課徴金制度とは、違法な取扱いで得た財産上の利益に納付を命じる仕組みのことです。

改正個人情報保護法が公布され、政令とガイドラインの整備が動き出しました。この記事では、顧問先を持つ士業事務所が公布から施行までの期間に進めておける七つの点検と、生成AIの利用がその点検にどう絡むかを整理します。本記事は士業のチカラ編集部が、公表されている一次情報のみを根拠に作成しています。法令の条文はe-Gov法令検索の原文で、行政の見解は各府省庁の公表資料で確認しています。個人情報保護委員会は、改正法が令和8年7月10日の国会において可決、成立し、同月17日に公布されたと公表しています（出典: 個人情報保護委員会 令和８年 改正個人情報保護法について）。

公布から施行までに何が決まるのか 委員会が示した二つの資料

結論から書くと、いま読むべきは改正法の条文そのものより、委員会が決定した二本の資料です。事務所が動く順番は、そこに書かれた整備順で決まります。

一本目が、令和8年7月31日の第364回個人情報保護委員会で決定された今後の取組です。委員会はこの資料の中で、改正法の円滑な施行に向けたロードマップに沿って関係する政令・委員会規則・ガイドライン等の整備を進めると説明しています（出典: 個人情報保護委員会 今後の取組について）。

二本目が、令和8年8月26日の第366回個人情報保護委員会で決定された、政令・規則等で定める事項の全体像です（出典: 個人情報保護委員会 政令・規則等で定める事項の全体像について）。何が法律本体で決まり、何が政令や規則に委ねられているかがここで一覧になっています。顧問先から質問が来たとき、まだ決まっていない部分を決まっていないと答えるための地図がこの資料です。

改正の中身は、委員会が公表している概要資料と新旧対照表、それに法律本体のPDFで確認できます。実務の関心が集まっているのは二方向です。一方は、個人情報の違法な取扱い等によって財産上の利益を得た場合に委員会が課徴金納付を命ずる制度が設けられた点。もう一方は、統計等の作成を行う第三者に個人情報を提供する場合等について本人の同意を不要とする措置が講じられた点です。規制強化と利活用の緩和が同じ改正に同居しているため、顧問先への説明は片側だけ切り取ると誤解を生みます。

士業事務所にとっての位置づけは二層になります。第一に、事務所自身が個人情報取扱事業者として対象になる層。第二に、顧問先の相談を受ける立場としての層です。前者を先に整えないと、後者の説明に説得力が出ません。同意不要の特例側の論点は個人情報保護法の統計作成特例を顧問先へ説明する7つの論点で別に整理しています。

公布後に進める7点検 事務所と顧問先で分ける

先に線引きをします。この期間にできるのは、確定した部分の棚卸しと、未確定の部分をリスト化して待つ準備です。まだ出ていない政令やガイドラインを先読みして規程を書き換えるのは、二度手間になります。

第一の点検は、事務所自身の保有データの棚卸しです。顧問先から預かっている名簿、申告書類、労務データ、契約書の当事者情報。それぞれについて、どのシステムに置いてあり、誰がアクセスでき、保存期間が何年かを一覧にします。この一覧が無い事務所は、ここから先の点検がすべて推測になります。

第二の点検は、委託先の把握です。クラウド会計、労務システム、電子契約、そして生成AI。顧問先データが事務所の外へ出ていく経路をすべて書き出します。生成AIを職員が個人アカウントで使っている場合、この経路は台帳に載りません。載らない経路があること自体が点検結果です。

第三の点検は、漏えい等が起きたときの報告経路です。個人情報保護法第26条は漏えい等の報告等について定めており、委員会は漏えい等の対応に関する案内を専用ページにまとめています。事務所内で誰が第一報を受け、誰が委員会への報告を判断するか。この二役が決まっていない事務所が少なくありません。生成AI経由で顧問先データが外へ出た場合の初動については生成AIで顧問先データが漏れたときの初動7手順で整理しています。

第四の点検は、第三者提供の整理です。個人情報保護法第27条は、あらかじめ本人の同意を得ないで個人データを第三者に提供してはならないと定めたうえで、法令に基づく場合など例外を列挙し、委託・事業承継・共同利用の場合は第三者に該当しないものとする旨を置いています。顧問先データを外部サービスへ渡す構成が、委託として整理できているのか、それとも別の整理になるのか。ここを事務所として説明できる状態にしておくのが点検です。オプトアウト届出をしている顧問先を抱えている場合の確認軸はオプトアウト届出事業者の実態調査を受けた点検7項目にまとめています。

