2026年7月10日、改正個人情報保護法が参議院本会議で可決・成立しました。ニュースでは「病歴のようなセンシティブな情報も本人の同意なしで使えるようになる」「違反すると課徴金」と報じられ、「結局うちの会社は何に気をつければいいのか」と戸惑っている経営者の方も多いのではないでしょうか。
結論から言うと、経営者が最優先すべきことは2つです。1つ目は、「同意なしで広く使えるようになった」という報道の表面的な解釈を社内から排除すること。2つ目は、新設された課徴金の対象にならないよう、データの管理体制──つまりガバナンスを作り直すことです。今回の改正は、AI開発などに向けた限定的な規制緩和である一方、ルールを破った会社へのペナルティは格段に厳しくなっています。本記事では動画の内容をもとに、改正の全体像と課徴金の発動条件、現場でやりがちな危険な勘違いを解説します。
2026年改正で何がどう変わったのか──改正の4本柱
改正法は2026年7月10日に成立し、同年7月17日に公布されました。施行は公布から2年以内に政令で定める日とされており、遅くとも2028年夏ごろまでには全面施行される見込みです。「まだ先の話」に見えますが、社内のデータの棚卸しや規程の見直しには時間がかかるため、準備は今から始める必要があります。
改正の柱は大きく4つです。
- ① 統計・AI開発目的の「同意不要」特例の新設──すでにインターネット等で公開されている要配慮個人情報（病歴・犯罪歴など）を、統計の作成やAI開発といった目的に限り、本人の同意なしに取得・第三者提供できる特例が設けられました
- ② 子どもの個人情報・生体データの規律強化──リスクの高い情報の取扱いには、より厳しいルールが課されます
- ③ 個人関連情報の不適正な利用の防止──閲覧履歴などの個人関連情報についても、不適正な利用を防ぐ規律が整備されました
- ④ 課徴金の導入と刑事罰の強化──違反への経済的制裁である課徴金制度が新設され、刑事罰も引き上げられました
つまり「使いやすくした分、破った会社への制裁は跳ね上がった」。これが今回の改正の本質です。①の特例も「AI開発なら何でもOK」ではなく、対象は今後の個人情報保護委員会規則で定められる範囲に限られる点に注意してください。
参考：個人情報保護委員会「令和8年 改正個人情報保護法について」
課徴金を食らうのはどんな場面か──発動する4つの条件
今回の目玉である課徴金は、「違反行為で得た利益に相当する額を国に納めさせられる」経済的な制裁です。ただし、うっかりミスや漏えいで直ちに課されるわけではありません。おおまかに言うと、次の条件がそろった場合に発動します。
- 不適正な取得や同意のない第三者提供といった、対象となる違反行為があること
- その違反の対価として、売上などの利益を得ていること
- 対象となる本人の数が1,000人を超えるなど、規模・悪質性が大きいこと
- 会社側が「相当の注意」を怠っていたこと
一般企業で起こりがちな危険シナリオを3つ挙げます。
- シナリオ1：名簿業者からデータを買う際、適法に取得されたものかどうかの確認を怠り、営業に使って売上を上げた
- シナリオ2：「統計目的」の特例で取得したデータを、自社のマーケティングに転用したり、他社に有償で横流しした
- シナリオ3：提供先が差別や違法行為に使うと分かっていながら、対価をもらってデータを渡した
POINT：「統計目的で取ったデータを、つい営業に転用」が一番の罠
特例で集めたデータの目的外転用は、悪気なくやってしまいがちな典型的な課徴金コースです。さらに、過去10年以内に課徴金の納付命令を受けたことがあると課徴金は1.5倍に跳ね上がります。一方で、調査が入る前に会社から自主申告すれば金額が半分になる減額制度も設けられました。万一のときは「隠さない」ことが最大の防御になります。
また、刑事罰も「2年以下の拘禁刑または100万円以下の罰金」へと引き上げられており、行政上の制裁と刑事上の制裁の両面で締め付けが強くなっています。
「採用のバックグラウンドチェックに使える」は最も危ない勘違い
現場からは「応募者の病歴や過去のトラブルを、採用のバックグラウンドチェックに使えたら」という声が出るかもしれません。これが一番危ない勘違いです。
今回の特例は、あくまで「統計・AI開発」という、特定の個人の扱いに直結しない用途に限られます。特定の応募者の病歴を同意なく調べて合否の判断に使うのは、特例の完全に範囲外で、従来どおり原則NGです。もともと厚生労働省は、職業安定法に基づく指針で、採用選考では本人の適性・能力に関係のない情報を集めないよう企業に求めています。「病歴も同意不要になったらしい」と人事が動いたら、個人情報保護法違反と、SNSでの炎上・信用失墜のダブルパンチになりかねません。
漏えい・不祥事の代償はいくらか──ベネッセ事件が教えること
そもそも個人情報の扱いを誤ると、企業はどれくらいのダメージを受けるのでしょうか。象徴的なのが2014年のベネッセの事件です。委託先で働いていた派遣社員が3,000万件を超える顧客情報を持ち出し、ベネッセはお詫びとして200億円の原資を用意しました。
裁判でも、最高裁が平成29年10月23日、「損害は認められない」とした高裁判決を破棄して審理を差し戻したほか（この訴訟は後に1,000円の賠償で決着）、別の集団訴訟では「委託先の監督を怠った」として、ベネッセ本体とグループ会社の両方に1人あたり3,300円の賠償を命じる判決が確定しています。下請けの派遣社員がやったことでも、本体が責任を負わされたわけです。持ち出した本人には、懲役2年6か月・罰金300万円の実刑判決が下されました。
1人あたり3,300円でも、母数が数百万件なら会社が傾く金額です。加えて現行法でも、個人データの漏えい等が発生し個人の権利利益を害するおそれが大きい場合には、個人情報保護委員会への報告（おおむね3〜5日以内の速報と30日以内の確報）と本人への通知が義務付けられています。漏えいや不正利用は、課徴金以前に「起こしたら終わり」レベルの経営リスクなのです。
まとめ──改正は「ガバナンスを見直す最後のチャンス」
- 2026年改正は「限定的な規制緩和＋制裁の大幅強化」。「同意なしで使える」という表面的な理解を社内から排除する
- 課徴金は、対象違反行為・対価・1,000人超などの規模・注意義務違反がそろうと発動。特例データの目的外転用が最大の罠。リピーターは1.5倍、自主申告で半額
- 採用のバックグラウンドチェックへの利用は特例の対象外で、従来どおり原則NG
- ベネッセ事件が示すとおり、漏えいの代償は賠償・刑事・信用失墜の三重苦。委託先の監督まで含めて会社の責任になる
今回の改正を「規制緩和だ、ラッキー」と捉えるか、「ガバナンスを見直す最後のチャンス」と捉えるか。自社がどんな個人データを、誰から取得し、何に使い、誰に渡しているのか──この棚卸しは、施行を待たず今日から始められます。顧問弁護士がいれば、データの流れの点検から社内規程・委託契約の見直しまで、施行に間に合うスケジュールで伴走できます。
※本記事は一般的な情報提供を目的として作成したものであり、個別の事案については弁護士等の専門家にご相談ください。情報は2026年8月時点のものです。
