｜ 読了時間：約5分
「違法なことをして、もうけた分だけ返せばいい」——今の個人情報保護法は、そう批判されてきた。
2026 年 4 月 7 日、「個人情報の保護に関する法律等の一部を改正する法律案」が閣議決定された。
課徴金（違法に得た利益を行政が没収する金銭的制裁）の導入が大きく報じられ、一見すると厳しい法律に生まれ変わったように見える。
しかし行政法・情報法の第一人者、 宇賀克也・東京大学名誉教授 のインタビューを読むと、改正の「穴」が次々と見えてくる。
この記事でわかること
個人情報保護法、20年間「眠り続けた」制度
緊急命令が発動されたのは、制度ができてから 20 年で たった1回 だ。
緊急命令とは、違反企業に対して勧告なしで即座に出せる命令のことだ。
本来は個人情報の重大な侵害を止めるための「切り札」のはずだった。
しかし BUSINESS LAWYERS が伝えた宇賀教授の言葉によると、「制度創設から 20 年を経て 1件 」という状況だった。
もう一つの数字がある。
個人情報保護委員会 （個人情報の取り扱いを監督する国の機関）の人員は、現在 約240名 だ。
全国のすべての会社や団体の個人情報管理を、 240人で見ている 計算になる。
日本の個人情報保護法は、海外から「歯がない」と指摘されるほど強制力に欠けていたのではないか。
今回の改正は、この 20 年間の反省から生まれた。
個人情報保護委員会 の公式発表でも確認できるとおり、命令の要件を「重大な権利利益の侵害が切迫している」から「侵害されるおそれがある」へと引き下げ、法執行のハードルが下がったことは確かだ。
広告
では、今回の目玉である課徴金は、この「眠り続けた法律」をどこまで目覚めさせるのだろうか。
「課徴金で厳しくなる」は本当か？
安全管理をサボって個人情報を漏らした企業に 、 課徴金は課されない 。
課徴金（違法に得た利益を行政が没収する金銭的制裁）の対象となるには、 3 つの要件をすべて満たす必要がある。
「相当の注意を怠った者であること」「対象となる本人数が 1,000人 を超えること」「権利利益への侵害の程度が大きいこと」だ。
個人情報保護委員会 の閣議決定発表でも、この3要件を前提とした制度設計が確認できる。
課徴金の金額にも特徴がある。
EUの GDPR のような売上高の何パーセント、という計算式ではない。
「違法行為によって得た財産的利益に相当する額」——つまり 不正に稼いだ分だけ吐き出させる 仕組みだ。
悪質な業者への抑止という意図は理解できる。
ここに逆説がある。
「課徴金は厳しい制裁」と思いがちだが、 実は安全管理に手を抜いて個人情報を漏らした企業は対象外 だ。
「サボった会社が逃げられる抜け穴」と捉えることもできるし、「真面目に守っている企業は関係ない」と捉えることもできる。
課徴金が導入されても、安全管理に手を抜いて個人情報を漏らした会社には課徴金が課されない、という意外な"抜け穴"が残るのではないかという声もある。
広告
課徴金の対象から外れるとすれば、悪質な個人情報の「流通」——特殊詐欺に使われる闇名簿——はどう取り締まられるのか。
闇名簿への罰則「10万円以下」の衝撃
闇名簿の虚偽申告に科せられる過料は、 10万円以下 だ。
今回の改正で、オプトアウト（本人が「いやだ」と言わない限り同意とみなす方式）による第三者提供の際、提供先の身元と利用目的の確認が義務になった。
名簿屋が悪質な相手に名簿を売る場合、提供先を虚偽申告していれば対策になる——という考え方だ。
しかし BUSINESS LAWYERS のインタビューのなかで、宇賀教授はこう語った。
「莫大な利益を目論む犯罪集団が正直に申告するとは考え難い」。
虚偽申告に課される制裁は「 過料10万円以下 」という秩序罰（行政上の罰で、 前科がつかない ）にとどまる。
秩序罰（かちょうばつ）とは
刑事裁判を通じない行政上の罰のこと。
過料（かりょう）がこれにあたる。
今回の闇名簿の虚偽申告への罰がこれにあたり、懲役や前科にはならない。
