個人情報の保護に関する法律（こじんじょうほうのほごにかんするほうりつ）

• 個人情報取扱事業者は、個人情報の利用目的をできる限り特定しなければならず、あらかじめ本人の同意を得ないで、利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはなりません。違法または不当な行為を助長し、または誘発するおそれがある方法で個人情報を利用してもなりません。偽りその他不正の手段で個人情報を取得してはならず、あらかじめ本人の同意を得ないで要配慮個人情報を取得してもなりません。ただし、法令（条例を含みます）に基づく場合や、人の生命、身体または財産の保護のために必要がある場合、公衆衛生の向上または児童の健全な育成の推進のために特に必要がある場合であって本人の同意を得ることが困難なときなど、この法律が定める場合には、本人の同意はいりません。施行日（遅くとも2028年7月16日）の前日までの定めです。(第十七条第一項, 第十八条第一項, 第十八条第三項, 第十八条第三項第一号, 第十八条第三項第二号, 第十八条第三項第三号, 第十九条第一項, 第二十条第一項, 第二十条第二項)（根拠条文）
• 政令で定める日（遅くとも2028年7月16日）からも、個人情報取扱事業者は、利用目的をできる限り特定し、あらかじめ本人の同意を得ないでその達成に必要な範囲を超えて取り扱ってはなりません。違法または不当な行為を助長し、または誘発するおそれがある方法で個人情報を利用してはならず、偽りその他不正の手段で個人情報を取得してはならず、あらかじめ本人の同意を得ないで要配慮個人情報を取得してもなりません。法令（条例を含みます）に基づく場合など、この法律が定める場合に本人の同意がいらないことも変わりません。人の生命、身体または財産の保護のために必要がある場合や、公衆衛生の向上または児童の健全な育成の推進のために特に必要がある場合は、本人の同意を得ることが困難なときのほか、本人の同意を得ないことについて相当の理由があるときも、同意はいらなくなります。本人との間の契約の履行のために必要やむを得ないことが明らかな場合など、取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかな場合として個人情報保護委員会規則で定める場合も、同意はいりません。施行日（遅くとも2028年7月16日）からの定めです。(第十七条第一項, 第十八条第一項, 第十八条第三項, 第十八条第三項第一号, 第十八条第三項第二号, 第十八条第三項第三号, 第十八条第三項第七号, 第十九条第一項, 第二十条第一項, 第二十条第二項, 第二十条第二項第七号)（根拠条文）
• 個人情報取扱事業者は、個人情報を取得したときは、あらかじめ利用目的を公表している場合を除き、速やかに利用目的を本人に通知するか、公表しなければなりません。契約書その他の書面（電磁的記録を含みます）に書かれた本人の個人情報を本人から直接取得するときは、人の生命、身体または財産の保護のために緊急に必要がある場合を除き、あらかじめ本人に利用目的を明示しなければなりません。利用目的を変更したときも、変更後の利用目的を本人に通知するか、公表しなければなりません。ただし、通知や公表によって本人や第三者の生命、身体、財産その他の権利利益を害するおそれがある場合、事業者の権利や正当な利益を害するおそれがある場合、国の機関や地方公共団体の事務への協力に支障を及ぼすおそれがある場合、取得の状況からみて利用目的が明らかな場合は、これらは適用されません。保有個人データについては、事業者の氏名または名称と住所、すべての保有個人データの利用目的、開示等の請求に応じる手続（手数料の額を含みます）などを、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含みます）に置かなければなりません。本人から利用目的の通知を求められたときは、利用目的が明らかな場合などを除き、遅滞なく通知しなければなりません。利用目的の通知や開示の請求に応じるときは、実費を勘案して合理的な範囲内の手数料を徴収できます。施行日（遅くとも2028年7月16日）の前日までの定めです。(第二十一条第一項, 第二十一条第二項, 第二十一条第三項, 第二十一条第四項, 第三十二条第一項, 第三十二条第二項, 第三十八条第一項, 第三十八条第二項, 第三十二条第一項第四号)（根拠条文）
• 政令で定める日（遅くとも2028年7月16日）からも、個人情報取扱事業者は、個人情報を取得したときは、あらかじめ公表している場合を除き速やかに利用目的を本人に通知するか公表し、書面で本人から直接取得するときは、緊急に必要な場合を除きあらかじめ利用目的を明示し、変更した利用目的も通知するか公表しなければなりません。通知や公表によって本人や第三者の権利利益、事業者の権利や正当な利益を害するおそれがある場合、国の機関などの事務への協力に支障を及ぼすおそれがある場合、利用目的が明らかな場合は別です。新たに、特定生体個人情報を取り扱うときは、事業者の氏名または名称と住所、特定生体個人情報を取り扱うこと、その利用目的、符号に変換される身体の一部の特徴の内容、開示等の請求に応じる手続などを、あらかじめ本人に通知するか、本人が容易に知り得る状態に置かなければなりません。ただし、本人や第三者の権利利益や事業者の権利や正当な利益を害するおそれがある場合、国の機関などの事務への協力に支障を及ぼすおそれがある場合、政令で定める場合は別です。保有個人データについては、事業者の氏名または名称と住所、すべての保有個人データの利用目的、開示等の請求に応じる手続（手数料の額を含みます）などを、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含みます）に置かなければなりません。本人から利用目的の通知を求められたときは、利用目的が明らかな場合などを除き、遅滞なく通知しなければなりません。利用目的の通知や開示の請求に応じるときは、実費を勘案して合理的な範囲内の手数料を徴収できます。施行日（遅くとも2028年7月16日）からの定めです。(第二十一条第一項, 第二十一条第二項, 第二十一条第三項, 第二十一条第四項, 第二十一条の二第一項, 第二十一条の二第二項, 第十六条第五項, 第三十二条第一項, 第三十二条第二項, 第三十八条第一項, 第三十八条第二項, 第三十二条第一項第四号, 第二十一条の二第一項第六号)（根拠条文）
