2026年の改正個人情報保護法では、Cookie ID（クッキーID）等を含む「連絡可能個人関連情報」に関する規律や課徴金制度の導入、委託先による個人データ等の不正利用への規律など、個人の権利利益の保護を強化するためのさまざまな見直しが行われます。一方で、統計情報の作成など一定の目的で個人データ等を取り扱う場合の同意規制が見直されるなど、データの適正な利活用を促すための改正も含まれています。
改正法は、一部を除き、公布日から起算して2年以内の政令で定める日から施行される予定です。企業は施行に向けて、改正内容と自社への影響を把握し、必要な対応を検討していくことが重要です。
本記事では、2026年の改正個人情報保護法について、主な変更点や企業への影響、確認・対応しておきたいポイントをわかりやすく整理します。

【この記事で分かること】
●    2026年改正個人情報保護法は2026年7月10日に可決・成立し、7月17日に公布。遅くとも2028年7月17日までに施行される予定（一部規定は2027年1月17日に先行して施行）。
●    クッキーID等への規律や課徴金制度など、企業が押さえておきたい主な変更点
●    改正法の施行に向けて企業が確認・対応しておきたいこと


【監修】株式会社インターネットイニシアティブ　ビジネスリスクコンサルティング本部
個人情報保護法・電気通信事業法・GDPRを専門とする法務コンサルタントが監修。

2026年の改正個人情報保護法とは？

2026年の改正個人情報保護法は、デジタル技術の進展やデータの利活用を取り巻く環境の変化などを踏まえ、個人情報の保護と適正な利活用の両面から、従来のルールを見直すものです。

 

今回の改正では、個人の権利利益の保護を強化するための規律が新たに設けられる一方、一定の条件下では本人同意を不要とするなど、データを適正に利活用しやすくするための見直しも行われています。

 

企業にとっても、個人情報や個人データだけでなく、クッキーID等を含む情報の取扱いや委託先管理、違反時のリスクなどに関わる重要な改正です。まずは、改正に至った経緯や施行までのスケジュールを確認しておきましょう。

2026年7月に成立・公布、いつから施行？

「個人情報の保護に関する法律等の一部を改正する法律案」は、2026年4月7日に閣議決定され、第221回国会（特別会）に提出されました。その後、2026年7月10日に国会で可決・成立し、7月17日に「個人情報の保護に関する法律等の一部を改正する法律」として公布されています。

改正法は、一部の規定を除き、公布の日から起算して2年を超えない範囲内において政令で定める日から施行されます。そのため、遅くとも2028年7月17日までには施行される見込みです。なお、公示送達のデジタル化や、個人情報の不正提供・不正取得に関する一部の罰則規定等は、公布から6か月後の2027年1月17日※に先行して施行されます。政令・個人情報保護委員会規則・ガイドライン等は今後整備されるため、企業は具体的な施行日と実務上の判断基準を継続的に確認する必要があります。

※2027年1月17日は、改正法の公布日である2026年7月17日と、附則第1条第3号に定める「公布の日から起算して六月を経過した日」に基づきます。

なお、個人情報保護委員会は2026年7月31日に政令・規則・ガイドライン等の整備ロードマップを公表しています。現時点の大まかな見込みとして、2027年中をめどにガイドライン・Q&Aを順次整備する方針が示されており、企業は今後の公表情報を確認しながら対応を進めることが重要です。

 

参考：

個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律」の公布について

個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律の成立を受けた個人情報保護委員会の今後の取組について」

なぜ個人情報保護法が改正された？

今回の改正の背景には、デジタル技術の急速な進展があります。デジタル化が進み、個人情報を含むデータの利活用に対する需要が高まる中、個人情報の違法な取扱いによって個人の権利利益が侵害されるリスクも懸念されています。

このような状況を踏まえ、今回の改正では「個人情報の有用性に配慮しつつ、その一層の保護を図る」ことが目的とされています。

つまり、2026年の改正は単に個人情報に関する規制を強化するものではありません。個人の権利利益をより適切に保護しながら、データの有用性にも配慮し、適正な利活用を可能にするための見直しといえます。

参考：

個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律案」の閣議決定について

 

企業が押さえておきたい改正個人情報保護法のポイント 

個人情報保護委員会は、今回の主な改正内容を「適正なデータ利活用の推進」「リスクに適切に対応した規律」「不適正利用等の防止」「規律遵守の実効性確保のための規律」の4つに分類しています。各分類に含まれる主な変更点は、次のとおりです。

