本專欄將分三次介紹2026年個人資料保護法之修法。繼第1回所提及之資料活用後，本次將針對兒童個人資料及臉部特徵資料之規範、選擇退出（Opt-out）制度之檢討等，於強化個人資料保護之修法中對企業實務影響較大者進行概括說明（備註：標題之數字為延續前次(1)之編號）。
二、修法之重點
- 妥善因應風險之規範
(1) 兒童個人資料處理相關規範
過去針對兒童之個人資料，法律上並無特別規定，法定代理人之參與等僅於指引（Guideline）等中予以揭示。然而，兒童之判斷能力尚顯不足，處於易受個人資料不當處理所生不良影響之立場。因此於本次修法中，除強制規定針對未滿16歲之兒童於取得一定同意或進行各種通知等時須由法定代理人參與外，亦允許不論是否存在違法行為，均得請求停止利用等。此外，亦針對事業者（企業）與法定代理人，增設應優先考量兒童最佳利益之責任義務規定。
對企業而言，使用者之年齡確認及法定代理人同意之取得方式將成為實務上之課題。關於此點，日本政府說明將不強制規定統一之方式。具體方式預計將於未來透過指引等予以明確規範。
(2) 臉部特徵資料相關規範
所謂「臉部特徵資料」，係指為進行人臉辨識而自臉部抽出之特徵資訊。此類資訊不僅有可能在本人未察覺之情況下被大量蒐集（取得），且具高度唯一性與不變性，亦可能導致侵害隱私。於現行法下，臉部特徵資料亦係於與一般個人資料相同之規範下進行處理。修法中，針對並非單純之臉部照片而是臉部特徵資料者，增設利用目的等之告知義務、擴充請求停止利用等之權利，並禁止透過選擇退出（Opt-out）制度提供予第三方。
於出入管理或身分確認等利用人臉辨識技術之企業，未來可能需要重新檢視其運用方式。
- 防止不當利用等
(1) 「可聯絡個人相關資訊」相關規範
所謂「個人相關資訊」，係指即便為個人相關之資訊，單憑該資訊本身仍無法識別特定個人之資訊。此類資訊若包含電話號碼、住址、電子郵件地址、Cookie ID等可用於聯絡本人之資訊時，經由與其他資訊組合，恐有導致詐欺或侵害隱私之虞。因此於修法中，將此類資訊中符合法定定義者訂為「可聯絡個人相關資訊」，並追加比照個人資料規範、禁止不當利用及不法蒐集（取得）之規定。
於企業而言，確認所處理之資料中是否包含符合條件之資訊，並重新檢視其蒐集與利用之適當性，於實務上將極為重要。
(2) 選擇退出（Opt-out）制度相關規範
所謂「選擇退出（Opt-out）制度」，係指在向本人通知或公告一定事項，並設有接受本人拒絕機制之前提下，無須取得同意即可將個人資料提供予第三方之制度。過往，利用此制度之事業者（企業），並未負有確認接收方身分或利用目的之義務。然而，在「黑名單/犯罪目標名冊（彙整犯罪目標候選人名單）」流通等背景下，修法中強制規定須確認接收方之姓名/名稱、住址、代表者姓名等身分資料及利用目的，並禁止接收方為虛偽答覆。違反者將面臨行政罰鍰處分。
（參考）
個人資料保護委員會「關於令和8年修正個人資料保護法」（2026年8月6日擷取，https://www.ppc.go.jp/personalinfo/legal/r8kaiseihogohou/）
個人資料保護委員會「關於個人資料保護法等一部分修正之法律」（2026年8月6日擷取，https://www.ppc.go.jp/files/pdf/260717_kaiseihounitsuite.pdf）
