日本个人信息保护法等部分修订法（令和8年法律第56号）

日本《个人信息保护法等部分修订法》（令和8年法律第56号）于2026年7月10日经第221届国会（特别会）通过，2026年7月17日公布。该法是日本《个人信息保护法》（平成15年法律第57号，APPI）2003年制定以来的第五次重大修订，也是2020年修法确立"三年定期审查"机制后的首次系统性调整。 修订以"数据合理利用与个人权利保护平衡"为核心，呈现"规则松绑与监管强化"双向特征，形成四大支柱： 一、推进数据合理利用（适正なデータ利活用の推進） 1. 创设"统计作成等"特例：个人数据等的第三方提供、公开的要配虑个人信息（敏感信息）的取得，若仅用于统计信息制作等（明确包含AI开发），可豁免本人同意（第30条之2、第31条之3）。配套持续公开义务、书面合意、目的外利用禁止、再提供禁止等防溢流机制。 2. 合同履行必要场景豁免同意：从个人信息取得状况看明显不违背本人意愿、明显不损害本人权利利益的第三方提供、目的外利用、要配虑个人信息取得，无需同意（第16条第9项、第18条第3项、第20条第2项、第27条第1项）。 3. 放宽"难以取得同意"要件：生命身体财产保护、公衆衛生向上等例外，由"难以取得本人同意"放宽为"难以取得同意或有其他相当理由不取得同意"。 4. 扩大学术研究例外主体：明确将《医疗法》规定的医院及其他以提供医疗服务为目的的机关或团体纳入"学术研究机关等"。 二、高风险场景规制强化（リスクに適切に対応した規律） 1. 未成年人保护：处理未满16周岁未成年人个人信息时，同意取得、通知等义务原则上以法定代理人为对象（第35条第9项、第10项、第40条之2）；放宽未成年人使用停止等请求权要件；新设"未成年人最善利益优先考量"责务规定（第58条之3）。 2. 特定生物识别个人信息：新设"特定生体個人情報"（如面部特征数据）类型，处理者负有特定事项事前周知义务、放宽本人使用停止请求权，并禁止适用opt-out第三方提供制度（第21条之2、第27条第2项、第35条第7项、第8项）。 3. 委托处理规则明确化：受托方原则上不得超出受托业务必要范围处理受托个人信息（第30条之3、第58条之2）。 4. 泄露通知义务合理化：本人权利利益保护不足风险极低时，缓和本人通知义务（第26条第2项）。 5. 数据处理的委受托监督义务见直し。 三、不当利用防止（不適正利用等防止） 1. 新设"可联系个人相关信息"（連絡可能個人関連情報）概念，禁止不适当利用及以欺诈等不正当手段取得（第31条之2）。 2. opt-out（选择退出）第三方提供制度中，新增提供前身元及利用目的确认义务（第27条第7项）。 四、规训遵守实效性确保（規律遵守の実効性確保のための規律） 1. 放宽命令要件，可对本人进行事实通知或公布等必要措施作出劝告、命令（第148条）。 2. 新设对辅助违反行为的第三方请求中止措施的根据规定（第148条之2）。 3. 提高个人信息数据库等不正当提供的法定刑，新设以欺诈手段不正取得个人信息的罚则（第178条～第180条）。 4. 引入课征金制度：对具有经济诱因、大量处理个人信息的恶性违反行为，可命令缴纳相当于违法所得财产利益的课征金（第148条之3～第148条之17）。 施行期日：除部分条款外，自公布之日（2026年7月17日）起2年内以政令规定之日施行；罚则整理、公示送达数字化等部分规定自公布后6个月（2027年1月17日）先行施行。 立法背景：本次修订源于2020年修订法附则第10条的"三年定期审查"机制，回应《经济财政运营与改革基本方针2025》《数字社会实现重点计划》《数据利活用制度基本方针》（均于2025年6月13日内阁会议决定）及《人工智能基本计划》（2025年12月23日内阁会议决定）的战略要求。 后续：个人信息保护委员会（PPC）已于2026年7月31日第364次委员会议决定《关于个人信息保护法等部分修订法律成立后个人信息保护委员会今后的工作方针》（含施行路线图），并于2026年8月26日第366次委员会议决定《政令・规则等规定事项的整体图景》，正推进配套政令、委员会规则与指南的制定。 【官方资料原文（个人情報保護委員会「個人情報保護法等の一部を改正する法律について」令和８年７月）】 令和８年７月 個人情報保護委員会事務局 個人情報保護法等の一部を改正する法律について これまでの検討経緯 令和５年 ９～10月 「改正個人情報保護法の施行状況について」公表 11月15日 「個人情報保護法いわゆる３年ごと見直し規定に基づく検討」公表 11月下旬～ 関係団体等ヒアリングを順次実施 令和６年 ２月21日 「個人情報保護法いわゆる３年ごと見直し規定に基づく検討項目」公表 ４月上旬～ 有識者ヒアリングを順次実施 ６月27日 「個人情報保護法いわゆる３年ごと見直しに係る検討の中間整理」公表（～７月29 日まで意見募集実施） ９月４日 「個人情報保護法いわゆる３年ごと見直しに係る検討の中間整理」に関する意見募集の結果・今後の検討の進め方公表 10月16日 「個人情報保護法のいわゆる３年ごと見直しの検討の充実に向けた視点」公表 12月17日 事務局ヒアリング（有識者、経済団体・消費者団体）の状況報告を実施 12月25日 「個人情報保護法のいわゆる３年ごと見直しに関する検討会報告書」公表 ※ 中間整理で掲げた検討事項のうち、課徴金制度及び団体による差止請求・被害回復制度について検討 令和７年 １月22日 「「個人情報保護法いわゆる３年ごと見直しに係る検討」の今後の検討の進め方について」公表 ２月５日 「個人情報保護法の制度的課題に対する考え方（案）について（個人データ等の取扱いにおける本人関与に係る規律の在り 方）」公表 ２月19日 「個人情報保護法の制度的課題に対する考え方（案）について（個人データ等の取扱いの態様の多様化等に伴うリスクに適 切に対応した規律の在り方）」公表 ３月５日 「個人情報保護法の制度的課題に対する考え方について」・「「個人情報保護法いわゆる３年ごと見直しに係る検討」の今後 の検討の進め方」に対して寄せられた意見の概要①公表 ４月16日 「「個人情報保護法いわゆる３年ごと見直しに係る検討」の今後の検討の進め方」に対して寄せられた意見の概要②公表 ６月13日 12月24日 「経済財政運営と改革の基本方針2025」、「デジタル社会の実現に向けた重点計画」、「データ利活用制度の在り方に関す る基本方針」、「新しい資本主義のグランドデザイン及び実行計画2025 年改訂版」等閣議決定 第12 回デジタル行財政改革会議（議事：１．デジタル行財政改革の今後の取組方針について２．意見交換）開催 令和８年 １月９日 「個人情報保護法いわゆる３年ごと見直しの制度改正方針」公表 ４月７日 ７月10日 「個人情報の保護に関する法律等の一部を改正する法律案」閣議決定 第221回国会において「個人情報の保護に関する法律等の一部を改正する法律」成立 【いわゆる３年ごと見直し規定】 〇個人情報の保護に関する法律等の一部を改正する法律（令和２年法律第44号）※令和４年４月１日全面施行 附 則 第十条 政府は、 この法律の施行後三年ごとに、 個人情報の保護に関する国際的動向、情報通信技術の進展、それに伴う個人情報を活用した新たな産 業の創出及び発展の状況等を勘案し、新個人情報保護法の施行の状況について検討を加え、必要があると認めるときは、その結果に基づいて所要の措置 を講ずるものとする。 