日本の個人情報保護法(APPI)とGDPRの違いを徹底比較(2026年)

日本の個人情報保護法(APPI)とEUのGDPRは、いずれも個人データを規制する法律だが、コンプライアンス上の核心的な課題への向き合い方はまったく異なる。最も分かりやすい例が第三者提供だ。APPIは、規制当局への届出を行えば、事業者が本人の同意を得ずにオプトアウト方式で個人データを第三者に提供できる仕組みを認めているが、GDPRにはこれに相当する制度が一切存在しない。

両制度とも本人に自らの個人情報に関する権利を認め、国レベルの単一の規制当局によって執行される点は共通しているが、その類似性は主に制度の外形にとどまる。オプトアウトによる第三者提供の仕組み、非識別化データに関する法定の二層構造、EU・英国由来の個人データに適用される出所依存型のルールは、いずれもGDPRに直接対応する規定がない。APPIをGDPR対応の延長線上で単純に読み替えられると考える組織は、実務上の重要なギャップを見落とすことになる。

本記事の内容は2026-07-23時点で最終確認済み。本記事はまだ弁護士による法的レビューを受けていません。

対象法域について: 本記事では、個人情報保護委員会(PPC)が所管する日本の個人情報保護法(APPI)と、EUの一般データ保護規則(GDPR)を比較する。対象とするのは、現行の施行済みAPPIに加え、2026年7月10日に成立し同年7月17日に公布された改正法だが、この改正法については本記事全体を通じて「まだ施行されていない」ことを明示している。日本の個人情報保護法制の沿革と現在の状況の全体像については、日本の個人情報保護法ガイドを参照。GDPRそのものの詳しい解説は、GDPRとはを参照。

日本の個人情報保護法(APPI)とGDPRの比較:概要

背景と立法の経緯

日本の現行の個人情報保護法制は、PPCが執行する個人情報保護法を中心とし、EUとの間で2019年1月23日以来の相互の十分性認定の枠組みを持つ。この枠組みは2023年のEUによる第1回定期見直しの後も維持されており、次回の見直しは2027年頃と見込まれている。

APPIは現在、改正の途上にある。PPCは3年ごとの見直しに基づく「制度改正大綱」を2026年1月9日に取りまとめ、これを受けた改正法案を閣議決定した上で、2026年4月7日に第221回国会に提出した。法案は2026年7月10日に衆参両院で可決・成立し、同年7月17日に公布された。**ただし、まだ施行されてはいない。**日本の法制実務では、公布された法律は別途政令によって施行日が定められる仕組みであり、今回の改正は公布から概ね2年以内(遅くとも2028年7月頃まで)に施行される見込みで、PPCが現在、施行のための政令・規則・ガイドラインの策定を進めている段階にある。本記事で取り上げる改正関連の規定、すなわち課徴金、新設の生体データ区分、子どもの同意に関する変更などはすべて、特に断りのない限り「成立・公布済みだが未施行」として読んでほしい。

一方GDPRは、2018年5月25日以来EEA全域で全面的に施行されており、APPIのような改正の途上にはない。

適用範囲

本記事では、両制度の実務上のコンプライアンス上の違い、すなわち適法性の根拠づけ方、同意と第三者提供の仕組み、越境移転の構造、そしてそれぞれの執行の在り方に焦点を当てる。APPIの成立の経緯や日本国内での適用範囲の詳細については、日本の個人情報保護法ガイドを参照。

両制度とも国レベルで単一の専門機関が所管する点は共通している。日本ではPPCがAPPI全体を所管する一方、GDPRはEU加盟国ごとのデータ保護機関が執行を担い、国境を越えた整合性はGDPRが設置する欧州データ保護会議(EDPB)の枠組みによって調整される。

