自社のホームページにプライバシーポリシー（個人情報保護方針）を掲載している企業は多いと思います。しかし、そのページを最後に見直したのがいつだったか、すぐに答えられる方は多くないのではないでしょうか。
個人情報保護法は、３年ごとに見直しを行うこととされており、実際に改正が重ねられています。そして、令和８年７月、新たな改正法が成立し、公布されました。以前のコラムでは個人情報保護法の基本的な用語について解説をしましたが、今回は、プライバシーポリシーの見直しという観点から解説をしていきます。
１ プライバシーポリシーは何のための文書か
プライバシーポリシーは、企業のイメージを整えるための文書ではありません。個人情報保護法は、事業者に対し、一定の事項を本人に通知する、公表する、あるいは本人が容易に知り得る状態に置くことを求めています。プライバシーポリシーは、この義務を果たすための手段として位置づけられるものです。
そのため、法律が求める事項が変われば、プライバシーポリシーの記載内容も変わることになります。数年間そのままにしているということは、その間に追加された事項が記載されていない可能性がある、ということを意味します。
２ 令和２年改正への対応ができているか
令和８年の改正の話に入る前に、確認していただきたいことがあります。令和２年の改正法は令和４年４月から全面的に施行されており、このときに公表すべき事項が実質的に増えています。
具体的には、次のような点です。
- 保有個人データの安全管理のために講じた措置の公表が求められるようになりました。「適切に管理します」といった記載だけでは足りません。
- 外国にある第三者へ個人データを提供する場合、その国名や当該国の制度などについての情報提供が必要になりました。海外の事業者が提供するクラウドサービスや業務用ツールを利用している場合、ここに該当することがあります。
- 個人関連情報（クッキーや端末の識別情報など）を第三者に提供する場合の規律が新設されました。ウェブ広告やアクセス解析を利用している場合に関係してきます。
- ６か月以内に消去する短期保存データも保有個人データに含まれることとなり、開示や利用停止の請求の対象になりました。
- 本人から電磁的記録による開示を求められた場合の対応が必要になりました。
- 一定の漏えい等が発生した場合、個人情報保護委員会への報告と本人への通知が義務となりました。
つまり、令和４年より前に作成したまま手を加えていないプライバシーポリシーは、令和８年の改正を待つまでもなく、現時点で不足が生じている可能性があるということになります。
３ 令和８年改正の主な内容
令和８年７月１０日に「個人情報の保護に関する法律等の一部を改正する法律」が成立し、同月１７日に公布されました。施行は、原則として公布の日から２年を超えない範囲内で政令が定める日とされており、遅くとも令和１０年（２０２８年）７月までに施行されることになります。
改正内容は多岐にわたりますが、事業者への影響が大きいものとして、次のような点が挙げられます。
課徴金制度の導入
個人情報保護法において、初めて課徴金の制度が設けられます。対象となるのは、違法な行為が想定される第三者への個人情報の提供や、同意のない個人データの第三者提供など、悪質な類型に限られており、違反行為によって得た利益に相当する額を納付させるという仕組みです。違反を防止するために相当の注意を怠っていないと認められる場合は対象外とされているため、平時からどのような管理体制を整えていたかが問われることになります。
１６歳未満の個人情報に関する規律の強化
１６歳未満の方の個人情報を取り扱う場合、利用目的の通知や各種の同意について、本人ではなく法定代理人を相手方とする旨の規定が設けられます。また、１６歳未満の本人は、原則として利用の停止や消去を請求することができるようになります。学習塾やスクール、子ども向けのサービスを提供している事業者は、同意を得る手続そのものを見直す必要が出てきます。
顔の特徴データ等に関する規律の新設
顔の骨格や目鼻口の位置・形状などから抽出した特徴量のデータが「特定生体個人情報」として位置づけられ、これを取り扱う事業者は、あらかじめ事業者名や利用目的などを本人に通知し、または本人が容易に知り得る状態に置かなければならないこととされました。顔認証による入退室管理や、来店客の分析を目的としたカメラを導入している場合には、掲示やプライバシーポリシーでの対応を検討する必要があります。
委託を受けた事業者の義務の明確化
個人情報の取扱いの委託を受けた事業者は、受託した業務の遂行に必要な範囲を超えて個人情報を取り扱ってはならないという義務を、法律上直接負うことになります。委託する側だけでなく、委託を受ける側にも関係する改正であり、委託契約書の見直しが必要になります。
なお、これらの詳細な基準の多くは、今後定められる政令や個人情報保護委員会規則、ガイドラインに委ねられています。そのため、今後の動きを見ていく必要があります。
４ 御社のプライバシーポリシーは大丈夫ですか？
以下の項目に１つでも当てはまるものがあれば、一度見直しをおすすめします。
- 最終改定日が令和４年４月より前になっている
- 安全管理措置について具体的な記載がない
- 海外のクラウドサービスや業務用ツールを利用しているが、その旨の記載がない
- クッキーやアクセス解析ツールについての記載がない
- 記載している利用目的が、現在行っている事業の内容と合っていない
- 開示や訂正、利用停止の請求を受け付ける窓口や手続が書かれていない
- 漏えいが起きた場合の社内の対応手順が決まっていない
- 個人データを扱う委託先との契約を数年間見直していない
- 顔認証のシステムを導入している、または導入を検討している
- 業務で生成AIを利用しているが、個人情報の入力についてのルールがない
５ 見直しを進めるにあたって
プライバシーポリシーの見直しは、文章を書き換えるところから始めてもうまくいきません。まず必要なのは、自社がどのような個人情報を、どこから取得し、どこに保管し、誰に提供しているのかを整理することです。利用しているツールやサービスも含めて洗い出すことになります。
この整理ができて初めて、法律が求める事項との間にどのような差があるのかを確認することができます。そして、その結果をプライバシーポリシーに反映させるとともに、社内規程や委託契約書、同意を得る画面、漏えいが起きた場合の対応手順といった関連する部分も併せて整えていくことになります。
プライバシーポリシーは、こうした体制全体の対外的な窓口にあたる部分といえます。文書だけを整えても、実際の取扱いと合っていなければ意味がありませんし、かえって不利に働くこともあります。
６ まとめ
改正法の施行までにはまだ時間があるように見えますが、自社が取り扱う情報の整理には相応の時間がかかります。また、令和２年改正への対応が済んでいない場合には、施行を待つまでもなく対応が必要な状態です。
企業活動において個人情報を扱わないということはほとんどありません。他方で、法改正のスピードは速く、技術の変化も伴うため、社内だけで対応を続けていくことは難しい面もあります。
プライバシーポリシーの見直しや、社内規程・委託契約書の整備、従業員向けの研修などについて、気になることがありましたら、お早めに弁護士にご相談ください。
個人情報・プライバシーに関してのご相談は、こちらからお問い合わせください。