• 個人情報取扱事業者は、個人データ（個人情報データベース等を構成する個人情報）の漏えい、滅失、毀損を防ぐなど、安全管理のために必要かつ適切な措置を講じなければなりません。従業者に個人データを取り扱わせるときや、取扱いを委託するときは、安全管理が図られるよう、従業者や委託先を必要かつ適切に監督しなければなりません。個人データの漏えいなどの事態で、個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会に報告しなければなりません。ただし、ほかの個人情報取扱事業者や行政機関等から取扱いの委託を受けていて、その委託元に通知したときは、報告はいりません。報告する事業者は、本人にもその事態が生じたことを通知しなければなりません。本人への通知が困難な場合で、本人の権利利益を保護するために必要な代わりの措置をとるときは、この限りではありません。施行日（遅くとも2028年7月16日）の前日までの定めです。(第十六条第三項, 第二十三条第一項, 第二十四条第一項, 第二十五条第一項, 第二十六条第一項, 第二十六条第二項)（根拠条文）
• 政令で定める日（遅くとも2028年7月16日）からも、個人情報取扱事業者は、個人データの漏えい、滅失、毀損を防ぐなど安全管理のために必要かつ適切な措置を講じ、従業者や委託先を必要かつ適切に監督しなければなりません。個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定める漏えいなどの事態が生じたときは、個人情報保護委員会に報告しなければなりません。ただし、ほかの個人情報取扱事業者や行政機関等から取扱いの委託を受けていて、その委託元に通知したときは、報告はいりません。報告する事業者は、本人にもその事態が生じたことを通知しなければなりません。ただし、本人への通知が困難な場合または本人への通知が行われなくても本人の権利利益の保護に欠けるおそれが少ない場合として個人情報保護委員会規則で定める場合で、本人の権利利益を保護するために必要な代わりの措置をとるときは、この限りではありません。施行日（遅くとも2028年7月16日）からの定めです。(第十六条第三項, 第二十三条第一項, 第二十四条第一項, 第二十五条第一項, 第二十六条第一項, 第二十六条第二項)（根拠条文）
• 個人情報取扱事業者は、法令に基づく場合や、人の生命、身体または財産の保護のために必要がある場合であって本人の同意を得ることが困難なときなど、この法律が定める場合を除き、あらかじめ本人の同意を得ないで個人データを第三者に提供してはなりません。利用目的の達成に必要な範囲内での取扱いの委託、合併などによる事業の承継、あらかじめ本人に通知するなどした共同利用に伴って個人データを渡す場合、受け取る人は第三者にあたりません。本人の求めに応じて提供を停止することにし、決められた事項をあらかじめ本人に通知するか本人が容易に知り得る状態に置き、個人情報保護委員会に届け出たときは、同意なしに第三者に提供することもできます。ただし、要配慮個人情報、不正の手段で取得されたもの、この方法でほかの事業者から提供されたものは、この方法では提供できません。外国にある第三者に個人データを提供するには、あらかじめその外国の個人情報保護制度や提供先の措置などの情報を本人に提供したうえで、外国にある第三者への提供を認める旨の本人の同意を得なければなりません。ただし、わが国と同等の水準の制度がある外国として個人情報保護委員会規則で定める国への提供、同規則で定める基準に合う体制を整えている提供先への提供、法令に基づく場合などこの法律が定める場合は別です。施行日（遅くとも2028年7月16日）の前日までの定めです。(第二十七条第一項, 第二十七条第一項第一号, 第二十七条第一項第二号, 第二十七条第二項, 第二十七条第五項, 第二十八条第一項, 第二十八条第二項)（根拠条文）
• 政令で定める日（遅くとも2028年7月16日）からも、個人データを第三者に提供するには、この法律が定める場合を除き、あらかじめ本人の同意が必要です。同意がいらない場合には、法令に基づく場合、人の生命、身体または財産の保護のために必要がある場合であって本人の同意を得ることが困難なときその他本人の同意を得ないことについて相当の理由があるとき、本人との間の契約の履行のために必要やむを得ないことが明らかな場合など本人の意思に反しないため本人の権利利益を害しないことが明らかな場合として個人情報保護委員会規則で定める場合などがあります。取扱いの委託、事業の承継、本人に通知するなどした共同利用に伴って渡す場合に、受け取る人が第三者にあたらないことも変わりません。本人の求めに応じて提供を停止することにし、本人に通知するなどして個人情報保護委員会に届け出る方法では、要配慮個人情報、不正の手段で取得されたもの、この方法でほかの事業者から提供されたものに加えて、特定生体個人情報も提供できなくなります。またこの方法で提供するときは、あらかじめ提供先の氏名または名称、住所、提供先での利用目的を確認しなければなりません。ただし、提供する個人データの全部が、取得した時点で本人、国の機関、地方公共団体などによって公開されていたものである場合など、この法律や個人情報保護委員会規則で定める場合は別です。外国にある第三者への提供には、引き続き、その外国の制度や提供先の措置などの情報を本人に提供したうえでの本人の同意が必要です。ただし、同等の水準の制度がある外国として同規則で定める国への提供、同規則で定める基準に合う体制を整えている提供先への提供、この法律が定める場合は別です。施行日（遅くとも2028年7月16日）からの定めです。(第二十七条第一項, 第二十七条第一項第一号, 第二十七条第一項第二号, 第二十七条第一項第八号, 第二十七条第二項, 第二十七条第五項, 第二十七条第七項, 第十六条第五項, 第二十八条第一項, 第二十八条第二項)（根拠条文）
