令和8年改正個人情報保護法とは、令和8年7月17日に公布された個人情報保護法の改正法のことです。

公布された改正法を、いつ、どの順番で事務所と顧問先に落としていくか。この見取り図がないまま2028年を迎えると、駆け込みの対応になります。個人情報保護委員会 令和8年 改正個人情報保護法についてによると、改正法は令和8年7月10日に成立し、同年7月17日に公布され、円滑な施行に向けて政令、規則、ガイドライン等の検討が進められています。この記事では、委員会が公表したロードマップを起点に、士業事務所が施行までに引く工程表を7段に分けて整理し、顧問先への説明と自事務所の体制整備をどう並行させるかを扱います。本記事は士業のチカラ編集部が、公表されている一次情報のみを根拠に作成しています。法令の条文はe-Gov法令検索の原文で、行政の見解は各府省庁の公表資料で確認しています。

公布から施行までに、委員会が示した3つの決定

順を追って確認します。個人情報保護委員会 改正法の成立を受けた今後の取組について（令和8年7月31日）によると、改正法案は令和8年4月7日に第221回国会に提出され、同年7月10日に成立、7月17日に公布されました。同資料には改正法の円滑な施行に向けたロードマップが掲載されており、政令、委員会規則、ガイドライン、Q&Aの検討と審議が2026年から進み、2028年の春から7月にかけて改正法の施行が見込まれる形で示されています。ロードマップには、この表は現時点での大まかな見込みであり今後の状況によって変わり得る旨の注記が付いています。

先行して動く部分もあります。同ロードマップは、一部規定である公示送達のデジタル化について、改正法の公布から6か月後に公布・施行されると注記しています。公布日が令和8年7月17日ですから、その6か月後にあたる時期が最初の節目になります。民間の解説では罰則規定が先行施行されるという整理も見られますが、委員会のロードマップ上で6か月後として明記されているのは公示送達のデジタル化です。どの規定がいつ動くのかは、政令の公布まで要確認として扱うのが安全です。

その後も委員会の決定が続いています。前掲の令和8年 改正個人情報保護法についてによると、令和8年8月26日の第366回個人情報保護委員会で政令・規則等で定める事項の全体像が決定され、令和8年9月9日の第368回委員会で政令・規則・ガイドライン等の整備に関する今後の進め方が決定されました。後者の資料では、意見交換会と事務局ヒアリングによるマルチステークホルダー連携プロセスを通じて、個人や事業者など多様な主体から意見を伺いながら検討を進める方針が示されています。

つまり現在は、法律の枠は決まったが、実務の細部は未確定という段階です。課徴金の水準や統計作成等の特例の運用は、政令と委員会規則で具体化されます。課徴金制度そのものの論点は別稿で扱っており、あわせて読むと全体像がつかめます（個人情報保護法に課徴金が入る 士業事務所が公布後に進める7点検）。統計作成等の特例についても別稿があります（個人情報保護法の統計作成特例が成立　顧問先へ説明する7つの論点）。

施行までに事務所が引く7段の工程表

細部が未確定だからといって、何もできないわけではありません。確定を待たずに進められる作業から順に並べます。

第1段は、顧問先の棚卸しです。どの顧問先が個人データをどれだけ扱っているか、業種と規模で当たりをつけて一覧にします。医療、教育、人材、EC、士業事務所自身。扱う情報の性質が違えば、改正の影響も変わります。この一覧は、政令が出たときに誰から連絡するかの優先順位表になります。列は顧問先名、業種、扱う情報の種類、規模感、想定される影響の5つで足ります。細かくすると更新が止まるので、後から足せる程度に抑えておきます。

第2段は、現行法への適合状況の確認です。改正への備えの前に、現行の義務を満たしているかを見ます。個人情報保護法第23条が安全管理措置、同法第26条が漏えい等の報告等、同法第27条が第三者提供の制限、同法第32条が保有個人データに関する事項の公表等を定めています。現行で穴があるところは、改正後も穴のままです。改正で新たに加わる規律に備える前に、いま守るべき規律が守られているかを見るほうが、費やす時間あたりの効果が大きくなります。顧問先の側も、改正の話より先に現状の点検を勧められたほうが納得しやすい傾向があります。

第3段は、公示送達のデジタル化への対応確認です。公布から6か月後に動く部分ですから、時期としては最も近い節目になります。士業事務所の実務にどう影響するかは、政令の内容を見てからの判断になりますが、動く時期が早いことだけは頭に入れておきます。

