改正個人情報保護法が成立｜不動産会社の実務はどう変わる？課徴金・AI利用・顔認証

個人情報保護法の大幅な改正が、2026年7月10日の参議院本会議で可決され成立しました。顧客名簿・入居申込書・防犯カメラ・AIツールと、個人情報だらけの不動産業にとって無関係ではいられない改正です。

改正の柱は「課徴金制度の新設」「統計・AI開発目的の同意緩和」「顔認証データの新規律」「16歳未満の保護強化」の4つ。施行は公布（2026年7月17日）から2年以内に政令で定める日（遅くとも2028年7月頃まで）ですが、罰則の強化だけは公布から6か月後の2027年1月に先行して始まります。

この記事では、法律の解説を並べるのではなく、不動産会社のどの業務に何が効くのかに絞って整理します。中小の不動産会社が直ちに恐れるべきは課徴金ではなく、先行施行される罰則強化と、日常の名簿・データ管理の見直しです。

改正個人情報保護法とは——2026年に成立、いつから始まる？

今回の改正（個人情報の保護に関する法律等の一部を改正する法律）は、2026年4月7日に閣議決定され、衆議院・参議院での審議を経て2026年7月10日に成立しました。個人情報保護委員会の資料（2026年4月）に基づき、不動産実務に関わる主な変更点を整理すると次のとおりです。

「いつから」への答えは、2026年7月17日の公布で起点が確定しました。本体の施行は公布の日から2年以内に政令で定める日（遅くとも2028年7月頃まで）とされており、それまでに政令・委員会規則・ガイドラインが順次示されます。ここで見落としやすいのが施行の順番です。

新しい制度が始まるのは最長で2028年7月頃ですが、罰則の強化だけは公布から6か月後の2027年1月に先に始まります。「先に罰則、あとで新制度」の順番です。

データベース不正提供罪の法定刑は拘禁刑1年以下・罰金50万円以下から拘禁刑2年以下・罰金100万円以下に引き上げられ（個人情報保護委員会の改正法資料、2026年）、詐欺や不正アクセスによる個人情報の不正取得への直罰も新設されます。従業員による顧客名簿の持ち出しは不動産業界でも起こり得る事故であり、この部分は「2年後の話」ではありません。

課徴金の新設——「漏えいしたら課徴金」ではない

今回の改正で最も報道された課徴金制度は、誤解も生みやすい項目です。個人情報保護委員会の資料によると、課徴金の対象は不適正利用・不正取得・違法な第三者提供・統計特例違反の4類型に限定され、さらに「事業者が防止のための相当の注意を怠っていない場合は対象外」「対象となる本人の数が1,000人を超える大規模事案」という絞り込みがかかります。金額も売上に比例する方式ではなく、違反によって得た財産上の利益に相当する額を徴収する仕組みです。

つまり、うっかりミスの漏えい事故は課徴金の対象行為ではなく、念頭に置かれているのは名簿の違法販売のような「儲けを目的とした悪質・大規模な行為」です。

中小の不動産会社が通常業務で課徴金を科される構造にはなっていません。ただし安心してよいという意味ではなく、勧告・命令、漏えい時の報告義務、そして先行施行される罰則強化は会社の規模を問わず適用されます。課徴金の見出しに驚くより、この「規模を問わず適用される部分」の点検が実務の本題です。

AI・統計利用は緩和——ただし入居審査の話ではない

規制強化一色に見える改正ですが、AI活用の観点では緩和も含まれています。統計情報等の作成のみに利用されることが担保される場合、本人の同意なしに個人データを第三者提供したり、公開されている要配慮個人情報を取得したりできるようになります。個人情報保護委員会の資料では、統計作成に資するAI開発もこの「統計情報等の作成」に含まれると整理されており、市場分析やAIモデル開発のためのデータ活用は進めやすくなります。担保措置として、一定事項の公表や提供元・提供先間の書面合意が求められ、目的を外れた利用は課徴金の対象になります。

ここで勘違いしやすい点を1つ。

緩和されるのはあくまで統計・AI開発という「個人を特定した判断をしない」用途であって、入居審査や顧客対応のために病歴・犯罪歴などの要配慮個人情報を同意なく集めてよくなるわけではありません。

個別のお客様に対する審査・スコアリングは、従来どおり本人同意と利用目的の枠内で行う必要があります。AIによる顧客分析を導入している会社は、「統計として使う部分」と「個別判断に使う部分」を分けて設計しておくと、この改正を追い風にできます。

