はじめに
本連載では、令和8年4月7日に閣議決定された「個人情報の保護に関する法律等の一部を改正する法律案」（以下「改正法案」といいます。なお、改正法案として条番号を記載しているものは、改正後の法律の条番号を指します。）の概要及びポイントを解説してきました。本連載の最終回となる本稿では、これまでの各回でご紹介していなかった以下の5つのトピックについて、まとめて解説いたします。
漏えい等報告対象事態についての通知義務の緩和
1. 改正法案の内容
現行の個人情報の保護に関する法律（以下「法」又は「個人情報保護法」といいます。）上、個人データの漏えい等が発生した場合であって、個人情報保護委員会等に報告義務を負っているときは、個人情報取扱事業者は、原則として漏えい等が発生した旨を本人に対して通知しなければならないものの（現行法26条2項本文）、例外的に、本人への通知が困難な場合であって、本人の権利利益を保護するために必要な代替措置をとるときは通知義務を免れることとされています（同項ただし書）。もっとも、個人データの漏えい等の内容や態様によって本人の権利利益を害するおそれは異なり得るところ、このような権利利益等を害するおそれが低いと考えられる事案についても、本人への通知が困難な場合という要件を充足しない限り、本人に対する通知義務を免れないこととなっていました※1。
改正法案26条2項ただし書では、本人への通知が困難な場合に加え、本人への通知が行われなくても本人の権利利益の保護に欠けるおそれが少ない場合として個人情報保護委員会規則で定める場合についても、代替措置をとるときは本人への通知義務を免れるものとされており、当該義務の例外事由が拡大されています。漏えい等が発生した場合の本人に対する通知は、通知を受けた本人が漏えい等の事態を認識することで自らの権利利益を保護するための措置を講じられるようにすることを趣旨としているところ、本人への通知が行われなくても本人の権利利益の保護に欠けるおそれが少ない場合においては、本人の関与を確保する必要性がないものと考えられています※2。例外事由を拡大することによる通知義務の緩和は、個人データ等の取扱いの多様化に伴うリスクに適切に対応した規律の一環として位置づけられています※3。
2. 実務への影響
本人通知義務が免除されるための要件である「本人への通知が行われなくても本人の権利利益の保護に欠けるおそれが少ない場合」として、具体的には、サービス利用者の社内識別子（ID）等、漏えいした情報の取得者からみて、それ単体ではおよそ意味を持たない情報のみが漏えいした場合などが想定されていますが※4、ここにいう「おそれ」についての解釈や具体的な範囲の確定は個人情報保護委員会規則に委ねられているため、今後の制定動向を注視する必要があります。
また、「本人への通知が行われなくても本人の権利利益の保護に欠けるおそれが少ない場合」に該当する場合であっても、本人通知義務が免除されるためには代替措置をとることが必要であるところ、現行法26条2項ただし書に定める代替措置の具体例としては、事案の公表のほかに、問合せ窓口を用意してその連絡先を公表し、本人が自らの個人データが対象となっているか否かを確認できるようにすることが考えられています（「個人情報の保護に関する法律についてのガイドライン」（以下「ガイドライン」といいます。）（通則編）3-5-4-5参照。）。もっとも、今回の改正が、個人の権利利益に対するリスクに適切に対応した規律の整備を柱の一つに据えていることに鑑みると、代替措置についてもリスクの内容に応じて柔軟に運用されることが許容されるべきではないかと考えられます。今回の例外事由の拡大を踏まえた代替措置の在り方について、ガイドライン等で具体化されることが期待されます。
データ処理等の委託を受けた事業者に係る規律
1. 制度改正の方針
現行法上、個人データの取扱いを委託する場合、委託元は、委託された個人データの安全管理が図られるよう、適切な委託先の選定、委託契約の締結、さらには委託先における個人データの取扱状況の把握といった委託先に対する必要かつ適切な監督を行わなければならないとされています（現行法25条、ガイドライン（通則編）3-4-4）。しかしながら、技術革新に伴って個人データの活用場面がより多様化・専門化する中で、個人データの取扱いについて実質的に第三者に依存するケースが拡大し、委託元による委託先の監督等が十分に機能していないのではないかといった指摘もあります。一方で、個人データ等の取扱いの「委託」といっても様々なケースがあり、委託先自らは取扱いの方法を決定しないケースも存在します。これらを踏まえ、改正法案では、委託の実態に即した規律を整備するための改正内容が提案されています※5。