公示送達のデジタル化そのものは事務所の日常業務と直結しにくい規定ですが、公布から6か月という時期の近さは、改正が実際に動き始めた合図として顧問先へ伝える材料になります。制度全体の施行はまだ先でも、部分的には動き出している。この温度感を共有しておくと、その後の案内が唐突に感じられません。

第4段は、情報収集の窓口を決めることです。委員会の決定は第364回、第366回、第368回と続いており、今後も委員会開催ごとに資料が出ます。誰がこれを追い、所内にどう共有するか。担当者を決めずに全員が個別に追う体制だと、抜けと重複が同時に起きます。月に1回、委員会サイトの更新を確認して所内へ共有する担当を置くだけで足ります。

この担当は、資料を読んで要約するところまでを担います。読んだ結果を所内で共有する形式も決めておくと定着します。委員会の資料はPDFで公開されるため、決定日、資料名、要点3行、事務所への影響の有無という4項目に落とし込んで共有ファイルに追記していく運用が扱いやすく、後から経緯をたどるときにも役立ちます。

第5段は、意見提出の検討です。前掲のとおり、委員会は意見交換会と事務局ヒアリングを通じて多様な主体から意見を伺う方針を示しています。士業事務所は、顧問先の実務を最もよく知る立場にあります。実務上の支障が見込まれる点があるなら、意見を届ける機会があるということです。意見募集の時期は政令の検討状況によるため、第4段の情報収集と一体で動きます。

第6段は、顧問先への一次案内の準備です。政令が出てから資料を作り始めると、説明が遅れます。いま確定している事実、すなわち公布日、施行時期の見込み、検討中の項目の一覧を、1枚の案内にまとめておきます。確定事項と検討中事項を分けて書くのが要点です。生成AIで骨子を作るなら、次のようなプロンプトが使えます。

あなたは士業事務所の職員向けアシスタントです。以下の公表事実だけを使って、
顧問先向けの一次案内メモの骨子を作ってください。推測で補わないでください。

【使ってよい公表事実】
- 改正法は令和8年7月10日成立、令和8年7月17日公布
- 委員会のロードマップでは2028年の春から7月にかけて施行の見込み（変わり得る旨の注記あり）
- 一部規定（公示送達のデジタル化）は公布から6か月後に公布・施行
- 政令・委員会規則・ガイドライン・Q&Aは検討中
- 令和8年8月26日に政令・規則等で定める事項の全体像を決定
- 令和8年9月9日に整備の進め方を決定（意見交換会・事務局ヒアリング）

【出力】
1. 確定していること（3項目以内）
2. これから決まること（5項目以内）
3. 顧問先が今の段階で着手できること（5項目、各2文以内）
4. 事務所への相談を促す結び1文
【禁止】施行日の断定、課徴金額の推測、政令内容の先取り

この案内は、顧問先ごとに個別化する必要はありません。まずは全顧問先に同じ内容を配り、業種特有の論点があるところだけ後から補足する二段構えにすると、作成の負担が抑えられます。案内には作成日を入れておきます。制度が動いている局面では、いつ時点の情報かが分からない資料は使えなくなるためです。

第7段は、自事務所の体制の見直しです。顧問先に説明する立場である以上、自事務所の取扱いが整っていることが前提になります。事務所が保有する顧問先情報と従業員情報について、取得、利用、保管、委託、廃棄の各段階を書き出し、現行法の義務との対応を確認します。生成AIを業務に使っている場合は、その入力も取扱いの一部として棚卸しの対象に入れます。

確認の観点を洗い出すプロンプトも用意しておくと、抜けが減ります。

以下の前提で、士業事務所の個人情報の取扱いの棚卸し表の項目案を作ってください。

【前提（架空）】
甲事務所、有資格者3名、職員7名。顧問先80社。
顧問先から受領する資料は電子と紙が混在。クラウドストレージと生成AIを業務で使用。

【出力】
1. 棚卸し表の列項目を8つ以内（情報の種類、取得経路、保管場所、委託先、保存期間など）
2. 各列について、記入時に迷いやすい点を1行ずつ
3. 生成AIの利用に関して追加で記録すべき項目を3つ
【禁止】法令の当てはめの断定、条文番号の推測、顧問先固有情報の生成

