個人情報保護法等の罰則改正 — 個人情報不正取得罪の新設、2027年1月17日施行

一次出典は日本政府の発表（日本語）です。

2026年7月17日に公布された「個人情報の保護に関する法律等の一部を改正する法律」（令和8年法律第56号）のうち、罰則関係の規定が2027年1月17日から施行されます。改正の対象は①個人情報保護法（個人情報の保護に関する法律）②マイナンバー法（行政手続における特定の個人を識別するための番号の利用等に関する法律）③次世代医療基盤法（医療分野の研究開発に資するための匿名加工医療情報及び仮名加工医療情報に関する法律）の3つの法律です。 日本で暮らし、または働くうえで確認しておきたい点は大きく三つあります。 1）個人情報を抜き取る行為そのものを対象とする処罰規定が個人情報保護法に新たに設けられます（第180条の新設）。自己若しくは第三者の不正な利益を図る目的、または本人・個人情報を保有する者その他の者に損害を加える目的で、人を欺き、人に暴行を加え、若しくは人を脅迫する行為により、または財物の窃取若しくは損壊、施設への侵入、有線電気通信の傍受、不正アクセス行為（不正アクセス行為の禁止等に関する法律第2条第4項に規定する不正アクセス行為）その他の個人情報を保有する者の管理を害する行為により個人情報を取得したときは、当該違反行為をした者を2年以下の拘禁刑または100万円以下の罰金に処します。同条第2項は、この規定が刑法（明治40年法律第45号）その他の罰則の適用を妨げないと定めています。 2）業務で個人情報を取り扱う人に適用される条項の法定刑の上限が引き上げられます。個人情報取扱事業者（法人である場合にはその役員・代表者または管理人）もしくはその従業者、またはこれらであった者が、業務に関して取り扱った個人情報データベース等を提供しまたは盗用した場合は、1年以下の拘禁刑または50万円以下の罰金から2年以下の拘禁刑または100万円以下の罰金に変わります（旧第179条→新第178条）。行政機関等の職員もしくは職員であった者、受託業務に従事している（または従事していた）者、行政機関等において個人情報・仮名加工情報・匿名加工情報の取扱いに従事している（または従事していた）派遣労働者が、正当な理由がないのに、個人の秘密に属する事項が記録された第60条第2項第1号に係る個人情報ファイル（その全部または一部を複製しまたは加工したものを含む）を提供した場合は、2年以下の拘禁刑または100万円以下の罰金から3年以下の拘禁刑または150万円以下の罰金に変わります（第176条）。行政機関等の職員等が業務上知り得た保有個人情報を提供・盗用した場合も、1年以下の拘禁刑または50万円以下の罰金から2年以下の拘禁刑または100万円以下の罰金になります（旧第180条→新第179条）。新第178条と新第179条には、従来の「自己若しくは第三者の不正な利益を図る目的」に加えて「本人その他の者に損害を加える目的」が目的要件として追加されます。第176条には目的要件がなく、改正の前後いずれも正当な理由がないのに提供した場合を対象とし、今回の改正で変わるのは法定刑のみです。退職した後も「これらであった者」として適用対象になる点は従来と同じです。 3）法人に対する罰金が別途規定されます。新第185条第1項は、法人の代表者または法人もしくは人の代理人・使用人その他の従業者が、その業務に関して違反行為をしたときは、行為者を罰するほか、その法人に対しては当該各号で定める罰金刑を、その人に対しては各本条の罰金刑を科すると定め、第1号（第178条及び第181条）は1億円以下の罰金刑、第2号（第180条及び第183条）は各本条の罰金刑です。また、新第184条は第176条から第180条まで及び第182条の罪を日本国外で犯した者にも適用されます（第180条第2項を除く）。 医療・マイナンバーの分野も同じ日に併せて施行されます。次世代医療基盤法第68条（認定匿名加工医療情報作成事業者・認定仮名加工医療情報作成事業者・認定医療情報等取扱受託事業者の役員もしくは従業者、またはこれらであった者が、正当な理由がないのに医療情報データベース等を提供した場合）は、2年以下の拘禁刑または100万円以下の罰金から3年以下の拘禁刑または150万円以下の罰金に、第69条第1項から第4項まで（匿名加工医療情報等・仮名加工医療情報等・提供仮名加工医療情報・医療情報等の不正提供・盗用）は1年以下の拘禁刑から2年以下の拘禁刑に変わり、罰金は100万円以下が維持され、これらの条項はいずれも併科が可能です。第69条にも「本人その他の者に損害を加える目的」が追加されます。マイナンバー法は第49条（個人番号の不正提供・盗用）に同じ目的要件が追加され、法定刑は3年以下の拘禁刑または150万円以下の罰金（併科可能）が維持され、第51条第1項（個人番号の不正取得）の手段に「財物の損壊」と「有線電気通信の傍受」が明示的に追加されます。 手続面の変更としては、個人情報保護委員会の公示送達の方法が変わります（第163条第2項・第3項）。送達すべき書類をいつでも交付する旨を委員会の掲示場に掲示する方式だけでなく、個人情報保護委員会規則で定める方法により不特定多数の者が閲覧することができる状態に置き、併せてその旨が記載された書面を掲示場に掲示し、または委員会の事務所に設置した電子計算機の映像面に表示したものを閲覧することができる状態に置く措置により行います。効力は、その措置を開始した日から2週間を経過することにより生じます（国外においてすべき送達についての公示送達は6週間）。 注意すべき点は、2027年1月17日が改正法全体の施行日ではないということです。改正法附則第1条本文は「公布の日から起算して2年を超えない範囲内において政令で定める日」を原則的な施行日とし、同条ただし書第3号に掲げられた規定（上記の罰則条項等）のみを「公布の日から起算して6か月を経過した日」に施行します。政令が定められる前であるため、本体改正の施行日は確定していません。罰則に関する経過措置を含め、施行に必要な経過措置は政令で定めることとされています（附則第13条、この条項は公布の日から施行）。

2026年7月17日に公布された「個人情報の保護に関する法律等の一部を改正する法律」（令和8年法律第56号）のうち、罰則関係の規定が2027年1月17日から施行されます。個人情報保護法に個人情報不正取得罪（2年以下の拘禁刑または100万円以下の罰金）が新設され、個人情報データベース等の不正提供・盗用罪などの法定刑の上限が引き上げられ、マイナンバー法・次世代医療基盤法の罰則条項も同じ日に併せて改正されます。

以下の要約は政府発表・一次出典に基づく事実整理であり、政策への評価や意見ではありません。

国レベルの制度に基づく整理です。市区町村により制度・運用が異なる場合がありますので、申請前に公式窓口でご確認ください。