個人情報保護法改正2026｜いつから？課徴金対象と中小企業の対応15項目

個人情報保護法の改正法が、2026年7月10日に参議院本会議で可決され、成立した。 日本で初めて、個人情報の違法な取扱いに対する課徴金制度を導入する内容を含む改正である（参議院・議案審議情報）。「法案審議中だからまだ様子見でいい」という段階は、この日で終わった。

結論：経営者が今すぐ知るべき変更点3つと対応期限

忙しい経営者のために、先に結論をまとめる。

つまり対応は三層構造になる。「今すぐ＝現行法の確定義務」「公布＋6か月＝罰則強化への備え」「公布＋2年以内＝課徴金など新制度への備え」。この記事では、この三層を中小企業の実務に落とすためのチェックリストと判断フローを提供する。

---

目次

1. この記事を読むべき会社：「うちは対象か？」判断フロー
2. 2026年改正の全体像：成立した改正法の4本柱
3. 施行日タイムライン表
4. 課徴金制度の実像：何が対象で、何が対象でないか
5. 中小企業向け対応チェックリスト（5軸15項目）
6. 経営者が知らない落とし穴：失敗パターン7選
7. 個人情報取扱いの棚卸し方法
8. プライバシーポリシー更新の観点
9. 違反・漏えい時のコスト構造
10. FAQ
11. GXOに相談すべきタイミング

---

この記事を読むべき会社：「うちは対象か？」判断フロー

この記事の主な読者は、専任の法務部門や情報システム部門を持たない中堅・中小企業の経営者、管理部門責任者、兼任情シスである。大企業の法務部が読む逐条解説ではなく、「自社に関係する変更はどれか」「何から着手すべきか」を経営判断の粒度で整理する。

自社への影響度は、次の6つの問いで概ね判定できる。

Q1がYesである時点で読む価値がある。Q2〜Q6に1つでもYesがあれば、改正法の個別規定や越境移転の規律が自社の業務フローに直接影響する。

---

2026年改正の全体像：成立した改正法の4本柱

成立した改正法（「個人情報の保護に関する法律等の一部を改正する法律」）の内容は、個人情報保護委員会が公表している法律案の概要資料で確認できる。柱は4つある。

なお、一時検討されていた適格消費者団体等による差止・被害回復請求の拡充は、今回の改正法の概要には含まれていない。

---

施行日タイムライン表

タイムラインから読み取るべき経営判断は一つだ。「施行は最長2年後」は猶予ではなく準備期間である。特に16歳未満特則や顔特徴データ規律のようにシステム改修を伴う対応は、要件整理から実装・テストまで通常6か月〜1年かかる。政令とガイドラインが出そろってから着手すると、施行日に間に合わない構造になっている。

---

課徴金制度の実像：何が対象で、何が対象でないか

課徴金は今回の改正で最も報道された論点だが、経営者の理解は「漏えいしたら売上の何%か取られる」というGDPRのイメージに引きずられ、実像から大きくずれている。競合記事の多くも「1,000人超が課徴金対象」「大規模漏えいで課徴金」と書いており、これを鵜呑みにすると備える方向を間違える。一次情報と条文解説をもとに、経営者が押さえるべき点だけに絞って実像を整理する。

まず「算定の基礎」を誤解しない

個人情報保護委員会の概要資料では、課徴金は「経済的誘因のある、大量の個人情報の取扱いによる悪質な違反行為を実効的に抑止するため、重大な違反行為により個人の権利利益が侵害された場合等について、当該違反行為によって得られた財産的利益等に相当する額の課徴金の納付を命ずる」（第148条の3〜第148条の17として新設）と説明されている。

ここで確実に言えることは、算定の基礎は売上高ではなく、違反行為によって得られた財産的利益等だということだ。EUのGDPR（全世界売上高の最大4%）や一部の想定報道が広めた「売上の◯%」型の制裁金とは設計が根本から異なる。つまり「うちは年商◯億だから課徴金は◯千万円」という試算は、そもそも制度の建て付けを誤っている。

課徴金が狙うのは「儲かる違法行為」——4類型と1,000人超要件

概要資料は算定の枠組みまでしか触れておらず、対象行為の類型や件数要件は法律案の条文に規定される。この条文部分については複数の法律事務所が解説を公表しており（本記事更新時点で一次情報の逐条解説は未公表のため、以下はBUSINESS LAWYERS（弁護士監修）の条文解説などの弁護士による条文の読みに基づく整理である）、要点は次のとおりだ。

