個人情報保護法改正に伴う、企業のコンプライアンス上の課題は何か。

📊 事実

法改正と制度全般

2022年4月に改正個人情報保護法が施行されたソース4。
令和2年改正法では、罰則規定の強化、漏えい等報告・本人通知の義務化、外国にある第三者への個人情報提供に関する規定改正、保有個人データの開示方法改正、個人データの利用停止・消去等請求に関する規定改正、公表事項の充実、不適正利用の禁止、仮名加工情報に関する規定が導入されたソース10。
2026年7月10日、改正個人情報保護法が参院本会議で可決・成立したソース2 ソース6。
この2026年改正法により、企業は人工知能（AI）開発や統計作成の用途に限り、本人の同意なしに病歴、犯罪歴、人種、信条などの要配慮個人情報を収集できるようになるソース2。
2026年改正法では、千人分を超える大規模な個人情報を不正に取得・利用した場合に、データ活用で得た利益の相当額の納付を命じる課徴金制度が導入されるソース2。
改正法案はAI開発を促進するために個人情報の取得規制を緩和し、統計情報作成目的でのデータ利用に限り本人の同意を不要とする特例を盛り込んでいるソース7 ソース8 ソース9。
2026年改正法では、データ内の氏名削除は義務づけられていないソース6。
現行法では、病歴や犯罪歴などの要配慮個人情報を企業が取得する際、本人の同意が原則義務づけられているソース7 ソース8。
欧州の一般データ保護規則（GDPR）は個人情報の処理に法的根拠（同意、契約履行、法的義務の遵守、正当な利益など）を要求するが、日本の個人情報保護法（APPI）は本人への利用目的通知で取り扱いが可能（第三者提供は原則同意が必要）であり、法的根拠の違いがあるソース3。

企業の対応と課題

日本商工会議所は、全国515の商工会議所（会員企業125万事業者、2023年4月現在）向けに、個人情報保護法改正に関する解説動画公開、コンプライアンス体制強化会議の実施、2022年4月施行改正に合わせたモデル規定の提供などの取り組みを進めているソース1 ソース4。
中小企業の約80%が個人情報保護法上の漏えい報告義務を知らないという調査結果があるソース1。
中小規模事業者における実態調査（1,620社対象、平成30年3月）では、個人情報保護を担当する専門家が不足していると回答した割合が35.8%、従業員への知識浸透が不足しているが32.4%だったソース5。
同じ調査で、個人情報保護法改正により「特に変わらない」と回答した割合が55.2%、「コンプライアンス意識が向上した」は24.0%、「個人情報の定義が明確化されて管理がしやすくなった」は18.1%だったソース5。
欧州企業はGDPRとAPPIの定義や法的根拠の違いに苦慮しており、特に個人情報の第三者移転に関する法的根拠の違いから、プライバシーポリシー修正や同意取得に伴うコスト増大に直面しているソース3。

💡 分析・洞察

2026年7月に成立した改正個人情報保護法は、AI開発・統計作成用途に限り要配慮個人情報を含む特定の個人情報の企業による同意なき収集・利用を認める方向へ大きく転換したソース2 ソース6 ソース7 ソース8。これは、データ活用を通じた産業競争力強化と国益追求を重視する国家戦略的判断だが、国民のプライバシー保護と新たな緊張関係を生み出す。
中小企業の約80%が漏えい報告義務を知らない状況や、個人情報保護の専門家不足（35.8%）と従業員への知識浸透不足（32.4%）はソース1 ソース5、法改正によるコンプライアンス負担の増大に対応できない事業基盤の脆弱性を示唆しており、法の実効性確保における重大な懸念である。

⚠️ 課題・リスク

改正法により企業が本人の同意なく要配慮個人情報を収集・利用できるようになったことで、大規模な情報漏洩リスクが飛躍的に増大するソース2 ソース6。特に、データ内の氏名削除が義務づけられていないため、個人の病歴や犯罪歴といった極めて機微な情報が外部流出する可能性があり、これは国民の私生活と尊厳を著しく侵害し、社会全体の信頼低下や治安悪化に直結しかねないソース6 ソース8。
中小企業においては、法改正の認知度不足（「特に変わらない」が55.2%）、漏えい報告義務の無知（約80%）、専門家および従業員の知識不足が深刻でありソース1 ソース5、罰則強化や課徴金制度導入にもかかわらず、実効性のある安全管理措置が講じられない可能性が高いソース2 ソース10。これにより、情報漏洩発生時の損害賠償や行政処分による企業経営への致命的な打撃、ひいてはサプライチェーン全体の安定性を揺るがし、日本経済の基盤を脆弱化させるリスクがある。
欧州GDPRとAPPIの法的根拠の差異は、グローバルに事業展開する日本企業にとって、国際的なデータ移転における法的不確実性とコンプライアンスコストの増大を招くソース3。特にAI開発など国際協力が不可欠な分野において、日本企業の競争力を阻害し、国際的なデータガバナンスにおける日本の地位を低下させる可能性がある。
改正法がデータ内の氏名削除を義務付けていない点や、本人の同意なしに要配慮個人情報が収集される特例は、国民の個人情報保護に対する信頼を著しく損ねる可能性があるソース6 ソース9。これにより、行政や企業に対する不信感が社会全体に広がり、データ活用の推進そのものへの抵抗を生み出すことで、将来的な日本のデジタル経済発展を阻害する。

主な情報源: 産経新聞 / 朝日新聞 / 個人情報保護委員会