個人情報保護法の2026年改正点と違反時の罰則・漏えい対応

登録した覚えのない会社から、突然ダイレクトメールが届いた。利用しているサービスから「お客様の情報が流出した可能性があります」というお知らせが来た。そんなとき、頭に浮かぶのが個人情報保護法ではないでしょうか。

個人情報保護法は、個人情報を扱う事業者が守るべきルールを定めた法律です。対象は大企業だけではありません。顧客名簿を持つ小さな店舗や、会員を管理する町内会のような団体にも適用されます。

2026年7月には、課徴金制度の導入などを柱とする改正法が成立しました。この記事では、弁護士の立場から、法律の基本的な仕組み、事業者の義務と罰則、改正のポイント、そして個人情報を悪用された側がとれる対処法までを整理します。

個人情報保護法の目的と対象になる事業者

個人情報保護法の正式名称は「個人情報の保護に関する法律」です。2003年に制定され、2005年に全面施行されました。個人情報を役立てることと、個人の権利利益を守ることの両立を目的としています。

この法律が「個人情報取扱事業者」として義務を課すのは、個人情報データベースなどを事業に使っている者です。かつては扱う人数が5,000人以下の事業者は対象外でしたが、2017年の改正でこの要件は撤廃されました。今は、扱う件数に関係なく適用されます。

法律が作られた背景

1990年代の後半から、コンピューターとインターネットが急速に広がり、大量の個人情報が簡単に集められ、やり取りされるようになりました。名簿の売買や大規模な流出事件が相次ぎ、社会的な不安が高まったことが、法律制定のきっかけです。

その後も、スマートフォンの普及やデータ分析の技術の進歩に合わせて、何度も改正が重ねられてきました。定期的な見直しの規定が置かれているのも、技術の変化に法律が取り残されないようにするためです。

営利かどうかは問わない

「事業」には、営利目的でない活動も含まれます。NPO法人、自治会、同窓会、学校の保護者会なども、名簿をデータベースとして管理していれば対象になり得ます。「うちは会社ではないから関係ない」とは言い切れない点に注意してください。

行政機関のルールも一本化された

以前は、国の行政機関、独立行政法人、地方公共団体がそれぞれ別の法律や条例で個人情報を扱っていました。2021年の改正によって、これらのルールも個人情報保護法の中にまとめられています。地方公共団体への適用は2023年4月から始まりました。

監督するのは個人情報保護委員会

この法律の運用を担うのが、個人情報保護委員会です。内閣府の外局として置かれた独立性の高い機関で、事業者への報告の求め、立入検査、指導、勧告、命令などの権限を持っています。ガイドラインやよくある質問への回答も公表しており、実務上の判断に迷ったときの拠り所になります。

業種によっては、各省庁が定める分野別のガイドラインもあります。金融や医療、通信などの分野では、一般的なルールより厳しい基準が設けられていることがあるため、自社の業種に関するものも確認しておきましょう。

個人情報とは｜法律上の定義と種類

ひと口に個人情報といっても、法律はいくつかの種類に分けて、それぞれ異なるルールを当てています。どの種類にあたるかで、事業者の義務の重さが変わるからです。

種類	内容	具体例
個人情報	生存する個人を識別できる情報	氏名、顔写真、氏名と結びついたメールアドレス
個人識別符号	それ単体で本人を特定できる番号や身体的特徴のデータ	マイナンバー、旅券番号、指紋データ
要配慮個人情報	不当な差別や偏見につながるおそれのある情報	病歴、犯罪の経歴、人種、信条
個人データ	データベース化された個人情報	顧客管理システムに登録された顧客情報
保有個人データ	事業者が開示や訂正の権限を持つ個人データ	自社で管理する会員名簿
個人関連情報	それ単体では個人を識別できない個人に関する情報	閲覧履歴、位置情報、購買履歴

他の情報と照らし合わせて分かる場合も含む

ある情報だけでは誰のものか分からなくても、事業者の手元にある別の情報と簡単に照合でき、それで本人が分かるなら個人情報にあたります。社員番号だけを並べた一覧でも、人事台帳と照らせば誰のものか判明する、というケースがその典型です。

氏名がなくても、顔写真や音声の録音から誰なのかが分かれば個人情報です。反対に、会社の名称や所在地のような法人の情報は、それだけでは個人情報にあたりません。ただし、役員の氏名などは個人情報として扱われます。

要配慮個人情報は原則として同意が必要

病歴や犯罪の経歴などの要配慮個人情報は、あらかじめ本人の同意を得なければ取得できないのが原則です。第三者に提供する際も、本人の同意を得ない形での提供（いわゆるオプトアウト）は認められていません。取り扱いには、通常の個人情報より一段重い慎重さが求められます。