主な変更点（個人情報保護委員会の4分類に基づく整理）

分類	主な変更点	概要
適正なデータ利活用の推進	データ利活用に関する本人同意規制の見直し	一定の要件を満たし、統計作成等にのみ利用される場合の同意不要の特例、契約履行等に必要な取扱いに関する例外、公衆衛生等に関する同意取得要件の緩和、病院等を学術研究機関等に含める見直しが行われる
リスクに適切に対応した規律	16歳未満の子どもの個人情報への保護強化	同意取得や通知等の対象が、原則として子ども本人ではなく法定代理人（親権者等）とされ、利用停止等の請求要件も緩和される
リスクに適切に対応した規律	顔特徴データ等に関する本人関与の強化	政令で定める一定の顔特徴データ等について、取扱いに関する一定事項の周知が義務化され、利用停止等請求の要件が緩和される。オプトアウト制度に基づく第三者提供も禁止される
リスクに適切に対応した規律	委託先による個人データ等の目的外利用の禁止	委託先が、委託された個人データ等を、委託業務の遂行に必要な範囲を超えて取り扱うことを禁止する規定が設けられる
リスクに適切に対応した規律	漏えい時の本人通知の緩和	本人への通知を行わなくても本人の権利利益の保護に欠けるおそれが少ない場合には、通知義務が緩和され、代替措置による対応が認められる
不適正利用等の防止	「連絡可能個人関連情報」に関する規律の新設	クッキーIDや広告識別子等のうち、特定の個人への情報伝達に利用できるものを含む「連絡可能個人関連情報」について、不適正利用・不正取得を禁止する規律が設けられる
不適正利用等の防止	第三者提供時の提供先確認の義務化	一定の例外を除き、オプトアウト制度に基づいて 個人データを第三者提供する際に、提供先の氏名・名称、住所、法人の場合は代表者氏名および利用目的の確認が義務化される
規律遵守の実効性確保のための規律	命令要件の見直し	勧告を経た命令は、個人の権利利益が害されるおそれがある場合にも発出できるよう要件が見直される。緊急命令についても、重大な権利利益の侵害が切迫し、緊急に措置を講ずる必要がある場合に発出できるようになる
規律遵守の実効性確保のための規律	違反行為に関与する第三者への要請権限の新設	違反事業者が措置命令に従わない場合などに、クラウド・ホスティング事業者や特定電気通信役務提供者等へ、違反行為の中止に必要な措置を要請できる根拠規定が設けられる
規律遵守の実効性確保のための規律	罰則の強化	個人情報データベース等の不正提供等について、他者への加害目的の行為を処罰対象に追加し、法定刑を引き上げる。また、詐欺や不正アクセス等による個人情報の不正取得に対する罰則を新設する。一部の罰則関連規定は2027年1月17日に先行施行される
規律遵守の実効性確保のための規律	課徴金制度の導入	法律で定める対象行為または対象行為をやめることの対価として財産上の利益を得た場合について、一定の条件のもとで課徴金制度が適用される

参考：令和８年７月「個人情報保護法等の一部を改正する法律について」

 

このように、2026年の改正では、データ利活用に関する規律の見直しから、子どもや顔特徴データ等の保護、違反行為に対する課徴金・罰則まで、幅広い変更が行われます。

 

以下では、このうちWebサイトやデジタルマーケティング、委託先管理など、多くの企業の実務に影響すると考えられる「連絡可能個人関連情報」「課徴金制度」「委託先による個人データ等の目的外利用の禁止」の3点を詳しく解説します。

 

IIJは、世界各国のプライバシー保護規制への対応を支援しています

プライバシー保護規制対応のトレンドなら「BizRis」　▶

 「連絡可能個人関連情報」に関する規律の新設

連絡可能個人関連情報とは、クッキーIDや電話番号・メールアドレスなど、特定の個人に対する連絡や情報の伝達に利用できる記述等を含む個人関連情報のことです。

2026年の改正では、「個人関連情報」のうち、特定の個人に対する連絡や情報の伝達に利用できる一定の情報を「連絡可能個人関連情報」とし、新たな規律の対象としています。連絡可能個人関連情報には、以下のような情報が該当すると考えられます。

• クッキーID

• 広告識別子

• 電話番号

• メールアドレス

• 住居・勤務先等の所在地

改正法では、連絡可能個人関連情報について、不適正な利用や不正な取得などが禁止されます（31条の2）。

 

ただし、クッキーID等の利用自体が一律に禁止されるわけではありません。犯罪行為・それに準じる不当な行為につながるような利用など、「どのような目的・方法で利用するか」が規制の中心となる見込みです。

