令和8年の個人情報保護法改正案では、個人情報の活用と保護のバランスを図るため、さまざまな制度の見直しが予定されています。

自社では何を対応すればよいのかと疑問に感じている人事労務担当者も多いのではないでしょうか。

本記事では、改正案の内容と企業への影響、人事労務担当者が押さえておきたい対応ポイントをわかりやすく解説します。

1.令和8年・個人情報保護法の改正とは？

今回の改正は、生成AIをはじめとするデジタル技術の急速な発展を背景に、データ利活用の促進と個人情報保護の強化を両立させることを目的とした大幅な見直しです。

従来の個人情報保護法は、個人の権利保護を重視した制度でした。しかし近年は、AIの開発やデータ分析の需要が急速に高まる一方、本人同意規制がデータ活用の妨げになるケースも指摘されています。また、個人情報の漏えいや不適正利用に対する社会的な関心も高まっており、企業にはより高度な安全管理体制が求められています。

1-1. 令和8年7月10日、改正個人情報保護法が参議院本会議で可決

令和8年7月10日、「個人情報の保護に関する法律等の一部を改正する法律案」が参議院本会議で可決・成立しました。

今回の改正は、令和2年改正法の附則で定められた「3年ごとの見直し」に基づくもので、AIをはじめとするデジタル技術の進展やデータ利活用の拡大、個人情報保護を巡る環境変化を踏まえた制度の見直しです。

1-2. 個人情報保護法の法改正施行日はいつ？

改正個人情報保護法の施行日は、公布の日から2年を超えない範囲で政令により定められる予定です。そのため、施行まで一定の準備期間が設けられますが、具体的な施行日は今後公表される政令で明らかになります。

法改正の内容が正式に決まったため、施行までの期間を活用し、社内規程や個人情報の管理体制などの見直しなど準備を進めておく必要があります。

2. 令和8年個人情報保護法の改正案

令和8年個人情報保護法の改正内容は、大きく次の4つの柱で構成されています。

• 適正なデータ利活用の推進
• リスクに適切に対応した規律の整備
• 不適正利用等の防止
• 規律遵守の実効性確保のための規律（課徴金制度の導入など）

企業では、プライバシーポリシーや社内規程の見直しに加え、人事データや顧客データの管理方法、AIの利用ルールなども含めて対応を検討する必要があります。

本章では、それぞれの改正内容について詳しく解説します。

2-1. 適正なデータ利活用の推進

第1の柱は、これまで本人の同意取得が課題となっていた場面を整理し、AIやデータ分析におけるデータ利活用を促進するための規律です。

適正なデータ利活用を進めるために、主に次の4つの論点について見直しがおこなわれます。

①AI開発などの統計作成に係る本人同意要件の緩和

現行法では、統計情報の作成のみに利用する場合であっても、個人データの第三者提供や要配慮個人情報の取得には原則として本人同意が必要でした。

改正法では、統計情報等の作成にのみ利用されることを条件に、本人同意を不要とする規律が導入されます。対象にはAI開発なども含まれ、提供先での利用目的が統計作成等に限定されていること、提供元・提供先の双方が社名や実施内容を事前に公表していること、その目的に基づく提供であることを明確に合意していることなどが条件です。

②本人の意思に反しないことが明らかな個人情報の取り扱い 

改正法では、「本人の意思に反しないことが明らかで、本人の権利利益を害しない個人情報の取り扱い」について、新たに本人の同意を不要とするルールが設けられます。

例えば、ホテル予約サイトで宿泊予約をした場合、予約サイト運営会社は予約者の氏名や連絡先などを宿泊先のホテルへ提供します。これは予約を成立させるために欠かせない情報提供であり、多くの利用者も当然に想定しているため、通常は本人の意思に反するものとはいえません。

引用：個人情報保護法等の一部を改正する法律案について｜個人情報保護委員会事務局

現行法では、このような場合でも原則として本人の同意が必要ですが、改正法では、契約の履行に必要であり、取得時の状況からみて本人の意思に反しないことが明らかな場合には、本人の同意を不要とする見直しが盛り込まれています。

