2026年4月7日、個人情報保護法等の改正案が閣議決定され、個人の権利利益の保護と、AI活用にも資するデータ連携の促進を両立させる方向が示されました。
改正案の柱は、
①統計作成等（AI開発等を含む）を理由とした本人同意の見直し
②未成年（16歳未満）・生体データに関する規律強化
③不適正利用の防止（名簿流通等）
④課徴金納付命令など実効性の強化
です。
今回の見直しは「規制強化一辺倒」ではなく、使えるデータは使いやすく、危ない使い方は止めやすく、悪質行為は割に合わなくするという設計に近いと考えられます。
なお、法案の施行時期は「公布の日から起算して2年を超えない範囲」で政令で定めるとされており、現時点では確定していません。
導入：なぜ今「個人情報保護法の見直し論点」が重要なのか
いわゆる「3年ごと見直し」は、2020年改正法の附則に基づき、施行後3年ごとに国際動向・技術進展などを踏まえて検討する枠組みです。
検討の過程では、パブリックコメントで合計2,448件の意見が寄せられ、そのうち本人同意を要しないデータ利活用等が1,560件、さらに生成AIに関する意見が1,486件と、AIをめぐる関心が突出していました。
政府側でも、AI・データの社会実装を進める方針の中で、個人情報保護法の第三者提供規制がデータ連携を難しくする面がある、という問題意識が示されています。
前提整理：基本用語と、よくある誤解
ここは誤解が多いので、最低限だけ押さえます。
- 「個人情報」は「生存する個人に関する情報」で、氏名等で特定できるものに加え、他の情報と容易に照合して個人を特定できるものや、個人識別符号（例：一定の生体特徴の符号等）が含まれるものも含みます。
- 「個人データ」は、個人情報データベース等を構成する個人情報で、実務では「事業者が検索・管理している個人情報」だと思うと近いです。
- 「保有個人データ」は、開示・訂正・利用停止などの請求に応じる権限を事業者が持つ個人データで、一定の例外があります。
- 「個人関連情報」は、個人情報・仮名加工情報・匿名加工情報のいずれにも当たらない「個人に関する情報」です（例は状況依存になりがち）。
- 「仮名加工情報」は、他の情報と照合しない限り個人を識別できないよう加工した情報で、法律上の定義が置かれています。
- 「匿名加工情報」は、特定の個人を識別できず、元の個人情報を復元できないようにした情報です。
よくある誤解
- 「同意があれば何をしてもいい」→同意は万能札ではなく、目的や方法が不適切なら問題になり得ます。今回の改正案も、同意の要否だけでなく不適正利用・不正取得や実効性（課徴金等）を論点の中心に置いています。
- 「今回の見直しは規制緩和」→緩和（統計作成等）と強化（未成年・生体データ・課徴金等）が同時に入っています。
問題の実態：何がどの程度起きているのか
監督当局である個人情報保護委員会の年次報告（令和6年度）では、個人データの漏えい等事案について、法に基づく報告の処理件数が19,056件とされています。
同報告では、1件当たり漏えい等人数が1,000人以下の事案が88.3%と最も多く、5万人超の割合は0.8%でした。また、報告類型では「要配慮個人情報を含む漏えい等」が45.4%、「不正アクセス等（不正目的の疑い等）」が39.9%とされています。
四半期ごとの公表でも、令和7年度第3四半期における漏えい等報告の処理件数（個人情報）は4,623件とされています。
数字が急に悪化したと断定はできません。制度として漏えい等報告が義務化され、報告が集まる仕組みが整った側面もあります。一方で、年次報告は具体的にフィッシング詐欺や不正アクセス、設定不備などの脆弱性管理の問題を挙げており、実害リスクが高い領域が増えていることも読み取れます。
原因構造：なぜ見直しが必要になったのか
ここからは原因の整理です。
中間整理は、情報通信技術の高度化により大量の個人情報を扱うビジネスが生まれる一方、プライバシーを含む権利利益侵害リスクが高まっている、と整理しています。
同じ中間整理は、社会的議論になりやすい生体データ（顔識別等）について、現行法では生体データであること自体に着目した特別規律がなく、諸外国ではセンシティブデータとして扱われる例がある、と指摘しています。
