個人情報保護法ニュース No.23改正個人情報保護法 政令・規則の「基本的な考え方」①～③の解説― 第369回・第370回・第372回個人情報保護委員会資料にみる政令・規則の方向性 ―
2026/10/15
個人情報保護法ニュース No.23 改正個人情報保護法 政令・規則の「基本的な考え方」①～③の解説― 第369回・第370回・第372回個人情報保護委員会資料にみる政令・規則の方向性 ―【PDF資料】
平素より大変お世話になっております。
令和８年改正個人情報保護法（令和８年法律第56号。以下「改正法」といいます。）の施行に向けて、個人情報保護委員会（以下「委員会」といいます。）は、政令・個人情報保護委員会規則（以下「規則」といいます。）で定める事項について、テーマごとに「基本的な考え方」を示してきました。令和８年９月16日の第369回委員会（基本的な考え方①）[1]、同年10月１日の第370回委員会（基本的な考え方②）[2]に続き、同年10月14日の第372回委員会において基本的な考え方③が決定され[3]、改正法が政令・規則に委ねた主要な論点が一巡しました。
３回分の資料は大部で、論点も多岐にわたりますが、通して読むと、委員会事務局が一貫した「物差し」で政令・規則の範囲を画していることが分かります。本号（No.23）では、①～③の要点を論点ごとに整理したうえで、３回を横断して読むためのポイントと、施行に向けたスケジュール・実務対応をまとめました。改正法の全改正項目と衆参の附帯決議については、ニュースレター（No.22）[4]をご参照ください。
政令・規則の条文案に対する意見募集は令和９年１月以降に予定されていますが、それに先立ち、10月中旬以降には事業者団体等からの事務局ヒアリングが行われます。また、安全管理措置ガイドラインの見直しは改正法本体よりも早く、令和９年４月の施行が予定されています。本号が今後の意見提出と社内準備の一助となれば幸いです。
令和８年10月15日
弁護士法人三宅法律事務所
| ＊本ニュースレターに関するご質問・ご相談がありましたら、下記にご連絡ください。 弁護士法人三宅法律事務所 弁護士 渡邉雅之（執筆者） TEL 03-5288-1021 FAX 03-5288-1025 Email: m-watanabe@miyake.gr.jp |
改正個人情報保護法 政令・規則の「基本的な考え方」①～③の解説
― 第369回・第370回・第372回個人情報保護委員会資料にみる政令・規則の方向性 ―
| 【目次】 1 「基本的な考え方」①～③の位置づけ 2 ３回を貫く読み方――例外を書ける「３つの型」 3 基本的な考え方①（第369回・令和８年９月16日） 4 基本的な考え方②（第370回・令和８年10月１日） 5 基本的な考え方③（第372回・令和８年10月14日決定） 6 横断的にみたポイント――入口・透明性・出口 7 今後のスケジュール 8 実務への示唆――今から着手すべき事項 |
1 「基本的な考え方」①～③の位置づけ
委員会は、令和８年８月26日、改正法により政令・規則・ガイドライン等で定めることとされた事項を、改正法の４分類（適正なデータ利活用の推進／リスクに適切に対応した規律／不適正利用等防止／規律遵守の実効性確保）ごとに整理した「全体像」を決定し、同年９月９日には、意見交換会・事務局ヒアリングを含む「今後の進め方」を決定した[5]。これを受けて、テーマごとの「基本的な考え方」が３回に分けて示された。
| 回 | 委員会・日付 | 主なテーマ | 改正法の４分類 |
| ① | 第369回（令和８年９月16日） | 本人の意思に反しない取扱い、子供の個人情報、顔特徴データ等（このほか安全管理措置ガイドライン別添の見直し） | 適正なデータ利活用の推進／リスクに適切に対応した規律 |
| ② | 第370回（令和８年10月１日） | 統計作成等の特例、委託先における適正な取扱い、漏えい等報告・本人通知 | 適正なデータ利活用の推進／リスクに適切に対応した規律 |
| ③ | 第372回（令和８年10月14日） | 連絡可能個人関連情報、オプトアウト制度の強化、課徴金 | 不適正利用等防止／規律遵守の実効性確保 |