定義と保護対象データ

APPI第2条第3項は、要配慮個人情報を、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実、その他「本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報」と定義している。施行令はこれに加えて、身体障害・知的障害・精神障害の有無、健康診断等の結果、健康診断等に基づき医師等が行った指導・診療・調剤の事実、そして被疑者・被告人として逮捕・捜索・差押え・公訴を受けた事実や、少年の保護事件に関する手続を受けた事実といった、刑事手続・少年保護手続に関する特定の事実を列挙している。この最後の類型はあくまで手続上の履歴に関するものであり、逮捕・起訴の有無を指すのであって、「前科」全般を包括する規定ではない点に注意が必要だ。

GDPR第9条が定める特別な種類の個人データ、すなわち人種・民族的出自、政治的意見、宗教的・思想的信条、労働組合への加入、遺伝情報、本人を一意に識別するための生体データ、健康に関するデータ、性生活・性的指向に関するデータと比べると、日本の規定は「社会的身分」全般と「犯罪被害を受けた事実」という、GDPRがまったく列挙していない2つの点でより広い。逆にGDPRは、アイデンティティ・生体情報・遺伝情報の軸ではより広く、さらに有罪判決等に関するデータを第10条で別立てに規制しており(公的機関のみが取り扱い可能)、これは刑事手続上の事実を要配慮個人情報の枠内に取り込む形をとるAPPIの構造とは根本的に異なる。

処理の法的根拠:GDPR第6条に相当する規定は存在しない

GDPRは、あらゆる取扱い行為について、第6条に基づく積極的な法的根拠、すなわち同意、契約の履行、法的義務の遵守、生命に関する利益の保護、公的任務の遂行、正当な利益のいずれかを必要とする。APPIにはこれに相当する列挙規定はない。GDPRのように「正当な利益」「契約上の必要性」「公的任務」といった根拠だけで単独に取扱いを正当化できる仕組みは存在しない。

その代わりAPPIは、次のような構造をとる。事業者が利用目的を「できる限り」特定し(第17条第1項、利用目的の特定義務)、その特定した目的の範囲を超えて本人の事前同意なく利用しない限り(第18条第1項)、個人情報の取得・利用は原則として適法である。つまり通常の第一者による取扱いそのものには同意は前提条件とされておらず、同意が積極的な関門として求められるのは、要配慮個人情報の取得(第20条第2項)や、国内の第三者への提供(第27条第1項)、外国にある第三者への提供(第28条第1項)といった、特にリスクの高い特定の場面に限られる。

つまり実務上、APPIにおける「法的根拠」の問題は、GDPR第6条のような取扱い行為ごとに根拠を求めるモデルではなく、利用目的の特定と特定場面での同意という、いわばチェックポイント型のモデルとして理解するのが実態に即している。

同意が必要となる場面

APPIにおける同意は一般的な前提条件ではなくチェックポイント型の仕組みであるため、具体的には次の3つの場面で問題となる。

• 要配慮個人情報の取得(第20条第2項)。 事業者は原則として、本人の事前同意なく要配慮個人情報を取得することはできない。法は例外を列挙しており、法令に基づく場合、人の生命・身体・財産の保護のために必要で本人の同意を得ることが困難な場合、公衆衛生の向上または児童の健全な育成の推進のために特に必要で本人の同意を得ることが困難な場合、国の機関等が法令の定める事務を遂行するために必要な場合であって本人の同意を得ることでその事務の遂行に支障を及ぼすおそれがあるとき、権利利益の不当な侵害のおそれが少ない一定の学術研究目的の場合、学術研究機関等から共同研究のために取得する場合、本人・国・地方公共団体等の定める者がすでに公開している情報である場合などがこれにあたる。これらの例外事由は、政府自身による法の英訳版の第20条第2項の内容にそのまま基づいている。
• 国内の第三者への提供(第27条第1項)。 原則として事前の同意が必要である。ただしAPPIには、GDPRには存在しない同意によらない提供の代替手段も用意されているため、詳しくは次の節で扱う。
• 外国にある第三者への提供(第28条第1項)。 詳しくは後述の「越境移転」の節で扱う。

