個人情報保護委員会は2026年（令和8年）10月29日、個人情報保護法のガイドライン（通則編）と、マイナンバーのガイドライン（事業者編・行政機関等編）の改正案について、意見募集（パブリックコメント）を始めました。締切は11月27日（金）です。会社が個人データを守る「安全管理措置」の具体的な手法の例が、大きく追加されます。

「安全管理措置」とは

個人情報保護法第23条は、個人情報を扱う事業者に、個人データの漏えい・滅失・毀損を防ぐための「必要かつ適切な措置」を求めています。これが安全管理措置です。ガイドラインでは、従わないと法違反と判断される可能性がある「講じなければならない措置」と、その実践方法の例である「手法の例示」を分けて示しています。今回の改正は主に「手法の例示」の追加で、委員会は「新たな規律を設けるものではない」としています。一方で、「不正アクセス等の検知等」が「講じなければならない措置」の項目として新たに加わる点は押さえておきましょう（委員会は、現行の内容を整理し直したものと説明しています）。

施行は前倒しの方針

当初は12月頃に意見募集を始め、令和9年4月に施行する予定でした。しかし、大量の個人情報を扱う事業者への不正アクセスで、個人データが大量に漏えい、またはそのおそれが生じた事案を受けて、施行を「可能な限り前倒す」ことになりました。新しい施行日はまだ示されていません。

追加される主な手法の例

• ・パスワード：同一のユーザーID・パスワードの使い回しを原則禁止
• ・生体認証：指紋・静脈・顔による認証
• ・多要素認証：社外のネットワークからのアクセス、管理者権限でのアクセス、重要な個人データへのアクセスでは、複数の認証方法を組み合わせる
• ・ログの保管：アクセスの記録（ログ）などを一定期間保管。従業員100人以下の会社などの「中小規模事業者」向けの手法の例にも加わります
• ・データの消去：暗号化消去など、簡単に復元できない方法で消す
• ・端末の限定：会社が許可し、セキュリティ基準を満たした端末からだけ個人データにアクセスできるようにする（社内外を問わずすべて確認する「ゼロトラスト」の考え方。ただし全ての事業者に採用を求めるものではないとされています）
• ・被害拡大の防止：特権アカウント（管理者権限）を使う人・端末・場面を最小限にし、侵入されても被害が広がらないようにする

マイナンバーを扱う会社はすべて関係

給与計算や社会保険の手続きで従業員のマイナンバーを扱う会社には、マイナンバーガイドライン（事業者編）の改正も関係します。まずは、パスワードの使い回しがないか、管理者権限を持つアカウントが多すぎないか、アクセスの記録が残る設定になっているかを確認しておきましょう。

意見は、e-Govの意見フォーム、郵送、電子メールで提出できます。改正内容と関係のない意見には対応できないとされている点にご注意ください。

＜引用：e-Gov「個人情報の保護に関する法律についてのガイドライン（通則編）の一部を改正する告示（案）等に関する意見募集について」
https://public-comment.e-gov.go.jp/pcm/detail?CLASSNAME=PCMMSTDETAIL&id=240000133&Mode=0＞