法律情報

弁護士　溝上武尊（弁護士法人HIRAKU）

• 令和8年改正で、個人情報保護法に課徴金制度が導入されました。
• もっとも、対象となる違反行為や成立要件は厳しく限定されており、適用場面は限定的と考えられます。
• 事業者としては、万一の課徴金納付命令に備え、より一層、個人情報保護コンプライアンス体制を強化していくことが重要です。
• 課徴金納付命令を契機として裁判例が蓄積されれば、個人情報保護法実務にも少なからぬ影響を与える可能性があります。

1. 令和8年改正個人情報保護法の成立

2026年7月10日、令和8年改正個人情報保護法（以下「改正法」といいます）が参議院で可決・成立しました。改正の過程では「統計特例」に注目が集まりました。しかし、企業実務への影響という観点では、むしろ見逃せないのが課徴金の導入です。長年の議論の末についに導入される課徴金制度の概要と実務への影響を見ていきます。

2. 改正法の内容

（1）成立要件の概要

課徴金の成立要件を定めるのは改正法148条の3です。条文を見ながら要件を解読してみましょう。

（個人情報の違法な取扱い等に対する課徴金納付命令）

第百四十八条の三　個人情報取扱事業者が、次に掲げる行為（以下この項において「違 反行為」という。）をした場合（当該個人情報取扱事業者が、当該違反行為が行われた期間を通じて、当該違反行為を防止するための相当の注意を怠った者でないと認められる場合を除く。）において、代金、報酬、利用料、手数料その他名目のいかんを問わず、当該違反行為又は当該違反行為をやめることの対価として金銭その他の財産上の利益（以下この条において「金銭等」という。）を得たときは、委員会は、当該個人情報取扱事業者に対し、当該金銭等に相当する額として政令で定める方法により算定した額（次条において「第一項対価額」という。）に相当する額の課徴金を国庫に納付することを命じなければならない。ただし、当該違反行為に係る個人情報又は個人データ（第十六条第三項に規定する個人データをいう。第三号において同じ。）の本人の数が千人を超えないときその他個人の権利利益を害する程度が大きくない場合として政令で定めるときは、その納付を命ずることができない。

一　個人情報の提供であって、当該個人情報を利用して違法な行為又は不当な差別的 取扱いを行うことが想定　される状況にある第三者に対して行うもの

二　第三者の求めにより行う個人情報の利用であって、当該第三者が当該個人情報の利用を通じて違法な行為又は不当な差別的取扱いを行うことが想定される状況にある場合に行われるもの

三　第二十七条第一項（第四十条の二第一項の規定により読み替えて適用する場合を含む。）の規定に違反する個人データの提供

四　第三十条の二第四項若しくは第九項又は第三十一条の三第五項の規定に違反する 個人情報の取扱い

五　第三十条の二第十項若しくは第十一項又は第三十一条の三第六項若しくは第七項 の規定に違反する個人情報の提供

２　個人情報取扱事業者が、第二十条第一項の規定に違反して個人情報を取得し、当該 個人情報を利用した場合（当該個人情報取扱事業者が、当該取得及び利用が行われた 期間を通じて、当該取得及び利用を防止するための相当の注意を怠った者でないと認められる場合を除く。）において、当該利用又は当該利用をやめることの対価として金銭等を得たときは、委員会は、当該個人情報取扱事業者に対し、当該金銭等に相当する額として政令で定める方法により算定した額（次条において「第二項対価額」という。）に相当する額の課徴金を国庫に納付することを命じなければならない。ただし、当該利用に係る個人情報の本人の数が千人を超えないときその他個人の権利利益を害する程度が大きくない場合として政令で定めるときは、その納付を命ずることができない。

課徴金の対象となる違反行為は、以下の4類型に限定されています。なお、改正法のもとになっている「個人情報保護法のいわゆる３年ごと見直しに関する検討会報告書」（令和6年12月25日）（以下「検討会報告書」といいます）では、「安全管理措置義務違反」の類型も対象行為として挙げられていましたが（20頁）、個人情報保護委員会「個人情報保護法 いわゆる３年ごと見直しの制度改正方針」（令和8年1月9日）で対象行為から除外されました。

• 違法行為又は不当な差別的取扱いを行うことが想定される第三者への提供・当該第三者のための利用（改正法148条の3第1項1号・2号）
• 第三者提供の制限（個情法27条１項）違反（改正法148条の3第1項3号）
• 統計特例違反（目的外利用、第三者提供）（改正法148条の3第1項4号・5号）
• 適正な取得（個情法20条１項）違反の個人情報の利用（改正法148条の3第2項）

この中で最も実務上直面し得るのは、第三者提供の制限違反だと考えられます。個人データの第三者提供は原則として本人の同意を要するという第三者提供の制限は、企業がデータ利活用を進める際に大きく立ちはだかる規定です。第三者提供の制限違反で課徴金が課されるというのは、そこだけを見れば企業にとって重大なリスクとなるでしょう。

しかしながら、違反行為類型の限定にとどまらず、この課徴金の規定にはその対象範囲を更に絞り込むための仕掛けが何重にも施されており、結果として、その適用場面は非常に限定されています。

