個人情報保護法と海外のデータ保護法一覧｜罰則と2026年改正

個人情報保護法とは、事業者による個人情報の取得、利用、第三者への提供の手順と、本人が持つ権利を定めた日本の法律であり、個人情報保護委員会の命令に違反した法人には1億円以下の罰金が科される。 正式名称は「個人情報の保護に関する法律」（平成15年法律第57号）で、2003年5月30日に公布され、2005年4月1日に全面施行された。

日本で顧客データを扱う企業が向き合う法律は、これ一本では終わらない。EUの居住者に商品やサービスを提供すればGDPRが、カリフォルニア州の消費者のデータを一定の規模で扱えばCCPAが、中国国内で集めたデータを国外へ出すならPIPLが、同時にかかる。ここに並べたデータプライバシー規制は、条文と当局の公表資料で施行日、所管当局、罰則額の三つを確認できたものに限った。確認が取れなかった法域は載せていない。

個人情報保護法と主要な海外規制の数字

• 個人情報保護法の所管は個人情報保護委員会である。2016年1月1日に消費者庁から移管され、2017年5月30日に事業者の監督権限が主務大臣から委員会へ一元化された
• 法人に対する罰金の上限は1億円である（委員会の命令違反と個人情報データベース等の不正提供。法第178条、第179条、第184条）
• 2026年7月17日に公布された改正法で課徴金制度が新設された。額は違反行為によって得た財産上の利益に相当する額で、売上高には比例しない。施行日は公布から2年を超えない範囲で政令が定める
• 漏えい等が起きたときの委員会への報告は、速報が「速やかに」、確報が30日以内である（不正の目的をもって行われたおそれのある行為による場合は60日以内）
• EUから日本への個人データの移転は、2019年1月23日の十分性認定により、標準契約条項を結ばずに行える
• GDPRの行政制裁金の上限は2,000万ユーロまたは全世界の年間売上高の4%のうち高い方である（第83条第5項）
• CCPAの金銭的な制裁は違反1件あたり2,500ドル、故意の違反または16歳未満の消費者の情報が関わる違反は7,500ドルで、州プライバシー保護局による行政処分と州司法長官による民事訴訟の二つの経路がある

個人情報保護法が顧客データの扱いに求めること

個人情報保護法は、取得の場面では利用目的の特定と本人への通知または公表を求め、本人の同意を要件とする場面を第三者提供や要配慮個人情報の取得などに絞っている。 処理を始める前に適法な根拠を一つ選ぶGDPRとは構成が異なる。GDPR向けに作った同意設計をそのまま日本に持ち込むと、同意が要らない場面で同意を集め、同意が要る場面を取りこぼすことになる。

条文はe-Gov法令検索で読める。運用の解釈は個人情報保護委員会のガイドラインが示している。

同意が要る場面と、通知や公表で足りる場面

取得の場面で必要なのは、利用目的をできる限り特定し、本人に通知するか公表することである。会員登録フォームで取得した氏名とメールアドレスを、公表した利用目的の範囲でメール配信に使うだけなら、同意は要件ではない。

同意が要件になるのは、特定した利用目的の範囲を超えて使うとき、要配慮個人情報を取得するとき（法第20条第2項）、個人データを第三者に提供するとき（法第27条第1項）、そして外国にある第三者へ提供するとき（法第28条第1項）である。マーケティングの現場でこの線引きが問題になるのは、たいてい最後の二つに関わる場面だ。

委託と第三者提供のどちらに当たるか

顧客データを外部のツールへ渡す行為は、委託と第三者提供のどちらかに整理される。提供先が自社の指示の範囲でのみ処理するなら委託であり、本人の同意ではなく委託先を監督する義務が要件になる（法第25条）。提供先が自らの目的でもそのデータを使うなら第三者提供であり、原則として本人の同意が要る。

この区別は契約書の文言だけの話ではない。同じMAツールでも、自社のためだけに配信処理を行わせる使い方は委託、ツール事業者が自社の分析やモデル学習にも使う設計なら第三者提供に寄る。アクティベーション先を増やすたびに、どちらに当たるかを確かめる必要がある。

Cookie IDと個人関連情報

Cookie IDや閲覧履歴のように、単体では特定の個人を識別できない情報は個人関連情報として扱われる。提供先がそれを個人データとして取得することが想定される場合、提供元は、本人の同意が得られていることをあらかじめ確認しなければならない（法第31条第1項）。