2. 委託先における個人情報の取扱いの範囲の明文化
改正法案は、委託を受けた個人情報取扱事業者（再委託先を含みます。）は、法令に基づく場合等を除くほか、その取扱いを委託された個人情報（当該個人情報取扱事業者において個人関連情報となるものを除きます。）を、当該委託を受けた業務の遂行に必要な範囲を超えて取り扱ってはならない旨の義務を明文化するものです（改正法案30条の3）。個人情報取扱事業者が個人データを第三者に提供する際には、原則として本人の同意を取得することが必要とされていますが（現行法27条1項）、個人データの提供が委託に基づく場合には、本人との関係において委託先が委託元と一体のものとして取り扱われることに合理性があることから（ガイドライン（通則編）3-6-3）、個人データの「第三者」への提供に当たらないとされています（現行法27条5項1号）。そして、同号は、個人データの取扱いの委託について、「利用目的の達成に必要な範囲内において」という限定をかけているところ、委託元から提供される個人データが委託先にとっても個人情報となる場合、当該個人データの利用目的は委託を受けた業務の遂行と特定され、委託先は委託を受けた業務の遂行に必要な範囲を超えて個人情報を取り扱ってはならないものと従来から解されてきました※6。改正法案30条の3は、こうした従前の解釈を明文化する規定といえます。
なお、適用除外となる「法令に基づく場合等」については、「法令に基づく場合及び人命の救助、災害の救援その他非常の事態への対応のため緊急の必要がある場合」と定義されています（改正法案30条の2第4項柱書）。
3. 委託先の個人情報取扱事業者としての義務の免除
(1) 改正法案の内容
改正法案は、委託元と委託先（以下「受託個人情報取扱事業者等」ともいいます。）との委託に係る契約において、①受託個人情報取扱事業者等が提供を受けた個人情報等（以下「受託個人情報等」といいます。）の取扱いの方法として個人情報保護委員会規則で定める事項、②受託個人情報取扱事業者等が、漏えい等の発生等一定の事態を知ったときは、速やかに委託元に対してその旨を報告すること、③その他個人情報保護委員会規則で定める事項が定められており、かつ、受託個人情報取扱事業者等による取扱いが委託を受けた業務の遂行に必要な範囲内において上記①に係る契約の定めに従って行われるときは、委託先に対する各種義務（法4章2節～4節）及び未成年者の最善の利益を考慮する責務（改正法案58条の3第1項）などを原則として免除するものとしています（改正法案58条の2）。
改正法案58条の2の要件をみたす場合には、委託先による受託個人情報等の取扱いが本人の権利利益にもたらすリスクが軽減・管理されているものとして上記のような義務が免除されるものであるところ、これも個人データ等の取扱いの態様の多様化等に伴うリスクに適切に対応した規律を具体化する規定といえます。改正法案58条の2が適用される場面としては、制度改正の方針に鑑み、委託先自らは個人情報の取扱いの方法を決定せず、委託元から指示された方法で機械的に個人データ等を取り扱うのみのケースが念頭に置かれています※7。
なお、法23条（安全管理措置）、24条（従業者の監督）、25条（委託先の監督）及び26条（漏えい等の報告等）や、改正法案30条の3（委託先での取扱いの範囲を業務の遂行に必要な範囲に限定する旨の義務）など、例外的に免除されない義務もあるという点には注意が必要です。
(2) 実務への影響