上限が10万円のため、大きな利益を見込む業者には抑止力が働きにくい。
過料10万円という金額では、莫大な利益を見込んで名簿を売買する犯罪集団に対して、抑止力が機能するとは考えにくいのではないか。
行政法の分野では「規制キャプチャ」（強い利害関係を持つ業界が規制の内容を骨抜きにする現象）という概念が知られている。
刑事罰化という選択肢があったにもかかわらず、秩序罰にとどまった背景には、こうした構造が働いた可能性があるのではないか。
宇賀教授自身も、闇名簿問題への今回の対応を 「不十分」 と評価している。
日本の行政法制では「経済活動を委縮させない」という配慮が規制の強さを制限するパターンが繰り返し見られ、今回もその例に当てはまるのではないか。
本来、こうした個人への被害回復を担う「次の手」として期待されていたのが、今回見送られた団体訴訟制度だ。
なぜ葬られたのか。
広告
団体訴訟を葬った「濫訴の恐怖」は本物か
情報公開法ができた時も「濫訴が起きる」と警戒された。
実績は年平均 20件 未満だった。
今回の改正では、 適格消費者団体 （消費者の権利を守るために国が認定した団体）による差し止め請求・被害回復制度、いわゆる団体訴訟が 見送られた 。
宇賀教授は「残念」と評している。
経済界が反発した理由は「訴訟が爆発する」という懸念だった。
しかし BUSINESS LAWYERS が伝えた実績はこうだ。
消費者団体の差し止め請求訴訟は平均で年 5件 程度。
個人情報保護法の 2015 年改正で本人の請求権が明確化された際も、「濫訴」と警戒されたが、 10 年近く経つ現在もそのような状況にはなっていない。
経済界の「訴訟が爆発する」という懸念は、これまでの類似制度の実績と照らすと杞憂（取り越し苦労）だったのではないかという見方が広がっている。
ここに構造的な問題が残る。
個人情報保護委員会 の人員は約 240名 で、全事業者を監督するには限界がある。
民間の力で法執行を補う「団体訴訟」なしに、 240名で日本全体の個人情報を守り切れるのか 、という問いは次の「 3年ごと見直し 」に持ち越された。
では、改正法が成立した後、あなたの会社は何をいつまでに準備すればよいのか。
広告
2028年施行に向けて会社は何を準備すべきか
法律が変わっても、会社のシステムと契約書が変わらなければ意味がない。
牛島総合法律事務所 の解説によると、前回の改正スケジュールに準じると、施行は 2028 年 4 月頃になるだろうとみる専門家が多い。
しかし 2026 年末には施行令・規則案が公表され、 2027 年夏にはガイドラインが出る見込みだ。
「施行を待ってから動く」では遅い。
改正法が国会を通過・公布。
2年以内施行の起算点
施行令・委員会規則案が公表される見込み
ガイドラインとQ&Aが公表される見込み。
実務対応の設計はここから
前回改正のスケジュールに準じた推計。
確定値ではない
実務への影響が大きいポイントは 3 つある。
一つ目は、オプトアウト制度の見直しへの対応だ。
提供先の身元確認義務が入るため、名簿や顧客データを扱う業者との契約を点検する必要がある。
二つ目は、 16 歳未満の個人情報を扱うサービスだ。
保護者（法定代理人）からの同意取得フローを構築しなければならない。
三つ目は、顔認証やカメラによる行動分析を行っている事業者の周知体制整備だ。
もう一つ知っておきたいのが、 リニエンシー制度 （自主的に違反を報告した場合に課徴金を 50 %減らす仕組み）だ。
BUSINESS LAWYERS でも解説されているように、違反を発見した際の社内報告プロセスを今から整備しておくことで、万が一の際のリスクを半減できる。
「 普通に守っている企業が恐れる必要はない 」——宇賀教授はそう語った。
課徴金は悪質業者へのペナルティとして機能する設計だ。
広告
ただし 2028 年施行に向けたガイドライン整備が遅れれば、準備の時間は想定より短くなりうる。
まとめ
