プライバシーポリシーは、個人情報保護法の改正に合わせてどこを改正・見直すのか。利用目的、第三者提供、委託、顔特徴データなど7項目について、現在の法律の根拠と改正で関係する点を並べました。改正の細目の多くは、委員会規則がまだ公布されていないため未確定です。
1. プライバシーポリシーを改正する前に押さえる3点
- 改正でポリシーの書き方そのものが新しく定まった、とは確認できていません。委員会の公表資料（改正法の概要・政令規則の全体像・読替表）には、プライバシーポリシーという文書の記載事項を新しく定める記述は見つかりませんでした。変わるのは、ポリシーの裏にある取扱いのルールです。
- 周知や公表の方法の細目は、規則やガイドラインで決まります。現時点で書き換えを急ぐ段階の項目は少なく、下の表では「取扱いの棚卸しを先にするもの」と「規則待ちのもの」を分けています。棚卸しの記録の項目は個人データ取扱台帳の項目と改正の確認項目の対応で確かめられます。
- この表は、個別の会社のポリシーが適法かどうかを判断するものではありません。
2. プライバシーポリシーの改正で確認する7項目
| ポリシーの項目 | 現在の法律の根拠 | 令和8年改正で関係する点 | 状態 |
|---|---|---|---|
| 1. 利用目的 | 取得したときは、あらかじめ公表している場合を除き、速やかに利用目的を本人に通知するか公表する。利用目的を変更したときも同じ（法第21条第1項・第3項） | 契約の履行に必要やむを得ない場合などで、目的外利用の同意が不要になる新しい例外（法第18条第3項第7号）。目的外利用等の規律緩和を参照 | 規則待ち |
| 2. 第三者提供 | 原則として、あらかじめ本人の同意を得ないで個人データを第三者に提供してはならない（法第27条第1項） | 契約の履行に伴う提供などで同意が不要になる新しい例外（法第27条第1項第8号）。オプトアウト（本人が止めない限り同意なしで提供できる届出制度）の提供先については、提供先の身元と利用目的の確認が新設（法第27条第7項）で、対象はオプトアウト届出事業者です。オプトアウト制度の強化を参照 | 規則待ち（細目） |
| 3. 外国にある第三者への提供 | 外国にある第三者に提供するときは、規則で定める例外を除き、外国への提供を認める旨の本人の同意が必要。同意を求める前に参考情報の提供も必要（法第28条第1項・第2項） | 公表資料で確認できたのは、16歳未満の本人について同意や参考情報の提供先が法定代理人になる読替えです。読替表の一覧を参照 | 16歳未満のみ確認 |
| 4. 委託 | 委託元が委託先を監督する義務（法第25条） | 委託先自身に、委託された業務の範囲を超えて取り扱わない義務が明文化されます（法第30条の3）。委託契約で取扱い方法を全て決めるなどの条件を満たすと、委託先の義務の一部が免除される規定（法第58条の2）も新設され、契約事項の細目は規則で定められます。委託先の取扱いを参照 | 規則待ち |
| 5. 個人関連情報・Cookieなど | 個人関連情報（Cookie IDなど、それだけでは個人を識別できない情報）を第三者に提供する場合の確認義務（法第31条） | メールアドレス・電話番号・Cookie IDなど、特定の個人に連絡できる情報を含む個人関連情報について、不適正な利用と不正な取得の禁止が新設（法第31条の2）。ポリシーへの記載を新しく求める規定は、公表資料では確認できていません。連絡可能個人関連情報を参照 | 規則待ち（範囲の細目） |
| 6. 顔特徴データ等（顔認証・顔識別カメラ） | 現行の法律に、顔特徴データ等だけを対象にした特別な規律はなく、利用目的の公表で足りる場面がありました | 名称・住所・代表者、顔特徴データ等を取り扱うこと、利用目的、元になった身体的特徴の内容、利用停止請求の手続などを周知する義務が新設されます（法第21条の2）。周知の方法と事項は規則で定めます。ポリシーに載せれば足りるかは、規則の公布まで分かりません。顔特徴データ等を参照 | 規則待ち |
| 7. 開示・利用停止などの請求の手続き | 事業者の名称・住所・代表者、全ての保有個人データの利用目的、開示や利用停止などの請求に応じる手続（手数料を定めた場合はその額を含む）を、本人が知り得る状態に置く（法第32条第1項） | 16歳未満の本人については、法第32条第1項の「本人」が法定代理人に読み替えられます。顔特徴データ等については、利用停止等の請求が違法行為の有無を問わず可能になります（例外あり）。こどもの個人情報を参照 | 一部確認済み・細目は規則待ち |
7項目の「現行法」「改正法の条文」「規則・ガイドライン待ち」の対照
上の表の内容を、決まっていることと未確定の点に分けて並べ直したものです。新しい事実は加えていません。
| ポリシーの項目 | 現行法で決まっていること | 改正法の条文で決まったこと | 規則・ガイドライン待ち（未確定） |
|---|---|---|---|
| 1. 利用目的 | 取得時の通知・公表、変更時も同じ（法第21条第1項・第3項） | 契約の履行に必要やむを得ない場合などで、目的外利用の同意が不要になる新しい例外（法第18条第3項第7号） | 例外の範囲の細目 |