委託元となる個人情報取扱事業者は、引き続き委託先を監督する義務を負うことになるため（現行法25条）、委託先との間で適切な内容の委託契約を締結し、契約の履行状況の確認や、契約内容の見直しの検討を行いつつ、個人データの取扱状況を把握すること等が求められます。他方、改正法案58条の2は、委託先に対して、その個人情報取扱事業者としての義務の一部を免除するための要件として、委託された業務の遂行に必要な範囲において受託個人情報等が取り扱われ、かつ、取扱いの方法に係る委託契約の定めが遵守されていることを求めています。そのため、委託先の個人情報取扱事業者が委託された業務の遂行に必要な範囲を超えて受託個人情報等を取り扱ったり、委託契約に規定された取扱いの方法を遵守しなかったりする場合には、委託先は、自らの受託個人情報等の取扱いを正してこれらの違反状態を解消しないと、改正法案58条の2による義務の免除を受けることはできません。また、改正法案58条の2による義務の免除を受けることができる場合であっても、安全管理措置等に関する規定についてはその義務は免除されずに適用されることとなっていますので、委託先はその点にも十分な注意を払う必要があります。
このように、改正法案58条の2の適用によって委託元と委託先の関係が規律される局面において、委託契約の持つ意味は大きくなっているといえます。もっとも、委託先がクラウド事業者等である場合 など、委託元が委託先における個人情報の取扱状況を十分に把握することが事実上困難な場合もあり得るところ、委託契約で定めるべき受託個人情報等の取扱いの方法（同条1号）について、単に委託される業務の内容を特定することで足りるのか、より詳細に取扱いの方法を特定する必要があるのかという点は、改正法案において明らかになっていません。また、受託個人情報等の取扱いの方法について定めるべき事項からは、「個人の権利利益の保護に支障を及ぼすおそれのない事項」が除かれていますが、これが具体的にどのような事項を意味しているのかという点も、改正法案の文言のみからは判然としません。さらに、委託契約において規定されるべき上記①～③の事項の定め方についても、個人情報保護委員会規則によることとされています。このように、委託契約による具体的な規律の在り方については、多くの点が個人情報保護委員会規則に委任されているため、国会での審議や個人情報保護委員会規則を制定する際の議論において委託の実態に沿った検討が進められ、円滑な運用が行われるよう、ガイドライン等で具体化されることが期待されます。
個人データの第三者提供に係るオプトアウト制度に関する確認義務の追加等
1. 現行法の内容と課題
現行法上、個人情報取扱事業者は、オプトアウト制度を利用することによって、あらかじめ本人の同意を得ることなく、個人データを第三者に提供することができます（法27条2項）。オプトアウト制度では、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合に、一定事項を本人に通知し又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出ることが要件とされています。もっとも、現行法では、オプトアウト制度に基づく個人データの第三者提供を行う場合、提供に関する記録の作成は義務付けられているものの（法29条1項）、提供先に関する確認は義務付けられていません。
近時、いわゆる「闇名簿」問題への対応が課題となっています。オプトアウト届出事業者が、提供先における個人データの利用実態を把握しないまま個人データを提供し、結果としてオプトアウト制度を通じて提供された個人データが不正な名簿の作成に利用されるといった事案が指摘されてきました。オプトアウト制度はこれまで度々見直しがなされてきましたが、さらに追加措置を検討すべきではないかという課題提起がなされました。
2. 改正法案の内容
改正法案は、オプトアウト制度によって個人データを提供する個人情報取扱事業者を基点に対処し得るよう規制を強化しようとしています。
具体的には、個人情報取扱事業者がオプトアウトにより個人データを第三者に提供する場合、一定の例外を除き、個人情報保護委員会規則で定めるところにより、あらかじめ、その提供先の名称等及び利用目的を事前に確認する義務を課すこととされ（改正法案27条7項）、当該確認事項及び利用目的に関する記録の作成義務も課すものとされています（改正法案29条1項）。また、提供先となろうとする第三者にはその確認に対する虚偽回答を禁止し（同条8項）、その違反には過料を科すこととしています（改正法案186条1号）。
なお、提供先の第三者から国の機関、地方公共団体、独立行政法人等及び地方独立行政法人が除かれており、オプトアウト制度による提供先がこれらの者となる場合は新設の確認・記録については適用しないものとされており（改正法案27条7項本文）、また、個人データを取得した時点において、当該個人データが本人、国の機関、地方公共団体等によって公開されていたものである場合等には、上記の確認義務を例外的に適用しないものとされています（同項ただし書）。
