令和8年 個人情報保護法 改正デスクR8 PIPL WATCH

比較表 ／ 更新 2026-10-19

改正前後の比較表（13項目の現行規定と改正内容・施行時期）

出典: 個人情報保護委員会事務局「個人情報の保護に関する法律等の一部を改正する法律について」（2026年7月）。2026-10-01に本文を確認。

ノートパソコンで資料を作成する手元

令和8年の改正は項目が多く、記事ごとに読むと全体の変わり方がつかみにくくなります。このページでは、委員会の概要資料に書かれている13項目を、「これまで」「改正後」「規則やガイドラインで決まる事項」の順に横に並べました。個々の項目の詳しい中身は、表の左端のリンク先で読めます。

1. 13項目の比較表

表の「条文」の列は、概要資料にそのまま書かれている条文番号です。罰則など一部の条文は、改正で番号が繰り上がります。「資料に記載なし」は、概要資料のその項目に決定先の記載がないという意味で、「何も決まらない」という意味ではありません。

出典: 個人情報保護委員会事務局「改正法の概要」（2026年7月）。条文は概要資料の表記。
項目 これまで（現行規定） 改正後 条文（概要資料の表記） 規則・ガイドライン等で決まる事項
統計作成等の特例 要配慮個人情報の取得や個人データの第三者提供は、例外に当たらない限り本人の同意が必要。 統計情報等の作成にのみ使われることが担保されていることなどを条件に、同意なしの第三者提供と、公開されている要配慮個人情報の取得ができる。統計作成等と整理できるAI開発等を含む。 第30条の2、第31条の3 具体的な対象範囲や公表事項等は、委員会規則等で定める想定。
本人の意思に反しないことが明らかな取扱い 目的外利用、要配慮個人情報の取得、第三者提供は、例外に当たらない限り同意が必要。契約の履行に不可欠な提供でも同意が必要。 取得の状況からみて本人の意思に反せず、権利利益を害しないことが明らかな場合は、同意を不要とする。 第18条第3項、第20条第2項、第27条第1項 具体的な対象範囲は、委員会規則等で定める想定。
生命等の保護・公衆衛生の例外 生命・身体・財産の保護や公衆衛生の向上で同意が不要になり得るが、いずれも「本人の同意を得ることが困難」という要件を満たす必要がある。 「同意を得ることが困難」に加え、「同意を得ないことについて相当の理由があるとき」も同意不要とする。 第18条第3項、第20条第2項、第27条第1項 具体的な事例は、ガイドライン等で明確化する想定。
病院等による学術研究 学術研究の例外を使えるのは「学術研究機関等」だけで、病院等は含まれない。 「学術研究機関等」に、医療の提供を目的とする機関・団体が含まれることを明示する。 第16条第9項ほか 具体的な対象範囲は、ガイドライン等で明確化する想定。
16歳未満の個人情報 事業者の義務はガイドラインとQ&Aの記載のみ。一般に、12歳から15歳までの年齢以下では法定代理人等から同意を得る必要があるとされている。 同意取得や通知等で法定代理人を対象とすることを明文化し、利用停止等請求の要件を緩和する。本人の最善の利益を優先して考慮する責務規定を設ける。 第35条第9項・第10項、第40条の2、第58条の3 資料に記載なし。2026-09-16に読替表が公表されている（読替表のページ）。
顔特徴データ等 利用目的を自社サイトに掲載するなどして公表すれば、顔特徴データを含む個人識別符号も取得できた。 一定の事項の周知を義務化し、利用停止等請求の要件を緩和し、オプトアウトによる第三者提供を禁止する。 第21条の2、第27条第2項、第35条第7項・第8項 具体的な範囲は政令以下で、周知の方法は委員会規則等で定める想定。
委託先への規律 委託元が委託先を監督する（法第25条）。委託先が個人情報取扱事業者なら、第4章の義務が全て適用される。 委託業務の遂行に必要な範囲を超えて取り扱ってはならない義務を、委託先に明文で課す。一定の条件を満たす委託先には、第4章の義務の適用を原則として免除する。 第30条の3、第58条の2 委託先から委託元への報告など、必要な措置の具体的内容は委員会規則等で定める想定。
漏えい等の報告・本人通知 報告対象事態が起きたら委員会へ速報と確報を行い、本人にも原則として通知する。 権利利益の保護に欠けるおそれが少ない場合は、本人通知を緩和して代替措置を認める。第三者の確認を前提に、速報の免除などを可能とする。違法な第三者提供も報告対象にする。 第26条第2項 本人通知が緩和される具体的な範囲は、委員会規則等で定める想定。
連絡可能な個人関連情報 個人関連情報の規律は、一定の場合の第三者提供だけが対象。 電話番号、住所、メールアドレス、Cookie IDなど、特定の個人に連絡できる記述等を含む個人関連情報について、不適正利用と不正取得を禁止する。 第31条の2 資料に記載なし。
オプトアウト制度 本人の求めで提供を停止する旨の通知と委員会への届出をすれば、同意なしで第三者提供できる。提供先の確認義務はない。 提供時に、提供先の身元（氏名又は名称、住所、代表者氏名）と利用目的の確認を義務化する。確認事項を偽ることは過料の対象。 第27条第7項 資料に記載なし。
勧告・命令・要請 勧告なしで命令できるのは、重大な権利利益が既に侵害されている場合だけ。勧告・命令は違反した事業者自身にだけ出せる。 権利利益の侵害が切迫している場合も、勧告なしで命令できる。本人への事実の通知・公表も命じられる。違反に関与する第三者への任意の要請に根拠規定を置く。 第148条、第148条の2 資料に記載なし。
罰則（不正提供罪・不正取得罪） 事業者の個人情報データベース等の不正提供罪（第179条）は、1年以下の拘禁刑又は50万円以下の罰金。損害を加える目的は対象外。 損害を加える目的の提供も対象にし、法定刑を2年以下の拘禁刑又は100万円以下の罰金に引き上げる。詐欺や不正アクセスなどによる不正取得の罰則を新設する。 第178条〜第180条 法律で定まっている。罰則関係は公布から6か月後の2027年1月17日に施行。
課徴金 制度なし。違反行為を中止すれば、得た利益はそのまま保持できる。 対象行為を4類型に限り、本人の数が1,000人を基準とする大規模事案などで、得た財産上の利益に相当する額の納付を命じる。 第148条の3〜第148条の17 資料に記載なし。算定方法の詳細は課徴金のページで追跡。

