2026.07.14

改正個人情報保護法とは:AI開発の同意不要特例・課徴金導入と特別区への影響(令和8年成立)

masashi0025

はじめに
エグゼクティブサマリー
意義
歴史・経過
現状データ
政策立案の示唆
まとめ

はじめに

※本記事はAIが生成したものを加工して掲載しています。
※各施策についての理解の深度化や、政策立案のアイデア探しを目的にしています。
※生成AIの進化にあわせて作り直すため、ファクトチェックは今後行う予定です。
※掲載内容を使用する際は、各行政機関の公表資料を別途ご確認ください。

エグゼクティブサマリー

　改正個人情報保護法とは、正式には「個人情報の保護に関する法律等の一部を改正する法律」（閣法第五四号）を指し、令和8年7月10日の参議院本会議で可決され、成立した法律です。個人情報の利活用に関するルールを緩和する一方で、違反への制裁を強化する内容を柱としており、AI（人工知能）開発をはじめとするデータ利活用の環境整備と、プライバシー保護の実効性確保とを一体で図ろうとするものです。

　この改正は、令和2年改正法（令和2年法律第44号）附則第十条が定める「いわゆる3年ごと見直し」規定に基づく検討の帰結であり、「データ利活用制度の在り方に関する基本方針」（令和7年6月13日閣議決定）などの政府方針を法制化したものと位置づけられます。改正の内容は、適正なデータ利活用の推進、リスクに適切に対応した規律、不適正利用等の防止、規律遵守の実効性確保という、大きく4つの柱で構成されています。

　最も注目を集めたのは、統計情報等の作成にのみ利用される場合に限り、本人の同意なしに個人データを第三者提供でき、公開されている要配慮個人情報も取得できるとする特例です。ここでいう「統計情報等の作成」には、統計作成等であると整理できるAI開発等が含まれます。あわせて、悪質な違反行為に対する課徴金納付命令制度の創設、16歳未満の子どもの個人情報を取り扱う際の法定代理人の関与の明文化、顔特徴データ等（特定生体個人情報）に関する規律の強化などが盛り込まれました。

　特別区にとって本改正は、他人事ではありません。特別区は「地方公共団体の機関」として法律上の「行政機関等」に該当し、令和3年改正による官民一元化を経て、令和5年4月1日から個人情報保護法の適用を受けています。今回の改正でも、16歳未満の保護、連絡可能個人関連情報の規律、漏えい等発生時の本人通知の緩和、保有個人情報の統計作成に係る例外の拡大など、行政機関等についても同様の措置を講ずる旨が明示されており、区の情報管理実務に直接波及します。

　施行は、一部の規定を除き、公布の日から起算して2年を超えない範囲内で政令が定める日とされ、具体的な運用は今後の委員会規則やガイドラインに委ねられる部分が多く残されています。国会審議では賛否が分かれ、データ活用の促進を評価する立場と、要配慮個人情報を特例の対象に含めることへの懸念を示す立場とが対立しました。本稿では、改正の全体像と背景を整理したうえで、特別区の実務・住民対応にどう関わるのかを中立的な視点から論じます。

意義

事前規制から事後規制へ:同意原則の見直しと課徴金の組合せ

　今回の改正の思想を一言で表せば、「入口の規制を緩め、出口の制裁を強める」というバランスの組替えです。個人情報保護法は、個人データを本人の同意なく第三者に提供することを原則として禁じ、要配慮個人情報の取得にも本人同意を求めるなど、取得・提供の段階における事前の同意を保護の中核に据えてきました。改正は、この事前規制の一部を緩和する代わりに、違反によって得た経済的利得を剝奪する課徴金納付命令や、罰則の法定刑引上げといった事後規制を強化し、全体としての抑止力を確保しようとしています。

　この組替えには理由があります。データ処理が高度化・複雑化し、本人からその実態が見えにくくなるなかで、形式的な同意取得だけに依存する保護には限界があるとの認識が背景にあります。同意疲れと呼ばれる状況のもとで、同意の取得が本人の実質的な関与に結びつかない場面も生じています。そこで、真に個人の権利利益を害しない類型については同意を不要としつつ、悪質な違反には経済的な痛みを伴う制裁を科すことで、保護と利活用の双方の実効性を高めるという設計思想がとられました。