また、オプトアウト制度による第三者提供を認めない類型が設けられていますが、本連載の第5回「速報 令和8年個人情報保護法改正法案 第5回 特定生体個人情報（顔特徴データ等）に関する規律の新設」で紹介したとおり、改正法案では、特定生体個人情報のオプトアウト制度に基づく第三者提供も明示的に除外されています（改正法案27条2項）。
個人情報保護委員会の権限強化及び罰則の新設等
1. 命令の要件見直し及び勧告・命令に係る是正措置の追加
(1) 現行法の内容
現行法では、法違反の事実に対する勧告及び命令として、個人情報に以下の対応をとる権限が与えられています。
|
|
要件
|
処分の内容
|
|
勧告
|
①法の所定の規定に違反した場合、かつ②個人の権利利益を保護するため必要があると認めるとき
|
違反行為の中止その他違反を是正するために必要な措置をとるべき旨の勧告
|
|
命令
|
①正当理由なしに勧告に係る措置をとらなかった場合、かつ②個人の重大な権利利益の侵害が切迫しているとき
|
勧告に係る措置をとるべき旨の命令
|
|
緊急命令
|
①法の所定の規定に違反した場合、かつ②個人の重大な権利利益を害する事実があるため緊急に措置をとる必要があるとき
|
違反行為の中止その他違反を是正するために必要な措置をとるべき旨の命令
|
個人情報保護法が施行された平成17年以降、ほとんどの事案が指導・助言によって対処され、限られた事案に対して勧告が実施されています。個人情報保護委員会が設置された後、令和２年度に初の命令事案 があったものの、その後も当該事案と類似の事案に対して命令が実施されたことがあったに過ぎず、監督権限の行使自体が限定的な状況にありました。
(2) 改正法案の内容
改正法案は、勧告・命令の内容を見直すとともに、命令を実施し得る要件を緩和することによって勧告及び命令の行使の柔軟化を図ろうとしています。
|
|
要件
|
処分の内容
|
|
勧告
|
①法の所定の規定に違反した場合、かつ②個人の権利利益を保護するため必要があると認めるとき
|
違反行為の中止その他違反を是正するために必要な措置又は違反行為に係る事実の本人に対する通知若しくは公表その他の個人の権利利益を保護するために必要な措置（「是正措置等」）をとるべき旨の勧告
|
|
命令
|
①正当理由なしに是正措置等をとらなかった場合、かつ②個人の重大な権利利益が害されるおそれがあるとき
|
勧告に係る是正措置等をとるべき旨の命令
|
|
緊急命令
|
①法の所定の規定に違反した場合、かつ②個人の重大な権利利益の侵害が切迫しているため緊急に措置をとる必要があるとき
|
是正措置等をとるべき旨の命令
|
第一に、違反行為の中止等の是正に必要な措置に加えて、本人への違反行為に係る事実の通知・公表その他の個人の権利利益を保護するために必要な措置をとるべき旨を勧告又は命令できることとし、個人情報保護委員会による勧告・命令の柔軟性を担保することが提案されています（改正法案148条）。
第二に、勧告に係る措置をとらなかった場合における命令の要件を緩和し、個人の重大な権利利益侵害の切迫性まで要求されず、その害されるおそれがあることを要件とする提案がされています（改正法案148条2項）。また、緊急命令については、個人の重大な権利利益侵害の事実があるときに加え、侵害の切迫性があるときを追加しようとしています（同条3項）。
(3) 実務への影響
勧告・命令の内容が拡大することによって、本人への違反事実の通知・公表を求めることもできるようになるため、事業者としては、措置を講ずる際のコストが大きくなることが予想されます。勧告・命令としてこれが要求される場合、仮に本人への通知が困難であるようなケースで、代替的な措置が認められるのか、実施できない場合に罰則の適用（改正法案181条、185条）もあり得るため、個人情報保護委員会による監督権限の行使がどのようなものとなるかに注目が集まるところです。
また、(2)のように命令の要件が緩和されることにより、個人情報保護委員会が迅速に違反行為の是正を求めることが容易となります。悪質事案の端緒を得ることが可能な範囲で、過去の命令事案類似の事案のようなものや、闇名簿のような個人の権利利益侵害につながる事案について、個人情報保護委員会による速やかな対応が期待されるところです。