単純な過失による漏えい事故は、課徴金制度が直接狙う対象ではない。 制度の狙いは名簿の違法販売・不正取得のような「経済的誘因のある悪質行為」の抑止であり、通常の事業運営で起きた漏えいをただちに課徴金で罰する制度ではない。ここを取り違えて「課徴金が怖いから」とセキュリティ製品を買い急ぐより、後述する現行法義務と内部統制を固める方が費用対効果が高い。

なお、上記の類型・件数・減免率は法律案の条文段階の読みであり、最終的な適用要件・算定方法・自主申告の手続は施行までの政令・規則・ガイドラインで確定する。現時点で「うちなら◯◯万円」という試算はできないし、するべきでもない。

だからといって「漏えいは安い」わけではない

課徴金の対象外でも、漏えい等が起きれば現行法の報告義務・是正命令等の対象であり、後述するとおり調査費用・通知費用・信用毀損という実費が発生する。さらに罰則強化の先行施行後は、従業員が加害目的で名簿を持ち出すような内部不正に対する刑事リスクが上がる。課徴金の心配をする前に、現行法の義務と内部統制を固めることが、結果として課徴金制度への最善の備えになるというのがGXOの見立てである。

---

中小企業向け対応チェックリスト（5軸15項目）

自社の穴を見つけるためのチェックリストを、体制・社内規程・委託先管理・漏えい時報告・従業員教育の5軸で示す。項目1〜12は現行法の下で今すぐ整えるべき事項、項目13〜15は成立した改正法を見据えた先行整備である。

軸1：体制（項目1〜3）

軸2：社内規程（項目4〜6）

軸3：委託先管理（項目7〜9）

軸4：漏えい時報告（項目10〜12）

軸5：従業員教育＋改正法への先行整備（項目13〜15）

判定基準

未対応が多い場合にどこから手を付けるかは明確で、軸4（漏えい時報告）が最優先である。他の軸は「いつか監査で指摘される」リスクだが、軸4は「明日インシデントが起きたら数日で期限が来る」リスクだからだ。

このチェックリストの運用方法にもひと工夫ある。担当者に「埋めておいて」と渡すだけでは、実態より甘い自己申告が返ってくるのが常だ。勧めたいのは、経営会議の30分をこのチェックに充て、各項目について「対応済みの根拠となる文書・画面を見せられるか」で判定することである。規程なら最終改定日、委託契約なら通知条項の該当ページ、報告フローなら実際の文書。「あるはず」と「見せられる」の差が、そのまま監査・有事に耐えられるかの差になる。根拠を出せない項目は未対応として数えるのが正しい運用だ。

---

経営者が知らない落とし穴：失敗パターン7選

チェックリストの背後にある、実務で本当に事故になるポイントを挙げる。いずれも一次情報で確認できるものに限定した。

落とし穴1：委託先経由の漏えいでも、報告するのは自社

「配送業者がやらかしたのだから、うちは関係ない」は通用しない。個人情報保護委員会のFAQでは、委託先で個人データが漏えいした場合、原則として委託元と委託先の双方が報告義務を負い、委託先が委託元に通知した場合には委託先の報告義務が免除される（法第26条第1項ただし書・施行規則第9条）と明示されている（個人情報保護委員会FAQ）。つまり実務上、最後まで報告義務を負って残るのは委託元＝自社である。委託先からの第一報が遅れれば、その分だけ自社の報告期限が食いつぶされる。契約に「発覚後◯時間以内の通知」を入れていない会社は、この時点で構造的に不利だ。

落とし穴2：速報の期限は「概ね3〜5日以内」。営業日ではない

現行法の漏えい等報告は、要配慮個人情報を含む漏えい、財産的被害のおそれ、不正の目的による漏えい、1,000人超の漏えいの4類型で義務となり、速報は速やか（概ね3〜5日以内）、**確報は30日以内（不正の目的の場合は60日以内）**である（個人情報保護委員会「漏えい等報告・本人への通知の義務化について」、漏えい等の対応とお役立ち資料）。金曜夕方に発覚すれば、土日を挟んで実働は2〜3日しかない。「発覚したら誰が・何を・どこに報告するか」を紙1枚で決めておくだけで、この期限は守れるようになる。初動フローの作り方はセキュリティインシデント対応のフロー・テンプレート解説で詳述している。