なお、この例外が認められるのは、「本人が当然想定している範囲の利用である」と客観的に説明できる場合に限られます。社内マニュアルや個人情報の取扱ルールを見直す際には、この例外に安易に頼るのではなく、適用できる場面を慎重に整理しておきましょう。

③生命等の保護又は公衆衛生の向上などのための個人情報の取り扱い

現行法でも、人の生命の保護のために必要がある場合や、公衆衛生の向上などのために必要がある場合は、「本人の同意を得ることが困難であるとき」という要件を満たせば本人同意が不要とされてきました。

ただし、「困難であるとき」という要件は、本人の転居等により連絡先を保有していないといった物理的な困難のケースに限定され、慎重に運用されてきました。

改正法では、「本人の同意を得ることが困難であるとき」に加えて、「本人の同意を得ないことについて相当の理由があるとき」も対象に加わります。

④病院などにおける学術研究目的での個人情報の取り扱い

現行法では、目的外利用や要配慮個人情報の取得等について本人同意が不要となる対象は「学術研究機関等」に限られ、この定義は大学その他の学術研究を目的とする機関を念頭に置いたものでした。

医学・生命科学の研究では臨床症例の分析が不可欠であり、病院等の医療提供機関による研究活動も広くおこなわれている実態がある一方、病院等が対象に含まれるか明確ではありませんでした。

改正法では、この点を明確化し、医療の提供を目的とする機関または団体が「学術研究機関等」の定義に含まれることが明示されます。これにより、市中の病院や診療所なども学術研究例外の適用対象であることが法令上明確となります。

2-2. リスクに適切に対応した規律

第2の柱は、子どもの個人情報や生体情報など、権利侵害のリスクが特に高いケースに関する規律です。人事労務の実務に直結する項目が多く含まれています。

より慎重に取り扱うべき個人情報や対象者について、主に次の4つの論点について、見直しがおこなわれます。

①子ども（16歳未満）の個人情報取り扱いについて

現行法では、子どもの個人情報について大人と区別した特別な規定はありません。

しかし、未成年者は、成長段階で判断能力が十分でないケースもあるため、手厚い保護が必要です。

改正法では、対象者が16歳未満の場合、同意取得や通知等の手続きにおいて法定代理人を対象とすることが明文化され、当該本人の保有個人データについては利用停止等の請求要件も緩和される予定です。

②顔特徴データに関する規律

顔認証技術の普及に伴い、顔の画像から抽出した「顔特徴データ」の取り扱いについて、新たな規律が設けられます。

顔特徴データは、一度登録すると本人を高い精度で識別できるため、漏えいや不適切な利用があった際の影響が大きいという特徴があります。そのため今回の見直しでは、以下の規律が盛り込まれました。

• 個人情報取扱事業者の氏名・名称、顔特徴データの利用目的などの周知
• 利用停止等請求の要件緩和
• オプトアウト制度にもとづく第三者提供の禁止

顔認証による入退室管理や勤怠管理システムを導入する企業も増えています。こうしたシステムを利用している企業は、顔特徴データの利用目的や管理方法を改めて確認し、改正法に沿った運用となるよう見直しが必要です。

③委託先事業者への規律強化 

現行法でも、委託先は委託契約などに基づき、委託された目的の範囲内で個人データを取り扱うことが前提とされています。しかし、その義務は主に委託元の監督義務や契約によって担保されており、委託先が委託範囲を超えて個人データを取り扱ってはならないことは、法律上明文では規定されていませんでした。

改正法では、この点が明文化され、委託先は委託された業務の遂行に必要な範囲を超えて個人データを取り扱ってはならないことが、法律上の義務として定められます。

人事労務分野は給与計算代行など、外部委託が多い分野です。委託先が契約範囲を超えて従業員データを分析・活用していないか、委託契約書を再度見直しましょう。

④漏えい等報告・本人通知の合理化

現行法では、個人データの漏えい等が発生し、本人の権利利益を害するおそれがある場合には、個人情報保護委員会への報告と本人への通知が義務付けられています。

改正法では、 本人の権利が実質的に害されるおそれが低い事案については、漏えい等報告や本人通知の対象外とし、本人通知に代えて適切な代替措置による対応が認められます。なお、代替措置が認められるのは、あくまで「本人への通知義務」（第26条第2項）のみであり、個人情報保護委員会への報告義務（第26条第1項）は免除されません。