• 個人情報取扱事業者は、個人データを第三者（国の機関、地方公共団体などを除きます）に提供したときは、提供した年月日、提供先の氏名または名称など個人情報保護委員会規則で定める事項の記録を作成しなければなりません。第三者から個人データの提供を受けるときは、提供者の氏名または名称と住所（法人の場合は代表者の氏名）、提供者がその個人データを取得した経緯を確認し、その記録を作成しなければなりません。これらの記録は、同規則で定める期間保存しなければなりません。ただし、第27条第1項の本人の同意がいらない場合や、委託、事業の承継、共同利用に伴う提供の場合は除かれます（第28条第1項による外国にある第三者への提供では、第27条第1項の場合だけが除かれます）。確認を受ける提供者は、確認に係る事項を偽ってはなりません。(第二十九条第一項, 第二十九条第二項, 第三十条第一項, 第三十条第二項, 第三十条第三項, 第三十条第四項)（根拠条文）
• 本人は、個人情報取扱事業者に対し、自分が識別される保有個人データを、電磁的記録の提供など個人情報保護委員会規則で定める方法で開示するよう請求できます。第三者に提供したときや第三者から提供を受けたときの記録（第三者提供記録）の開示も請求できます。内容が事実でないときは訂正、追加または削除を、利用目的を超えた取扱いや不適正な利用、不正な取得があったときは利用の停止または消去を、同意のない第三者提供などがあったときは第三者への提供の停止を請求できます。さらに、事業者がその保有個人データを利用する必要がなくなった場合、報告が必要な漏えいなどの事態が生じた場合、その取扱いにより本人の権利または正当な利益が害されるおそれがある場合にも、利用停止等や第三者への提供の停止を請求できます。事業者は、理由のある請求には遅滞なく応じなければなりません。ただし、開示によって本人や第三者の生命、身体、財産その他の権利利益を害するおそれがある場合、事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合、他の法令に違反することになる場合は、開示しないことができます。利用停止等に多額の費用を要するなど困難な場合は、本人の権利利益を保護するために必要な代わりの措置をとることもできます。これらの請求について訴えを起こすには、まず相手方に請求し、それが届いた日から2週間たってからでなければなりません（相手方が請求を拒んだときを除きます）。施行日（遅くとも2028年7月16日）の前日までの定めです。(第十六条第四項, 第三十三条第一項, 第三十三条第二項, 第三十三条第五項, 第三十四条第一項, 第三十四条第二項, 第三十五条第一項, 第三十五条第二項, 第三十五条第三項, 第三十五条第四項, 第三十五条第五項, 第三十五条第六項, 第三十九条第一項)（根拠条文）
• 政令で定める日（遅くとも2028年7月16日）からも、本人は、個人情報取扱事業者に対し、保有個人データや第三者提供記録の開示、事実でない内容の訂正等、この法律に違反する取扱い・取得・第三者提供や、利用する必要がなくなった場合、報告が必要な漏えいなどの事態が生じた場合、本人の権利または正当な利益が害されるおそれがある場合の利用停止等や第三者への提供の停止を請求できます。事業者は理由のある請求には遅滞なく応じなければなりませんが、本人や第三者の権利利益を害するおそれがある場合、業務の適正な実施に著しい支障を及ぼすおそれがある場合、他の法令に違反することになる場合は開示しないことができます。利用停止等が困難な場合に、必要な代わりの措置をとることができる点も変わりません。新たに、本人は、自分が識別される特定生体個人情報（保有個人データに含まれるものに限ります）が取り扱われているときは、その利用停止等や第三者への提供の停止も請求できます。特定生体個人情報とは、個人識別符号のうち、身体の一部の特徴に係る情報で、特別の技術や多額の費用を要しない方法で取得でき、取得されていることを本人が容易に認識できないものとして政令で定めるものを変換した符号（特定生体個人識別符号）が含まれる個人情報です。ただし、事業者があらかじめ本人の同意を得てその符号を作成した場合や、その情報を取得した場合など、この法律が定める場合は別です。これらの請求について訴えを起こすには、まず相手方に請求し、それが届いた日から2週間たってからでなければなりません（相手方が請求を拒んだときを除きます）。施行日（遅くとも2028年7月16日）からの定めです。(第十六条第四項, 第十六条第五項, 第三十三条第一項, 第三十三条第二項, 第三十三条第五項, 第三十四条第一項, 第三十四条第二項, 第三十五条第一項, 第三十五条第二項, 第三十五条第三項, 第三十五条第四項, 第三十五条第五項, 第三十五条第六項, 第三十五条第七項, 第三十五条第八項, 第三十九条第一項)（根拠条文）
• 行政機関等は、法令（条例を含みます）の定める所掌事務または業務を遂行するために必要な場合に限り、利用目的をできる限り特定して個人情報を保有できます。保有個人情報を利用目的以外の目的のために自ら利用したり提供したりすることは、法令に基づく場合を除き、できません。ただし、本人の同意があるときなど、この法律が定める場合は、本人や第三者の権利利益を不当に侵害するおそれがない限り、できます。何人も、行政機関の長等に対し、その機関が保有する自分を本人とする保有個人情報の開示を、本人であることを示す書類を示して書面で請求できます。行政機関の長等は、本人の生命や健康を害するおそれがある情報、ほかの個人を識別できる情報、国の安全や犯罪の予防、事務の遂行に支障を及ぼすおそれがある情報など、不開示情報が含まれている場合を除き、開示しなければなりません。開示するかどうかは、請求があった日から30日以内に決めなければなりませんが、正当な理由があるときは30日以内に限り延長できます。著しく大量の請求では、60日以内に相当の部分を決め、残りは相当の期間内に決めれば足ります。開示を受けた日から90日以内であれば、内容が事実でないと思うときは訂正を、この法律に違反して保有、利用、提供されていると思うときは利用停止を請求することもできます（他の法令に特別の手続がある場合を除きます）。ただし、利用停止によって事務または事業の適正な遂行に著しい支障を及ぼすおそれがあるときは、利用停止をしなくてよいことになっています。(第六十一条第一項, 第六十九条第一項, 第六十九条第二項, 第六十九条第二項第一号, 第七十六条第一項, 第七十七条第一項, 第七十七条第二項, 第七十八条第一項, 第八十三条第一項, 第八十三条第二項, 第八十四条第一項, 第九十条第一項, 第九十条第三項, 第九十八条第一項, 第九十八条第三項, 第百条第一項)（根拠条文）