2. 施行時期の見分け方

罰則関係は、公布（2026年7月17日）から6か月後の2027年1月17日に施行されます。表の中でこの日付が確定しているのは罰則の行だけです。そのほかの項目は、「公布の日から起算して2年を超えない範囲内で政令で定める日」に施行されます。実際の施行日は政令の公布まで確定しません。

表の「規則・ガイドライン等で決まる事項」に書いた内容は、概要資料が「想定」としているものです。決まったかどうかはまだ決まっていないこと一覧と決定タイムラインで確認できます。

3. 規模（本人の数）で見分ける表

読み方: 専任の法務部がない事業者向けに、「本人の数（個人データの対象になっている人の数）」で線が引かれているテーマだけを並べました。従業員数を基準にした規定は、この表の根拠資料には出てきません。ここに載せていないテーマに規模の要件があるかどうかは、このサイトでは確認できていないため、表に入れていません。「確定」は法令や公表資料に書かれている内容、「未確定」は政令・規則・ガイドラインで決まる事項です。自社が該当するかの判定ではありません。

本人の数の基準があるテーマ（確認日は一次資料を確かめた日）
テーマ本人の数が1,000人以下の場合本人の数が1,000人を超える場合状態一次資料（確認日）
漏えい等の報告（現行の規則）人数に関係なく、要配慮個人情報を含む場合など第7条の1号から3号に当たれば報告が必要これに加えて、第7条第4号（本人の数が千人を超える漏えい等）にも当たる現行規則は確定。令和8年改正に伴う規則の見直しは未確定個人情報の保護に関する法律施行規則 第7条（e-Gov）（2026-10-10）
課徴金制度1,000人という基準は対象行為に係る本人の数で判断されるため、保有人数が1,000人以下でも直ちに対象外とは確定しない大規模事案の要件のひとつを満たす。ほかの限定要件もあるため、1,000人超だけで対象になるわけではない基準の存在は確定。1,000人の数え方の細部は未確定（政令・ガイドライン待ち）個人情報保護委員会「改正法について」（PDF）（2026-10-05）

4. この表で分からないこと（新旧条文対照表の入口）

  • 自社の取扱いが各項目の対象に当たるかどうか。当たるかの確認は該当性チェックで整理できますが、最終的な判断は顧問弁護士または個人情報保護委員会へ。
  • 条文の解釈。委員会が公表した新旧条文対照表（表頭は「改正後｜現行」）は、新旧対照条文（PDF）と委員会の令和8年改正ページで読めます。このサイトは条文の解釈を書きません。
  • 業種ごとの関係の強さ。業種別にまず見るテーマを並べた表は業種×テーマの早見表にあります。
  • 公的部門（行政機関等）への改正。表は民間事業者に関わる部分に絞っています。
  • 個人情報保護法以外の法律の改正。同じ改正法が番号法と医療情報法も本文で改正している点は、改正法が改正する個人情報保護法以外の法律で条ごとに確認できます。
この記事の位置づけここに書いたのは、個人情報保護委員会が公表した資料の整理であり、個別の事案についての法的な助言ではありません。政令・委員会規則が公布されるまで、表の「想定」は確定しません。

