個人情報保護法の2026年改正で最も大きな変更は、この法律に初めて課徴金制度が導入されることです。

ただし課徴金納付命令の対象は、行為類型・対価の取得・相当の注意・対象者の数という複数の要件で絞られており、規律の対象になることとは別に判断する必要があります。

本記事では、課徴金の対象になる要件・規模を問わず確認すべき3つの変更・施行時期と先行して施行される罰則を解説します。

• 2026年の個人情報保護法改正で何が変わるのか
• 変わるのは課徴金の新設と、実務に効く3つのルール
• 規模の小さい事業者も規律の対象からは外れない
• 初めて導入される課徴金は、どんな事業者が対象になるのか
• 対象になるのは4つの行為類型に限られる
• 対価として金銭を得ていない場合や対象者が1,000人以下の事案は対象にならない
• 自ら報告すれば半額、繰り返せば1.5倍になる
• 規模を問わず確認しておきたい3つの変更
• 顔の特徴を扱うなら「特定生体個人情報」の周知が義務になる
• 16歳未満の個人情報は法定代理人が同意や通知の相手になる
• 名簿を渡す側に提供先の身元と利用目的を確認する義務が入る
• いつから始まるのか、罰則の一部は先に施行される
• 本体の施行日を定める政令は未公布で、日付は公表されていない
• 罰則の引上げと不正取得罪は公布から6か月を経過した日に施行される
• 施行までにfreeeで従業員の個人情報の管理を整える
• まとめ
• よくある質問

2026年の改正は、初の課徴金制度の新設に加え、顔の特徴データやこどもの個人情報に関する規律の強化を含みます。実務に関わる変更の中身と、規律の対象になるかどうかの基準を確認します。

今回の改正で変わる点は、実務単位で4つに整理できます。

改正対象は個人情報保護法だけでなく、マイナンバー法や医療分野の匿名加工医療情報等に関する法律も同時に改正されます。マイナンバー法のこれまでの改正内容は「マイナンバー法の一部改正で何が変わる？ 変更内容から国民への影響まで解説」で解説しています。

個人情報保護法は令和2年改正（2022年4月全面施行）でも大きく見直されており、今回はそれに続く改正です。

【関連記事】
【2022年施行】個人情報保護法改正で何が変わった？ポイントをわかりやすく解説

個人情報保護法は、個人情報データベース等を事業の用に供する者を「個人情報取扱事業者」と定義しています。除外されるのは国の機関・地方公共団体・独立行政法人等・地方独立行政法人の4者だけで、従業員数や売上高による線引きはありません。

顧客名簿や従業員名簿を検索できる形で業務に使えば、ひとりで営む事業でも個人情報取扱事業者に当たります。

規律の対象になることと、課徴金を科されることは別です。

初めて導入される課徴金は、違反したすべての事業者に科されるわけではありません。条文は対象行為を絞り込んだうえで、複数の要件を重ねています。

課徴金納付命令の対象は、改正法第148条の3が定める行為に限られます。個人情報保護委員会は、不適正な利用の禁止・適正な取得・第三者提供の制限・統計作成等の特例に違反する4つの行為に整理しています。

典型は、違法な行為を行うことが想定される第三者へ個人情報を渡し、その対価を得る行為です。

ただし漏えい時は、個人情報保護委員会への報告義務や本人への通知義務の要否が問われます。そのうえで勧告・命令があり、命令に従わない場合等に罰則が及びます。

課徴金の対象外でも、責任を問われないわけではありません。

対象行為をしただけでは、課徴金を科されません。

課徴金が必要とされたのは、現行法では勧告・命令を受けたあとに違反行為をやめれば、そこから得た経済的利得をそのまま持ち続けられるためです。

同条は、違反行為を防止する相当の注意を怠った者でないと認められる場合を除外しています。

加えてただし書は「本人の数が千人を超えないときその他個人の権利利益を害する程度が大きくない場合として政令で定めるときは、その納付を命ずることができない」と定めています。対象者が1,000人以下の事案では、課徴金納付命令を出せません。

＜課徴金納付命令の要件＞

表の最後の要件のうち政令で定める内容は未定のため、4つの要件を満たしても必ず課徴金の対象になるとは限りません。

課徴金額は、得た金銭等に相当する額として政令で定める方法で算定され、1万円未満の端数は切り捨てられます。

課徴金額には減額と加算の仕組みがあります。

事業者が対象事実を自ら個人情報保護委員会へ報告すると、算定額の50%相当が減額されます。ただし、調査があったことで課徴金納付命令があるべきことを予知してした報告は対象外です。

一方、調査開始日から遡る10年以内に確定した課徴金納付命令を受け、その命令日以後も同じ対象行為をしていた場合は、算定額の1.5倍が命じられます。

課徴金は限られた事業者にしか及びませんが、規模を問わず確認しておきたい実務変更が3つあります。該当するのは、顔の特徴を扱う場面・16歳未満から情報を受け取る場面・名簿を渡す場面です。

改正法は「特定生体個人情報」という区分を新設します。

取り扱うときは、あらかじめ本人へ通知するか、本人が容易に知り得る状態に置くことが義務づけられます。周知項目は、事業者の氏名または名称・住所・代表者の氏名、特定生体個人情報を取り扱うこと、利用目的など6項目です。