人事労務業務では、従業員情報やマイナンバーなど重要な個人情報を取り扱うため、どのような漏えいが報告・本人通知の対象となるのかを整理し、社内フローや対応基準を見直しておくとよいでしょう。

2-3. 不適正利用等防止

第3の柱は、個人情報には該当しないものの、特定の個人への働きかけに利用できる情報について、不適正な利用や取得を防ぐための規律です。

現行法では、電話番号やメールアドレス、Cookie IDなどの情報について、不適正な利用や不正取得を直接禁止する規定はありませんでした。改正法では、これらの情報を「連絡可能個人関連情報」と新たに定義し、不適正な利用や不正な手段による取得を禁止しています。

単独では個人情報に該当しない場合でも、特定の個人への連絡や広告配信などに利用できるため、個人情報と同様に適正な取り扱いが求められることになります。

2-4. 規律遵守の実効性確保のための規律

第4の柱は、個人情報保護法違反への対応を強化し、企業が法令を遵守するための仕組みを充実させるものです。違反に対する行政対応や罰則が強化されるため、企業にはこれまで以上に適切な個人情報管理が求められます。

主な改正内容は、次の3つです。

①勧告・命令要件の見直し

現行法では、個人情報保護委員会が勧告や命令をおこなえる場面は限定されています。改正法では、その要件が見直され、個人情報保護委員会がより迅速に是正措置を求められるようになります。

②刑事罰の強化

近年、サイバー攻撃や内部不正による個人情報の不正取得・流出が相次いでいることを踏まえ、刑事罰が強化されます。

具体的には、個人情報データベース等を「不正な利益を得る目的」だけでなく、「他人に損害を与える目的」で提供する行為も新たに処罰対象となります。

あわせて、詐欺行為や不正アクセスなど、不正な手段による個人情報の取得についても新たに罰則が設けられるほか、関連する拘禁刑・罰金刑も引き上げられます。

③課徴金制度の新設

今回の改正で特に注目されるのが、課徴金制度の新設です。

現行法では、個人情報保護委員会から勧告や命令を受けて違反行為を中止すれば、それまでに得た経済的利益を保持できるケースがありました。

改正法では、悪質な個人情報保護法違反によって利益を得た事業者に対し、その利益に相当する額の納付を命じる課徴金制度が導入されます。不適正利用や違法な第三者提供など一定の違反行為が対象となり、違反による経済的メリットをなくすことで、法令違反を抑止することが目的とされています。

3. 令和8年個人情報保護法の改正に向けて企業が確認すべきポイント

就業規則や個人情報取扱規程、委託契約書といった社内文書の見直しには時間がかかります。

施行が近づいてから対応するのではなく、今のうちに自社の現状を棚卸しし、優先順位をつけて準備を進めるとよいでしょう。

本章では、企業が確認すべき4つのポイントを解説します。

3-1. 自社で取り扱う個人情報の洗い出し

今回の改正では、生体情報や個人関連情報、委託先での取り扱いなど、情報の種類や利用場面ごとにルールが見直されています。そのため、自社でどのような個人情報を取り扱い、社内外でどのように利用・提供しているのかを整理しておく必要があります。

具体的には次のようなポイントに絞って整理するとよいでしょう。

• 顧客情報だけでなく、従業員・応募者・退職者などの個人情報も対象に含める
• 氏名や住所などの個人情報に加え、顔特徴データなどの生体情報、健康診断結果などの要配慮個人情報、Cookie IDなどの個人関連情報を区別して整理する
• 自社で利用している情報と、外部へ委託・提供している情報を整理する
• 「取得」「利用」「第三者提供・委託」「保管・削除」「漏えい時の対応」まで、一連のデータの流れを確認する

特に、人事部門では従業員や応募者の個人情報に加え、健康情報や顔認証データなど、保護の必要性が高い情報を取り扱うことがあります。今回の改正を機に、自社で保有する個人情報の種類や取り扱い方法を改めて点検しておくとよいでしょう。