同意規制についても、生成AI等の普及で大量の個人情報を扱う技術・サービスが生まれ、公益性の高いユースケースも含めて「例外規定の在り方」を検討する必要があると述べています。
これらをつなげると、見直しの根っこは次の3点に整理できます。
- リスクの質が変わった：漏えい（サイバー攻撃等）だけでなく、プロファイリング・差別的取扱い・名簿流通など「データの使われ方による被害」も問題になっている。
- 本人同意だけでは回らない場面が増えた：医療・公衆衛生、研究、AI開発など、個別同意を積み上げるコストが大きい一方で、社会的便益もあり得る。
- 抑止と救済の論点が前に出た：悪質行為を「割に合わなく」する手段（課徴金等）や、迅速に止める仕組み（命令の要件見直し等）が争点化した。
海外ではどう対応しているのか
海外比較は正解探しではなく、論点の可視化に役立ちます。
OECDのプライバシーガイドライン（OECD/LEGAL/0188）は、国境を越える個人データ流通の重要性と、プライバシー・個人の自由の保護の両立を目的にし、2013年改訂ではリスクマネジメントや説明責任、漏えい通知など実装寄りの概念を強めた経緯が説明されています。
欧州データ保護会議は、GDPRの制裁金の法定上限について、（i）最大1,000万ユーロまたは全世界売上高2%（いずれか高い方）と、（ii）最大2,000万ユーロまたは全世界売上高4%（いずれか高い方）の2類型があることをガイドラインで説明しています。
また、EUの日本適合性（adequacy）をめぐる初回レビューに関し、欧州委員会が報告書を出したこと、見直しの結果を踏まえレビュー周期を4年に移行する提案に合意したことなどを、欧州データ保護会議が声明で述べています。
米国は連邦一律のGDPR型とは異なり、州法などが重要な役割を持ちます。たとえばカリフォルニア州の法令（CCPA/CPRA改正反映）では、収集時点で収集カテゴリ・目的・（センシティブ情報を含む場合はその旨）・保持期間などを知らせること、目的と両立しない追加目的での利用には通知を要すること、収集・利用・保持・共有は合理的に必要かつ比例的であること、などが条文上示されています。
韓国個人情報保護委員会は、改正法の法的根拠に基づき、プライバシーポリシー評価の仕組み等で透明性を高める方針や、バイオメトリクス（biometric）利用の文脈で保護措置を整える方針に言及しています。
日本の見直し論点（AI×同意、生体データ、実効性強化）は、海外でも同型の悩みがある領域です。ただし、制度の形は違います。したがって「海外はこうだから日本も同じにすべき」と短絡せず、日本の改正案が何を狙い、何を捨て、何を下位法令に委ねるかを読むのが重要です。
日本の現在地：2026年改正案の主要論点を「4つの柱」で整理
2026年改正案（概要資料）は、改正内容を4領域に整理しています。ここでは、その4領域を見直し論点の地図として使います。
① 適正なデータ利活用の推進（同意の見直し・統計作成等）
改正案は、個人データ等の第三者提供や、公開されている要配慮個人情報の取得について、統計情報等の作成にのみ利用される場合に本人同意を不要とする枠を設けています。注記として「統計作成等であると整理できるAI開発等を含む」とされています。
法案要綱には「統計作成等」の定義が置かれ、個人の権利利益を害するおそれが少ないものとして個人情報保護委員会規則で定めるもの、とされています（具体像は下位規範に委ねられる構造）。
ここは最大の論点です。「生成AIの学習が全部OKになる」と受け取られがちですが、統計作成等として整理できるAI開発等という書き方自体が、対象を限定し、条件（公表・合意・目的外利用の歯止め等）を設計する余地を残しています。どこまでが対象になるかは、下位法令・ガイドラインが出るまで断定できません。
関連して整理できる「本人同意の例外」
法案要綱は、生命等の保護や公衆衛生の向上等の場合について、従来の「同意取得が困難」な場合だけでなく、「同意を得ないことについて相当の理由がある」ときにも、一定の本人同意なし取扱いを可能にする方向を示しています。
また「取得状況から見て本人の意思に反しないため本人の権利利益を害しないことが明らか」な場合など、同意要件の調整も要綱に含まれています。