「統計情報等の作成」としてのAI開発を法的に位置づけた意義

　改正の象徴が、統計情報等の作成にのみ利用されることが担保されている場合に、本人同意なき個人データの第三者提供と、公開されている要配慮個人情報の取得を可能とする特例です。特定の個人との対応関係が排斥された統計情報等の作成・利用は、個人の権利利益を侵害するおそれが少ないという理解に立ち、複数の事業者が持つデータを共有し横断的に解析するニーズに応えるものです。

　ここで重要なのは、統計作成等であると整理できるAI開発等がこの特例の射程に含まれると明示された点です。生成AIをはじめとするモデルの学習では大量のデータが必要となりますが、その学習が特定個人の識別ではなく汎用的なパターンの獲得を目的とする限りにおいて、統計情報等の作成として整理し得るとの立法判断が示されました。もっとも、特例は無条件ではありません。統計情報等の作成のみを目的とする旨の書面による提供元・提供先間の合意、氏名や作成内容等の一定事項の公表、取得者・提供先による目的外利用と再提供の禁止といった担保規律が課され、具体的な対象範囲や公表事項は委員会規則等で定めることが想定されています。

官民一元法制のもとで行政機関等へ波及する意義

　本改正のもう一つの意義は、民間事業者向けの規律の見直しが、そのまま行政機関等の規律の見直しにも連動している点にあります。令和3年改正によって、国の行政機関・独立行政法人等・地方公共団体・民間事業者を一本の法律で規律する体制が整い、定義や基本概念が民間向けの規律に統一され、解釈運用と監視監督は個人情報保護委員会に一元化されました。この一元化の土台があるからこそ、今回の改正でも「行政機関等についても同様の改正を行う」との記述が随所に置かれ、民間と公的部門の規律が歩調を合わせて動くことになります。特別区の実務にとっては、民間向けの報道で語られる改正点の多くが、程度の差はあれ自らの制度にも及ぶという前提で読み解く姿勢が求められます。

歴史・経過

個人情報保護法制の沿革と3年ごと見直しの仕組み

　個人情報保護法は平成15年（2003年）に成立し、平成17年に全面施行されました。その後、技術と社会の変化に対応するため累次の改正が重ねられています。平成27年改正では、要配慮個人情報の類型化や匿名加工情報の制度化、個人情報保護委員会の設置などが行われ、令和2年改正では、仮名加工情報の創設や個人の権利の拡充が図られました。令和2年改正法の附則第十条は、施行後3年ごとに、国際的動向・情報通信技術の進展・個人情報を活用した新たな産業の創出と発展の状況等を勘案して施行状況を検討し、必要な措置を講ずるものと定めています。この「いわゆる3年ごと見直し」が、制度を不断に更新する仕組みとして機能してきました。

令和3年改正による官民一元化と地方公共団体への適用(令和5年4月)

　特別区にとって決定的に重要な転機が、令和3年改正でした。この改正により、それまで国の行政機関・独立行政法人等・民間事業者ごとに分かれていた個人情報保護法制が一本に統合され、さらに地方公共団体ごとに条例で定められていた保護制度も、統合後の法に基づく全国共通ルールへと再編されました。地方関係の規定は令和5年（2023年）4月1日に施行され、この日から特別区を含む地方公共団体は、行政機関等に対する規律の適用を受け、その解釈運用と監視監督を個人情報保護委員会が一元的に担う体制へと移行しています。いわゆる「2000個問題」と呼ばれた規律の分立が解消され、全国的に共通の物差しでデータを取り扱う基盤が整いました。今回の令和8年改正は、この一元化された法制のうえに積み上げられる最初の本格的な見直しにあたります。

令和8年改正の立法過程:検討会から成立まで

　今回の改正に至る検討は、令和5年秋の施行状況の公表と、同年11月の3年ごと見直し規定に基づく検討の公表から本格化しました。令和6年6月には検討の中間整理が公表され、意見募集が実施されています。政府全体では、令和6年12月にデジタル行財政改革会議のもとにデータ利活用制度・システム検討会が置かれ、令和7年6月13日には「経済財政運営と改革の基本方針2025」「デジタル社会の実現に向けた重点計画」「データ利活用制度の在り方に関する基本方針」などが閣議決定され、個人情報保護法改正案について早期に結論を得て提出することが政府方針として掲げられました。令和7年12月23日に閣議決定された人工知能基本計画でも、統計作成等と整理できるAI開発等の円滑化に資する本人同意の在り方の検討と、改正案の早期提出が明記されています。