5. 条文の文言の新旧（確かめた条から順に）

上の13項目の表は、項目ごとの内容の比較です。ここでは、条文の文言そのものが現行と改正後でどう違うかを、委員会が公表した新旧対照条文（表頭は「改正後｜現行」）で確かめた条だけ並べます。条番号から改正内容を引きたいときは条番号から引く逆引き表を開いてください。条文の解釈はこのサイトでは書きません。確かめた条は順次増やします。

条文の文言の新旧（新旧対照条文で確認した条。要約であり、正文は委員会のPDFで確認してください）
条現行改正後
第20条第2項 第6号（要配慮個人情報の取得・学術研究）学術研究機関等から要配慮個人情報を学術研究目的で取得する必要があるとき。末尾に「当該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限る」とある学術研究機関等と共同して学術研究を行う場合であって、学術研究機関等から要配慮個人情報を学術研究目的で取得する必要があるとき。共同して学術研究を行うことが、文頭の要件に置かれる
第20条第2項 第7号公開されている要配慮個人情報に関する号（現行の第7号）「本人との間の契約の履行のために必要やむを得ないことが明らかである場合その他、取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかである場合として個人情報保護委員会規則で定める場合」が新設される（公開されている場合の号は、新しい号番号に移る）
第20条第2項 第8号政令で定める場合に関する号（現行の第8号）第30条の2第5項本文の規定により提供を受ける場合、または第31条の3第1項本文の規定により提供を受けた個人関連情報を要配慮個人情報として取得する場合が新設される（政令で定める場合の号は、新しい号番号に移る）
第21条の2（規定なし）「特定生体個人情報の取扱いに際しての利用目的等の通知等」が新設される。事業者名・住所、特定生体個人情報を取り扱うこと、利用目的などを、委員会規則で定めるところにより、あらかじめ本人に通知するか、本人が容易に知り得る状態に置く
第26条第2項ただし書（本人への通知）本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、通知をしなくてよい通知しなくてよい場合に、「本人への通知が行われなくても本人の権利利益の保護に欠けるおそれが少ない場合として個人情報保護委員会規則で定める場合」が加わる。この場合も、代わるべき措置をとるときに限る
第27条第1項第2号（人の生命・身体・財産の保護）人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき「本人の同意を得ることが困難であるときその他本人の同意を得ないことについて相当の理由があるとき」に広がる
第27条第1項第3号（公衆衛生・児童の健全な育成）公衆衛生の向上または児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき第2号と同じく、「本人の同意を得ることが困難であるときその他本人の同意を得ないことについて相当の理由があるとき」に広がる
第27条第1項第6号（第三者提供・学術研究）当該個人情報取扱事業者が学術研究機関等である場合であって、個人データを学術研究目的で提供する必要があるとき。末尾に「当該個人情報取扱事業者と当該第三者が共同して学術研究を行う場合に限る」とある学術研究機関等である事業者が第三者と共同して学術研究を行う場合であって、当該第三者に個人データを学術研究目的で提供する必要があるとき。共同して学術研究を行うことが、文頭の要件に置かれる
第27条第1項第8号（規定なし）「本人との間の契約の履行のために必要やむを得ないことが明らかである場合その他当該個人データの取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかである場合として個人情報保護委員会規則で定める場合」が新設される
第28条第1項（外国にある第三者への提供）「外国」の定義の効力が及ぶ範囲を「以下この条及び第三十一条第一項第二号において同じ」、「外国にある第三者」の定義の効力が及ぶ範囲を「以下この条及び同号において同じ」「以下この項及び次項並びに同号において同じ」と定める効力が及ぶ範囲が「以下同じ」「以下この節において同じ」「以下この項及び次項並びに第三十一条第一項第二号において同じ」に書き換わる。本人の同意を得なければならないという本体の文言は、新旧対照条文の同じ箇所で変わっていない
第29条第1項（第三者提供に係る記録の作成）「個人データを第三者（第十六条第二項各号に掲げる者を除く。以下この条及び次条（第三十一条第三項において読み替えて準用する場合を含む。）において同じ。）に提供したときは」記録を作成する「個人データを第三者に提供したときは」記録を作成する（この項では括弧書きが置かれない）。あわせて、第27条第7項の確認が行われた場合は、記録する事項に同項第2号の事項（第三者における利用目的）が加わる