①②は資料名に「（案）」を付した事務局資料として、③は委員会決定として公表されている。いずれも政令・規則の条文そのものではなく、規定すべき内容の方向性を示したものであり、多くの論点は「～としてはどうか」という形で提示されている。ガイドライン・Q&Aは、今後の委員会で順次検討される。
回を追ってみると、①②は「使い方のルール」（利活用の推進とリスク対応）、③は「悪用への対抗」（不適正利用等防止と実効性確保）を扱っており、議論は入口側から出口側へと移ってきたといえる。
2 ３回を貫く読み方――例外を書ける「３つの型」
①～③を通読すると、事務局は、政令・規則で例外を定めることができる範囲を、次の３つの型で繰り返し画している。いずれも、法律がすでに定めた例外の延長線上でしか政令・規則を書けないという構造であり、「規則で柔軟に手当てされるはず」という期待は成り立ちにくい。
| 型 | 内容 | 主な該当規定 |
| 型Ａ 自明性 | 本人が同意する意思を有しており、又は同意すべき立場にあり、本人にとって不測の権利利益の侵害をもたらさないことが自明である場合に限る | ①第18条第３項第７号・第20条第２項第７号・第27条第１項第８号、第35条第９項第８号、第35条第７項第９号 |
| 型Ｂ 公の利益 | 公開情報に係る例外の公開主体は、知る権利や公共の安全等の公の利益のために情報を公開することが想定される主体（法律上列挙された公的機関・報道機関等に準じる主体）に限る | ①第35条第９項第９号、③第27条第７項ただし書（公開主体） |
| 型Ｃ 準ずるもの | 今後の技術進展等に機動的に対応するための追加の例外は、法律上列挙された類型に準ずる場合に限る | ①第35条第９項第12号、第21条の２第２項第４号、第35条第７項第10号、③第27条第７項ただし書（準ずる場合） |
型Ｂについては、①（子供の利用停止等請求の例外）でも③（オプトアウトの確認義務の例外）でも、現行規則第６条と同じ主体（外国政府・国際機関等、外国の学術研究機関等に相当する者、外国の報道機関等に相当する者）を規定する方向が示されている。同じ物差しが回をまたいで用いられている点に注意を要する。
3 基本的な考え方①（第369回・令和８年９月16日）
(1) 本人の意思に反しない取扱い（第18条第３項第７号、第20条第２項第７号、第27条第１項第８号）
改正法は、目的外利用、要配慮個人情報の取得、第三者提供（外国にある第三者への提供を含む。）の３場面について、「本人との間の契約の履行のために必要やむを得ないことが明らかである場合」その他「取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかである場合として規則で定める場合」には、本人の同意を不要とした。
事務局は、規則で同意を不要とできるのは型Ａ（自明性）の範囲に限られるとしたうえで、規則で追加する類型として、①事業者と第三者との契約の履行（例：本人の家族がホテル予約サイトで本人分も予約し、予約サイトからホテルに本人の氏名等が提供される場合）、②契約締結に先立ち本人の要望に応じて行う提供（例：ECサイトでのクレジットカード払いの希望に応じ、いわゆる３Ｄセキュアの枠組みでカード会社等に提供される場合）の２類型を示した。発想はGDPR第49条第１項(b)(c)に近い。
衆参の附帯決議（第７項）は、当該特例に基づく利用・提供を必要最小限とし、規則でその具体的な範囲や判断基準を明記することを求めており、規則が広い包括条項となることは想定しにくい。
(2) 16歳未満の者の個人情報（第40条の２、第35条第９項・第10項、第58条の３）
現行法令には子供の個人情報に関する規定がなく、Q&A（Q1-62）の記載に依拠してきたが、改正法により初めて法律上のルールとなる。年齢基準は、Q&AとGDPR第８条を踏まえて16歳未満とされた。柱は次の３つである。
- 読替え（第40条の２）――同意取得や通知等の相手方を法定代理人に読み替える。対象は第18条、第20条第２項、第21条、第27条、第28条、第30条の２第１項・第５項、第32条第１項等に及び、第31条第１項（個人関連情報）も第２項で読み替えられる。
- 利用停止等請求（第35条第９項・第10項）――違法行為の有無を問わず請求できる。例外は法律上の11類型と政令で定める場合（第12号）であり、規則委任の第８号は型Ａ、第９号は型Ｂ、政令委任の第12号は型Ｃの枠に服する。