1 ●経済財政運営と改革の基本方針2025（令和７年６月13日閣議決定） 第２章 賃上げを起点とした成長型経済の実現 3．「投資立国」及び「資産運用立国」による将来の賃金・所得の増加 （２）DXの推進 （デジタル行財政改革） 急激な人口減少に対応するため、利用者起点で我が国の行財政の在り方を見直し、デジタルを最大限に活用して公共サービスの維持・強化と地域経済 活性化を進め、社会変革を実現するため「デジタル行財政改革取りまとめ2025」に基づき取組を実行する。国民生活に密着し社会・経済的な重要性が高 い分野（教育、子育て、医療、介護、モビリティ、インフラ、防災等）について、利用者起点で規制・制度の見直しやデジタル活用を進めるとともに、国・地 方の共通基盤の整備を推進する。「データ利活用制度の在り方に関する基本方針」に基づき取組を加速し、データとＡＩの好循環を確立するとともに、横 断的な法制度について官民データ活用推進基本法の抜本的改正、新法など必要な検討を行い、次期通常国会への法案提出を目指す。これを下支えす る個人情報保護法の改正案についても、 早期に結論を得て提出を目指す。 ●規制改革実施計画（令和７年６月13日閣議決定） ３．投資大国 （１）健康・医療・介護 ２医療等データの包括的かつ横断的な利活用法制等の整備 b 個人情報保護委員会は、個人情報保護法が、いわゆる「一般法」として、医療等データを含めた個人情報の適正な取扱いを通じ個人の権利利益の保護を 図ってきたが、情報通信技術の進展、国際動向、利活用の実態等を踏まえて、同法を不断に見直す必要があることを踏まえ、以下の事項を検討し、結論を得 次第、速やかに同法の改正法案を国会に提出する。 ・同法における、①統計作成等、特定の個人との対応関係が排斥された一般的・汎用的な分析結果の獲得と利用のみを目的とした取扱いを実施する場合の本 人同意の在り方、②公衆衛生の向上等のために個人情報を取り扱う場合における同意取得困難性要件の在り方、③病院等による学術研究目的での個人 情報の取扱いに関する規律の在り方を含む、本人からの同意取得規制の在り方と必要なガバナンスの在り方。 ・同法の確実な遵守を担保するため、必要とされる事後的な規律を一体的に整備し、全体としてバランスの取れた法制度とすること。 政府方針① 2 政府方針② ●デジタル社会の実現に向けた重点計画（令和７年６月13日閣議決定） 第２重点政策一覧 ○[No.2-8] 個人情報保護法の見直し等 ・情報通信技術の急速な進展や国際的動向等を踏まえ、同意規制を含めた本人関与の在り方等の見直しとあわせ、適切な事後的規律を一体的に整備す る必要があることから、課徴金、命令、罰則等の様々な手法について、実効性や経済活動への不当な萎縮効果を避ける観点を含めた全体としてバランスの 取れた形での個人情報保護法の改正案について、早期に結論を得て提出することを目指す。 ・また、時代により変化する国内外における個人情報の保護・利活用の動向や関連の技術の動向等について今後とも的確に把握していくため、より包括的な テーマや個人情報保護政策全般について、「個人情報保護政策に関する懇談会」を通じて有識者やステークホルダーと継続的に意見交換を行う。 具体的な目標： ・同意規制を含めた本人関与の在り方等の見直しとあわせ、適切な事後的規律を一体的に整備する必要があることから、課徴金、命令、罰則等の様々な手法 について、実効性や経済活動への不当な萎縮効果を避ける観点を含めた全体としてバランスの取れた形での個人情報保護法の改正案について、早期に結論を 得て提出することを目指す。 ・「個人情報保護政策に関する懇談会」の開催を通じて、デジタル社会の進展やAIの急速な普及を始めとした技術革新、技術の社会実装に関する動向、国内 外における個人情報の保護・利活用に関する動向等を的確に把握する。 第５ データ利活用制度の在り方に関する基本方針 ３．データ利活用のための環境整備及び当面の分野横断的な改革事項 （４）信頼性の高いデジタル空間の構築 ④データ利活用の前提としての個人情報の適正な取扱いの確保 ○・・・データ処理が高度化・複雑化することでその実態が本人からも見えにくくなること等を踏まえ、個人が安心してデータを提供できる制度とその運用に 対する「信頼」が醸成されるよう、個人情報保護法の確実な遵守を担保するため、適切な事後的規律を上記見直しと一体的に整備する必要があるこ とから、課徴金、命令、罰則等の様々な手法について、個人の信頼を確保するとともに実効性や経済活動への不当な萎縮効果を避ける観点を含めた 全体としてバランスの取れた形での個人情報保護法の改正案について、早期に結論を得て提出することを目指す。 ○時代により変化する国内外における個人情報の保護・利活用の動向や関連の技術の動向等について今後とも的確に把握していくため、個人情報保 護委員会において、より包括的なテーマや個人情報保護政策全般について、「個人情報保護政策に関する懇談会」を通じて有識者やステークホルダー と継続的に意見交換を行う。 3 政府方針③ ●人工知能基本計画～「信頼できる AI」による「日本再起」～（令和７年12月23日閣議 決定） 第３章 ＡＩ関連技術の研究開発及び活用の推進に関し、政府が総合的かつ計画的に講ずべき施策 第１節 ＡＩ利活用の加速的推進 【具体的な取組】 （４）更なるＡＩ利活用に向けた仕組みづくり ④ 統計作成等であると整理できるＡＩ開発等の円滑化に資する本人同意の在り方や規律遵守の実効性確保等に ついて検討し、「個人情報の保護に関する法律」（平成 15年法律第57号）改正案の早期の国会提出を目指 す。【個人情報保護委員会】 ※このほか、下記においても記述あり。 ①統合イノベーション戦略2025（令和７年６月６日閣議決定） ②新しい資本主義のグランドデザイン及び実行計画2025年改訂版（令和７年６月13日閣議決定） 4 5 個人情報の保護に関する法律等の一部を改正する法律（概要） デジタル技術の急速な進展に伴い、個人情報を含むデータの利活用に対する需要が高まっている一方で、個人情報の違法な取扱いにより個人の権利利益が侵害されるリスクも 高まっている。これらを踏まえ、 「データ利活用制度の在り方に関する基本方針」（令和７年６月13日閣議決定）等に基づき、個人の権利利益の適切な保護を図るとともに、AI活 用にも資する円滑なデータ連携を促進するための所要の措置を講ずる。 趣旨 改正内容  個人データ等の第三者提供及び公開されている要配慮個人情報の取得について、統計情報等の作成（※）にのみ利用される場合は本人同意を不要とする。 ※ 統計作成等であると整理できるAI開発等を含む。(第30条の２、第31条の３)  目的外利用、要配慮個人情報取得及び第三者提供に関する規制について、 ・取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかな取扱いである場合は本人同意を不要とする。 ・生命等の保護又は公衆衛生の向上等のために取り扱う場合における同意取得困難性要件を緩和する。 ・学術研究例外の対象である「学術研究機関等」に、医療の提供を目的とする機関又は団体が含まれることを明示する。