（2）相当の注意（主観的要素）

まず、改正法148条の3には以下の規定があります。

【適正な取得違反の場合以外】

「当該個人情報取扱事業者が、当該違反行為が行われた期間を通じて、当該違反行為を防止するための相当の注意を怠った者でないと認められる場合を除く」

検討会報告書では、このような主観的要素により、過剰な規制を回避し、適法性を確認するインセンティブを事業者に与えると説明されています（18頁）。このような主観的要素による課徴金の限定は、景品表示法（8条1項ただし書）などにも見られるものです。

この点について政府の国会答弁では、「最終的には、事業の規模及び性質、取り扱う個人情報の性質、それからその量、取扱方法等を踏まえまして、個別具体的な事案に応じて判断する」と説明されています（第221回国会の地域活性化・こども政策・デジタル社会形成に関する特別委員会第6号における佐脇個人情報保護委員会事務局長答弁）。その上で、「相当の注意に係る考え方を、他の課徴金などに関連します法令で予見可能性を高めるためにやっている実行例などを参照しながら、ガイドラインなどで適切に示していきたい」と述べられています（同答弁）。

また、個人情報保護法のいわゆる３年ごと見直しに関する検討会の第7回（令和6年12月18日）で提出された個人情報保護委員会「現行制度と検討の方向性について（課徴金制度③）」（令和6年12月18日）（以下「検討方向性資料」といいます）では、以下の具体例が示されており（8頁）、参考になります。つまり、事業者として必要な管理体制や手続を尽くしていれば、本人や委託先の故意による行為にまで責任を負うことはない、ということだと理解できます。

【相当の注意を怠っていない場合の具体例】

例１）事業者が本人同意に基づくものとして個人データの第三者提供を行っていた事案において、当該事業者 が、適切な手続により本人確認を行った上で同意を取得していたが、実際には本人ではない者が巧妙に本人になりすまして同意しており、本人は同意していなかった場合

例２）事業者が本人同意に基づくものとして個人情報の目的外利用を行っていた事案において、当該事業者が、当該同意の取得を委託した委託先に対し、当該同意の取得が適切に完了している旨を文書により適切に確認していたが、当該委託先が精巧な虚偽の同意書をねつ造して回答を行っており、実際には当該委託先が本人同意を得ていなかった場合

なお、同じく「相当の注意」による適用除外を認める景品表示法では、消費者庁「不当景品類及び不当表示防止法第８条（課徴金納付命令の基本的要件）に関する考え方」（令和６年４月18日最終改定）において、「当該事業者が、必要かつ適切な範囲で、『事業者が講ずべき景品類の提供及び表示の管理上の措置についての指針』（平成26年内閣府告示第276号）に沿うような具体的な措置を講じていた場合には、『相当の注意を怠つた者でない』と認められると考えられる」と述べられており（17頁）、必要な表示管理体制を構築していたか否かが重視されています。

（3）対価要件

課徴金納付が命じられるのは、以下の場合に限られます。

【適正な取得違反の場合以外】

「当該違反行為又は当該違反行為をやめることの対価として金銭その他の財産上の利益（以下この条において「金銭等」という。）を得たとき」

【適正な取得違反の場合】

「当該利用又は当該利用をやめることの対価として金銭等を得たとき」

剝奪すべき違法な収益を観念できる事案に限定するということです。

検討方向性資料では、以下の具体例が挙げられており、参考になります。

【第三者提供の制限違反の場合】

自社サービスの利用者の個人データを、本人の同意を得ずに第三者である顧客企業に違法に販売する行為

【適正な取得違反の場合】

本人の合理的な期待に反して不正の手段により個人情報を取得し、第三者の商品又は役務に係る自社のプラットフォーム上でのターゲティング広告に当該個人情報を利用し、当該第三者から当該ターゲティング広告の対価を得る行為

（4）大規模要件（裾切り）・権利利益侵害要件

以上の要件が満たされれば、個人情報保護委員会は課徴金納付を命じなければなりませんが（義務的課徴金）、ここで更に例外があります。

「当該違反行為に係る個人情報又は個人データ（第十六条第三項に規定する個人データをいう。第三号において同じ。）の本人の数が千人を超えないとき」は課徴金納付を命じることができないとされています。

つまり、違反行為等の被害者の数が1000人以下の事案などは、一律に課徴金の対象となりません。

検討会報告書によれば、限られた行政リソースの下、抑止の必要性が高い案件に対象を限定するという趣旨であるようです（19頁）。1000人という数字は、行政機関における個人情報ファイル簿の作成・公表義務の対象外とされている人数（個情法74条２項９号、75条２項１号）を踏まえたものです。このような裾切りは、例えば独占禁止法上の課徴金制度でも導入されています（同法の場合は100万円未満）。

また、「その他個人の権利利益を害する程度が大きくない場合として政令で定めるとき」も課徴金納付を命じられることはありません。これも過剰な規制を防止するという観点から設けられているものです。今後制定される政令の内容次第ではありますが、検討方向性資料では、以下の具体例が挙げられています（11頁）。