顧問先に説明するときの守秘義務と説明範囲の線

この工程表を回す過程で、事務所は顧問先の個人情報の取扱い実態に深く踏み込むことになります。決めておく線は3本です。

1本目は、事務所が受け取る情報の範囲です。棚卸しの支援に入ると、顧問先の従業員名簿や顧客リストの実物を見せてもらう場面が出てきます。実物を見なければ判断できない場面と、項目の一覧だけで足りる場面を分けておくと、預かる情報を減らせます。預からないことが、最も確実な管理になります。

2本目は、生成AIへの入力です。棚卸し表の作成や案内文の下書きに生成AIを使う場合、顧問先の実データを入れる必要はありません。前節のプロンプトのように、架空の前提と公表事実だけで骨子は作れます。実データを扱う必要が生じたときは、個人が特定されない形に加工してから扱う運用を採る事務所があります。生成AIからの漏えいが起きたときの初動については別稿にまとめています（生成AIで顧問先データが漏れたとき 士業事務所の初動7手順と報告期限）。

3本目は、説明の範囲です。改正法の内容を説明することと、顧問先の個別の事案に条文を当てはめて可否を判断することは別の行為です。前者はどの士業でも行えますが、後者は業務範囲の問題になります。事務所として、説明にとどめる範囲と、有資格者の判断として提供する範囲を分け、後者は書面で残す運用が実務的です。顧問先から具体的な可否を問われたときに、どちらの立場で答えているのかを明確にしておくと、後の認識違いが減ります。

事務所規程に落とすなら3行です。顧問先から預かる資料の範囲、生成AIへ投げてよいデータの加工水準、説明と判断の切り分け。これを職員が見える場所に置き、例外が出たら有資格者に上げる運用にします。委員会がオプトアウト届出事業者の実態調査を行った際の点検項目も、顧問先の取扱い確認の参考になります（個情委がオプトアウト届出事業者を実態調査 士業が顧問先と点検する7項目）。

この準備でつまずく4つの場面

1つ目は、施行日を断定してしまう場面です。ロードマップには、現時点での大まかな見込みであり今後の状況によって変わり得る旨の注記が付いています。顧問先への案内で2028年7月と言い切ると、時期がずれたときに訂正が要ります。見込みとして伝え、確定は政令の公布を待つ、という言い方にしておきます。

2つ目は、民間解説の記述をそのまま伝える場面です。前述の公示送達のデジタル化と罰則の扱いのように、解説記事と委員会資料で記述が食い違うことがあります。顧問先に伝える前に、委員会の資料で裏を取る工程を1つ挟むだけで、この種の訂正はほぼ防げます。

3つ目は、政令が出るまで動かない場面です。第1段から第2段の作業は、政令の内容に関係なく進められます。むしろ、政令が出てから棚卸しを始めると、限られた期間に作業が集中します。確定を待つ部分と待たない部分を分けることが、この工程表の主眼です。

補足すると、この4つはいずれも情報の扱い方の問題で、制度の理解度の問題ではありません。改正の中身を詳しく知っていても、伝え方と時期の設計を誤れば顧問先は混乱します。逆に、確定事項と未確定事項を分けて淡々と伝えるだけで、顧問先の不安はかなり収まります。

4つ目は、自事務所を後回しにする場面です。顧問先の支援を優先するあまり、事務所自身の取扱いの整理が最後になるケースがあります。説明する側の足元が整っていないと、顧問先から問われたときに答えに詰まります。第7段は最後に置いていますが、第1段と並行して始めておくほうが実際には収まりが良くなります。

工数と体制と、動き出す時期

顧問先の棚卸しは、1件あたり30分から1時間で一覧に落とせます（参考値。工数は本記事の試算であり、顧問先の規模と扱う情報量で変わります）。顧問先が数十件なら、数日の作業です。一次案内の作成に4時間から6時間、自事務所の棚卸しに8時間から12時間というのが現実的な見立てです。

体制は、情報収集の担当を特定の職員に固定し、顧問先への説明を有資格者、自事務所の棚卸しを職員と有資格者の共同、という配分が扱いやすい構成です。情報収集の担当を固定するのは、委員会の決定が連続して出る局面では、追跡の連続性が精度を左右するためです。

動き出す時期は、政令の意見募集が始まる前です。前掲のロードマップでは、政令と委員会規則の検討・審議の後に意見募集と公布が続く流れが示されています。意見募集の段階で内容の輪郭が見えるため、そこから顧問先への本格的な案内に移れるよう、それまでに第1段から第2段を終えておく組み立てが無理のない進め方になります。

