令和8年改正個人情報保護法とは、課徴金と統計特例を柱とする改正のことです。

改正個人情報保護法が公布されました。士業事務所にとって重要なのは、課徴金の対象が限定列挙になったことと、生成AIの学習を含む統計情報等の作成について本人同意の例外が新設されたことです。この記事では、事務所自身の体制と、顧問先から相談を受けたときに整理しておく論点を7つに分けます。本記事は士業のチカラ編集部が、公表されている一次情報のみを根拠に作成しています。法令の条文はe-Gov法令検索の原文で、行政の見解は各府省庁の公表資料で確認しています。個人情報保護委員会は、令和8年4月7日に第221回国会に提出された改正法案が同年7月10日に可決成立し、7月17日に公布されたと公表しています（出典: 個人情報保護委員会 改正法の公布について）。

論点1 いつから効くのか、公布と施行の距離

改正法は、一部を除き、公布日から起算して2年以内で政令で定める日から施行されると公表されています（出典: 個人情報保護委員会 改正法の公布について）。施行日はまだ政令で定まっておらず、委員会規則とガイドラインの検討がこれから進む段階です。

事務所として押さえておきたいのは、この2年が準備期間であると同時に、顧問先からの相談が集中する期間でもある点です。改正の骨格は公布された法律で確定していますが、具体的な対象範囲や公表事項の多くが委員会規則以下に委ねられています。委員会の公表資料も、具体的な範囲は制度が円滑に運用されるよう改正の趣旨を踏まえつつ委員会規則等で定めることを想定する、という書き方をしている箇所が複数あります（出典: 個人情報保護委員会 個人情報保護法等の一部を改正する法律案について）。

したがって現時点で顧問先に断定的な回答を返すのは避けたい局面です。確定した部分と未確定の部分を分けて説明できる事務所が、この2年で信用を積みます。未確定部分について問われたら、委員会規則の検討中であり、公表され次第あらためて整理する、と伝えるのが実務的な線です。

論点2 課徴金は誰にどう効くのか

改正で新設される課徴金納付命令の制度は、対象が絞られています。委員会の公表資料によれば、対象行為は不適正な利用の禁止に係る個人情報保護法第19条違反、適正な取得に係る同法第20条第1項違反、第三者提供の制限に係る同法第27条第1項違反、そして新設される統計作成等の特例に係る義務違反に限定されています（出典: 個人情報保護委員会 改正法律案について）。

さらに絞り込みがかかります。同資料は、主観的要素として対象行為を防止するための相当の注意を怠っていない場合か否かによって限定すること、個人の権利利益が侵害されまたは侵害される具体的なおそれが生じた場合に限定すること、そして大規模な事案に限定し、対象行為に係る本人の数について1,000人を基準とすることを示しています（出典: 個人情報保護委員会 改正法律案について）。

算定方法は、対象行為または対象行為をやめることの対価として得た金銭等の財産上の利益に相当する額とされています。売上高の一定割合を課す方式ではなく、違法な収益の剥奪という設計です（出典: 同資料）。

士業事務所の実務に引き付けると、事務所自身が課徴金の対象になる場面は想定しにくい構成です。名簿の販売や大規模なデータ取引を業としていないためです。一方で、顧問先が名簿を扱う事業者であったり、AI開発にデータを提供する側であったりする場合は、相談の入り口になります。事務所として整理しておきたいのは、課徴金が新設されたという事実そのものではなく、どこまでの行為が射程に入り、どこからが従来どおりの勧告と命令の世界かという線引きです。

論点3 統計特例が生成AIの議論をどう変えるか

今回の改正で、士業の相談実務に最も影響しそうなのが統計作成等の特例です。委員会の公表資料は、統計情報等の作成にのみ利用されることが担保されていること等を条件に、本人同意なき個人データ等の第三者提供と、公開されている要配慮個人情報の取得を可能とすると説明しています。そしてこの統計情報等の作成には、統計作成等であると整理できるAI開発等を含む、と明記されています（出典: 個人情報保護委員会 改正法律案について）。