3-2. プライバシーポリシーや社内規定の見直し

個人情報の取り扱いを整理したら、その内容をプライバシーポリシーや個人情報取扱規程、マニュアルなどへ反映します。改正法では、情報の種類や利用目的ごとにルールが見直されているため、自社の運用に合わせて社内規程を更新する必要があります。

特に、次の項目は、重点的に見直しをするとよいでしょう。

• 統計作成等の特例を利用する場合は、公表事項や運用方法が改正内容に対応しているか確認する
• 顔認証による勤怠管理や入退室管理を導入している場合は、利用目的や周知方法、管理方法などを見直す
• 漏えい等が発生した場合に備え、報告・本人通知が必要な事案と代替措置で対応できる事案の判断基準を社内ルールや対応フローに明記する
• 子どもの個人情報を取り扱う場合は、保護者への対応や社内手続きが改正内容や今後のガイドラインに沿ったものになっているか確認する

改正法では、データを利活用するために規定が緩和される部分がある一方、生体情報や子どもの個人情報に関しては保護が強化されます。そのため、規程を見直す際は、どちらか一方だけではなく、緩和と強化の両方を反映することが大切です。

3-3. 委託先・従業員への周知や研修

制度や社内ルールを整備しても、個人情報を取り扱う従業員や委託先に内容が浸透していなければ、適切な運用はできません。今回の改正では、委託先事業者の責任も明確化されるため、社内だけでなく委託先を含めた運用体制の見直しが必要です。

主に、次のような対応を進めるとよいでしょう。

• 給与計算などの委託先との契約内容を確認し、委託範囲や再委託の条件、委託目的外での利用を禁止する内容になっているか確認する
• 管理職や採用担当者など、従業員や応募者の個人情報を取り扱う従業員に対して、改正内容を踏まえた研修を実施する
• 課徴金制度の導入や刑事罰の強化など、法令違反時のリスクについて経営層や管理職にも周知し、コンプライアンス意識を高める

改正法への対応を機に、委託先との連携や社内研修を通じて、個人情報を適切に取り扱う体制を整えておきましょう。

3-4. 人事データとAI活用ルールの見直し

人事部門では、氏名や住所、生年月日だけでなく、家族情報やマイナンバー、資格、健康診断結果など、多くの個人情報を取り扱います。そのため、まずは自社で保有する情報のうち、どこまでが個人情報や要配慮個人情報に該当するかの把握から始めましょう。

特に注意したいのは、人事データがExcelや紙、勤怠管理システム、健康管理システムなど複数の場所に分散して管理されているケースです。このような状態では、情報の更新漏れや重複が発生しやすく、漏えい時の影響範囲の特定や本人からの開示・利用停止請求への対応にも時間を要します。

こうした課題を解決するには、人事データを一元管理できる仕組みを整えることが有効です。ジンジャーは複数のシステムを連携させるのではなく、人事データベース自体が一つに統合されています。そのため、従業員情報を一度更新すれば勤怠や給与などにも反映され、CSVによるデータ連携や二重管理が不要です。

人事データを一元管理できれば、改正法への対応だけでなく、AI活用の基盤づくりや日々の人事業務の効率化にもつながるでしょう。

4. 自社の個人情報を把握して法改正に備えよう

令和8年個人情報保護法の改正は、データ利活用の推進と個人情報保護の強化を両立させる内容となっており、企業にはこれまで以上に適切なデータ管理が求められます。まずは、自社がどのような個人情報を保有し、どのような目的で利用しているのかを把握することが、法改正への対応の第一歩です。

特に人事部門では、評価情報や健康情報など機微な個人情報を多く取り扱うため、Excelや紙、複数のシステムに分散した管理を見直し、人事データを一元管理できる体制を整えることが重要です。これは法改正への対応だけでなく、AIを活用した人材分析や人事施策を安心・安全に進めるための基盤にもなります。

今後の法改正やAI活用を見据え、この機会に自社の人事データ管理体制を見直してみてはいかがでしょうか。