ベンチャー・スタートアップ企業、特にIT関係企業においては、自社のサービスで顧客の個人情報を収集したり、他社から個人情報の取扱いを受託したりする会社も多いかと思います。また、従業員の氏名や住所といった個人情報を社員名簿にまとめて人員配置等を行うことは、ほとんどの会社が行っています。ほとんどの企業にとって、個人情報保護法は、理解しておかなければいけない法律です。
個人情報保護法は、令和8年に改正法が成立しました。改正法の内容は気になっているけれど、追いつくことができていない会社も多いかと思います。本記事では、ベンチャー・スタートアップの法務に精通した弁護士が、個人情報保護法の改正についてご紹介します。
2026年（令和8年）改正個人情報保護法の概要
改正の全体像
個人情報保護法は3年ごとに見直されることになっていて、2026年7月10付で「令和8年改正個人情報保護法（以下、「改正法」と言い、現在の個人情報保護法を「現行法」と言います。）」が成立し、同月17日に公布されました。
本改正では、大きく4つ（①適正なデータ利活用の推進、②リスクに対応した規律の強化、③不適正利用等の防止、④規律遵守の実効性確保）の改正がなされています。
施行スケジュールと今から準備すべき理由
今後は、公布の日から2年以内に改正法が施行される予定です。施行日からは、改正法に従わなければいけません。施行日までに、改正法について理解し、社内規程・他社との契約内容の見直し等を進めていく必要があります。
改正のポイント①適正なデータ利活用の推進
統計作成等を目的とする場合の同意不要化（AI開発への影響）
現行法では、信仰・病歴・犯罪歴などの差別につながり得る情報（要配慮個人情報）の取得、個人データの第三者への提供等については、例外規定にあたる場合を除き、本人の同意が必要とされています（現行法２０条２項、27条１項）。
統計情報等の作成のために複数の事業者が持つデータを共有し横断的に解析するニーズが高まっていること、特定の個人との対応関係が排斥された統計情報等の作成や利用はこれによって個人の権利利益を侵害するおそれが少ないことから、統計情報等の作成にのみ利用されることが担保されていること等を条件に、本人同意なき個人データ等の第三者提供及び公開されている要配慮個人情報の取得を可能とすると改正されています（改正法30条の2第1項・5項）。
本人同意が不要となる場面の拡大
現行法では、個人データの第三者への提供や要配慮個人情報の取得については、例外規定に該当する場合を除き、本人の同意が必要です（現行法27条1項）。この例外規定について、改正法では、以下の3点の緩和がなされています。
①取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかな取扱いである場合に、本人の同意を不要とする（改正法18条3項7号、20条2項7号、27条1項8号）
②生命等の保護又は公衆衛生の向上等のために取り扱う場合において、「本人の同意を得ることが困難であるとき」のみだけでなく、「その他本人の同意を得ないことについて相当の理由があるとき」についても、本人からの同意取得を不要とする（改正法18条2項2号・3号、20条2項2号・3号、27条1項2号・3号）
③学術研究の目的として行う要配慮個人情報の取得・個人データの第三者への提供には、本人の同意が不要であるところ、「学術研究機関等」に医療の提供を目的とする機関又は団体を含める（改正法16条9項）
改正のポイント②リスクに対応した規律の強化
子どもの個人情報などについては、リスクに対応して規律を強化する改正がなされています。
子どもの個人情報（16歳未満）の保護強化 ― アプリ・ゲーム・EdTech
子どもの個人情報の取扱い等に係る事業者の義務については、現行法には規定がなく、ガイドラインや Q&Aにおける記載のみですが、改正法では、例外規定に該当する場合を除き、16歳未満の本人に関する同意取得や通知等に係る規定に、法定代理人の関与を義務付けました（改正法40条の2第1項・2項）。また、16歳未満の本人は、本人が識別される保有個人データが取り扱われているときは、例外規定に該当する場合を除き、個人情報取扱事業者に対し、保有個人データの利用停止や第三者への提供の停止を請求することができます（改正法35条9項・10項）。
個人情報取扱事業者・法定代理人のそれぞれに、未成年者の最善の利益を考慮する義務も定められています（改正法58条の3第1項・2項）。
顔特徴データ等（生体情報）の新ルール
現行法では、原則として、個人情報の利用目的を自社のホームページに掲載する等して公表することにより、生体データとしての「個人識別符号」に該当するもの（顔特徴データを含む）も含め、事業者は個人情報を取得することが可能です（現行法21条）。