同意なく何でもできるようになったわけではありません。担保のための規律として、一定の事項の公表、統計情報等の作成のみを目的とした提供である旨の提供元と提供先の書面による合意、取得者および提供先による目的外利用と第三者提供の禁止が並んでいます（出典: 同資料）。この規律に違反した場合が、前述の課徴金の対象に入る構成です。

生成AIの学習と個人情報の関係は、これまで顧問先から最も多く来る質問の一つでした。従来は、個人データを含むデータをAI開発に回すには本人同意の壁があり、実務は匿名加工情報や仮名加工情報で回避してきました。改正はこの回避ルートとは別に、統計情報等の作成という枠を正面から用意した形になります。事務所としては、顧問先のAI活用が統計情報等の作成に整理できるかどうかを一緒に見る場面が増えます。生成AIと守秘義務の基本整理は士業と生成AIの守秘義務の記事で扱っています。

ただし、対象範囲や公表事項の具体は委員会規則で定めることが想定されています。現時点で顧問先に対して、御社のAI開発はこの特例で通ると答えられる段階ではありません。ここは要確認の領域として扱う局面です。

同意規制の緩和は統計特例だけではありません。委員会の公表資料は、個人データの第三者提供等が、その取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかである場合について、本人の同意を不要とする構成も示しています。想定事例として、ホテル予約サイトから予約先ホテルへの予約者情報の提供や、海外送金における送金元金融機関から送金先金融機関への情報提供が挙げられています（出典: 個人情報保護委員会 改正法律案について）。契約の履行に不可欠な提供について、現行では同意が要る場面を整理する趣旨です。

さらに、生命身体財産の保護または公衆衛生の向上等のために取り扱う場合の同意取得困難性要件が緩和され、本人の同意を得ることが困難であるときに加えて、その他本人の同意を得ないことについて相当の理由があるときも同意取得を不要とする構成が示されています。加えて、学術研究例外の対象である学術研究機関等に、医療の提供を目的とする機関または団体が含まれることを明示する改正も入っています（出典: 同資料）。医療機関を顧問先に持つ事務所は、この明示の効果を確認する場面が出てきます。

これらを並べて見ると、改正の設計思想が読めます。同意を形式的に取ることが目的化していた領域を整理し、その代わりに違反への制裁を厚くする、という方向です。顧問先に説明するときも、緩和と強化を対で示したほうが全体像が伝わります。

論点4 事務所自身の体制で見直す4つの箇所

改正には、事務所の日常業務に直接触れる項目も含まれています。委員会の公表資料から4つ挙げます。

ひとつ目は、16歳未満の本人に関する規律です。同意取得や通知等について法定代理人を対象とすることが明文化され、保有個人データの利用停止等請求の要件が緩和されます。年齢基準は16歳未満とされています（出典: 個人情報保護委員会 改正法律案について）。相続や離婚、学校法人の顧問など、未成年の情報を扱う場面のある事務所は、同意の取り方を見直す対象になります。

ふたつ目は、委託先に対する規律です。取扱いを委託された個人データ等を、委託業務の遂行に必要な範囲を超えて取り扱ってはならない旨の義務が、委託先に明文で課されます。一方で、取扱いの方法の全部について委託契約で合意し、委託先の取扱状況を委託元が把握するために必要な措置等について合意した場合は、委託先に対する義務規定の適用が原則として免除される構成も入っています（出典: 同資料）。事務所が顧問先から記帳や給与計算のデータを預かる関係は、この委託の枠組みで整理されることが多い領域です。契約書の見直し時期が来ます。

みっつ目は、漏えい等発生時の本人通知です。本人の権利利益の保護に欠けるおそれが少ない場合について、本人への通知義務を緩和し、代替措置による対応を認めるとされています。同時に、違法な個人データの第三者提供についても報告対象事態に加えられます（出典: 同資料）。事務所のインシデント対応手順は、緩和と拡大の両方向で更新がかかります。