仮名加工情報と匿名加工情報

データを活用しやすくするため、法律は加工された情報についても独自のルールを置いています。匿名加工情報は、特定の個人を識別できず、元に戻すこともできないよう加工したものです。一定の手続きを守れば、本人の同意なく第三者に提供できます。

仮名加工情報は、他の情報と照らし合わせない限り個人を識別できないよう加工したもので、2022年の改正で新しく設けられました。社内での分析に使いやすくする一方、第三者への提供は原則として禁じられています。名前が似ているので混同しやすいのですが、使える範囲がまったく違います。

事業者が守るべき主な義務

個人情報取扱事業者に課される義務は多岐にわたります。ここでは、取得から提供までの流れに沿って、とくに押さえておきたいものを取り上げます。

取得と利用のルール

事業者は、個人情報を何のために使うのかをできる限り具体的に特定しなければなりません。「事業活動に使うため」のような漠然とした書き方では足りず、「商品の発送と、新商品のご案内のため」のように示す必要があります。特定した目的の範囲を超えて使うには、本人の同意が必要です。

取得の場面でも、偽りや不正な手段を使うことは禁じられています。違法または不当な行為を助長するような使い方も、2022年の改正で明確に禁止されました。

安全に管理する義務

取得した個人データは、漏えいや紛失が起きないよう、必要かつ適切な安全管理措置を講じなければなりません。アクセスできる人を限定する、パスワードを設定する、持ち出しを記録する、といった対策がこれにあたります。従業員や委託先への監督も、事業者の責任に含まれます。

従業員の情報も対象になる

見落とされがちですが、顧客の情報だけでなく、従業員や採用応募者の情報も個人情報です。履歴書、給与の記録、人事評価などはすべて保護の対象になります。応募者の書類を不採用後もいつまでも保管している、人事評価の資料を共有フォルダに誰でも見られる状態で置いている、といった扱いは見直しが必要です。

第三者に提供するときのルール

個人データを第三者に渡すには、原則としてあらかじめ本人の同意が必要です。例外として、法令に基づく場合や、人の生命・身体を守るために必要で同意を得るのが難しい場合などは、同意なしで提供できます。

• 業務を委託する場合の委託先への提供は、第三者提供にあたらない
• 合併などで事業を引き継ぐ場合も、第三者提供にはあたらない
• グループ会社などとの共同利用は、一定事項を本人に知らせていれば可能
• 外国にある第三者への提供には、移転先の国の制度などの情報提供が必要

個人関連情報を渡すときの確認

閲覧履歴や位置情報などの個人関連情報は、それだけでは個人情報にあたりません。ところが、受け取った側が手元のデータと結びつけて個人を特定できる場合には、話が変わります。提供する側は、受け取る側が本人の同意を得ているかを確認しなければならないとされています。ウェブサイトの閲覧データを広告会社などに渡す場面で、とくに問題になるルールです。

公表しておくべき事項

事業者は、保有個人データについて、事業者の名称や住所、利用目的、開示などの請求の手続き、安全管理のためにとっている措置などを、本人が知り得る状態にしておく必要があります。ウェブサイトのプライバシーポリシーに記載するのが一般的です。問い合わせを受けたら遅滞なく答えられる状態であれば、必ずしもサイトに掲載しなくても構いません。

本人が請求できる権利

個人情報保護法は、事業者に義務を課すだけでなく、本人に対しても一定の権利を認めています。自分の情報がどう扱われているのかを確かめ、必要なら是正を求められる仕組みです。

請求の種類	内容	請求できる主な場面
開示請求	自分のどんな情報を持っているかを明らかにさせる	いつでも請求できる
訂正等の請求	誤った情報の訂正、追加、削除を求める	内容が事実でないとき
利用停止等の請求	利用の停止や消去を求める	目的外利用、不正取得、利用の必要がなくなったときなど
第三者提供の停止請求	第三者への提供をやめさせる	同意のない提供、本人の権利を害するおそれがあるときなど

2022年4月に施行された改正で、これらの権利は大きく広がりました。それまで利用停止を求められるのは違法な取り扱いがあった場合に限られていましたが、事業者が利用する必要がなくなったときや、本人の権利利益が害されるおそれがあるときにも請求できるようになっています。

たとえば、退会した通販サイトからいつまでも広告メールが届く場合、以前は「違法な取り扱いとまでは言えない」として利用停止を断られることがありました。今は、利用の必要がなくなったことを理由に停止や消去を求めやすくなっています。開示の方法も、電子データでの提供を本人が指定できるようになりました。短期間で消去されるデータも、今は開示などの対象に含まれています。