- 最善の利益（第58条の３）――事業者は、年齢及び発達の程度に応じ、子供の最善の利益を優先して考慮した上で必要な措置を講ずるよう努める。法定代理人にも同様の考慮が求められる。
なお、読替え後の第18条第３項第７号等では「本人の意思に反しないため」の要素が落ち、「取得の状況からみて本人の権利利益を害しないことが明らかである場合」となる点に留意が必要である。
(3) 顔特徴データ等（第16条第５項、第21条の２、第35条第７項）
特定生体個人識別符号は、①特別の技術又は多額の費用を要しない方法により取得できること、②取得されていることを本人が容易に認識できないこと、の２要件を満たす身体的特徴に係る情報として政令で定めるものであり、事務局は現段階では顔特徴データ（現行施行令第１条第１号ロ）のみを対象とする方向を示した。
周知義務（第21条の２）については、法定の周知事項（事業者の氏名・住所等、特定生体個人情報を取り扱うこと、利用目的、変換元の身体的特徴、開示等の請求等に応じる手続）に加え、規則で周知方法と追加の周知事項が定められる。事務局は、カメラやセンサー等の機器の周辺に分かりやすく掲示する等、検知対象者が十分認識できる場所への掲示が重要とし、令和５年３月の「犯罪予防や安全確保のための顔識別機能付きカメラシステムの利用について」を参考とする方向である。利用停止等請求（第35条第７項）は違法行為の有無を問わず認められ、オプトアウトによる第三者提供の対象からも除外される。
(4) 安全管理措置ガイドライン別添の見直し（資料２）
①の回では、改正法とは別に、通則ガイドライン「10（別添）講ずべき安全管理措置の内容」の見直しの方向性も示された。クラウドサービスや生体認証・多要素認証の手法の例の明確化、ゼロトラストの考え方を取り入れた手法の例、侵入後の横展開対策（特権アカウントの最小化、侵害を受けたシステムの停止・隔離等）が柱である。
| 時期（予定） | 内容 |
| 令和８年11月頃 | 見直し案の委員会審議 |
| 令和８年12月頃 | 意見募集（パブリックコメント）の開始 |
| 令和９年２月頃 | 意見募集結果の報告、改正事項の決定 |
| 令和９年４月 | 改正事項の施行 |
改正法本体の施行（令和10年７月16日までの政令で定める日）より１年以上早く、最も時間軸が短い論点である。
4 基本的な考え方②（第370回・令和８年10月１日）
(1) 統計作成等の特例（第２条第13項、第30条の２）
統計作成等の目的で必要がある場合、①現に公開されている要配慮個人情報を本人の同意なく取得でき（第30条の２第１項）、②統計作成等を行う第三者に本人の同意なく個人データ等を提供できる（同条第５項）。「統計作成等」には、統計作成等と整理できるAI開発等も含まれる。その代わり、受け手には、公表の継続（同条第２項・第３項・第６項・第７項）、必要な範囲を超える取扱いの禁止（同条第４項・第９項）、第三者提供の禁止（同条第10項～第12項）、安全管理措置等の準用（同条第14項）が課され、特例で受けた情報の再提供もできない（同条第５項ただし書）。入口は広がるが、出口は通常の第三者提供より厳しい。
| 規則で定める事項 | 事務局が示した方向性 |
| ㋐「統計作成等」の要件（第２条第13項） | ①目的外利用・第三者提供の防止、②漏えい等の防止（統計情報等やAIモデルからの復元防止を含む）、③不要になったデータの削除、の３つの担保措置を、リスク評価に基づき講じ記録すること。本人に働きかけて反応データを収集し学習データを増やす手法は対象外 |
| ㋑公表の方法・公表事項 | 一つのウェブページに全事項を掲載し、クローリング等を防止する措置を講じず、検索で把握しやすいキーワードを含める。公表事項は、事業者、対象情報、取得・提供行為、提供先の取扱い、本人の権利行使の５観点 |
| ㋒第三者提供時の記録事項 | 従来の記録事項に加え、統計作成等の内容、担保措置の概要、合意・公表の旨、苦情の申出先、取扱予定期間 |
| ㋓越境移転 | 基準適合体制等の対象を、個人データから個人に関する情報全般（個人情報等）に拡大 |
特例への違反（目的外利用・第三者提供）は、③で示された課徴金の対象行為であり、しかも「対象外」となる場合を設けない方向である（後記5(3)）。
