令和8年 個人情報保護法 改正デスクR8 PIPL WATCH

社内規程の見直し ／ 更新 2026-10-15

個人情報の取扱規程の見直し箇所｜ガイドラインの規程項目と令和8年改正の対応

出典: 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添10-2・10-3、改正法の概要（2026-07）ほか。確認日 2026-10-15。

ノートパソコンで資料を作成する手元

個人情報の取扱規程に何を書くかは、ガイドライン（通則編）の別添が段階ごとに示しています。その段階ごとに、令和8年改正で動く項目と、決まっているかどうかを並べました。16歳未満の子どもの情報、委託先、漏えい等の報告、2027年4月に見直し予定の安全管理措置の例示まで扱います。

1. ガイドラインが取扱規程に求めている項目

ガイドライン（通則編）の別添10-2は、取得、利用、保存、提供、削除・廃棄などの段階ごとに、取扱方法、責任者・担当者、その任務を定めた取扱規程をつくることが考えられるとしています。組織体制、人の面、物の面、システムの面の安全管理措置の内容も、規程に織り込むことが重要だとされています。中小規模の事業者には、取得、利用、保存などの基本的な取扱方法を整備する例が示されています。

別添10-3は、規程に沿った運用を確かめるため、次の4つの材料を例に挙げています。

  • データベース等の利用・出力、書類・媒体の持ち運び、削除・廃棄（委託した場合の消去・廃棄を証明する記録を含む）、システムのログイン実績やアクセスログなどの記録
  • データベース等の種類・名称、個人データの項目、責任者・取扱部署、利用目的、アクセス権を有する者の一覧
  • 漏えい等の発生時に、調査、本人への通知、委員会への報告、再発防止策、公表を行う体制
  • 定期的な点検、または他部署等による監査

規程の章立ては会社ごとに違います。以降の表は、この別添の段階に合わせて並べているので、自社の規程の該当する章を探す目印として使えます。規程と同意書・プライバシーポリシーの関係はプライバシーポリシーの見直し、従業員への伝え方は社内周知の要点で扱っています。

2. 段階別の対応表

取扱規程の段階と、令和8年改正で動く項目
規程の段階改正で動く項目（条文）状態
取得取得の状況からみて本人の意思に反せず、権利利益を害しないことが明らかな場合の同意不要（第20条第2項の要配慮個人情報の取得など）。統計作成等のために公開されている要配慮個人情報を取得できる規定（第31条の3）。顔特徴データ等を取得するときの一定事項の周知義務（第21条の2）。詳細は顔特徴データ。法律は成立済み。同意不要の範囲は委員会規則等、顔特徴データ等の範囲は政令以下で定める想定で未確定
取得（16歳未満の子ども）16歳未満の子どもの個人情報について、同意の取得や通知を法定代理人に対して行うことの明文化、利用停止等請求の要件緩和、本人の最善の利益を優先して考慮する責務規定（第35条第9項・第10項、第40条の2、第58条の3）。年齢の基準は16歳未満と法律に書かれている。詳細は16歳未満の個人情報と同意。法律は成立済み。施行日と、例外を定める政令・規則は未確定
利用目的外利用についても、取得の状況からみて本人の意思に反せず権利利益を害しないことが明らかな場合は同意を不要とする（第18条第3項）。生命・身体・財産の保護などの例外は、同意を得ることが困難な場合に加え、同意を得ないことに相当の理由がある場合も対象になる。法律は成立済み。具体的な事例はガイドライン等で明確化する想定で未確定
保存概要資料の改正項目に、保存方法や保存期間そのものを定めるものはない。保存の段階で見直すのは、他の段階の変更を受けた保存先・アクセス権の整理にとどまる。改正法による新しい定めは確認できていない
提供第三者提供の同意不要（第27条第1項）、統計作成等のための提供（第30条の2）、オプトアウトで提供するときの提供先の身元と利用目的の確認の義務化（第27条第7項）、顔特徴データ等のオプトアウト提供の禁止（第27条第2項）。詳細はオプトアウト制度の強化。法律は成立済み。同意不要・統計作成等の範囲は委員会規則等で未確定
削除・廃棄改正法による新しい定めは確認できていない。現行の第22条は、利用する必要がなくなった個人データを遅滞なく消去する努力義務を定めており、委員会は2026年10月7日の注意喚起で、この徹底を改めて求めている。委託先に消去・廃棄を任せる場合は、証明する記録を残す例がガイドラインに示されている。現行規定の再確認（改正による変更ではない）
委託委託先に、委託業務の遂行に必要な範囲を超えて個人データを取り扱ってはならない義務を明文で課し、一定の条件を満たす委託先には第4章の義務の適用を原則として免除する（第30条の3、第58条の2）。2026年度第1四半期の指導事項では、委託先に対する監督が12件ある。詳細は委託先の義務。法律は成立済み。委託先の措置の中身は委員会規則等で未確定
漏えい等への対応権利利益の保護に欠けるおそれが少ない場合に、本人通知を緩和して代替措置を認める。違法な第三者提供も報告の対象にする（第26条第2項）。詳細は漏えい報告の論点。法律は成立済み。緩和の範囲は委員会規則等で未確定

3. 法改正とは別に動く、安全管理措置の例示の見直し

規程に織り込む技術面の項目は、法改正と別の流れでも見直しが進んでいます。委員会は2026年9月16日の第369回会議の資料で、ガイドライン別添の「手法の例示」の見直しを検討事項にしました。クラウド利用の例、多要素認証の例、侵入後の横展開への対策などを追加する方向で、日程の案は次のとおりです。

