令和8年改正個人情報保護法の金融機関等における実務対応 元・立案担当者による下位法令等の方向性を踏まえた解説

　令和8年7月10日に「個人情報の保護に関する法律等の一部を改正する法律案」が成立し、同月17日に公布されました（令和8年法律第56号）。

　本改正は、課徴金制度の創設というエンフォースメントの強化に加え、子どもの個人情報等に対する規律や、統計作成等の特例に関する新たなルール等、企業のビジネスモデルやシステム設計の根幹に影響し得る重要なアップデートが含まれています。特に、金融機関や各種ファイナンス事業者（以下「金融機関等」といいます）の展開するバンキング、クレジット、前払式支払手段、貸金等の与信・決済領域は、日々膨大なトランザクションデータが行き交うデータ利活用の最前線であるところ、本改正によってデータ利活用の選択肢が広がる一方で、違反時のペナルティも重くなるため、これまで以上にデータビジネスの推進とコンプライアンスの高度な両立が求められます。

　改正点のうち、金融機関等の実務において特に重要であると考えられるのは、①統計作成等の特例、②同意取得に係る例外事由の拡大、③子どもの個人情報等に関する規律、④委託に関する規律、⑤課徴金制度の創設、の5つです。本稿では、これらの改正内容を概説 ¹ した上で、個人情報保護委員会の元・立案担当者としての視点から、今後制定される政令・規則・ガイドライン等（以下「下位法令等」といいます）において明確となる方向性を見立て、金融機関等における実務運用やそのポイントを検討します。

　なお、個人情報保護法は、あらゆる分野における個人情報の取扱い等を規律する一般法であるため、本稿の内容については、金融機関等以外の企業においても参考となれば幸いです。

（本稿における略記）

略記	正式名称・参照情報
個人情報保護法または法	個人情報の保護に関する法律（平成15年法律第57号）
令和8年改正個人情報保護法 または改正法	個人情報の保護に関する法律等の一部を改正する法律（令和8年法律第56号）
個情委	個人情報保護委員会
政令	個人情報の保護に関する法律施行令（平成15年政令第507号）
規則	個人情報の保護に関する法律施行規則（平成28年個人情報保護委員会規則第3号）
金融分野ガイドライン	個人情報保護委員会・金融庁「金融分野における個人情報保護に関するガイドライン」（令和6年3月）
信用分野ガイドライン	個人情報保護委員会・経済産業省「信用分野における個人情報保護に関するガイドライン」（令和6年5月）
通則ガイドライン	個人情報保護員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（平成28年11月30日、令和8年6月一部改正）
ガイドラインQ&A	個人情報保護委員会「「個人情報の保護に関する法律についてのガイドライン」に関するQ&A」（平成29年2月16日、令和7年7月1日更新）

令和8年改正個人情報保護法の今後の見通し

施行までのスケジュール

　令和8年改正個人情報保護法は、一部の規定を除き、公布の日から起算して2年を超えない範囲内において政令で定める日から施行されます（改正法附則1条本文）。

　過去の法改正のスケジュールを紐解くと、公布から約6か月～9か月後に政令・規則が、公布から約1年～1年半後にガイドラインが改正され、そのさらに約半年後に施行というプロセスが一般的です。また、ガイドラインQ&Aは、主にガイドライン改正後に改正されることが想定されます。
　このプロセスの中で、「金融分野ガイドライン」や「信用分野ガイドライン」等の特定分野ガイドラインは、施行準備期間の終盤に改正される可能性が高いことから、金融機関等における実務の運用ルールが確定してから施行されるまでには、通常半年も猶予がないのが実態です。