② リスクに適切に対応した規律（未成年・生体データ・委託・漏えい対応）
未成年（16歳未満）について、同意取得や通知等の相手方を法定代理人とすることの明文化、利用停止等請求の要件緩和、さらに「最善の利益」を優先して考慮する努力義務等が示されています。
生体データについては、顔特徴データ等の取扱いに関し、一定事項の周知義務化、利用停止等請求の要件緩和、そしてオプトアウト制度に基づく第三者提供の禁止が概要資料に明記されています。
法案要綱では新たに「特定生体個人情報」の定義が置かれ、本人への通知・周知、第三者提供の制限、本人の利用停止等請求などが規定される構造が示されています（具体の範囲は政令で定める部分を含む）。
委託についても、データ処理等の委託を受けた事業者の義務見直しが掲げられています。
漏えい等発生時の本人通知については、本人への通知が困難な場合に加えて「通知が行われなくても本人の権利利益の保護に欠けるおそれが少ない場合」として規則で定める場合に、代替措置を取れるようにする方向が要綱に含まれています（少なくとも行政機関等について明記）。
この領域は、「誰のデータが、いつ、より守られるか」という論点です。未成年・生体データは、本人が不利益を理解しづらい／一度拡散すると回収が難しい／追跡性が高い、といった理由で、規律を厚くしやすい対象だと位置づけられています。
③ 不適正利用等の防止（名簿流通・連絡できるが個人情報ではない情報）
概要資料は、「個人情報ではないが、特定の個人に対する働きかけが可能となる情報」について、不適正利用および不正取得を禁止する方針を明記しています。
法案要綱では、これに対応する新定義として「連絡可能個人関連情報」が置かれています。
これは、典型的にはIDのような識別子・連絡手段（メール、SNS等）により「この人に広告・勧誘・詐欺的連絡ができる」タイプの情報を、個人情報であるかどうかの線引きだけに依存せず、リスクから規律しようとする発想に近いです。ただし、どの情報が「連絡可能個人関連情報」になるかは、条文と下位規範の運用で実務が決まるため、現時点で例示を断定するのは避けます。
④ 規律遵守の実効性確保（命令の要件・課徴金・罰則）
改正案は、違反行為の是正を求める命令の要件を見直し、本人への通知や公表等を含む必要措置を勧告・命令できるようにする方向を示しています。
また、違反行為を補助する第三者に対して、違反行為の中止のための措置を要請する根拠規定を設けること、要請を受けた役務提供者等の損害賠償責任を免除する旨などが要綱に含まれます。
さらに大きいのが課徴金納付命令です。要綱では、たとえば「違法行為や不当な差別的取扱いが想定される状況にある第三者」への個人情報提供等（課徴金対象行為）を行い、その対価として金銭等を得た場合、原則としてその金銭等相当額の納付を命じる枠組みが示されています。一方で、相当な注意を怠っていない場合や、本人の数が1,000人を超えない等「害する程度が大きくない場合」として政令で定めるときは命じられない、とされています。
罰則についても、個人情報データベース等の不正提供等の法定刑の引上げ、提供目的に「損害を加える目的」を含めること、不正取得行為の罰則新設などが要綱に含まれています。
ここは「抑止」と「執行」の論点です。GDPR型の売上連動制裁金と同一ではありませんが、少なくとも儲かる違反を狙い撃ちにし、委員会が止めやすくする方向性が読み取れます。
議論されたが、現時点の改正案で確認できない論点
中間整理では「個人の権利救済手段（団体による差止請求制度や被害回復制度）」が個別検討事項として掲げられ、議論対象になっていました。
しかし、2026年改正案の概要資料および法律案要綱の記載からは、少なくとも「団体訴訟制度（差止・集団的被害回復）」の創設は確認できません。
この点について、日本弁護士連合会は課徴金導入や団体訴訟制度創設を求める意見を公表しています。
見直し論点としては、「行政による抑止（課徴金等）」を先に厚くし、「民事救済（団体訴訟等）」は継続課題として残った、という構図に近い可能性があります。ただし、国会審議で修正される可能性は排除できないため、断定は避けます。
当事者別の影響整理（個人・企業・行政）
ここはやりたいことによって影響が違うため、論点別に短く整理します。