(第16条第９項、第18条第３項、第20条第２項、第27条第１項) １．適正なデータ利活用の推進  16歳未満の者が本人である場合、同意取得や通知等について当該本人の法定代理人を対象とすることを明文化し、当該本人の保有個人データの利用停止等請求の要件 を緩和するとともに、未成年者の個人情報等の取扱い等について、本人の最善の利益を優先して考慮すべき旨の責務規定を設ける。(第35条第９項、第10項、第40条の２、第58条の３)  顔特徴データ等について、その取扱いに関する一定の事項の周知を義務化し、利用停止等請求の要件を緩和するとともに、オプトアウト制度に基づく第三者提供を禁止する。 (第21条の２、第27条第２項、第35条第７項、第８項)  データ処理等の委託を受けた事業者について、委託された個人データ等の適正な取扱いに係る義務の見直しを行う。(第30条の３、第58条の２)  漏えい等発生時について、本人の権利利益の保護に欠けるおそれが少ない場合は、本人への通知義務を緩和する。(第26条第２項) ２．リスクに適切に対応した規律  個人情報ではないが、特定の個人に対する働きかけが可能となる情報について、不適正利用及び不正取得を禁止する。(第31条の２)  本人の求めにより提供を停止すること等を条件に同意なく第三者提供を可能とする制度（オプトアウト制度）について、提供先の身元及び利用目的の確認を義務化する。 (第27条第７項)  速やかに違反行為の是正を求めることができるよう命令の要件を見直し、さらに、本人に対する違反行為に係る事実の通知又は公表等の本人の権利利益の保護のために 必要な措置をとるよう勧告・命令することも可能とする。 (第148条)  違反行為を補助等する第三者に対して当該違反行為の中止のために必要な措置等をとるよう要請する際の根拠規定を設ける。(第148条の２)  個人情報データベース等の不正提供等に係る罰則について加害目的の提供行為も処罰対象とするとともに法定刑を引き上げ、また、詐欺行為等により個人情報を不正に 取得する行為に対する罰則を設ける。(第178条～第180条)  経済的誘因のある、大量の個人情報の取扱いによる悪質な違反行為を実効的に抑止するため、重大な違反行為により個人の権利利益が侵害された場合等について、当 該違反行為によって得られた財産的利益等に相当する額の課徴金の納付を命ずることとする。(第148条の３～第148条の17 ) ３．不適正利用等防止 ４．規律遵守の実効性確保のための規律 ※ その他、公的部門に対する規律、「行政手続における特定の個人を識別するための番号の利用等に関する法律」及び「医療分野の研究開発に資するための匿名加工医療情報及び 仮名加工医療情報に関する法律」においても、所要の措置（16歳未満の者の個人情報等の取扱い等）を講ずる。 原則として公布の日から起算して２年を超えない範囲内 施行期日 第１１統計作成等  現行規定では、信仰・病歴・犯罪歴などの差別につながり得る情報（要配慮個人情報）の取得（法第20条第2項）、個人デー タの第三者への提供（法第27条第1項）等については、例外規定に該当する場合を除き、本人の同意が必要。 個人情報取扱事業者 （第三者提供） 個人情報取扱事業者 （Webスクレイピング等による 要配慮個人情報取得） 個人情報取扱事業者 （第三者提供） AI開発等の「統計情報等の作成」 AI開発等の「統計情報等の作成」 統計情報等の作成(*１)にのみ利用されることが担保されていること等を条件に、本人同意なき個人データ等の第三者提供(*２)及び 公開されている要配慮個人情報の取得を可能とする(*３) 。また、行政機関等の取り扱う保有個人情報についても同様に、利用目的 以外の目的のための提供に係る「統計の作成」の例外規定の対象を、統計情報等の作成に拡大する。 *１統計作成等であると整理できる AI 開発等を含む。 *２当初に特定した利用目的（法第17条）の達成に必要な範囲を超える第三者提供を含む。また、当該提供により提供先が本人同意なく要配慮個人 情報を取得することも可能とする。 *３具体的な対象範囲や公表事項等は、制度が円滑に運用されるよう、改正の趣旨を踏まえつつ、委員会規則等で定めることを想定。 一定の事項の公表（氏名・名称（取得者〔要配慮個人情報取得〕/提供元・提供先〔第三者提供〕）、行おうとする「統計情報等の作成等」の内容等） 「統計情報等の作成」のみを目的とした提供である旨の書面による提供元・提供先間の合意〔第三者提供〕 取得者及び提供先は目的外の利用及び第三者提供が禁止される〔要配慮個人情報取得(*４) 、第三者提供〕等 「統計情報等の作成」にのみ利用されることを担保するための規律 *４「取得者」が、本例外規定に基づき第三者提供をすることは可能。 統計情報等の作成のために複数の事業者が持つデータを共有し横断的に解析するニーズが高まっている。 特定の個人との対応関係が排斥された統計情報等の作成や利用はこれによって個人の権利利益を侵害するおそれが少ない。 6 第１２（１）取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかな取扱い 個人情報取扱事業者 （ホテル予約サイトA） 第三者 （ホテルB） 個人データの第三者提供等(*１)が、当該個人データの取得の状況からみて本人の意思に反しないため本人の権利利益を害しないこ とが明らかである場合(*２)について、本人の同意を不要とする。 個人情報取扱事業者 （送金元金融機関C） 第三者 （送金先金融機関D）  現行規定では、個人データの第三者への提供（法第27条第1項）等については、例外規定に該当する場合を除き、本人の同意 が必要。 *１個人情報の当初の目的外の利用（法第18条第3項）、信仰・病歴・犯罪歴などの差別につながり得る情報（要配慮個人情報）の取得（法第20条第２項）も含む。 *２具体的な対象範囲は、制度が円滑に運用されるよう、改正の趣旨を踏まえつつ、委員会規則等で定めることを想定。 予約者の氏名等 送金者の情報 （第三者提供） 〔予約サイトの利用契約〕 （第三者提供） 〔Dへの支払いの委託〕 想定事例１【ホテル予約】 想定事例２【海外送金】 予約者 送金者  このような場合に行われる個人データの第三者提供は、契約の履行のために不可欠なものであり、 本人の意思に反しないため本人の権利利益を害しないことが明らかといえると考えられる。  このような場合においても、現行規定では、本人から同意を取得する必要がある 7 第１２（２）生命等の保護又は公衆衛生の向上等のために個人情報を取り扱う場合における同意取得困難性要件 個人情報取扱事業者 「本人の同意を得ることが困難であるとき」のみならず、 「その他本人の同意を得ないことについて相当の理由(*)があるとき」 についても、本人からの同意取得を不要とする。  現行規定では、個人情報の当初の目的外の利用（法第18条第3項）、信仰・病歴・犯罪歴などの差別につながり得る情報（要 配慮個人情報）の取得（法第20条第2項）、個人データの第三者への提供（法第27条1項）については、原則、本人から同 意を取得することが必要。  