• 2026年10月1日

  このサイトの条文

  日本学術会議法

  令和七年法律第七十号この改正後の全文（e-Gov）

• 2026年7月17日

  防災庁設置法の施行に伴う関係法律の整備等に関する法律

  令和八年法律第六十二号この改正後の全文（e-Gov）

• 2026年7月17日

  個人情報の保護に関する法律等の一部を改正する法律

  令和八年法律第五十六号この改正後の全文（e-Gov）

• 2026年6月24日

  民法等の一部を改正する法律の施行に伴う関係法律の整備等に関する法律

  令和八年法律第四十六号この改正後の全文（e-Gov）

• 2026年5月21日

  民事訴訟法等の一部を改正する法律

  令和四年法律第四十八号この改正後の全文（e-Gov）

• 2025年6月1日

  刑法等の一部を改正する法律の施行に伴う関係法律の整理等に関する法律　抄

  令和四年法律第六十八号この改正後の全文（e-Gov）

• 2025年4月1日

  情報通信技術の活用による行政手続等に係る関係者の利便性の向上並びに行政運営の簡素化及び効率化を図るためのデジタル社会形成基本法等の一部を改正する法律

  令和六年法律第四十六号この改正後の全文（e-Gov）

• 2025年4月1日

  国立健康危機管理研究機構法の施行に伴う関係法律の整備に関する法律

  令和五年法律第四十七号この改正後の全文（e-Gov）

• 2024年4月1日

  金融商品取引法等の一部を改正する法律

  令和五年法律第七十九号この改正後の全文（e-Gov）

• 2024年2月16日

  脱炭素成長型経済構造への円滑な移行の推進に関する法律

  令和五年法律第三十二号この改正後の全文（e-Gov）

施行済みの改正29件をすべて見る

• 学術研究機関等（大学その他の学術研究を目的とする機関や団体、それらに属する者）は、学術研究目的で取り扱う必要があるときは（目的の一部が学術研究目的である場合を含みます）、本人の同意なしに、利用目的を超えて個人情報を取り扱い、要配慮個人情報を取得できます。ただし、個人の権利利益を不当に侵害するおそれがある場合は別です。同じ条件で、学術研究目的で必要とする学術研究機関等に個人データを提供すること、学術研究機関等が研究成果の公表や教授のためにやむを得ず個人データを提供すること、共同研究の相手方に提供すること、共同研究の相手方が学術研究機関等から要配慮個人情報を取得することも、同意なしにできます。学術研究機関等は、この法律を守るとともに、適正な取扱いを確保するための措置を自ら講じ、その内容を公表するよう努めなければなりません。施行日（遅くとも2028年7月16日）の前日までの定めです。(第十六条第八項, 第十八条第三項第五号, 第十八条第三項第六号, 第二十条第二項第五号, 第二十条第二項第六号, 第二十七条第一項第五号, 第二十七条第一項第六号, 第二十七条第一項第七号, 第五十九条第一項)（根拠条文）
• 政令で定める日（遅くとも2028年7月16日）から、学術研究機関等には、大学その他の学術研究を目的とする機関や団体、それらに属する者に加えて、病院その他の医療の提供を目的とする機関や団体も含まれます。学術研究機関等は、引き続き、学術研究目的で取り扱う必要があるときは（目的の一部が学術研究目的である場合を含みます）、本人の同意なしに、利用目的を超えて個人情報を取り扱い、要配慮個人情報を取得できます。ただし、個人の権利利益を不当に侵害するおそれがある場合は別です。同じ条件で、学術研究目的で必要とする学術研究機関等への個人データの提供、研究成果の公表や教授のためにやむを得ない提供、共同研究の相手方への提供、共同研究の相手方による要配慮個人情報の取得も、同意なしにできます。学術研究機関等は、この法律を守るとともに、適正な取扱いを確保するための措置を自ら講じ、その内容を公表するよう努めなければなりません。施行日（遅くとも2028年7月16日）からの定めです。(第十六条第九項, 第十八条第三項第五号, 第十八条第三項第六号, 第二十条第二項第五号, 第二十条第二項第六号, 第二十七条第一項第五号, 第二十七条第一項第六号, 第二十七条第一項第七号, 第五十九条第一項)（根拠条文）
• 別表第2に掲げる法人（国立大学法人、国立研究開発法人、独立行政法人国立病院機構など）と、地方独立行政法人法（別の法律）の定める業務によって第58条第1項第2号が掲げる地方独立行政法人は、個人情報取扱事業者にあたりますが、本人からの開示等の請求などに関する第32条から第39条までと、匿名加工情報に関する規定は適用されません。代わりに、これらを独立行政法人等または地方独立行政法人とみなして、第5章の開示、訂正、利用停止の規定、個人情報ファイル簿の規定、行政機関等匿名加工情報の規定などが適用されます。地方公共団体の機関が行う病院、診療所、大学の運営と、独立行政法人労働者健康安全機構が行う病院の運営での取扱いも、個人情報取扱事業者などによる取扱いとみなされ、第4章の規定（第32条から第39条までと匿名加工情報の規定を除きます）が適用されます。この業務には第5章の規定の多くが適用されませんが、開示、訂正、利用停止の規定（利用停止の理由は第4章の規定への違反に読み替えられます）、個人情報ファイル簿の規定、行政機関等匿名加工情報の規定などは引き続き適用されます。(第五十八条第一項, 第五十八条第一項第一号, 第五十八条第一項第二号, 別表第二, 第百二十五条第二項, 第二条第十一項第三号, 第二条第十一項第四号, 第五十八条第二項, 第五十八条第二項第一号, 第五十八条第二項第二号, 第百二十五条第一項, 第百二十五条第三項)（根拠条文）
