改正個人情報保護法の2028年全面施行に向けて、ロードマップと政令・規則の全体像を公表 個情委
今夏に国会で成立・公布された改正個人情報保護法について個人情報保護委員会は、改正法の円滑な施行に向け、ガイドラインなどの整備スケジュールを示した「今後の取組」（ロードマップ）と、制度設計の論点を整理した「政令・規則等で定める事項の全体像」を決定・公表しました。改正法は「3年ごと見直し」に基づく大規模改正で、2026年7月10日に成立、17日に公布されました。施行は公布日から2年以内（2028年7月17日まで）に政令で定める日とされ、ロードマップでは2028年春から7月にかけての全面施行を目指しています。
今回公表された「全体像」では、4つの大分類に沿って今後整備される政令や委員会規則等の概要が示されています。
大分類の1つ目である「適正なデータ利活用の推進」においては、主にAI開発や統計情報作成を支援する「統計作成等の特例」が改正法に盛り込まれました。
統計作成やAI学習データの作成目的に限り、個人データの第三者提供や公開済みのデリケートな情報（要配慮個人情報）の取得について本人同意が不要となりました。そのため、その前提となる「個人の権利利益を害するおそれが少ない要件」や具体的な公表方法・基準の詳細を規則等で定義します。
2つ目の「リスクに適切に対応した規律」では、子供のデータ保護に関して16歳未満への保護者関与が改正法に明記されました。その上で、違法行為がなくとも請求できる削除・利用停止に対し、企業側が請求を拒絶できる「例外要件」の詳細を規則で定めていきます。
顔特徴データなど「特定生体個人情報」についても、オプトアウト提供の禁止や周辺掲示による周知が改正法で義務づけられたことを受け、具体的な周辺掲示の方法や、利用停止請求を拒める例外要件の細部を規則等で定めます。このほか改正法で明文化された委託先への安全管理義務について契約書に盛り込むべき事項や、漏えい報告義務の緩和要件の詳細も規則で規定します。
3つ目の「不適正利用等の防止」では、単体では個人情報に該当しなくても、DM送付や電話勧誘など特定個人に直接アプローチ可能な「連絡可能個人関連情報」の不適正利用の禁止が改正法に盛り込まれました。そのため、規制対象となる具体的な情報の範囲を規則で明確化します。また、本人の同意なく第三者提供を行う「オプトアウト制度」自体は全面禁止されませんが、名簿業者の監視のため改正法で規制が強化されました。そのため、提供先の身元や利用目的の確認方法を規則で定めます。
4つ目の「規律遵守の実効性確保（ペナルティの強化）」では、重大な違反に対し、不当に得た利益を没収する「課徴金制度」が導入されました。規則では課徴金額の具体的な推計方法や自主申告による減額手続き、相手が行方不明の際にウェブ上で処分通知を公開する「公示送達の電子化」の手続きを規定します。
なお、公示送達の電子化については、公布から6カ月後となる2027年1月17日に先行施行されます。
これらの実施に向け、段階的な検討と意見公募（パブリックコメント）が計画されています。個人情報保護委員会は2027年1～2月に政令案・委員会規則案のパブリックコメントを実施、2027年3～4月にこれらを確定・公布する計画です。実務の指針となるガイドラインは2027年5～6月に意見公募を実施し秋までに決定・公表、Q&Aは意見公募を経ずに同時期に公表される予定です。