 

そのため、WebサイトやアプリなどでクッキーIDや広告識別子を利用している企業は、以下のような点を把握しておくとよいでしょう。

 

• どのような情報を取得しているか

• 何の目的で利用しているか

• どのシステムやサービスで利用しているか

• 外部事業者とのデータ連携が行われているか

 

なお、連絡可能個人関連情報の不適正利用・不正取得は、後述する課徴金の対象行為には含まれていません。ただし、個人情報保護委員会による勧告・命令の対象にはなり得ます。勧告・命令は課徴金のような経済的不利益を課すものではありませんが、対応コストの発生や公表による社会的信頼の低下といった影響が考えられるため、日頃からの管理体制の整備が重要です。

 

参考：「個人情報の保護に関する法律等の一部を改正する法律」

 

導入実績450社突破！

Webサイトのデータ取得・クッキー対応を、この機会に見直しませんか？

「課徴金制度」の導入

2026年の改正では、個人情報保護法に新たに課徴金制度が導入されます。

課徴金制度とは、法律で定められた対象行為または対象行為をやめることの対価として得た財産上の利益に相当する額を納付させる仕組みです。個人情報等の取扱いに関する規律遵守の実効性を高め、違反行為の経済的誘因を小さくすることなどが制度導入の目的とされています。

ただし、個人情報保護法に違反したすべてのケースが課徴金納付命令の対象になるわけではありません。対象となり得る行為は、次のように限定されています。

対象行為	主な内容
特定の不適正利用	個人情報を利用して違法行為や不当な差別的取扱いを行うことが想定される第三者への提供、または当該第三者の求めに応じた個人情報の利用
第三者提供規制への違反	法第27条第1項に違反する個人データの第三者提供
統計作成等の特例への違反	特例に基づいて取得・提供された個人情報の目的外利用または第三者提供
不正取得した個人情報の利用	偽りその他不正の手段によって取得した個人情報の利用

さらに、課徴金納付命令の対象となるには、以下の条件を満たし、かつ、法律のただし書で定める除外事由に該当しないことが必要です。

 

対象となる条件

• 対象行為または対象行為をやめることの対価として、金銭その他の財産上の利益を得ていること
• 対象行為を防止するための相当の注意を怠っていたこと

 

課徴金納付命令の対象外となる場合

• 対象行為に係る本人の数が1,000人以下の場合
• その他、個人の権利利益を害する程度が大きくない場合として政令で定める場合

 

個人情報保護委員会は、個人の権利利益が侵害された場合または侵害される具体的なおそれが生じた場合に、課徴金制度の対象を限定する考え方を示しています。ただし、「個人の権利利益を害する程度が大きくない場合」の具体的な範囲は、今後政令で定められる予定です。

 

課徴金の額は、売上高に一定割合を乗じる方式ではなく、対象行為または対象行為をやめることの対価として得た財産上の利益に相当する額を基礎として、政令で定める方法により算定されます。

 

また、過去10年以内に確定した課徴金納付命令を受けた事業者が、その命令日以後に再び対象行為を行った場合は、課徴金額が通常の1.5倍になります。

一方、個人情報保護委員会による調査等を受けて課徴金納付命令を予知する前に、所定の方法で対象行為を自主申告した場合は、課徴金額が50％減額されます。

 

企業は、課徴金制度の導入を踏まえ、特に以下のような点を確認することが重要です。

• どのような個人情報・個人データを取得しているか

• どのような目的で利用しているか

• 第三者への提供を行っているか

• 実際のデータ利用が個人情報保護法や社内ルールに沿っているか

 

関連記事：課徴金制度とは？対象行為と実務対応のポイントを解説

参考：個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律」第148条の3～第148条の6（PDF 59～62ページ）

参考：「個人情報保護法等の一部を改正する法律について」（PDF 19～21ページ）

委託先による個人データ等の目的外利用の禁止

2026年の改正では、データ処理などの委託を受けた事業者が、法令に基づく場合等を除き、委託された個人データ等を委託業務の遂行に必要な範囲を超えて取り扱うことを禁止する規定が新設されます（30条の３）。

 

従来の個人情報保護法においても、個人データの取扱いを外部事業者に委託する場合、委託元には委託先に対する必要かつ適切な監督が求められています。

今回の改正で大きく変わるのは、委託元による監督に加えて、委託先自身にも、委託された個人データ等を目的外利用してはならないという規律が直接設けられることです。

企業が外部事業者に個人データの取扱いを委託している場合、以下のような点を確認することが重要です。

• どの事業者に個人データの取扱いを委託しているか
• どのようなデータを委託先に渡しているか
• 委託先がどのような目的・範囲でデータを取り扱っているか
• 再委託が行われているか