（個人・家計）
- 16歳未満は、同意や通知の相手が法定代理人へ読み替えられ、利用停止等請求もしやすくなる方向が示されています。家庭としては「子どものデータがどう使われているか」を追いやすくなる可能性があります。
- 生体データ（顔特徴等）について周知義務やオプトアウト第三者提供禁止が入るため、公共空間や店舗での顔認識の取り扱い説明が、より重要になります。
（企業・仕事）
- 統計作成等（AI開発等を含む）での同意不要枠が実装されれば、データ連携の入口が広がる可能性があります。一方で、対象範囲や条件は規則・政令で詰められるため、実務インパクトは下位規範待ちです。
- 課徴金、罰則強化、命令の実効性強化は、コンプライアンス投資（ガバナンス、人員、監査、委託管理）の重要性を上げます。
- 漏えい等報告はすでに実務負担が大きく、年次報告でも報告件数の多さや原因分析・指導の状況が示されています。今後は「どの事故を強く報告・通知するか」というリスクベースの整理がさらに重要になります。
（行政・自治体）
- 法案要綱には、行政機関等の漏えい時対応や統計作成等の特例、委託を受けた行政機関等の取扱い制限、未成年者の規律など、公的部門側の整備も含まれています。
政策手段の比較とトレードオフ
中間整理や改正案が示す政策手段は、大きく「入口（同意・取得・提供）」「途中（安全管理・委託・通知）」「出口（止める・罰する）」の3層に分けると理解が楽です。
- 入口：同意不要の拡大（統計作成等、契約履行、公衆衛生）
- 期待される効果：データ連携・研究・AI開発の摩擦低下
- 典型的副作用：範囲が曖昧だと抜け道になり得る／逆に狭すぎると実務が動かない（ここが意見対立の中心）。
- 途中：生体データ・未成年・漏えい対応のリスクベース化
- 期待される効果：守るべき対象（子ども、生体）に焦点を当てられる
- 典型的副作用：事業者の手続負担増、周知の形骸化リスク。
- 出口：命令の要件見直し、第三者への要請、課徴金、罰則
- 期待される効果：悪質行為の抑止、迅速な是正
- 典型的副作用：執行コスト（当局・企業双方）、過剰抑止（特に中小企業への影響）をどう抑えるか。
今後のシナリオと評価の視点
改正案は「公布後2年以内施行」とされ、具体日程は未確定です。
国会審議が大きな修正なく進む場合、実務上の焦点は、
①統計作成等の範囲設定（AI開発等の線引き）
②特定生体個人情報の対象範囲
③漏えい通知・報告の緩和条件
④課徴金の対象行為・免除条件
の4点に集まる可能性が高いです。
評価の視点（読者が今後ウォッチすべき指標）
- 漏えい等報告の件数だけでなく、重大事案（不正アクセス等）への対応速度と、再発防止の横展開が進むか。
- 生体データ・未成年領域で、周知や権利行使が「実際に機能するか」。（制度は作れても運用が難しい領域です）
- 課徴金が導入されるなら、対象が悪質行為に焦点化されるか（過剰抑止とならない設計か）。
よくある疑問Q&A
Q1. 改正案は「いつから」適用されますか？
法案要綱では原則「公布の日から起算して2年を超えない範囲」で政令で定める日とされています。現時点は法案段階のため、確定日は公表されていません。
Q2. 生成AIの学習に個人情報を使うのは、改正でOKになりますか？
改正案は「統計情報等の作成（統計作成等であると整理できるAI開発等を含む）にのみ利用される場合」に、本人同意を不要とする枠を設けるとしています。
ただし、何が「統計作成等」か、どの条件を満たせばよいかは規則等で詰められる構造です。したがって「生成AI学習が全面的に自由化される」と断定はできません。
Q3. 顔認識は違法になるのですか？
改正案は、顔特徴データ等の取り扱いに周知義務を置き、利用停止等請求の要件緩和や、オプトアウトによる第三者提供禁止を掲げています。
つまり「全面禁止」ではなく、透明性と本人関与を厚くする方向です。どこまでが対象となるかは、特定生体個人情報の範囲（政令）などの設計次第です。
Q4. こどもの個人情報は何が変わりますか？
16歳未満では、同意や通知等の相手を法定代理人とする読み替え、利用停止等請求の要件緩和、最善の利益を優先して考慮する努力義務が示されています。
Q5. 課徴金は、GDPRのような売上高に応じた巨額制裁金ですか？