金融機関等における早期整理の重要性

　今般の改正法は、単なるプライバシーポリシーの修正や社内規程の改訂等にとどまらず、UI/UXの改修や企業におけるデータ利活用の在り方の再整理をダイレクトに要求するものであるといえます。
　改正法は、施行までに約2年間の施行準備期間が想定されているものの、企業として対応すべき内容が広範囲にわたることや、特に金融機関等においては上記のとおり実務の運用ルール確定から施行までの猶予期間が短いことを踏まえると、可能な限り早期に改正法の対応を社内で整理しておくことが肝要であると考えられます。

金融機関等の実務における主要な改正点

統計作成等の特例

（1）現行法のルール

　現行法では、要配慮個人情報の取得（法20条2項）、個人データの第三者提供（法27条1項）等については、原則として本人の同意が必要とされています。
　たとえば、クレジットカード会社が保有する膨大な決済データ（顧客の属性情報や詳細な購買データ）を他の事業者に提供する場合や、他の事業者が保有する購買データやECサイトにおける閲覧履歴・行動履歴に係るデータをクレジットカード会社に提供する場合等は、それが提供先において統計情報等の作成のみに利用されるものであったとしても、原則として本人の同意が必要とされています。

　そのため、提供元では、本人から同意を得ることなくデータを提供するための方策として、以下のような工夫が行われてきました。しかしながら、これらの方策は、データ自体の持つ有用性や提供先における取扱いに限界があることがネックとなるために、依然として課題が残るものとなっています。

（2）改正の内容

　改正法では、公開されている要配慮個人情報の取得および個人データ等の第三者提供について、統計情報等の作成（統計作成等であると整理できるAI開発等を含む）にのみ利用されること等を条件に、本人の同意を不要とする特例が新設されました（改正法30条の2、31条の3）。

　個人情報の第三者提供に関する当該条件は、主に以下の3点です ²。

　これにより、クレジットカード会社や他の事業者等が生の決済データ等を提供した上で、提供先において精緻な統計情報を作成したり、AI開発を行うといったスキームが本人の同意なくして構築しやすくなりました。

（3）下位法令等の方向性

　改正法の国会審議における答弁等（以下「答弁等」といいます）を踏まえると、上記の条件①「必要がある場合」の要件との関係で、提供元は、統計作成等目的に照らして明らかに不要であり、かつ容易に削除できるデータが提供対象に含まれている場合は、当該データを削除する等の措置が求められる旨の解釈がガイドライン等において示されることが考えられます ³。

　また、本特例では、条件②の公表の方法・内容等が規則に委任されています。
　公表の方法については、本人が容易に公表事項を把握して利用停止等請求（法35条）を行うことや、個情委がモニタリングした上で厳正な法執行を行うことを可能ならしめるために、検索性の高い方法での公表が求められることが想定されていますが ⁴、具体的にどのような方法であれば高い検索性を有する公表であるといえるのか、現時点では明らかではありません。

　さらに、本特例では、前提となる「統計作成等」の範囲についても規則に委任されています。

　この規則については、答弁等を踏まえると、たとえば以下のような措置を講じた上で行われるものが規定されることが考えられます ⁵。これらの措置は、統計作成等を行う提供先が遵守すべき義務です。

（4）金融機関等における実務運用

　生データを提供して（あるいは提供を受けて）統計情報の作成やAI開発を行う場合、現行法の下では、「委託」（法27条5項1号）に依拠されることが多いと思われます。しかしながら、この委託構成においては、委託された業務以外に個人データを取り扱うことはできない ⁶、複数の委託元から提供を受けた個人データを本人ごとに突合することはできない（いわゆる「混ぜるな危険」）⁷ 等のハードルがありました。
　本特例は、これらのハードルを適法に乗り越えられるという点でメリットのある改正であると評価することができるため、統計情報の作成やAI開発を伴うデータ連携スキームにおいて積極的に検討されることが期待されます。

　一方で、本特例に基づいて取得・提供されたデータは、あくまで統計作成等目的に限定して利用されなければなりません。万が一、本特例に基づいて取得したデータがそのままマーケティング等の別目的に流用されれば、目的外利用であるとして、2-5で後述する課徴金納付命令の対象となるおそれがあるものと考えられます。

