個人情報のルールが変わります——お店や会社をやっている方へ、2026年改正のはなし

※この記事は2026年6月時点の情報です。法律はまだ国会で話し合いの途中なので、これから内容が少し変わる可能性があります。

個人情報保護法という法律を変える案が、いま国会で審議されています。2026年5月に衆議院を通過していて、このまま夏までに成立する見通しです。ただし実際にルールが変わるのは、おそらく2028年頃。まだ2年ほど先の話です。

「先の話なら関係ないかな」と思うかもしれません。でも、今回の変更にはお店や小さな会社にも関わってくる内容が含まれています。今のうちにざっくり知っておくと、あとで慌てずにすみます。

そもそも、どんな事業者が対象なの？

「個人情報保護法って、大企業の話でしょ？」と思われがちですが、実はそうではありません。

昔は「お客さんの情報が5,000人分以下なら対象外」というルールがありました。しかしこのルールは2015年の法改正でなくなっています（2017年から適用）。

いまの法律で対象になるのは、お客さんの名前や住所などを「探せる形」で整理して、仕事に使っている事業者です。たとえば——

パソコンに顧客リストが入っている
お客さんにメールやDMを送っている
ホームページの問い合わせフォームで連絡先を受け取って保存している
紙の名簿を五十音順に整理している

ひとつでも当てはまれば、お店の大きさに関係なく、もう法律の対象です。「うちは小さいから関係ない」は、残念ながら通用しません。

今回、何が変わるの？

変更点はいろいろありますが、身近なところを3つだけ紹介します。

① AIや統計のためなら、本人の許可なしでデータを使える場面が増える

「全体の傾向を調べる」といった、特定の誰かに影響しない使い方なら、本人の許可（同意）なしでデータを渡せる仕組みができる見込みです。国がAIの開発に力を入れていることが背景にあります。これは主に大企業向けの話ですが、世の中の流れとして知っておいて損はありません。

② 顔認証のデータは、扱いが厳しくなる

顔で本人確認をする「顔認証」のデータや、声・DNAといった体の特徴に関するデータは、逆にルールが厳しくなる方向です。「うちはこういう目的で顔のデータを使っています」とお知らせすることが義務になり、本人から「やめてほしい」と言われたら応じやすくする仕組みになります。出入口の管理などで顔認証を使っているところは、将来チェックが必要になるかもしれません。