2026年改正個人情報保護法で中小企業は何を対応すべき？

個人情報保護法改正で中小企業がやるべきことを確認しよう

2026年7月10日に、「個人情報の保護に関する法律等の一部を改正する法律案」が参議院本会議で可決され、2026年改正個人情報保護法が成立しました。
今回の改正は、個人情報を含むデータの利活用を一括りにして抑制するものではなく、AI活用の促進を図りつつも、子どもの個人情報保護を強化する内容などが盛り込まれています。
実際に施行されるのは原則として公布日から起算し、2年を超えない範囲内です。
直近ではないものの、特に個人情報を取り扱う機会が多い企業は、施行されるまでに対応すべき点を確認しておいてください。

本記事では、具体的な改正内容から中小企業が見直すこと、施行までに準備すべき点などを解説します。

2026年改正個人情報保護法とは

まずは2026年改正個人情報保護法がどのような内容なのか、把握することが大切です。ここで、改正個人情報保護法の概要やいつから始まるのかなどを解説します。

改正の背景

改正の背景には、個人情報保護の強化とAI開発などのデータ利活用の促進を両立させることが挙げられます。

昨今は生成AIの普及にともない、企業が保有する個人データをAI開発や統計分析に活用したいという需要が高まっています。
本来AIモデルの学習に必要な個人データは、同意取得を前提としており、取得しづらい状況が続いていました。
今回の改正によって、同意取得義務の免除や同意取得に関する例外規定の要件が緩和されると、AI開発や統計作成の目的に限り、同意取得のプロセスを省略できるようになりました。

また、スマートフォンやSNSの普及にともない、16歳未満の子どもがインターネット上で個人情報を提供する機会も増えています。
子どもの個人情報が拡散されないためにも、16歳未満の個人情報取得には保護者の同意が義務化されます。こうした個人情報保護の強化も、改正内容に含まれているのです。

いつ施行される？

2026年改正個人情報保護法は、2026年7月10日に参議院本会議で可決・成立し、7月17日に公布されています。
具体的な施行日は2026年9月3日時点で確定していないものの、原則として公布日から起算して2年を超えない範囲と定められていることから、2028年7月16日までに施行されるでしょう。
なお、一部の規定に関しては、2027年1月17日から先行して施行される見込みです。

個人情報保護法として初の「課徴金制度」も新設

今回の改正では、個人情報保護法として初となる「課徴金制度」が導入されます。もともと個人情報保護法に違反した際の制裁には、刑事罰が中心でした。
刑事罰は厳しい罰則を科されるものの、立件までのハードルが高く、刑事罰が科されるケースは限定的なものでした。
一方で今回の改正から課徴金制度が新設されたことで、軽微な違反行為であっても金銭的な制裁が課されることになります。

例えば、委員会の命令違反や不正な手段による個人情報の取得、要配慮個人情報の不正取得や活用、重大な漏えいなどは、課徴金の対象となる可能性があります。
また、課徴金の金額は、違反行為によって得た不当利得相当額を基準に算定される仕組みです。

中小企業に関係が深い改正ポイント

2026年改正個人情報保護法の内容は多岐にわたりますが、その中でも特に中小企業と関係が深いポイントを紹介します。

子どもの個人情報保護が法律に明記

上記でも少し紹介しましたが、16歳未満の子どもの個人情報を取り扱う場合、原則本人ではなく保護者や法定代理人への通知や同意取得が義務付けられました。
また、個人情報を取り扱う企業は、子どもの個人情報などの取り扱いについて、年齢や発達の程度に応じて最善の利益を優先・考慮した上で、権利利益を害することがないように必要な措置を講ずるように努めなくてはならないという責務規定も設けられています。
ECサイトやゲームアプリ、SNS、学習サービスなど、16歳未満が利用する可能性があるサービスも対象となる可能性が高いです。

AI開発・データ利活用のルール見直し

改正法では、「統計作成等」の目的に限り、一定の要件を満たすことで個人データを本人の同意なく第三者へ提供できる特例が新設されました。
本来統計情報の作成やAI開発のために要配慮個人情報を取得したり、第三者から個人データの提供を受けたりする際には、本人の同意が必要でした。
しかし、今回の改正によって特例が適用された場合、本人の同意を得なくても個人データを取得できます。

この特例を適用させるには、提供元と提供先の双方による事項の公表や、書面による合意など複数の条件を満たさなくてはなりません。
特例を活用すればAIの学習データに個人データも活用しやすくなりますが、その一方で目的外での個人データ利用や再提供は禁止されており、違反した場合は課徴金制度の対象になります。