生命・身体・財産の保護のために必要がある場合（生命身体財産例外）、又は、公衆衛生の向上・児童の健全な育成の推 進のために特に必要がある場合（公衆衛生等例外）には本人同意が不要となり得るが、いずれの場合も「本人の同 意を得ることが困難であるとき」という要件を満たす必要がある。 （第三者提供） 第三者 人の生命、身体又は財産の保護のために必要がある（生命身体財産例外）又は 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある（公衆衛生等例外） 本人の同意を得ることが困難 （要配慮個人情報取得） （目的外利用） * （公衆衛生の向上等のために特に必要である一方で、）本人のプライバシー等の侵害を防止するために必要かつ適切な措置（氏名等の削除、提供先 との守秘義務契約の締結等）が講じられているため、当該本人の権利利益が不当に侵害されるおそれがない場合等を想定。 具体的な事例については、制度が円滑に運用されるよう、改正の趣旨を踏まえつつ、ガイドライン等において明確化することを想定。 【現行規定】  事業者・本人の同意取得手続に係る負担を軽減し、  個人情報のより適正かつ効果的な活用及びより実効的な個人の権利利益の侵害の防止につなげる。 8 第１２（３）病院等による学術研究目的での個人情報の取扱い  現行規定では、個人情報の当初の目的外の利用（法第18条第3項）、信仰・病歴・犯罪歴などの差別につながり得る情報（要 配慮個人情報）の取得（法第20条第2項）、個人データの第三者への提供（法第27条1項）については、原則、本人から同 意を取得することが必要。  学術研究を目的としてこれらの行為を行う場合には、本人同意が不要となり得るが（学術研究例外）、当該例外が適用される主 体は、「学術研究機関等」(*１)のみであり、病院等は含まれていない。 *１「大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者をいう。」（法第16条第8項） （参考） • 「大学その他の学術研究を目的とする機関若し くは団体」：国公立・私立大学、公益法人等の研 究所等の学術研究を主たる目的として活動する 機関や「学会」 • 「それらに属する者」：国公立・私立大学の教員、 公益法人等の研究所の研究員、学会の会員等 （個人情報保護法ガイドライン（通則編）2-18） 「学術研究機関等」に、医療の提供を目的とする機関又は団体(*２)が含まれることを明示する。 *２例えば、病院や、その他の医療の提供を目的とする機関等（診療所等）が含まれることを想定。 具体的な対象範囲は、制度が円滑に運用されるよう、改正の趣旨を踏まえつつ、ガイドライン等において明確化することを想定。 大学付属病院 研究所 市中病院等  医学・生命科学の研究においては、研究対象となる診断 ・治療の方法に関する臨床症例の分析が必要不可欠。  病院等の医療の提供を目的とする機関又は団体による研究活動が広く行われている実態。 学術研究機関等に該当 学術研究機関等に 該当せず 学術研究例外に依拠可 学術研究例外に依拠不可 医学・生命科学の研究 9 第２１子供の個人情報の取扱いに関する規律 • 利用停止等請求 子 供 法 定 代 理 人  現行規定では、子供の個人情報の取扱い等に係る事業者の義務については、ガイドラインやQ&Aにおける記載(*1)のみ。 *1 「本人の同意」を得ることが求められている場面について、個人情報の取扱いに関して同意したことによって生ずる結果を未成年者が判断できる能力を有してい ないなどの場合は、親権者や法定代理人等から同意を得る必要があり（通則ガイドライン）、個別具体的に判断されるべきだが、一般的には、12歳から15歳まで の年齢以下の子供の場合には法定代理人等から同意を得る必要があるとされている（「個人情報の保護に関する法律についてのガイドライン」に関するQ&A（以 下「Q&A」という。））。  子供は、心身が発達段階にあるためその判断能力が不十分であり、個人情報の不適切な取扱いに伴う悪影響を受けやすい。 • 通知等(利用目的) • 同意取得(目的外利用、要配慮個人情報(*2)取得、第三者提供) 同意取得や通知等に係る規定に、法定代理人の関与を義務付け。 ・本人が16歳未満であることを事業者が知らないことについて正当な理由がある場合 ・法定代理人が本人の営業を許可しており、事業者が当該営業に関して個人情報を取 得した場合 ・本人に法定代理人がない又はそのように事業者が信ずるに足りる相当な理由がある 場合 例外 違法行為の有無等を問わない利用停止等請求を可能とする。 ・法定代理人の同意を得て取得された保有個人データである場合 ・要配慮個人情報の取得に係る例外要件と同種の要件に該当する場合 ・本人が16歳以上であると信じさせるために詐術を用いた場合 ・法定代理人が本人の営業を許可しており、事業者が当該営業に関して 保有個人データを取得した場合等 例外 年齢基準＝16歳未満(*3) *3 Q&A（Q1-62）、 欧州の一般データ保護規則（GDPR）8条  また、法定代理人の関与及び責務規定については、行政機関等についても同様の改正を行う。 *2 信仰・病歴・犯罪歴など、差別につながり得る個人情報 本人の最善の 利益を優先して 考慮しなければ ならない旨の責 務規定を設ける。 当該未成年者の年齢及び発達の程 度に応じて、その最善の利益を優先 して考慮した上で、未成年者の権利 利益を害することのないように必要な 措置を講ずるよう努めなければならな い旨の責務規定を設ける。 個人情報取扱事業者 10 第２２顔特徴データ等に関する規律  生体データのうち顔特徴データ等(*2)は、本人が関知しないうちに容易にそれゆえに大量に入手可能であり、一意性及び不変性が 高く特定の個人を識別する効果が半永久的に継続するため、取扱いが本人のプライバシー等の侵害につながる可能性がある(*３)。  現行規定では、原則として個人情報の利用目的を自社のホームページに掲載する等して公表することにより、生体データとしての 「個人識別符号」(*1)に該当するもの（顔特徴データを含む）も含め、事業者は個人情報を取得することが可能。  令和５年「犯罪予防や安全管理のための顔識別機能付カメラシステムの利用について」で掲示例等を公表しQ＆Aに一定の記載。 *1 特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字、番号、記号その他の符号であって、特定の個人を識別することができるもの。 *2 顔の骨格及び皮膚の色並びに目、鼻、口その他の顔の部位の位置及び形状から抽出した特徴情報を、本人を識別すること目的とした装置やソフトウェアにより、 本人を識別することができるようにしたものとすることを想定。 個人情報取扱事業者の名称・住所・代表者の氏名、 顔特徴データ等を取り扱うこと、顔特徴データ等 の利用目的、顔特徴データ等の元となった身体的特徴の内容、利用停止請求に応じる手続等の周知を 義務付ける。 一定の事項の周知(*5) ・周知により本人又は第三者の権利利益を害するおそれがある場合 ・周知により当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合 ・国又は地方公共団体の事務の遂行に協力する必要がある場合であって、周知により当該事務の遂行に 支障を及ぼすおそれがある場合等 *3 カメラ等の計測機器を複数の地点に設置して顔特徴データ等を入手してこれを名寄せに用することで、本人が関知し得ないまま行動を追跡することも可能。 *4 単なる顔写真ではなく、個人識別符号のうち顔特徴データを想定（具体的な範囲は政令以下で定めることを想定）。 *5 具体的な周知の方法は、制度が円滑に運用されるよう、改正の趣旨を踏まえつつ、委員会規則等で定めることを想定。 顔特徴データ等(*4)の適正な利活用を促すため、 透明性を確保した上で、本人関与の強化が必要ではないか。 個人情報 取扱事業者 顔画像 顔特徴量 10AF52B・・ データベース 個人情報取扱事業者 （第三者提供） （取得） 例外 オプトアウト制度に基づく 第三者提供は不可 とする 違法行為等の有無を問わず可能とする。 ・本人の同意を得て作成又は取得された 顔特徴データ等である場合 ・要配慮個人情報の取得に係る例外要件 と同種の要件に該当する場合等 利用停止等請求 例外 11 第２３個人情報取扱事業者等からデータ処理等の委託を受けた事業者に対する規律の在り方 （委託） 個人情報取扱事業者  現行規定では、個人データの取扱いの全部又は一部を委託する場合は、委託元は、その取扱いを委託された個人データの安全管 理が図られるよう、委託先に対する必要かつ適切な監督を行わなければならない（法第25条）。  具体的には、自らが講ずべき安全管理措置と同等の措置が講じられるよう、監督を行う必要がある（①適切な委託先の選定、②委託 契約の締結、③委託先における個人データ取扱状況の把握）。 個人データ等の取扱いについて、実質的に第三者に依存するケースが拡大。 委託元による委託先の監督等が十分に機能せず、委託先が委託された業務の範囲を超えて独自に個人データ等を利用する事案も生じている。 ●委託元（個人情報取扱事業者）が委託先を監督すること により適切な取扱いを担保。 ●委託先が個人情報取扱事業者である場合、委託先にも常 に法第４章の各義務規定の全てが適用。 取扱いを委託された個人データ等を当該委託を受けた業務の遂行に必要 な範囲を超えて取り扱ってはならない旨の義務を委託先に明文規定により 課す。 委託先が行政機関等である場合についても、同様の規律の整備を行う。 委託先としての義務 法令に基づく場合及び人命の救助、災害の救援その他非常の事態へ の対応のため緊急の必要がある場合には、例外的に委託先が独自の 判断で利用できることとすることを想定。 例 外 委託契約において、取扱いの方法の全部について合意し、かつ委託先にお ける取扱いの状況を委託元が把握するために必要な措置等(*2)について合 意した場合は、当該委託先に対しては、法第４章の各義務規定の適用を 原則として免除。 委託を受けた業務の遂行に必要な範囲を超えて取り扱ってはならない旨の 義務及び安全管理に係る義務は適用。 委託先自らは取扱いの方法を決定しないケース (*1)における 委託先の個人情報取扱事業者等としての義務の免除 *１委託先が委託元から指示された方法で機械的に個人データ等を取り扱うのみの場合（委託先がデータ入力作業を委託され、委託元の指示に従って機械的に入 力作業を行う場合等）。 *２漏えい等が生じたことを知ったときに委託先が委託元に対して速やかにその旨を報告すること等を想定しているが、その他の具体的な内容は、制度が円滑に運 用されるよう、改正の趣旨を踏まえつつ、委員会規則等で定めることを想定。 委託の実態に合わ せた規律の整備 委託先 12 第２４漏えい等報告・本人通知 個人情報取扱事業者 個人データの漏えい等  現行法上、個人情報取扱事業者は、報告対象事態（規則第７条）が発生した場合には、委員会への報告（法第26条第１ 項）義務を負うこととなる。報告は、速報及び確報に分けて行うこととされている。  また、漏えい等報告の義務を負うときは、本人への通知が困難な場合を除き、一律に本人への通知義務を負うこととなる。  個人の権利利益侵害が発生するリスク等に応じて、漏えい等報告や本人通知の範囲・内容の合理化を検討すべきではないか。  本人への通知が行われなくても本人の権利利益の保護に欠けるおそれが少ない場合があるのではないか。 個人情報保護委員会 サイバー攻撃対処能力強化法に基づく報告義務施行に併せて、共通様式 （ランサムウェア等）により報告が行われる場合の窓口を一元化する方向 でNCO（国家サイバー統括室）の下で所要の調整を(*2)進める。 体制・手順に係る認定個人情報保護団体などの第三者の確認を受けるこ と等を前提として、 • 一定の範囲で速報を免除することを可能とする。 • 漏えいした個人データに係る本人の数が１名である誤交付・誤送付のよ うなケースについては、委員会への報告のうち確報を、一定期間ごとに取り まとめた上で行うことを許容する。 違法な個人データの第三者提供についても報告対象事態にする。違法な第 三者提供については、行政機関等についても同様の改正を行うこととする。 本人への通知 漏えい等報告 本人への通知が行われなくても本人の権利利益の保護に欠けるおそれが 少ない場合 (*1)について、本人への通知義務を緩和し、代替措置による 対応を認めることとする。 行政機関等についても同様の改正を行うこととする。 *1 サービス利用者の社内識別子（ID）等、漏えいした情報の取得者において、そ れ単体ではおよそ意味を持たない情報のみが漏えいした場合などが想定。具 体的な対象範囲は、制度が円滑に運用されるよう、改正の趣旨を踏まえつつ、 委員会規則等で定めることを想定。 NCO 認定個人情報 保護団体等 体制・手順等 の確認 *2 報告基準についても整合性があるものとなるように整理を進める。 13 第３１特定の個人に対する働きかけが可能となる個人関連情報に関する規律 生存する個人に関する情報  個人関連情報(*1)については、一定の場合における第三者提供のみが規律の対象（提供元では個人データに該当しないが、提供先におい て個人データとなることが想定される個人関連情報の第三者提供について、本人同意が得られていること等の確認が、提供元に義務付けられている。）。  特定の個人に対して何らかの連絡を行うことができる記述等（電話番号、住所、メールアドレス、Cookie ID等を含む 情報）が含まれる情報については、個人情報に該当しない場合であっても、当該個人への連絡を通じて当該個人のプライ バシー、財産権等の権利利益の侵害が発生し得る。  当該記述等を媒介として秘匿性の高い記述等を含む情報を名寄せすることにより、プライバシー等が侵害されたり、上記連 絡を通じた個人の権利利益の侵害がより深刻なものとなったりするおそれがある。  上記の記述等が含まれる個人関連情報(*２)について、個人の権利利益の侵害につながる蓋然性の特に高い行為類型であ る不適正利用及び不正取得に限って、個人情報と同様の規律（これらの行為の禁止）を導入する。  また、上記のような記述等が含まれる仮名加工情報及び匿名加工情報(*３)についても同様の趣旨が当てはまることから、同 様の規律を導入する。さらに、行政機関等についても同様の改正を行う。 *２特定の個人の所在地（住居、勤務先等）、電話番号、メールアドレス、Cookie ID 等の記述等（これを利用して特定の個人に対して連絡を行うことができ るものに限る。）