成立・公布済みだが未施行の2026年改正は、16歳未満の本人については保護者の同意を必要とする規定と、未成年者のデータに関する簡素化された削除手続を新設するが、いずれも現時点では効力を生じていない。

第三者提供:第27条のオプトアウト制度

この点は、APPIとGDPRの違いが最も際立つ領域であり、GDPRにはこれに相当する制度が一切存在しない。

APPI第27条第1項は、個人データを第三者に提供する際の原則を事前同意と定めている。しかし第27条第2項は、事業者が次の3つを満たせば、この同意要件を完全に省略できると定めている。すなわち(a)提供する項目等について本人にあらかじめ通知するか、本人が容易に知り得る状態に置くこと、(b)PPCに届け出ること、(c)本人の求めに応じて提供を停止すること(オプトアウト)である。PPCへの届出はあくまで届出であって、許可制でも事前承認制でもない。PPCはこれらの届出を効力発生前に審査・承認するわけではなく、公衆や本人の閲覧のため、また自らの執行上の目的のために保管しているにすぎない。

オプトアウトはすべてを対象とするわけではない。 政府による公式英訳の第27条第2項ただし書は、第三者に提供しようとする個人データが「要配慮個人情報」である場合、「第21条第1項の規定に違反して取得されたもの」(不正取得)である場合、または「この項本文の規定により提供されたもの」(すでに他の事業者のオプトアウトを経由して提供されたもの)である場合には、オプトアウトの仕組みが適用されないと定めている。つまり、いったんオプトアウトで提供されたデータを、さらに別のオプトアウトで転々と提供し続けることはできない。要するに、要配慮個人情報は不可、不正取得データは不可、そして数珠つなぎ(多段階提供)も不可、ということだ。

厳格化がひとつ予定されているが、まだ発効していない。2026年改正は新たに第27条第7項を新設し、オプトアウトを利用する事業者に対し、提供先の氏名・住所・代表者名や利用目的をあらかじめ確認する義務を課す。PPCがこの規定を導入した背景には、現行法では提供元にこうした確認義務がなく、オプトアウトの届出制度そのものが違法な名簿屋の情報源となっていたという問題意識がある。施行令が発効するまでの間は、第27条第2項に基づきオプトアウトを利用する事業者に、提供先を確認する法的義務は課されていない。

なぜこれが根本的にGDPRと異なるのか。 GDPR第6条には、通常の商業データについて「規制当局に通知すればそれで足りる」という届出制の提供手段は存在しない。GDPRのもとで同意によらない提供を行うには、契約や正当な利益といった特定の法的根拠に個別に当てはめる必要があり、正当な利益を根拠とする場合には、本人の権利利益との比較衡量テストも求められる。これに対し日本のオプトアウトは、実体的な利益衡量テストというよりも、届出・通知・オプトアウト要求への対応という手続的な許容にすぎない。その手続の簡便さと引き換えに、上述のとおり、危害のリスクが特に高いデータ類型については厳格な除外が設けられている。

仮名加工情報と匿名加工情報:日本の二層構造

APPIは非識別化データを、法定された2つの異なる法的地位に区分している。GDPRにはセキュリティ上の措置として機能する「仮名化」というひとつの概念と、規則の適用対象から完全に外れる、定義のあいまいな「匿名データ」という到達点があるにすぎない。日本の構造はこの両方といずれも実質的に異なる。

**仮名加工情報(第2条第5項)**とは、「他の情報と照合しない限り特定の個人を識別することができない」ように加工された情報をいう。保持している対応表(キー)と照合すれば理論上は再識別可能だが、単独では識別できない状態にあるものだ。仮名加工情報はAPPI上あくまで「個人情報」に該当し、法の適用対象から除外されるわけではない。第41条により、この地位を保有する事業者は次のような扱いを受ける。

