法律が公布された直後は、対応商材が最も売りやすく、最も検証しにくい時期である。そして詳細を決める政令と規則は、まだ出ていない。
個人情報保護委員会の公表によれば、「個人情報の保護に関する法律等の一部を改正する法律」は、第221回国会（特別会）に2026年4月7日に提出され、2026年7月10日に可決・成立、2026年7月17日に公布された。
そして同委員会は、**「引き続き、政令、規則、ガイドライン等の検討を行ってまいります」**と明記している。
つまり現時点は、法律の骨格は決まったが、実務のルールを決める部分はこれからという段階にある。
この段階で経営者が最も注意すべきなのは、法改正そのものではない。「法改正に対応します」という提案が、何を根拠にしているかである。
この記事を読むべき人
- 顧客情報、従業員情報、会員情報などを扱うシステムを運用している会社
- 法改正のニュースを見て、自社が何をすべきか分からず止まっている経営者
- ベンダーや士業から「改正法対応」の提案・見積もりを受け取った会社
- 前回の法改正のときに、慌てて改修して費用がかさんだ経験がある会社
- 個人情報の取り扱いを、実は正確に把握していない会社
FREE DOWNLOAD
中小企業のDX推進「失敗を防ぐ5ステップ」ガイドを無料でお送りします
多くの企業がつまずくポイントを着手順に整理した無料ガイド。相談する前に、自社の現在地と進め方を掴めます。
「公布」は「施行」ではない
まず、この2つを分けて理解する必要がある。混同すると、社内で動き出す時期を大きく取り違える。
公布は、成立した法律を国民に周知するために公表する行為である。2026年7月17日に行われたのはこれである。
施行は、その法律が実際に効力を持ち始めることである。公布と同時に施行される法律もあれば、数年後に施行される法律もある。
そして、多くの場合、**具体的に何をどこまでやるべきかは、法律本文ではなく、その下位にある政令・規則・ガイドラインで決まる。**個人情報保護委員会が「引き続き検討を行う」としているのは、まさにこの部分である。
ここは正確に分ける必要がある。
改正の骨格は、法律として既に確定している。後述のとおり、個人情報保護委員会の概要資料には、施行期日の枠組みと4つの柱の内容が具体的な条文番号とともに示されている。「何が変わるか」は、この資料で読める。
**確定していないのは、その先である。**個々の義務を実務でどこまで満たせば足りるのか——対象範囲の細目、判断基準、必要な記録、体制の水準——は、政令、委員会規則、ガイドラインに委ねられており、同委員会が検討を継続中である。
**つまり「何も決まっていない」のではなく、「何が変わるかは決まっており、どこまでやれば足りるかがこれから」という段階である。**この区別を曖昧にすると、待つべきものと待たなくてよいものの判断を誤る。
施行までの期間について
個人情報保護委員会事務局が公開している概要資料「個人情報保護法等の一部を改正する法律について」（令和8年7月）には、**施行期日が「原則として公布の日から起算して2年を超えない範囲内」**と記載されている。公布日が2026年7月17日であるため、遅くとも2028年7月中旬までには施行されることになる。
同資料は、改正の内容を4つの柱で整理している。以下はいずれも同資料の記載であり、法律で確定した事項である。
1. 適正なデータ利活用の推進——統計情報等の作成にのみ利用されることが担保される場合の本人同意の扱い、生命等の保護や公衆衛生の向上のために取り扱う場合の同意取得困難性要件の緩和、学術研究例外の対象に医療の提供を目的とする機関等が含まれることの明示。
2. リスクに適切に対応した規律——16歳未満が本人である場合に同意取得や通知の対象を法定代理人とすることの明文化と、本人の最善の利益を優先して考慮すべき責務規定。顔特徴データ等について取扱いに関する一定事項の周知の義務化と、オプトアウト制度に基づく第三者提供の禁止。委託を受けた事業者の義務の見直し。漏えい等発生時に本人の権利利益を害するおそれが少ない場合の本人通知義務の緩和。
3. 不適正利用等の防止——個人情報ではないが特定の個人への働きかけが可能となる情報について、不適正利用と不正取得を禁止。オプトアウト制度における提供先の身元および利用目的の確認の義務化。
4. 規律遵守の実効性確保のための規律——命令の要件の見直し、違反行為を補助する第三者への要請の根拠規定、罰則の引き上げ、そして課徴金の納付命令の導入（同資料は第148条の3から第148条の17を挙げている）。
つまり、課徴金制度の導入も、こども・顔特徴データの規律強化も、同意要件の見直しも、法律として既に確定している。
個人情報保護委員会のサイトには、法律本文、新旧対照表、概要をまとめた資料が掲載されている。**正確な施行期日と改正内容は、これらの一次資料で確認する必要がある。**特に課徴金のような、金銭的な負担に直結する制度については、解説記事の要約ではなく原典にあたることを勧めたい。