法案要綱では、課徴金対象行為により得た金銭等相当額の納付を命じる枠組みが示され、一定の免除要件（相当注意、人数1,000人以下等）が置かれています。
少なくとも公表資料上は、GDPRの「最大○%売上」型と同一の設計とは読み取りづらく、むしろ不当利得に近い発想が混ざっています。
Q6. 漏えい報告・本人通知はラクになりますか？
見直しの文脈では、漏えい等対応の合理化（リスクに応じた対応）が検討され、要綱にも「通知しなくても権利利益の保護に欠けるおそれが少ない場合」の代替措置が規定されています（少なくとも行政機関等に明示）。
ただし、何が「おそれが少ない」かは規則で定めるため、現時点で「全体が緩和」とは言えません。
Q7. 一般の個人が、今すぐできることは？
現行でも、保有個人データについて開示・訂正・利用停止等の請求制度があります。まずはサービスのプライバシーポリシー等で、どのデータが「個人データ／保有個人データ」になっているかを確認し、窓口（問い合わせ・請求方法）を把握しておくのが現実的です。
改正が成立した場合は、子ども・生体データ領域で、周知のされ方（掲示・通知・分かりやすさ）が生活の中での重要なチェックポイントになりやすいです。
結論：見直し論点をどう捉え、何を優先すべきか
2026年改正案は、データ利活用の促進（統計作成等）と、権利利益保護の強化（未成年・生体データ・不適正利用対策）と、実効性確保（課徴金・命令・罰則）を同時に進める構成です。
一般読者が押さえるべき本質は、「同意をどうするか」だけでなく、リスクの高いデータの扱いをどう透明化し、止めやすくし、悪質行為を割に合わなくするかです。
次の1年〜2年は、国会審議の行方に加え、下位法令（政令・委員会規則）とガイドラインで、実務の線引きが決まります。企業はデータの棚卸しと委託管理、個人は自分のデータがどこで使われているかの見える化を、先に進めておくと後から慌てにくくなります。
参考
- 個人情報保護委員会・2026年・「個人情報の保護に関する法律等の一部を改正する法律案」公表一式（概要・要綱・条文等）・個人情報保護委員会・
https://www.ppc.go.jp/news/press/2026/260407/・閲覧日：2026-04-07 - 個人情報保護委員会・2026年・「個人情報保護法 いわゆる３年ごと見直しの制度改正方針」・個人情報保護委員会・
https://www.ppc.go.jp/files/pdf/01-1_seidokaiseihousin.pdf・閲覧日：2026-04-07 - 個人情報保護委員会・2024年・「個人情報保護法 いわゆる３年ごと見直しに係る検討の中間整理」・個人情報保護委員会・
https://www.ppc.go.jp/files/pdf/240627_02_houdou_betten1.pdf・閲覧日：2026-04-07 - 個人情報保護委員会・2025年・「『個人情報保護法 いわゆる３年ごと見直しに係る検討』の今後の検討の進め方について」・個人情報保護委員会（資料）・
https://www.meti.go.jp/shingikai/sankoshin/shomu_ryutsu/bio/kojin_iden/life_science/pdf/2024_001_03_01.pdf・閲覧日：2026-04-07 - 個人情報保護委員会・2025年・「令和６年度 個人情報保護委員会 年次報告」・個人情報保護委員会・
https://www.ppc.go.jp/aboutus/report/annual_report_2024/・閲覧日：2026-04-07 - 個人情報保護委員会・2026年・「令和7年度第3四半期における漏えい等報告の処理状況」・個人情報保護委員会・
https://www.ppc.go.jp/files/pdf/260311quarter-report_roueihoukoku.pdf・閲覧日：2026-04-07 - 個人情報保護委員会・2024年改訂（最終更新反映）・「個人情報の保護に関する法律についてのガイドライン（通則編）」・個人情報保護委員会・