• 仮名加工情報（ほかの情報と照合しない限り特定の個人を識別できないように、個人情報保護委員会規則で定める基準に従って加工した情報）には、独自の規定があります。利用目的の変更の制限、漏えい等の報告、第32条から第39条までの開示等の請求などの規定は適用されず、利用目的は公表すればよいことになっています。一方で、法令に基づく場合を除き利用目的の範囲を超えて取り扱えず、法令に基づく場合を除き第三者に提供できません（委託、事業の承継、共同利用は別です）。本人を識別するためにほかの情報と照合したり、電話をかけ、郵便や信書便で送り、電報を届け、ファクシミリや電磁的方法で送信し、住居を訪問するために、含まれる連絡先などを利用したりしてもなりません。(第二条第五項, 第四十一条第一項, 第四十一条第三項, 第四十一条第四項, 第四十一条第六項, 第四十一条第七項, 第四十一条第八項, 第四十一条第九項, 第四十二条第一項, 第四十二条第二項)（根拠条文）
• 行政機関等に対する開示、訂正、利用停止の請求の規定は、刑事事件や少年の保護事件の裁判、検察官、検察事務官、司法警察職員が行う処分、刑や保護処分の執行、更生緊急保護、恩赦に係る保有個人情報で、その裁判や処分を受けた者、更生緊急保護の申出をした者、恩赦の上申があった者に係るものには適用されません。(第百二十四条第一項)（根拠条文）
• 個人情報保護委員会は、事業者に対して権限を行使するときは、表現の自由、学問の自由、信教の自由、政治活動の自由を妨げてはなりません。また、事業者や行政機関の長等が、第57条第1項に掲げる報道機関、著述を業とする者、宗教団体、政治団体に対し、それぞれの目的で取り扱われる個人情報などを提供する行為については、権限を行使しないものとされています。(第百四十九条第一項, 第百四十九条第二項, 第百六十条第一項)（根拠条文）
• 政令で定める日（遅くとも2028年7月16日）から、個人情報取扱事業者や行政機関等が16歳未満の者の個人情報を取り扱う場合は、利用目的を超えた取扱い、要配慮個人情報の取得、第三者提供、外国にある第三者への提供、漏えい等の通知など、この法律が求める本人の同意や本人への通知は、本人の法定代理人の同意や法定代理人への通知になります。ただし、16歳未満の者のものであることを知らないことに正当な理由がある場合、法定代理人が本人の営業を許可していてその営業に関して取得した場合、本人に法定代理人がない場合や、法定代理人がないと信ずるに足りる相当な理由がある場合は別です。16歳未満の本人は、事業者に対し、保有個人データの利用停止等や第三者への提供の停止を請求することもできます。ただし、法定代理人の同意を得て取得した場合など、この法律が定める場合は別です。その日より前に本人や法定代理人がした同意は、新しい規定のもとでの法定代理人の同意などとみなされます。施行日（遅くとも2028年7月16日）からの定めです。(第四十条の二第一項, 第七十一条の三第一項, 第三十五条第九項, 第三十五条第十項, 附則第五条第一項, 附則第五条第二項)（根拠条文）
• 政令で定める日（遅くとも2028年7月16日）から、ほかの個人情報取扱事業者等や行政機関等から個人情報などの取扱いの委託を受けた事業者（受託個人情報取扱事業者等）が、委託契約で、個人情報保護委員会規則で定めるところにより、取扱いの方法や、漏えいなどの事態や業務の範囲・契約の定めを超えた取扱いを知ったときは速やかに委託者に報告することなどを定めている場合で、業務の遂行に必要な範囲内で契約の定めに従って取り扱うときは、その取扱いには第4章第2節から第4節までの規定の多くが適用されません。ただし、安全管理措置、従業者や委託先の監督、漏えい等の報告、委託を受けた業務の遂行に必要な範囲を超えた取扱いの禁止、16歳未満の者の個人情報に関する読替えの規定などは引き続き適用されます。施行日（遅くとも2028年7月16日）からの定めです。(第五十八条の二第一項, 第五十八条の二第一項第一号, 第五十八条の二第一項第二号, 第五十八条の二第一項第三号, 第三十条の三第一項, 第二十三条第一項, 第二十四条第一項, 第二十五条第一項, 第二十六条第一項, 第四十条の二第一項)（根拠条文）
• 政令で定める日（遅くとも2028年7月16日）から、統計作成等（大量の情報を分析して、個人に関する情報でない傾向や性質に係る情報を作る行為のうち、個人情報保護委員会規則で定めるもの）を行う目的だけで、またはそのための提供を行う目的だけで、現に公開されている要配慮個人情報を取り扱う必要がある個人情報取扱事業者は、同規則で定める方法で、氏名または名称、行おうとする統計作成等の内容（または提供を行う目的で取り扱う旨）などを公表しているときは、本人の同意を得ないでその要配慮個人情報を取得できます。取得した事業者は、その情報を取り扱っている間、これらの事項を公表し続けなければなりません。取得した情報は、法令に基づく場合や人命の救助、災害の救援その他非常の事態への対応のため緊急の必要がある場合を除き、公表した統計作成等や提供のために必要な範囲を超えて取り扱ってはなりません。また、統計作成等の目的だけで取り扱う必要がある他の個人情報取扱事業者や行政機関の長等（外国にある者の場合は、個人情報保護委員会規則で定める基準に合う体制を整えている者に限ります）に対しては、双方が氏名または名称や統計作成等の内容などを公表し、この方法による提供である旨を書面で合意しているときは、本人の同意を得ないで個人情報を提供できます。ただし、この方法や、個人関連情報についての同様の方法で他から提供された個人情報は、この方法では提供できません。施行日（遅くとも2028年7月16日）からの定めです。(第二条第十三項, 第三十条の二第一項, 第三十条の二第二項, 第三十条の二第四項, 第三十条の二第五項, 第三十条の二第五項第一号, 第三十条の二第五項第二号, 第三十一条の三第一項)（根拠条文）