• 第18条が適用される通常の個人データとは異なり、あらためて本人の同意を得ることなく利用目的を変更できる。この地位の実務上の核心的なメリットは、本人に立ち返ることなく、仮名加工情報を社内での新たな分析用途に転用できる点にある。
• 仮名加工情報である個人データを第三者に提供することは、いかなる場合であってもできない(第41条第6項)。これは、同意またはオプトアウトにより第三者提供が可能な通常の個人データより厳格なルールである。仮名加工情報は、いわば「再同意なしで目的を変更できる」自由と引き換えに、「この事業者の外には一切出せない」という制約を負う。
• 削除情報等(加工の際に削除した記述等や対応表)と照合して本人を再識別する行為は禁止される(第41条第7項)。
• 電話・郵便・ファクシミリによる直接のダイレクトマーケティングの連絡に利用することは禁止される(第41条第8項)。
• 漏えい等の報告義務(第26条)、および本人による開示・訂正・利用停止等の請求権(第32条から第39条)の適用が除外される。第41条第9項がこれらの規定を明示的に適用除外としている。
• ただし、再識別のための鍵となる「削除情報等」そのものについては、安全管理措置を講じる義務が引き続き課される(第41条第2項)。

匿名加工情報(第2条第6項)は、他の情報と照合しても特定の個人を識別できないように加工された、不可逆的な非識別化の基準を満たす情報である。PPC規則(第34条)が定める技術的基準、すなわち規則性のない方法による識別子の削除・置換、連結符号の削除、外れ値・特異な識別子の削除または一般化、そして「適切な措置」という包括的な基準を満たす形で匿名化されれば、そのデータは「個人情報」の定義から完全に外れ、法の規制のほとんどが適用されなくなる。これを取り扱う事業者は、そのデータについて利用目的の制限、同意、第三者提供に関する同意取得のルールに一切拘束されない。ただし、匿名加工情報である旨の公表・開示義務や、再識別を試みることの禁止については、第43条から第46条により引き続き適用される(本記事ではこれ以上詳しく扱わない)。

GDPRとの比較。 GDPR第4条第5項の仮名化は、純粋にセキュリティ・リスク低減のための措置にすぎない。仮名化されたデータは完全に個人データのままGDPRの規律全体に服し、仮名化はセキュリティリスク評価(第32条)における一要素や、両立性のある二次利用を後押しする要素(第6条第4項(e))として考慮されるにとどまる。GDPRはこれに、義務が軽減される特別な法的地位を与えていない。これに対し日本の仮名加工情報という地位は、実質的にはるかに重みがある。すなわち、社内での自由な目的変更、漏えい報告義務・本人の権利からの適用除外といった特定の規制上の緩和を受けられる、法定された地位であり、その引き換えとして第三者への提供が一切できないという厳格なルールを負う。これは単なるセキュリティ上の管理策ではなく、構造化されたトレードオフなのである。

匿名化の側面では、GDPRの真の匿名データという到達点(前文26項)は、規則の適用対象外になるという点で日本の匿名加工情報と実務上同じ結果に至る。しかしGDPRは、そこに至るための基準自体を、条文ではなくガイドラインと判例(GDPR以前の第29条作業部会による意見書05/2014の枠組みに基づく)に委ねている。これに対し日本は、技術的・手続的な基準そのものを政令(施行令)の中に明文化している。

本人の権利

APPIは、GDPRとおおむね対応する一連の権利を本人に認めているが、その根拠や仕組みは異なる。

• 開示請求 -- 本人は、事業者が自分についてどのような個人情報を保有しているかを知り、その開示を求めることができる。
• 訂正・追加・削除の請求 -- 内容が事実と異なる個人情報について求めることができる。
• 利用停止・消去・第三者提供の停止の請求 -- 不正取得、特定した利用目的の範囲を超えた利用、その情報を保有する必要がなくなったこと、漏えい等が生じたこと、本人の権利利益が害されるおそれがあることなど、定められた事由に基づいて請求できる。2020年改正により、これらの請求事由は当初のより限定的な範囲から拡大された。

