改正個人情報保護法で何が変わる？顔データ・子ども・AI利用を暮らしから読む
顔認証や子どものデータに対する保護を強める一方、統計作成や一定のAI開発では、本人同意なしにデータを使える範囲が広がります。今回の改正は「保護か活用か」の二者択一ではなく、利用目的と危険度に応じて規制を組み替えるものです。
ただし、実際の使い勝手や権利保護の水準は、今後決まる政令、個人情報保護委員会規則、ガイドラインに左右されます。公布だけで安心せず、施行までの制度設計を見る必要があります。
- 顔特徴データは、違法な取扱いがなくても利用停止などを請求しやすくなる
- 16歳未満の個人情報では、保護者への通知や同意に関するルールが明文化される
- 統計作成や一定のAI開発では、条件を満たせば本人同意が不要になる
- 悪質な違反には課徴金を導入し、不正提供などの罰則も強化する
7月17日に公布、施行は原則2年以内
2026年7月17日、「個人情報の保護に関する法律等の一部を改正する法律」が公布されました。法案は4月7日に第221回国会へ提出され、7月10日に成立しています。
参議院の議案情報によると、本会議では賛成146票、反対94票でした。法律番号は第56号です。
改正法の主な対象は次の四つに整理できます。
- AIを含むデータ利活用の条件
- 子どもや顔特徴データなど、影響の大きい情報の保護
- 名簿や連絡先情報の不正取得・不適正利用への対応
- 課徴金や罰則による法執行の強化
原則的な施行日はまだ確定していません。個人情報保護委員会の発表では、一部を除き、公布から2年以内の政令で定める日とされています。
暮らしに近い変更は顔データと子どもの情報
今回の改正で、生活者が直接意識しやすいのは、店舗や施設、オンラインサービスで使われる顔特徴データと、16歳未満の子どもの情報です。
顔認証は「適法なら消せない」から一歩進む
顔の特徴を数値化したデータは、パスワードと違って簡単には取り替えられません。店舗の防犯、入退館管理、本人確認などに利用できますが、広範囲に共有された場合の影響も大きくなります。
改正法は、顔特徴データなどについて、取扱いに関する一定事項の周知を事業者に求めます。さらに、違法な取扱いが確認されなくても、本人が利用停止や消去などを請求できる方向へ要件を緩和します。
加えて、本人から求められれば提供を止めることを条件に、あらかじめ同意を取らず第三者へ提供する「オプトアウト制度」は、顔特徴データには使えなくなります。
生活者にとって重要なのは、施設の掲示やプライバシーポリシーで次の点を確認できるかです。
- 顔データを何のために取得するのか
- どのくらいの期間保存するのか
- 第三者へ渡すのか
- 利用停止や消去をどこへ申し出るのか
16歳未満は保護者への通知・同意を明文化
16歳未満の子どもが本人である場合、同意の取得や通知などは法定代理人を対象とすることが明文化されます。事業者には、未成年者本人の「最善の利益」を優先して考慮する責務も設けられます。
影響を受けるのは、学習アプリ、ゲーム、動画・交流サービス、習い事の予約システムなどです。単に保護者同意のチェック欄を追加するだけでは足りません。子どもに必要以上の情報を入力させていないか、退会後もデータが残り続けないかまで問われます。
ここがポイント: 顔データと子どもの情報は、取得時の同意だけでなく、取得後に止められるか、消せるかという継続的な管理が重要になります。
AI開発では同意不要の範囲が広がる
保護強化と同時に、データ利用の規制は一部緩和されます。ここが改正の最も重要な政策判断です。
個人情報保護委員会の概要資料では、個人データの第三者提供や公開済みの要配慮個人情報の取得について、統計情報などの作成にだけ利用される場合、一定の公表などを条件に本人同意を不要とすると説明しています。「統計作成等」と整理できるAI開発も含まれます。
これは、病気の傾向分析、交通需要の予測、製品開発などで、大量のデータを一人ずつ同意取得する負担を抑える狙いがあります。国内企業や研究機関がデータを使えなければ、AI技術や医療研究の競争力にも響きます。