 

また、自社が他社から個人情報の取扱いを受託している場合、「委託された目的の範囲を超えた利用が行われていないか」という観点から、自社のデータ利用についても確認する必要があります。

 

関連記事：委託先管理はどう変わる？ 2026年改正個人情報保護法の実務対応を解説

 

改正個人情報保護法に向けて企業が取り組むべき5つの対応

2026年の改正個人情報保護法への対応を検討するうえでは、まず自社が「どのようなデータを取得し、何の目的で、どのように利用しているのか」を把握することが重要です。

改正への対応を進める際は、既存のデータ管理の実態を整理し、改正内容と照らし合わせながら、必要な対応を検討していきましょう。

 

具体的には、以下のような対応が考えられます。

• データフローや保有データを棚卸し・可視化する

• クッキーID等を含むデータの取得・利用状況を整理する

• 委託先・再委託先の管理状況や契約内容を確認する

• ログ取得やアクセス管理など、既存システムの統制状況を確認する

• 社内の報告・判断プロセスと関係部門の連携体制を確認する

 

それぞれのポイントについて、詳しく見ていきましょう。

①データフローや保有データを棚卸し・可視化する

まずは、自社がどのようなデータを保有し、どのような目的で利用しているのかを整理しましょう。

Webサイトやアプリ、CRM、MAツール、AIサービス、外部SaaSなど複数のシステムやサービスを利用している場合、担当者がデータの取得・利用状況の全体像を把握できていないケースも考えられます。

「どのようなデータを、何の目的で、誰が利用しているのか」を整理し、データの流れを可視化しておくことが、改正への対応を検討する第一歩となります。

②クッキーID等を含むデータの取得・利用状況を整理する

WebサイトやアプリなどでクッキーIDや広告識別子を利用している場合は、その取得・利用状況についても確認が必要です。

具体的には、取得しているデータの種類や利用目的に加えて、第三者提供や外部事業者とのデータ連携が行われているかなどを整理しておきましょう。

なお、クッキーID等の取扱いについては、利用方法や他の個人情報との関係などによって個別に検討する必要があります。今後示されるガイドライン等も確認しながら、必要に応じて運用を見直すことが重要です。

③委託先・再委託先の管理状況を確認する

個人データの取扱いを外部事業者に委託している場合は、委託先だけでなく再委託先も含め、管理状況を整理しておきましょう。

たとえば、以下のような点を確認します。

• 委託先・再委託先を把握できているか

• 委託先にどのようなデータを渡しているか

• 委託先でのデータの利用目的・範囲を把握しているか

• 委託契約の内容が実際の運用と合っているか

• 委託先における安全管理措置やアクセス管理などを適切に確認しているか

 

AIサービスやSaaSなども含め、自社のデータが外部でどのように取り扱われているのかを把握することが重要です。

④ログ取得やアクセス管理などの統制状況を確認する

個人データの利用状況について、後から確認・説明できる状態を整えておくことも重要です。

第三者提供記録や同意取得ログ、委託先管理記録などの証跡管理に加え、ログの保存やモニタリング体制など、現在どのような記録を取得・保存しているのかを確認しておきましょう。

また、個人データへのアクセスを適切に管理できているかなど、既存システムの統制状況を把握しておくことも重要です。

 ⑤社内の報告・判断プロセスと関係部門の連携体制を確認する

課徴金制度の導入も踏まえ、個人データの取扱いに問題が見つかった場合の報告・判断プロセスを整理するとともに、関係部門が連携できる体制を確認しておきましょう。

 

個人情報や個人データの取扱いには、法務部門だけでなく、マーケティング・IT・セキュリティ・DXなど複数の部門が関係します。

 

たとえば、クッキーIDや広告識別子はマーケティング部門、システムやSaaSはIT・DX部門、契約や法令対応は法務部門など、それぞれが異なる役割を担います。

 

問題を把握した際に適切な部署・責任者へ報告して必要な対応を判断できるよう、部門間の役割や連携方法を整理し、自社のデータ利用状況を横断的に把握・管理できる体制を整えておくことが重要です。

なお、改正法の詳細については、今後示される政令・委員会規則・ガイドライン等も確認しながら、必要な対応を進めていきましょう。

 

