令和８年改正個人情報保護法に対応する企業の個人情報保護規程（AI作成）

第１　この記事の対象と改正期限

１　令和１０年７月１７日は一律の施行日ではない

本記事は，令和８年７月１７日に公布された「個人情報の保護に関する法律等の一部を改正する法律」（令和８年法律第５６号）について，民間企業が個人情報保護規程，個人データ取扱規程及び関係する手順・契約をいつまでにどう改定すべきかを扱う。「令和１０年７月１７日まで」という日付で調べる場合にも，同日が法律上の一律の施行日ではないことが出発点となる。

改正法附則１条本文は，主要規定を「公布の日から起算して二年を超えない範囲内において政令で定める日」から施行すると定める。e-Gov法令検索の未施行改正を含む個人情報保護法では令和８年法律第５６号による改正の反映日が令和１０年７月１６日と表示されているため，主要規定の施行日は遅くとも同日であり，令和１０年７月１７日を完成期限とすることはできない。しかも，今後の政令がそれより早い日を指定すれば，その日が規程，表示，契約及びシステムを実働させる期限となる。

２　令和９年１月１７日までに先行させる対応がある

主要な刑事罰改正は，公布の日から６月を経過した令和９年１月１７日に先行して施行される。個人情報データベース等の不正提供等罪では加害目的の行為が追加され，法定刑が引き上げられるほか，詐欺，不正アクセスその他の情報管理を害する行為による個人情報の不正取得罪が新設され，法人に対する１億円以下の罰金も設けられる。

したがって，企業は，主要規定の施行日を待たず，令和９年１月１７日までに，従業者の不正取得，無断持出し，目的外提供，盗用，認証情報の共有及び権限回避を禁止する条項を点検し，退職・異動時のアクセス権限抹消，違反兆候の即時報告，証拠保全，懲戒，誓約及び研修を同期させるべきである。これは改正法が特定名称の社内規程を直接強制するという意味ではなく，先行施行される犯罪類型を現場の行動規範と統制へ落とし込むための対応である。

本記事は一般的な情報提供を目的とする。実際の規程改定では，企業の現行規程，データフロー，業法，認定個人情報保護団体の指針，国外法及び労使手続を別途確認する必要がある。

第２　個人情報保護規程を改定する基本方針

１　規程の名称より具体的な取扱規律が必要である

現行の個人情報保護法２３条は，個人データの安全管理のために必要かつ適切な措置を講ずることを求める。個人情報保護委員会のガイドライン（通則編）１０－２は，取得，利用，保存，提供及び削除・廃棄の各段階について，取扱方法，責任者・担当者及びその任務等を定める個人データ取扱規程を，具体的な取扱規律の例として示している。

法律は，全企業に同じ名称と様式の「個人情報保護規程」を置くことまで一律に求めてはいない。しかし，担当者が各段階で何を行い，誰が承認し，何を記録するかという規律は必要である。既存の一規程に全てを集約する方法もあるが，本則に原則・責任・承認を置き，こども，生体情報，統計・AI，委託，事故及び本人請求を別則や手順書へ分ける方法の方が，未確定の下位規範や事業変更に対応しやすい。

２　必須・条件付き・推奨・下位規範待ちを分ける

全ての企業が全ての改正条項を規程へ書き込む必要はない。自社の取扱いを確認した上で，次の四区分に分けると，規程が過剰又は不足になることを避けられる。

第３　全社共通で先に見直す事項

１　責任者・データ台帳・高リスク案件の承認

規程には，個人情報の取扱いを統括する責任者又は責任部署，各部門の責任，違反又は漏えい等の兆候を把握した場合の報告先，部署間の役割分担，監査及び是正を定めるべきである。独立したDPOという名称の役職は全社一律の法定要件ではないが，例外適用，こども，生体情報，統計・AI及び課徴金を現場担当者だけで判断させない権限設計が必要となる。