　こうした準備を経て、令和8年1月9日に「いわゆる3年ごと見直しの制度改正方針」が公表され、同年4月7日に「個人情報の保護に関する法律等の一部を改正する法律案」が閣議決定・国会提出されました。衆議院では地域活性化・こども政策・デジタル社会形成に関する特別委員会に付託されて4月21日に審議入りし、5月21日に委員会で可決、5月26日の本会議で可決されました。参議院では、デジタル社会の形成及び人工知能の活用等に関する特別委員会に6月12日に付託され、7月8日に可決、7月10日の本会議で可決され、成立に至りました。いずれの本会議も賛成多数での可決であり、全会一致ではなかった点は、後述する論点の存在を示しています。

現状データ

改正4本柱の全体像と主な条項

　改正内容は、大きく4つの柱に整理できます。第一の柱である適正なデータ利活用の推進では、統計情報等の作成にのみ利用される場合の同意不要特例（第30条の2、第31条の3）に加え、取得の状況からみて本人の意思に反しないことが明らかな取扱いについての同意不要化、生命・身体・財産の保護や公衆衛生の向上等のために取り扱う場合の同意取得困難性要件の緩和、学術研究例外の対象に病院等の医療の提供を目的とする機関が含まれることの明示が盛り込まれました。第二の柱であるリスクに適切に対応した規律では、16歳未満の子どもに関する規律、顔特徴データ等（特定生体個人情報）に関する規律、委託先事業者に対する規律の見直し、漏えい等発生時の本人通知義務の緩和が定められています。

　第三の柱である不適正利用等の防止では、特定の個人に対する連絡に利用できる記述等を含む連絡可能個人関連情報について、不適正利用と不正取得を禁止する規律（第31条の2）や、オプトアウト制度に基づく第三者提供の際に提供先の身元と利用目的の確認を義務づける措置（第27条第7項）が導入されました。第四の柱である規律遵守の実効性確保では、命令の要件の見直し（第148条）、罰則の法定刑の引上げ、そして課徴金納付命令制度（第148条の3から第148条の17まで）が創設されています。あわせて、マイナンバー法や次世代医療基盤法（匿名加工医療情報及び仮名加工医療情報に関する法律）についても、16歳未満の者の個人情報等の取扱いに関する所要の改正が行われます。

課徴金・罰則の水準と対象範囲(1,000人を基準とする大規模事案)

　新設される課徴金納付命令は、経済的誘因のある大量の個人情報の取扱いによる悪質な違反を実効的に抑止することを目的としています。現行法では、事業者が勧告・命令を受けた後に違反行為を中止すれば、違反から得た経済的利得をそのまま保持できてしまうため、抑止として限定的であるとの指摘がありました。課徴金は、違反行為によって得られた財産的利益等に相当する額の金銭の納付を命じる仕組みで、この経済的誘因を小さくすることを狙います。対象となる違反類型は、不適正な利用の禁止（第19条）違反、適正な取得（第20条第1項）違反、第三者提供の制限（第27条第1項）違反、統計特例違反に絞り込まれ、さらに個人の権利利益が侵害され又は侵害される具体的なおそれが生じた場合であって、対象行為に係る本人の数について1,000人を基準とする大規模事案に限定されます。

　罰則については、法定刑の引上げが行われます。個人情報データベース等の不正提供等罪や保有個人情報の不正提供等罪について、「不正な利益を図る目的」に加えて「損害を加える目的」での提供行為が処罰対象に追加され、詐欺行為や不正アクセス等により個人情報を不正取得する行為に対する罰則も新設されます。法定刑の水準は、行政機関等の職員等による不正提供に関する規定で拘禁刑が2年以下から3年以下へ、事業者による不正提供や保有個人情報の不正提供に関する規定で1年以下から2年以下へと引き上げられるなど、他の罰則との均衡を踏まえた見直しが図られています。

子どもの個人情報:年齢基準16歳未満の考え方

　子どもの個人情報の保護は、今回の改正で新たに法律上の規律として明確化された領域です。従来は、ガイドラインやQ&Aにおいて、一般的に12歳から15歳までの年齢以下の子どもの場合には法定代理人等から同意を得る必要があるとされてきましたが、法律本体には明文の規定がありませんでした。改正では、本人が16歳未満である場合に、同意取得や通知等について当該本人の法定代理人を対象とすることを明文化し（第35条第9項・第10項ほか）、保有個人データの利用停止等請求の要件を緩和するとともに、未成年者の個人情報等の取扱いにあたって本人の最善の利益を優先して考慮すべき旨の責務規定を設けます（第40条の2、第58条の3）。