3年ごと見直しの次の周期を見据えて

今後の論点は4つあります。1つは、政令と委員会規則でどこまで具体化されるかです。国会の附帯決議では、規則によって具体的な範囲や判断基準を明記することが繰り返し求められています（個人情報保護委員会 改正法の成立を受けた今後の取組について）。基準が明確であるほど、事務所の説明も組み立てやすくなります。

2つ目は、特定分野のガイドラインの扱いです。前掲資料は、特定分野に対応したガイドライン等についても、当該分野における制度の議論と整合的なものとなるよう関係省庁と連携して検討を進める方針を示しています。医療や教育のように分野固有のガイドラインがある領域を顧問先に持つ事務所は、本体のガイドラインだけでなく分野別の動きも追う必要が出てきます。

3つ目は、事務所の関与の形です。改正のたびに説明資料を作り直す関与から、顧問先の個人情報の取扱いを継続的に点検する関与へ移れるかどうか。制度が3年ごとに見直される前提に立てば、一度きりの対応より、点検を定例化した体制のほうが顧問先にとっても事務所にとっても負担が軽くなります。今回の工程表を、その定例化の出発点として組むという選択肢があります。

4つ目として、士業間の連携も論点になります。顧問先が個人情報の取扱いで相談したい内容は、契約書の条項、従業員の情報管理、税務書類の保管と、複数の士業の守備範囲にまたがります。事務所単独で抱え込むより、他士業と連携して案内する体制のほうが、顧問先にとっては実務に沿った支援になります。改正を機に連携先を整理しておく価値があります。

よくある質問

令和8年改正法はいつ施行されるのですか

現時点では見込みの段階です。個人情報保護委員会の今後の取組についてに掲載されたロードマップでは、2028年の春から7月にかけて改正法の施行が見込まれる形で示されていますが、同資料には現時点での大まかな見込みであり今後の状況によって変わり得る旨の注記が付いています。確定は政令の公布を待つことになります。

公布から6か月後に動くのはどの規定ですか

ロードマップ上では、公示送達のデジタル化について、改正法の公布から6か月後に公布・施行される旨が注記されています。民間の解説では罰則規定が先行するという整理も見られますが、委員会資料で6か月後として明記されているのは公示送達のデジタル化です。他の規定の時期は要確認として扱っています。

いま顧問先に何を伝えればよいですか

確定している事実と、これから決まることを分けて伝えるのが出発点です。公布日、施行時期の見込み、政令や規則が検討中であることの3点を伝え、そのうえで現行法への適合状況の点検を先に進める、という順序が組み立てやすくなります。

政令が出るまで待ったほうがよいですか

現行法への適合確認と顧問先の棚卸しは、政令の内容に左右されにくい作業です。個人情報保護法第23条の安全管理措置や同法第26条の漏えい等の報告等は現行の規定であり、いま確認しておけば改正後の対応も軽くなります。

課徴金の額はどのくらいになるのですか

算定の詳細は今後の政令と委員会規則で具体化される部分です。国会の附帯決議では、課徴金納付命令の基準等について明確なガイドラインを策定するなど運用の透明性の確保に努めることが求められています。現時点で金額の水準を顧問先に示すことは、根拠のない説明になります。

意見を出す機会はあるのですか

委員会は、意見交換会と事務局ヒアリングを通じて多様な主体から意見を伺う方針を示しています。令和8年 改正個人情報保護法についてに掲載された令和8年9月9日決定の資料に、その進め方が示されています。時期と対象は資料で確認することになります。

自事務所の対応から始めるべきですか

顧問先の棚卸しと並行して進める組み立てが実務的です。説明する立場である以上、事務所自身の取扱いが整理されていることが前提になります。生成AIを業務で使っている場合は、その入力も取扱いの棚卸しの対象に含めておくと、後から追加する手間が省けます。

参考文献

• 個人情報保護委員会 令和8年 改正個人情報保護法について
• 個人情報保護委員会 改正法の成立を受けた個人情報保護委員会の今後の取組について（令和8年7月31日）
• e-Gov法令検索 個人情報の保護に関する法律第23条
• e-Gov法令検索 個人情報の保護に関する法律第26条
• e-Gov法令検索 個人情報の保護に関する法律第27条
• e-Gov法令検索 個人情報の保護に関する法律第32条

※士業のチカラでは、生成AIの導入支援から運用最適化まで、貴事務所の業務に合わせたカスタマイズ提案を行っています。無料相談（30分）も実施中ですので、お気軽にお問い合わせください。
https://shigyonochikara.jp/contact/