個人情報保護委員会のデータマッピング・ツールキットは，個人データの項目，責任者・取扱部署等を明確にするデータマッピングを，法２３条の組織的安全管理措置における「取扱状況を確認する手段」の一例と位置付ける。規程には台帳の責任者，更新契機及び是正手順を置き，台帳には，データ名，対象人数，項目，利用目的，保存場所・期間，アクセス者，委託・再委託，第三者提供及び国外取扱いを記録するべきである。

令和８年改正への対応では，台帳に，１６歳未満・未成年者，顔特徴量その他の生体情報，公開された要配慮個人情報，連絡可能個人関連情報，統計作成等，AI学習，オプトアウト提供及び受託データの欄を追加する必要がある。PIAは全ての民間企業に一律に義務付けられた文書ではないが，個人情報保護委員会のPIAの取組の促進についてが示す事前評価を，高リスク案件の承認資料として用いることが合理的である。

２　従業者の禁止行為とアクセス権限

従業者規程には，①不正な手段による取得，②自己又は第三者のための提供・盗用，③加害目的の提供・盗用，④権限のないアクセス及び認証情報の共有，⑤承認のない端末，媒体，クラウド又は生成AIへの入力，⑥無断の持出し・複製・撮影・廃棄，⑦違反又は事故の隠蔽を禁止行為として置くべきである。これと就業規則の懲戒事由，秘密保持誓約，派遣・出向者のルール及び教育資料を一致させる必要がある。

アクセス管理は，付与時の承認だけでなく，異動時の変更，定期点検，委託終了・退職時の抹消，共用アカウントの例外管理，多要素認証，ログ保存及び特権IDの監視までを一連の手順として規程化するべきである。規程に禁止条項があっても，実際のアカウントが残り，パスワードが変更されず，ログが確認されなければ，統制は機能しない。

３　漏えい等・行政対応・課徴金の証拠

改正法２６条２項は，本人の権利利益の保護に欠けるおそれが少ない場合に，本人通知に代わる措置を認める。しかし，その対象と方法は下位規範で具体化されるため，現時点で規程を「本人通知を省略できる」と改めてはならない。事故対応手順では，事実確認，拡大防止，影響範囲，対象人数，委員会報告，本人通知，公表，証拠保全，経営層への報告及び再発防止を分け，代替措置は下位規範への適合と責任者の承認を条件とするべきである。

課徴金は，企業の売上高一般を基礎とする制度ではなく，対象行為又は対象行為をやめることの対価として得た財産上の利益を基礎とする。本人の数が１０００人以下の行為は原則として対象外であり，１０００人を超えるだけで直ちに納付命令の要件を満たすわけでもない。相当の注意，権利利益の侵害又は具体的なおそれ，対象行為，対価及び政令上の軽微基準を個別に確認する必要がある。

過去１０年以内の再違反には１・５倍の加算があり，委員会の調査開始を予期する前の自主申告には５０％の減額があり，期間制限は違反行為の終了から７年である。規程又は事故対応手順には，対象行為，期間，本人数，対価，予防措置，発見時刻，委員会調査の有無，自主申告の判断者・時刻及び過去の納付命令を記録する手順を置くべきである。これらの数値と手続の細目は，今後の政令・規則・ガイドラインでも再確認を要する。

第４　取扱いがある企業に必要となる特則

１　同意例外と統計・AI

改正法は，取得の状況からみて本人の意思に反せず，権利利益を害しないことが明らかな取扱いについて，一定の同意例外を設ける。また，生命・身体・財産の保護や公衆衛生の向上等に関する既存の例外は，「本人の同意を得ることが困難であるとき」に加え，同意を得ないことについて相当の理由がある場合へ広がる。

