「改正個人情報保護法で私たちの個人情報はどうなるのか」 報告

「個人情報の保護に関する法律等の一部を改正する法律」は、2026年7月10日に成立し、7月17日に公布されました。今後、政令や個人情報保護委員会規則、ガイドラインなどの下位規範が整備され、2028年春から夏頃までに施行される予定です。

　デジタル化やAIの活用が進む中、運用によっては、本人が知らないうちに個人情報の利用や第三者提供が広がり、プライバシー侵害などにつながるおそれがあります。今回の改正では、本人同意取得の特例や、要配慮個人情報の取得に関する特例について、全国消団連は反対をしてきました。また、課徴金制度の対象や算定方法などの実効性の確保にも課題が残されています。

　全国消団連では、2024年度から学習会の開催や個人情報保護委員会での検討への対応を通じて、意見を提出してきました。改正法成立後には、下位規範の策定を公開の場で議論すること、消費者団体を議論の構成員に位置付けることなどを求める声明も発信しました。（https://www.shodanren.gr.jp/database/534.htm）

　今回の学習会では、改正法が私たちの暮らしや個人情報の取扱いに与える影響、下位規範で具体化されるべき事項について、個人情報保護委員会事務局および専門家から分かりやすく解説いただきました。さらに、差止請求制度、集団的被害回復制度、AI・プロファイリング、生体情報保護など、今後の制度改善に向けた論点を共有し、意見提出や関係者への働きかけにつなげます。

【日時】9月17日（木）14時00分〜16時00分　〔Zoom活用のオンライン開催〕

【講師】①改正法の内容と今後の運用について（個人情報保護委員会事務局）
②消費者の立場から見た改正法の評価と今後の課題
　（中央大学総合政策学部　宮下 紘さん）

【参加】49人

概要（事務局による要約）

■改正法の内容と今後の運用について

個人情報保護委員会事務局 企画官　田中昭男さん
参事官補佐　古川泰斗さん　

�T．令和8年改正法の検討経過等について

　2026年個人情報保護法改正は、2020年改正法の附則に基づく「3年ごと見直し」の検討結果を踏まえて成立しました。2025年から個人情報保護委員会において検討が進められ、関係団体や有識者からの意見聴取、国会審議を経て、2026年7月に成立・公布されました。今後は政省令やガイドライン等の具体化が進められる予定です。

�U．令和8年改正法の概要について

　回の改正は、①適正なデータ利活用の推進、②リスクに適切に対応した規律、③不適正利用等の防止、④規律遵守の実効性確保の4つを柱としています。
　第1は、「統計作成等の特例」の創設です。統計情報やAIモデルの開発など、特定の個人との対応関係が排除されたデータ利用のために行う場合に限り、一定の条件の下で本人同意なしのデータの取得や第三者提供を可能としました。公開された要配慮個人情報の取得やデータの横断的分析を可能にする一方、目的外利用の禁止、再提供の禁止、安全管理措置、不要データの削除など厳格な条件が設けられ、違反した場合は課徴金の対象となります。br> 　第2に、本人の意思に反しないため本人の権利利益を害しないことが明らかな場合のデータ利用について例外規定が整備されました。例えばホテル予約サイトが予約情報を宿泊施設に提供するような、契約履行に不可欠な行為については、本人同意を不要とすることが可能となりました。
　第3に、生命・身体の保護や公衆衛生の向上等のための例外規定が見直され、「本人の同意取得が困難な場合」に加え、「同意を得ないことについて相当の理由がある場合」も例外として認められるようになりました。これは緊急時の円滑な対応を図ることが目的です。
　第4に、子どもの個人情報保護が強化されました。法定代理人への同意取得・通知、子どもの個人情報に関する利用停止等請求権の拡充、事業者および法定代理人に対する「子どもの最善の利益」を考慮する責務規定が新設されました。
　第5に、顔認識技術に用いられる顔特徴データについて新たな規律が設けられました。利用目的等の周知を義務付けるとともに、利用停止等請求権を認め、本人同意なしで第三者提供を行うオプトアウト制度の対象外としました。
　このほか、病院等による学術研究利用の円滑化、委託先による目的外利用禁止の明確化、漏えい等報告制度の合理化、個人関連情報に対する規律強化、オプトアウト提供先の確認義務の新設などが盛り込まれました。
　また、執行面では、命令・勧告制度の見直しに加え、違反行為による経済的利益を剥奪する課徴金制度が新たに導入されました。これにより個人情報保護法の実効性向上が図られています。

�V．令和8年改正法の成立を踏まえた今後の取組について

　2026年7月に成立した改正個人情報保護法は、法律の規定により施行まで最大2年の準備期間が設けられており、2028年春から夏頃の施行が予定されています。施行に向けては、法律で委任された事項を具体化するための政令・委員会規則の整備を進めるとともに、必要に応じてガイドラインやQ&Aを策定し、制度内容の明確化を図ります。また、施行前には事業者や国民への周知・広報期間を設ける予定です。
　さらに、政令・規則の策定に当たっては、従来のように行政が案を作成してから意見募集を行うだけでなく、案を作成する前の段階から基本的な考え方を公表し、個人や事業者など幅広い関係者の意見を聴取していきます。テーマごとに検討の方向性を示した上で、関係者からの意見聴取や事務局ヒアリングを実施し、その結果を踏まえて制度設計を進めます。