- 緊急命令は制度創設から20年で1件しか発動されておらず、今回の改正はその「歯のない」法律を立て直す試みだ
- 課徴金の対象は「1,000人超・悪質な不正利用・相当の注意を怠った者」に絞られており、安全管理をサボった企業への漏えいは対象外という逆説がある
- 闇名簿への虚偽申告に科される過料は10万円以下という秩序罰にとどまり、宇賀教授は「犯罪集団への抑止力にならない」と明確に批判した
- 団体訴訟は見送られたが、情報公開法の実績（年平均20件未満）は濫訴の懸念が杞憂だったことを示している
- 施行は2028年4月頃の見込みだが、2026年末の施行令・2027年夏のガイドラインに合わせた準備が必要だ
20年で1件の緊急命令、240名の監督体制、過料10万円の闇名簿対策——この三つの数字が、改正後も残る「穴」の正体だ。
よくある質問（FAQ）
Q1. 令和8年個人情報保護法改正案の内容をわかりやすく教えてください
4本柱の改正で、AI開発向けのデータ利用緩和・顔データや子供の情報の規制強化・課徴金制度の導入・命令要件の引き下げが主な変更点です。
Q2. 個人情報保護法改正の課徴金はどんな会社が対象になりますか
対象は「相当の注意を怠った者」「本人数が1,000人超」「権利利益への侵害が大きい」の3要件をすべて満たす場合です。
安全管理を怠って漏えいさせた企業は対象外です。
Q3. 個人情報保護法改正 2026年はいつ施行されますか
法案成立後、公布から2年以内に施行される予定です。
前回の改正スケジュールに準じると2028年4月頃になるだろうとみる専門家が多いですが、確定値ではありません。
Q4. 闇名簿問題に対して今回の改正でどんな対応がされましたか
オプトアウト方式で個人データを提供する際、提供先の身元と目的の確認が義務化されました。
ただし虚偽申告への罰則は過料10万円以下にとどまっています。
Q5. 団体訴訟（消費者団体による差し止め請求）はなぜ導入されなかったのですか
経済界が「訴訟が爆発する」と反発したためです。
ただし情報公開法などの類似制度では濫訴は起きておらず、年平均20件未満にとどまっています。
Q6. 宇賀克也教授は令和8年の改正案をどう評価していますか
命令要件の引き下げなど実効性確保の前進は評価しつつも、闇名簿への罰則の軽さと団体訴訟の見送りについては「不十分」「残念」と批判的な見方を示しています。
Q7. 企業は今から何を準備すればいいですか
オプトアウトを使った名簿・顧客データ提供の契約点検、16歳未満の個人情報を扱うサービスの保護者同意フロー整備、顔認証事業者の周知体制の構築が優先されます。
📚 参考文献
- BUSINESS LAWYERS「宇賀克也教授に聞く令和8年個人情報保護法改正案」 （2026年7月）
- 個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律案の閣議決定について」 （2026年4月7日）
- TMI総合法律事務所「令和8年改正個人情報保護法の概要」 （2026年4月10日）
- BUSINESS LAWYERS「令和8年改正個人情報保護法はどうなる？改正案を弁護士が解説」 （2026年5月19日）
- 牛島総合法律事務所「個人情報保護法 改正法案の公表」 （2026年4月8日）
- 日経XTECH「個人情報保護委員会が法改正方針、課徴金を導入 消費者団体による請求見送り」 （2026年1月）
- 日本弁護士連合会「個人情報保護法いわゆる３年ごと見直しの改正法案についての意見書」 （2026年4月16日）
- 長島・大野・常松法律事務所「宇賀克也 弁護士等紹介」
- gojo-partners.com
リアルタイムニュースNAVI 編集部
reaitimenews.com
話題のニュースを「なぜ？」の視点で深掘りするニュースメディアです。法律・心理学・経済など専門分野の知識をもとに、報道だけではわからない背景や理由をわかりやすく解説しています。
広告