• 個人情報保護委員会は、内閣総理大臣の所轄に属し、個人情報取扱事業者などによる個人情報の取扱いを監督し、行政機関等による取扱いを監視します。委員長と委員8人は、両議院の同意を得て内閣総理大臣が任命し、独立してその職権を行います。行政機関の長等に対しては、第5章の規定の円滑な運用を確保するため必要があると認めるときは、資料の提出や説明を求め、職員に実地調査をさせ、必要な指導、助言、勧告をし、勧告に基づいてとった措置について報告を求めることができます（会計検査院長は除かれます）。(第百三十条第一項, 第百三十条第二項, 第百三十二条第一項第二号, 第百三十三条第一項, 第百三十四条第一項, 第百三十四条第三項, 第百五十六条第一項, 第百五十七条第一項, 第百五十八条第一項, 第百五十九条第一項)（根拠条文）
• 個人情報保護委員会は、第4章の規定の施行に必要な限度で、個人情報取扱事業者などやその他の関係者に報告や資料の提出を求め、職員に事務所などへ立ち入らせて質問させ、帳簿書類などを検査させることができます。この立入検査の権限は、犯罪捜査のために認められたものではありません。また、必要な指導と助言をすることもできます。政令で定める事情があり、勧告や命令を効果的に行うために必要があるときは、漏えい等の報告を受ける権限や報告徴収、立入検査の権限などを、その事業を所管する大臣（雇用管理に関するものは厚生労働大臣など）に委任できます。(第百四十六条第一項, 第百四十六条第三項, 第百四十七条第一項, 第百五十条第一項, 第百五十二条第一項, 第百五十二条第一項第一号, 第百五十二条第一項第二号)（根拠条文）
• 個人情報保護委員会は、個人情報取扱事業者などが第148条に挙げる規定（利用目的、取得、安全管理、漏えい等の報告、第三者提供、外国にある第三者への提供、開示等の請求への対応などの規定）に違反した場合に、個人の権利利益を保護するため必要があると認めるときは、違反行為の中止など違反を是正するために必要な措置をとるよう勧告できます。勧告を受けた事業者が正当な理由なくその措置をとらず、個人の重大な権利利益の侵害が切迫していると認めるときは、その措置をとるよう命令できます。一部の規定の違反で個人の重大な権利利益を害する事実があり、緊急に措置をとる必要があると認めるときは、勧告を経ずに命令できます。命令に違反したときは、その旨を公表できます。施行日（遅くとも2028年7月16日）の前日までの定めです。(第百四十八条第一項, 第百四十八条第二項, 第百四十八条第三項, 第百四十八条第四項)（根拠条文）
• 政令で定める日（遅くとも2028年7月16日）から、その日以後の違反行為について、次のとおりになります（それより前の違反行為は従前の例によります）。個人情報保護委員会は、個人情報取扱事業者などが第4章第2節から第4節までの規定（法律が除く一部の規定を除きます）に違反した場合に、個人の権利利益を保護するため必要があると認めるときは、違反行為の中止など違反を是正するために必要な措置や、違反行為に係る事実の本人への通知または公表など個人の権利利益を保護するために必要な措置（是正措置等）をとるよう勧告できます。勧告を受けた事業者が正当な理由なくこれをとらず、個人の重大な権利利益が害されるおそれがあると認めるときは、是正措置等をとるよう命令できます。法律が定める規定の違反で個人の重大な権利利益を害する事実があり、またはその侵害が切迫していて緊急に措置をとる必要があると認めるときは、勧告を経ずに命令できます。これらの命令（措置命令）に違反したときは、その旨を公表できます。措置命令に従わないときは、その取扱いに使われている役務を提供する委託先などの取扱関係役務提供者に、取扱いや役務の提供の停止などを要請できます。違反行為が、別の法律で定める特定電気通信による情報の送信であるときは、措置命令をしたうえで、特定電気通信役務提供者に情報の流通を防止する措置を要請できます。要請に応じて措置を講じた者は、措置命令を受けた事業者に生じた損害を賠償する責任を負いません。施行日（遅くとも2028年7月16日）からの定めです。(第百四十八条第一項, 第百四十八条第二項, 第百四十八条第三項, 第百四十八条第四項, 第百四十八条の二第一項, 第百四十八条の二第二項, 第百四十八条の二第三項, 第百四十八条の二第四項, 附則第七条第一項)（根拠条文）