| 2. 第三者提供 | 原則として本人の同意が必要（法第27条第1項） | 契約の履行に伴う提供などの同意不要の例外（法第27条第1項第8号）。オプトアウト届出事業者への提供では、提供先の身元と利用目的の確認が新設（同条第7項） | 細目 |
| 3. 外国にある第三者への提供 | 外国への提供を認める旨の同意と参考情報の提供（法第28条第1項・第2項） | 16歳未満の本人は、同意や参考情報の提供先が法定代理人に読み替えられる | 16歳未満以外の改正点は、公表資料では確認できていません |
| 4. 委託 | 委託元の監督義務（法第25条） | 委託先自身が、委託された業務の範囲を超えて取り扱わない義務（法第30条の3）。条件を満たす場合に委託先の義務の一部が免除される規定（法第58条の2） | 委託契約で定める事項の細目 |
| 5. 個人関連情報・Cookieなど | 第三者提供時の確認義務（法第31条） | 連絡可能な情報を含む個人関連情報の不適正な利用・不正な取得の禁止（法第31条の2） | 禁止の対象となる範囲の細目 |
| 6. 顔特徴データ等 | 顔特徴データ等だけを対象にした特別な規律はない | 名称・住所・代表者、顔特徴データ等を取り扱うこと、利用目的などを周知する義務（法第21条の2） | 周知の方法と事項。ポリシーに載せれば足りるかは、規則の公布まで分かりません |
| 7. 開示・利用停止などの請求の手続き | 手続などを本人が知り得る状態に置く（法第32条第1項） | 16歳未満の本人は、法第32条第1項の「本人」が法定代理人に読み替えられる。顔特徴データ等は利用停止等の請求が違法行為の有無を問わず可能になる（例外あり） | 細目 |
3. 見直しの進め方
- 現行のポリシーを上の7項目に分けて、どの項目を書いているか、書いていないかを書き出す。
- 各項目の裏にある実際の取扱い（誰に提供しているか、顔認証カメラを置いているか、16歳未満の利用者がいるか、委託先がどこか）を確かめる。ポリシーの文言より、実際の取扱いのほうが改正の影響を受けます。
- 表で「規則待ち」の項目は、規則とガイドラインの公布後に文言を決める。先に書き換えると、規則の内容と合わなくなるおそれがあります。まだ決まっていないこと一覧で状態を追えます。
- 施行日は、本体部分で「公布の日から起算して2年を超えない範囲内で政令で定める日」とされです。それまでの間は、現行法の基準でポリシーを維持します。
この記事の位置づけここに書いたのは、法令の条文と個人情報保護委員会の公表資料の整理であり、個別の事案についての法的な助言ではありません。ポリシーの文言が適法かどうかの判断は、顧問弁護士または個人情報保護委員会にご確認ください。この表に載せていない項目（安全管理措置の公表など）について、改正の影響があるかどうかは、今回確認できた資料の範囲では分かりません。
よくある質問
令和8年改正で、プライバシーポリシーに必ず書く項目が増えますか
委員会の公表資料（改正法の概要・政令規則の全体像・読替表）には、ポリシーという文書の記載事項を新しく定める記述は確認できていません。変わるのは、ポリシーの裏にある取扱いのルールです。周知や公表の方法の細目は規則やガイドラインで決まるため、現時点では「未確定」の部分が残ります。
改正法はいつ施行されますか。それまでポリシーはどうしておけばよいですか
本体部分の施行日は、「公布の日から起算して2年を超えない範囲内において政令で定める日」とされ、日付は未定です。確定しているのは罰則関係などが施行される2027年1月17日だけです（改正対応の期限の暦）。施行までの間は現行法の基準でポリシーを維持し、「規則待ち」の項目は規則の公布後に文言を決める順序が、ずれを避けやすい進め方です。
Cookieや外部ツールの記載は、改正で見直しが必要ですか
個人関連情報の第三者提供の確認義務（法第31条）は現行法にもあり、改正では連絡可能な情報についての不適正な利用・不正な取得の禁止（法第31条の2）が新設されます。範囲の細目は規則待ちで、ポリシーへの記載を新しく求める規定は公表資料では確認できていません。自社の取扱いが対象に当たるかは、連絡可能個人関連情報で条文を確かめたうえで、顧問弁護士または個人情報保護委員会にご確認ください。
16歳未満の利用者がいる場合は、ポリシーに何か必要ですか
公表資料で確認できたのは、16歳未満の本人について同意や参考情報の提供先が法定代理人になる読替えです（外国にある第三者への提供の項目）。ポリシーに書く内容そのものを定めた規定は確認できていません。読替えの一覧は読替表の一覧、全体はこどもの個人情報にあります。
出典
- S-46e-Gov法令検索「個人情報の保護に関する法律」 第21条・第27条・第28条・第32条（確認日 2026-10-04）
- S-23個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律について」（PDF）（確認日 2026-09-05）
- S-31個人情報保護委員会事務局「読替表（16歳未満の者の個人情報等の取扱いの規定関係）」（PDF・2026年9月16日）（確認日 2026-09-21）
- S-02個人情報保護委員会「令和8年改正個人情報保護法」（確認日 2026-09-04）