よっつ目は、オプトアウト制度です。オプトアウトに基づく第三者提供を行う際、あらかじめ提供先の氏名または名称、住所、代表者氏名および利用目的を確認することが義務化されます（出典: 同資料）。名簿を扱う顧問先を持つ事務所は、この確認手続の設計を相談される立場になります。

この4項目以外にも、事務所として頭に入れておきたい変更が並んでいます。委員会の公表資料は、顔の骨格や部位の位置および形状から抽出した特徴情報などの顔特徴データ等について、取扱いに関する一定の事項の周知を義務化し、利用停止等請求の要件を緩和したうえで、オプトアウト制度に基づく第三者提供を禁止する構成を示しています（出典: 個人情報保護委員会 改正法律案について）。防犯カメラを設置している顧問先からの相談が想定される領域です。

また、個人情報ではないものの特定の個人に対する働きかけが可能となる情報について、不適正利用と不正取得を禁止する規律が新設されます。電話番号、住所、メールアドレス、Cookie IDといった、特定の個人に連絡できる記述等が含まれる個人関連情報が対象として挙げられています（出典: 同資料）。広告配信やメール配信を行う顧問先には関係の深い変更です。

罰則も動きます。同資料は、個人情報データベース等の不正提供等に係る罰則について、不正な利益を図る目的に加えて損害を加える目的での提供行為を対象に追加すること、詐欺行為や不正アクセス等により個人情報を不正取得した場合の罰則を新設すること、法定刑を引き上げることを示しています（出典: 同資料）。抑止の側が全体に厚くなる方向です。

事務所が踏みやすい3つの失敗

ひとつ目は、公布と施行を混同した説明です。公布された事実だけを見て、来月から新しい規律が動くかのように顧問先へ伝えると、対応の前倒しを迫ることになります。施行日は政令で定まる仕組みで、公布日から2年以内という枠だけが決まっている段階です（出典: 個人情報保護委員会 改正法の公布について）。説明資料には、公布日と施行日の欄を分けて書いておくと誤解が減ります。

ふたつ目は、統計特例を万能の免罪符として説明してしまう失敗です。特例には公表義務や書面合意、目的外利用の禁止といった担保の規律が付いており、これに反した場合が課徴金の対象に組み込まれています。同意が要らなくなったという一文だけを切り取って伝えると、顧問先が規律の存在を見落とします。特例と規律は対で説明する組み立てにしておくと、この抜けを防げます。

みっつ目は、生成AIに条文番号を書かせてしまう失敗です。今回の改正では新設される条が多く、現行のe-Gov法令検索にはまだ反映されていない番号が公表資料の中に並んでいます。生成AIはこの状況で、現行条文の番号と改正後の番号を混ぜて出力します。事務所の説明資料に条番号を載せるときは、公表資料に書かれている番号をそのまま転記し、現行条文はe-Gov法令検索の原文で開いて確認する、という二段構えにしておくと取り違えを防げます。

論点5 守秘義務と改正法の関係をどう説明するか

士業の守秘義務は、個人情報保護法とは別の系統で存在します。税理士については税理士法第38条が、正当な理由がなくて税理士業務に関して知り得た秘密を他に洩らし、または窃用してはならない旨を定めています。弁理士については弁理士法第30条が、正当な理由がなく業務上取り扱ったことについて知り得た秘密を漏らし、または盗用してはならない旨を定めています。これらは個人情報かどうかを問わず、業務上知り得た秘密全般を対象にしています。

つまり、改正個人情報保護法で本人同意の例外が広がっても、士業の守秘義務が同じ幅で緩むわけではありません。顧問先の情報を統計作成等の名目で外部に出す、という発想が守秘義務の側から成り立つかは、まったく別の検討になります。ここを混同した説明をすると、顧問先を誤らせます。

事務所として顧問先に説明するときは、個人情報保護法の話と、事務所が負う守秘義務の話を分けて並べるのが実務的です。前者は顧問先自身が事業者として守る規律、後者は事務所が顧問先に対して負う規律で、判断の主体が違います。生成AIに顧客情報を入れる場面の整理は顧客情報を生成AIに入力するリスクの記事でも扱っています。

