うちが持っている個人データを、全部言えますか｜課徴金つきの改正個人情報保護法が公布、社長が2年で整えること
AI CAO
契約書・規程の整備で会社を守る
「うちが持っている個人データを、全部は言えません」
法務やコンプライアンスの相談を受けていると、中小企業の社長からこんな声をよく聞きます。
「顧客名簿は営業のパソコンと、外注先のシステムと、たぶん両方にある」 「防犯カメラを入れ替えたら顔を判別する機能が付いていた。あれは個人情報になるのだろうか」 「子ども向けのサービスもやっているが、申込書の同意を保護者から取っていたか、正直あやふやだ」
どれも珍しい話ではありません。それでも危ないのは、個人データを「守れていない」ことより先に、「どこに何があるか言えない」ことのほうです。在庫と同じで、棚卸しをしていないものは守れません。
そして、その「言えない」状態のコストが、はっきり値段のつくものに変わりました。
2026年7月17日、改正個人情報保護法が公布——課徴金制度が初めて入った
知っておいてほしいニュースです。「個人情報の保護に関する法律等の一部を改正する法律」が2026年7月10日に第221回国会で成立し、7月17日に公布されました（出典は記事末尾）。
この改正で初めて導入されたのが課徴金制度です。重大な違反により個人の権利利益が侵害された場合等に、違反行為で得られた財産的利益等に相当する額の課徴金納付を命じる仕組みが新設されました。罰則の法定刑も引き上げられています。
ここは読み違えないでください。課徴金は違反で得た利益を吐き出させる制度です。効き方を決めるのは会社の大きさではなく、違反の悪質性と、その違反で得た利益の大きさ。「うちは社員10人だから」は、この制度の前では理由になりません。
改正の中身は、締める話と緩める話が同居しています。
- 利活用の推進：統計情報等の作成（統計作成等と整理できるAI開発を含む）にのみ利用される場合の第三者提供等について、本人同意を不要とする
- 16歳未満の取扱い：本人が16歳未満の場合について、法定代理人の関与を明文化
- 顔特徴データ等：周知を義務化し、オプトアウトによる第三者提供を禁止
- 漏えい等：発生時の本人通知義務を緩和
- 罰則：法定刑を引上げ
この法案は4月7日に閣議決定、5月26日に衆議院で可決され、6月12日に参議院で審議入りしていたものです（出典は記事末尾）。
施行期日は、原則として公布の日から起算して2年を超えない範囲内で政令で定める日。つまり中小企業には、最大で2年の猶予があります。この2年をどう使うかの話をします。
猶予2年で終わらせたい、3つの棚卸し
やることは規程集の作成ではなく、自社が持っている個人データの在庫を数えることです。改正の中身に照らすと、優先順位のはっきりした3か所があります。
1. 顔の特徴データを扱っていないか
顔特徴データ等については、周知の義務化と、オプトアウトによる第三者提供の禁止が入りました。自社の入口・店舗・工場のカメラが、顔を判別する機能を持っていないかを、機種と設定レベルで確認してください。導入時に「防犯用」としか説明していないなら、掲示や説明も見直す対象です。映像の保存期間、閲覧できる人、外部の保守業者がアクセスできるかまで、1枚に書き出します。
2. 16歳未満のデータを、誰の同意で預かっているか
本人が16歳未満の場合の法定代理人の関与が明文化されました。教室・スクール・小児向け物販・スポーツクラブなど、子どもの氏名や連絡先を預かる業務がある会社は、申込書と同意の取り方をいま点検すべきです。誰がサインした書式か、保護者の同意欄があるか、過去にさかのぼって確認できるか。この3点で状況はかなり見えます。
3. 外注先に渡しているデータを、一覧にする
中小企業でいちばん抜けやすいのがここです。名簿の入力代行、ECの受注処理、メール配信、クラウドの会計・顧客管理、Webサイトの保守。社外の誰かのシステムに自社の個人データが置かれている経路を全部書き出し、委託先の名称・渡している項目・契約書の有無・事故時の連絡先を並べます。この一覧がないと、漏えい時に「誰の何が漏れたか」を自社では答えられません。
なお改正では、漏えい等が発生した際の本人通知義務が緩和されています。ただし緩和は「調べなくてよい」という意味ではありません。通知の要否を判断するには、どのデータがどこにあったかを言えることが前提。台帳のない会社は、緩和されても判断できません。