もっとも，利用規約に包括的な条項があることや，同意取得が事業者にとって煩雑であることだけでは足りない。規程には，契約又は取得状況，客観的必要性，本人の合理的期待，不利益，代替手段，対象データ・相手方・期間，安全管理措置及び責任者の承認を記録する手順を置くべきである。衆議院の附帯決議も，この特例を必要最小限とし，恣意的判断や濫用を防ぐ判断基準を規則で明記するよう求めている。

統計作成等の特例は，統計作成等であると整理できるAI開発を含み得るが，「AI開発」又は「研究」という名称だけで適用できる制度ではない。特例を利用する規程・別則には，個人に関する情報を含まない出力設計，対象データと必要性，継続的な公表，第三者提供時の書面合意，目的外利用・再提供・再識別の禁止，アクセス制御，監査，削除及びモデル・中間生成物から個人に関する情報が再現されないかの試験を置く必要がある。

２　１６歳未満・未成年者と特定生体個人情報

１６歳未満の者については，通知，同意取得及び本人請求に法定代理人が関与する規律と，違法行為の有無等を問わない利用停止等請求の特則が設けられる。これとは別に，未成年者全般について，年齢及び発達の程度に応じ，最善の利益を優先して考慮し，権利利益を害しないために必要な措置を講ずる努力義務が置かれる。規程と画面設計には，年齢確認，代理人資格確認，平易な説明，同意・撤回の証拠，年齢到達時の再確認，本人と代理人の利益相反及びデータ最小化を反映させる必要がある。

特定生体個人情報については，顔特徴データ等を想定した周知義務，利用停止等請求の要件緩和及びオプトアウト方式による第三者提供の禁止が設けられる。規程には，顔画像等から特徴量を生成する処理，利用目的，周知・現場表示，照合対象，誤認時の人による確認，異議処理，保存期間，アクセス権限，削除，委託及び国外取扱いを置くべきである。ただし，対象となる生体情報の範囲と具体的な周知方法は政令・規則待ちであり，現行の顔識別カメラ資料だけで最終確定してはならない。

３　委託・連絡可能情報・オプトアウト提供

改正法第３０条の３により，受託者には，委託された個人データ等を委託業務の遂行に必要な範囲を超えて取り扱わない義務が明文化される。他方，改正法第５８条の２は，取扱方法の全部を委託元と合意し，委託先が自ら方法を決定せず，委託元が処理状況を把握できる等の条件を満たす場合に，委託先自身に対する一部義務を調整する制度を設ける。この制度は，受託者による独自利用や安全管理義務を全面的に免除するものではない。

委託元の規程と契約には，委託先選定，対象データ，目的，処理方法，独自利用，AIモデル又はサービス改善への利用，再委託，国外取扱い，ログ，監査，事故通知，返還・削除及び終了時確認を置くべきである。受託者側では，顧客別分離，目的外利用の禁止，例外的利用の承認，再委託，事故報告及び削除を定める必要がある。

改正法は，個人情報に当たらなくても本人への連絡を可能にする住所，電話番号，電子メールアドレス等を含む「連絡可能個人関連情報」を設け，不適正利用と不正取得を禁止する。営業リスト，名簿購入，スクレイピング，広告及びフィッシング対策の規程では，個人情報に該当しないという理由だけで審査対象から外さず，取得元，取得方法，連絡目的，拒否方法及び不正取得の兆候を記録するべきである。

オプトアウト方式による個人データの提供を受ける企業には，提供者の身元，取得経緯及び利用目的等を確認する義務が課され，提供者による虚偽説明も禁止される。規程には，提供前の確認，合理的資料がない場合の受領拒否，確認記録及び保存を置く必要がある。特定生体個人情報は，オプトアウト提供の対象にできない。

第５　規程以外に同期して改定する文書とシステム

１　規程だけを書き換えても対応は完了しない

内部規程，対外表示，契約，システム及び証拠は，相互に一致していなければならない。内部規程を改定しても，本人への通知・公表，契約上の合意又はシステム制御が自動的に完了するわけではない。