第五の点検は、守秘義務との重ね合わせです。個人情報保護法の規律と、士業ごとの守秘義務は別の系統で走ります。弁護士法第23条は弁護士又は弁護士であった者が職務上知り得た秘密を保持する権利を有し義務を負う旨を定め、税理士法第38条は税理士が正当な理由がなくて税理士業務に関して知り得た秘密を他に洩らし、又は窃用してはならない旨を定めています。個人情報に当たらない情報でも守秘義務の対象になり得るため、点検の対象範囲は個人データより広く取る運用が現実的です。

第六の点検は、顧問先への案内文の準備です。改正の全体像、事務所として今やっていること、顧問先に確認してほしいこと。この三点を一枚に収めた案内文を先に作っておくと、政令やガイドラインが出た段階で差し替えるだけで済みます。

第七の点検は、未確定事項の管理表です。全体像の資料を読み、政令待ち・規則待ち・ガイドライン待ちの項目を並べます。顧問先から質問が来たときに、この表を見ながら現時点で決まっていないと答えられる状態を作るのが目的です。委員会の資料が更新されるたびに一行ずつ確定へ移していくと、事務所内の認識も揃います。

七つの点検のうち、第一から第三までは事務所の内側で完結します。第四以降は顧問先との接点が生まれるため、担当者の割り当てを変えたほうが動きやすくなります。事務所によっては、第一から第三を管理部門の担当者が持ち、第四以降を各顧問先の担当有資格者が持つ形に分けています。全部を一人で抱えると、顧問先対応が忙しい時期に内部点検が止まります。

進め方の順番についても補足します。第一の点検で保有データの一覧が出た時点で、想定より多くのシステムに顧問先データが散らばっている事実に気づく事務所が多くあります。ここで一覧を絞り込みたくなりますが、絞り込みは第二の点検で経路を確認してからのほうが安全側に倒れます。使っていないと思っていたサービスに過去データが残っている例が実際にあります。

第二の点検と第七の点検は、生成AIに下ごしらえをさせやすい部分です。プロンプトは架空のA社に置き換えて使います。

あなたは士業事務所の内部監査アシスタントです。
以下のシステム一覧について、個人データの流れを整理した台帳の下書きを作ってください。

【入力】事務所が利用しているシステム名と用途のメモ
（ここに貼る。顧問先名は「A社」「B社」に置換済み）

出力する列：
1) システム名
2) そこに入る情報の種類（推測ではなく、メモに書かれている範囲だけ）
3) 事務所の外へ出るか（メモから読み取れない場合は「不明」）
4) 確認すべき点（1行。断定はしない）

注意：
- メモに書かれていない事実を補わないでください
- 法的な評価や適法性の判断は書かないでください
- 「不明」を空欄にしないでください

次のPDFから抜き出したテキストを読み、政令・規則・ガイドラインに委ねられている事項の
一覧を作ってください。

【入力】個人情報保護委員会が公表した資料のテキスト
（ここに貼る）

出力形式：
1) 項目名
2) 委ねられている先（政令／委員会規則／ガイドライン／不明）
3) 資料中の該当箇所（ページ番号または見出し名）

注意：
- 資料に書かれていない項目を追加しないでください
- 施行日や数値は、資料に明記されているものだけを書き写してください
- 読み取れない箇所は「読み取り不可」と明記してください

出力を受け取ったあとの確認は、有資格者が行う工程として固定します。とくに二本目のプロンプトは、資料のページ番号を突き合わせる作業を省くと意味がありません。生成AIは資料に無い項目をそれらしく足すことがあるためです。

顧問先データとAIを重ねるときに決めておく論点

結論を先に置きます。改正で課徴金が入ったことよりも、事務所として説明できる状態にあるかどうかが、顧問先との関係では先に効きます。

一つ目の論点は、生成AIへの入力が委託にあたる構成になっているかどうかです。個人情報保護法第27条は、利用目的の達成に必要な範囲内で個人データの取扱いの全部又は一部を委託することに伴って提供される場合を、第三者に該当しないものとする旨を置いています。事業者向けプランで学習利用が行われない設定になっているか、契約上どう位置づけられているか。ベンダーの公式ドキュメントを根拠として保存しておく運用が採られています。個別の構成がこの規定との関係でどう評価されるかは、事案ごとの判断になります。