改正法では、特別の技術又は多額の費用を要しない方法により取得することができる身体の一部の特徴に係る情報であって、当該情報が取得されていることを本人が容易に認識することができないものを、特定生体個人識別符号（改正法16条5項）と定め、特定生体個人識別符号を含む個人情報（特定生体個人情報）を取り扱うには、個人情報取扱事業者の名称・住所・代表者の氏名、特定生体個人情報を取り扱うこと、特定生体個人情報の利用目的等一定事項の周知を義務付けています（改正法21条の2）。また、特定生体個人情報については、違法行為の有無を問わず利用停止請求が可能であること（改正法35条7項）、オプトアウト制度に基づく第三者提供は不可であること（改正法27条2項ただし書き）が定められています。
委託先・再委託先に関する義務の見直し
現行法では、個人データの取扱いの全部又は一部を委託する場合は、委託元が、委託先に対する必要かつ適切な監督を行わなければならないと定められています（現行法25条）。改正法では、委託先に対して、取扱いを委託された個人データ等を、委託を受けた業務の遂行に必要な範囲を超えて取り扱ってはならない旨の義務を課しています（改正法30条の3）。他方、委託先が委託元から指示された方法で機械的に個人データ等を取り扱うのみの場合については、委託先の個人情報取扱事業者等としての義務を一部免除しています（改正法58条の2）。
漏えい時の本人通知義務の緩和
現行法上、個人情報取扱事業者は、報告対象事態が発生した場合には、委員会への報告（法26条１項）義務と本人への通知義務を負うこととなります（現行法26条2項）。改正法では、本人への通知が行われなくても本人の権利利益の保護に欠けるおそれが少ない場合について、本人への通知を行わなくて良いとされています（改正法26条2項ただし書）。
改正のポイント③不適正利用等の防止
連絡可能個人関連情報の規制（Cookie・メール・電話番号）
現行規定では、個人関連情報（生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないもの）については、原則として規制がなく、一定の場合に、第三者への提供に本人の同意が必要とされています（現行法31条）。
改正法では、個人情報ではないが 、特定の個人に対する働きかけが可能となる情報（連絡可能個人関連情報）について、不適正利用及び不正取得を禁止するとされています（改正法31条の2）。
オプトアウト提供の確認義務の強化
現行法では、個人情報取扱事業者は、原則として、あらかじめ本人の同意を得ないで、個人データを第三者に提供できませんが、一定の要件を満たした場合には、本人の同意を得ることなく第三者に提供することができる制度（オプトアウト届出制度）が定められています。改正法では、犯罪者グループ等に名簿を提供されるなどの問題を防ぐため、オプトアウト制度に基づく第三者提供時は、あらかじめ、提供先の氏名・名称、住所、代表者氏名・利用目的を確認しなければならないと定められます（改正法27条7項）。
改正のポイント④規律遵守の実効性確保
今回の法改正では、ルールを順守しない事業者への対応も強化されています。
課徴金制度の導入
個人情報保護法に、初めて課徴金制度（違反事業者に対して金銭的不利益を課す行政上の措置）が導入されます（改正法148条の3）。
課徴金の対象となるのは、①不適正な利用の禁止（改正法19条）違反、②適正な取得（改正法20条1項）違反、③第三者提供の制限（法27条1項）違反、④統計特例違反です。
罰則の強化と執行の強化
罰則についても、以下のような改正がなされています。
①命令を発する要件の緩和（改正法148条2項・3項）
②本人に対する違反行為に係る事実の通知又は公表その他の本人の権利利益の保護のために必要な措置を勧告・命令の内容とすることができることとする（改正法148条1項から3項）
③個人情報取扱事業者だけでなく、違反行為を補助する第三者に対しても要請を行うことができることとする（改正法148条の2）
④刑事罰の処罰対象を拡大・法定刑の引き上げ（改正法178条、180条1項）
実際の対応については弁護士にご相談ください
改正個人情報保護法への具体的な対応については、今後、公表される施行規則やガイドラインの内容を踏まえて検討が必要となります。当事務所では、ベンチャー・スタートアップ法務に精通した弁護士が、改正個人情報保護法への対応を支援させていただきます。ぜひ一度、当事務所までご相談ください。
この記事の監修者
法律事務所アルシエン 弁護士
中沢 信介
東京弁護士会所属。都内法律事務所パートナー弁護士を経て現在の事務所へ参画。台東区法曹会副幹事長兼弁護士実務研究会の代表に就任しており、法律相談担当も務める。