判定の基準は、識別子そのものの性質ではなく、提供先の手元で個人データになるかどうかにある。広告配信のためのオーディエンス連携は、この規律に当たりやすい。

開示等の請求と漏えいの報告

本人から保有個人データの開示を請求されたら、遅滞なく開示しなければならない（法第33条第2項）。GDPRの1か月やCCPAの45日のような日数の定めはないが、期限が緩いわけではなく、同じ人物が四つのシステムに四つのレコードとして存在していれば、遅滞なく答えること自体が難しくなる。名寄せが実務の前提になるのはこのためである。

漏えい等が起きた場合の委員会への報告は、要配慮個人情報が含まれるとき、財産的被害のおそれがあるとき、不正の目的をもって行われたおそれのある行為によるとき、本人の数が1,000人を超えるときに必要になる（施行規則第7条）。報告は速報と確報の二段階で、速報は事態を知った後速やかに、確報は知った日から30日以内である。不正の目的による行為の場合、確報の期限は60日以内になる（施行規則第8条）。

罰則と委員会の執行

委員会の命令に違反した場合の法定刑は1年以下の拘禁刑または100万円以下の罰金、個人情報データベース等を不正な利益を図る目的で提供または盗用した場合は1年以下の拘禁刑または50万円以下の罰金である。法人にはいずれも1億円以下の罰金が科される（法第184条第1項第1号）。この法人重科は2020年12月12日に引き上げられた。それ以前の上限は、命令違反が30万円、不正提供が50万円だった。

2026年7月公布の改正法で変わること

2026年7月17日に公布された改正個人情報保護法は、違反によって得た利益を取り上げる課徴金制度を新設した。 施行日は公布から2年を超えない範囲で政令が定めるため、本ページが前提とする現行法の枠組みは、その日をもって一部が変わる。

課徴金の対象行為は四類型である。不適正な利用の禁止（法第19条）違反、適正な取得（法第20条第1項）違反、第三者提供の制限（法第27条第1項）違反、そして新設される統計作成等の特例で認められた範囲を超える目的外利用と第三者提供である。いずれも、緊急命令の対象になる重要な規制の違反のうち、国内外で現実に発生していて、剥奪すべき違法な収益を観念できるものに絞られている。名簿の販売や、統計の作成を名目に受け取ったデータを広告配信に流用する行為が、想定されている類型だ。

四類型に当たれば課徴金が科されるわけではなく、範囲はさらに二つの条件で絞られる。違反を防ぐための相当の注意を怠っていなければ対象から外れること、そして個人の権利利益が侵害されたか、侵害される具体的なおそれが生じた事案（基本的に勧告等の対象となる事案）に限られることである。本人の数について1,000人を基準とする大規模事案であることも要件になる。同意のない第三者提供が1,000人を超えれば直ちに課徴金、という関係にはならない。金額は違反行為によって得た財産上の利益に相当する額として算定され、GDPRの行政制裁金のように売上高へ比例するわけではない。

顧客データの設計に効いてくる変更は課徴金だけではない。統計情報等の作成にのみ利用する場合は、第三者提供と要配慮個人情報の取得に本人の同意が要らなくなる。統計作成等と整理できるAI開発もここに含まれると委員会は説明している。顔特徴データ等は周知が義務化され、オプトアウトによる第三者提供が禁じられる。16歳未満の本人については法定代理人を相手方とすることが明文化される。改正の内容と施行に向けた工程は個人情報保護委員会の特設ページが公表している。

日本から国外へ、国外から日本へデータを移すとき

外国にある第三者へ個人データを提供するには、本人の同意を得るか、提供先が委員会規則の基準に適合する体制を整えているか、その国が日本と同等の水準にあると規則で認められているかのいずれかが必要になる（法第28条）。同意を根拠にする場合は、移転先の国の制度と提供先が講じる措置を、あらかじめ本人に情報提供しなければならない。

逆向きの流れ、つまりEUから日本への移転は、欧州委員会が2019年1月23日に採択した十分性認定によって、標準契約条項なしで行える。ただし認定にもとづいて受け取った個人データには、委員会の「補完的ルール」が上乗せで適用される。EUの顧客データを日本のデータ基盤に集約する構成では、この上乗せ分を運用に落とし込めているかが実装の分かれ目になる。

主要な法域の運用上の違い

システムの作りを決めるのは、同意の考え方、本人の請求への回答期限、そしてデータを国内に置く義務の有無という三つの軸である。 同じ「同意」という言葉でも、処理の前提として要るのか、拒否されるまでは処理してよいのかで、保持すべき状態がまるで違う。