生体情報の保護強化

顔認証データや指紋、DNAなどの生体情報は、「特定生体個人情報」として新たに類型化され、上乗せの規律が設けられました。
特定生体個人情報を取り扱う業者には、その取扱いに関する一定事項の周知が新たに義務付けられています。周知義務の対象となる事項は以下のとおりです。

• 事業者名
• 住所
• 代表者名
• 特定生体個人情報を取り扱う旨
• 利用目的
• 変換元の身体の特徴の内容
• 開示等請求手続　など

また、特定生体個人情報については、本人の同意を得ずに第三者提供できる「オプトアウト制度」の利用が禁止されています。

委託先事業者に対する義務の見直し

個人データの取扱いを受託した事業者に対して、委託された範囲を超えて情報を取り扱ってはいけないという義務が、法律上直接課されることになりました。
現行法だと外部に委託する場合、主に委託元が委託先を適切に監督する義務を負っています。
しかし、改正後は委託先に対しても「委託された業務の範囲内でのみ個人データを取り扱う」ことを義務付けたのです。

また、一定の契約条件を満たす委託先に関して、利用目的の通知や第三者提供制限などの義務の適用が原則として免除される特例も新設されます。
委託先を利用している中小企業は、既存の委託契約の内容が改正後の要件に対応しているかを確認することも重要です。

漏えい発生時の本人通知義務の合理化

個人情報の漏えいが発生した場合、現行法では本人への通知が難しい場合を除いて本人通知が求められています。
しかし、改正法では本人の権利利益を害するおそれが少ない場合に限り、本人への通知義務が代替措置によって緩和されます。

なお、個人情報保護委員会への報告義務自体は緩和されず、漏えいなどが発生した際の報告体制の整備は引き続き必要です。
どのような場合に通知義務の緩和が認められるかは、今後の委員会規則で具体的に定められる予定となっています。

改正個人情報保護法で中小企業が見直すこと

改正個人情報保護法の施行に向けて、中小企業はどのような部分を見直しておくべきなのでしょうか。ここで、事前に見直しておきたいポイントを解説します。

自社がどのような個人情報を取得しているか確認する

まずは、自社が主にどのような個人情報を取得しているか把握してください。
例えば、顧客の氏名や住所、電話番号はもちろん、Webサイトの問い合わせ情報や会員登録情報、従業員の個人情報なども対象に含まれます。
どのような個人情報を取得しているかを把握できると、改正法のどの規律が自社に関係しているか判断しやすいです。
「個人情報を扱っているのは顧客管理システムだけ」と考えず、営業活動や採用活動、カスタマーサポートなども含めて、自社の情報管理の全体像を把握してください。

16歳未満の利用が想定されるか確認する

2026年改正では、16歳未満の子どもの個人情報を取り扱う場合に関する規律が設けられるため、若年層が利用する可能性のあるサービスを提供している企業は特に注意が必要です。
例えば、子ども向けの商品・サービスをはじめ、年齢制限を設けていないWebサービス、オンラインゲームなどを提供している場合は、16歳未満の利用者が含まれる可能性があります。

自社サービスの主な利用者が成人だったとしても、実際には未成年者も利用できる仕組みになっていないか確認してください。
特に、登録時に年齢確認を実施していないサービスは、改正内容を踏まえて、現在の利用者層や利用実態を把握する必要があります。

個人情報の取得・第三者提供を整理する

個人情報を取得している場合、取得した情報の利用目的や誰に提供しているのか、目的外に利用していないかなども改めて確認することが大切です。
例えば、顧客情報を外部のサービス事業者に提供している場合や、広告・マーケティング目的で第三者に関連情報を提供している場合は、改正後のルールとの関係を確認する必要があります。
提供先を一覧化してまとめ、委託先も含めて個人データの流れを可視化しておくと法改正後の対応もしやすくなるでしょう。

プライバシーポリシーを見直す

自社の個人情報の取り扱いを確認したら、現在公開しているプライバシーポリシーの内容と実際の運用実態にズレがないか確認してください。
特に、個人情報の利用目的や第三者提供に関する記載が、現在のサービスやデータの取扱いを正しく反映しているかがポイントです。
改正によって新たな義務が生じる場合には、プライバシーポリシーの記載変更が必要になる可能性もあります。

まだガイドライン待ちの部分も多い

「年齢確認をどこまで求めるのか」「保護者の同意をどのように確認するか」などの具体的な方法については、条文上まだ明確になっていません。
また、どのサービスが16歳未満の規律対象になるかも、今後個人情報保護委員会が公表するガイドラインで明確化される見込みです。
実務対応の詳細を固めていくためにも、個人情報保護委員会からの続報やガイドラインの公表状況を継続して確認しておく必要があります。