https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/・閲覧日：2026-04-07 - 個人情報保護委員会・（更新情報はページに記載）・「個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）」・個人情報保護委員会・
https://www.ppc.go.jp/personalinfo/legal/guidelines_anonymous/・閲覧日：2026-04-07 - 内閣官房／デジタル行財政改革会議・2025年・「データ利活用制度の在り方に関する基本方針」・内閣官房（資料PDF）・
https://www.cas.go.jp/jp/seisaku/digital_gyozaikaikaku/data12/data12_siryou2.pdf・閲覧日：2026-04-07 - OECD・2025年（テキスト版PDFの版権年表記）・Recommendation of the Council concerning Guidelines Governing the Protection of Privacy and Transborder Flows of Personal Data（OECD/LEGAL/0188）・OECD Legal Instruments・
https://legalinstruments.oecd.org/public/doc/114/114.en.pdf・閲覧日：2026-04-07 - 欧州データ保護会議・2023年・Guidelines 04/2022 on the calculation of administrative fines under the GDPR（Adopted）・EDPB・
https://www.edpb.europa.eu/system/files/2023-06/edpb_guidelines_042022_calculationofadministrativefines_en.pdf・閲覧日：2026-04-07 - 欧州データ保護会議・2023年・Statement 1/2023 on the first review of the functioning of the adequacy decision for Japan・EDPB・
https://www.edpb.europa.eu/system/files/2023-07/edpb_statement_202301_statement_on_japan_adequacy_review_en.pdf・閲覧日：2026-04-07 - カリフォルニア州・（改正履歴は条文注記）・California Legislative Information（CCPA/CPRA反映条文）・California Legislature・
https://leginfo.legislature.ca.gov/faces/codes_displayText.xhtml?division=3.&lawCode=CIV&part=4.&title=1.81.5・閲覧日：2026-04-07 - 韓国個人情報保護委員会・（掲載年はページ情報に従う）・News/Notice（Privacy policy assessment scheme、biometric safeguards等への言及を含む）・PIPC（Korea）・
https://www.pipc.go.kr/eng/user/ltn/new/noticeDetail.do?bbsId=BBSMSTR_000000000001&nttId=2434・閲覧日：2026-04-07 - 日本経済団体連合会・2025年・「『個人情報保護法の制度的課題に対する考え方（案）について』に対する意見」・経団連 Policy・
https://www.keidanren.or.jp/policy/2025/028.html・閲覧日：2026-04-07 - 日本弁護士連合会・2024年・「個人情報保護法３年ごと見直し中間整理…に関する意見書」・日本弁護士連合会・
https://www.nichibenren.or.jp/library/pdf/document/opinion/2024/241219_2.pdf・閲覧日：2026-04-07
コメント