RESOURCE

個人情報保護法改正はいつから？委託先管理の観点で解説｜ハチマルヤ合同会社（808）

2026.09.09

「個人情報保護法が改正されたと聞いたけど、いつから対応しないといけないのか分からない。。」

そう感じている情シス・法務担当者の方は多いのではないでしょうか。ハチマルヤ合同会社（808）には、SCS評価制度への対応と並行して、この改正への準備状況を相談されるケースが増えています。この記事では、改正個人情報保護法の施行時期を一次情報にもとづいて正確に整理します。あわせて、委託先管理の義務化とSCS評価制度の「取引先管理」要求事項がどう関係するのかも解説します。

なお、この記事は法的助言を目的としたものではありません。最終的な対応判断は、弁護士等の専門家にご確認ください。

改正個人情報保護法、施行はいつからか

まず結論からお伝えします。改正個人情報保護法は、2026年7月17日に公布されました（出典：個人情報保護委員会）。ただし、公布と施行は別のタイミングです。改正法の附則第1条本文は施行日を定めています。具体的には「公布の日から起算して2年を超えない範囲内において政令で定める日」です（出典：三宅法律事務所「令和８年改正個人情報保護法の公布のご報告」）。2026年9月時点では、まだ具体的な日付が決まっていません。

「もう一部は施行されているのでは」という声も聞かれますが、本体部分に関しては未施行の状態です。政令・規則・ガイドライン等の検討が進められている段階であり、施行日が確定次第、内容が公表される見込みです。

このように施行日が公布と同時に決まらないのは、個人情報保護法に限った話ではありません。企業側が新しいルールに対応するための準備期間として、公布から施行までの間に一定の猶予が設けられる、という運用が一般的です。今回の改正でいえば、その猶予期間の上限が「公布から2年」と定められている、という理解になります。

裏を返せば、施行日が決まってから対応を始めたのでは間に合わない可能性があります。政令の内容が固まる前の段階から、自社の現状を把握しておくことには意味があります。

例外：罰則規定だけは先行して施行される

施行日が未定なのは本体部分の話であり、一部だけ扱いが異なる規定があります。

改正法の附則第1条第3号は、罰則に関する規定だけを先行して施行すると定めています。具体的には、公布の日から起算して6か月を経過した日、つまり2027年1月17日です（出典：三宅法律事務所「令和８年改正個人情報保護法の公布のご報告」）。対象となるのは、個人情報データベース等不正提供等罪の法定刑引き上げや、個人情報の不正取得罪の新設などです。

なぜ罰則規定だけが先に施行されるのか、疑問に思う方もいるかもしれません。一般的に、罰則規定は「悪質な行為への抑止力」としての性格が強い規定です。企業側にシステム改修や社内規程の整備等を求める規定と比べると、準備期間を長く取る必要性が低いと考えられます。そのため、本体部分より先に施行されるという扱いになっている、と見ることができます。

自社が直接この罰則の対象になるかどうかは、通常の事業運営を適正に行っている限り、過度に心配する必要はないと考えられます。ただし、個人情報の取扱いに関する社内ルールが曖昧なままになっている場合は、この機会に見直しておくとよいでしょう。

今回の改正で変わること：委託先管理の義務化

今回の改正のうち、実務への影響が大きいと見られているのが委託先管理に関する変更です。

現行の個人情報保護法では、個人データの取扱いを委託する場合、委託元が委託先に対して「必要かつ適切な監督」を行う義務を負う、という構成になっています。委託先自身への直接的な法的義務は明記されていませんでした。

CloudNative BLOGs「改正個人情報保護法情シスの対応」によれば、改正後は委託先自身にも直接の法的義務が課されます。委託された個人データを、委託業務の遂行に必要な範囲を超えて取り扱うことが、法令上明示的に禁止される方向です。実務上は、委託元・委託先どちらの立場であっても、契約書に定めた取扱い範囲を超えていないかを見直す必要が出てくると考えられます。

この変更が実務上どのような意味を持つのか、具体的に考えてみます。たとえば、自社がある業務を外部の委託先に委託しており、その業務の中で顧客の個人データを渡している場面を想定してください。現行法の建てつけでは、委託先が個人データを目的外に利用してしまった場合、まず問われるのは委託元（自社）の監督責任です。委託先を選ぶ際に十分な確認をしていたか、契約書で取扱いルールを明確にしていたか、といった監督の適切さが焦点になります。

改正後は、これに加えて委託先自身にも直接の法的義務が課される方向とされています。委託先が委託業務の範囲を超えて個人データを取り扱った場合、委託先自身が法的責任を問われる可能性が出てくる、という理解です。委託元にとっては、委託先の対応が変わることで、自社の監督負担が多少軽減される面もあると考えられます。一方で委託先の立場にある企業にとっては、これまで以上に自社の個人データ取扱いルールを明確にしておく必要が出てくることになります。

自社が委託元・委託先いずれの立場であるかによって、確認しておくべきポイントが変わる点は押さえておきたいところです。

SCS評価制度の「取引先管理」とは何が同じで何が違うのか

SCS評価制度に取り組んでいる企業であれば、「取引先管理」という要求事項を耳にしたことがあるかもしれません。この改正と関係があるのか、整理しておきます。

SCS評価制度の★3評価では、取引先管理として次の3つの要求事項が定められています。

要求事項名	内容
取引先とのビジネス又はシステム上の関係	取引先と自社との関係を把握すること
機密情報の取扱い	自社の機密情報の取扱い方法を、共有先との間で明確にすること
セキュリティインシデント発生時の役割・責任	インシデント発生時の他社との役割・責任を明確にすること