　したがって、社内のデータレイクやデータウェアハウス内において、通常の与信判断や広告宣伝に用いるデータと本特例に基づいて処理される統計作成等用のデータとを明確にタグ付けする等、厳格な分別管理やアクセス制御を行うことのできる設計が必要となります。

同意取得に係る例外事由の拡大

（1）現行法のルール

　現行法では、目的外利用（法18条）、要配慮個人情報の取得（法20条2項）および個人データの第三者提供（法27条）等については、原則として本人の同意が必要とされています。

　しかしながら、実務上は、ユーザー自身がサービスを利用する一連の流れにおいて、自らのデータが提供・利用されることを当然に想定・許容していると評価できる場面が多々存在します。
　このように、データの提供先や利用目的がユーザーの合理的意思の範囲内であり、あえて形式的な同意取得プロセスを挟む意義が実質的に乏しい（むしろユーザーの利便性を損なう）ケースであっても、現行法では一律に同意取得が要求されることから、金融機関等の重い実務負担となっていました。

（2）改正の内容

　改正法では、本人との間の契約の履行のために必要やむを得ないことが明らかである場合その他取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかである場合として個人情報保護委員会規則で定める場合は、本人の同意を不要とする例外事由が新設されました（改正法18条3項7号、20条2項7号、27条1項8号等）⁸。

（3）下位法令等の方向性

　「本人との間の契約の履行のために必要やむを得ないことが明らかである場合」については、答弁等を踏まえると、本人が契約を通じたサービスを利用する際に、当然にその情報が提供されないとサービスが享受できないと信じるに足りる十分な理由があること等の一定程度厳格な解釈がガイドライン等において示されることが考えられます ⁹。
　また、「取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかである場合として個人情報保護委員会規則で定める場合」については、諸外国の法令が参考にされる公算が大きいと思われます。
　たとえば、EUの一般データ保護規則（GDPR）においては、個人データ処理の適法化根拠として、「契約の履行」に並んで「契約締結の前に、データ主体の要求に際して手段を講ずるために取扱いが必要となる場合」が規定されています ^{10 11}。
　この点を踏まえると、規則においても、契約締結に向けた準備段階において本人の要求に応じるために必然的に生じるデータの提供といったケースが含まれるような規定がなされることが考えられます。

（4）金融機関等における実務運用

　本例外事由は、これまでしばしば依拠されてきた法令例外（法27条1項1号等）や生命・身体・財産例外（同項2号等）に並んで位置付けられるものであり、統計作成等の特例のように、公表・書面合意等の追加的要件が要求されるものではないと考えられます。
　法令遵守に対して慎重な姿勢であるが故に同意取得を負担に感じていた金融機関等にとっては、本人同意なくデータを提供するに当たっての法的な整理の選択肢が増えることになるため、負担の軽減になるとともに、より柔軟な運用が可能となるものと思われます。

　たとえば、以下のようなケースについて本人の同意を得ることが実務上の負担となっている実情があることから、本例外事由によって整理可能となることが期待されます。

「EMV 3-D セキュア」の仕組みにおける情報連携フロー

　本例外事由については、外国第三者提供規制（法28条）との関係で特段の対応が不要となる点も重要です。
　たとえば、上記の海外送金の例でいえば、これまで送金人に対して法28条2項に基づく外国制度等に関する情報提供を行う必要があったところ、本例外事由に依拠することができれば、そのような情報提供も必ずしも必要ないこととなります。
　なお、本例外事由によって整理することができなくとも、改正法では、「人の生命、身体又は財産の保護のために必要がある場合」（法27条1項2号）等の例外事由について、「本人の同意を得ることが困難であるとき」のみならず「その他本人の同意を得ないことについて相当の理由があるとき」も依拠できることとされていることから（改正法27条1項2号等）、当該例外事由によって別途整理可能となるケースも相当程度あるものと考えられます。