この時期に発注してはいけないもの
法改正の公布から施行までの期間は、実務上、提案を受ける機会が最も増え、判断の材料が最も乏しい時期である。ここで発注してはいけないものが3つある。
1つ目：「改正法に完全準拠」を謳うシステム改修。 政令・規則・ガイドラインが未確定の段階で、何をもって「準拠」とするのかを定義できる者はいない。**この時点で完全準拠を保証する提案は、根拠を確認する必要がある。**確認すべきは単純で、「どの条文、どの規則のどの部分に対応するための改修か」を聞くことである。答えられない場合、まだ設計できる段階にない。
2つ目：詳細が固まる前の一括請負契約。 要件が確定していないものを固定金額で請け負う契約は、双方にとって不利になりやすい。**受注側は不確実性を織り込んで高めに見積もるか、後から追加費用を請求することになる。**この時期であれば、まず現状把握と要件整理までを区切って発注し、詳細が確定してから改修範囲を決めるほうが、総額は下がることが多い。
3つ目：内容を確認せずに更新する規程・同意文言のテンプレート。 「改正対応版」として提供される規程やプライバシーポリシーの雛形は、自社の実際のデータの扱いと合っていなければ意味がない。**むしろ、実態と異なる記載をすることで、別の問題を生む。**雛形は出発点としては有用だが、そのまま採用するものではない。
この3つに共通するのは、「確定していない要件に対してお金を払っている」という点である。
では、今できることは何か
一方で、待つべきでない作業もある。それは、法改正の内容にかかわらず必要になるもの——つまり自社が何のデータをどう扱っているかの把握である。
前回以降の法改正の実務を見ても、**改修が長期化する会社の原因は、法律の理解不足ではなく、自社のデータの流れが分からないことにあった。**どの規則が来ても、対応の第一歩は「自社の現状を書き出す」である。これは今日から着手でき、内容が確定してから始めるより確実に早い。
具体的には、次の5つを整理する。
整理1：どのシステムに、どの個人情報が入っているか。 顧客管理、会計、人事、問い合わせフォーム、メール配信、名刺管理。**業務システムだけでなく、部署が独自に使っている表計算ファイルやクラウドサービスまで含める。**ここが最も漏れやすい。
整理2：それぞれのデータを、どこから取得したか。 本人から直接か、他社から提供を受けたか、公開情報から集めたか。取得の経緯によって、扱いの前提が変わる。
整理3：外部に渡しているデータはあるか。 委託先、グループ会社、業務提携先、広告事業者。**渡していること自体を把握していない例が実際にある。**特にマーケティング関連のツールは、設定によって外部へデータが送られる。
整理4：誰がアクセスできるか。 権限の一覧。退職者のアカウントが残っていないか、必要以上に広い権限が付いていないか。
整理5：保存期間と、削除の手順が決まっているか。 「念のため残している」データがどれだけあるか。保有している量が多いほど、制度が変わったときの対応範囲は広がる。
**この5つの整理は、法改正がなくても価値がある。**むしろ、改正対応の予算が付いたタイミングを使って、平時にはやりにくい棚卸しを済ませるという捉え方のほうが実益が大きい。
改修が「システムの話」で終わらない理由
法改正への対応を情報システム部門やベンダーに丸ごと預けて失敗する会社には、共通した構造がある。個人情報の扱いを変えるということは、システムの設定を変えることではなく、業務のやり方を変えることだからである。
たとえば、取得時の同意の取り方を変えるとする。**画面に文言を1つ足すだけの改修に見える。**しかし実務では次が連動する。
営業は、商談の場で顧客に何を説明するかが変わる。同意の範囲が変われば、その後にできる連絡の範囲も変わる。説明を変えずに画面だけ変えると、現場が把握していない状態で運用が始まる。
カスタマーサポートは、顧客から「どう使われているのか」と聞かれたときの回答が変わる。回答の統一がされていないと、担当者ごとに違う説明をすることになる。
人事は、従業員のデータについて同じ論点を抱える。顧客情報の対応だけを進めて、従業員情報が置き去りになる例は多い。
マーケティングは、使えるデータの範囲が変わることで、施策の前提が変わる。**ここは最も影響が大きく、最も後から発覚しやすい。**広告配信や外部ツール連携の設定は、情報システム部門の管理外で行われていることがある。
**つまり、改修の範囲を決めるには、これらの部署が現在どうデータを使っているかを先に把握しておく必要がある。**この把握がないまま改修だけ進めると、施行後に「その運用は想定していなかった」という形で問題が出る。
**逆に言えば、この把握こそが、政令・規則の確定を待たずに進められる作業である。**そして、部署をまたぐ調整を含むため、最も時間がかかる。待っている期間に進めておく価値が最も高いのは、この作業である。
提案を受けたときの5つの質問
