個人情報漏えいで最大1億円？2026年改正の罰則と課徴金を整理

• 個人情報を漏えいしたら、会社に1億円の罰金が科されるらしい

• 小さな会社でも一度事故を起こせば、経営が続けられなくなるかもしれない

• セキュリティ対策をしても漏えいを完全には防げないのだから、結局は運に任せるしかない

「情報漏えいで最大1億円」といった見出しを見て、このような不安を感じた方もいるのではないでしょうか。

個人情報を預かる以上、漏えいを軽く考えることはできません。
しかし、情報漏えいが起きただけで、すべての会社に自動的に1億円の罰金が科されるわけではありません。

大きな数字だけで判断せず、何に対する罰則なのかを分けて考えることが大切です。

「1億円以下」は、単なる漏えいに一律適用される金額ではない

法人に対する「1億円以下の罰金」は、2026年の改正で突然登場したものではありません。

個人情報保護委員会によると、2020年の法改正によって、委員会の命令に違反した場合や、従業者などが業務で扱った個人情報データベース等を不正な利益を得る目的で提供・盗用した場合などについて、法人に対する罰金の上限が1億円へ引き上げられています。

つまり、顧客宛てのメールを誤送信した、USBメモリーを紛失した、不正アクセスを受けたという事実だけで、直ちに1億円の罰金が決まる制度ではありません。

どのような行為があったのか、会社がどのように管理していたのか、事故発覚後に適切な対応をしたのかなど、事情を分けて考える必要があります。

参考：令和2年改正個人情報保護法の法定刑引上げについて｜個人情報保護委員会

2026年改正では何が変わるのか

2026年7月17日、改正個人情報保護法が公布されました。改正法は一部を除き、公布から2年以内に政令で定める日から施行されます。

今回の改正では、個人情報データベース等の不正提供に関する処罰対象の拡大や、詐欺、不正アクセスなどによって個人情報を不正取得する行為への罰則が設けられました。

さらに注目されるのが、課徴金制度の導入です。

課徴金は刑事罰としての罰金とは異なり、違反によって得た経済的な利益を保持させないための行政上の措置です。

ただし、これも通常の漏えい事故すべてを対象にする制度ではありません。個人情報保護委員会の資料では、経済的な誘因があり、重大な違反によって本人の権利利益が侵害された場合などを対象とし、大規模事案については本人の数「1,000人」を基準とすることが示されています。

参考：個人情報保護法等の一部を改正する法律について｜個人情報保護委員会

罰金・課徴金・損害賠償は別のもの

情報漏えいに伴う金銭的な負担は、ひとまとめにせず、次のように分けると理解しやすくなります。

罰金

犯罪に対して科される刑事罰です。個人情報保護法で定められた特定の違反行為が対象になります。

課徴金

違反によって得た経済的利益を残さず、同様の行為を抑止するための行政上の措置です。2026年改正で導入されます。

損害賠償

情報漏えいによって損害を受けた人などから、民事上の責任を問われるものです。法律に「漏えい1件につき一律いくら」と決められているわけではありません。

このほかにも、原因調査、システムの復旧、利用者への連絡、問い合わせ対応、信用低下などによる費用や影響が生じる可能性があります。

中小企業にとって現実的に備えるべきなのは、「1億円」という上限額だけではなく、事故が起きた直後に業務と信用を守れるかどうかです。

今から確認したい3つのこと

法改正への準備として、最初から大がかりな規程やシステムを導入する必要はありません。まずは次の3点を確認します。

1．どこに個人情報があるか

顧客名簿、従業員情報、問い合わせ履歴、メール、クラウドサービス、紙の申込書などを書き出します。

個人情報がどこにあるか分からなければ、守る対象も、事故時の影響範囲も判断できません。

2．誰がアクセスできるか

退職者のアカウントが残っていないか、共有IDを複数人で使っていないか、業務に必要のない人まで閲覧できないかを確認します。

アクセスできる範囲を必要最小限にすることで、誤操作や不正な持ち出しの可能性を小さくできます。

3．漏えいが疑われたときの連絡先を決める

個人情報保護委員会への報告が必要な事案では、発覚後おおむね3～5日以内の速報が案内されています。

ただし、すべての紛失や誤送信が同じ報告対象になるわけではありません。重要なのは、社員が異変を見つけたときに、誰へ報告し、誰が事実確認と判断を行うのかを決めておくことです。

参考：漏えい等の対応とお役立ち資料｜個人情報保護委員会

大きな数字より、自社の管理状況を確認する

「最大1億円」という数字を見て、不安になること自体は自然です。

しかし、その不安を「何をしても防げない」という諦めにつなげる必要はありません。

まず確認すべきなのは、罰金の上限ではなく、

自社がどの個人情報を持ち、誰が扱い、問題が起きたときにどう動くのかです。

法改正の細かなルールは、今後公表される政令、規則、ガイドラインによって具体化されます。現時点では個人情報の保管場所、権限、委託先、事故時の連絡経路を整理し、追加情報に対応できる土台をつくることが現実的です。

※本記事は、公開されている資料に基づく一般的な情報提供を目的としています。個別の事案に関する法的判断は、弁護士などの専門家へご確認ください。

💬 ご相談はこちら

ITワークラボでは、IT担当者がいない中小企業向けに

• 個人情報の取り扱い範囲と管理方法の整理

• 2026年改正を踏まえた社内ルール・罰則リスクの確認

• 課徴金や損害賠償リスクを踏まえた情報管理体制の見直し

• AIや外部サービス利用時のデータ保護・委託先管理の整理

などをサポートしています。

「どこまでが個人情報にあたるのか分からない」
「改正後の罰則や課徴金が自社にどう影響するのか不安」
といった段階でも、お気軽にご相談ください。
現時点で具体的な対策が決まっていなくても問題ありません。
初回相談は無料です。

noteをご利用の方は、noteのメッセージからでもご相談いただけます。