2026年２月に召集された特別国会において、個人情報保護法等の一部改正法が成立した。

　デジタル技術の急速な進展に伴い、個人情報を含むデータの利活用に対する需要が高まっている一方で、個人情報の違法な取扱いにより個人の権利利益が侵害されるリスクも高まっているとされる。

　これらを踏まえ、政府は、個人情報の有用性に配慮しつつ、その一層の保護を図るため、個人情報等に係る制度について所要の改正を行う法案を国会に提出し、成立した。

　適正なデータ利活用を推進するため、個人データ等の第三者提供や公開されている要配慮個人情報（人種、信条、社会的身分、病歴、犯罪の経歴等が含まれる個人情報）の取得について、統計情報等の作成にのみ利用され、統計作成の内容等の公表等をしているときは、本人の同意を不要とすることとした。なお、統計作成等には、これに該当すると整理できるAI開発等を含むとされている。

　また、個人情報の目的外利用、要配慮個人情報取得、個人データの第三者提供に関する規制について、取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかな取扱いである場合は本人同意を不要とし、生命等の保護や公衆衛生の向上等のために取り扱う場合における同意取得困難性要件を緩和し「相当の理由があるとき」も本人同意を不要とした。

　個人情報等の取扱いの態様とともに変化している個人の権利利益が侵害されるリスクに対応する観点から、16歳未満の者が本人である場合に、個人情報等の取扱いに関する同意取得や通知等について当該本人の法定代理人を対象とすることを明文化し、当該本人の保有個人データの利用停止等請求の要件を緩和するとともに、未成年者の個人情報等の取扱い等について、本人の最善の利益を優先して考慮すべき旨の責務規定を設けた。

　また、顔特徴データ等について、その取扱いに関する一定の事項の周知を義務化し、利用停止等請求の要件を緩和するとともに、オプトアウト制度に基づく第三者提供を禁止した。

　このほか、データ処理等の委託を受けた事業者について、委託された個人データ等の適正な取扱いに係る義務の見直しを行うとともに、漏えい等発生時について、本人の権利利益の保護に欠けるおそれが少ない場合は、本人への通知義務を緩和した。

　個人関連情報を用いた違法行為等により個人の権利利益が侵害されることを防ぐため、特定の個人に対する連絡に利用することができる記述等を含む連絡可能個人関連情報について、その不適正利用や不正取得を禁止した。

　また、本人の求めにより提供を停止すること等を条件に同意なく第三者提供を可能とする制度（オプトアウト制度）について、提供先の身元や利用目的の確認を義務化した。

　個人情報の取扱いに係る規律遵守の実効性を確保するため、速やかに違反行為の是正を求めることができるよう個人情報保護委員会による命令の要件を見直し、さらに、本人に対する違反行為に係る事実の通知や公表等の本人の権利利益の保護のために必要な措置をとるよう勧告・命令することも可能とした。

　また、経済的誘因のある、大量の個人情報の取扱いによる悪質な違反行為を実効的に抑止するため、重大な違反行為により個人の権利利益が侵害された場合等について、個人情報保護委員会が、当該違反行為によって得られた財産的利益等に相当する額の課徴金の納付を命ずることとした。

　この法律は、一部を除き、公布の日（2026年７月17日）から２年以内に施行される。

　国会では、統計作成等の場合に個人データ等の第三者提供等についての本人同意を不要とすることによる個人情報の拡散の危険性について懸念が示され、政府からは、この適用を受けるためには、統計作成等を行う事業者は、取得した個人情報を、個人に関する情報に当たらない状態にまで一般化して加工する必要があり、また、統計作成等を行う事業者には、提供された個人情報の適切な取扱いを担保するための規律も設けられており、個人情報を止めどなく拡散させる危険性はないとの説明がされた。

　また、AI開発のためにデータを提供する場合に氏名の削除を求めるべきとの指摘があり、政府からは、提供元に対し一律に氏名を削除することは求めないが、不必要に氏名を提供することは認められないとの説明がされた。