顔認証で入退室や出退勤を管理している場合、政令の確定後にこの周知義務が及ぶかを確認する必要があります。

16歳未満の個人情報を取り扱う場合、同意取得や利用目的の通知などの規定にある「本人」を「本人の法定代理人」と読み替える規定が新設されます。

例外は3つです。事業者が16歳未満だと知らないことに正当な理由がある場合・法定代理人が本人の営業を許可し、その営業に関して取得した場合・本人に法定代理人がいない場合です。

塾・習い事・オンラインサービスなど16歳未満から直接情報を受け取る事業では、同意や通知の相手を切り替える準備が必要です。

従業員から個人情報を受け取る場面の全体像は「採用後の入社手続きまとめ！必要書類・保険の加入・税金までをわかりやすく解説」で解説しています。

オプトアウト制度は、本人の求めに応じた提供停止などを条件に、本人の同意なく個人データを第三者へ渡せる仕組みです。改正後、提供元はこの制度で個人データを渡す前に、提供先の氏名または名称・住所・代表者の氏名・利用目的を確認しなければなりません。

提供先にも確認事項を偽らない義務が課され、違反すると10万円以下の過料の対象です。

この確認義務の背景には、オプトアウト制度で提供された個人データが闇名簿の情報源のひとつになっているという指摘があります。

名簿を買う側も受け取るだけでは済まず、自社の身元と使いみちを提供元へ示す必要があります。

改正法は令和8年7月10日に成立し、7月17日に公布されました。本体の施行日は未定ですが、罰則の一部は先に施行されます。

改正法附則第1条は、施行日を「公布の日から起算して二年を超えない範囲内において政令で定める日」としています。政令は未制定で、具体的な日付は未公表です。

個人情報保護委員会は、事業者への影響の大きさから、施行まで十分な期間を確保する方針を示しています。

同委員会のロードマップでは、政令の意見募集と公布は2027年前半、ガイドラインとQ&Aの公表は2027年春ごろ、改正法の施行は2028年春から7月に置かれています。

附則第1条第3号の改正は、本体の施行を待たず「公布の日から起算して六月を経過した日」に施行されます。

個人情報取扱事業者とその役員・従業者・元従業者が、業務で扱った個人情報データベース等を不正な利益を図る目的で提供・盗用した場合の法定刑は、1年以下の拘禁刑または50万円以下の罰金から、2年以下の拘禁刑または100万円以下の罰金へ引き上げられます。

同時に、人を欺く行為や不正アクセス行為などによる個人情報の取得行為を対象にした不正取得罪が新設されます。法定刑は2年以下の拘禁刑または100万円以下の罰金です。

従業者が個人情報データベース等を不正提供した法人には、1億円以下の罰金刑を科す両罰規定が引き続き置かれます。

課徴金や周知義務の準備には最長2年の猶予がある一方、従業員による名簿持ち出しへの罰則は、公布から半年ほどで先に強化されます。

施行までにできる準備のひとつが、従業員の個人情報をどこで管理し、誰が閲覧できるかを整理することです。

freee人事労務では、従業員に自分のアカウントを発行し、本人情報・家族情報・緊急連絡先・振込先口座などを本人に入力してもらえます。

操作範囲はカスタム権限で設定できます。［設定］メニュー→［権限管理］→［カスタム権限の作成］で利用機能を組み合わせたロールを作り、「給与は閲覧のみ」「勤怠のみ編集可能」などの単位で決められます。

カスタム権限はスタータープラン以上の機能のため、契約中のプランで利用できるかを先に確認する必要があります。

特定生体個人情報の範囲のように、政令やガイドラインを待たないと判断できない部分も残っています。今回の改正のように今後細部が固まっていく制度改正は、freee法対応ガイドで継続的に確認できます。

個人情報保護法の2026年改正は、令和8年7月17日に公布されました。初の課徴金は行為類型・対価の取得・相当の注意・対象者の数という要件で絞られ、政令による追加の絞り込みも今後定まります。

規律の対象に事業規模は関係しません。

本体の施行日は公布から2年以内の政令で決まり、まだ公表されていません。ただし罰則の引上げと不正取得罪は、公布から6か月を経過した日に先行して施行されます。

個人情報データベース等を事業の用に供すれば、規模を問わず個人情報取扱事業者に当たります。法律上の除外は国の機関・地方公共団体・独立行政法人等・地方独立行政法人の4者だけです。

詳しくは「規模の小さい事業者も規律の対象からは外れない」で解説しています。

課徴金の対象は4つの行為類型に限られ、安全管理措置の不備による漏えいは含まれません。ただし漏えい等報告や本人通知の要否の判断、勧告・命令は別に働きます。

詳しくは「初めて導入される課徴金は、どんな事業者が対象になるのか」で解説しています。

本体の施行日は公布から2年以内の政令で定められ、現時点では未公表です。罰則の引上げと不正取得罪は、公布から6か月を経過した日に施行されます。

詳しくは「いつから始まるのか、罰則の一部は先に施行される」で解説しています。

特定生体個人情報に当たれば、事業者名や利用目的など6項目をあらかじめ本人へ通知するか、本人が容易に知り得る状態に置く義務が生じます。具体的な範囲は政令で定められる見込みで、現時点では未確定です。

詳しくは「規模を問わず確認しておきたい3つの変更」で解説しています。