が含まれる個人関連情報等を規律の対象とする。 *３*２の記述等が含まれる仮名加工情報・匿名加工情報等を規律の対象とする。 *１電話番号、メールアドレス（氏名がアドレスに含まれないもの）、Cookie ID等に紐付いた、ある個人に関する情報は、他の情報と容易に照合することに より特定の個人を識別することができるような場合を除き、「個人情報」に該当しない。これらの情報は、「個人関連情報」とされる。 個人情報 • 電話番号 • 住所 • メールアドレス • Cookie ID 等 • 整理番号等 ※これらに紐付く個人に関する情報も含む 個人関連情報 特定の個人に対する働きかけが 可能となる記述 想定事例３ 想定事例２ メールアドレス 健康情報 事業者 (オンラインメンタルヘルスカウンセリングサービス) 治療支援目的のみに利用 （第三者提供しない）と 偽りの説明により取得 他の事業者 （第三者提供） メールアドレス 事業者 認証情報やクレジットカード情報等 フィッシングサイト 想定事例１ メールアドレス Cookie ID等 事業者 財産的被害 投資詐欺広告 （その後SNSなどへ誘導） 14 第３２オプトアウト制度に関する規律  現行規定では、個人情報取扱事業者は、原則として、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。 ただし、一定の要件(*1)を満たした場合には、本人の同意を得ることなく第三者に提供することができる（いわゆるオプトアウト届出制度）。 *1 第三者に提供される個人データについて、本人の求めに応じて提供を停止することとしている場合であって、その名称や住所、本人の求めを受け付ける方法等 について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、委員会に届け出たとき（法第27条第2項）。  いわゆる「闇名簿」問題が深刻化する(*2)中で、オプトアウト届出事業者である名簿屋が、法に違反するような行為に及ぶ者にも名 簿を転売する悪質な名簿屋に名簿を提供する事案が発生しており、オプトアウト制度に基づいて提供された個人データが「闇名簿」作 成の際の情報源の一つとなっている現状がある(*3) 。  オプトアウト届出事業者におけるこのような提供を未然に防ぐ観点からは、提供元が提供先における個人データの利用目的等をあらか じめ確認することが有用であると考えられるが、現行法下においては、提供元にこのような義務が課されていない。 *2 「SNSで実行犯を募集する手口による強盗や特殊詐欺事案に関する緊急対策プラン」（令和５年３月17日犯罪対策閣僚会議）においても、個人情報を悪用し た犯罪被害を防止するため、犯罪者グループ等に名簿を提供する悪質な名簿屋について、あらゆる法令を駆使した取締り等を推進することが求められている。 *3 法に違反するような行為に及ぶ者にも名簿を転売する名簿屋に対して名簿を販売する行為は、違法又は不当な行為を助長し、又は誘発するおそれがあり、 不適正な利用（法第19条）に該当し得る。 オプトアウト制度に基づく第三者提供時は、あらかじめ、当該第三者（提供先）の 身元（氏名又は名称、住所、代表者氏名）及び利用目的を確認しなければな らないこととする。 ・当該個人データを取得した時点において、当該個人データが本人、国の機関、 地方公共団体等によって公開されていたものである場合等 確認に係る事項を偽ってはならないこととする （違反時には過料の対象とする。）。 名簿事業者 （個人情報取扱事業者） 事業者 事業者 事業者 （オプトアウト制度に基づく 第三者提供） （取得） 例外 15 第４１・２勧告・命令等の実効性確保 個人情報取扱事業者 個人情報保護委員会 法に違反する取扱い 第三者 *１名簿の販売先が、法に違反するような行為を行う者にも名簿を転売する転売屋（ブローカー）だと名簿販売業者が認識していたにもかかわらず、 当該販売先に対し、意図的にその用途を確認せずに名簿を販売した事案など。 *２法第19条（不適正な利用の禁止）に違反して、犯罪者グループ等の違法行為を行う蓋然性が高い第三者に名簿が提供された場合など。 *３例えば、クラウドサービス事業者、サーバのホスティング事業者、検索サービス提供事業者など。 役務（サーバのホスティング等）提供停止 勧告・命令 【任意の要請の対象】 ・違反事業者に対して命令を発出した場合における、違反行為に 関与する第三者(*3)に対する任意の要請について、明確な根拠 規定を設けることとする。 ・第三者が要請に応じた場合に、当該違反事業者に対する損害 賠償責任を負わないこととする。 【命令（緊急命令）の要件】 個人の重大な権利利益が既に侵害されている場合（現 行法）に加え、個人の権利利益の侵害が切迫している 場合において、勧告を前置することなく命令（緊急命 令）を発出できるようにする(*1) 。 【勧告・命令の内容】 ・違反行為の中止その他違反を是正するために必要な措置 （現行法）に加え、本人に対する違反行為に係る事実の通 知又は公表その他の本人の権利利益の保護のために必要な 措置を勧告・命令の内容とすることができることとする(*２) 。 任意の要請 損害賠償の免責 × × 勧告・命令等の現状は以下のとおり。 （要件）勧告を経ることなく直ちに命令（緊急命令）が出せるのは、個人の重大な権利利益が既に侵害されている場合に限られている。 （内容）勧告・命令の内容は、違反行為の中止その他違反を是正するために必要な措置に限定されている 。 （対象）勧告・命令は、法の義務規定に違反した事業者自身に対してのみ発出することができる。 16 第４３悪質事案に対応するための刑事罰 条文番号 法定刑 拘禁刑 罰金刑 第176条(*1) ２年以下⇒３年以下 100万円以下⇒150万以下 第179条(*2) １年以下⇒２年以下 50万円以下⇒100万円以下 第180条(*3) １年以下⇒２年以下 50万円以下⇒100万円以下 第181条(*4) １年以下 50万円以下 第184条(*5) ー １億円以下  個人情報データベース等の不正提供等罪・保有個人情報の不正提供等罪（現179条・180条）について、「不正な利益を図る目 的」の提供行為に加えて、「損害を加える目的」での提供行為を対象に追加｡  新たに、詐欺行為や不正アクセス等により個人情報を不正取得した場合について、罰則規定を新設。  他の罰則規定との均衡を踏まえ、法定刑について適切な見直しを行う。 個人情報データベース等 又は保有個人情報の提供 「損害を加える目的」に基づく提供行為を 刑事罰の対象行為として追加する。 「不正な利益を図る目的」又は 「損害を加える目的」に基づく個人情報の取得 詐欺行為や不正アクセス行為その他の 個人情報を保有する者の管理を害する行為 について直罰の対象とする。 *1 行政機関等の職員等又は職員等であった者が、正当な理由がないのに、 個人の秘密に属する事項が記録された個人情報ファイル（その全部又は一 部を複製し、又は加工したものを含む。）を提供すること。 *2 個人情報取扱事業者（その者が法人等である場合にあっては、その役員 等）若しくはその従業者又はこれらであった者が、その業務に関して取り扱っ た個人情報データベース等（その全部又は一部を複製し、又は加工したも のを含む。）