執筆：弁護士 阿久津 透 （ AI・データ（個人情報等）チーム ）
＜連載記事＞ ～ 令和8年個人情報保護法改正 企業が知るべき全ポイント ～
※本記事は2026年7月16日時点の情報に基づいています。法案は国会審議中であり、成立までに内容が修正される可能性があります。個別の事案については弁護士にご相談ください。
令和8年（2026年）の個人情報保護法改正では、こどもの個人情報保護に関する規律が新設されます。
年齢基準を16歳未満とし、同意取得や通知等に法定代理人の関与を義務付けるほか、違法行為の有無を問わない利用停止等請求権の付与、事業者に対する責務規定の新設など、現行法から大きく踏み込んだ内容となっています。
本記事（連載第1回はこちら）では、こどもの個人情報に関する改正の全体像と企業の実務対応を弁護士が解説します。
なぜ今「こどもの個人情報」なのか
現行法の課題｜ガイドライン・Q&Aレベルの規定のみ
現行の個人情報保護法では、こどもの個人情報の取扱い等に係る事業者の義務については、法律レベルでの規定はなく、ガイドラインやQ&Aで規定されているにとどまっています。
ガイドライン（通則編）
| 2-16 「本人の同意」 個人情報の取扱いに関して同意したことによって生ずる結果について、未成年者、成年被後見人、被保佐人及び被補助人が判断できる能力を有していないなどの場合は、親権者や法定代理人等から同意を得る必要がある。 |
https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku
Q&A
| Ｑ１－62 何歳以下の子どもについて、同意をしたことによって生ずる結果を判断できる能力を有していないものとして、法定代理人等から同意を得る必要がありますか。 Ａ１－62 法定代理人等から同意を得る必要がある子どもの具体的な年齢は、対象となる個人情報の項目や事業の性質等によって、個別具体的に判断されるべきですが、一般的には12歳から15歳までの年齢以下の子どもについて、法定代理人等から同意を得る必要があると考えられます。 |
https://www.ppc.go.jp/personalinfo/faq/APPI_QA/#q1-62
こどもは心身が発達段階にあるためその判断能力が不十分であり、個人情報の不適切な取扱いに伴う悪影響を受けやすいという特性があるため、今回の改正で子どもの個人情報の取扱いについて具体的な規定が設けられることになりました。
子ども＝「16歳未満」
改正法では、子どもの年齢基準は「16歳未満」と定めています。
民法上の成人年齢とは異なるので混同しないように注意する必要があります。
この16歳という年齢基準の設定は、これまでQ&Aで12歳から15歳までの年齢以下の子どもについて法定代理人等からの同意が必要であると考えられていたことや、GDPR第8条で16歳未満が基準とされていたことを踏まえたものとなります。
| Article 8 Conditions applicable to child’s consent in relation to information society services 1. Where point (a) of Article 6(1) applies, in relation to the offer of information society services directly to a child, the processing of the personal data of a child shall be lawful where the child is at least 16 years old. Where the child is below the age of 16 years, such processing shall be lawful only if and to the extent that consent is given or authorised by the holder of parental responsibility over the child. |
法定代理人の関与義務
改正法では、16歳未満の者が本人である場合に、同意取得や通知等について当該本人の法定代理人を対象とすることを明文化します。
具体的には、個人情報取扱事業者等が16歳未満の者の個人情報等を取り扱う場合において、一定の場合を除き、「本人」とあるのを「本人の法定代理人」と読み替える等してこの法律の規定を適用するものとされています。
これにより、たとえば利用目的の通知、同意取得、目的外利用についての同意、要配慮個人情報の取得についての同意、第三者提供についての同意といった場面で、16歳未満の本人ではなく法定代理人を相手方とすることが法律上義務付けられます。
もちろん、全ての場面で法定代理人の関与が必要となるわけではなく、以下の例外が設けられています。
- 本人が16歳未満であることを事業者が知らないことについて正当な理由がある場合
- 法定代理人が本人の営業を許可しており、事業者が当該営業に関して個人情報を取得した場合
- 本人に法定代理人がいない又はそのように事業者が信ずるに足りる相当な理由がある場合
違法行為の有無を問わない利用停止等請求権
現行法との比較
現行法では、本人が個人情報取扱事業者に対して保有個人データの利用停止等や第三者への提供の停止を請求できるのは、原則として事業者側に法律違反がある場合に限られています。
改正法では、16歳未満の本人について、違法行為の有無等を問わない利用停止等請求を可能とします。
事業者が法律に違反していなくても、16歳未満の本人は法定代理人を通じて、保有個人データの利用停止等又は第三者への提供の停止を請求でき、事業者はその請求に理由があることが判明したときは、一定の場合を除き、遅滞なくこれに応じなければなりません。
利用停止等請求の例外
以下の場合は利用停止等請求の対象から除外されています。
- 法定代理人の同意を得て取得された保有個人データである場合
- 要配慮個人情報の取得に係る例外要件と同種の要件に該当する場合
- 本人が16歳以上であると信じさせるために詐術を用いた場合
- 法定代理人が本人の営業を許可しており、事業者が当該営業に関して保有個人データを取得した場合 等
事業者の責務規定
改正法では、個人情報取扱事業者等は、未成年者に関する個人情報等の取扱いについて、この法律の規定を遵守するとともに、その年齢及び発達の程度に応じて、その最善の利益を優先して考慮した上で、未成年者の権利利益を害することがないように必要な措置を講ずるよう努めなければならないとする責務規定が設けられます（改正法第58条の3）。
また、未成年者である本人の法定代理人は、開示等の請求等又はこの法律の規定の同意をするに当たっては、当該本人の最善の利益を優先して考慮しなければならないとされています。
法定代理人の関与及び責務規定については、民間事業者だけでなく行政機関等についても同様の改正が行われます（改正法第71条の3、第125条の2）。
企業の実務対応チェックリスト
教育・ゲーム・SNS事業者が特に注意すべき点
こどもの個人情報に関する新規律は、16歳未満のユーザーが利用するサービスを提供する全ての事業者に影響があります。
とりわけ、教育関係のコンテンツや、ゲーム、SNS、動画配信など、未成年者の利用比率が高いサービスでは、対応の重要度が特に高いといえます。
チェックポイント・対応方法
- 自社サービスのユーザーに16歳未満が含まれ得るかを確認する
- 自社サービスにおけるユーザーの年齢確認フローの有無と精度を点検する
- 利用規約・プライバシーポリシーに法定代理人の同意に関する記載を追加する準備を進める
- 法定代理人の同意取得に関するUI/UXの設計を開始する
- 違法行為の有無を問わない利用停止等請求への対応フローを設計する
- 法定代理人からの請求に対応する体制を構築する
次回（第4回）は「特定生体個人情報（顔特徴データ等）の新規律」について、防犯カメラや顔認証システムの運用への影響も含めて解説します。
こどもの個人情報保護に関する法的助言は、GVA法律事務所までお問い合わせください。
