個人情報保護法の課徴金と罰則はどう変わるか―令和８年改正の対象行為，１０００人基準，算定方法と令和９年１月１７日施行の罰則強化（AI作成）

第１　記事の対象と結論

本記事は，令和８年法律第５６号「個人情報の保護に関する法律等の一部を改正する法律」による個人情報保護法の改正のうち，課徴金制度の新設と罰則の見直しを扱う。
基準日は令和８年１０月２５日であり，条文はe-Gov法令検索に収録された改正後の条文と，個人情報保護委員会が掲載する改正法の本文で確認した。

結論は次のとおりである。
①罰則の見直しは，附則第１条第３号により，公布の日から起算して六月を経過した日である令和９年１月１７日に施行される。
②課徴金制度は改正法の主要部分とともに，公布の日から起算して二年を超えない範囲内で政令で定める日に施行され，本記事の基準日現在，その日は定まっていない。
③課徴金の対象は，違法な行為又は不当な差別的取扱いが想定される第三者への個人情報の提供等，第三者提供の制限に違反する個人データの提供，統計作成等の特例に違反する取扱い及び不正に取得した個人情報の利用に限られ，本人の数が千人を超えないとき等は課されない。
④課徴金の額は，違反行為又は違反行為をやめることの対価として得た金銭等に相当する額であり，算定方法や対象外とする場合の細目は，政令及び個人情報保護委員会規則の検討段階にある。

第２　改正の経緯と施行日

１　成立と公布

改正法の法律案は令和８年４月７日に国会へ提出され，同年７月１０日に成立し，同月１７日に公布された。
個人情報保護委員会の改正法の特設ページも，この経緯を掲げた上で，政令・規則・ガイドライン等の検討を進めているとしている。

２　罰則の見直しは令和９年１月１７日に施行される

改正法附則第１条本文は，改正法を「公布の日から起算して二年を超えない範囲内において政令で定める日から施行する」と定める。
もっとも，同条第３号は，罰則の改正規定等について，「公布の日から起算して六月を経過した日」から施行すると定めている。
公布の日が令和８年７月１７日であるから，罰則の見直しは令和９年１月１７日に施行され，課徴金を含む主要部分よりも先に適用が始まる。

３　課徴金を含む主要部分の施行日

課徴金制度を定める改正後の第１４８条の３から第１４８条の１７までは，附則第１条本文の政令で定める日から施行される。
e-Gov法令検索の改正履歴でも，主要部分の施行日は「公布の日から起算して二年を超えない範囲内において政令で定める日」と表示されており，本記事の基準日現在，施行日を定める政令は確認できない。

第３　課徴金制度の骨格

１　導入の目的

個人情報保護委員会事務局の「個人情報保護法等の一部を改正する法律について」は，現行法では，違反事業者が勧告・命令等を受けた後に違反行為を中止すれば，違反行為から得た経済的利得をそのまま保持することが可能であると説明している。
そのうえで，経済的誘因のある，大量の個人情報の取扱いによる悪質な違反行為を実効的に抑止するため，重大な違反行為により個人の権利利益が侵害された場合等について，違反行為によって得られた財産的利益等に相当する額の課徴金の納付を命ずることとしたと説明している。

２　対象となる行為

改正後の第１４８条の３第１項は，次の行為を課徴金の対象とする。
①個人情報を利用して違法な行為又は不当な差別的取扱いを行うことが想定される状況にある第三者に対する個人情報の提供
②第三者の求めにより行う個人情報の利用であって，その第三者が利用を通じて違法な行為又は不当な差別的取扱いを行うことが想定される状況にある場合に行われるもの
③第２７条第１項の規定に違反する個人データの提供
④統計作成等の特例について定める第３０条の２第４項若しくは第９項又は第３１条の３第５項の規定に違反する個人情報の取扱い
⑤同じく第３０条の２第１０項若しくは第１１項又は第３１条の３第６項若しくは第７項の規定に違反する個人情報の提供

同条第２項は，第２０条第１項に違反して不正に取得した個人情報を利用した場合も対象とする。
これに対し，安全管理措置の不備による漏えい等や，委託を受けた事業者が委託業務の遂行に必要な範囲を超えて個人情報を取り扱うことを禁止する改正後の第３０条の３の違反は，同条の対象行為に挙げられていない。
これらの違反も，勧告・措置命令の対象となり得るが（改正後の第１４８条），課徴金の対象行為ではない。