を自己若しくは第三者の不正な利益を図る目的で提供し、又は 盗用すること。 *3 行政機関等の職員等又は職員等であった者が、その業務に関して知り得た 保有個人情報を自己若しくは第三者の不正な利益を図る目的で提供し、又 は盗用すること。 *4 行政機関等の職員がその職権を濫用して、専らその職務の用以外の用に 供する目的で個人の秘密に属する事項が記録された文書等を収集すること。 *5 法人等の代表者又は法人等若しくは人の代理人、使用人その他の従業者 が、その法人等又は人の業務に関して、第179条等に掲げる違反行為をした ときにその法人等に対して罰金刑を科すもの。 個人情報データベース等の不正提供罪等 不正行為による個人情報の不正取得 法定刑の見直し 17 個人情報取扱事業者 法に違反する取扱い 本人 個人情報保護委員会 捜査機関 （刑事司法プロセス） 本人 本人 勧告・命令 刑事罰 民事上の請求 勧告・命令を受けて違反行為を中止 すれば経済的利得の保持が可能 違反行為への抑止としては限定的 課徴金納付命令 第４４課徴金の導入  課徴金は、違反事業者に対して金銭的不利益を課す行政上の措置であり、違反行為の経済的誘因を小さくすることにより、違反 行為を抑止することを目的として導入されるもの。  現行法上、違反事業者は勧告・命令等を受けた後に違反行為を中止すれば、違反行為から得た経済的利得をそのまま保持する ことが可能。また、現行法の直罰規定（＊1）は、違反行為を抑止する観点からは必ずしも十分でないとする指摘もある。 *１個人情報データベース等不正提供等罪（法第179条）及びこれに係る法人に対する両罰規定（法第184条）。  経済的誘因のある、大量の個人情報の取扱いによる悪質な違反行為を実効的に抑止するため、重大な違反行為により個 人の権利利益が侵害された場合等について、当該違反行為によって得られた財産的利益等に相当する額の課徴金の納付 を命ずることとする。 個人による請求に限界 （時間、費用等）、 事後的な被害回復は困難 18 個人情報取扱事業者 (３) 第三者提供の制限（法第27条第１項）違反 (１) 不適正な利用の禁止（法第19条）違反 (２) 適正な取得（法第20条第１項）違反 個人情報取扱事業者 個人情報取扱事業者 第三者 違法行為又は不当な差別 的取扱いを行うことが想定 される第三者への提供・当 該第三者のための利用 偽りその他不正の手段 により取得 ①対象行為 ②主観的要素 ③個人の権利利益の侵害 深刻な個人の権利利益の侵害につながる可能性が高く、緊急命令の対象となっている重要な規制に違反する行為類型を対象とし、さらに、国内外において 現実に発生しており、 かつ、剥奪すべき違法な収益が観念できるものに限定。 ④大規模事案 個人情報取扱事業者が対象行為を防止 するための相当の注意を怠っていない場合 か否かによって限定。 個人の権利利益が侵害され、又は侵害さ れる具体的なおそれが生じた場合に限定 （＝基本的に勧告等の対象となる事案に 限定）。 大規模な事案に限定（＝対象行為に係 る本人の数について1,000人を基準とす る）。 第４４課徴金納付命令の対象範囲 算定方法 対象行為又は対象行為をやめることから直接的に違法な収 益を獲得。 違反事業者が対象行為又は対象行為をやめることの対価とし て個人情報取扱事業者が得た金銭等の財産上の利益に相 当する額。 利用 個人情報取扱事業者 (４) 統計特例違反（目的外利用、第三者提供） 第三者 統計情報等の 作成以外の目的で 利用 特例に依拠せず 第三者提供 第三者 利用 提供 or 19 「統計情報等の作成」にのみ利用されることを担保するために想定される規律 一定の事項の公表（氏名・名称（取得者〔要配慮個人情報取得〕/提供元・提供先〔第三者提供〕）、行おうとする「統計情報等の 作成等」の内容等） 「統計情報等の作成」のみを目的とした提供である旨の書面による提供元・提供先間の合意〔第三者提供〕 取得者及び提供先は目的外の利用及び第三者提供が禁止される〔要配慮個人情報取得、第三者提供〕等 （参考）統計作成等の特例に関して課徴金の対象となり得る違反行為の例 個人情報取扱事業者 （第三者提供） 個人情報取扱事業者 （Webスクレイピング等による 要配慮個人情報取得） 個人情報取扱事業者 （第三者提供） AI開発等の統計情報等の作成 AI開発等の統計情報等の作成 提供先による 目的外利用・第三者提供 の禁止（＊２） 取得者による 目的外利用・第三者提供 の禁止(＊１) 提供元 による 公表 提供元・提供先間 の合意 提供先 による 公表 提供元 による 公表 取得者 による 公表 （＊２）違反行為の例 統計情報等の作成を目的として提供を受けた個人データを、 ・統計化等せずにそのまま第三者に販売していた場合 ・統計化等せずにそのまま顧客企業に対する広告配信サービ スの提供のために用いて利益を得ていた場合 （＊１）違反行為の例 統計情報等の作成のみを目的として取得した要配慮個人情報を、 ・統計化等せずにそのまま第三者に販売していた場合※ ・統計化等せずにそのまま顧客企業に対する広告配信サービスの提供 のために用いて利益を得ていた場合 ※本特例に依拠して第三者提供する場合を除く。 20 【补充资料：令和８年８月26日 第366回个人情報保護委員会「政令・規則等で定める事項の全体像について」】 令和８年８月26日 個人情報保護委員会事務局 個人情報の保護に関する法律等の一部を改正する法律 政令・規則等で定める事項の全体像について 政令・規則等で定める事項の全体像① 改正個人情報保護法（以下の表において、「法」という。）の施行に向け、政令・規則・ガイドライン等において 整備すべき、主な項目は以下のとおりとする。 なお、「個人情報の保護に関する基本方針（平成16年４月２日閣議決定）」についても必要な見直しを行う。 分類 テーマ 政令 委員会規則 ガイドライン・Q&A 適正な データ 利活用 の推進 統計作成等の特例 個人データ等の第三者提供及び公開されている 要配慮個人情報の取得について、統計情報等 の作成（※）にのみ利用される場合は本人同 意を不要とする （※）統計作成等であると整理できるAI開発等を 含む ― ・統計作成・AI開発等のうち個人の権利利益を害するお それが少ないものについて規定（法第２条第13項） ・特例に関する公表の内容及び方法、基準適合体制の 内容等について規定（法第30条の２第１項・第３項ただし 書・第５項本文・同項第１号・第７項ただし書・第13項、第 31条の３第１項第１号・第３項、第９項、第72条の３第３項 ただし書・第７項ただし書） 基本的な考え方や具体 事例等を提示 ＊特に、取り扱う必要が ある場合の考え方を含む 目的外利用、要配慮個人情報取得及び第三 者提供に関する規律 ― 取得の状況からみて本人の意思に反しないため本人の 権利利益を害しないことが明らかである場合について規 定（法第18条第３項第７号、第20条第２項第７号、第27条 第１項第８号） 同上 ・取得の状況からみて本人の意思に反しない ため本人の権利利益を害しないことが明らか な取扱いである場合には、本人同意を不要 