個人情報保護法に「課徴金」導入――AI活用企業に限らず、押さえておくべき新制度

制度の概要

2026年7月成立の改正個人情報保護法により、個人情報保護委員会が違反事業者に直接課徴金の納付を命じられる制度が新設されました。対象は、①不適正な利用の禁止違反、②適正な取得違反、③第三者提供の制限違反、④AI開発等のための「統計作成等の特例」への違反、の4類型です。①〜③はAIの利用の有無にかかわらず、通常の顧客データ・名簿の取扱い全般に及ぶ規制であり、課徴金はAI活用企業に限った制度ではありません。

相当の注意を怠っていない場合や対象本人が1,000人未満の場合は対象外とされ、大規模・悪質な事案に絞られています。金額は違反行為で得た利益相当額が基準で、繰り返し違反は1.5倍加算、自主申告は50%減額です。施行は公布から2年以内の政令で定める日です。

実務でつまずきやすいポイント

多くの企業にまず関係するのは①〜③の一般的な類型です。名簿を違法な勧誘や差別的取扱いが想定される相手に提供する行為、偽りの手段での取得、同意のない第三者提供などは、AIを一切使っていない企業でも該当し得ます。「AIを使っていないから関係ない」という認識は誤りです。

そのうえで、AI開発やデータ分析を進める企業には、④の「統計作成等の特例」にも独自の注意が必要です。この特例は、統計の作成やAI開発のためにのみ利用することを条件に、個人データを同意なく第三者提供したり、公開された要配慮個人情報を取得したりすることを認めるものです。ただし、統計作成等のためだけに使うと公表・合意しておきながら、実際には統計化せずそのまま第三者に販売したり広告配信に転用したりすれば、その行為自体が課徴金の対象に直接該当します。「AI学習だから同意なく使える」という理解が独り歩きし、利用実態が当初の目的からはみ出せば、規制緩和のつもりが規制強化の対象になる、という逆転が起こり得るのです。

なお、どこまでが適法な統計作成等で、どこからが違反かという線引きは、まだ政令・規則・ガイドラインで確定していません。委員会は本年秋以降、意見聴取やパブコメを経て具体化を進める段階です。

企業が今すぐ着手できる実務対応

まず、AIの有無にかかわらず、自社が扱う個人データの第三者提供・取得の経路を棚卸しし、不適正な相手への提供や不正取得に当たる運用がないかを確認すること。そのうえで、AI・データ活用を行っている企業は、統計作成等の特例に依拠した利用が公表した目的の範囲内に収まっているか、外部への提供・委託契約で利用目的の限定が明確かを追加で確認し、政令・規則・ガイドラインの整備状況を追いかけることが必要です。

おわりに

課徴金制度は、AI活用企業だけでなく、個人データを取り扱うほぼすべての企業に関係する新しい抑止策です。そのうえで、AI・データ活用を進める企業には、規制緩和とセットで導入された特例の裏側にあるリスクという、もう一段の注意が求められます。

施行までの準備期間があり、細目が固まっていない今だからこそ、自社のデータ運用実態を棚卸しし、今後の政令・規則の動向を確認しておくことが望ましいといえます。日頃から事業内容を理解し、制度改正の動きを追い続けている専門家であれば、状況変化に振り回されず、施策のスピードを落とさず前に進めることができるのも顧問弁護士のメリットです。