落とし穴3：「施行は2年後」と聞いて全部後回しにする

主要な新制度の施行が公布から2年以内なのは事実だが、罰則強化などは公布から6か月を経過した日に先行施行される（改正法附則第1条第3号）。さらに、漏えい報告・安全管理措置・委託先監督は現行法ですでに義務である。「2028年まで何もしなくていい」と全社に伝わってしまうのが、この改正で最も典型的な経営判断ミスになるだろう。三層（今すぐ／公布＋6か月／公布＋2年以内）で期限を分けて指示することが経営者の仕事だ。

落とし穴4：課徴金ばかり見て、現行法下の実費を見ない

前述のとおり課徴金の主対象は「利益を得た違法行為」だが、単純な漏えい事故でも、フォレンジック調査・本人通知・窓口設置・再発防止策という実費は現行法下で現実に発生する（金額感は後述のコスト構造を参照）。課徴金制度の施行を待たず、漏えいはすでに「高い」。

落とし穴5：規制強化の面だけ見て、利活用の緩和を取りこぼす

今回の改正は強化一辺倒ではない。統計情報等の作成（統計作成等と整理できるAI開発等を含む）にのみ利用される場合の第三者提供等は、本人同意が不要となる方向が法律として確定した。顧客データを統計化して需要予測やAIモデル開発に使いたい会社にとっては明確な追い風である。ただし「統計等の作成にのみ利用」という限定をどう担保するかの設計を誤ると、緩和のつもりが違法な目的外利用になる。データ基盤の設計とあわせて考えるべきテーマであり、この論点はDX・システム開発の支援ページで扱う領域と直結する。

落とし穴6：顔認証カメラを「防犯設備」としか認識していない

入退室管理や店舗防犯で顔認証・顔識別カメラを使っている会社は、自覚のないまま「顔特徴データ等」の取扱事業者になっている。改正法ではその取扱いに関する一定の事項の周知が義務化され、利用停止等請求の要件が緩和され、オプトアウト制度による第三者提供が禁止される。「設備担当者しか存在を知らないカメラ」が規程・公表文書から漏れているケースは、中小企業で特に起きやすい。チェックリスト項目15をこの機会に必ず確認してほしい。

落とし穴7：「本人通知が緩和される」と聞いて通知準備を緩める

改正法には、漏えい等発生時に本人の権利利益の保護に欠けるおそれが少ない場合に本人への通知義務を緩和する規定（第26条第2項関係）が含まれる。これを「今後は本人通知しなくてよくなる」と読むのは二重に誤りだ。第一に、この規定は施行日まで効力がなく、現行法の通知義務は今も全面的に適用される。第二に、緩和されるのは「保護に欠けるおそれが少ない場合」という限定された場面であり、どのケースが該当するかは施行に向けた政令・ガイドラインで示される見込みである。確定前に社内フローから通知手順を削るのは、期限違反の直行ルートになる。緩和規定は「通知体制を作らない理由」ではなく「施行後に通知要否の判定ステップを追加する準備」として扱うべきだ。

---

個人情報取扱いの棚卸し方法

チェックリスト項目2（台帳化）は、すべての対策の土台になる。以下の手順で進める。

ステップ1：部署ごとに洗い出す

各部署が保有する個人情報を以下のフォーマットで一覧化する。

このとき、「16歳未満の本人が含まれるか」「顔画像・顔特徴データが含まれるか」「外部委託先に渡っているか」「保管国（越境移転の有無）」の4列を今回から追加することを勧める。改正法の影響範囲と越境移転リスクの洗い出しが、通常の棚卸しと同じ工数で済む。

とりわけ見落とされやすいのが最後の「保管国」だ。会計・人事・CRM・チャットといった海外SaaSはサーバが国外にあることが多く、その時点で個人データを「外国にある第三者へ提供」していることになり得る。現行法でも越境移転には本人同意や移転先の体制に関する情報提供等の対応が求められる。さらに、従業員がChatGPT等の生成AIに顧客名や問い合わせ内容を貼り付ける運用も、個人データを外部事業者のサーバへ渡す行為になり得る。統計特例（AI特例）の緩和は「統計作成にのみ利用」が条件であり、日常業務での安易な入力を正当化するものではない。棚卸しの段階で「どのSaaS・AIツールに、どんな個人データが、どの国のサーバへ渡っているか」を一列足して可視化しておくと、越境移転と生成AI利用という二つの盲点を同時に潰せる。

