SQオンライン

1. はじめに：令和8年改正の背景とJIS Q 15001への影響

本レポートは、法定されている「3年ごと見直し」に基づき、2026年（令和8年）に改正が予定されている改正個人情報保護法への実務対応を、JIS Q 15001を用いたPMS（個人情報保護マネジメントシステム）の視点から整理したものである。

今回の改正は、デジタル技術の進展に伴うデータ利活用ニーズの爆発的拡大と、不適正なデータハンドリングによる本人の権利利益侵害リスクの増大という二極化する課題への回答である。JIS Q 15001運用企業にとって、本改正への対応は単なる内部規程の微修正に留まらない。改正法の本質である「リスクベース・アプローチ」の深化と、委託先・再委託先を含むサプライチェーン全体における「説明責任（アカウンタビリティ）」の再構築が求められている。

2. 令和8年改正個人情報保護法の全体像（4つの柱と12の改正項目）

改正の全体像は、以下の4つのカテゴリーに分類される12の項目に集約される。PMS運用においては、各項目の「緩和」と「厳格化」のトレードオフを正確に把握し、管理策を最適化する必要がある。

※注1：本人への通知は合理化される一方、不適正な第三者提供が報告対象事態に追加される等、委員会への報告義務は維持・拡大される傾向にある。

3. リスクマネジメントの高度化：データの内容に応じた保護強化

3.1 子どもの個人情報の取扱い（第35条第9項・第10項、第40条の2、第58条の3）

判断能力が不十分な子どもの保護を目的とし、JIS Q 15001の「本人同意」プロセスの根本的な変更を強いる規律である。

• 年齢基準と読替規定（第40条の2）: 法定代理人での同意取得・通知を要する対象年齢が「16歳未満」と明文化された。この範囲の本人に対し、法の規定における「本人」は「本人の法定代理人」と読み替えて適用される（読替規定）。
• 利用停止請求権の強化（第35条第9項・第10項）: 16歳未満の本人の個人情報については、事業者がその保有個人データを取り扱っている場合、一定の場合（※）を除き、本人は個別の違反事由の有無を問わず、原則として利用停止等又は第三者提供の停止を求めることができる。※ 例えば、法定代理人の同意がある場合、法令に基づく場合、生命・身体・財産の保護のために必要な場合、公衆衛生・児童保護のために特に必要な場合、学術研究目的での取扱いなど。
• 本人の最善の利益（第58条の3）: 事業者は、未成年者の年齢・発達度合いに応じ、その「最善の利益」を優先して考慮する責務を負う。これはPMSにおけるリスクアセスメントの重要な評価軸となる。

3.2 特定生体個人情報への対応（第16条第5項、第21条の2、第27条第2項、第35条第7項・第8項）

顔特徴データ等、本人が関知しないうちに大量取得が可能で不変性の高い生体情報を「特定生体個人情報」と定義し、新たな管理策を求める。

• 定義とリスク源: 「特別の技術や多額の費用を要しない方法」で取得され、「本人が取得を容易に認識できない」状態で収集される生体識別符号が対象となる（顔特徴データ等）。この「本人の関知しない取得」が最大のリスクソースである。PMSにおいては、特定生体個人情報の取扱いを洗い出す事から始める事になろう。
• 周知義務とオプトアウト禁止: 利用目的や身体特徴の内容をあらかじめ周知する義務（第21条の2）が課され、オプトアウトによる第三者提供（第27条第2項）は一律禁止される。

3.3 連絡可能個人関連情報の規律（第2条第8項、第31条の2）

Cookie ID、電話番号、メールアドレス等（※）の特定の個人への働きかけ（連絡・接触）が可能な情報を「連絡可能個人関連情報」と定義し、「個人情報には該当しない個人に関する情報」（＝個人関連情報）の枠組みを強化する。※当該事業者において容易照合性がある場合には、個人情報として取り扱う必要がある。

• 不正取得・不適正利用の禁止（第31条の2）: 偽りその他不正の手段による取得や、違法・不当な行為を助長する利用が禁止された。PMS運用において、これら個人関連情報を単なる非個人情報として軽視する旧来のリスク評価は見直しが必要である。

4. 説明責任（アカウンタビリティ）と委託先監督の再定義

4.1 委託先（受託事業者）の規律整備（第30条の3、第58条の2）

委託先・再委託先を含むサプライチェーン全体における責任分界を明確化するため、受託者への直接義務と一定の義務免除規定が新設された。

• 受託事業者における目的外利用の禁止（第30条の3）: 受託者は、個人情報の取扱いとしての委託業務の範囲を超えて、個人情報を取り扱うことが直接禁止される。現在、多くのSaaS提供事業者が用意している「利用規約」の中には、サービス改善や機能開発等のために、提供を受けたデータを一定範囲で自社の目的で利用ができる旨が定められていることがある。しかし、受託者として個人情報を取り扱う場合、そのような規約上の定めがあっても、委託業務の範囲を超える取扱いが当然に許されるわけではない。
• 義務免除と報告義務（第58条の2）: 契約において「取扱方法の指定」および「速やかな報告義務」を定めた場合に限り、受託者は利用目的通知等の義務を免除される。実務上留意すべきは、受託者が「目的外利用」や「契約違反」を把握した際の「速やかな報告（第58条の2第1項第2号）」を契約に含めることが、免除の必須条件となる点である。PMS運用において、SaaS利用の洗い出しと利用規約の確認が必要である。

4.2 漏えい等報告・本人通知の合理化（第26条第2項）

• 通知義務の緩和: 本人の権利利益保護に欠けるおそれが少ない場合（例：単体では意味をなさない社内識別子のみの漏えい等）は、代替措置を条件に本人通知を要しない。ただし、委員会への報告義務は残される。