2. 違法行為中止のための措置の第三者への要請
(1) 現行法の内容
現行法では、命令は個人情報保護法の義務規定に違反した個人情報取扱事業者等に対してのみ発出することができるものであり、当該違反行為に関わる第三者に対して命令をすることはできません。しかし、指導及び助言は、個人情報取扱事業者の義務等（法４章）の施行に必要な限度で個人情報取扱事業者等に対して実施可能である（法147条）ため、任意の要請のほか、このような監督権限の行使が可能であると考えられます。
実務上、個人情報の取扱いには複数の主体が関与しており、たとえば、デジタルプラットフォームや、ソーシャルネットワークサービスなど、違反者が利用するサービス上において違法な個人情報の取扱いが発生することもあり得たところです。前述の命令の事案では、個人情報保護法に要求される措置を講ずることなくウェブサイト上に個人データが掲載されたまま、違反した個人情報取扱事業者が対処しなかったため、サービス提供者側による措置の実施を確保したいというニーズが生じたものと考えられます。
しかし、サービス提供者は、違反行為の実行者ではなく、自らは措置を講ずる義務はなく、当然義務に違反するものではないにもかかわらず、間接罰が予定される命令等の対象となることには疑問があったところです。また、指導及び助言によって対応できない事案が生じているのか曖昧なところがありました。
(2) 改正法案の内容
改正法案は、措置命令を受けた個人情報取扱事業者等がこれに従わない場合に、個人情報保護委員会は、その措置命令がなされた違反行為に係る個人情報等の取扱いに用いるサービス提供者（「取扱関係役務提供者」）に対して、当該個人情報の取扱いの停止、サービス提供の停止等の措置の実施を要請できるとされています（改正法案148条の2第1項）。「取扱関係役務提供者」の対象範囲については、個人情報の取扱いの委託の有無が要件とされておらず、クラウドストレージ事業者やサーバのホスティング事業者など、違反行為に係る個人情報の取扱いの基盤となるサービスを提供する事業者が広く含まれ得ると考えられます。
また、SNS事業者等（「特定電気通信役務提供者」）に対しては、特定電気通信による当該個人情報の流通を防止する措置の実施を要請できるとされます（同条3項）。
なお、第三者が上記要請に応じた場合における、当該第三者の当該個人情報取扱事業者等に対する損害賠償責任を制限する規定も設けられています（同条2項、4項）。
(3) 実務への影響
この改正は、直接的に違反行為を行う事業者に対して措置命令を行うことにとどまらず、そのサービスインフラを提供する第三者をも巻き込んで法執行の実効性を担保しようとするものです。サービス提供事業者としては、顧客たる事業者の個人情報保護法上の違反行為に関連して、個人情報保護委員会から要請がなされる可能性があることを念頭に置く必要があります。
もっとも、本規定はあくまで措置命令に従わない事業者が存在する場合に限って発動されるものであり、「要請」であって違反行為を行っていない第三者に直接命令できるものではないことから、実務対応の検討においては、勧告・命令の運用状況を注視する必要があります。
3. 罰則の強化・新設
改正法案では、上記の個人情報保護委員会の権限強化に加えて、罰則の強化及び新設が提案されています。これらは、特に悪質な名簿事業者や特殊詐欺集団等による個人情報の不正取得・不正提供の抑止を念頭に置いたものです。
まず、個人データを取り扱う個人情報取扱事業者及びその従業員等を対象とする個人情報データベース等提供等罪（法179条）について、現行法では不正な利益を図る目的での提供行為のみが処罰対象とされていますが、改正法案では、本人等に損害を加える目的での提供行為も新たに処罰対象とされるとともに、法定刑が引き上げられています（2年以下の拘禁刑又は100万円以下の罰金。改正法案178条）。個人情報の不正提供による本人の権利利益侵害の程度は、不正な利益を図る目的での提供と加害目的での提供とで差異がないと整理できる点を踏まえた改正と考えられます。
