改正個人情報保護法が成立、課徴金制度を新設——年17,139件の漏えい報告が示す、施行までの最長2年でやるべきこと

※ 本記事は2026年7月13日時点の公開情報に基づきます。施行日や運用の詳細は今後の政令・ガイドラインで定まるため、最新情報は個人情報保護委員会の公式発表等をご参照ください。

2026年7月10日、第221回国会（特別会）において、同年4月7日に提出された「個人情報の保護に関する法律等の一部を改正する法律案」が可決・成立しました（出典: 個人情報保護委員会）。柱は「適正なデータ利活用の推進」「リスクに適切に対応した規律」「不適正利用等防止」「規律遵守の実効性確保のための規律」の4本です。違反行為によって得られた財産的利益等に相当する額の課徴金を命じる制度が新設される一方で、個人データ等の第三者提供などについては、統計情報等の作成にのみ利用される場合にAI開発等を含めて本人同意を不要とする規定も同時に入りました（出典: 個人情報保護委員会事務局「改正法律案（概要）」）。

課徴金の新設——「指導で済む」という前提が崩れる

これまでの執行は、指導及び助言から勧告、命令へと段階を踏む構成でした。改正法では、重大な違反行為により本人の権利利益が侵害された場合等について、当該違反行為によって得られた財産的利益等に相当する額の課徴金の納付を命じる制度が設けられます（第148条の3〜第148条の17）。命令の要件も見直され、罰則の法定刑は引き上げられます。施行期日は、原則として公布の日から起算して2年を超えない範囲内とされています（出典: 同上）。

違反のコストが「行政指導への対応工数」から「得た利益の吐き出し」に変わります。経済的な制裁が入れば、社内の優先順位は上がります。

AI開発が「統計作成等」に整理されれば、同意は要らない

もう一方の柱は利活用の促進です。個人データ等の第三者提供および公開されている要配慮個人情報の取得について、統計情報等の作成にのみ利用される場合は本人同意が不要になります（第30条の2、第31条の3）。概要資料は、ここに統計作成等であると整理できるAI開発等を含むと明記しています。一方、個人情報ではないが特定の個人への働きかけが可能となる情報は、不適正利用と不正取得が禁止されます（第31条の2）（出典: 同上）。

条件は「統計作成等であると整理できること」です。自社データを分析やモデル開発に回す前に、その整理を文書で残す。それが説明責任の備えになります。

年17,139件——漏えい報告は例外ではなく常態

成立の3日前、2026年7月7日に、個人情報保護委員会は個人情報保護法第168条に基づく令和7年度年次報告を公表しました（出典: 個人情報保護委員会）。個人情報取扱事業者等では、漏えい等事案に関する報告の処理が17,139件（前年度19,056件）、勧告2件（同1件）、命令1件（同0件）でした。命令1件と勧告2件はいずれも名簿業者2社に対するもので、緊急命令の理由は不適正な利用の禁止（第19条）違反、勧告の理由は第三者提供に係る記録の作成義務（第29条第1項）違反と第19条違反でした（出典: 「令和7年度 年次報告の概要について」）。

年1万7千件規模なら、報告義務の発生自体は珍しくありません。処分に至るのは年数件です。改正法が義務化するオプトアウト時の提供先の身元・利用目的の確認（第27条第7項）は、この処分理由と重なります。

中小企業が施行までに手を付ける順序

猶予は最長2年ですが、順序を誤ると直前に慌てます。優先度順に3つ挙げます。

1. 顔特徴データの棚卸し 防犯カメラや入退室管理で顔特徴データを扱う場合、取扱いに関する一定の事項の周知が義務化され、オプトアウト制度に基づく第三者提供は禁止されます（第21条の2、第27条第2項、第35条第7項・第8項）。まず自社が顔特徴データを持っているかの確認からです。

2. 16歳未満の顧客データの同意フロー 16歳未満の本人については、同意取得や通知等を法定代理人に行うことが明文化され、あわせて未成年者の個人情報等の取扱いについて本人の最善の利益を優先して考慮すべき旨の責務規定が設けられます（第35条第9項・第10項、第40条の2、第58条の3）。未成年が顧客に含まれる事業は、申込フォームの設計から見直しが要ります。

3. 名簿・リード情報と委託先の管理 オプトアウト制度で第三者提供を行う場合、提供先の身元および利用目的の確認が義務化されます（第27条第7項）。委託先側の義務も見直されます（第30条の3）。リストの売買や外部委託がある企業は、契約書と記録様式を先に直すのが安全です。

まとめ

• 2026年7月10日に改正個人情報保護法が成立。違反行為で得た財産的利益等に相当する額の課徴金制度が新設され（第148条の3〜第148条の17）、施行は公布から2年を超えない範囲内
• 個人データ等の第三者提供と公開されている要配慮個人情報の取得については、統計情報等の作成にのみ利用される場合は本人同意が不要となり、統計作成等と整理できるAI開発等もこの枠に含まれる（第30条の2、第31条の3）
• 2026年7月7日公表の令和7年度年次報告では、漏えい等事案の報告処理17,139件、勧告2件、命令1件。処分はいずれも名簿業者向けで、理由は不適正な利用の禁止（第19条）違反と記録の作成義務（第29条第1項）違反
• 中小企業は顔特徴データ、16歳未満の同意フロー、名簿・委託先管理の3点を優先し、施行までの猶予のうちに台帳と契約書を整えるべき

金銭的な制裁と、AI開発に道を開く同意不要規定。方向の異なる2つの同居は、「守るべきものは厳しく、使ってよいものは使いやすく」という線の引き直しを意味します。中小企業に必要なのは、自社のデータ利用がどちら側にあるかを、施行までに自分の言葉で説明できる状態にしておくことです。台帳の棚卸しは今日から始められます。それが最も費用がかからず、最も効く備えだと私たちは考えます。