APPIの本人の権利に関する章(第32条から第39条)には、GDPR第20条のような、構造化され機械可読な形式でデータを受け取り他の管理者に移転させる独立したデータポータビリティの権利は含まれていない。また、GDPR第21条のような、正当な利益・公的任務を根拠とする取扱いやダイレクトマーケティングへのいつでもの異議申立てといった、一般的な異議権も含まれていない。日本において最も近い制度は、独立した異議権ではなく、上述の特定の法定事由に紐づいた、より限定的な利用停止請求である。

1点、前述の第41条の条文から直接確認できるギャップがある。仮名加工情報は、これら本人の権利のすべてから明示的に適用除外とされている(第41条第9項)。GDPRにおいては仮名化されたデータについても本人の権利は完全に維持されるため、これはGDPRに対応する規定のないさらなる相違点である。

監督体制:指導を軸とするPPCの執行文化

日本は、APPI全体について個人情報保護委員会(PPC)という単一の専門規制当局を置いている。PPCの執行上の段階は、指導から勧告、そして拘束力のある命令へと進む仕組みになっており、命令に従わない場合には刑事罰が科される(詳細は後述の「執行と罰則」を参照)。

PPC自身が2026年7月7日に公表した2025年度(令和7年度)の年次報告によれば、この段階が実際にどう使われているかがわかる。漏えい等報告件数は17,139件(2024年度の19,056件から減少)、報告徴収19件、指導455件、勧告2件、そして命令はわずか1件だった。実務上、PPCが主に用いる執行手段は刑事訴追ではなく指導である。命令違反に対する刑事罰が条文上は厳しく定められているにもかかわらず、実際の告発・起訴に至るケースはまれである。

GDPRの構造はこれとは異なる。EU加盟国はそれぞれ独自の独立した監督機関(DPA)を指定し、欧州データ保護会議(EDPB)がこれらDPA間の整合性を調整する。国境を越えた紛争における拘束力ある決定もこれに含まれる。GDPRの執行が30を超える各国当局にEUレベルの調整を伴って分散しているのに対し、APPIの執行はひとつの国の機関に集約されており、その日常的な運用姿勢は正式な処分よりも非公式な指導に大きく偏っている。

越境移転とEU・英国との相互十分性認定

APPI第28条は、個人データを日本国外に移転するための3つの異なる方法を定めている。

十分性認定国への移転(第28条第1項かっこ書)。 PPCが「個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している」と指定した外国への移転は、追加の同意を要さず、国内移転と同様に扱われる。この地位を持つのは、EU・EEA(全加盟国に加え、EEA協定に基づくアイスランド、リヒテンシュタイン、ノルウェー)と英国のみである。これは相互の指定であり、PPCが第28条に基づきEUを指定したのは、欧州委員会がGDPR第45条に基づき日本が十分な保護水準を提供していると決定したのと同じ2019年1月23日である。米国、韓国、シンガポールを含め、他のいかなる国もこのホワイトリストの地位を日本との間で得ていない。

同意に基づく移転と情報提供義務(第28条第1項・第2項)。 それ以外の外国への移転については、事業者はその移転に固有の本人の事前同意を得なければならず、その同意を得るに先立ち、移転先の国の個人情報保護制度や、提供先である第三者が講じるデータ保護のための措置について、あらかじめ本人に情報提供しなければならない。GDPRにおいても明示的同意は移転の一手段だが、GDPR第49条の適用除外にはこれと同様の、同意取得前の移転先国の制度に関する情報提供を法定要件とする定めはなく、その点でAPPIの方が手続として具体的である。

相当措置による契約上の移転(第28条第1項本文の除外+PPC規則第16条)。 APPI第4章第2節の義務に相当する措置を継続的に確保する体制を整えた提供先については、第28条の対象から完全に除外され、十分性認定国への移転と同様に扱われる。この体制は、提供先が法の実体的なルールに合致する措置を実施することを確保する適切な方法(契約、その他の拘束力ある取決め、グループ内の拘束力ある取決めなど、GDPRの標準契約条項や拘束的企業準則(BCR)におおむね機能的に相当するもの)によって、または提供先が国際的に認知された個人情報の取扱いに関する枠組みの認証を取得していることによって、確立される。事業者はまた、本人の求めに応じて、これらの措置に関する情報を積極的に提供しなければならない(第28条第3項)。