同意の状態は、顧客ごとに、かつ法域ごとに持つしかない。「同意がなければ処理しない」と「拒否されるまでは処理する」は逆向きの初期値であり、一つのフラグでは表せない。

EUのGDPRと域外適用

GDPRはEUの27加盟国とアイスランド、リヒテンシュタイン、ノルウェーに適用され、2018年5月25日から効力を持つ。 行政制裁金の上限は2,000万ユーロまたは全世界の年間売上高の4%のうち高い方で（第83条第5項）、条文はEUR-Lexが公開している。

GDPRには域外適用があり、EUに拠点がなくても、EU域内の人に商品やサービスを提供する場合や、域内での行動を監視する場合には適用される。越境ECや多言語サイトでEUからの購入を受け付けている時点で、対象になり得る。

米国の分野別連邦法と州の消費者プライバシー法

米国には民間部門全体を対象とする包括的な連邦法がなく、児童（COPPA）、医療（HIPAA）、金融（GLBA）、教育（FERPA）といった分野別の連邦法と、州ごとの消費者プライバシー法が積み重なっている。 州法はカリフォルニア州が先行し、バージニア州の形式を踏襲する州が続いた。

適用されるかどうかを決めるのは、本社の所在地ではなく、その州にどれだけ顧客がいるかである。カリフォルニア州は年間売上高2,500万ドル超、10万人以上の消費者または世帯のデータの取得や販売、売上の50%以上を個人情報の販売や共有から得ていることのいずれかで適用される。バージニア州は年間10万人、または2万5,000人かつ売上の50%超をデータ販売から得ている場合である。テキサス州には人数の基準がなく、州内で事業を行い個人データを扱う事業者は、連邦の小規模事業者の定義に当たらない限り対象になる。

包括的な消費者プライバシー法を持つ州は増え続けており、上の4州はその一部である。全州の一覧は英語版のページに掲載している。

中国のPIPLと国外移転の手続

中国のPIPLは2021年11月1日から施行され、違反の情節が重い場合の罰金は5,000万元以下または前年度売上高の5%以下である（第66条）。 個人情報保護の監督は国家インターネット情報弁公室が統括し、国務院の関係部門がそれぞれの所掌の範囲で担う（第60条）。条文は全国人民代表大会が公開している。

日本企業の実務で効くのは第38条から第40条である。中国国内で集めた個人情報を国外へ出すには、当局の安全評価を通すか、専門機関の認証を受けるか、標準契約を締結するかのいずれかが要る。国外提供については、通常の同意とは別に個別の同意を取る必要もある。重要情報インフラの運営者と、規定の数量以上の個人情報を扱う事業者には、中国国内での保存が義務づけられている。中国法人の顧客データを本社の統合基盤へそのまま集める設計は、この条文に抵触する。

メキシコの新しい連邦個人データ保護法

メキシコの民間部門を対象とする連邦個人データ保護法（LFPDPPP）は2025年3月20日に官報で公布され、翌日から施行された新法に置き換わっている。 所管はSecretaría Anticorrupción y Buen Gobierno（汚職対策と良き統治を担う省）で、従来の独立規制機関であったINAIは廃止された。行政制裁金は違反類型に応じてUMA（インフレに連動する計算単位）の100倍から16万倍、または200倍から32万倍で、機微なデータに関する違反は最大2倍まで引き上げられる。条文は下院が公開している。

法律だけでなく所管する機関ごと入れ替わる例は、珍しくない。所管当局が変われば、届出先も相談窓口も、参照すべきガイドラインの発行元も変わる。二次情報の要約ではなく、その国の官報や当局のサイトを確認先に持っておきたい。

顧客データの設計に何を意味するか

これらの法律は、同意の記録、利用目的の限定、監査への対応を、システムの要件に変える。 長く効く対応は、本人から直接得たファーストパーティデータを同意の記録とともに保持することである。取得の経緯と目的がはっきりしているデータは、ここに挙げたどの法域でも出発点として使える。第三者から買ったデータには、その出発点がそもそもない。

実装で効くのは二つの機能である。同意管理は、顧客ごとに何をどの目的で認めたかを記録し、配信や広告連携の直前でその記録を参照する。データガバナンスは、どのデータがどこにあり、誰がアクセスでき、削除の請求にどう応えるかを決める。

どちらも「顧客のレコードがどこにあるかを把握していること」を前提にしている。プライバシー対応と顧客データ基盤の話が同じ場所で交わるのはこのためだ。CDP（カスタマーデータプラットフォーム）のように顧客プロファイルを一か所に統合する基盤があれば、同意の状態をプロファイルの属性として持てる。開示や削除の請求に、十数個のシステムを順に当たらずに応えられる。同じ統合は、データアクティベーションのたびに個人データを配信先ごとに複製せずに済む構成でもあり、監査での説明もそのぶん短くなる。