２　期限を五段階に分ける

①直ちに行う作業は，現行規程と実際のデータフローの差分確認，データマッピング，対象人数及び高リスク処理の特定である。法令の細目が未確定でも，データの所在と責任者は確認できる。

②令和９年１月１７日までに，刑事罰に対応する禁止行為，アクセス権限，事故報告，懲戒，誓約及び研修を先行して改定・実施するべきである。

③政令，委員会規則，ガイドライン案及びQ&Aが公表された時点で，暫定条項の空欄を確定し，業界別ガイドライン，認定個人情報保護団体の指針及びJIS Q 15001等との整合を確認する。

④実際の主要施行日の６か月前までに，規程案の承認，システム改修，契約変更，表示，教育及び机上演習を終えることが望ましい。この６か月前という時点は法定期限ではなく，規程と運用を同時に発効させるための実務上の推奨期限である。

⑤政令で定める主要施行日までに，全ての文書とシステムを実働させる必要がある。その日は遅くとも令和１０年７月１６日であり，施行前から保有するデータも，施行後の利用，提供，保存及び本人請求の対象から当然に除外されるわけではない。

第６　規程と運用の実効性に関係する裁判例

令和８年改正の主要規定は未施行であるため，特定生体個人情報，連絡可能個人関連情報，統計作成等の特例又は課徴金を直接解釈した裁判例は，令和８年７月３０日現在，裁判所ウェブサイトで確認できない。以下は，改正法固有の解釈例ではなく，規程と運用を設計する上で重要な民事上の判断である。

１　取得時の合理的期待を重視した最高裁平成１５年９月１２日判決

最高裁平成１５年９月１２日判決（平成１４年（受）第１６５６号・民集５７巻８号９７３頁）は，学籍番号，氏名，住所及び電話番号のような単純な識別情報も，みだりに開示されたくないという期待が法的に保護されるとした。大学が警察への開示をあらかじめ明示して承諾を求めることは容易であったのに，その手続を取らなかった点が重視されている。

この判決からは，改正法上の契約・取得状況に基づく同意例外についても，「事業上必要である」という説明だけで足りず，取得時に本人が予測できたか，同意その他の低負担な代替手段があったかを記録すべきことが分かる。ただし，同判決は民法上のプライバシー侵害を判断したもので，新しい同意例外の要件を直接解釈したものではない。

２　アクセス権限の運用を問題とした大阪地裁平成１８年５月１９日判決

大阪地裁平成１８年５月１９日判決（平成１６年（ワ）第５５９７号，平成１７年（ワ）第４４４１号・判例時報１９４８号１２２頁）は，リモートアクセス用のユーザー名とパスワードが複数担当者に与えられ，業務終了後も削除・変更されず，定期的なパスワード変更も行われなかった事情等を踏まえて過失を認め，１人につき慰謝料５０００円と弁護士費用１０００円を認容した。

この判決は，抽象的な秘密保持条項だけではなく，アカウントの発行・共有・変更・抹消という運用が民事責任の判断資料になることを示す。なお，認容額を全ての漏えい事件の相場として一般化することはできない。

３　漏えい後の損害審理を求めた最高裁平成２９年１０月２３日判決

最高裁平成２９年１０月２３日判決（平成２８年（受）第１８９２号）は，委託先従業員による大量の個人情報持出しについて，氏名，住所，電話番号等がプライバシーに係る情報として法的保護の対象となり，漏えいによりプライバシー侵害が生じたとした。その上で，不快感や不安を超える損害の主張立証がないという理由だけで直ちに請求を棄却した原判決を破棄し，精神的損害の有無・程度と事業者の過失を更に審理させた。

規程改定では，事故が起きても二次被害が確認されなければ民事リスクがないと扱うべきではない。委託先管理，影響範囲，通知，事後対応及び再発防止の記録を，事故発生時から保存する必要がある。