(2) 委託を受けた事業者の規律（第30条の３、第58条の２）
すべての委託先は、委託業務の遂行に必要な範囲を超えて個人データ等を取り扱ってはならない（第30条の３）。受託データを自社のAI学習やサービス改善に用いることは、正面から問題となり得る。他方、取扱いの方法を自ら決定しない委託先は、規則で定める事項を委託契約で定め、そのとおり取り扱う限り、第４章第２節から第４節までの義務が原則として適用されない（第58条の２）。
| 委託契約で定める事項 | 内容 |
| 取扱いの方法（第58条の２第１項第１号） | ①対象となる個人情報等（項目等）、②行われる処理の内容、③取扱いの始期及び終期、④取扱いの国又は地域。書面（電磁的記録を含む。）で定め、一部を委託元の別途の書面指示とすることも可 |
| 報告（同項第２号） | 漏えい等、委託業務に必要な範囲を超えた取扱い、契約違反を知ったときの委託元への速やかな報告 |
| その他（同項第３号） | 委託業務の内容、取扱いの記録の作成・提供、安全管理措置に関する情報の提供、漏えい等の際の情報の報告、委託元の求めによる取扱いの停止等、終了時の返還又は消去 |
免除を受けても、安全管理措置・監督（第23条～第25条）、漏えい等の報告・本人通知（第26条）、範囲外取扱いの禁止（第30条の３）は残る。委託先の規律には経過措置（みなし規定）がないため、既存の委託契約も施行までに見直す必要がある。守秘義務・再委託・監査は規則案に明示されていないが、委託元の監督義務の観点から契約に置いておくことが望ましい。
(3) 漏えい等報告・本人通知（第26条第２項、規則第７条・第８条）
| 見直し事項 | 方向性 |
| ㋐本人通知の代替（第26条第２項ただし書） | 外部と共用性のない社内識別子（ID）等、単体ではおよそ意味を持たない情報のみの漏えい等は、代わるべき措置をとれば本人通知を要しない |
| ㋑速報の免除・確報の取りまとめ | 本人の数が１名の事案（報告の84.0％[6]）等について、認定個人情報保護団体等による体制確認を前提に、速報を免除し、確報を一定期間ごとに取りまとめる |
| ㋒サイバー対処能力強化法との整合 | サイバー攻撃に起因する「おそれ」事案の報告基準を、同法（令和７年法律第42号）のインシデント報告と整合させる |
| ㋓報告対象事態の追加（規則第７条） | 違法な個人データの第三者提供を、要配慮個人情報か否か・件数を問わず報告対象に追加 |
「省ける場面」と「報告すべき場面」が同時に増える。㋐・㋓は行政機関等についても同様の改正が行われる（本人通知につき第68条第２項第１号）。
5 基本的な考え方③（第372回・令和８年10月14日決定）
(1) 連絡可能個人関連情報（第２条第８項、第31条の２）
連絡可能個人関連情報は、住所等（第１号）、電話番号（第２号）、電子メールアドレス（第３号）、電気通信設備の利用者等を識別する符号（第４号）、その他規則で定める記述等（第５号）を含む個人関連情報である。基本的な考え方③は、第４号の符号として、Cookie IDのほか広告識別子、SNSのID、オンラインサービスにおけるアカウントID、IMEI等が想定されることを明らかにした。第５号は、技術の進展によって新たな連絡手段が出現した場合に迅速に対応するための委任であり、現時点では具体的な追加候補は示されていない。
規律は、不適正利用の禁止（第31条の２第１項）と不正取得の禁止（同条第２項）に限られ、個人情報の義務が全面的に及ぶわけではない。想定事例として、フィッシングサイトへの誘導、Cookie ID等を用いた投資詐欺広告の配信、偽りの説明によるメールアドレス・健康情報の取得が挙げられている。
(2) オプトアウト制度の強化（第27条第２項・第７項・第８項、第29条第１項、第30条）
いわゆる闇名簿が強盗・特殊詐欺の情報源となっている状況を受け、改正法は、オプトアウトによる提供の際に提供先の身元（氏名又は名称、住所、法人の代表者の氏名）と利用目的を確認する義務（第27条第７項）、確認事項を偽ることの禁止（同条第８項。違反は過料、第186条第１号）、確認事項の記録（第29条第１項）を設けた。規則の方向性は次のとおりである。
| 論点 | 方向性 |
