個人情報保護法は、3年ごとの見直し規定により2026年に改正議論が本格化している。2022年改正（漏えい報告義務化・罰則強化）の実運用を踏まえて、漏えい時の実務対応強化・越境移転規制・仮名加工情報の扱いなどが論点となっている。
本記事では、法務・情シス・セキュリティ責任者・経営層向けに、現時点で確定している2022改正の実務運用と、2026改正で想定される主要論点、そして企業が今すぐ整備すべき体制を整理する。
現行（2022年改正後）の主要義務
1. 漏えい等の報告義務
以下のいずれかに該当する場合、個人情報保護委員会（PPC）への報告 と 本人への通知 が義務化されている。
- 要配慮個人情報を含む漏えい
- 不正アクセスによる漏えい
- 1,000人を超える漏えい
- 財産的被害が生じるおそれ
報告期限：
- 速報： 覚知後 3〜5日以内
- 確報： 30日以内（不正アクセス等は60日以内）
2. 罰則
- 措置命令違反：最大1億円以下の罰金（法人両罰）
- 個人：最大1年以下の懲役 または 最大100万円以下の罰金
- データ国外提供違反・個人情報データベース等不正提供：1年以下/50万円以下
3. 越境移転規制
個人データを外国に移転する場合、本人への情報提供（移転先国の制度、移転先の講じる措置等）が義務化。
セクションまとめ： 漏えい報告・通知は PPC と本人の両方。罰則は最大1億円。越境移転の本人通知義務は見落とされがち。
FDE+ READY
AI/DXを始める前に、業務・データ・権限を整理しませんか？
補助金、法改正、OSS、AI利用ルールなど、導入前に止まりやすい論点を整理し、実装に進める状態を作ります。
2026年改正で想定される主要論点
論点1：漏えい報告の迅速化
現行の速報3〜5日がさらに短縮される可能性がある。EU GDPR は 72時間以内が原則で、国際整合の議論がある。
論点2：本人通知の厳格化
現在は本人への通知が難しい場合の代替措置（ホームページ掲載等）があるが、この代替措置の要件が厳格化される可能性。
論点3：罰則のさらなる強化
措置命令違反が売上高の%表記になる可能性（EU GDPR に近づく議論）。中堅企業でも年商の数%が罰金となれば影響は甚大。
論点4：AI・プロファイリング規制
生成AI/プロファイリングへの個人データ活用について、目的の限定・本人同意の厳格化が議論されている。
論点5：子どもの個人情報保護
未成年者データの厳格な扱い（保護者同意要件等）が具体化される方向。
セクションまとめ： 改正は「迅速化・厳格化・罰則強化・AI対応・子ども保護」の5軸。どれも企業側の対応コストを上げる方向。
漏えい時の90分対応フロー
漏えい発生から90分以内に動き出すためのフロー。
0〜15分：覚知・初動隔離
- 漏えい発生の連絡を受ける（従業員・外部通報・監視ツール等）
- 対象システムの即時隔離（ネットワーク遮断）
- 経営層への第一報
15〜45分：範囲特定
- 影響範囲のリストアップ（人数・データ種別・取引先）
- 証拠保全（サーバ・アクセスログ・通信ログ）
- インシデント対応チーム召集
45〜90分：意思決定
- PPC 報告の判定（報告義務に該当するか）
- 本人通知方法の検討（メール・郵送・ホームページ）
- 対外コミュニケーション（プレスリリース要否）
- 専門家（弁護士・セキュリティベンダー）への連絡
セクションまとめ： 最初の90分が勝負。「初動隔離 → 範囲特定 → 意思決定」の3フェーズを30分ずつで回す。
漏えい時の90分対応フローを御社用にGXOがカスタマイズします
現在のインシデント対応体制・連絡経路・外部専門家との契約状況をお聞きし、個人情報漏えい時の90分フローと必要な文書類をご提示します。プレスリリース雛形・本人通知文例集もご用意しています。
※ 営業電話はしません | オンライン対応可 | 相談だけでもOK
企業が整備すべき4つの体制
体制1：インシデント対応プレイブック
- 漏えい発生時の初動から報告・通知までのフローを文書化
- 部門別の役割分担と連絡経路
- 毎年の見直しと訓練
体制2：データマッピング
- どこに何の個人データが保管されているかの棚卸し