施行までに中小企業が準備したいこと

まだガイドライン待ちの部分も多いですが、施行されるまでに中小企業はどう準備を進めておくべきなのか、事前に把握することも大切です。
ここで、中小企業が2026年改正個人情報保護法に向けて着手しておきたい準備を、6つの観点から整理していきます。

個人情報を取得する場面を洗い出す

まずは、会員登録や問い合わせフォーム、資料請求、メルマガ登録など、自社が個人情報を取得する場面を洗い出しておきます。
個人情報を取得する場面を洗い出し、想定しておくことで、改正にともなう規律をどこに、どのように反映させればいいかも見えやすくなります。
洗い出した内容は一覧化して社内で共有しておくと、後の利用目的や提供先を整理する際にも便利です。

利用目的を整理する

企業が取得している個人情報について、それぞれどのような目的で利用しているかを項目ごとに明文化しておくことも大切です。
利用目的が特定されていない、または実態と食い違っている場合、改正法の施行前に整理し直さなくてはなりません。
また、事前に利用目的を整理しておけば、個人情報が目的外で利用されていないか日常的に点検しやすくなります。

第三者提供を確認する

取得した個人データを第三者に提供している場合、提供先や提供する情報の範囲を改めて確認することが必要です。
そもそも、現行法でも個人情報を第三者に提供する場合、本人から明確な同意を得なくてはならないというルールが設けられています。
同意がなくても第三者に提供できる場合はありますが、法令に基づく場合や人の生命や身体、財産の保護を目的とする場合など、場面は限られています。

本人から取得している同意の範囲と、第三者提供の実態がきちんと一致しているかチェックしておきましょう。
また、委託先への提供も含めて、個人データの流れを可視化しておくと、改正後の対応状況も把握しやすくなります。

未成年が利用する可能性を確認する

子ども向けサービスに限らず、学生も含めて利用しうるサービスで16歳未満の利用者が含まれる可能性は確認すべきです。
改正法では16歳未満の個人情報を取り扱う場合、保護者または法定代理人からの同意を得ることが義務付けられます。

もし自社のサービスが当てはまる場合、年齢確認の仕組みや保護者同意のページなどを新たに作成・追加しなくてはなりません。
これを機に自社サービスの利用者層を見直し、16歳未満が想定されるかどうかを整理しておくことが、改正に向けた準備の第一歩となります。

プライバシーポリシーを更新する

プライバシーポリシーは法改正にともない、必要な箇所の修正・更新を行う必要があります。
万が一改正後も更新しないまま放置していると、実態とのズレが生じ、虚偽表示にあたるリスクもあるため注意が必要です。

既存のプライバシーポリシーに修正を加えたい場合は、利用者に変更する旨を通知する必要があります。
通知する際はこの時点でどのような変更を行うのか明確に説明し、いつから変更内容が有効になるのかも示すことが大切です。
また、更新されたプライバシーポリシーは今一度利用者に読んでもらい、同意してもらう必要があります。

ガイドラインの公表を確認する

年齢確認の方法や保護者同意の確認方法など、実務上で重要となる部分は今後公表されるガイドラインに掲載される可能性が高いです。
ガイドライン以外に、改正個人情報保護法の施行に向けて政省令なども順次公表されていくと考えられます。
自社の対応方針を定める前に、ガイドラインや政省令を確認することも大切です。内容をすぐにチェックできるよう、定期的にガイドラインや政省令が公表されていないか確認してみてください。

まとめ：早めの情報収集と社内整理が改正対応の鍵となる

2026年改正個人情報保護法は、AI活用の促進と子ども・生体情報などの保護強化を中心とする改正内容であり、施行は公布から2年以内を原則としています。
中小企業はまず自社が取り扱っている個人情報の種類や16歳未満の利用可能性を確認し、プライバシーポリシーの見直しにも早めに着手しておくと安心です。
また、年齢確認や同意取得の具体的な方法などは、今後のガイドラインに委ねられているため、個人情報保護委員会の公表情報を定期的に確認してください。

創業手帳（冊子版）では、今回の2026年改正個人情報保護法のように、企業に影響を与える可能性のある法改正の内容や実務ポイントなどを詳しく紹介しています。自社に影響する法改正なのかチェックしたい人は、ぜひ創業手帳をご活用ください。

（編集：創業手帳編集部）