令和8年改正で事業者に新しく加わる「公表する」「事前に通知する」「提供先を確認する」「書面で合意する」の手続きは、改正法の本文では5つの場面にあります。どの場面も、いつ・何を・どの方法で行うかの細部は、個人情報保護委員会が定める規則に任されており、2026年10月5日時点では決まっていません。この記事では、法律の本文で決まっている部分と、規則待ちの部分を分けて並べます。
全体の見取り図
5場面を「誰が誰に何をいつまでにするか」で並べると次の表になります。条は2026年7月17日公布の改正法の条文（法の改正部分が加える条）で、確認日は2026年10月19日です。方法と事項の細部は、どの場面も委員会規則に任されています。
| 場面 | 条 | 誰が | 誰に | 何を | いつまでに | 詳細 |
|---|---|---|---|---|---|---|
| 1. 顔特徴データ等の通知・公表 | 第21条の2第1項 | 特定生体個人情報を取り扱う事業者 | 本人（通知するか、本人が容易に知り得る状態に置く） | 事業者の名称・住所、取り扱うこと、利用目的、身体の特徴の種類、請求手続など | 取り扱うに当たって、あらかじめ | 顔特徴データ等／顔識別カメラの周知事項 |
| 2. オプトアウトの提供先の確認 | 第27条第7項 | オプトアウトで提供する事業者 | 提供先（確認の対象） | 提供先の名称・住所（法人は代表者氏名）と利用目的を確認する | 提供するに当たって、あらかじめ | オプトアウト制度の強化 |
| 3. 公開された要配慮個人情報の取得の公表 | 第30条の2第1項〜第3項 | 統計作成等のために取得する事業者 | 公表（インターネットの利用など、規則で定める方法） | 事業者の名称、行おうとする統計作成等の内容、規則で定める事項 | 取得する場合に公表。取り扱う間は継続して公表。変更するときはあらかじめ（名称などの変更は変更後速やかに） | 統計作成等の特例 |
| 4. 個人データの提供・受領の公表と書面合意 | 第30条の2第5項 | 提供する事業者と受ける第三者の双方 | 公表（双方の名称、統計作成等の内容など）。書面で合意する相手は受ける第三者 | 公表に加えて、この特例による提供であることを書面（電磁的記録を含む）の合意で明確にする | 提供の条件として。受ける側は扱っている間、公表を続ける | 統計作成等の特例／規則整備の7論点 |
| 5. 個人関連情報の提供の公表と書面合意 | 第31条の3第1項 | 提供する事業者と受ける第三者 | 公表。書面で合意する相手は受ける第三者 | 4と同じ2つの要件を満たすと、提供先が個人データとして取得することについての本人の同意の確認を省ける | 提供の条件として | 統計作成等の特例／連絡可能個人関連情報 |
2〜5は、新しく使えるようになる例外か、既存の仕組みに付け足される手続きです。オプトアウトや統計作成等の特例を使わなければ、この手続きは生じません。1は、顔特徴データ等を扱う事業者なら避けられません。
施行日は、改正法の本体部分について「公布の日から起算して2年を超えない範囲内で政令で定める日」とされています。罰則など一部の規定は、これより先に施行されます（事業者の準備スケジュール）。
1. 顔特徴データ等を扱う前の通知・公表
顔の特徴などを機械で読み取れる形に変換した「特定生体個人情報」（顔特徴データ等とは）を扱うときは、あらかじめ本人に通知するか、本人が容易に知り得る状態に置く必要があります。具体的な方法は委員会規則で決まります。
通知または公表する事項は、法律の本文で次のとおりです。
- 事業者の名称と住所（法人は代表者の氏名も）
- 特定生体個人情報を取り扱うこと
- 利用目的
- どの身体の特徴に関する情報を取り扱うか
- 開示などの請求に応じる手続き（手数料を取る場合はその額も）
- そのほか委員会規則で定める事項
次の場合は、この手続きを行わなくてよいとされています。
- 知らせることで、本人や第三者の生命・身体・財産などを害するおそれがある場合
- 知らせることで、事業者の権利や正当な利益を害するおそれがある場合
- 国や自治体の法令上の事務に協力する必要があり、知らせると事務に支障が出るおそれがある場合
- これらに準ずる場合として政令で定める場合
あわせて、オプトアウト（本人の求めがあれば停止することを条件に、同意なく第三者へ提供する仕組み）では、特定生体個人情報を出せなくなります。オプトアウト制度の強化で整理しています。