　国内外149か国の法令に対応・同意管理と外部送信の可視化を支援　

改正個人情報保護法の連絡可能個人関連情報への対応と、電気通信事業法（外部送信規律）・GDPRなど複数の法令対応を並行して進める場合、「どのツールがどの情報をどこへ送信しているか」を一元的に管理できる体制を整えることが重要です。

 

 

 

2026年改正個人情報保護法についてよくある質問

2026年の改正個人情報保護法はいつから施行されますか？

2026年の改正個人情報保護法は、一部の規定を除き、公布日である2026年7月17日から2年を超えない範囲内で、政令により定められた日から施行されます。そのため、遅くとも2028年7月17日までに施行される見込みです。

なお、罰則規定の一部は2027年1月17日に先行して施行されます。企業は今後公表される政令・委員会規則・ガイドライン等を確認しながら、自社への影響を把握し、必要な対応を検討していくことが重要です。

 

2026年の改正個人情報保護法では何が変わりますか？

2026年の改正では、個人の権利利益の保護を強化するための規律が新設・見直されるとともに、データの適正な利活用を促進するための見直しも行われます。

主な変更点として、クッキーID等を含む「連絡可能個人関連情報」に関する規律の新設、課徴金制度の導入、委託先による個人データ等の目的外利用の禁止などが挙げられます。

また、顔特徴データ等に関する本人関与の強化や、統計等の作成を目的とする場合などにおける本人同意に関する規律の見直し、16歳未満の子どもへの保護強化なども行われます。

個人情報保護法は3年ごとに改正されるのですか？

個人情報保護法では、法律の施行後3年ごとを目途として、個人情報の保護に関する国際的な動向や情報通信技術の進展などを踏まえ、法律の施行状況について検討し、必要に応じて見直しを行うこととされています。

そのため、「3年ごとに必ず法律が改正される」という意味ではありません。2026年の改正も、「いわゆる3年ごと見直し」に基づく検討を経て行われたものです。

参考：個人情報保護委員会「いわゆる３年ごと見直しの経緯」

課徴金はどのくらいの金額になりますか？ 

課徴金は一律の定額ではなく、対象行為または対象行為をやめることの対価として得た金銭その他の財産上の利益に相当する額を基礎として、政令で定める方法により算定されます。売上高に一定割合を乗じる方式ではなく、現時点では具体的な算定方法を定める政令も公表されていないため、課徴金額を一律に示すことはできません。

また、一定の条件を満たす再違反の場合は通常額の1.5倍となる一方、所定の方法による自主申告を行った場合は50％減額されます。

クッキーIDはすべて連絡可能個人関連情報に該当しますか？ 

すべてのクッキーIDが一律に該当するわけではありません。「特定の個人に対する情報の伝達に利用できる記述等を含む個人関連情報」が連絡可能個人関連情報であり、利用方法や他の情報との組み合わせによって判断されます。

具体的な判断は今後のガイドラインで明確化される予定です。

改正によってクッキーバナーやCMPは必須になりますか？

2026年改正個人情報保護法によってクッキーバナーやCMPが一律に義務化されるわけではありません。

ただし、電気通信事業法の外部送信規律（2023年施行）やGDPRなどの海外法令により、クッキーの通知・同意管理が必要になる場合があります。

改正個人情報保護法への対応状況の整理と合わせて、Webサイト上のオンライン識別子等の利用状況を確認することが重要です。

 

まとめ

2026年の改正個人情報保護法では、「連絡可能個人関連情報」に関する規律の新設や課徴金制度の導入、委託先による個人データ等の目的外利用の禁止など、企業のデータ活用・管理に関わるさまざまな見直しが行われています。

改正法への対応に向けて、まずは自社がどのようなデータを取得・保有し、どのような目的で利用しているのかを把握することが重要です。

クッキーIDなどの利用状況や委託先・再委託先におけるデータの取扱い、ログ・アクセス管理、社内の管理体制などについても確認しておきましょう。

今後示される政令・委員会規則・ガイドライン等の最新情報を確認しながら、改正内容が自社に与える影響を整理し、必要な対応を進めていくことが大切です。

 

 

 

　自社サイトのクッキー等の利用状況を把握したい方へ　

IIJのCMPツール「STRIGHT」では、Webサイト上の外部送信ツールを自動スキャンし、改正個人情報保護法・電気通信事業法・GDPRなど複数法令への対応を効率的に進められます。

 

 

 

改正法対応について専門家に相談したい方へ

IIJでは、改正個人情報保護法をはじめとする

プライバシー・コンプライアンス対応をトータルでご支援します。