個人情報の取り扱いルールを大きく見直す「個人情報保護法等の改正法」が、2026年7月10日の参議院本会議で可決・成立しました。データ活用のルールを緩める部分と、違反への締め付けを強める部分の両方が盛り込まれており、顧客名簿や会員情報を扱うすべての会社に関係する改正です。施行は原則として、公布の日から2年を超えない範囲内で政令により定められます。

統計やAI開発が目的なら「本人同意なし」でOKに

今回の改正の目玉は、データ利活用の規制緩和です。これまで、個人データを外部の第三者に提供するには、原則として本人の同意が必要でした。
改正後は、AIモデルの学習や統計情報の作成といった目的にのみ利用される場合に限り、本人の同意なしで第三者提供ができるようになります（いわゆる「統計特例」）。ただし無条件ではなく、統計作成等の目的以外に使われないことが担保されていることや、取り扱いの公表といった条件を満たす必要があります。

また、「要配慮個人情報」（病歴や人種など、特に慎重な取り扱いが求められる情報）についても、すでに公開されているものを統計作成等の目的で取得する場合は、本人同意が不要になります。

このほか、取得の状況からみて本人の意思に反しないことが明らかな取り扱いの場合も同意不要とするなど、実務の負担を軽くする見直しが行われています。漏えい事故が起きた際の本人への通知義務も、本人の権利利益を害するおそれが少ない場合には緩和されます。

違反への「課徴金制度」を新設、罰則も強化

一方で、悪質な違反への対応は大幅に強化されます。特に注目すべきは課徴金制度の新設です。重大な違反行為により個人の権利利益が侵害された場合などには、その違反によって得られた利益に相当する額の課徴金（行政が命じる金銭的なペナルティ）の納付が命じられます。ただし対象は、影響を受ける本人の数が1,000人を基準とする大規模な事案で、かつ違反を防ぐための相当の注意を怠っていた悪質なケースに限定されています

また、個人情報データベースの不正提供に関する罰則は法定刑が引き上げられ（1年以下の拘禁刑または50万円以下の罰金→2年以下の拘禁刑または100万円以下の罰金）、詐欺などの手口で個人情報を不正に取得する行為への罰則も新たに設けられます。

このほか、16歳未満の子どもの個人情報については、同意の取得や通知を保護者（法定代理人）に対して行うことが明文化されました。顔認証などに使われる「顔特徴データ」についても、取り扱いに関する周知の義務化など、規律が強化されます。

中小企業がやっておきたいこと

施行日はまだ決まっていませんが、一部の規定を除き、遅くとも公布から2年以内には施行されます。顧客リストの管理方法や、外部業者へのデータ提供の流れは、今のうちに一度棚卸ししておくことをおすすめします。特に、通販サイトの会員情報を扱っている会社や、顔認証付きの防犯カメラ・入退室管理システムを使っている会社は、社内ルールが新しい法律に沿っているか、早めに確認しておくと安心です。

成立日：2026年7月10日（金） 施行時期：原則として公布の日から2年を超えない範囲内（政令で定める日）

個人情報の保護に関する法律等の一部を改正する法律案（概要）
https://www.ppc.go.jp/files/pdf/260407_gaiyou.pdf

個人情報保護法等の一部を改正する法律案について(個人情報保護委員会事務局)
https://www.ppc.go.jp/files/pdf/260407_kisyahaifusiryou.pdf

個人情報保護法等の一部を改正する法律案について(個人情報保護委員会事務局)
https://www.ppc.go.jp/files/pdf/260407_houritsuan.pdf