ベンダーや士業から改正対応の提案を受けたとき、その場で聞ける質問を用意しておく。専門知識は不要で、答えの筋が通っているかだけを見る。
質問1：「この改修は、どの規定に対応するためのものですか。」 条文または規則を特定できるか。「法改正全般に対応」という答えであれば、範囲が定義されていない。
質問2：「政令・規則が確定した後、内容が変わる可能性はありますか。」 誠実な相手であれば「ある」と答える。「ない」と断言する場合、その根拠を聞く。
質問3：「今すぐ着手する必要がある理由は何ですか。」 施行日から逆算した工程が示されるか。「早めがよいので」という理由だけであれば、急ぐ根拠がない。
質問4：「当社の現在のデータの扱いを、どこまで把握したうえでの提案ですか。」 現状把握をせずに改修内容が決まっている提案は、汎用のパッケージを当てはめている可能性がある。自社に合うかは別の話である。
質問5：「先に現状把握だけを切り出して発注できますか。」 できると答える相手であれば、段階的に進められる。できないと言う場合、なぜできないかを聞く。
**この5つは、相手を疑うための質問ではない。**要件が固まっていない段階の案件を、双方にとって無理のない形に組み直すための質問である。
委託先・再委託先の把握が最も難しい
整理3で挙げた「外部に渡しているデータ」は、5つの中で最も手間がかかる。理由は、自社の記録だけでは完結しないためである。
実務上の追い方を示す。
追い方1：契約書の一覧から始める。 業務委託契約を結んでいる先を列挙し、**それぞれについて「個人データを渡しているか」を確認する。**契約書に個人情報の取扱いに関する条項があれば、渡している可能性が高い。
追い方2：システム連携から探す。 契約書に現れない経路がある。**外部サービスとのAPI連携、データの自動送信、クラウドサービスへの保存。**これらは契約が「サービス利用契約」の形を取るため、業務委託の一覧から漏れる。
追い方3：マーケティング関連のツールを個別に見る。 広告配信、アクセス解析、メール配信、フォーム作成。**これらは設定によって、どの範囲のデータが外部へ渡るかが変わる。**そして、設定したのが情報システム部門ではない場合が多い。
追い方4：再委託の有無を書面で聞く。 委託先が、さらに別の会社へ業務を再委託しているか。**これは聞かなければ分からない。**そして、聞けば通常は回答が得られる。聞いていない会社が多いだけである。
**この4つのうち、追い方3が最も見落とされ、かつ最も範囲が広い。**マーケティング施策は施策単位で導入されるため、全体像を持つ人が社内にいないことがある。
**そして重要なのは、この作業に法改正の内容は必要ないという点である。**現行の枠組みでも把握しておくべきことであり、今できて、後で必ず使う。
よくある質問
Q. 施行までまだ時間があるなら、何もしなくてよいか。 A. 発注は待ってよいが、**自社のデータの棚卸しは待つ理由がない。**どの規則が来ても必要になる作業であり、着手が早いほど後の選択肢が広がる。
Q. 課徴金が導入されると聞いた。中小企業も対象か。 A. **課徴金の納付命令の導入自体は、個人情報保護委員会の概要資料に記載されており、法律として確定している。**同資料は、経済的な誘因のある大量の個人情報の取扱いによる悪質な違反行為を抑止するため、重大な違反により個人の権利利益が侵害された場合等について、違反行為によって得られた財産的利益等に相当する額の納付を命ずることとする、としている。**一方、どういう場合に実際に課されるかという運用の細目は下位規範に委ねられている。**企業規模による適用除外の有無を含め、本稿では判断を示せない。金銭的な負担に関わる部分は、必ず原典と専門家で確認してほしい。
Q. 前回の改正のときに対応済みだが、また改修が必要か。 A. 必要かどうかは、確定した規則の内容と、自社の現在のデータの扱いを突き合わせて初めて判断できる。「前回対応したから今回も必要」でも「前回対応したから今回は不要」でもない。
Q. 現状把握を自社でやる余裕がない。 A. 全社を一度にやる必要はない。**まず個人情報が最も多く集まっているシステム1つに絞る。**多くの会社では顧客管理か人事のどちらかである。1つ終われば、同じ手順を他へ広げられる。
Q. ベンダーから「今なら補助金が使える」と言われた。 A. 補助金の活用自体は合理的な場合がある。**ただし、要件が未確定の改修を、補助金の申請期限に合わせて前倒しすると、後で作り直しになる可能性がある。**補助金の期限と、規則の確定時期のどちらが先かを確認したい。