　年齢基準を16歳未満とした背景には、Q&Aで示されてきた運用や、欧州の一般データ保護規則（GDPR）第8条が親の同意を要する年齢の原則を16歳と定めていることとの整合があるとされています。子どもは心身が発達段階にあり判断能力が十分でないため、個人情報の不適切な取扱いに伴う悪影響を受けやすいという理解が、この規律の根底にあります。そして、この法定代理人の関与や責務規定は、行政機関等についても同様の改正が行われるため、区の子ども関連事務にも及びます。

政策立案の示唆

この取組を行政が行う理由

データ利活用とプライバシー保護の均衡という統治課題

同意万能主義の限界と信頼の醸成

　行政がこの改正に踏み出す根本的な理由は、データ利活用と個人の権利利益保護の均衡点を、技術と社会の現実に合わせて引き直す必要が生じたことにあります。デジタル化の進展により、個人情報を含むデータを解析して価値を生み出す活動が経済・行政の両面で拡大する一方、違法な取扱いによって権利利益が侵害されるリスクも高まっています。形式的な同意の取得だけに保護を委ねる仕組みは、処理の実態が本人に見えにくくなるなかで実効性を失いつつあり、個人が安心してデータを提供できる制度と、その運用に対する信頼の醸成が、政策の中心的な課題として浮上しました。

AI国際競争とデータ連携基盤の整備

　もう一つの理由は、AIをめぐる国際競争への対応です。AIの能力向上には大量かつ多様なデータの学習が不可欠であり、本人同意の取得が事実上困難な場面で学習データの確保が滞れば、国内の開発が国際的に後れをとりかねません。統計情報等の作成として整理できるAI開発等について同意を不要とする特例は、この隘路を制度的に解消しようとするものです。人工知能基本計画などの政府方針が、データとAIの好循環の確立を掲げ、そのための法整備を求めてきたことが、改正の直接の推進力となりました。

事後救済の実効性という制度的要請

　行政が課徴金や罰則の強化に踏み込む理由は、事後的な救済と抑止の実効性を確保するためです。個人による民事上の請求には時間や費用の面で限界があり、事後的な被害回復は容易ではありません。命令を受けてから違反を中止すれば利得を保持できるという構造を放置すれば、悪質な事業者ほど得をするという逆説が生じます。経済的利得を剝奪する課徴金と、目的の明確化を伴う罰則の引上げは、この制度的なひずみを是正し、規律遵守を促すための手段として選択されました。

行政側の意図

　改正に込められた行政側の意図は、保護と利活用を対立ではなく両立の関係として設計し直すことにあります。統計情報等の作成という、個人の識別を目的としない類型に限って同意を不要とし、その代わりに公表義務や目的外利用の禁止といった担保規律を課すという構成は、一律の緩和ではなく、対象を絞った条件付きの緩和です。同時に、顔特徴データ等の規律強化や連絡可能個人関連情報の不適正利用の禁止のように、新しい技術がもたらすリスクには保護を厚くする方向の措置も併せて講じられています。緩めるところと締めるところを同じ改正のなかに配置することで、全体としてバランスのとれた制度を志向している点に、立法者の意図が表れています。

期待される効果

　期待される効果は、大きく三つの方向で整理できます。第一に、複数の主体が持つデータを統計情報等の作成のために共有・解析しやすくなることで、AI開発や研究、政策形成に資するデータ基盤の充実が見込まれます。第二に、課徴金と罰則の強化によって、悪質な名簿売買やデータの不正提供といった行為への抑止力が高まり、いわゆる闇名簿の流通など、犯罪の温床となってきた行為に歯止めがかかることが期待されます。第三に、子どもの個人情報や顔特徴データ等という、これまで法律上の手当てが薄かった領域に明確な規律が及ぶことで、社会的に脆弱な立場に置かれやすい人々の権利利益の保護が前進すると考えられます。もっとも、これらの効果はいずれも、今後定められる委員会規則やガイドラインの内容と、その運用の的確さに左右される点に留意が必要です。