| 提供先の確認方法（論点１） | 身元は本人確認書類の検証等により確認し、利用目的は申告を受ける方法（犯収法第４条第１項第２号・同法施行規則第９条と同様）。同じ提供先への２回目以降は簡易な確認 |
| 例外となる公開主体（論点２） | 現行規則第６条と同じ主体を規定。例外はデータの「全部」が取得時に公開されていた場合に限られる |
| 例外の追加（論点３） | 法律上の例外に準ずる場合に限る（型Ｃ）。具体案は未提示 |
| 記録事項（論点４・６） | 確認を行った担当者、年月日・時刻、確認の方法を追加 |
| 仕入れ時の確認（論点５） | オプトアウトによる提供目的で取得する場合、提供元の身元も論点１と同様の方法で確認 |
| 届出事項（論点７） | 本人への通知等の具体的な方法を届出事項に追加し、届出時に適切性を確認 |
名簿・リストを購入する事業者の側も、本人確認書類・登記事項証明書等の提出と利用目的の申告を求められることになる。
(3) 課徴金（第148条の３～第148条の17）
課徴金の対象行為は、不適正利用（第19条違反）、不正取得（第20条第１項違反）、同意のない第三者提供（第27条第１項違反）、統計作成等の特例違反であり、漏えいや安全管理措置違反それ自体は対象ではない。本人の数が1,000人以下の場合は対象外である（第148条の３第１項ただし書・第２項ただし書）。
| 論点 | 方向性 |
| 算定方法（政令） | 違反行為又はこれをやめることの対価として支払われ、又は支払われるべき金銭等の総額。経費は控除せず、一部に同意があっても按分しない。未収の債権も含む |
| 対象外となる場合（政令） | 不適正利用・不正取得・統計作成等の特例違反には設けない。第三者提供の制限違反に限り、特定の個人を識別できる記述等、個人識別符号、連絡等が可能となる記述等（住所・電話番号・メールアドレス・Cookie ID等）その他一定の記述等のいずれも含まない情報のみを提供した場合（本人から提供をやめる対価を得た場合を除く。） |
| 推計（規則、第148条の４） | 算定基礎を把握できない場合、把握できた取引の１人当たり対価額に本人数を乗じて推計 |
| 減額の報告（規則、第148条の６） | 書面による報告。持参・郵便等・電子メール等の提出方法と提出時点を明確化。調査を予知した後の報告は減額されない |
| 合併・分割（政令、第148条の７第６項） | 消滅した法人の加算・減額の履歴を、存続法人等・特定事業承継子会社等に引き継ぐ |
繰り返し違反には1.5倍の加算（第148条の５）、自主報告には50％の減額（第148条の６）がある。M&Aにおいては、対象会社の過去10年の課徴金納付命令の有無をデュー・ディリジェンスの確認項目に加えるべきである。
6 横断的にみたポイント――入口・透明性・出口
３回を「入口・透明性・出口」の軸で並べると、利活用の入口を開けるたびに、知らせ方（透明性）と違反時の手当て（出口）がセットで設計されていることが分かる。
| 軸 | ① | ② | ③ |
| 入口（同意なしで使える場面） | 契約履行型と規則の２類型 | 統計作成等の特例、委託先の義務免除 | ― |
| 透明性（知らせ方） | 顔：機器周辺への掲示 | 統計：検索で見つかる公表 | 名簿：本人への通知方法を届出 |
| 出口（違反への対抗） | 子供・顔：違法でなくても停止請求 | 違法な第三者提供を報告対象に | 課徴金、名簿の偽りへの過料 |
また、１つの論点が別の回に効いてくる点も見落とせない。
- ①子供の読替えは、②統計作成等の特例の同意基準や、③オプトアウトにおける「求め」にも及ぶ。
- ②統計作成等の特例違反は、③課徴金の対象行為であり、対象外となる場合も設けられない方向である。
- ②で報告対象に加わる違法な第三者提供は、③の課徴金（第27条第１項違反）とも重なり、１つの違反が報告義務と課徴金の双方のリスクとなる。
- ③連絡可能個人関連情報の「連絡等が可能となる記述等」は、課徴金の対象外判定でも鍵となり、連絡先を含むデータの違法な提供は課徴金の対象から外れない。
7 今後のスケジュール
| 時期（予定） | 内容 |
| 令和８年10月中旬～下旬 | 事務局ヒアリング（個人の立場・事業者の立場の団体） |