二つ目の論点は、顧問先への説明の時点です。既にAIを業務に組み込んでいる事務所は、遡って説明するかどうかの判断が要ります。実務では、次回の顧問契約更新のタイミングで運用メモを添付する形が採られています。使用ツール、入力する情報の種類、入力しない情報の種類、学習利用の設定、最終確認者。この五項目を書いた一枚があると、顧問先の社内稟議が通りやすくなります。

三つ目の論点は、事務所規程の粒度です。ツール名を列挙する方式は、新しいツールが出るたびに改定が要ります。用途とデータ区分で書く方式は改定が減る一方、職員が判断に迷います。職員数が少ない事務所はツール列挙方式、規模が大きい事務所は区分方式を採る傾向が見られます。どちらにしても、生成AIの利用ログを誰が定期的に見るかを決めておかないと、規程が実態から離れます。

四つ目の論点は、守秘義務の側からの線引きです。個人情報保護法の観点で問題にならない情報でも、弁護士法第23条や税理士法第38条の秘密には当たり得ます。たとえば法人の経営判断に関する情報は個人情報ではありませんが、業務上知り得た秘密として扱う必要が出てきます。個人情報の観点だけで入力可否を決めると、この層が抜け落ちます。ここでは条文の紹介にとどめます。個別の入力行為がこれらの規定との関係でどう評価されるかは、事案ごとの判断になります。

五つ目の論点は、顧問先が複数の士業に依頼している場合の役割分担です。税務は税理士、労務は社労士、契約は弁護士というように分かれている顧問先では、個人データの流れが複数の事務所をまたぎます。それぞれが独自に点検すると、顧問先から見て同じ質問を何度も受けることになります。実務では、顧問先側で一覧を作ってもらい、各事務所がその一覧に自分の担当範囲を書き込む形が採られています。顧問先の担当者にとっても、この形のほうが社内説明がしやすくなります。

六つ目の論点は、過去に預かった資料の扱いです。契約が終了した顧問先の資料をいつまで保持するかは、税務や登記の記録保存の実務と、データ最小化の考え方の間で判断が分かれます。改正の議論を機に保存期間を見直す事務所が出ていますが、資格ごとの記録保存の要請と衝突しないかを先に確認する順番になります。ここでも、事務所として説明できる基準を一つ持っておくことが実務上の助けになります。

公布後の対応で起きやすい3つのつまずき

一つ目は、施行日を先取りして規程を書き換えてしまうつまずきです。改正法は公布されましたが、政令・規則・ガイドラインの整備はこれからだと委員会が説明しています（出典: 個人情報保護委員会 令和８年 改正個人情報保護法について）。確定していない部分を織り込んだ規程は、整備が進むたびに書き直しになります。棚卸しと管理表づくりを先に済ませ、条文化は後に回す順番が無駄を減らします。

二つ目は、生成AIに改正内容を要約させ、その出力をそのまま顧問先向け資料に載せてしまうつまずきです。改正法は条項が多く、施行日も一律ではありません。生成AIは存在しない条番号や、まだ決まっていない施行日を出力することがあります。顧問先へ出す資料に載る数字と条番号は、委員会のPDFで原本を開いて突き合わせる運用にします。

三つ目は、事務所自身の点検を飛ばして顧問先支援に入るつまずきです。顧問先から預かったデータを事務所がどう扱っているかを説明できないまま助言に入ると、最初の質問で止まります。第一の点検と第二の点検は、顧問先支援を始める前の前提工程として置いたほうが結果的に早く進みます。

回避策は共通していて、確定した事実と未確定の事実を分けて管理する表を一枚持つことです。表がないと、事務所内でも顧問先との間でも、どこまで決まったかの認識がずれます。

事務所側の工数と体制をどう見積もるか

棚卸しの工数は、保有データの散らばり具合で振れます。クラウドサービスに集約されている事務所なら、システムごとの管理画面を開いて一覧化するだけで済みます。ローカルのファイルサーバーと個人PCに資料が分散している事務所は、まず所在の特定から始まるため作業量が大きく変わります。第一の点検を最初に置く理由がここにあります。

体制面では、点検の担当と、顧問先への案内の担当を分けるのが素直です。点検は事務作業に近く、案内は顧問先との関係を持つ担当者が向いています。同じ人に両方を持たせると、点検が後回しになりがちです。

生成AIで短縮できるのは、台帳の下書きと資料の読み込みです。一方、原本との突き合わせと有資格者の確認は短縮できません。全体の工数は下書き分だけ軽くなり、確認の比重が相対的に増えます。この構造を見積もりに正直に反映しておくほうが、後で説明しやすくなります。