３　課される要件

課徴金は，対象行為があれば当然に課されるものではない。
第１４８条の３第１項は，違反行為が行われた期間を通じて，違反行為を防止するための相当の注意を怠った者でないと認められる場合を除外している。
また，代金，報酬，利用料，手数料その他名目のいかんを問わず，違反行為又は違反行為をやめることの対価として金銭その他の財産上の利益を得たことが必要である。
さらに，同項ただし書は，違反行為に係る個人情報又は個人データの本人の数が千人を超えないときその他個人の権利利益を害する程度が大きくない場合として政令で定めるときは，納付を命ずることができないと定める。

４　要件を満たせば納付を命じなければならない

第１４８条の３第１項は，要件を満たす場合に，個人情報保護委員会が課徴金を国庫に納付することを「命じなければならない」と定めている。
したがって，条文の構造上，課徴金を課すかどうかを委員会が個別事案ごとに選ぶ形にはなっておらず，対象を絞る役割は，対象行為の限定，相当の注意，対価の取得，本人の数及び政令で定める場合が担っている。

第４　課徴金の額

１　対価額

課徴金の額は，違反行為又は違反行為をやめることの対価として得た金銭等に相当する額として政令で定める方法により算定した額である（第１４８条の３第１項）。
不正取得した個人情報を利用した場合も，その利用又は利用をやめることの対価として得た金銭等に相当する額となる（同条第２項）。
計算した額に１万円未満の端数があるときは，切り捨てる（第１４８条の７第２項）。

２　資料が提出されない場合の推計

事業者が課徴金の計算の基礎となる事実について報告又は資料の提出の要求に応じなかったときは，個人情報保護委員会は，取引先や同種の事業を行う他の事業者等から入手した資料を用いて，委員会規則で定める合理的な方法により推計して課徴金納付命令をすることができる（第１４８条の４）。

３　１０年以内に繰り返した場合の加算

報告徴収等が最初に行われた日から遡って１０年以内に確定した課徴金納付命令を受けたことがあり，その命令の日以後に課徴金対象行為をしていた場合は，額の１．５倍に相当する額の課徴金となる（第１４８条の５）。

４　自主的な報告による減額

事業者が課徴金対象行為に該当する事実を委員会規則で定めるところにより委員会に報告したときは，課徴金の額に百分の五十を乗じて得た額が，その課徴金の額から減額される（第１４８条の６本文）。
ただし，その報告が，調査があったことにより課徴金納付命令があるべきことを予知してされたものであるときは，減額されない（同条ただし書）。

５　合併等の場合

課徴金対象行為をした法人が合併により消滅したときは，合併後存続し，又は合併により設立された法人がした課徴金対象行為とみなされる（第１４８条の７第３項）。
また，法人が調査開始日以後に課徴金対象行為に係る事業の全部を子会社等に譲渡し，又は分割により承継させ，合併以外の事由により消滅したときは，その事業を譲り受け，又は承継した子会社等がした課徴金対象行為とみなされる（同条第４項）。

６　７年の期間制限

課徴金対象行為がなくなった日から７年を経過したときは，個人情報保護委員会は，その課徴金対象行為に係る課徴金の納付を命ずることができない（第１４８条の７第７項）。

第５　課徴金納付命令の手続

１　弁明の機会

委員会は，課徴金納付命令をしようとするときは，名宛人となるべき者に弁明の機会を与えなければならない（第１４８条の８）。
弁明は，委員会が口頭ですることを認めたときを除き，弁明書を提出して行い，証拠書類又は証拠物を提出することができる（第１４８条の９）。
委員会は，納付を命じようとする課徴金の額，課徴金の計算の基礎及び課徴金対象行為，弁明書の提出先及び提出期限を書面で通知しなければならず（第１４８条の１０第１項），通知を受けた者は代理人を選任することができる（第１４８条の１１第１項）。

２　命令の方式と納期限

課徴金納付命令は文書によって行い，命令書には，納付すべき課徴金の額，課徴金の計算の基礎，課徴金対象行為及び納期限を記載する（第１４８条の１２第１項）。
命令は，命令書の謄本を送達することによって効力を生じ，納期限は謄本を発する日から七月を経過した日である（同条第２項・第３項）。

３　督促・延滞金・強制執行

納期限までに納付しない者には督促状により納付が督促され，督促をしたときは，納期限の翌日から納付の日までの日数により年１４．５パーセントの割合で計算した延滞金を徴収することができる（延滞金の額が千円未満であるときを除く。第１４８条の１３第１項・第２項）。
指定された期限までに納付しないときは，委員会の命令で課徴金納付命令が執行され，この命令は執行力のある債務名義と同一の効力を有する（第１４８条の１４第１項）。
破産法，民事再生法，会社更生法等の適用については，課徴金と延滞金の請求権は過料の請求権とみなされる（第１４８条の１５）。
また，課徴金納付命令その他の処分には，行政手続法第３章の規定は適用されない（第１４８条の１６）。