• 第8章の罰則により、個人情報保護委員会の命令に違反した者は、1年以下の拘禁刑または100万円以下の罰金に処されます。個人情報取扱事業者（法人の場合はその役員、代表者または管理人）やその従業者、これらであった者が、業務で取り扱った個人情報データベース等を自分や第三者の不正な利益を図る目的で提供し、または盗用したときは、1年以下の拘禁刑または50万円以下の罰金に処されます。この罪は日本国外で犯した者にも適用されます。これらの違反が法人の業務に関して行われたときは、その法人にも1億円以下の罰金刑が科されます。委員会の求める報告をしなかったり、虚偽の報告をしたり、立入検査を拒んだりした場合は50万円以下の罰金で、法人にも同じ罰金刑が科されます。2027年1月16日までの定めです。(第八章, 第百七十八条第一項, 第百七十九条第一項, 第百八十二条第一項, 第百八十三条第一項, 第百八十四条第一項)（根拠条文）
• 第8章の罰則により、個人情報取扱事業者（法人の場合はその役員、代表者または管理人）やその従業者、これらであった者が、業務で取り扱った個人情報データベース等を、自分や第三者の不正な利益を図る目的や、本人その他の者に損害を加える目的で提供し、または盗用したときは、2年以下の拘禁刑または100万円以下の罰金に処されます。不正な利益を図る目的や、本人、個人情報を保有する者その他の者に損害を加える目的で、人を欺き、暴行を加え、脅迫したり、財物の窃取や損壊、施設への侵入、有線電気通信の傍受、不正アクセス行為（別の法律で定めるもの）など個人情報を保有する者の管理を害する行為をしたりして個人情報を取得した者も、2年以下の拘禁刑または100万円以下の罰金に処されます。この2つの罪は日本国外で犯した者にも適用されます。個人情報保護委員会の命令（第148条第2項または第3項による命令）に違反した者は1年以下の拘禁刑または100万円以下の罰金、委員会の求める報告をしなかったり、虚偽の報告をしたり、立入検査を拒んだりした者は50万円以下の罰金に処されます。個人情報データベース等の不正提供と委員会の命令への違反が法人の業務に関して行われたときは、その法人にも1億円以下の罰金刑が科されます。不正な取得と報告拒否などが法人の業務に関して行われたときは、その法人にも行為者と同じ額の罰金刑が科されます。2027年1月17日からの定めです。(第八章, 第百七十八条第一項, 第百八十条第一項, 第百八十一条第一項, 第百八十三条第一項, 第百八十四条第一項, 第百八十五条第一項, 附則第三条第一項)（根拠条文）
• 個人データの提供を受ける事業者の確認に対して確認に係る事項を偽った提供者や、個人関連情報の提供を受ける者で、提供する事業者による本人の同意の確認に対して偽った者、認定個人情報保護団体でないのにその名称やこれと紛らわしい名称を用いた者、認定業務の廃止の届出をせず、または虚偽の届出をした者、偽りその他不正の手段で行政機関等から保有個人情報の開示を受けた者は、10万円以下の過料に処されます。2027年1月16日までの定めです。(第百八十五条第一項, 第百八十五条第一項第一号, 第百八十五条第一項第二号, 第百八十五条第一項第三号, 第三十条第二項, 第三十一条第三項, 第五十六条第一項, 第五十一条第一項, 第三十一条第一項)（根拠条文）
• 個人データの提供を受ける事業者の確認に対して確認に係る事項を偽った提供者や、個人関連情報の提供を受ける者で、提供する事業者による本人の同意の確認に対して偽った者、認定個人情報保護団体でないのにその名称やこれと紛らわしい名称を用いた者、認定業務の廃止の届出をせず、または虚偽の届出をした者、偽りその他不正の手段で行政機関等から保有個人情報の開示を受けた者は、10万円以下の過料に処されます。2027年1月17日からの定めです。(第百八十六条第一項, 第百八十六条第一項第一号, 第百八十六条第一項第二号, 第百八十六条第一項第三号, 第三十条第二項, 第三十一条第三項, 第五十六条第一項, 第五十一条第一項, 附則第三条第一項, 第三十一条第一項)（根拠条文）
• 政令で定める日（遅くとも2028年7月16日）から、本人の求めに応じて提供を停止することにして同意なしに提供する方法で個人データの提供を受ける第三者が、提供する事業者の確認に対して氏名や利用目的などを偽った場合にも、10万円以下の過料が科されます。個人データの提供を受ける事業者の確認に対して確認に係る事項を偽った提供者や、個人関連情報の提供を受ける者で、提供する事業者による本人の同意の確認に対して偽った者、認定個人情報保護団体でないのにその名称やこれと紛らわしい名称を用いた者、認定業務の廃止の届出をせず、または虚偽の届出をした者、偽りその他不正の手段で行政機関等から保有個人情報の開示を受けた者は、10万円以下の過料に処されます。施行日（遅くとも2028年7月16日）からの定めです。(第百八十六条第一項, 第百八十六条第一項第一号, 第百八十六条第一項第二号, 第百八十六条第一項第三号, 第二十七条第七項, 第二十七条第八項, 第三十条第二項, 第三十一条第三項, 第五十六条第一項, 第五十一条第一項, 第三十一条第一項)（根拠条文）