課題・次のステップ

要配慮個人情報を特例の対象に含めることへの懸念

　国会審議で最も鋭く問われたのは、同意不要の特例の対象に、犯罪歴・人種・病歴といった要配慮個人情報が含まれ得る点でした。これらは差別や偏見につながりやすい機微性の高い情報であり、本人の同意なしに取得・提供の対象となることへの警戒は根強く、一部の会派や委員からは要配慮個人情報を特例から除外するよう求める意見が示されたと報じられています。賛成の立場は、対象が統計情報等の作成に限定され、公表義務や目的外利用の禁止といった担保規律が課されることから、個人の権利利益を害するおそれは小さいと説明します。反対の立場は、担保規律の具体像が委員会規則に委ねられており、運用次第で保護が形骸化しかねないとの懸念を払拭しきれていないと主張します。本改正は賛成多数で成立しましたが、この論点は施行後の運用を注視すべき争点として残されています。

規則・ガイドライン待ちの不確実性

　もう一つの課題は、制度の具体像の多くが今後の委員会規則やガイドラインに委ねられていることです。統計情報等の作成の特例における対象範囲や公表事項、同意取得困難性要件の緩和が適用される具体的な場面、顔特徴データ等の周知の方法、漏えい等発生時の本人通知を緩和できる場面などは、いずれも下位の規範で明確化されることが想定されています。事業者にとっても行政機関等にとっても、法律の条文だけでは実務対応の全体像が固まらず、施行までの間に示される規則・ガイドラインを丁寧に追う作業が欠かせません。施行は公布の日から起算して2年を超えない範囲内とされており、この準備期間をどう使うかが、円滑な移行の鍵を握ります。

特別区への示唆

行政機関等として直接影響を受ける改正項目

保有個人情報の統計作成に係る例外拡大とEBPM

　特別区が最初に押さえるべきは、行政機関等が保有する個人情報についても、利用目的以外の目的のための提供に係る「統計の作成」の例外規定の対象が、「統計情報等の作成」へと拡大される点です。これは、区が保有するデータを統計情報等の作成の目的で活用しやすくする方向の改正であり、証拠に基づく政策立案（EBPM）やデータに基づく行政運営を後押しし得るものです。区の各部門が保有する住民に関するデータを、個人を識別しない形で分析し、施策の効果検証や需要予測に用いる余地が広がる可能性があります。ただし、この活用にも、統計情報等の作成にのみ利用することの担保や、目的外利用の禁止といった規律が伴うことが想定されるため、庁内でデータを取り扱う際のルール整備と、担当部門・情報政策部門・法務部門の連携が前提となります。

16歳未満の法定代理人関与・最善の利益責務とこども関連事務

　16歳未満の子どもに関する規律の明文化と、本人の最善の利益を優先して考慮する責務規定は、行政機関等についても同様に整備されます。特別区は、就学・保育・児童福祉・母子保健・教育など、子どもの個人情報を大量に取り扱う事務を数多く担っており、この改正の実務的な影響は小さくありません。同意取得や通知の場面で法定代理人の関与をどう確保するか、利用停止等請求への対応をどう組み立てるか、子どもの最善の利益という理念を具体の事務運用にどう落とし込むかが、各部門の課題となります。学校・保育所・子ども家庭センターといった現場を抱える区の特性を踏まえ、実務に即した運用の手引きの整備が求められると考えられます。

連絡可能個人関連情報の不適正利用・不正取得の禁止

　特定の個人への連絡に利用できる記述等を含む連絡可能個人関連情報について、不適正利用と不正取得を禁止する規律も、行政機関等について同様の改正が行われます。住所・電話番号・メールアドレスといった、単体では個人情報に該当しない場合でも連絡の手がかりとなる情報を、区がどのような場面でどう扱っているかを点検し、不適正な利用や不正な取得につながる運用がないかを確認する契機となります。委託先を含めた情報の流れの可視化と、取扱いの適正性の検証が、実務上の論点となります。

違法な第三者提供の報告対象化・本人通知の緩和

　漏えい等発生時の対応に関する改正も、行政機関等に及びます。違法な個人データの第三者提供が新たに報告対象事態に加えられる一方、本人への通知が行われなくても権利利益の保護に欠けるおそれが少ない場合には、本人通知義務が緩和され、代替措置による対応が認められる方向で見直されます。区にとっては、インシデント発生時の報告・通知の判断基準を、改正後のルールに合わせて更新する必要が生じます。どの事態が報告対象となり、どの場合に本人通知を要するのかを、規則・ガイドラインの内容を踏まえて整理し、事故対応のマニュアルや研修に反映させておくことが望まれます。

