個人情報保護法が改正、私たちの何が変わる？令和8年改正を個人目線で読む

2026年7月10日に令和8年改正個人情報保護法が成立し、7月17日に公布されました。報道では「AI開発のために本人の同意なくデータを提供できるようになる」という点が注目されましたが、これは用途を統計情報等の作成に限定した場合の特例で、事業者名や取扱内容のインターネット公表といった条件が付きます。一方で個人の側の権利はむしろ強化され、顔などの特定生体情報については違法性がなくても利用停止を請求できるようになります。また、新設される課徴金は「情報を漏らした企業への罰金」ではありません。この3点を押さえておけば、報道の見出しに振り回されずに済みます。

いつから何が変わるのか

まずスケジュールです。改正法は2026年7月10日に成立し、7月17日に公布されました。施行は次のように分かれます。

つまり、今日から何かが変わるわけではありません。具体的な運用は今後の政令・規則で細部が決まるため、実際に日常で影響を感じるまでには相応の時間があります。

改正は4つの柱で構成されています。①適正なデータ利活用の推進（同意規制の見直し）、②リスクに対応した規律（こども・生体情報の保護強化）、③不適正利用の防止、④規律遵守の実効性確保（課徴金制度の新設）です。①だけが報じられがちですが、②と④も個人にとっては重要です。

①「AI開発に同意なしで使える」の実際の中身

最も見出しになりやすかったのが、統計作成等のための第三者提供について本人同意を不要とする特例です。これは条文上、統計情報等の作成にのみ利用される場合を対象としており、AI開発もここに含まれるとされています。

ただし、無条件ではありません。整理すると次の条件が付きます。

• 用途が「統計作成等」に限定されていること（個人に関する情報ではない、傾向や性質の分析）
• 事業者や取扱いの内容をインターネットで公表すること
• 第三者へ提供する場合は、書面による合意があること
• 権利利益を害さない類型として規則で定める範囲内であること

とはいえ、自分のデータが統計・AI学習の材料として流通する可能性が制度上明確になったこと自体は事実です。どの事業者がどんな取扱いをしているかは公表される仕組みなので、気になるサービスについては公表内容を確認できる道が用意されることになります。

②個人の側に増える権利

利活用を進める改正と対になる形で、本人の権利も広がります。

顔などの特定生体情報は、違法性がなくても止められる

現行法では、利用停止等を請求できる場面は限定されていました。改正では特定生体情報について、事業者側に違法な取扱いがなくても利用停止を請求できる規定が設けられます。顔認証をはじめとする生体データは、漏えいしても差し替えがきかないという性質があるため、通常の個人情報より強い制御権を本人に与える設計です。

16歳未満のこどもに関する規律

こども向けの規定は今回の改正でまとまって整備されます。主なものは次の3点です。

保護者の立場で言えば、子どもが登録したサービスのデータを後から消させたいときの道筋がはっきりするというのが実務上の意味になります。

③課徴金は「漏らした企業への罰金」ではない

ここが最も誤解されやすい点です。「課徴金制度が導入される」と聞くと、個人情報を漏えいさせた企業が制裁金を払う制度だと受け取られがちですが、実際の設計は異なります。

課徴金の対象行為は、次の4類型に限定されています。

1. 不適正利用の禁止違反
2. 適正な取得の違反
3. 第三者提供の制限違反
4. 統計特例の違反

注目すべきは、安全管理措置義務の違反が対象から外されていることです。安全管理措置は、いわゆる漏えい対策にあたる部分です。海外では大規模な個人データ漏えいが巨額の制裁金につながる例がありますが、日本の今回の制度はそれとは異なる考え方で組まれています。

金額の算定方法も特徴的です。売上高に一定の料率を掛ける方式ではなく、違反行為またはそれをやめることの対価として事業者が得た金銭その他の財産上の利益に相当する額を、政令で定める方法により算定するとされています。利益の剥奪という性格が強い制度です。加えて、調査が入る前に自主的に違反を報告した場合には課徴金額の50%が減額される、いわゆるリニエンシーの仕組みも設けられます。

したがって、「これからは漏えいしたら企業が高額の課徴金を払うことになる」という理解は正確ではありません。むしろ、集めたデータを目的外に使い回す、だまして取得する、勝手に第三者へ渡すといった取扱いの筋の悪さに的を絞った制度と理解するのが実態に近いといえます。

個人として今やっておくとよいこと

施行までに時間があるとはいえ、準備が無駄になる話ではありません。

使っているサービスの「取扱い」を一度確認する

統計作成等の特例では、事業者や取扱いの内容がインターネットで公表される仕組みになります。日常的に使うサービスについて、プライバシーポリシーや公表ページを見る習慣を持っておくと、施行後に情報を追いやすくなります。

生体認証を使うサービスを把握しておく

顔認証や指紋認証を登録しているサービスがどれだけあるか、意外と把握できていないものです。特定生体情報について利用停止を請求できるようになるという改正を活かすには、まず自分がどこに何を預けているかを知っておく必要があります。

子どものアカウントを棚卸しする

16歳未満の規律が整備されることを踏まえ、子どもが登録しているサービスと、そこに登録されている情報の種類を把握しておくと、施行後の対応が取りやすくなります。

なお、企業側で生成AIを業務利用する場合の情報の取り扱いについては、生成AIの情報漏洩対策｜中小企業がまず確認すべき設定と社内ルールで、各社の規約を横断して整理しています。個人の立場でも、自分の入力したデータが学習に使われる設定になっているかを確認するうえで参考になります。

まとめ

令和8年改正個人情報保護法は、データ利活用を進める規定と、本人の権利を強める規定を同時に載せた改正です。AI開発への同意不要化は用途と条件を限定した特例であり、その代わりに公表義務が課されます。個人の側には特定生体情報とこどもに関する新しい請求権が生まれます。そして課徴金は漏えい事故への罰金ではなく、データの取扱い方そのものに向けられた制度です。

全面施行は遅くとも2028年7月頃で、細部は今後の政令・規則で固まります。今の段階でできるのは、自分と家族がどのサービスに何を預けているかを把握しておくことです。制度が動き出したときに権利を使えるかどうかは、その把握の有無で決まります。

※本記事は2026年8月1日時点で公表されている情報に基づく一般的な解説であり、法的助言ではありません。個別の事案については、個人情報保護委員会の公表資料や専門家にご確認ください。