とする ・生命等の保護又は公衆衛生の向上等のた めに個人情報を取り扱う場合における同意 取得困難性要件を緩和する ― ― 同上 ＊公衆衛生の向上のた めに特に必要がある場 合の考え方を含む ・学術研究例外の対象である「学術研究機 関等」に、医療の提供を目的とする機関又 は団体が含まれることを明示する ― ― 同上 1 政令・規則等で定める事項の全体像② 分類 テーマ 政令 委員会規則 ガイドライン・Q&A リスク に適切 に対応 した規 律 子供の個人情報の取扱いに関する規律 16歳未満の者が本人である場合、同意取得や 通知等について当該本人の法定代理人を対象 とすることを明文化し、当該本人の保有個人デー タの利用停止請求の要件を緩和するとともに、未 成年者の個人情報等の取扱い等について、本 人の最善の利益を優先して考慮すべき旨の責務 規定を設ける 違法行為等の有無を 問わない利用停止等 請求の例外事由につい て規定 （法第35条第９項第12 号） ・違法行為等の有無を問わない利用停止等請求の例 外事由である、取得の状況からみて子供本人の権利 利益を害しないことが明らかである場合について規定 （法第35条第９項第８号） ・違法行為等の有無を問わない利用停止等請求の例 外事由である、一定の主体により保有個人データが公 開されていた場合に関し、公開主体について規定 （法第35条第９項第９号） 基本的な考え方や具 体事例等を提示 顔特徴データ等に関する規律 顔特徴データ等について、その取扱いに関する一 定の事項の周知を義務化し、利用停止等請求 の要件を緩和するとともに、オプトアウト制度に基 づく第三者提供を禁止する ・規律の対象となる生 体データに係る身体の 一部の特徴に係る情 報について規定（法第 16条第５項） ・周知義務の例外事由 について規定（法第21 条の２第２項第４号） ・違法行為等の有無を 問わない利用停止等 請求の例外事由につ いて規定（法第35条第 ７項第10号） ・周知方法及び周知事項について規定 （法第21条の２第1項柱書・同項第６号） ・違法行為等の有無を問わない利用停止等請求の例 外事由である、取得の状況からみて本人の意思に反 しないため本人の権利利益を害しないことが明らかであ る場合について規定（法第35条第７項第９号） 同上 委託先における個人データ等の適正な取扱い 個人情報取扱事業者等からデータ処理等の委 託を受けた事業者に対する個人データ等の適正 な取扱いに係る義務の見直しを行う ― 委託先の義務の免除の前提として委託契約において定 める事項及び契約の方法について規定（法第58条の２） 同上 漏えい等報告・本人通知義務の緩和 漏えい等発生時について、本人の権利利益の保 護に欠けるおそれが少ない場合は、本人への通 知義務を緩和する ― ・本人への通知が行われなくても本人の権利利益の保 護に欠けるおそれが少ない場合について規定 （法第26条第２項、法第68条２項１号） ・一定の範囲での速報の免除や一定期間ごとに取りま とめた確報の許容及び違法な個人データの第三者提 供についても報告対象事態とすることについて規定 （法第26条第１項） 同上 2 政令・規則等で定める事項の全体像③ 分類 テーマ 政令 委員会規則 ガイドライン・Q&A 不適正 利用等 防止 連絡可能個人関連情報の不適正利用及び不 正取得の禁止 個人情報ではないが、特定の個人に対する働き かけが可能となる情報（連絡可能個人関連情 報）について、不適正利用及び不正取得を禁 止する ― 特定の個人に対する連絡その他の情報の伝達に利用す ることができる記述等として規律の対象となるものについて 規定（法第２条第８項第５号） 基本的な考え方や具体 事例等を提示 オプトアウト制度の強化 オプトアウト制度について、提供先の身元及び利 用目的の確認を義務化する ― ・提供先の名称・住所等の確認方法について規定 （法第27条第７項柱書） ・一定の主体により公開されていた場合に係る例外事由 に関し、公開主体について規定 （法第27条第７項ただし書） ・上記例外事由に準じる例外事由について規定 （法第27条第７項ただし書） 同上 規律遵 守の実 効性確 保のた めの規 律 勧告・命令等の実効性確保 違反行為を補助等する第三者に対して、当該 違反行為の中止のために必要な措置等をとるよ う要請する際の根拠規定を設ける ― ― 同上 課徴金の導入 重大な違反行為により個人の権利利益が侵害 された場合等について、当該違反行為によって得 られた財産的利益等に相当する額の課徴金の 納付を命ずることとする ・課徴金額の算定 方法について規定 （法第148条の３第１ 項・第２項） ・課徴金の対象外と なる、個人の権利 利益を害する程度 が大きくない場合に ついて規定 （法第148条の３第 １項ただし書・第２ 項ただし書） ・消滅・事業譲渡等 の場合の規定の適 用について規定 （法第148条の７第 ６項） 課徴金額の推計方法、課徴金額の減額のための報告 の方法、弁明の機会の付与に係る通知を不特定多数の 者が閲覧することができる状態に置く方法等について規 定（法第148条の４、第148条の６、第148条の10第２項、第 148条の17） 同上 ＊特に、課徴金の対象 外となる、違反行為を防 止するための相当の注 意を怠った者でないと認 められる場合（法第148 条の３第1項・第２項）の 考え方を含む 3 政令・規則・ガイドライン等の整備に関する今後の進め方 関係する政令・規則・ガイドライン等の整備に向けて、個人や事業者等多様な主体から広く丁寧にご意見を伺い ながら、検討を進める。具体的には、本年９月以降、本資料で示した全体像を踏まえ、以下の流れで、政令・規 則等の具体的な内容の議論を進めていくこととしたい。 〇委員会において、改正法の分類やテーマごとに、改正法の規定の制度趣旨や国会審議の内容を踏まえた上で、 政令・規則等で定める内容について基本的な考え方を提示し、議論。 改正法の4つの分類（適正なデータ利活用の推進、リスクに適切に対応した規律、不適正利用等防止、規律遵守の実効性 確保のための規律）やテーマに応じて、論点を何回かに分けて議論することを想定。 ●委員会における基本的な考え方に関する議論等を踏まえた上で、多様な個人の立場からご意見を伺う団体や 事業者の立場からご意見を伺う団体との意見交換を幅広く実施。 事務局において、個別又は一定のまとまりのあるグループごとに実施することを想定。 上記の委員会の会合の開催に応じて実施することを想定。 ●改正法の分類やテーマに応じた基本的な考え方を踏まえた上で、事務局において多様な個人の立場からご意見 を伺う団体や事業者の立場からご意見を伺う団体らのヒアリングを実施。 〇委員会において、上記意見交換や事務局ヒアリングの内容等も踏まえ、政令・規則等で定める具体的内容につ いて提示し、議論（基本的な考え方を提示する会合時と同様に、各論点を数回程度に分けて議論することを想定。） ●上記の委員会のそれぞれの会合の開催に応じて、（基本的な考え方を提示する会合時と同様に）意見交換を 実施。 〇委員会において、上記のプロセスを通じて幅広く伺ったご意見等も考慮しつつ、政令・規則の条文案を提示 し、議論。委員会として、その後、意見公募手続（パブリックコメント）を開始。 4