事務所内の規程では、改正内容を追いかける担当者を1名決め、委員会規則やガイドラインの公表を定点で確認する運用が置かれます。規程の作り方は事務所のAI利用ガイドラインの記事を参照してください。

論点6 改正の追跡をAIでどう回すか

制度の細部が委員会規則以下で順次固まっていくため、公表を追い続ける工数が発生します。ここは生成AIが効く工程です。ただし、AIに一次情報の解釈をさせるのではなく、差分の抽出と要約に用途を限るのが安全側の設計です。

以下は、委員会の公表資料を読ませて論点表を作るためのプロンプト例です。事務所内で使う前提で、顧客情報は入れません。

あなたは日本の士業事務所の調査担当者です。
以下は個人情報保護委員会が公表した資料の本文です。

【資料本文】
{公表資料のテキストを貼り付け}

【出力してほしいこと】
1. この資料で新たに決まったことを、箇条書きで列挙してください。
2. 各項目について、「確定していること」と「今後の委員会規則等に委ねられていること」を
   分けて書いてください。
3. 顧問先の事業者から質問が来そうな論点を5つ、質問文の形で書いてください。
4. 資料に書かれていない事実を補わないでください。
   資料から読み取れない箇所は【資料に記載なし】と明記してください。
5. 条文番号は資料に書かれているものだけを転記し、あなたの知識から補わないでください。

出力は表を使わず段落形式、ですます調でお願いします。

もう1本、顧問先への説明メモを作るプロンプト例です。断定を避ける制約を明示的に入れています。

以下の論点表をもとに、顧問先（従業員50名規模の小売業）向けの説明メモを作ってください。

【論点表】
{前のプロンプトの出力を貼り付け}

【条件】
- 冒頭に「現時点で確定していること」を3行以内でまとめてください。
- 次に「まだ決まっていないこと」を挙げ、いつ頃分かる見込みかを
  資料に書かれている範囲でのみ記載してください。
- 法的な評価や当てはめは書かないでください。
  「〜に該当する」「〜は違法である」といった断定は使わないでください。
- 各項目の末尾に、出典として資料名とURLを書いてください。
- A4で1枚に収まる分量、ですます調でお願いします。

この2本を回すと、公表資料が出るたびに論点表と説明メモが揃います。最終的な内容の確認は有資格者が行い、顧問先へ渡す前に出典の対応を突き合わせる工程を入れます。AIは資料に無い条番号を補いがちなので、条番号の転記だけは人が原典で照合する運用にしておくと事故が減ります。

論点7 費用と体制の見積もり

改正対応で新しいシステムを買う必要は、多くの事務所では生じません。かかるのは、情報を追う人の時間と、契約書の見直しの時間です。

情報追跡については、委員会の公表ページを定点で見る担当を置き、公表があったときだけ論点表を作る運用が現実的です。生成AIの事業者向けプランは1ユーザーあたり月額数千円の水準が一般的で、既に導入済みの事務所は追加費用が発生しません（参考: 各社の公開価格。改定が頻繁なため契約時点の公表価格で確認してください）。

契約書の見直しは、委託の枠組みが変わることを踏まえて、施行日が政令で定まった後に本格化させる進め方が無駄がありません。ただし、どの顧問先とどの範囲でデータを預かっているかの棚卸しは、施行日を待たずに着手できます。棚卸しの粒度は、顧問先名、預かるデータの種類、保管場所、外部サービスの利用有無、の4項目で足ります。

体制としては、改正内容の把握は補助者でも担えますが、顧問先への回答は有資格者が行う線を引きます。改正法の解釈が固まっていない領域が多いため、断定を避ける説明の技術そのものが求められる局面です。海外の規制動向との関係はEU AI法の高リスク義務に関する記事でも触れています。

これから2年で何が論点になるか

改正法は、データ利活用を進める方向と、悪質な違反を抑止する方向を同時に入れた構成になっています。統計特例で入口を広げ、課徴金と罰則強化で出口を締める、という組み立てです。この二方向のバランスが実際にどう働くかは、委員会規則とガイドラインの書きぶりで決まります。