■消費者の立場から見た改正法の評価と今後の課題

中央大学総合政策学部教授　宮下 紘さん

　今回の個人情報保護法改正では、AI時代への対応が大きなテーマとなっています。特に注目したいのは、統計情報等の作成に伴う特例です。本人の同意なしで個人情報を利用できる点だけが強調されがちですが、実際には安全管理措置や第三者提供の制限など厳しい要件が設けられており、事業者が自由に利用できる仕組みではありません。要配慮個人情報等については通常よりも重い安全管理措置が求められており、違反した場合には課徴金の対象にもなります。したがって、むしろ十分な管理体制を整備できる事業者でなければ活用が難しい制度と考えられます。
　一方で、消費者団体として注目すべき点は、統計情報が個人ではなく集団に対する分析や推論に用いられることです。AIによる分析では、特定の個人を識別しなくても、一定の属性を持つ集団に対する評価や分類が行われ、その結果が個人への意思決定に影響します。例えば、信用スコアの仕組みでは、特定の職業や属性を持つ集団が返済リスクの高い集団として分類され、その集団に属していることを理由に融資やカード審査で不利益な扱いを受ける可能性があります。EUのAI法では、こうした集団への影響も保護の対象としていますが、日本ではなお検討の余地が残されています。そのため、消費者団体には、個人だけでなく集団に生じている被害や不利益の実態を把握し、具体的な事例として示していくことが期待されます。
　未成年者の個人情報保護については、18歳未満の者全体について最善の利益への配慮義務が設けられ、16歳未満については法定代理人を中心とした保護の枠組みが導入されました。しかし、「子どもの最善の利益」とは何を意味するのかについては必ずしも明確ではありません。海外ではオーストラリアをはじめ、16歳未満のSNS利用を厳しく制限する動きが進んでいます。またEUでも子どものSNS利用に関する新たな立法が進められています。一方で、アメリカでは子どもの保護を理由とした過度な利用制限は表現の自由に反するとの判断も示されています。このように、子どもの保護と権利保障のバランスは国際的にも大きな課題となっています。今後、どのようなケースが子どもの最善の利益を害するのかについて、具体的な事例を通じて整理していくことが重要です。特に消費者団体には、子どもに関する相談や被害事例を収集し、ガイドライン策定に反映させる役割が期待されます。
　生体情報については、顔特徴データを中心とした新たな規律が導入されました。顔認識技術や感情認識AI、視線追跡技術、脳波を活用した技術などは、本人が十分認識しないまま情報が取得・分析される可能性があります。これらの技術は個人を継続的に識別できる特徴を持ち、一度漏えいすると変更が困難であるという特性があります。近年は採用面接やオンラインサービスなど、一般消費者が利用する場面でもこうした技術が導入されつつあります。そのため、個人情報保護法による透明性確保だけでなく、消費者への影響や被害の実態を把握することが重要になります。どのような苦情や相談が発生しているのかを収集し、制度改善につなげる必要があります。
　また、消費者団体と個人情報保護委員会の連携についても重要な指摘がありました。個人情報保護委員会は独立性が強く求められる機関であり、その職権行使に外部から影響を与えることはできません。一方で、独立性を損なわない範囲での情報共有や協力は十分可能です。例えば、消費者団体が収集した被害事例や相談事例を整理・公表し、それを個人情報保護委員会が監督業務の参考とすることは有効な連携の形といえます。AIやデジタルプラットフォームに関する問題は被害の実態が見えにくく、個々の消費者だけでは把握しづらいことから、消費者団体による事例収集の意義はますます大きくなっています。
　さらに、EUでは個人情報侵害に関する団体訴訟制度が整備されており、消費者団体等が消費者本人から個別の委任を受けなくても訴訟を提起できる場合があります。韓国でも集団訴訟制度や高額の課徴金制度が導入されています。日本では今回の改正で団体訴訟制度の導入は見送られましたが、消費者被害の救済や予防の観点から今後も検討が必要な課題であると感じました。
　あわせて、個人情報保護委員会に寄せられる苦情内容と、実際に行われている行政執行との間にギャップがある可能性も指摘されました。消費者は開示請求や利用目的の確認など、自分の情報がどう扱われているかに強い関心を持っています。他方で、個人情報保護委員会の指導・勧告は安全管理措置に関するものが中心です。この認識のずれを埋めるためには、苦情処理やあっせん機能をより積極的に活用し、消費者・事業者・行政が情報を共有しながら問題解決を図ることが重要です。特に、個人情報保護法に規定されているあっせん制度は、違法性の有無を直ちに判断するのではなく、当事者間の調整や円滑な解決を促す仕組みとして活用の余地が大きいと考えられます。
　最後に、個人情報保護法は改正を重ねる中で制度が複雑化しており、事業者にとっても消費者にとっても分かりにくくなっています。今後は、権利と義務の関係をより分かりやすく整理し、何を守るべき制度なのかを明確にすることが求められます。そのためにも、消費者団体が被害実態や相談事例を蓄積し、制度運用や将来の制度改正に反映させていくことが重要であると感じました。

以上

≫ 開催案内はこちら