第31条第1項・第3項（個人関連情報の第三者提供）「個人関連情報」の定義の効力が及ぶ範囲を「以下この章及び第六章において同じ」と定める。第3項は「前条第二項から第四項まで」を準用する効力が及ぶ範囲が「以下この項及び次項において同じ」になる。第3項は「第三十条第二項から第四項まで」を準用する書き方に変わる
第33条第2項（開示の方法）請求された方法による開示に「多額の費用を要する場合その他の当該方法による開示が困難である場合」は、書面の交付による「多額の費用を要することその他の事情により当該方法による開示が困難である場合」に変わる（要件の言い回しの変更）
第30条の3（規定なし）「受託者である個人情報取扱事業者の義務」が新設される。他の個人情報取扱事業者または行政機関等から個人情報の取扱いの全部または一部の委託（二以上の段階にわたる委託を含む）を受けた事業者は、法令に基づく場合等を除き、委託された個人情報を、委託を受けた業務の遂行に必要な範囲を超えて取り扱ってはならない（当該事業者で個人関連情報となるものを除く）
第31条の2（規定なし）「連絡可能個人関連情報の不適正な取扱いの禁止」が新設される。第1項は、違法または不当な行為を助長し、または誘発するおそれがある方法による利用の禁止。第2項は、偽りその他不正の手段による取得の禁止
第31条の3（規定なし）「個人関連情報の第三者提供に係る統計作成等の特例」が新設される。提供元と提供先が、統計作成等の内容などを公表していることなどの各号の要件を満たすとき、第31条第1項第1号の確認をしないで提供できる
第35条第1項（利用停止等の請求の対象）第18条もしくは第19条の規定に違反して取り扱われているとき、または第20条の規定に違反して取得されたものであるときに、利用の停止または消去を請求できる違反の対象に、第30条の2第4項もしくは第9項、第30条の3、第31条の3第5項の規定が加わる
第35条第2項ただし書（利用停止等を行うことが困難な場合）利用停止等に「多額の費用を要する場合」その他の利用停止等を行うことが困難な場合であって、代わるべき措置をとるとき「多額の費用を要することその他の事情により」利用停止等を行うことが困難な場合であって、代わるべき措置をとるとき（要件の言い回しの変更）
第35条第3項（第三者への提供の停止の請求の対象）第27条第1項または第28条の規定に違反して第三者に提供されているとき、第三者への提供の停止を請求できる違反の対象に、第30条の2第10項、第31条の3第6項の規定が加わる
第148条第4項（命令違反の公表）前二項の規定による命令をした場合において、その命令を受けた個人情報取扱事業者等がその命令に違反したときは、その旨を公表できる前二項の規定による命令を「措置命令」と定義したうえで、その措置命令を受けた個人情報取扱事業者等が措置命令に違反したときは、その旨を公表できる（公表できるという内容は同じで、定義語が加わる）
第148条の2（取扱関係役務提供者等に対する要請）（規定なし）「取扱関係役務提供者等に対する要請」が新設される。措置命令に従わない場合に、その違反行為に係る個人情報等の取扱いのために用いる役務を提供する取扱関係役務提供者（委託を受けた者その他、契約に基づき役務を提供する者）に、取扱いの停止、役務の提供の停止その他違反行為を中止させるために必要な措置をとるよう要請できる（第1項）。要請を受けて措置を講じた取扱関係役務提供者は、措置命令を受けた事業者に生じた損害について賠償の責めに任じない（第2項）

確かめていない条は、この表に載せていません。載っていないことは、改正がないという意味ではありません。第20条第2項の号の並びは、新設の号が入る分だけ移るため、表の「新しい号番号」は官報の正文で確認してください。

よくある質問

表の中で施行日が確定している項目はどれですか

罰則関係の行だけです。公布（2026年7月17日）から6か月後の2027年1月17日に施行されます。ほかの項目は「公布の日から起算して2年を超えない範囲内で政令で定める日」で、政令の公布まで確定しません。

表の「規則・ガイドライン等で決まる事項」は確定した内容ですか

確定していません。概要資料が「想定」としている内容です。決まったかどうかはまだ決まっていないこと一覧と決定タイムラインで確認できます。

自社は13項目のどれに当たりますか

この表では判断できません。関係しうる項目の絞り込みは該当性チェックで、いつまでに確認が必要かの日付は改正対応の期限の暦で確認できます。最終的な判断は顧問弁護士または個人情報保護委員会へご確認ください。

出典