開示請求の進め方

開示を求めるときは、事業者が定めた手続きに沿って請求します。多くの事業者は、プライバシーポリシーに請求の窓口や方法を載せています。

1. 事業者のプライバシーポリシーで請求窓口と手続きを確認する
2. 指定の書式などで、本人確認書類を添えて請求する
3. 手数料が定められていれば支払う
4. 開示の方法（電子データか書面か）を指定する

事業者は、本人の権利利益を害するおそれがある場合や、業務の適正な実施に著しい支障を及ぼすおそれがある場合など、一定の事情があれば開示の全部または一部を拒むことができます。拒む場合は、その旨を本人に通知しなければなりません。

請求しても応じてもらえないとき

事業者が請求に応じない場合、本人は裁判で開示などを求めることができます。ただし、いきなり訴えることはできず、まず事業者に請求し、到達から2週間を過ぎてから訴えを起こすのが原則です。請求した日付を示せるよう、書面やメールで記録を残しておいてください。

漏えいが起きたときの報告と通知

個人データの漏えいは、どれだけ対策をしていても起こり得ます。大切なのは、起きた後の対応です。2022年4月からは、一定の漏えいについて、個人情報保護委員会への報告と本人への通知が義務になりました。

報告が必要になる4つのケース

• 病歴などの要配慮個人情報が漏えいした、またはそのおそれがある
• クレジットカード番号など、不正に使われると財産的被害が生じるおそれがある
• 不正アクセスなど、不正な目的による漏えいのおそれがある
• 漏えいした本人の数が1,000人を超えるおそれがある

漏えいが起きやすい場面

実際に報告されている事案を見ると、高度な不正アクセスばかりではありません。むしろ日常の小さな不注意から起きるものが目立ちます。

• メールの宛先を間違えて、別の顧客に送ってしまう
• 一斉送信の際に、宛先を他の受信者にも見える欄に入れてしまう
• 書類やパソコン、記録媒体を持ち出して紛失する
• 設定の誤りで、社内向けのデータが外部から見られる状態になる
• ウイルスに感染した端末から情報が抜き取られる

こうした場面では、仕組みでミスを防ぐ工夫が有効です。送信前の確認画面を設ける、持ち出しの際に暗号化を義務づけるなど、人の注意力だけに頼らない対策を考えてみてください。

報告の流れと期限

報告は2段階で行います。事態を知ったときから、おおむね3日から5日以内に速報を出し、原則として30日以内に確報を出すという流れです。不正な目的による漏えいの場合は、確報の期限が60日以内に延びます。

1. 漏えいの事実やおそれを把握し、被害の拡大を止める
2. おおむね3日から5日以内に、個人情報保護委員会へ速報を出す
3. 原因や影響の範囲を調べ、再発防止策を検討する
4. 原則30日以内（不正目的なら60日以内）に確報を出す
5. 本人に対し、状況に応じて速やかに通知する

本人に通知する内容

本人への通知では、何が起きたのか、どの情報が漏れたのか、原因は何か、二次被害のおそれがあるか、といった事項を伝えます。本人がとるべき対応、たとえばカードの利用停止やパスワードの変更などを案内することも欠かせません。連絡先が分からないなど通知が難しい場合は、事案を公表して問い合わせ窓口を設けるといった代わりの措置が認められています。

違反したときの罰則と責任

個人情報保護法に違反しても、いきなり刑事罰が科されるわけではありません。まず個人情報保護委員会が、報告の求め、立入検査、指導、勧告、命令と、段階を踏んで是正を求めます。命令にも従わなかった場合に、刑事罰の対象になる仕組みです。

違反の内容	個人への罰則	法人への罰則
個人情報保護委員会の命令に違反	1年以下の拘禁刑または100万円以下の罰金	1億円以下の罰金
個人情報データベースなどを不正な利益を図る目的で提供・盗用	1年以下の拘禁刑または50万円以下の罰金	1億円以下の罰金
委員会への報告をしない、または虚偽の報告をする	50万円以下の罰金	50万円以下の罰金

罰金の額だけを見ると、刑事罰は重くないように感じるかもしれません。けれども、命令違反で処罰されれば、その事実は報道などで広く知られることになります。

法人に対する罰金は、2020年の改正で大きく引き上げられたものです。2025年6月からは、懲役が拘禁刑に改められています。

民事上の損害賠償責任

刑事罰とは別に、漏えいなどで損害を受けた本人から、損害賠償を請求されることもあります。大規模な流出事件では、多数の被害者が集団で訴えを起こした例もあります。一人あたりの金額は小さくても、人数が多ければ事業者の負担は重くなります。