2. オプトアウトで第三者へ出すときの、提供先の確認
オプトアウトで個人データを第三者へ提供するときは、あらかじめ、次の2点を確認することが事業者の義務になります。確認の方法は委員会規則で決まります。
- 提供先の名称と住所（法人は代表者の氏名も）
- 提供先での利用目的
提供する個人データのすべてが、事業者が取得した時点で、本人・国・自治体・学術研究機関などによって公開されていたものである場合は、この確認は要りません。これに準ずる場合として委員会規則で定める場合も同じです。
確認を求められた提供先は、確認に係る事項を偽ってはなりません。確認の義務と提供先の義務は、セットで定められています。
確認の方法については、委員会事務局が2026年10月14日の第372回委員会で、本人確認書類の検証等で身元を確認する案、利用目的は提供先からの申告で確認する案などを問いかけとして示しています。これは決まった規則ではなく、規則はまだ公布されていません。詳しくはオプトアウト制度の強化で整理しています。
3. 公開されている要配慮個人情報を統計作成等のために取得するときの公表
要配慮個人情報（病歴など、取扱いに特に配慮が必要な情報）を、すでに公開されている情報から統計作成等のためだけに（または次の4の第三者提供のためだけに）取得する場合は、次の公表をすれば本人の同意なく取得できます（統計作成等の特例）。
- 公表する内容: 事業者の名称、行おうとする統計作成等の内容、そのほか委員会規則で定める事項
- 公表の方法: インターネットの利用など、委員会規則で定める方法
公表は一度で終わりません。取得した情報（複製・加工したものを含む）を取り扱っている間は、継続して公表する必要があります。公表した事項を変更するときは、あらかじめ変更の内容を公表します。ただし、事業者の名称など委員会規則で定める事項の変更は、変更後に速やかに公表すれば足ります。
4. 統計作成等のために個人データを第三者へ出す・受けるときの公表と書面合意
統計作成等のためだけに個人データを第三者へ提供する場合は、次の2つを両方満たせば、本人の同意なく提供できます。
- 提供する側と受ける側が、双方の名称、行おうとする統計作成等の内容などを公表している。公表の方法と事項は委員会規則で決まります。
- 受ける側との書面（電磁的記録を含む）による合意で、この特例による提供であることが明確に定められている。
次の点にも注意が必要です。
- 受ける側は、データを扱っている間、上の要件1の公表を続けなければなりません。
- 公表した事項を変えられるのは、提供する側と受ける側の双方があらかじめ変更を公表する場合に限られます。受ける側の名称など規則で定める事項の変更は、変更後に速やかに公表します。
- この特例で受け取ったデータを、さらにこの特例で別の第三者へ出すことはできません。
- 提供先が外国にある場合は、日本の規律に相当する措置を続けられる体制を整えている者に限られます。体制の基準は委員会規則で決まります。
5. 個人関連情報を統計作成等のために第三者へ出すときの公表と書面合意
個人関連情報（Cookieなど、その情報だけでは特定の個人を識別できない情報）を、提供先が統計作成等のためだけに扱う場合も、4と同じ2つの要件を満たせば、提供に先立つ確認の一部を省けます。省けるのは、現行法で提供元が行う確認のうち、提供先がその情報を個人データとして取得することについて、本人の同意が得られているかの確認です。
6. 16歳未満の場合
本人が16歳未満のときは、通知や同意の相手が本人の法定代理人に読み替えられる規定があります。1〜5のうちどの手続きに読替えが及ぶかは16歳未満の読替表と法定代理人で確認してください。
7. 事業者が確かめておくこと
- 顔認証などで顔特徴データ等を扱う予定があるか。あるなら、1の6項目を、自社のサイトや店頭で本人に示せる形で用意できるかを見る。
- オプトアウトで名簿などを提供している場合は、提供先の名称・住所・利用目的を確認する手順があるかを見る。
- 統計作成やAI開発のために、外部のデータを取得する・提供する予定があるか。あれば3〜5の公表と書面合意が条件になる。
- 公表の方法・事項・書面の様式は、規則とガイドラインが出るまで決まらない。決まるまでは、まだ決まっていないこと一覧で規則の動きを追う。
- プライバシーポリシーへの反映は、プライバシーポリシーの確認箇所で整理している。
たとえばこういう場面（仮想の事業者を仮定した確認の例）