| 令和８年11月～12月 | 政令・規則の具体的内容の議論 |
| 令和８年12月頃 | 安全管理措置ガイドライン別添の意見募集 |
| 令和９年１月～ | 政令・規則の条文案の意見募集 |
| 令和９年１月17日 | 罰則関係等の一部の施行 |
| 令和９年４月 | 安全管理措置ガイドライン別添の施行 |
| 令和10年７月16日まで | 改正法本体の施行（政令で定める日）。その前にガイドライン・Q&Aを整備 |
本体施行までは約２年あるが、その前に２度の意見募集と１度のガイドライン施行がある。意見提出を検討する場合、業界団体を通じた事務局ヒアリングの段階から論点を追うことが有効である。
8 実務への示唆――今から着手すべき事項
| 部門 | 着手すべき事項 |
| 情報システム | クラウド・多要素認証・ゼロトラスト・横展開対策の観点から技術的安全管理措置を自己点検し、令和９年４月の施行に備える |
| 法務・契約 | 第三者提供フローを、法律上の契約履行型、規則で追加され得る２類型、いずれにも当たらないものに仕分ける。委託契約に取扱いの方法４項目・報告・その他の事項を書面で定める準備を進める |
| データ・AI | 統計作成等の特例を利用する場合の３つの担保措置、検索で見つかる公表ページ、書面合意のひな形を準備し、本人への働きかけを含む手法を除外する |
| マーケティング・広告 | 広告識別子・Cookie ID・SNSのID等の取得経路と利用態様、購入リストの仕入れ先を棚卸しする |
| 店舗・サービス | 顔識別機能付きカメラの棚卸しと掲示の作り直し、停止請求の手順の整備。16歳未満の年齢基準と法定代理人対応の窓口を設計する |
| コンプライアンス・M&A | 違法な第三者提供の報告フローと、調査予知前の自主報告に至る社内ルートを定める。M&Aのデュー・ディリジェンスに課徴金の履歴を加える |
優先順位としては、①時間軸が最も短い安全管理措置ガイドライン別添への対応、②第三者提供・委託・名簿取引など契約と運用の見直し、③顔認証・子供・統計作成等の特例など、新たな規律が及ぶ業務の棚卸し、の順に着手することが現実的である。政令・規則の具体的内容は今後の議論と意見募集を経て確定するため、論点ごとに担当者を定め、委員会資料の公表に合わせて社内の整理を更新していくことが望まれる。
なお、本ニュースレターは一般的な情報提供を目的とするものであり、個別の事案への対応については別途ご相談ください。政令・規則・ガイドライン等の最新情報を適宜ご確認ください。
以上
[1] 個人情報保護委員会 第369回（令和８年９月16日）資料1「政令・規則の整備に向けた基本的な考え方（案）」、参考資料1「読替表」、資料2「安全管理措置の手法の例示の追加等」（https://www.ppc.go.jp/aboutus/minutes/2026/20260916/）。
[2] 個人情報保護委員会 第370回（令和８年10月１日）事務局資料「個人情報の保護に関する法律等の一部を改正する法律の施行に伴う政令・規則の整備に向けた基本的な考え方（案）」。
[3] 個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律 政令・規則の整備に向けた基本的な考え方について③（不適正利用等防止、規律遵守の実効性確保のための規律）」（第372回個人情報保護委員会（令和８年10月14日）決定）（https://www.ppc.go.jp/files/pdf/261014_kihonntekinakanngaekatanitsuite_3.pdf）。
[4] 個人情報保護法ニュースNo.22「令和８年改正個人情報保護法の公布のご報告――令和８年法律第56号・全改正項目の解説と衆参附帯決議（各14項目）」（令和８年７月17日）。
[5] 個人情報保護委員会「政令・規則等で定める事項の全体像について」（令和８年８月26日・第366回個人情報保護委員会決定）、「政令・規則・ガイドライン等の整備に関する今後の進め方について」（令和８年９月９日・第368回個人情報保護委員会決定）。
[6] 個人情報保護委員会「個人情報保護法 いわゆる３年ごと見直しに係る検討の中間整理」（令和６年６月）。本人の数が１人の事案は10,184件。