自治体AI・データ連携基盤の活用と担保規律

　多くの特別区が、業務効率化や住民サービス向上のために生成AIの庁内利用やデータ連携基盤の整備を進めています。統計情報等の作成として整理できるAI開発等を同意不要の特例の対象とする改正は、こうした取組の法的な位置づけを考えるうえでの参照点となります。ただし、区がAIやデータ分析を活用する際には、その取扱いが統計情報等の作成に該当するのか、利用目的の範囲内か、担保規律を満たしているのかを、個別に慎重に判断する必要があります。特例があるからといって、あらゆるデータ活用が同意なしに許容されるわけではありません。委員会規則やガイドラインで示される要件を確認しながら、適法性を担保する仕組みを庁内に組み込むことが、活用の前提となります。

住民対応・広報:「自分の情報はAIに使われるのか」への説明

　報道を通じて、本人の同意なく病歴などの機微な情報がAI開発に使われ得るという論点が広く伝わったことで、区民から「自分の情報が同意なしにAIに使われるのか」という不安や問合せが寄せられる可能性があります。区の窓口や広報が正確に応答できるよう、事実関係を整理しておくことが重要です。今回の特例は主として統計情報等の作成という限定された目的に係るものであり、担保規律が課されること、そして区が保有する住民の情報の取扱いは、法令に基づき利用目的の範囲内で行うことが基本である点を、平易な言葉で説明できるようにしておく必要があります。過度に不安を煽らず、かといって懸念を軽視もせず、制度の内容を正確に伝える姿勢が、住民の信頼の維持につながります。

区ごとの体制差に応じた準備の進め方

施行までの準備期間の使い方

　特別区は、人口規模や保有するデータの種類、情報システムの整備状況、情報政策・法務の体制において差があります。施行が公布の日から2年を超えない範囲内とされる準備期間を、この体制差を踏まえてどう使うかが問われます。まずは今回の改正で行政機関等に及ぶ項目を洗い出し、区の既存の個人情報保護に関する運用や規程、事務マニュアルとの差分を把握することが出発点となります。そのうえで、委員会規則やガイドラインの公表を追いながら、必要な運用変更・研修・システム対応の計画を立てていく段取りが現実的です。

改正法はいつから施行され、区は何を確認すべきか

　改正個人情報保護法は令和8年7月10日に成立し、公布の日から起算して2年を超えない範囲内で政令が定める日から施行されます。したがって施行の具体的な日付は今後の政令で定まりますが、区としては施行を待たずに準備を始めることが望まれます。当面確認すべきは、行政機関等に同様の改正が及ぶ項目、すなわち16歳未満の法定代理人関与と最善の利益責務、連絡可能個人関連情報の規律、違法な第三者提供の報告対象化と本人通知の緩和、保有個人情報の統計作成に係る例外の拡大です。これらについて、所管部門と情報政策・法務部門が連携し、現行運用との差分と対応の要否を早期に整理しておくことが、円滑な施行対応の第一歩となります。

まとめ

　令和8年7月10日に成立した改正個人情報保護法は、「入口を緩め、出口を締める」という発想のもとで、データ利活用の促進と個人の権利利益保護の実効性確保とを一体で図る改正です。統計情報等の作成として整理できるAI開発等について本人同意を不要とする特例が象徴的に取り上げられましたが、その本質は、対象を絞った条件付きの緩和と、課徴金・罰則の強化による事後規制とを組み合わせ、全体としてバランスのとれた制度を目指した点にあります。要配慮個人情報を特例の対象に含めることへの懸念は国会審議でも解消されず、賛否が分かれたまま成立に至っており、制度の実効性と保護の十分性は、今後定められる委員会規則やガイドラインの内容と運用にかかっています。

　特別区にとって本改正は、民間向けの話題としてではなく、行政機関等としての自らの実務に及ぶ課題として受け止める必要があります。令和3年改正による官民一元化と令和5年4月の法適用を経て、区は個人情報保護委員会の一元的な監視監督のもとで全国共通のルールに服しています。今回の改正でも、16歳未満の保護、連絡可能個人関連情報の規律、漏えい等発生時の対応、保有個人情報の統計作成に係る例外の拡大など、行政機関等に及ぶ項目が数多く含まれます。施行までの準備期間を活かし、改正項目と現行運用との差分を早期に把握し、規則・ガイドラインの動向を追いながら、実務・研修・システムの対応を計画的に進めることが、区民の信頼を守りつつデータの適正な活用を前に進めるための現実的な道筋となります。効果も懸念も運用次第であるという不確実性を直視したうえで、制度の趣旨を正確に理解し、着実に備えていく姿勢が求められます。