Q. プライバシーポリシーだけ先に更新しておくべきか。 A. 現在の実態と合っていない記載があるなら、**法改正とは無関係に、今すぐ直す価値がある。**一方、改正を見込んだ先回りの更新は、確定内容と食い違うと二度手間になる。実態との不一致の解消が先である。
Q. 委託先にデータを渡している。何を確認すべきか。 A. まず、渡しているデータの種類と範囲を書面で確認する。**そのうえで、委託先が再委託しているかを聞く。**再委託の有無は、自社が把握していないことが多い項目である。
Q. 士業とシステム会社、どちらに相談すべきか。 A. 法的な解釈は士業、システムの改修範囲はシステム会社という切り分けが基本になる。**ただし、両者の間に「自社のデータが今どう流れているか」を整理する作業があり、ここが抜けると双方の提案がかみ合わない。**まずこの整理から始めるのが実務的である。
現状把握とベンダー提案の確認から相談したいとき
法改正への対応で費用が膨らむ会社に共通しているのは、確定していない要件に対して、確定した金額を払ってしまうことである。逆に、自社のデータの流れを把握できていれば、規則が確定した時点で改修範囲を最小限に絞り込める。
自社のシステムに個人情報がどう分散しているかの整理や、改修範囲の見極めから着手したい場合は、個人データの流れの整理とシステム改修で対応している。既にベンダーから改正対応の提案や見積もりを受け取っていて、内容が妥当か第三者の視点で確認したい場合は、改修範囲が妥当か第三者に確認してもらうから相談できる。
個人情報の保管状況やアクセス権限の技術的な確認を含めたい場合は個人データの保管状況とアクセス権限の確認、社内の情報管理体制そのものを整理したい段階であれば社内の情報管理体制を整理するが該当する。
なお、現行法での実務対応は個人情報保護法の対応チェックリスト、漏えい時の報告義務は漏えい報告の実務ガイド、業種別の指針は分野別ガイドラインの読み方で扱っている。本稿は、公布から施行までの期間における発注判断に絞っている。
参照した情報
- 個人情報保護委員会「令和8年 改正個人情報保護法について」: https://www.ppc.go.jp/personalinfo/legal/r8kaiseihogohou/
- 個人情報保護委員会事務局「個人情報保護法等の一部を改正する法律について」（令和8年7月・概要資料PDF）: https://www.ppc.go.jp/files/pdf/260717_kaiseihounitsuite.pdf
- 同「個人情報の保護に関する法律等の一部を改正する法律」（法律本文PDF）: https://www.ppc.go.jp/files/pdf/260717_houritsu.pdf
- 同 新旧対照表（PDF）: https://www.ppc.go.jp/files/pdf/260717_sinkyutaisyohyo.pdf
- 個人情報保護委員会 報道発表資料: https://www.ppc.go.jp/news/press/
- 個人情報保護委員会: https://www.ppc.go.jp/
法律名「個人情報の保護に関する法律等の一部を改正する法律」、第221回国会（特別会）への提出日（2026年4月7日）、可決・成立日（2026年7月10日）、公布日（2026年7月17日）、および個人情報保護委員会が政令・規則・ガイドライン等の検討を継続する旨は、上記個人情報保護委員会のページの記載に基づく。
施行期日が「原則として公布の日から起算して2年を超えない範囲内」とされている旨、および改正の4つの柱（適正なデータ利活用の推進／リスクに適切に対応した規律／不適正利用等の防止／規律遵守の実効性確保のための規律）の内容——16歳未満の者に関する規律、顔特徴データ等の周知義務化とオプトアウト提供の禁止、委託を受けた事業者の義務見直し、漏えい等発生時の本人通知義務の緩和、不適正利用・不正取得の禁止、命令要件の見直し、罰則の引き上げ、課徴金の納付命令の導入——は、いずれも上記概要資料の記載に基づく。
**一方、これらの規定を実務でどこまで満たせば足りるかという細目、適用の判断基準、必要な記録や体制の水準は、政令・委員会規則・ガイドラインに委ねられており、本稿執筆時点で検討中である。**本稿はこれらを確定した事実としては扱っていない。**本稿は法令の解釈を示すものではなく、個別の事案における適法性の判断は弁護士等の専門家に確認する必要がある。**なお、引用文中の漢数字・全角数字は、表記の統一のため半角数字に改めている。
発注してはいけない3項目、現状把握の5つの整理、および提案を受けたときの5つの質問は、GXOが発注判断の観点で整理したものであって、個人情報保護委員会が示した基準ではない。個別の条文の解釈、対応義務の有無、および課徴金の対象範囲については、本稿では扱っていない。