顧問先向けサービスとして切り出す場合、棚卸しの代行、規程の整備、教育の三つに分けて価格を提示する形が採られています。改正対応をまとめて一式で受けると、政令やガイドラインが出るたびに追加作業が発生し、範囲が曖昧になります。段階に分けておくと、整備状況に合わせて受注の時期をずらせます。

施行までの期間に論点になること

これから決まる部分のうち、事務所の実務に直結しそうなのは三つです。課徴金の算定に関する細目、同意を不要とする特例の対象範囲、そして子どもの個人データや顔特徴データなど規律が強化された領域の運用です。いずれも政令・規則・ガイドラインの整備を待つ領域として、委員会の資料に位置づけられています。

顧問先の関心は、多くの場合、自社が対象になるかどうかに集まります。ここで事務所ができるのは、法律の評価を先回りして答えることではなく、確定した事実と未確定の事実を分けて示すことです。決まっていないと答えられる状態を作っておくほうが、後から訂正するより信頼を落としません。

生成AIとの関係では、利活用側の緩和がどこまで実務に降りてくるかが焦点になります。統計等の作成を目的とする提供が同意なしで可能になる領域が広がれば、顧問先のデータ活用の相談内容も変わります。ただし、その相談に乗れるかどうかは、事務所自身のデータ管理が説明できる状態にあるかどうかに戻ってきます。点検を先に済ませておく理由はここにもあります。

よくある質問

改正法はいつから施行されますか

施行日は改正法の規定と政令によって定まる部分があり、個人情報保護委員会は円滑な施行に向けて政令・規則・ガイドライン等の検討を行うと公表しています（出典: 個人情報保護委員会 令和８年 改正個人情報保護法について）。委員会が決定した今後の取組にロードマップが示されています。事務所としては、確定した日付だけを顧問先に伝える運用が安全側です。

士業事務所も課徴金の対象になりますか

対象の範囲は改正法と、これから整備される政令・規則で定まる部分があります。個人情報保護委員会が公表した法律本体と新旧対照表が一次資料です。ここでは資料の紹介にとどめます。自事務所への当てはめは、確定したルールを見たうえでの判断になります。

顧問先への案内はいつ出すのがよいですか

公布の事実と、今後の整備が進む見込みを伝える一報を先に出し、政令やガイドラインが出た段階で第二報を出す二段構えが採られています。一報の段階で細かい対応を求めると、確定前の情報で顧問先を動かすことになります。

生成AIの利用は改正の影響を受けますか

改正法には、統計等の作成を行う第三者に個人情報を提供する場合等について本人の同意を不要とする措置が含まれています（出典: 個人情報保護委員会 個人情報保護法等の一部を改正する法律について）。生成AIへの入力そのものは、従来どおり個人情報保護法第27条の第三者提供の規律と、各サービスのデータ取扱いの設定を並べて検討する論点になります。

事務所の規程は今のうちに改定すべきでしょうか

確定していない部分を先取りして条文化すると、整備が進むたびに書き直しが発生します。実務では、棚卸しと未確定事項の管理表づくりを先に済ませ、条文化はルールが固まってから行う順番が採られています。

漏えいが起きた場合の報告先はどこですか

個人情報保護法第26条が漏えい等の報告等について定めており、個人情報保護委員会が漏えい等の対応のページに手続を案内しています。事務所内で第一報を受ける担当と、報告を判断する担当を先に決めておく運用が採られています。

守秘義務と個人情報保護法はどちらを優先しますか

二つは別の系統の規律として並行します。弁護士法第23条や税理士法第38条の秘密は、個人情報に当たらない情報も含み得ます。入力可否の線を引くときは、両方の観点で確認する運用が現実的です。

参考文献

• 個人情報保護委員会 令和８年 改正個人情報保護法について
• 個人情報保護委員会 個人情報保護法等の一部を改正する法律について
• 個人情報保護委員会 今後の取組について（令和８年７月31日決定）
• 個人情報保護委員会 政令・規則等で定める事項の全体像について（令和８年８月26日決定）
• e-Gov法令検索 個人情報保護法第27条
• e-Gov法令検索 個人情報保護法第26条

※士業のチカラでは、生成AIの導入支援から運用最適化まで、貴事務所の業務に合わせたカスタマイズ提案を行っています。無料相談（30分）も実施中ですので、お気軽にお問い合わせください。
https://shigyonochikara.jp/contact/