次に、欺罔・暴行・脅迫や個人情報を保有する者の管理を害する行為（不正アクセス等）による個人情報の取得について新たに罰則の対象とする規定が設けられています（2年以下の拘禁刑又は100万円以下の罰金。改正法案180条）。これは、不正に取得された個人情報がその後不適正に利用される蓋然性が高いことを踏まえ、取得行為の段階で直罰の対象とすることで抑止力を強化しようとするものです。不正な利益を図る目的又は本人等に損害を加える目的が要件とされており、いわゆる特殊詐欺集団等による個人情報の詐取行為が典型的な適用場面として想定されます。
行政機関等に関する改正
改正法案では、行政機関等の義務やその職員等に係る罰則についても、上記の改正事項にあわせて、民間部門の規律との整合性の担保及び行政機関等の性質に鑑み、必要な範囲で同種の改正が行われることとされます。
具体的には、本連載の第1回で概説したとおり、改正法案における4つの柱に掲げられた改正事項のうち、適正なデータ利活用の推進に係る改正（AI特例（統計作成等の特例））、リスクに適切に対応した規律としての改正（16歳未満の子どもの個人情報に関する規律の新設、委託先の義務、漏えい等報告対象事態についての通知義務の緩和）、不適正利用等の防止に係る改正（連絡可能個人関連情報等に係る規律の新設）及び規律遵守の実効性確保のための規律に係る改正（罰則強化）に関して新たな規律を設けることが提案されています。行政機関等に対しては、第三者提供や目的外利用等、本人の同意取得が必ずしも要求されていないなど、その事務・業務の特性から個人情報取扱事業者等とは異なる義務が課されています。このため、改正法案においても、性質やこれに応じた規律の差異を踏まえた規定が新設され、また、AI特例や委託先の義務のように行政機関等と個人情報取扱事業者とが個人情報等の取扱いに関わる場面を想定した規定も設けられています（AI特例については、本連載の第2回「速報 令和8年個人情報保護法改正法案 第2回 AI特例（統計作成等の特例）」をご参照ください。）。
おわりに
個人情報保護法改正法案は、2026年4月21日、衆議院本会議にて趣旨説明及び質疑が実施され、本稿執筆時点（2026年5月18日）、地域活性化・子ども政策・デジタル社会形成に関する特別委員会にて審議されています。
本改正法案で設けられている規律には、政令及び個人情報保護委員会規則で細則を定め、また、ガイドライン及びQ&Aで解説することが予定される部分が多くあります。本連載の各回では、今般の個人情報保護法いわゆる３年ごと見直しの議論や個人情報保護委員会（事務局）が公表してきた文書等も踏まえて今後の方向性を予想しつつ、注視すべきポイントをお伝えしてきました。国会の審議では、下位法令等によって明らかになる点についても関係各所からの意見を得つつ個人情報の利用実態に即した権利利益の保護と利活用のバランスを図ったものとするべき旨の指摘がなされています。また、AI特例等を挙げて保護に悖ることの無いようにすべきことなど、多角的視座より議論が進んでおり、本改正法案の成立やその後の方向という観点に加え、プライバシーガバナンスの観点からの対応にも有意なものがあります。
現段階では、本改正法案に対して議論が続き、保護と利活用の観点から様々な意見が提示されています。これらの意見を見れば、個人情報保護法のデジタル社会の深化に伴うアップデートが求められていることは明らかです。国会審議日程も定まっているものではないことがうかがわれますが、近い将来の個人情報保護法の改正を想定し、個人情報取扱事業者等においては、本連載を含めて現状ある情報から、自社及び自社グループの個人情報等の取扱いについて、改正事項と関連性に応じて施行準備の優先度を整理しつつ、今後の議論等の状況を注視していく必要があります。
脚注一覧
※1
GDPR34条1項は、データ主体に対する個人データの侵害に関する連絡を、当該個人データの侵害が自然人の権利及び自由に対する高いリスクを発生させる可能性がある場合にのみ要求しており、本人の権利利益にもたらされるリスクの程度に対応した規律となっています。
※6
このような解釈は、提供される個人データが委託先においても個人情報に該当することを前提としているため、改正法案30条の3は、取扱いを委託された個人情報から当該個人情報取扱事業者において個人関連情報となるものを除いています。
※9
多数の破産者等の個人データをウェブサイトにおいて違法に提供している事業者に対し個人情報保護委員会が勧告を行ったが、正当な理由なく勧告事項に係る措置が講じられなかったことから、当該ウェブサイトを通じた個人データの提供を停止すること等を内容とする命令が実施されたもの。