• 行政機関等の職員や職員であった者、委託を受けた業務などに従事している者や従事していた者、行政機関等で個人情報の取扱いに従事している派遣労働者や従事していた派遣労働者が、正当な理由なく、個人の秘密に属する事項が記録された電子計算機処理用の個人情報ファイルを提供したときは、2年以下の拘禁刑または100万円以下の罰金に処されます。これらの者が業務で知った保有個人情報を、自分や第三者の不正な利益を図る目的で提供し、または盗用したときや、行政機関等の職員が職権を濫用して、職務以外の目的で個人の秘密に属する事項が記録された文書などを収集したときは、1年以下の拘禁刑または50万円以下の罰金に処されます。これらの罪と、個人情報保護委員会の委員長、委員、職員などが秘密を漏らしたり盗用したりする罪（2年以下の拘禁刑または100万円以下の罰金）は、日本国外で犯した者にも適用されます。2027年1月16日までの定めです。(第百七十六条第一項, 第百七十七条第一項, 第百四十三条第一項, 第百八十条第一項, 第百八十一条第一項, 第百八十三条第一項)（根拠条文）
• 行政機関等の職員や職員であった者、委託を受けた業務などに従事している者や従事していた者、行政機関等で個人情報の取扱いに従事している派遣労働者や従事していた派遣労働者が、正当な理由なく、個人の秘密に属する事項が記録された電子計算機処理用の個人情報ファイルを提供したときは、3年以下の拘禁刑または150万円以下の罰金に処されます。これらの者が業務で知った保有個人情報を、自分や第三者の不正な利益を図る目的や、本人その他の者に損害を加える目的で提供し、または盗用したときは、2年以下の拘禁刑または100万円以下の罰金に処されます。行政機関等の職員が職権を濫用して、職務以外の目的で個人の秘密に属する事項が記録された文書などを収集したときは、1年以下の拘禁刑または50万円以下の罰金に処されます。これらの罪と、個人情報保護委員会の委員長、委員、職員などが秘密を漏らしたり盗用したりする罪（2年以下の拘禁刑または100万円以下の罰金）は、日本国外で犯した者にも適用されます。2027年1月17日からの定めです。(第百七十六条第一項, 第百七十七条第一項, 第百四十三条第一項, 第百七十九条第一項, 第百八十二条第一項, 第百八十四条第一項)（根拠条文）
• 政令で定める日（遅くとも2028年7月16日）から、個人情報保護委員会は、個人情報取扱事業者が次の行為をして、その行為やその行為をやめることの対価として金銭などを得たときは、得た金銭などに相当する額として政令で定める方法で計算した額の課徴金を国庫に納めるよう命じなければなりません。対象は、個人情報を使って違法な行為や不当な差別的取扱いをすることが想定される状況にある第三者に個人情報を提供すること、そのような第三者の求めで個人情報を利用すること、同意のない個人データの第三者提供など法律が定める規定に違反する提供や取扱い、偽りその他不正の手段で取得した個人情報を利用することです。ただし、その行為を防止するための相当の注意を怠らなかったと認められる場合や、本人の数が1,000人以下の場合など個人の権利利益を害する程度が大きくない場合として政令で定める場合は、命じることができません。委員会は、命じる前に弁明の機会を与えなければなりません。報告徴収などが最初に行われた日からさかのぼって10年以内に課徴金納付命令（確定したものに限ります）を受けたことがあり、その命令の日以後もその行為をしていた場合は、1.5倍の額になります。事業者が自ら事実を委員会に報告したときは半額が減額されますが、調査があったため命令を予知して報告した場合は減額されません。課徴金は、その日以後に行われた行為が対象です。施行日（遅くとも2028年7月16日）からの定めです。(第百四十八条の三第一項, 第百四十八条の三第二項, 第百四十八条の五第一項, 第百四十八条の六第一項, 第百四十八条の八第一項, 附則第八条第一項)（根拠条文）
• 行政機関の長等の開示決定等、訂正決定等、利用停止決定等や、開示請求などに対する不作為に不服がある人は、別の法律である行政不服審査法に基づいて審査請求ができます。審査請求に対する裁決をする行政機関の長等は、審査請求が不適法で却下する場合や、全部を認めて開示などをする場合（第三者から反対意見書が出ている開示の場合を除きます）を除き、情報公開・個人情報保護審査会に諮問しなければなりません。会計検査院長の場合は別に法律で定める審査会に、地方公共団体の機関と地方独立行政法人の場合は行政不服審査法第81条第1項または第2項の機関に諮問します。(第百四条第一項, 第百五条第一項, 第百五条第三項, 第百六条第一項)（根拠条文）