制度は本体部分に含まれ、施行日は「公布の日（2026年7月17日）から起算して2年を超えない範囲内において政令で定める日」とされています（改正法附則第一条）。この政令は公布されていません。罰則関係の規定のように2027年1月17日に施行されるものとは別扱いで、課徴金はその日には始まりません（確認日 2026-10-05）。
Q2. どんな違反が課徴金の対象になりますか。
委員会の概要資料は、対象を4つの行為類型に限っています。不適正な利用の禁止違反（法第19条）、適正な取得違反（法第20条第1項）、第三者提供の制限違反（法第27条第1項）、統計特例違反（目的外利用・第三者提供）です。個人情報保護法の違反すべてが対象になるわけではありません（確認日 2026-10-05）。
Q3. 4類型に当てはまれば必ず課徴金を課されますか。
いいえ。同じ資料は、対象行為のほかに3つの限定を示しています。対象行為を防止するための相当の注意を怠っていない場合か否か、個人の権利利益が侵害された（または侵害される具体的なおそれが生じた）場合に限ること、本人の数について1,000人を基準とする大規模な事案に限ることです。ただし、1,000人の数え方の細部と、権利利益を害する程度が大きくない場合の対象外の範囲は政令で定められるため、まだ決まっていません（確認日 2026-10-05）。
Q4. 課徴金の額はどう計算されますか。
算定の考え方は、委員会の資料で2通り示されています。違反行為などから直接得た違法な収益を基にする場合と、違反行為などの対価として得た金銭等の財産上の利益に相当する額を基にする場合です。具体的な算定方法は政令で定めるとされ、算定式はまだ決まっていません。そのため、このサイトでは金額の試算を載せていません（確認日 2026-10-05）。
出典
- S-06/S-07個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律について」（PDF） 第4の4「課徴金の導入」「課徴金納付命令の対象範囲」（確認日 2026-09-04）
- S-16個人情報保護委員会事務局「政令・規則等で定める事項の全体像」（PDF・2026年8月26日）（確認日 2026-09-04）
- S-134改正法の本文（PDF） 第百四十八条の三から第百四十八条の七（確認日 2026-10-19）
- S-111個人情報保護委員会事務局「政令・規則の整備に向けた基本的な考え方について③」（PDF・2026年10月14日、第372回委員会）（確認日 2026-10-14）
- S-02個人情報保護委員会「令和8年改正個人情報保護法」（確認日 2026-09-04）
- e-Gove-Gov法令検索「個人情報の保護に関する法律」第19条・第20条第1項・第27条第1項（確認日 2026-10-09）
- S-112個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（PDF）の不適正利用の禁止（法第19条関係）・適正取得（法第20条第1項関係）・第三者提供の制限の原則（法第27条第1項関係）の事例（確認日 2026-10-14）