このうち「機密情報の取扱い」は、改正個人情報保護法が求める委託先管理と、扱っている対象がある程度重なります。委託先との間で取扱い範囲を明確にしておく、という考え方は共通しているためです。

ただし、両者は同じものではありません。SCS評価制度はサイバーセキュリティ対策全般を対象にした任意の評価制度であり、企業が自主的に取得を検討するものです。一方、個人情報保護法は個人データの適正な取扱いを定めた法律であり、対象事業者には法的な遵守義務があります。対象範囲も、SCSはセキュリティ対策全般、個人情報保護法は個人データの取扱いに限定される、という違いがあります。この2つを混同せず、別の制度として並行して確認しておくことが大切です。

具体的に整理すると、次のような違いになります。

観点	SCS評価制度	改正個人情報保護法
性質	任意の評価制度	法律（法的義務）
対象	サイバーセキュリティ対策全般	個人データの取扱い
取引先・委託先に関する規定	取引先管理（要求事項として）	委託先管理（法的義務として）
対応しない場合	罰則はないが取引上の不利益の可能性	罰則・課徴金の対象になり得る

この表からも分かるとおり、SCS評価制度への対応を進めていても、それだけで個人情報保護法の委託先管理義務を満たしたことにはなりません。逆に、個人情報保護法への対応だけを進めていても、SCS評価制度が求める取引先管理の要求事項をすべて満たすわけでもありません。自社がどちらの対応をどこまで進めているのか、切り分けて把握しておくことが重要です。

自社は今、何を準備しておけばよいか

施行日も政令の内容もまだ確定していない段階ですが、今からできる準備はあります。

まず、委託契約書を確認し、委託先に対してどこまでの取扱いを認めているかが明確になっているかを点検しておくことです。取扱い範囲が曖昧なままの契約が残っていないか、今のうちに洗い出しておくと、施行後に慌てずに済みます。

具体的には、次のような点を確認しておくと準備がしやすくなります。

個人データの取扱いを委託している先が、社内でどこまで把握できているか（委託先の一覧化）
各委託契約で、委託先が個人データをどの範囲まで取り扱ってよいことになっているか
委託先での再委託（さらに別の会社へ委託すること）が発生している場合、その範囲は把握できているか
委託先とのやり取りの記録が、後から確認できる状態で残っているか

これらは政令の内容が確定していなくても、今の時点で着手できる準備です。すべてを一度に終わらせる必要はなく、まず自社の委託先を洗い出すところから始めるだけでも、施行後の対応がかなり楽になります。

SCS評価制度の取引先管理要求事項の確認とあわせて進めると、委託先・取引先とのやり取りをまとめて整理でき、効率的です。

課徴金制度についても触れておく

今回の改正では、個人情報保護法として初めて課徴金制度が導入される見込みです。

のぞみ総合法律事務所の解説によれば、対象は不正利用・違法取得・違法な第三者提供・統計作成特例違反の4類型に限定されます。課徴金の額は、固定額ではなく違反による売上高等をベースに算定される仕組みで、大規模な情報漏えい等では高額になる可能性も指摘されています。自主申告による減額規定もあるとされていますが、詳細な適用条件は専門家に確認することをおすすめします。

課徴金制度は、通常の業務を適正に行っている企業にとって直ちに脅威になるものではありません。対象となる4類型はいずれも「不正」「違法」という言葉がついており、意図的な違反や重大な過失を対象にした制度だと考えられます。ただし、委託先管理が曖昧なまま放置され、結果として個人データが目的外に利用されるような事態が生じた場合、委託元・委託先いずれの立場でも無関係とは言い切れません。この点でも、委託先管理の見直しは間接的に課徴金リスクを下げることにつながります。

よくある質問（FAQ）

Q. 改正個人情報保護法はもう施行されていますか？ A. 本体部分は未施行です。附則第1条本文により、施行日は「公布から2年を超えない範囲内で政令で定める日」とされており、2026年9月時点では確定していません。ただし罰則規定のみ、附則第1条第3号により2027年1月17日に先行施行されます。

Q. 委託先管理の義務は現行法と何が変わりますか？ A. 現行法は委託元に監督義務を課す構成ですが、改正後は委託先自身にも直接の法的義務が課されます。委託業務の範囲を超えた取扱いが明示的に禁止される方向です。

Q. SCS評価制度と個人情報保護法の委託先管理は同じものですか？ A. 扱っている対象に重なりはありますが、同じ制度ではありません。SCS評価制度は任意のセキュリティ評価制度、個人情報保護法は法的義務を定めた法律という違いがあります。

まとめ

改正個人情報保護法は2026年7月17日に公布されましたが、施行日はまだ確定していません。ただし罰則規定のみ先行して施行される見込みがあり、委託先管理の義務化という実務への影響が大きい変更も予定されています。SCS評価制度の取引先管理要求事項と重なる部分もありますが、両者は法的性質の異なる別の制度です。政令の内容が確定する前から、委託契約の点検など準備を始めておくことをおすすめします。

ハチマルヤ（808）では、専門家によるコンサルティングに加えて、無料のセルフチェックができるHACHIMORIというプロダクトも提供しています。「まずは自分たちで現在地を確認したい」という段階でも構いません。

ハチマルヤ合同会社（808）では、SCS評価制度への対応を専門チームがサポートしています。「何から始めればいいかわからない」という段階からご相談を受け付けています。