4.3 オプトアウト提供時の確認義務（第27条第7項・第8項）

• 透明性の確保: 提供先の実在性（氏名・住所・代表者名）および利用目的の確認、ならびにその記録（第29条第1項）が義務化される。提供先による「偽り（第27条第8項）」も禁止対象となる。

5. 適正な利活用と同意取得の例外規定

5.1 統計作成等目的の特例（第30条の2、第31条の3）

AI開発等のイノベーションを阻害しないよう、本人の権利利益を害するおそれが少ない「統計作成等」に限定した緩和措置（本人同意を不要とする「要配慮個人情報の取得」「目的外利用」「第三者提供」）である。JIS Q 15001附属書Aでは「法令に基づいた上で」とされているが、統計作成等目的の特例を適用する場合であっても、事業者には、その適用判断の妥当性や本人の権利利益への影響を説明できるようなリスク対応が求められる。

適用条件：

• 氏名や統計作成の内容、提供目的等の継続的な公表（第30条の2第2項）。
• 第三者提供時の書面合意（第30条の2第5項第2号）による目的外利用・再提供の禁止。
• 公開されている要配慮個人情報の取得（第30条の2第1項）。

5.2 同意取得の例外要件の緩和（第16条第9項、第18条第3項、第20条第2項、第27条第1項）

JIS Q 15001附属書Aでは「法令に基づいた上で」とされているが、同意取得の例外要件の緩和を適用する場合には、法令要件を満たすだけでなく、その適用が本人の合理的意思に反せず、権利利益を害しないことを説明できるリスク対応が求められる。

• 意思に反しない場合: ホテル予約サイトからホテルへの情報提供や海外送金時の金融機関間連携等、「本人の意思に反せず、権利利益を害しないことが明らか」な場合の同意取得が不要となった。
• 相当の理由: 生命・財産保護等の際、同意取得が困難な場合に加え、「相当の理由（適切なプライバシー保護措置の実施等）」がある場合も例外として認められる。

6. 実効性確保：強力な執行力への備え

6.1 勧告・命令の柔軟化（第148条）

• 命令要件の緩和: 従来必要であった「侵害の切迫性」が撤廃された。単に「重大な権利利益が害されるおそれ」がある段階で命令発出が可能となる。
• 積極的措置: 被害拡大防止のための「本人通知」や「事実の公表」を直接命令できる権限が委員会に付与された。

6.2 課徴金制度の導入（第148条の3）

• 対象行為と閾値: 不適正な提供、不正取得による利用、統計作成等の目的外利用が対象。ただし、「本人の数が1,000人を超えないとき」は対象外となる。
• 自主申告による課徴金減額制度（第148条の6）: 調査前に自ら違反を報告した場合、課徴金額が50%減額される。PMSにおける「不適合・是正処置」プロセスの迅速性が、財務リスク低減に直結することを示す。

6.3 罰則の強化（第178条、第180条）

• 加害目的の追加: 「不正な利益を図る目的」に加え、「損害を加える目的」も処罰対象となる（2年以下の拘禁刑等）。
• 詐欺行為等不正取得罪（第180条）: 詐欺や不正アクセス等による取得行為そのものを罰する直罰規定が新設された。

7. JIS Q 15001運用企業への提言：ISOマネジメントシステムとの対比

改正法の精神をPMS（JIS Q 15001）へ統合するための視点を整理する。

• リスクアセスメントの再定義: JIS Q 15001の「個人情報の特定」において、16歳未満のデータ、特定生体個人情報、連絡可能個人関連情報を高リスクな資産として再定義し、「内部監査（JIS Q 15001 9.2）」および「マネジメントレビュー（同 9.3）」において、これら特定データに対する管理策について、その有効性を個別に検証することが重要である。
• 受託者管理と品質保証（ISO 9001との共通性）: 第58条の2に基づく「取扱方法の指定」と「報告義務」の契約化は、データの「プロセス品質」を担保する行為である。PMS運用事業者でも、標準委託契約書を更新し、受託者からの「速やかな報告」を品質管理指標（KPI）として組み込むことが有効である。
• データ活用ガバナンス（ISO 56001との親和性）: 「統計作成等の特例（第30条の2）」の活用には、継続的な公表と書面合意の維持という高度な運用が伴う。これをイノベーション管理の一環として捉え、法令遵守を基盤とした安全なデータ活用プロセスを構築することが求められる。

8. 結び：2027年度改正施行に向けたアクションプラン

企業が施行（公布から2年以内）までに優先すべき事項は以下の通りである。

• 内部規程およびプライバシーポリシーの刷新: 16歳未満の者への「読替規定」に基づく法定代理人同意プロセスの明文化、および統計作成等特例の適用に必要な継続的公表に対応した表示・導線設計。
• 委託・受託契約の見直し: 改正法第58条の2および第30条の3に準拠し、受託者としての義務免除を受けるための契約要件（取扱方法の指定、不正利用を把握した場合の速やかな報告等）を網羅した雛形への更新。
• 技術的・組織的コントロールの実装: 統計作成等目的で取得したデータの目的外利用を技術的に遮断するアクセス制御の実装、および特定生体個人情報の取得における「容易に認識し得ない状態」の回避措置（カメラ設置場所への明瞭な標識提示等）の検証。
• 課徴金リスクへの備え: 1,000人を超える個人情報の取扱いを伴う業務を特定し、不適合発生時の自発的報告プロセスを再確認し、課徴金の減額制度活用の可能性も検討する。

関連セミナー