本コラムでは、2026年個人情報保護法の改正について3回にわたって紹介しています。第1回で取り上げたデータ利活用に続き、今回は子どもの個人情報や顔特徴データに関する規律、オプトアウト制度の見直しなど、個人情報保護を強化する改正のうち、企業実務への影響が大きいものを概説します（なお、見出しの数字は前回(1)からの続き番号です）。 

 

二、改正法のポイント 

2.リスクに適切に対応した規律 

(1)子どもの個人情報の取扱いに関する規律 

これまで、子どもの個人情報について法律上の特別な規定はなく、法定代理人の関与などはガイドライン等で示されるにとどまっていました。しかし、子どもは判断能力がまだ不十分であり、個人情報の不適切な取扱いに伴う悪影響を受けやすい立場です。そこで今回の改正では、16歳未満の子どもに関する一定の同意取得や各種通知等に法定代理人の関与を義務付けるほか、違法行為の有無を問わない利用停止等の請求も可能となりました。また、事業者や法定代理人に対し、子どもの最善の利益を優先して考慮する責務規定も設けられました。 

企業にとっては、利用者の年齢確認や法定代理人の同意取得の方法が実務上の課題となります。この点について、政府は一律の方法を義務付けることはしないと説明しています。具体的な方法は今後ガイドラインなどで示される見込みです。 

(2) 顔特徴データに関する規律 

顔特徴データとは、顔認証のために顔から抽出された特徴情報のことをいいます。これは本人が気づかないまま大量に取得される可能性があるうえに、一意性・不変性が高く、プライバシー侵害につながる可能性もあります。現行法では、顔特徴データも一般の個人情報と同様の規律の下で取り扱われていました。改正法では、単なる顔写真ではなく顔特徴データを対象として、利用目的等の周知義務を設け、利用停止等請求権を拡充するとともに、オプトアウト制度による第三者提供を禁止しました。 

入退出管理や本人確認などで顔認証技術を利用する企業は、今後運用の見直しが必要となる可能性があります。 

 

3．不適正利用等の防止 

（1）「連絡可能個人関連情報」に関する規律 

「個人関連情報」とは、個人に関する情報であっても、それだけでは特定の個人を識別できない情報をいいます。こうした情報に電話番号、住所、メールアドレス、Cookie IDなど、本人への連絡に利用できる情報が含まれている場合、他の情報と組み合わせることで、詐欺やプライバシー侵害につながるおそれがあります。そこで改正法では、こうした情報のうち法定の定義を満たすものを「連絡可能個人関連情報」として、個人情報について設けられているのと同様に、不適正利用や不正取得を禁止する規律を追加しました。 

企業においては、取り扱うデータに該当する情報が含まれるかを確認し、その取得・利用の適正性を見直すことが実務上重要になります。 

 

(2)オプトアウト制度に関する規律 

オプトアウト制度とは、一定事項を本人に通知・公表し、本人から拒否を受け付ける仕組みを設けた上で、同意なく個人データを第三者提供する制度です。従来、この制度を利用する事業者には、提供先の身元や利用目的を確認する義務まではありませんでした。しかし、「闇名簿（犯罪の標的候補についてまとめた名簿）」の流通などを背景に、改正法では、提供先の氏名・名称、住所、代表者氏名などの身元と利用目的の確認を義務付け、提供先による虚偽回答も禁止しました。違反した場合は過料の対象となります。 

 

(参考) 

個人情報保護委員会「令和８年改正個人情報保護法について」（2026年8月6日取得，https://www.ppc.go.jp/personalinfo/legal/r8kaiseihogohou/） 

個人情報保護委員会「個人情報保護法等の一部を改正する法律について」（2026年8月6日取得，https://www.ppc.go.jp/files/pdf/260717_kaiseihounitsuite.pdf）