  • 2026年11月頃: 委員会で審議
  • 2026年12月頃: パブリックコメントを開始
  • 2027年2月頃: 結果報告と改正事項の決定
  • 2027年4月: 施行

10月7日の注意喚起では、見直し後の技術的安全管理措置を先取りして示しています。多要素認証（フィッシング耐性のあるものを含む）、許可済みデバイスのみのアクセス、常時監視、停止・隔離・アカウント無効化などです。ただし委員会は、確定は2027年4月の予定であり、「手法の例示」は例であって全部を講じなければ直ちに違反になるものではない、とも書いています。この見直しは令和8年の法改正に基づくとは書かれていません。規程のアクセス管理の章に関わるので、法改正の施行日とは分けて追ってください。

4. 従業者の章と罰則

従業者や退職者による不正提供・盗用の罰則（改正後の第178条・第179条）は、損害を加える目的も対象に加わり、法定刑が2年以下の拘禁刑又は100万円以下の罰金に引き上げられます。罰則関係は公布（2026年7月17日）から6か月後の2027年1月17日に施行されます。この表で施行日が確定しているのは、この罰則関係だけです。詳細は罰則の改正。

委員会の指導事例には、「個人データの取扱いに係る規律の整備」が指導事項になったものがあります（委員会の指導事例の一覧の4節）。規程があるかだけでなく、現場で守れる形になっているかが見られている、と読めます。

4-2. 取扱規程が薄い事業者のための見直しの順序

規程が簡単なものしかない事業者向けに、ここまでの表を「いま確認できること」と「規則やガイドラインが決まってから固めること」に分けて並べました。ガイドライン（通則編）の別添10-2は、中小規模の事業者の例として、取得、利用、保存などの基本的な取扱方法を整備すること、別添10-3は、責任者が整備した取扱方法どおりに取り扱われているかを確認することと、従業者から責任者への報告連絡体制を整えることを挙げています。順序は、このサイトがこれらの資料と表から並べた整理の一案で、委員会が示した手順ではありません。

見直し作業の順序（まず確認すること／規則確定後に固めること）
順序作業根拠となる資料待つ必要
まず確認 1取得・利用・保存・提供・削除の各段階の基本的な取扱方法と、責任者・担当者が書かれているかを確かめるガイドライン別添10-2なし
まず確認 2従業者から責任者への報告連絡体制と、漏えい等が起きたときの調査・本人通知・委員会への報告の連絡先を確かめるガイドライン別添10-3なし
まず確認 3利用する必要がなくなった個人データの消去と、委託先に任せた場合の消去・廃棄の記録を確かめる現行の第22条、2026年10月7日の注意喚起、ガイドライン別添10-3なし（現行規定の再確認）
まず確認 4従業者・退職者の持ち出しに関する社内の決まりと、周知の有無を確かめる改正後の第178条・第179条（2027年1月17日施行）施行日は確定済み
規則確定後 1同意不要となる範囲、統計作成等のための取得・提供の範囲を、取得・利用・提供の章に反映する委員会規則等（未公布）規則の公布
規則確定後 2委託先の措置の中身、漏えい等の本人通知を緩和する範囲を、委託・漏えい対応の章に反映する委員会規則等（未公布）規則の公布
規則確定後 316歳未満の子どもの情報、顔特徴データ等を扱う場合の章を足す政令・規則（未公布）施行日と例外の確定
例示の確定後アクセス管理・認証・監視の章に、安全管理措置の「手法の例示」の見直しを反映する第369回会議資料（2027年4月施行の予定）2027年2月頃の決定

「まず確認」の4行は、改正法の施行日を待たずに確かめられる内容です。そのうち1〜3行目は現行の規定やガイドラインに基づくもので、改正によって新しく生じる義務ではありません。「規則確定後」の行は範囲が決まっていないため、先に規程の文言を固めると書き直しになる可能性があります。ただし、規程をいつ直すか、どこまで直すかの判断は個別の事情によるため、このサイトでは示しません。

5. 見直しの前に確かめること

まだ決まっていないこと表の「未確定」の行の具体的な範囲は、委員会規則やガイドラインの決定待ちです。罰則関係を除き、施行日は「公布の日から起算して2年を超えない範囲内で政令で定める日」で、政令の公布まで確定しません。安全管理措置の例示の見直し日程も、現時点では委員会の案です。
この記事の位置づけここに書いたのは、個人情報保護委員会が公表した資料の整理であり、個別の事案についての法的な助言ではありません。規程の条文案やひな形も提供していません。自社の規程をどう直すか、改正の対象に当たるかの最終的な判断は、顧問弁護士または個人情報保護委員会にご確認ください。

よくある質問

取扱規程は、今すぐ書き換える必要がありますか。

このサイトは個別の判断をしません。表のとおり、施行日は罰則関係を除いて未確定で、具体的な範囲も規則待ちの行が多くあります。判断は顧問弁護士または委員会にご確認ください。

16歳未満の子どもの情報を扱う場合、規程のどこに関わりますか。

資料の上では、取得の段階（同意の取得や通知の相手）と、本人からの請求への対応の段階に関わります。例外を定める政令・規則は未公布のため、範囲は確定していません。

表にない段階は、見直さなくてよいですか。

表は令和8年改正の資料に載っているテーマだけを並べたもので、ほかの段階が不要という意味ではありません。

出典

2026-10-15に、ガイドライン別添10-2・10-3の本文を委員会のページで確かめ、規程の段階の区分を組みました。条文番号と記載内容はガイドライン本文、罰則関係の施行日は改正法本文、安全管理措置の例示の見直し日程は委員会の会議資料、指導事項の記述は委員会の四半期報告で確かめた内容です。