子どもの個人情報等に関する規律

（1）現行法のルール

　現行法では、子どもの個人情報の取扱い等に関する明文の規定は存在せず、通則ガイドラインやガイドラインQ&Aにおける解釈を通じた運用が行われています。
　すなわち、「本人の同意」を得ることが求められている場面について、個人情報の取扱いに関して同意したことによって生ずる結果について、未成年者が判断できる能力を有していないなどの場合は、親権者や法定代理人等から同意を得る必要があり（通則ガイドライン2-16）、個別具体的に判断されるべきであるが、一般的には、12歳から15歳までの年齢以下の子どもの場合には、法定代理人等から同意を得る必要があるとされています（ガイドラインQ&A1-62）。

　そのため、実務上は、ガイドラインQ&A等を踏まえて12〜15歳程度を1つの目安としつつも、金融機関等ごとに対応がバラバラであり、特に若年層ユーザーを多く抱える前払式支払手段（プリペイドカードやプリペイド型の電子マネー）等を提供する金融機関等にとって、法的な予測可能性が低い状態が続いていました。

（2）改正の内容

　改正法では、子どもの個人情報の取扱い等について、以下のとおり改正が行われました。
　年齢基準については、現行の運用の基礎となっている上記ガイドラインQ&Aの記載やGDPRの規定 ¹³ 等を踏まえ、「16歳未満」と定められています。

（3）下位法令等の方向性

　子どもの個人情報等に関する規律については、一部の例外事由が政令や規則に委任されていますが、基本的には、ガイドラインやガイドラインQ&Aにおける記載が実務運用のベースになることが想定されます。

　特に、法定代理人の同意取得等の例外事由の1つである「当該個人情報が16歳未満の者であることを知らないことについて正当な理由がある場合」（改正法40条の2第1項1号）の該当性判断における年齢確認の要否やその方法、また、法定代理人の同意の取得方法等については、実務上の関心が高いポイントであると思われます。
　これらについては、GDPR等の諸外国の法令や現行法における本人同意の解釈等を踏まえると、最終的には、リスクベースに則った合理的な水準が示されるものと考えられます（たとえば、事業の性質や個人情報の取扱状況によっては、書面徴求等の厳格な方式ではなく、自己申告等による簡易な方式での年齢確認や法定代理人の同意取得が認められる可能性も十分にあると思われます）。

　また、未成年者を対象とした責務規定も設けられますが、現時点では、具体的にどのような措置が努力義務として求められるのか判然としません。この点については、たとえば、未成年者の個人データについてより高い水準の安全管理措置を求める、プライバシーポリシー等において未成年者にもわかりやすい表現を用いた説明を求める等の措置があり得るように思われます。

（4）金融機関等における実務運用

　金融機関等においては、そのサービスの提供に年齢制限を設けている場合が多いと思われるため、16歳未満の者の個人情報を取り扱うケースは多くないのが実情です ¹⁶。仮に年齢制限を遵守しないユーザーが存在することにより16歳未満の者の個人情報が含まれてしまったとしても、上記「正当な理由」が認められる可能性が相当程度あるのではないかと考えられます。

　一方で、特に若年層ユーザーを多く抱える前払式支払手段等を提供する金融機関等については、本改正がダイレクトに影響するため留意すべきです。
　まず、法定代理人の同意取得等の関係では、たとえばUI/UXの設計について、自社のアプリやWebサイトの新規会員登録フローに生年月日の入力画面を追加し、16歳未満と判定された場合に法定代理人向けの同意画面に遷移させる等、具体的なシステムの再構築について整理する必要があります。
　また、利用停止等請求の関係では、16歳未満の者の個人情報の棚卸しや請求を受けた際の対応フロー等について整理する必要があります。