第６　政令・規則の検討状況

１　対象外とする「権利利益を害する程度が大きくない場合」

個人情報保護委員会事務局は，令和８年１０月１４日の「政令・規則の整備に向けた基本的な考え方について③」で，課徴金に関する政令・規則の論点を示した。
同資料は，不適正利用，不正取得及び統計作成等の特例に係る義務違反については，対象外となる場合を設けない方向を示している。
他方，第三者提供の制限に違反する個人データの提供については，本人に対して直接何らかの影響を与えることが一般的に想定されない情報のみを提供した場合を対象外とする方向で検討するとしている。

(1)　対象外となり得る提供の範囲

同資料は，この対象外の場合を，提供された個人データに次の記述等のいずれも含まれない場合に限定する案を示している。
①特定の個人を識別することができる記述等（氏名等）
②個人識別符号
③特定の個人に対する連絡等が可能となる記述等（住所，電話番号，メールアドレス，Cookie ID等），不正利用により財産的被害が生じるおそれがある記述等（クレジットカード番号等），特異な記述等（症例数の極めて少ない病歴等），多数の事業者において取得されている共用性のあるID等の識別子的な機能を有する記述等，及び個人データの内容，量その他の性質を勘案して個人の権利利益を害するおそれがある方法により利用されることが想定される記述等（蓄積された位置情報，購買履歴等）

(2)　提供をやめる対価を得た場合

同資料は，第三者提供の制限に違反する提供であっても，提供をやめることの対価として金銭等を得た場合は，通常その対価は本人から得ることが想定され，本人に財産的な損害を生じさせているため，なお課徴金の対象とすることを想定している。

２　算定方法・推計方法・自主報告の方法

同資料は，課徴金の算定方法について，課徴金対象行為の対価として支払われ，又は支払われるべき金銭等の価額の総額と，課徴金対象行為をやめることの対価として支払われ，又は支払われるべき金銭等の価額の総額の合計額とする案を示している。
社会通念上全体として一つの行為と評価される場合には，外見上複数の違反行為であっても一つの課徴金対象行為として課徴金を賦課する必要があるとも説明している。
自主報告による減額については，報告を書面提出の方法で行うこと，報告書の様式を定めること，課徴金対象行為に該当する事実の内容を示す資料を添付することを検討事項として挙げている。

３　今後の日程

個人情報保護委員会事務局の「今後の進め方について」（令和８年９月９日）は，委員会での基本的な考え方の議論，団体との意見交換と事務局ヒアリングを経て，政令・規則等の具体的内容，条文案を示し，その後に意見公募手続を行う流れを示している。
同資料の当面のスケジュールのイメージでは，意見募集（パブコメ）は２０２７年１月以降の欄に置かれている。
したがって，本記事で紹介した対象外の範囲や算定方法は，現時点では事務局が示した検討の方向であり，確定した政令・規則の内容ではない。

第７　令和９年１月１７日に施行される罰則の見直し

１　改正前後の比較

附則第１条第３号により令和９年１月１７日に施行される罰則の見直しの主な内容は，次のとおりである（条番号は改正前と改正後の両方を示す）。

２　個人情報データベース等の不正提供等罪

改正後の第１７８条は，個人情報取扱事業者の役員，代表者若しくは管理人若しくは従業者又はこれらであった者が，業務に関して取り扱った個人情報データベース等を，自己若しくは第三者の不正な利益を図り，若しくは本人その他の者に損害を加える目的で提供し，又は盗用したときに処罰する。
改正前の第１７９条は「不正な利益を図る目的」だけを定めていたため，報復や嫌がらせのように利益目的が認定しにくい場合の提供・盗用も，損害を加える目的が認められれば処罰の対象となる。
法人の業務に関してこの罪が犯されたときは，行為者を罰するほか，法人に対して１億円以下の罰金刑が科される（改正後の第１８５条第１項第１号）。

３　不正な手段による個人情報の取得を処罰する規定の新設

改正後の第１８０条第１項は，自己若しくは第三者の不正な利益を図る目的で，又は本人，個人情報を保有する者その他の者に損害を加える目的で，人を欺き，暴行を加え，若しくは脅迫する行為により，又は財物の窃取若しくは損壊，施設への侵入，有線電気通信の傍受，不正アクセス行為その他の個人情報を保有する者の管理を害する行為により，個人情報を取得した者を処罰する。
同条第２項は，第１項の規定が刑法その他の罰則の適用を妨げないと定めているから，詐欺罪や不正アクセス禁止法違反等が成立する場合も，それらとは別にこの罪が問題となり得る。
法人の業務に関してこの罪が犯されたときは，法人にも同条の罰金刑（１００万円以下）が科される（改正後の第１８５条第１項第２号）。