従業員個人が責任を問われる場合

社員が顧客名簿を持ち出して名簿業者に売ったような事件では、会社だけでなく、その社員個人も刑事責任を問われます。データベース提供罪は、まさにこうした行為を処罰するための規定です。会社としては、社員の不正でも監督責任を問われ得るため、アクセス記録の管理や退職時の手続きを整えておく必要があります。

社会的信用の低下も見過ごせません。取引先からの信頼を失い、罰金よりも大きな損失を被るケースは少なくありません。

2026年の改正で何が変わるのか

個人情報保護法には、3年ごとに制度を見直す規定があります。この見直しに基づく改正法が、2026年7月10日に成立し、7月17日に公布されました。施行は、公布の日から2年以内の政令で定める日とされています。

課徴金制度の導入

今回の改正で最も注目されているのが、課徴金制度の新設です。多数の本人に関わる悪質な違反、たとえば不正な取得や違法な第三者提供などによって事業者が利益を得た場合、その利益に相当する額を国が納付させる仕組みです。これまでの「命令に従わなければ罰則」という段階的な対応に加え、違反で得た利益そのものを取り上げる手段が加わります。

課徴金は刑事罰とは違い、裁判を経ずに行政の手続きで課されます。対象となるのは、多数の本人に影響する違反で、事業者が違反によって利益を得ている場合です。単純なミスによる漏えいが直ちに課徴金の対象になるわけではありませんが、違反の実態しだいで大きな金銭負担が生じ得る点は、経営上のリスクとして認識しておくべきでしょう。

データの利活用に関する緩和

一方で、統計の作成や人工知能の開発などを目的とする場合に、一定の条件のもとで本人の同意なくデータを利用できる特例が設けられます。個人を特定した使い方をしないことが前提で、利活用を後押しするための改正です。

罰則の強化

悪質な違反を繰り返す事業者への刑事罰も強化され、法人に対する罰則の引き上げも盛り込まれました。課徴金とあわせて、違反に対する抑止力を高める方向の改正です。

こどもや生体情報の保護の強化

16歳未満のこどもの個人情報について、保護を強める規定が設けられます。顔の特徴データなどの生体に関する情報についても、新たなルールが加わりました。具体的な運用は、今後定められる政令や規則で明らかになっていきます。

施行までに事業者が準備しておきたいこと

施行まで時間があるとはいえ、体制づくりには時間がかかります。課徴金の対象になるのは悪質な違反ですが、「悪質ではない」と説明できる記録を日ごろから残しておくことが、何よりの備えになります。

まずは、自社がどんな個人情報を、どこから取得し、誰に渡しているのかを一覧にしてみてください。そのうえで、同意の取り方や第三者提供の記録が現行法に沿っているかを点検します。こどもの情報や顔画像を扱う事業者は、改正に向けて特に早めの確認が必要でしょう。

個人情報を悪用・流出されたときの対処法

ここからは、被害を受けた側の視点でお話しします。勝手に名簿を売られていた、退会したのに勧誘の電話が止まらない、流出した情報で詐欺のメールが届くようになった。こうした相談は後を絶ちません。

まずは事業者に説明と対応を求める

自分の情報をどこから入手したのか、事業者に問い合わせてみましょう。取得の経緯を答えさせることで、不正な流通の元が分かることもあります。そのうえで、利用停止や消去を請求します。電話でのやり取りだけでなく、書面かメールで請求して記録を残してください。

具体例を挙げてみます。あるご家庭に、子どもの学年と名前を知ったうえで学習教材の勧誘電話がかかってくるようになりました。心当たりのない会社です。この場合、まず電話をかけてきた会社に、どこから情報を得たのかを尋ねます。答えによっては、情報を売った名簿業者や、流出元の事業者までたどれることがあります。

公的な相談窓口を使う

事業者が誠実に対応しない場合は、個人情報保護委員会の相談窓口に相談できます。委員会は個別の紛争を解決する機関ではありませんが、事業者の取り扱いに問題があれば、指導や勧告につながることがあります。詐欺的な勧誘が絡んでいるなら、消費生活センターへの相談も有効です。

二次被害を防ぐためにできること

情報が流出したと知らされたら、被害が広がらないよう、自分でもできる対策をとっておきましょう。

• 同じパスワードを使っている他のサービスのパスワードを変更する
• クレジットカードの利用明細をこまめに確認する
• 流出元を名乗るメールや電話には、記載された連絡先ではなく公式の窓口で確認する
• 身に覚えのない請求や勧誘は、その場で応じず記録を残す