【具体例】

個人の権利利益が侵害され、又は侵害される具体的なおそれが生じたとまでは直ちにいえない場合として、以下の場合が考えられるのではないか。

例１）提供先において本人が識別されたり、本人に対する連絡等が行われたりするおそれがない個人データを提供した場合

例２）法第17条第２項に基づく利用目的の変更が可能であり、あらかじめ当該変更を行っていれば目的外利とはならなかったにもかかわらず、当該変更を行わないまま目的外利用をした場合

例３）提供先が、提供された個人データを、閲覧・利用せずに直ちに削除又は返却した場合

（5）課徴金の算定

課徴金の額は、違反行為等の対価として得た金銭等に相当する額として政令で定める方法により算定した額です。つまり、課徴金納付命令を受けた事業者は当該行為に伴う収益相当額を納付すれば足り、独占禁止法のように一定期間の売上高をベースとして算定された額を納付する必要はありません。

課徴金の算定に関しては、事業者が個人情報保護委員会による報告徴収等（改正法146条1項）に応じない場合の課徴金の算定基礎の推計（改正法148条の4）、過去10年以内に再度命令を受けた場合の加算（改正法148条の5）、自主的な報告による減額（改正法148条の6）等の規定が設けられています。

3. 従来の勧告・命令等

個人情報保護法上の義務違反については、個人情報保護委員会による行政的監督が用意されています。最も強力な手段として、勧告・命令があります（個情法148条）。個人情報保護法は勧告前置主義がとられており、事業者が正当な理由なく是正措置の勧告に従わない場合に個人情報保護委員会は是正措置を命じることができます（同条1項・2項）。例外的に、一定の義務について緊急の必要性があれば、「緊急命令」として勧告を経ずに是正措置が命じられる場合もあります（同条3項）。なお、本改正により、従来の命令は「措置命令」と名付けられ、また、緊急命令の発令要件が少し緩和されました（詳細は別稿予定）。

勧告の法的性質は行政指導であり、処分性がないため、事業者において直接的にこれを争う手段はありません。事業者としても、金銭的な制裁がないのであれば、たとえ不服があっても勧告に従って是正するのが合理的な場合も多いでしょう。実際、勧告が命令に進むケースは極めて少なく、1年に1件あるかないかという状況です。

他方、GDPR違反で巨額の制裁金が課されているように、諸外国の個人情報保護法制では課徴金・制裁金制度が定められています。日本の個人情報保護法は諸外国の法制に比べて事業者への制裁が緩いと批判されており、課徴金の導入に向けた議論は以前からありました（例えば令和2年改正個人情報保護法の附帯決議では課徴金に関する継続検討が求められています）。

経済界が再三反対してきたことからもわかるように、事業者にとっては個人情報保護法での課徴金の導入は大きな事業リスクとなる面もありますが、他方で、課徴金納付命令が出されれば、その額によっては事業者として裁判所で争わざるを得ない場合も出てくる可能性があります。現在は、個人情報保護法の解釈が裁判所で争われるケースが非常に少ないため、個人情報保護委員会のガイドラインやQ&Aが実務上極めて重要な指針となっています。もし課徴金制度の導入により裁判例が蓄積されれば、その位置付けにも少しずつ変化が生じることでしょう。

4. 実務への影響

課徴金を契機とした裁判例の蓄積に期待したいところではありますが、以上で見てきたとおり、このような要件設計からすると、課徴金納付命令が実際に出されるのは極めて悪質なケースに限られると予想されます。また、課徴金額も利益の吐き出しにとどまっており、事業者が争わざるを得なくなるような高額の課徴金納付命令が実際になされるかは不透明な状況です。課徴金制度の導入による企業実務への直接的な影響は限定的であると考えられます。

とはいえ、悪徳業者に顧客名簿を販売するような明らかに悪質な行為ではなく、例えば検討方向性資料で紹介されている自社プラットフォーム上でのターゲティング広告のために顧客情報を第三者の広告業者に提供し、その広告の対価を得るようなケースで、第三者提供の制限の適用判断にミスがあれば、大規模要件もクリアして課徴金納付命令に至る可能性が出てきます。たとえ課徴金額が低廉でも、行政指導にすぎない勧告がなされる場合と異なり、行政処分で明確に自社の違法性が認定されていることに対し、事業者として争わざるを得ない場面も出てくるかもしれません。

また、本改正で導入された「統計特例」については、事業者においてその適用判断に不慣れが生じ得るにもかかわらず、課徴金の対象となっているため、より慎重に対応する必要があります（この点については、統計特例を紹介する別稿で触れる予定です）。

課徴金納付命令を争う場合に事業者の拠り所の一つになるのが「相当の注意」要件であると考えられます。いかなる場合に相当の注意があったと認められるかは今後制定されるガイドラインの内容次第ではありますが、おそらく日頃からどのような個人情報コンプライアンス体制を構築していたかが重要な考慮要素になると予想されます。事業者としては、本改正を機に、「相当の注意」を尽くしたといえる個人情報保護コンプライアンス体制を整備していくことが重要です。