　なお、金融機関等の場合は、金融分野ガイドラインや信用分野ガイドラインの規定に基づいて、個人情報の取得の場面においても利用目的に関する同意を取得しているケースが実務上多く見受けられます。取得について法定代理人の同意を取得している場合は、本改正により追加される利用停止等請求の例外事由に該当するため（改正法35条9項1号）、多くの金融機関等にとっては、当該例外事由によって利用停止等の義務の対象外であると整理することが現実的ではないかと考えられます。
　もっとも、そのような場合であっても、違法行為等を前提とした従来の利用停止等請求（改正法35条1項〜6項）が行使される可能性が依然として残る点は留意すべきです。

委託に関する規律

（1）現行法のルール

　現行法では、個人データの取扱いを委託する場合は、委託元は、その取扱いを委託された個人データの安全管理が図られるよう、委託先に対する必要かつ適切な監督を行わなければならないとされています（法25条）。

　金融機関等においては、その業種に応じたレギュレーションを遵守するために業法上求められる措置を外部に委託するケースが非常に多く、また、特に近時は、当局による厳格なモニタリングを踏まえた委託先管理の徹底が重要な実務課題となっています。もちろん、業法上の委託に該当しない一般的な業務の委託も同様に多く存在します。
　これらの委託は、個人データの取扱いの委託を伴うケースが多いため、委託に関する規律の整備は、金融機関等にとって看過できない重要な改正であるといえます。

（2）改正の内容

　改正法では、委託に関する規律について、以下のとおり改正が行われました。

　改正法58条の2は、委託先自らは取扱いの方法を決定しないケース、すなわち委託先が委託元から指示された方法で機械的に個人データ等を取り扱うのみの場合（委託先がデータ入力作業を委託され、委託元の指示に従って機械的に入力作業を行う場合等）を想定した規律となっています。

（3）下位法令等の方向性

　委託に関する規律においては、主として改正法58条の2の特例の適用を受けるために委託契約において定めるべき事項が規則に委任されています。これまでの現行法の解釈や個情委における議論を踏まえても、受託個人情報等の取扱いの方法について具体的にどのような内容・粒度が求められるのか（同条1号）、また、その他どのような事項を委託契約で定めることが必要となるのか（同条3号）について判然としません。

　この点について、GDPRでは、委託契約に相当するデータ処理契約（DPA）の必要的記載事項として、たとえば以下のような事項が定められているところ ^{17 18}、これらを参考にして規則が定められる可能性があるものと思われます。

（4）金融機関等における実務運用

　委託元による委託先の監督義務を定めた法25条自体は改正の対象となっていないため、改正法により、これまで行われてきた委託元の金融機関等による委託先管理の運用自体が大きく変わるものではないと考えられます。

　一方で、特に金融機関等が委託先となるようなケースにおいては、改正法58条の2に基づいて、委託契約において一定の事項が記載されていること等を条件として、一部を除く個人情報保護法上の義務が免除されるというメリットがあるため、今後制定される規則に備えて、委託契約のひな型等の改訂に向けた精査を行っておくことが有用であると考えられます。
　仮に義務が免除される場合であっても、安全管理措置（法23条）等の取扱方法の決定権限の存在を前提としない規定は引き続き適用されるため、その点は留意すべきです。

　なお、改正法30条の3は、これまでも現行法において委託先に求められていた内容（通則ガイドライン3-6-3 (1) 参照）を明文化するものであり、実務上もこれに沿った運用がなされてきているものと思われますので、改正による影響は必ずしも大きいものではないと考えられますが、委託先自身に直接課される法的な義務として再構成されたことから、これまで以上に取扱いの範囲に留意すべきものと思われます。

課徴金制度の創設

（1）現行法のルール

　現行法では、法に違反した事業者は、勧告・命令等を受けた後に違反行為を中止すれば、間接罰の適用がなく、違反行為によって得た経済的利益をそのまま保持することが可能です。また、直罰（法179条等）に関しても、違反行為を抑止する観点からは十分でないと指摘されています。