流出をきっかけにした詐欺では、「お詫びとして返金します」などと言って口座番号を聞き出す手口もあります。事業者の公式発表と食い違う連絡には、十分に警戒してください。

損害賠償を請求する

流出や悪用によって精神的苦痛や経済的な損害を受けた場合、事業者に損害賠償を請求できる可能性があります。認められる金額は、流出した情報の種類、二次被害の有無、事業者の対応の誠実さなどによって変わります。病歴のような要配慮個人情報が流出したケースでは、より重く評価される傾向にあります。

弁護士に相談するメリット

「この程度で弁護士に相談してよいのか」と迷う方もいるでしょう。個人情報の問題は、早い段階で方向性を決めるほど、対応の選択肢が多く残ります。

個人情報をめぐるトラブルは、法律の条文が細かく、改正も頻繁です。本人の立場でも事業者の立場でも、判断を誤ると取り返しのつかない結果になりかねません。

被害を受けた方の場合

自分で請求しても「確認します」と言われたまま返事がない、というご相談は多いものです。弁護士名義の書面で請求すると、事業者の側も法的な対応が必要だと受け止め、回答が早まる傾向があります。

弁護士は、事業者への開示請求や利用停止請求を代理で行い、応じなければ訴訟に進めます。流出の経緯を調べる過程で、不正な名簿業者の存在が明らかになることもあります。インターネット上に個人情報がさらされている場合は、削除請求や投稿者の特定とあわせて対応できます。

事業者の場合

事業者にとっては、平時の体制づくりから、漏えいが起きたときの初動、委員会への報告、本人への通知文の作成、被害者との交渉まで、弁護士が関与できる場面は数多くあります。とくに漏えい直後は、限られた時間の中で報告と調査を並行して進めなければなりません。あらかじめ相談できる弁護士を決めておくことが、いざというときの備えになります。

• プライバシーポリシーや社内規程の整備
• 委託先との契約書の見直し
• 漏えい時の報告書と通知文の作成
• 被害者からの請求への対応

相談するタイミング

被害を受けた方は、事業者の対応に納得がいかないと感じた時点が相談のタイミングです。事業者の方は、漏えいのおそれに気づいた直後に相談するのが理想といえます。速報の期限は短いため、社内の調査が終わるのを待っていると間に合いません。

よくある質問

亡くなった人の情報も個人情報にあたりますか

個人情報保護法が対象とするのは、生存する個人の情報です。そのため、亡くなった方の情報は原則として対象外になります。ただし、亡くなった方の情報が遺族の情報でもある場合は、遺族の個人情報として保護されることがあります。

防犯カメラの映像は個人情報ですか

特定の個人を識別できる映像であれば、個人情報にあたります。店舗などで防犯カメラを設置する場合は、撮影していることを掲示などで知らせるのが一般的です。顔の特徴を抽出して照合する顔認証システムを使う場合は、2026年改正で設けられる生体情報のルールにも注意が必要です。

名刺交換で受け取った名刺も対象になりますか

名刺に書かれた氏名や連絡先は個人情報です。受け取った名刺を名刺管理のソフトなどで整理し、検索できるようにしていれば、個人データとして安全管理の義務がかかります。机の引き出しに入れているだけの状態とは、扱いが変わってくる点に気をつけてください。

ネットに住所や電話番号をさらされた場合も個人情報保護法で対処できますか

個人がSNSや掲示板に他人の住所を書き込んだ場合、書き込んだ本人は多くのケースで個人情報取扱事業者にあたりません。この場合はプライバシー侵害として、サイト運営者への削除請求や、投稿者への損害賠償請求で対処するのが基本になります。

個人事業主やフリーランスも対象になりますか

対象になります。個人事業主であっても、顧客の連絡先をまとめた一覧などを事業に使っていれば、個人情報取扱事業者にあたります。取り扱う件数が少なくても例外はないため、最低限の安全管理と、利用目的の明示は行っておきましょう。

メールアドレスだけでも個人情報になりますか

アドレスに氏名や勤務先が含まれていて、誰のものか分かる場合は、それだけで個人情報にあたります。英数字の羅列で本人が分からないアドレスでも、事業者が顧客名簿などと照合できるなら、やはり個人情報として扱われます。単体では判断できないと考え、慎重に扱うのが無難です。

勤務先が従業員の健康診断の結果を上司に伝えるのは違法ですか

健康診断の結果は要配慮個人情報にあたります。会社は安全配慮のために必要な範囲で扱うことはできますが、業務上の必要がない人にまで広く共有するのは問題です。どの範囲で誰が見られるのかを、社内のルールで明確にしておくことが求められます。