ステップ2：リスク評価を行う

ステップ3：不要なデータを削除する

保存期間を超過したデータや利用目的を失ったデータは、速やかに安全な方法で削除する。持っていないデータは漏えいしない。棚卸しの最大の成果は、実は「守るべきデータを減らせること」にある。

---

プライバシーポリシー更新の観点

改正法の施行に先立って、既存のプライバシーポリシーを次の観点で点検する。

注意すべきは、ポリシーの文言だけ先行して改正法対応を謳わないことだ。施行前の制度を「実施済み」のように書くと実態と乖離する。現行法への適合を先に完成させ、改正法対応は政令・ガイドラインの確定に合わせて反映するのが正しい順序である。

---

改正対応でシステム改修が必要になる3領域｜見積もりの読み方とベンダーへの質問

競合の法律解説記事が判で押したように止まるのが、この「では実際にシステムをどう直すのか、いくらかかるのか」という一歩手前だ。弁護士は法解釈を、コンサルは体制を語るが、改修の見積もりを受け取って発注する側の実務は誰も書いていない。ここがGXOの領域である。改正対応で費用が発生しやすいのは次の3領域で、いずれも「政令待ち」を言い訳に放置すると施行日に間に合わなくなる。

見積書を鵜呑みにしないための読み方

改正対応を口実に、必要以上の規模のシステム改修や製品導入を勧められるのは中小企業で最も起きやすい発注事故だ。見積書が届いたら、次の順で読む。

1. 改正で「義務化されたこと」と「あれば良いこと」が混ざっていないか。 法的に必須の改修（例：16歳未満導線の同意主体変更）と、ベンダーが売りたい付加機能（高機能な同意管理SaaS一式）は分けて金額を出させる。
2. 要件定義が見積もりに含まれているか。 「まず現行の個人データの流れと保存期間を洗い出す」工程が入っていない見積もりは、後から追加費用が出る典型だ。棚卸し（前掲）が済んでいれば、この工程を自社側で肩代わりでき、見積もりを圧縮できる。
3. 「一式」の中身が分解できるか。 顔認証対応「一式300万円」のような塊は、掲示物の整備・停止フロー・保存基盤で単価が桁違いに違う。分解を拒むベンダーは要注意だ。
4. 政令・ガイドライン未確定部分をどう扱う契約になっているか。 施行前に確定できない仕様を「今の想定で作り切る」提案は、政令確定後の作り直しリスクを自社が丸かぶりする。段階分け（現行法対応を先に、改正固有部分は確定後）にできるベンダーが望ましい。

発注前にベンダーへ必ず聞く5問

• この改修のうち、法的に必須の部分はどれで、いくらか（任意の付加部分と分けて）
• 要件定義（現行データフローの棚卸し）は見積もりに含まれるか、別料金か
• 政令・ガイドライン確定で仕様変更が生じた場合、追加費用の扱いはどうなるか
• 納品後、社内の兼任担当だけで運用・改修を続けられる作りか（ブラックボックス化しないか）
• 顔認証・ログ基盤は、既存設備を活かす前提か、入替前提か（入替前提ならその根拠）

こうした問いに即答できないベンダーや、質問を嫌がるベンダーは、改正対応を営業機会としか見ていない可能性が高い。逆に、必須と任意を分けて説明し、段階発注を提案してくるベンダーは信頼できる。

自社の改修規模を発注前に見立てておきたい場合は、まず自社のDX成熟度と体制の弱点を無料で診断して「どこまで社内で、どこから外注か」の線引きを持っておくと、見積もりを受け取ったときの判断が速くなる。改修そのものの設計・実装はDX・システム開発の相談窓口で、データの流れの整理から改修範囲の切り出しまで支援できる。

---

違反・漏えい時のコスト構造

課徴金だけが違反のコストではない。漏えい1,000件規模（中小企業想定）で現行法下でも発生し得るコストの全体像を示す。

各金額は事案の規模・内容により大きく変動する目安であり、確定値ではない。それでも、予防側のコスト（体制整備・教育・委託先管理で年間数十万〜100万円程度）との比較で、事前対策の費用対効果が高いことは動かない。