一方、同意不要は「何にでも使ってよい」という意味ではありません。
- 利用が統計情報などの作成に限定されているか
- 個人への広告、勧誘、評価、選別に転用されないか
- 作成内容や安全管理策が適切に公表されるか
- 委託先や提供先でも目的外利用を防げるか
この線引きが曖昧なら、統計目的で集めたデータが、個人を狙った働きかけや信用評価へ流用される懸念が残ります。政令やガイドラインには、利用目的の限定を事業者が検証できる具体的な基準が必要です。
悪質な名簿利用には課徴金と罰則強化
法執行も変わります。個人情報ではなくても、特定の人へ連絡できる情報について、不適正利用と不正取得が禁止されます。名簿や連絡先が詐欺、強引な勧誘、嫌がらせに使われる場面を想定した規制です。
また、大量の個人情報を扱う重大な違反によって財産上の利益を得た事業者には、その利益などに相当する課徴金を命じる制度が導入されます。不正提供に関する罰則の対象と法定刑も強化されます。
これまでの勧告や命令だけでは、違反で得られる利益が大きい事業者への抑止力が弱いとの問題がありました。違反した方が得になる状態を崩すことが、課徴金制度の役割です。
ただし、制度の実効性は個人情報保護委員会の調査能力にもかかっています。取引経路が複数企業や国外事業者にまたがる案件で、利益額と違反の因果関係をどこまで立証できるかが課題になります。
財政と事業者負担をどう見るか
改正による家計への直接的な給付や増税はありません。生活への影響は、サービス事業者の対応と行政の執行を通じて間接的に表れます。
事業者には、次のような費用が発生します。
- 顔データの利用目的や保存期間を表示する仕組みの整備
- 子どもの年齢確認と保護者同意の手続き
- 利用停止・消去請求を受け付ける窓口の整備
- AI開発用データと広告・営業用データを分離する管理
- 委託先や第三者提供先の確認
小規模事業者まで一律に複雑な手続きを求めれば、新サービスの参入を妨げかねません。一方で、企業規模だけを理由に保護義務を緩めれば、顔や子どもの情報を扱うリスクは残ります。
合理的なのは、企業の大きさではなく、扱うデータの性質、人数、利用目的、被害の深刻さに応じて対応水準を変えることです。国には、業種別のひな型や具体例を早期に示す役割があります。
賛成論と慎重論の分かれ目
改正には、データ利用と権利保護の双方から評価できる点があります。同時に、細部を下位規則へ委ねているため、現段階では判断し切れない部分もあります。
評価できる点
- 代替しにくい顔特徴データを通常の情報より強く保護する
- 子どもの同意・通知ルールを法律上明確にする
- 公益性のある統計やAI開発で、過大な同意取得コストを減らす
- 悪質な違反に経済的不利益を課して抑止力を高める
慎重に見るべき点
- 「統計作成等」に含まれるAI開発の範囲が広がりすぎないか
- 本人が利用停止を申し出るために必要な情報が分かりやすく示されるか
- 課徴金の対象となる重大違反や算定方法が明確になるか
- 国内事業者だけが重い負担を負い、国外サービスへの執行が弱くならないか
保護を厳しくするだけでは、医療、研究、産業で必要なデータが動きません。利用を広げるだけでは、国民の不信が強まり、結果としてデータ提供への協力も得にくくなります。両者をつなぐのは、目的限定、透明性、停止請求、実効的な監督です。
今後は政令とガイドラインが焦点
法律の骨格は決まりましたが、現場のルールはこれから具体化されます。施行までに確認すべき点は明確です。
- 顔特徴データの周知事項と、利用停止請求の手順
- 16歳未満であることを確認する方法と、保護者同意の実務
- 同意不要となる統計作成・AI開発の境界
- 課徴金の対象、算定方法、減免などの運用
- 国外事業者やデータ仲介業者への執行体制
- 中小事業者向けの具体的な支援策
今回の改正で最も重要なのは、AI利用を進める代わりに、顔データ、子どもの情報、悪質な名簿利用には強い歯止めを設けたことです。今後の注目点は、その交換条件が実務でも守られるかどうか。政令やガイドラインの案が公表されたとき、同意不要となる利用の範囲と、本人が止められる手段を対で確認する必要があります。