４　命令違反の罰則と経過期間の読替え

改正後の第１８１条は，措置命令に違反したときに１年以下の拘禁刑又は１００万円以下の罰金に処すると定め，法定刑は改正前の第１７８条と同じである。
もっとも，「措置命令」という語は改正後の第１４８条で定義されるため，令和９年１月１７日から主要部分の施行日の前日までの間は，附則第３条により，第１８１条の「措置命令」は「第百四十八条第二項又は第三項の規定による命令」と読み替えられる。
法人の業務に関して命令違反があったときは，法人に対して１億円以下の罰金刑が科され（改正後の第１８５条第１項第１号），この点も改正前の第１８４条第１項第１号と同じである。

５　国外犯

改正後の第１８４条は，第１７６条から第１８０条まで及び第１８２条の規定を，日本国外でこれらの罪を犯した者にも適用すると定めている。
新設された不正取得の罪も国外犯の処罰対象に含まれる。

第８　事業者が今から確認しておくこと

以下は，上記の条文と委員会資料を踏まえて本記事が整理したものである。
①課徴金の対象行為のうち，第三者提供の制限違反は，個人データの販売や提携先への提供など，対価を伴う取引で生じやすい。
提供先・提供の根拠（本人の同意，委託，共同利用等）・対価の記録を，取引ごとに説明できる状態にしておくことが考えられる。
②第１４８条の３は，相当の注意を怠った者でないと認められる場合を除外しているから，同意取得の画面・文言，提供先の確認，委託先からの報告等，注意を尽くしたことを示す記録が重要になる。
③自主報告による減額は，調査があったことで命令を予知した後の報告には適用されないから，違反の疑いを把握した場合の社内報告と判断の手順を，施行前に決めておくことが考えられる。
④罰則の見直しは令和９年１月１７日に先行して施行されるから，従業者による顧客データの持出しを想定した就業規則・誓約書・アクセス権限の見直しは，課徴金制度より前に必要になる。

第９　関連記事

改正法全体への社内規程の対応は，令和８年改正個人情報保護法に基づき，民間企業の個人情報保護規程で対応が必要な事項（AI作成）で整理している。

委託先の義務を定める改正後の第３０条の３と第５８条の２については，令和８年改正個人情報保護法と委託契約－クラウド・生成AI利用で見直す事項（第３０条の３・第５８条の２）（AI作成）で扱っている。

従業者による情報の持出しと懲戒の問題は，社員が私用LINE・私物USB・個人メールで会社の情報を扱ったとき―シャドーITと営業秘密，個人情報保護法，懲戒及び退職時の対応（AI作成）で扱っている。

第１０　出典

①個人情報保護委員会掲載「個人情報の保護に関する法律等の一部を改正する法律（令和８年法律第５６号）」（令和８年７月１７日公布）附則第１条・第３条，第１条中第１７６条から第１８５条までの改正規定　https://www.ppc.go.jp/files/pdf/260717_houritsu.pdf
②e-Gov法令検索「個人情報の保護に関する法律」（令和８年法律第５６号による改正後の条文。第２０条，第２７条，第３０条の２，第３１条の３，第３５条，第１４８条，第１４８条の３から第１４８条の１７まで及び第１７６条から第１８６条まで。改正前の第１７６条から第１８４条までを含む。令和８年１０月２５日確認）
③個人情報保護委員会「令和８年改正個人情報保護法」　https://www.ppc.go.jp/personalinfo/legal/r8kaiseihogohou/
④個人情報保護委員会事務局「個人情報保護法等の一部を改正する法律について」（令和８年７月）１７頁～１９頁　https://www.ppc.go.jp/files/pdf/260717_kaiseihounitsuite.pdf
⑤個人情報保護委員会事務局「個人情報の保護に関する法律等の一部を改正する法律　政令・規則・ガイドライン等の整備に関する今後の進め方について」（令和８年９月９日）１頁～３頁　https://www.ppc.go.jp/files/pdf/260909_kongonosusumekatanitsuite.pdf
⑥個人情報保護委員会事務局「個人情報の保護に関する法律等の一部を改正する法律　政令・規則の整備に向けた基本的な考え方について③」（令和８年１０月１４日）４６頁～５２頁　https://www.ppc.go.jp/files/pdf/261014_kihonntekinakanngaekatanitsuite_3.pdf