攻め側の政策も、同じ週に動いている
守りだけの話ではありません。2026年7月14日、政府は「人工知能基本計画（第Ⅱ期）〜日本ＡＸ、より強く、より豊かに〜」を閣議決定しました。計画には、大規模成長投資補助金やデジタル化・ＡＩ導入補助金をはじめとする中堅・中小企業におけるＡＩ導入に加え、地域ごとのネットワーク構築や支援機関のＡＩ支援レベルの底上げを支援すると明記され、担当として総務省・経済産業省が置かれています（出典は記事末尾）。
改正法ではAI開発を含む統計作成等での同意が一部不要になり、国の計画では中小企業のAI導入支援が名指しで入る。攻めと守りが同じ週に動いたわけです。データの棚卸しは、規制対応であると同時に、自社データを使う側に回る準備でもあります。
規程は、事後に必ず読み返される
もうひとつ、同じ時期の数字を挙げておきます。厚生労働省が2026年7月15日に公表した令和7年度「過労死等の労災補償状況」では、精神障害の労災請求件数が4,958件（前年度比1,178件増）、支給決定件数は1,082件（同26件増）。過労死等全体でも請求6,212件（同1,402件増）と、1年で大きく増えています（出典は記事末尾）。
個人情報と労務は別の話に見えますが、構造は同じです。どちらも、問題が起きた後に「その会社に規程と記録があったか」が検証される。労働時間をどう把握していたか、相談窓口が機能していたか、個人データを誰がどこに置いていたか。事故の瞬間に作れる書類はありません。作っておいた書類しか出てきません。
Before / After
Before： 顧客名簿がどのパソコンと、どの外注先のシステムにあるか把握していない。カメラの機能や映像の保存期間を確認したことがない。子どもの申込書の同意欄も記憶があいまい。法改正は見たが、施行が先なので何もしていない。
After： 自社が持つ個人データが、保有場所・項目・保存期間・アクセスできる人・委託先の5列で1枚にまとまっている。カメラの機能と掲示、16歳未満の同意書式、委託先との契約の有無も点検済み。漏えい時に「誰の何が」を即日答えられ、施行までの2年を整える期間として使えている。
よくある失敗と、避け方
- 「施行は2年先だから、まだ先の話」 → 棚卸しは調べる作業で、時間がかかるのは調べる部分です。着手を遅らせるほど、対象が増えます
- 規程集を先に作ろうとする → 在庫が分からないまま書いた規程は、実態と合わずに使われません。先に一覧、あとから規程
- 委託先を「相手に任せている」で済ませる → データを渡した経路は自社の責任範囲です。契約書の有無と事故時の連絡先だけでも今日確認できます
- 社長が自分では一度も触らない → ラクスルが2026年7月9日に公表した調査では、代表・役員がAIを全く活用していない企業の85.7%は、AI活用の方針も推進体制も整備されていなかった（出典は記事末尾）。方針は現場から自然発生しません
こんな社長に向いています
- 自社の個人データがどこに何件あるか、即答できない
- 顔を判別する機能のあるカメラを設置している、または検討している
- 16歳未満の顧客・生徒・利用者の情報を預かっている
- 名簿や受注データを外部の業者・クラウドに預けている
- 漏えいが起きたとき、誰に何を報告するか決めていない
ひとつでも当てはまるなら、規程より先に「1枚の一覧」から始める価値があります。
棚卸しの手を動かすところから、伴走します
この作業がやっかいなのは、難しいからではなく、地味で量が多いからです。カメラの設定を調べ、契約書をめくり、担当者に聞いて回る。社長が本業の合間にやり切るには重い作業です。
そこを引き受けるのが、AI CxOのAI CAO（法務・コンプライアンスの責任者）です。個人データの棚卸しシートの設計、委託先一覧の作成、カメラと同意書式の点検項目づくり、漏えい時の報告手順の整備、社内規程への落とし込みまで、御社の実態に合わせて一緒に進めます。何を・いつまでに・誰がやるかの工程表も引きます。
料金は月5万円（税別）。まずは試したい方には、お試し月3万円（税別）もご用意しています。2年の猶予は、放っておけば過ぎます。まず1枚、自社の個人データの一覧を作るところから始めましょう。