---

FAQ

Q1. 改正法はいつから施行されるのか？

原則として公布の日から起算して2年を超えない範囲内で政令が定める日から施行される。ただし罰則関係の規定など一部は公布の日から6か月を経過した日に先行施行される（改正法附則第1条）。本記事更新時点（2026年7月16日）で公布日は未確定のため、公布後に起算日が確定する。

Q2. 中小企業も課徴金の対象になるのか？

事業規模による一律の適用除外は概要資料に示されていないため、中小企業も制度上の対象にはなり得る。ただし対象は「重大な違反行為により個人の権利利益が侵害された場合等」で、弁護士の条文解説によれば違反4類型（違法な第三者提供・第三者の違法利用を想定した取扱い・第三者提供制限違反・統計特例の目的外利用等）に限定され、原則として本人1,000人超が要件とされる。さらに調査開始前に自主申告すれば50%減額される減免制度も設けられる見込みだ。通常の事業運営での過失による漏えい事故を直接狙った制度ではないが、これら類型・件数・減免率は条文段階の読みであり、最終要件は施行までの政令・規則で確定する。

Q3. 漏えいしたら何日以内に報告が必要か？

現行法で、報告対象4類型（要配慮個人情報／財産的被害のおそれ／不正の目的／1,000人超）に該当する場合、**速報は速やか（概ね3〜5日以内）、確報は30日以内（不正の目的によるおそれがある場合は60日以内）**に個人情報保護委員会へ報告し、あわせて本人へ通知する。何をどの順で報告するかは漏えい・不正アクセス発生時の報告チェックリストにまとめている。

Q4. 委託先で漏えいが起きた場合、自社は報告しなくてよいか？

いいえ。原則として委託元・委託先の双方が報告義務を負い、委託先が委託元に通知した場合は委託先側の義務が免除される構造のため、委託元である自社の報告義務は残る（法第26条第1項ただし書・施行規則第9条、個人情報保護委員会FAQ）。委託契約の通知条項と受領窓口を今すぐ確認すべきだ。

Q5. 16歳未満の会員がいるサービスは何を変える必要があるか？

改正法では、16歳未満の本人について同意取得や通知等の対象を法定代理人とすることが明文化され、利用停止等請求の要件緩和、本人の最善の利益を優先して考慮すべき責務規定が設けられる。実務では会員登録・同意画面・年齢確認のフロー改修が想定されるが、具体的な実装要件は施行に向けた政令・ガイドラインで示される見込みのため、現時点では対象サービスと改修候補箇所の洗い出しまでを先行させるのが正解だ。

Q6. 海外SaaSや生成AIに個人データを入れているが問題ないか？

利用目的の範囲内か、外国にある第三者（AI提供元・海外SaaS事業者）への提供に当たらないかを点検する必要がある。海外にサーバがあるSaaSの利用は越境移転の規律（本人同意や移転先の体制に関する情報提供等）の対象になり得る。生成AIについては、統計特例（AI特例）の緩和が「統計作成にのみ利用」を条件とする点に注意し、日常業務での入力を包括的に正当化しないこと。実務的な第一手は、入力してよい情報・禁止する情報のルールを明文化し、学習に使われないプラン（Enterprise等）の利用を検討することだ。

Q7. まず何から着手すべきか？

本記事のチェックリスト（5軸15項目）を管理部門で埋め、未対応項目のうち軸4（漏えい時報告）を最優先で解消する。次に棚卸し（16歳未満・顔特徴データ・委託先・保管国の4列を追加）、その後に改正法の政令・ガイドラインをウォッチしながら軸5の先行整備を進める。

---

GXOに相談すべきタイミング

自社だけで進められる部分と、外部を入れるべき部分の境界を示しておく。

社内で完結できるのは、チェックリストを埋めることと棚卸しまでである。一方、次のいずれかに当てはまる場合は、外部の目を入れた方が結果的に速く安くなる。

• チェックリストで未対応が5個以上あり、どの順で潰すべきか社内で判断できない
• 漏えい時の報告フローを作りたいが、自社のログが「報告に耐える証跡」になっているか確認できない
• 顔認証カメラや16歳未満向けサービスを持っており、改正法対応のシステム改修の要件と規模感を見積もりたい
• 委託先や海外SaaSが多く、契約条項・越境移転・管理実態の点検を回す人手がない

