本专栏将分三次介绍2026年个人资料保护法之修法。继第1回所提及之资料活用后，本次将针对儿童个人资料及脸部特征数据之规范、选择退出（Opt-out）制度之检讨等，于强化个人资料保护之修法中对企业实务影响较大者进行概括说明（备注：标题之数字为延续前次(1)之编号）。
二、修法之重点
- 妥善因应风险之规范
(1) 儿童个人资料处理相关规范
过去针对儿童之个人资料，法律上并无特别规定，法定代理人之参与等仅于指引（Guideline）等中予以揭示。然而，儿童之判断能力尚显不足，处于易受个人资料不当处理所生不良影响之立场。因此于本次修法中，除强制规定针对未满16岁之儿童于取得一定同意或进行各种通知等时须由法定代理人参与外，亦允许不论是否存在违法行为，均得请求停止利用等。此外，亦针对事业者（企业）与法定代理人，增设应优先考虑儿童最佳利益之责任义务规定。
对企业而言，使用者之年龄确认及法定代理人同意之取得方式将成为实务上之课题。关于此点，日本政府说明将不强制规定统一之方式。具体方式预计将于未来透过指引等予以明确规范。
(2) 脸部特征数据相关规范
所谓「脸部特征数据」，系指为进行人脸辨识而自脸部抽出之特征信息。此类信息不仅有可能在本人未察觉之情况下被大量搜集（取得），且具高度唯一性与不变性，亦可能导致侵害隐私。于现行法下，脸部特征数据亦系于与一般个人资料相同之规范下进行处理。修法中，针对并非单纯之脸部照片而是脸部特征数据者，增设利用目的等之告知义务、扩充请求停止利用等之权利，并禁止透过选择退出（Opt-out）制度提供予第三方。
于出入管理或身分确认等利用人脸辨识技术之企业，未来可能需要重新检视其运用方式。
- 防止不当利用等
(1) 「可联络个人相关信息」相关规范
所谓「个人相关信息」，系指即便为个人相关之信息，单凭该信息本身仍无法识别特定个人之信息。此类信息若包含电话号码、住址、电子邮件地址、Cookie ID等可用于联络本人之信息时，经由与其他信息组合，恐有导致诈欺或侵害隐私之虞。因此于修法中，将此类信息中符合法定定义者订为「可联络个人相关信息」，并追加比照个人资料规范、禁止不当利用及不法搜集（取得）之规定。
于企业而言，确认所处理之数据中是否包含符合条件之信息，并重新检视其搜集与利用之适当性，于实务上将极为重要。
(2) 选择退出（Opt-out）制度相关规范
所谓「选择退出（Opt-out）制度」，系指在向本人通知或公告一定事项，并设有接受本人拒绝机制之前提下，无须取得同意即可将个人资料提供予第三方之制度。过往，利用此制度之事业者（企业），并未负有确认接收方身分或利用目的之义务。然而，在「黑名单/犯罪目标名册（汇整犯罪目标候选人名单）」流通等背景下，修法中强制规定须确认接收方之姓名/名称、住址、代表者姓名等身分数据及利用目的，并禁止接收方为虚伪答复。违反者将面临行政罚款处分。
（参考）
个人资料保护委员会「关于令和8年修正个人资料保护法」（2026年8月6日撷取，https://www.ppc.go.jp/personalinfo/legal/r8kaiseihogohou/）
个人资料保护委员会「关于个人资料保护法等一部分修正之法律」（2026年8月6日撷取，https://www.ppc.go.jp/files/pdf/260717_kaiseihounitsuite.pdf）
