個人情報保護法 2026年改正ポイント｜漏えい報告実務と罰則強化への対応

個人情報保護法は、3年ごとの見直し規定により2026年に改正議論が本格化している。2022年改正（漏えい報告義務化・罰則強化）の実運用を踏まえて、漏えい時の実務対応強化・越境移転規制・仮名加工情報の扱いなどが論点となっている。

本記事では、法務・情シス・セキュリティ責任者・経営層向けに、現時点で確定している2022改正の実務運用と、2026改正で想定される主要論点、そして企業が今すぐ整備すべき体制を整理する。

---

現行（2022年改正後）の主要義務

1. 漏えい等の報告義務

以下のいずれかに該当する場合、個人情報保護委員会（PPC）への報告 と 本人への通知 が義務化されている。

• 要配慮個人情報を含む漏えい
• 不正アクセスによる漏えい
• 1,000人を超える漏えい
• 財産的被害が生じるおそれ

報告期限：

• 速報： 覚知後 3〜5日以内
• 確報： 30日以内（不正アクセス等は60日以内）

2. 罰則

• 措置命令違反：最大1億円以下の罰金（法人両罰）
• 個人：最大1年以下の懲役 または 最大100万円以下の罰金
• データ国外提供違反・個人情報データベース等不正提供：1年以下/50万円以下

3. 越境移転規制

個人データを外国に移転する場合、本人への情報提供（移転先国の制度、移転先の講じる措置等）が義務化。

セクションまとめ： 漏えい報告・通知は PPC と本人の両方。罰則は最大1億円。越境移転の本人通知義務は見落とされがち。

---

2026年改正で想定される主要論点

論点1：漏えい報告の迅速化

現行の速報3〜5日がさらに短縮される可能性がある。EU GDPR は 72時間以内が原則で、国際整合の議論がある。

論点2：本人通知の厳格化

現在は本人への通知が難しい場合の代替措置（ホームページ掲載等）があるが、この代替措置の要件が厳格化される可能性。

論点3：罰則のさらなる強化

措置命令違反が売上高の%表記になる可能性（EU GDPR に近づく議論）。中堅企業でも年商の数%が罰金となれば影響は甚大。

論点4：AI・プロファイリング規制

生成AI/プロファイリングへの個人データ活用について、目的の限定・本人同意の厳格化が議論されている。

論点5：子どもの個人情報保護

未成年者データの厳格な扱い（保護者同意要件等）が具体化される方向。

セクションまとめ： 改正は「迅速化・厳格化・罰則強化・AI対応・子ども保護」の5軸。どれも企業側の対応コストを上げる方向。

---

漏えい時の90分対応フロー

漏えい発生から90分以内に動き出すためのフロー。

0〜15分：覚知・初動隔離

• 漏えい発生の連絡を受ける（従業員・外部通報・監視ツール等）
• 対象システムの即時隔離（ネットワーク遮断）
• 経営層への第一報

15〜45分：範囲特定

• 影響範囲のリストアップ（人数・データ種別・取引先）
• 証拠保全（サーバ・アクセスログ・通信ログ）
• インシデント対応チーム召集

45〜90分：意思決定

• PPC 報告の判定（報告義務に該当するか）
• 本人通知方法の検討（メール・郵送・ホームページ）
• 対外コミュニケーション（プレスリリース要否）
• 専門家（弁護士・セキュリティベンダー）への連絡

セクションまとめ： 最初の90分が勝負。「初動隔離 → 範囲特定 → 意思決定」の3フェーズを30分ずつで回す。

---

---

企業が整備すべき4つの体制

体制1：インシデント対応プレイブック

• 漏えい発生時の初動から報告・通知までのフローを文書化
• 部門別の役割分担と連絡経路
• 毎年の見直しと訓練

体制2：データマッピング

• どこに何の個人データが保管されているかの棚卸し
• システム・クラウド・紙書類すべて対象
• 漏えい時に範囲特定を15分で完了できる粒度

体制3：技術的安全管理措置

• 暗号化（保存時・通信時）
• アクセス制御（最小権限・多要素認証）
• ログ取得と監視
• 定期的な脆弱性診断

体制4：社内教育と第三者連携

• 年1〜2回の個人情報保護研修
• 弁護士・セキュリティベンダーとの連携契約
• 顧客・取引先に対するプライバシーポリシーの更新

セクションまとめ： プレイブック・データマッピング・技術的措置・教育の4体制。どれか1つ欠けても漏えい時に正しく動けない。

---

まとめ

• 現行法で既に漏えい報告義務・罰則強化は施行済み
• 2026改正で迅速化・厳格化・罰則強化が進む見込み
• 90分対応フロー + 4体制整備で備える

---

FAQ

Q1. 「1,000人を超える」漏えいの判定はいつの時点ですか？

漏えいの可能性を認知した時点の最大想定数で判定します。最終的な漏えい数が1,000人以下でも、可能性として1,000人超と判定した段階で報告義務が発生します。

Q2. 社員のメール誤送信も報告対象ですか？

要配慮個人情報・不正アクセス起因・財産被害のおそれなど報告対象に該当する場合は対象。単純な誤送信で一般個人情報1件程度なら、報告対象外のケースが多いです。

Q3. 漏えい報告を怠ったら、罰則は必ず適用されますか？

即座に罰則適用ではなく、措置命令 → 命令違反で罰則の流れです。ただし社会的信用失墜が最大の実害で、法定罰金より影響が大きいケースが多いです。

---

参考情報

• 個人情報保護委員会「個人情報保護法」公式ガイドライン
• 個人情報保護委員会「漏えい等の報告に関する Q&A」
• 総務省「サイバーセキュリティ戦略」
• IPA「情報セキュリティ10大脅威 2026」

---

関連記事

• サイバー保険 2026年 引受条件厳格化
• インシデント対応プラン 72時間チェックリスト
• Mandiant M-Trends 2026 完全解説
• ゼロトラストセキュリティ導入ガイド

---

---