士業側の論点は二つに整理できます。ひとつは、顧問先のAI活用を統計情報等の作成として組み立てられるかという設計の相談です。もうひとつは、事務所自身が委託先としてどこまでの義務を負うかという契約の相談です。前者は攻めの相談、後者は守りの相談で、来る時期がずれます。おそらく前者が先に来ます。

事務所としての備え方は、改正の全体像を早い段階で頭に入れておき、細部が固まるたびに差分だけを追う体制を作ることです。全体像は公布された法律と委員会の公表資料で確認できます。細部を待ってから勉強を始めると、相談が来たときに間に合いません。

よくある質問

改正個人情報保護法はいつから施行されますか

施行日はまだ政令で定まっていません。個人情報保護委員会は、改正法が一部を除き公布日から起算して2年以内で政令で定める日から施行されると公表しています（出典: 個人情報保護委員会 改正法の公布について）。委員会は円滑な施行に向けて政令、委員会規則、ガイドライン等の検討を行うとしています。

課徴金はどんな場合に課されるのですか

対象行為が限定列挙されています。委員会の公表資料によれば、不適正な利用の禁止、適正な取得、第三者提供の制限の各規定への違反と、新設される統計作成等の特例に係る義務への違反が対象とされ、さらに主観的要素、個人の権利利益の侵害、大規模事案という3つの絞り込みが加わります（出典: 個人情報保護委員会 改正法律案について）。

統計特例があれば、顧問先は同意なしでAI開発にデータを使えますか

現時点で断定できる段階ではありません。委員会の公表資料は、統計情報等の作成にのみ利用されることが担保されていること等を条件とし、公表や書面合意といった規律を課す構成を示しています。具体的な対象範囲は委員会規則等で定めることが想定されており、公表を待つ必要がある領域です（出典: 個人情報保護委員会 改正法律案について）。

士業事務所が顧問先から預かるデータは委託にあたりますか

委託にあたるかどうかは、契約の内容とデータの取扱い方によって判断が分かれる論点です。改正では、委託先に対して、委託業務の遂行に必要な範囲を超えて取り扱ってはならない旨の義務が明文で課される構成が示されています（出典: 個人情報保護委員会 改正法律案について）。事務所ごとに契約の実態を確認しながら整理していく領域になります。

事務所の守秘義務も改正で変わりますか

士業の守秘義務は個人情報保護法とは別の法律で定められているため、今回の改正で直接変わるものではありません。たとえば税理士法第38条や弁理士法第30条は、業務上知り得た秘密について定めており、個人情報かどうかを問いません。個人情報保護法の例外が広がっても、守秘義務の検討は別に要ります。

顧問先から今すぐ聞かれたら、どう答えればよいですか

確定した部分と未確定の部分を分けて伝える形が実務的です。公布された事実、施行までの期間、課徴金の対象行為の枠組みは公表資料で確認できます。一方、統計特例の具体的な対象範囲や公表事項は委員会規則等に委ねられており、現時点では確定していません。この線引きを示したうえで、公表され次第あらためて整理する、と伝える例があります。

事務所として今から着手できることはありますか

データの棚卸しから始める例があります。どの顧問先からどの種類のデータを預かり、どこに保管し、どの外部サービスを経由しているかを一覧にしておくと、施行日が定まった後の契約見直しが速く進みます。棚卸しは制度の細部が決まる前でも進められる作業です。

参考文献

• 個人情報保護委員会 「個人情報の保護に関する法律等の一部を改正する法律」の公布について
• 個人情報保護委員会 個人情報保護法等の一部を改正する法律案について
• 個人情報保護委員会 いわゆる3年ごと見直しの経緯
• e-Gov法令検索 個人情報の保護に関する法律
• e-Gov法令検索 税理士法
• e-Gov法令検索 弁理士法

※士業のチカラでは、生成AIの導入支援から運用最適化まで、貴事務所の業務に合わせたカスタマイズ提案を行っています。無料相談（30分）も実施中ですので、お気軽にお問い合わせください。
https://shigyonochikara.jp/contact/