（2）改正の内容

　改正法では、経済的誘因のある大量の個人情報の取扱いによる悪質な違反行為を実効的に抑止するため、重大な違反行為により個人の権利利益が侵害された場合等について、個情委は、当該違反行為によって得られた財産的利益等に相当する額の課徴金の納付を命ずることとされました。

　課徴金制度の概要は、以下のとおりです。

（3）下位法令等の方向性

　課徴金制度においては、課徴金納付命令の対象外となる①「違反行為を防止するための相当の注意を怠った者でないと認められる場合」（改正法148条の3第1項本文、2項本文）の解釈や、②政令に委任されている「個人の権利利益を害する程度が大きくない場合」（改正法148条の3第1項ただし書、2項ただし書）の内容について特に注視する必要があります。

　上記①の主観的要件については、答弁等を踏まえると、最終的には事業の規模及び性質、個人情報の取扱状況（取り扱う個人情報の性質及び量を含む）等を踏まえた個別判断にはなるものの、事業者の予見可能性を確保し得るような適切な解釈がガイドライン等において示されるものと考えられます ¹⁹。
　「相当の注意を怠った者でないと認められる場合」の具体例としては、個情委が以下のケースを挙げています ²⁰。

　また、上記②の権利利益侵害要件については、過剰な規制を回避する等の観点から、個人の権利利益が侵害され、または侵害される具体的なおそれが生じた場合に課徴金納付命令の対象を限定する旨の説明がこれまで個情委よりなされてきました。
　このような場合に該当しない場合として、個情委は以下のケースを挙げているため、政令においては、少なくともこれらが含まれるような規定がなされることが考えられます ²¹。

（4）金融機関等における実務運用

　課徴金制度は、個人情報保護法で初となる直接的な金銭的ペナルティを科す制度であり、企業活動に与える影響が大きいことから、立案過程では、経済団体等から強い懸念や反対意見が示されていました。
　こうした背景もあり、スモールスタートの制度設計として、課徴金納付命令に至るまで様々な要件が設けられ、真に悪質と評価できるような取扱いをターゲットとする形に絞り込まれています。また、当初懸念されていた安全管理措置義務違反も、課徴金納付命令の対象から除外されています。
　したがって、日頃から高度なコンプライアンス体制を敷いている金融機関等にとっては、本制度が直ちに致命的な脅威となる可能性は低いものと評価できます。

　もっとも、決して対岸の火事として軽視すべき制度ではないことに留意すべきです。
　前述（2）の課徴金対象行為のうち、特に行為③「法27条1項の規定に違反する個人データの提供」や、行為⑤「不正な手段で取得した個人情報の利用」（違法な第三者提供が行われることを容易に知り得る状況下での取得もこれに該当する旨解釈されています ²²）、また、改正法で新設された特例に関する行為④「統計作成等の特例に違反する個人情報の目的外利用や第三者提供」については、データ連携を行うビジネスの過程において意図せず要件を踏み抜いてしまうリスクが十分に想定されます。
　したがって、こうした違反を未然に防ぐためには、平時から個人情報等の取扱いの法的根拠（同意の有無や例外要件の該当性等）を厳格に確認した上で、個人情報保護法の規律を適切に遵守できているかについての定期的な点検を実施するとともに、その判断プロセスを客観的な証跡として残しておくことが肝要となります。

　前述のとおり、課徴金制度においては、「相当の注意を怠った者でないと認められる場合」に課徴金納付命令の対象外となる主観的要件が設けられています。上記のような確認フローや証跡保全の体制を平時から十全に構築・運用しておくことで、仮に自社の取扱いが結果的に課徴金対象行為に該当してしまったとしても、「相当の注意を怠った者でない」と評価され、課徴金納付命令を免れ得るケースが相当程度あるものと考えられます。

　このように、課徴金制度に係る対策の要諦は、事後的な対応以上に、平時の適法性確保のプロセスにあるといえます。