- システム・クラウド・紙書類すべて対象
- 漏えい時に範囲特定を15分で完了できる粒度
体制3：技術的安全管理措置
- 暗号化（保存時・通信時）
- アクセス制御（最小権限・多要素認証）
- ログ取得と監視
- 定期的な脆弱性診断
体制4：社内教育と第三者連携
- 年1〜2回の個人情報保護研修
- 弁護士・セキュリティベンダーとの連携契約
- 顧客・取引先に対するプライバシーポリシーの更新
セクションまとめ： プレイブック・データマッピング・技術的措置・教育の4体制。どれか1つ欠けても漏えい時に正しく動けない。
まとめ
- 現行法で既に漏えい報告義務・罰則強化は施行済み
- 2026改正で迅速化・厳格化・罰則強化が進む見込み
- 90分対応フロー + 4体制整備で備える
FAQ
Q1. 「1,000人を超える」漏えいの判定はいつの時点ですか？
漏えいの可能性を認知した時点の最大想定数で判定します。最終的な漏えい数が1,000人以下でも、可能性として1,000人超と判定した段階で報告義務が発生します。
Q2. 社員のメール誤送信も報告対象ですか？
要配慮個人情報・不正アクセス起因・財産被害のおそれなど報告対象に該当する場合は対象。単純な誤送信で一般個人情報1件程度なら、報告対象外のケースが多いです。
Q3. 漏えい報告を怠ったら、罰則は必ず適用されますか？
即座に罰則適用ではなく、措置命令 → 命令違反で罰則の流れです。ただし社会的信用失墜が最大の実害で、法定罰金より影響が大きいケースが多いです。
参考情報
- 個人情報保護委員会「個人情報保護法」公式ガイドライン
- 個人情報保護委員会「漏えい等の報告に関する Q&A」
- 総務省「サイバーセキュリティ戦略」
- IPA「情報セキュリティ10大脅威 2026」
関連記事
個人情報保護法対応はGXOにご相談ください
インシデント対応プレイブック作成、データマッピング、技術的安全管理措置、社内研修まで、法務・情シス・セキュリティの観点を統合して支援します。オンラインを中心に全国対応可能です。
※ 営業電話はしません | オンライン対応可 | 相談だけでもOK
付録
パンチライン
- 漏えい速報は3〜5日以内、確報は30日以内。2026改正でさらに短縮される可能性。
- 罰則は最大1億円。措置命令違反の罰則が売上高%表記になる議論もあり。
- 越境移転の本人通知義務は意外と見落とされがち。海外SaaS利用企業は要点検。
- 最初の90分が勝負。「初動隔離 → 範囲特定 → 意思決定」を30分ずつで回す。
- データマッピングができていないと、漏えい時の範囲特定に時間を要する。
- 技術的安全管理措置（暗号化・アクセス制御・ログ・診断）が4本柱。
- 弁護士・セキュリティベンダーとの平時の契約が、有事の判断速度を決める。
X投稿素材
AWARENESS
個人情報保護法 2026年改正で漏えい報告の迅速化・罰則強化が議論中。90分対応フローと整備すべき4体制を整理しました。
TRUST
GXO の個人情報保護法対応：インシデント対応プレイブック作成、データマッピング、技術的措置、社内研修まで、法務・情シス・セキュリティを統合して支援します。
ENGAGEMENT
個人情報漏えい時の「90分以内の初動」、社内でフローは決まっていますか？ 覚知→隔離→範囲特定→意思決定 のどこに時間がかかるかで体制の課題が見えます。
LinkedIn投稿文案
個人情報保護法は3年ごとの見直し規定により、2026年に改正議論が本格化しています。現行の漏えい報告義務・罰則強化の実運用を踏まえた迅速化・厳格化、越境移転規制、AI/プロファイリング規制、子ども保護などが主要論点です。GXO では、漏えい時の90分対応フローと、企業が整備すべき4つの体制（プレイブック/データマッピング/技術的措置/教育）を整理したガイドを公開しました。法務・情シス・セキュリティ責任者の方の体制整備材料としてご活用ください。
アイキャッチ画像プロンプト
時計と法廷のハンマーアイコンを並置、中央に「90 min」の大きな数字。周囲に個人情報漏えい対応のフェーズアイコン。ダークネイビー + 朱色の法務系トーン。