以下は、実在しない事業者を仮定した例です。どの手続きが必要かの結論は示しません。
仮定: 小売チェーンZ社。店舗の入口で顔認証による入店管理を検討している。また、販促用の名簿を、オプトアウトの届出をしたうえで他社へ提供している。統計作成等の特例は使っていない。
| 場面 | この例で見ること | この記事の整理 |
|---|---|---|
| 1 顔特徴データ等を扱う前の通知・公表 | 入店管理で顔特徴データ等を扱う計画か。扱うなら、本人に示す6項目を店頭やサイトで示せるか | 扱う場合に生じる手続き。扱わなければ生じない |
| 2 オプトアウトでの提供先の確認 | 名簿の提供先の名称・住所・利用目的を、提供前に確認する手順があるか | オプトアウトで第三者へ出す場合に生じる手続き。確認方法は規則待ち |
| 3〜5 統計作成等の特例 | 統計作成やAI開発のために外部のデータを取得・提供する予定があるか | 特例を使わなければ、3〜5の手続きは生じない |
この例から言えるのは、事業者ごとに生じる手続きが違うため、自社の取扱いを場面に分けて見ると必要な手続きが絞れるということです。公表の方法や書面の様式は規則とガイドラインが出るまで決まりません。個別の判断は、顧問弁護士または個人情報保護委員会にご確認ください（確認日 2026-10-09。根拠は上の「全体の見取り図」と1〜5の各節、Q1・Q2）。
8. よくある質問
Q1. 顔認証を使わず、オプトアウトも統計作成等の特例も使わない事業者にも、この5つの手続きは必要ですか。
2〜5の手続きは、オプトアウトで第三者へ提供する場合と、統計作成等の特例を使う場合に生じるものです。どちらも使わなければ、この記事の2〜5の手続きは生じません。1は特定生体個人情報（顔特徴データ等）を扱う場合の手続きで、扱わなければ生じません（確認日 2026-10-05、根拠は本文の「全体の見取り図」と1〜5の各節）。
Q2. 公表の方法や、書面合意の様式は決まっていますか。
決まっていません。公表の方法、公表・通知する事項のうち法律に書かれていないもの、書面合意の様式、提供先の確認の方法は、いずれも個人情報保護委員会が定める規則に任されています。規則は2026年10月14日時点で公布されていません（確認日 2026-10-14）。
Q3. 公表は一度すれば終わりですか。
統計作成等のために要配慮個人情報を取得する場合（3）と、個人データを第三者から受け取る場合（4）は、情報を取り扱っている間、公表を続ける必要があります。公表した事項を変えるときは、あらかじめ変更を公表するのが原則で、名称など規則で定める事項の変更は、変更後に速やかに公表すれば足ります。1の通知・公表と2の確認が継続を求められるかは、法律の本文から読み取れる範囲では確認できていません（確認日 2026-10-05）。
Q4. オプトアウトで第三者へ提供するとき、提供先の何を確認しますか。
あらかじめ、提供先の名称と住所（法人は代表者の氏名も）、提供先での利用目的の2点を確認することが事業者の義務になります。提供する個人データのすべてが、事業者が取得した時点で、本人・国・自治体・学術研究機関などによって公開されていたものである場合は、この確認は要りません。確認の方法は委員会規則で定められ、規則はまだ公布されていません。2026年10月14日の第372回委員会で事務局が示した案は、決定ではありません。
Q5. 統計作成等の特例で受け取ったデータを、さらに別の第三者へ出せますか。
出せません。統計作成等のためだけに個人データを第三者へ提供する特例（双方の公表と書面合意が要件）で受け取ったデータを、さらにこの特例で別の第三者へ出すことはできないとされています。提供先が外国にある場合は、日本の規律に相当する措置を続けられる体制を整えている者に限られ、体制の基準は委員会規則で定められます。
出典
- S-51個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律」本文（PDF） 第1条による改正後の第21条の2・第27条第2項・第7項・第8項・第30条の2・第31条の3、附則第1条（確認日 2026-10-19）
- S-51e-Gov法令検索「個人情報の保護に関する法律」 現行の第31条第1項（確認日 2026-10-05）
- S-111個人情報保護委員会事務局「政令・規則の整備に向けた基本的な考え方について③」（PDF・2026年10月14日、第372回委員会）（確認日 2026-10-14）