関連記事

• CDPでプライバシーとコンプライアンスに対応する：統合された顧客データが対応業務をどう支えるか（英語）
• データプライバシーガバナンスの8つの実践：複数法域にまたがるガバナンス体制の作り方（英語）
• CDPにおける同意管理：チャネルをまたいで同意を効かせる方法（英語）
• Cookieに依存しない計測：サードパーティCookieで追える範囲が狭まった後の選択肢（英語）
• 個人を特定できる情報（PII）：どのデータが規制の対象になるのか（英語）

FAQ

個人情報保護法の罰則はどのくらいか？

法人に対する罰金の上限は1億円である。 個人情報保護委員会の命令に違反した場合と、個人情報データベース等を不正な利益を図る目的で提供または盗用した場合に、行為者を罰するほか法人にも1億円以下の罰金が科される（法第184条第1項第1号）。行為者本人の法定刑は、命令違反が1年以下の拘禁刑または100万円以下の罰金、不正提供が1年以下の拘禁刑または50万円以下の罰金である。

2026年に公布された改正個人情報保護法は何が変わるのか？

最大の変更は課徴金制度の新設で、重大な違反については、それによって得た財産上の利益に相当する額の納付を命じられるようになる。 対象行為は不適正な利用の禁止、適正な取得、第三者提供の制限、統計作成等の特例の四類型である。そのうち、防止のための相当の注意を怠り、個人の権利利益が侵害されたか侵害される具体的なおそれが生じた、本人の数1,000人を基準とする大規模事案に絞られる。あわせて、統計情報等の作成にのみ利用する場合の同意が不要になり、顔特徴データ等の規律が加わる。公布は2026年7月17日、施行日は公布から2年を超えない範囲で政令が定める。

個人情報保護法とGDPRはどこが違うのか？

GDPRは処理を始める前に適法な根拠を選ぶ構成で、個人情報保護法は利用目的の特定と通知を基本に、同意が要件となる場面を限定する構成である。 金銭的な上限もGDPRの行政制裁金が2,000万ユーロまたは全世界売上高の4%であるのに対し、個人情報保護法の法人重科は1億円と桁が異なる。本人の請求への回答期限も、GDPRが原則1か月、個人情報保護法は「遅滞なく」と定め方が違う。EUの居住者にサービスを提供する日本企業は、両方に同時に服する。

Cookie IDは個人情報保護法の対象になるのか？

単体で特定の個人を識別できないCookie IDは個人情報ではなく個人関連情報として扱われ、提供先で個人データになる場合に確認義務がかかる。 提供先がそのIDを自社の顧客データと結びつけて個人データとして取得することが想定されるなら、提供元は本人の同意が得られていることをあらかじめ確認しなければならない（法第31条第1項）。判定は識別子の性質ではなく提供先での扱いで決まるため、広告配信のためのオーディエンス連携は対象になりやすい。

日本企業がCCPAの対象になるのはどんな場合か？

カリフォルニア州で事業を行い、年間売上高2,500万ドル超、10万人以上の消費者または世帯のデータの取得や販売、売上の50%以上を個人情報の販売や共有から得ていることのいずれかに当たる場合である。 本社が日本にあるかどうかは基準に含まれない。金銭的な制裁は違反1件あたり2,500ドル、故意の違反または16歳未満の消費者の情報が関わる違反は7,500ドルで、違反件数は影響を受けた消費者の数に応じて積み上がる。

海外で集めた顧客データを日本のデータ基盤に集約してよいか？

法域による。EUからの移転は2019年1月23日の十分性認定により標準契約条項なしで行えるが、中国国内で集めたデータの持ち出しには当局の安全評価、認証、標準契約のいずれかが必要になる。 中国では重要情報インフラの運営者と一定量以上を扱う事業者に国内保存の義務もある（PIPL第40条）。統合基盤を設計する前に、対象となる国ごとに移転の根拠と保存場所の制約を確認しておく必要がある。

本ページは教育目的の参考情報であり、法的助言ではない。個別の判断は資格を持つ専門家に相談されたい。

この記事は他の言語でも読めます： Data Privacy Laws by Country and U.S. State (2026) · Lei Geral de Proteção de Dados: o que a LGPD exige · Ley de protección de datos personales: LFPDPPP