2026年7月10日、改正個人情報保護法が成立しました。デジタル社会の進展に合わせて、データ利活用の促進と保護の強化を同時に進める内容となっています。
施行日は、公布後２年以内とされており、2028年頃までの全面施行が見込まれます。企業には十分な準備期間が与えられる一方、改正内容が広範囲に及ぶため、早期の着手が不可欠です。
改正のポイントは大きく三つあります。第一に、AI学習や統計作成目的でのデータ利用に関する同意要件の緩和です。個人を識別できず、権利利益を害さない場合には同意不要となり、企業のデータ活用が進む一方、匿名化の精度や内部統制の強化が求められます。第二に、課徴金制度の導入です。不正取得や違法な第三者提供など重大な違反に対し、不当利得相当額の課徴金が科されるため、従来以上に経営リスクが高まります。第三に、こども・生体情報の保護強化です。16歳未満の個人情報取得には原則として保護者同意が必要となり、顔認証など生体データの取扱いにも新たな規律が設けられます。
企業が取るべき対応としては、まず個人データの棚卸し（データマッピング）が重要です。どのデータをどこで取得し、どの目的で利用しているかを明確化し、こども・生体情報の有無を確認します。次に、プライバシーポリシーや同意取得画面の改訂が必要です。特に、同意項目の分離や年齢確認フローの整備は早期に着手すべき領域です。また、委託先管理と漏えい報告体制の強化も欠かせません。課徴金制度の導入により、委託先の不備が自社の重大リスクとなるため、契約条項や監査体制の見直しが求められます。
改正法は、企業にとって「自由度の拡大」と「責任の増大」が同時に訪れる改正です。施行日までの期間を活用し、データガバナンスを実務レベルで再構築することが、企業の競争力と信頼性を高める鍵となります。不明な事項がありましたら、プライバシーマークの審査員資格を有する当事務所にご相談ください。