第７　下位規範公表後の最終作業

１　現時点で確定していない事項

個人情報保護委員会の令和８年改正法特設ページは，令和８年７月３０日現在，円滑な施行に向けて政令，規則，ガイドライン等を引き続き検討するとしている。したがって，①主要施行日，②特定生体個人情報の範囲と周知方法，③統計作成等の具体的範囲・公表事項・安全管理，④１６歳未満の年齢・代理人確認，⑤漏えい時の通知代替措置，⑥受託者の適用調整，⑦オプトアウト受領時の確認・保存，⑧連絡可能個人関連情報の追加範囲，⑨課徴金の軽微基準・算定・自主申告様式は，最終確定していない。

現段階では，これらを推測で具体化せず，本則に法令遵守，責任者，事前承認及び下位規範への追随条項を置き，別則や様式に留保欄を設けるべきである。本人通知の代替措置や同意例外のような緩和規定を，施行前又は細目確定前に先取りして適用してはならない。

２　最終版を発効させる順序

最終版は，①施行日政令と下位規範の確認，②データ台帳による適用判定，③本則・別則・様式・契約・表示・システムの改定，④権限ある機関による承認，⑤従業者・委託先への教育，⑥実データフローを使った監査・机上演習，⑦主要施行日に合わせた同時発効の順で整備するべきである。規程本文だけが完成し，承認記録，システム設定，通知・公表又は契約が未完の状態は，改正対応の完了とはいえない。

第８　出典・参考資料

１　法令・国会資料

①個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律（令和８年法律第５６号）」及び「新旧対照表」（令和８年７月１７日公布）。

②e-Gov法令検索「個人情報の保護に関する法律」（現行条文及び令和８年法律第５６号による未施行改正を確認）。

③衆議院地域活性化・こども政策・デジタル社会形成に関する特別委員会「個人情報の保護に関する法律等の一部を改正する法律案に対する附帯決議」（令和８年５月２１日）及び参議院「個人情報の保護に関する法律等の一部を改正する法律案に対する附帯決議」（令和８年７月８日）。

２　個人情報保護委員会資料

①個人情報保護委員会「令和８年 改正個人情報保護法について」及び「個人情報保護法等の一部を改正する法律について」５頁～２０頁。

②個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（令和８年６月一部改正）PDF実頁１７５頁～１７７頁（資料印字頁１７０頁～１７２頁）。

③個人情報保護委員会「データマッピング・ツールキット」PDF実頁２頁～８頁及び「PIAの取組の促進について」PDF実頁３頁～８頁。

④個人情報保護委員会「個人データの取扱いに関する責任者・責任部署の設置・運用における取組の観点集」（令和７年３月）PDF実頁２頁～１７頁。

３　裁判例

①最高裁平成１５年９月１２日判決・平成１４年（受）第１６５６号・民集５７巻８号９７３頁。

②大阪地裁平成１８年５月１９日判決・平成１６年（ワ）第５５９７号，平成１７年（ワ）第４４４１号・判例時報１９４８号１２２頁。

③最高裁平成２９年１０月２３日判決・平成２８年（受）第１８９２号・判例時報２３６７号３頁。

４　文献・ウェブ資料

①團野浩『詳説 個人情報保護法 第２版』（ドーモ，令和７年）１９２頁・３６８頁。

②長谷川俊明編著『個人情報保護・管理の基本と書式〈第２版〉』（中央経済社，令和３年）９３頁・１８８頁～２０９頁。

③中井杏「令和８年個人情報保護法改正の最新動向と実務への影響」（BUSINESS LAWYERS，令和８年７月）４２頁～４５頁。

④野呂悠登「令和８年改正個人情報保護法の概要を改正項目ごとに弁護士が解説」及び宇賀克也「利活用と保護のはざまで―令和８年個人情報保護法改正を読み解く」。これらの二次資料は論点抽出に利用し，本文の条文，数値及び判旨は前記原典で確認した。