GXOでは、こうした状態の会社に対して、まずセキュリティ診断で「現行法の義務を果たせる状態か」「どこに穴があるか」を第三者視点で棚卸しすることから始めることを勧めている。診断で終わらせず継続的な体制が必要な場合——ひとり情シス・兼任情シスで法改正ウォッチと脆弱性対応を回しきれない会社——には、月額のセキュリティ運用伴走（セキュリティ顧問）で、改正法の政令・ガイドライン動向の追跡から委託先チェックの運用までを継続支援する形が合う。

改正法の成立から主要規定の施行まで最長2年。この期間を「様子見」に使った会社と「準備」に使った会社の差は、施行日にそのまま表面化する。自社がどちら側にいるか確かめたい段階での相談も歓迎する。

個人情報保護法改正への対応状況を無料で相談する

※ オンライン完結可。チェックリストの記入結果を持ち込んでいただければ、初回相談で優先順位の見立てまでお返しする。

---

まとめ：三層の対応スケジュール

改正法は成立した。もう「動向をウォッチする」フェーズではなく、「期限から逆算して準備する」フェーズである。チェックリストの未対応を1つずつ消していくことが、漏えいリスク・刑事リスク・将来の課徴金リスクの3つから自社を守る最も確実な方法だ。

---

参考資料（一次情報）

• 参議院「個人情報の保護に関する法律等の一部を改正する法律案」議案審議情報（2026年7月10日参議院本会議可決・成立）
• 個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律案」の閣議決定について（令和8年4月7日）
• 同・法律案の概要資料（PDF）
• 同・法律案原文（PDF・附則第1条に施行期日）
• 個人情報保護委員会「個人情報保護法 いわゆる3年ごと見直しについて」
• 個人情報保護委員会「漏えい等報告・本人への通知の義務化について」
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」
• 個人情報保護委員会FAQ「委託先において個人データが漏えいしてしまった場合の対応」

参考（二次情報・課徴金の類型/件数要件/自主申告減免の条文解説）：

• BUSINESS LAWYERS「令和8年改正個人情報保護法とは？ポイントを弁護士が解説」

※ 本記事は2026年7月16日時点の一次情報に基づく。課徴金の対象4類型・本人1,000人超要件・自主申告50%減額は、一次の逐条解説が未公表のため弁護士事務所による法律案条文の解説を基にした整理であり、公布日・法律番号・政令・ガイドラインとともに今後確定する。最終的な実務判断は個人情報保護委員会の最新公表資料で確認してほしい。

GXO式「法改正対応・着手判定」100点評価表

このGXO独自分析の対象は、法案の論点説明ではなく、公開された施行時期と現行義務を「経営者が今期に発注すべき作業」へ変換する順序である。各項目を、証拠ありなら満点、一部ありなら半点、口頭確認だけなら0点で採点する。

• 80〜100点: 現行対策を運用し、政令・ガイドライン確定後に差分だけ改修する
• 60〜79点: 90日以内に不足証拠を回収し、改修見積を2案比較する
• 0〜59点: 新規の個人データ連携を一時停止し、初動フローと台帳を先に作る
• 強制停止条件: 漏えい連絡先がない、管理者権限が不明、ログが残らない、委託先から通知期限の合意がない場合は、合計点にかかわらず高リスクな新規連携を見送る

そのまま使える90日対応テンプレート

費用は、法律相談、台帳・規程整備、画面・API改修、ログ保全、委託先監査を別見積にする。総額だけの見積は妥当性を判断できない。法的解釈は弁護士等へ、システム上の実装・証拠・移行手順は開発会社へ分けて確認する。

根拠と検証方法

版番号: GXO-PPC-20260717-v1.0。確認日: 2026年7月17日。個人情報保護委員会の閣議決定資料、法律案原文、漏えい等対応資料、国会の議案審議情報を突合した。法令・公式発表で確定した事実と、GXOの見解である採点・優先順位を分離した。検証可能性を保つため、各判定は台帳、権限出力、ログ、契約、訓練記録という証拠に結び付ける。公布日、法律番号、政令、委員会規則、ガイドライン、施行日が公表された時、または一次資料と本文に差分が出た時を更新条件とする。本表は法的助言や適法性を保証するものではない。