顔認証カメラは「防犯設備」から「規律対象」へ

マンションの共用部やスマートロック、店舗の防犯で顔認証を使う場面は増えています。改正法は顔特徴データ等を「特定生体個人情報」という新しい概念で捉え、①事業者名・取り扱っている旨・利用目的・利用停止請求の手続きなどの周知義務、②オプトアウト方式での第三者提供の禁止、③違法行為の有無を問わない利用停止等請求、を新設します。どこまでのデータが対象になるかは今後の政令で確定します。

注意したいのは対象の切り分けです。単なる録画映像や顔写真そのものが一律に規制されるのではなく、対象は顔認証に使う特徴データ等に絞られています。また、個人情報保護委員会は2023年3月の顔識別カメラに関する文書で、利用目的の掲示・運用基準・保存期間の設定などを既に求めており、改正はその運用を法律上の義務として格上げする流れです。顔認証付き設備を導入済みの管理会社は、掲示と運用ルールの整備状況を施行前に一度点検しておくのが確実です。

16歳未満の個人情報はどう変わる？——ファミリー・学生向け物件に効く

改正法は16歳未満の子どもの個人情報について、目的外利用・要配慮個人情報の取得・第三者提供の同意に法定代理人の関与を義務付け、事業者に「本人の最善の利益を優先して考慮する」責務を課します。この規律は、学生向け物件で契約者が未成年のときだけの話ではありません。ファミリー向け賃貸の申込書にある同居家族欄にお子さんの氏名・年齢を書いてもらった瞬間から、子どもの個人情報の取得は始まっています。入居者名簿や見守りサービス連携まで含めると対象は意外に広く、施行までに「誰の同意をどう取るか」を申込フローに織り込んでおく必要があります。

漏えい報告はどう変わる？——緩和と拡大の両方向

漏えい等の報告・本人通知は、実務負荷を下げる方向と対象を広げる方向の両方が入りました。緩和側では、書類の誤交付・誤送付で影響が本人1名にとどまる場合に一定期間ごとの取りまとめ報告が認められ、体制について第三者の確認を受けることを前提に速報の免除も可能になります。拡大側では、違法な第三者提供が新たに報告対象の事態に加わります。注意したいのは、緩和は「報告しなくてよい」ではなく「報告の形が変わる」だという点です。誤送付を取りまとめて報告するには、そもそも誤送付に気づいて記録する仕組みが社内にあることが前提になります。契約書や重要事項説明書の誤送付は不動産実務で起こりやすいミスなので、記録の習慣づけとあわせて管理部門で押さえておきたい変更点です。

不動産会社が施行までに準備する4つのこと

1. 顧客名簿・入居者データの棚卸し——どこから取得し、何に使い、誰に渡しているかを一覧化する
2. クラウドAI利用ルールの整備——顧客情報の入力条件と学習利用の設定確認を社内ルール化する
3. 顔認証・防犯カメラの運用点検——掲示・利用目的・保存期間・問い合わせ窓口を確認する
4. 申込書・委託契約の見直し——子どもの情報の同意取得と、委託先・提供先の整理を進める

2番目のクラウドAIについては、改正を待つまでもなく現行ルールで既に注意点が示されています。個人情報保護委員会は2023年6月の生成AIサービスに関する注意喚起で、要配慮個人情報を本人の同意なくプロンプトに入力しないこと、入力した個人データが応答以外の目的（機械学習など）に使われる場合は利用目的の範囲を超えるおそれがあることを挙げています。入力データが学習に使われるかどうかはサービスのプランや設定によって異なるため、業務利用の前に公式ドキュメントで確認する運用は、改正後も変わらない土台です。

施行が2年先でも準備を今から始める理由は単純で、法律が変わると「同じミスのコスト」が変わるからです。

これまで行政指導で済んでいた行為に罰則強化・課徴金・報告義務という値札が付き直されます。名簿管理・AI利用ルール・カメラ運用の3点は、施行日が決まってから慌てて作るものではなく、日常業務の習慣として先に切り替えておくほうが安く済みます。

関連記事

• AIツールに顧客の個人情報を入力してもいい？不動産会社が守るべきルール記事を読む›
• 不動産会社のAIセキュリティ対策｜情報漏えいを防ぐ設定と運用記事を読む›
• 不動産会社の生成AI利用ガイドラインの作り方記事を読む›
• 入居審査AIの仕組みと滞納予測スコアの落とし穴記事を読む›
• ChatGPTで見込み客スコアリングを内製する方法記事を読む›

よくある質問