補完的ルールの非対称性:同じデータでも出所によってルールが異なる

日本は、EU・英国との十分性認定の枠組みを、双方に同一の国内ルールが適用される単純な相互承認としては扱っていない。APPI第6条に基づき策定され、拘束力を持ちPPCによって執行される「補完的ルール」は、EUまたは英国から入ってくる個人データに限定して、通常のAPPIに上乗せする形で実質的により高いハードルを課している。

1. 要配慮に相当する範囲の拡大。 性生活、性的指向、労働組合への加入といった、GDPRでは特別な種類のデータに該当するが日本自身の第2条第3項の要配慮個人情報のリストには含まれていない項目についても、その元データがEUまたは英国由来である限り、要配慮個人情報と同様に取り扱わなければならない。
2. 利用目的の追跡がデータに付随する。 事業者は、EUまたは英国からの移転時点で本人に開示された当初の利用目的まで、常に遡って追跡できるようにしなければならない。
3. 再提供(第三国への移転)の制限。 EU・英国由来のデータをさらに第三国へ移転するには、その第三国自体が日本の十分性認定国リストに含まれているか、相当措置が講じられていない限り、本人の同意が必要となる。EU由来のデータを、日本の通常のより緩やかな国内条件のまま非十分性認定国へ転送することはできない。
4. 統計目的限定の仮名化。 EU・英国由来のデータから作成した仮名加工情報は、統計目的にのみ利用できる。
5. より厳格な匿名化。 EU・英国由来のデータから作成する匿名加工情報は、再識別用の鍵そのものの削除を含め、不可逆的に非識別化しなければならない。これは、国内で収集したデータについては安全管理措置の下で鍵の保持を認める一般的な第43条の基準よりも厳格な水準である。

実務上の帰結として、同じひとつの日本企業の中でも、同一のカテゴリーの個人情報であっても、そのデータがEU・英国由来か国内で収集されたものかによって、適用されるルールが異なることになる。日本の一般的なAPPIルールだけを前提としたコンプライアンス体制では、EU・英国由来のデータの保護が不十分になる。逆にGDPRの前提だけを基準にした体制では、日本の国内ベースラインのルールが、EU・英国由来データに上乗せされる層より緩いという点を見落とすことになる。

執行と罰則:施行済みと未施行の区別

現時点で効力を持つものと、2026年改正で成立はしたもののまだ発効していないものを、明確に区別することが重要である。

現在施行済みのもの。 PPCの命令に違反することは、PPCの執行段階(指導、勧告、命令)の最終段階に位置し、刑事責任を伴う。PPCの命令に違反した場合、個人には1年以下の拘禁刑(拘禁刑及び作業)または100万円以下の罰金が科され(第178条)、不正な利益を図る目的で個人情報データベース等を提供・盗用した場合は1年以下の拘禁刑または50万円以下の罰金が科される(第179条)。いずれの違反も法人の業務に関して行われた場合は、その法人に対して別途1億円以下の罰金が科される(第184条第1項第1号)。PPC自身の2025年度報告から直接確認できるのは、前述の執行の内訳、すなわち指導が正式な命令を圧倒的に上回っているという点であり、刑事責任のリスクは制度上は現実に存在するものの、実務上発動される場面はまれであることを示している。

まだ施行されていないもの。 2026年改正の目玉は、APPI違反に対する日本で初めての行政上の金銭的不利益処分である課徴金の新設である。成立した条文によれば、課徴金額は違反によって得た経済的利益を基準に算定され、10年以内の再違反の場合は1.5倍となる一方、自主申告があった場合は50%減額される。適用範囲は、成立した第148条の3から第148条の17に定められた6類型の行為、すなわち第148条の3第1項の5つの提供・利用に関する類型と、第148条の3第2項に定める第20条第1項違反の不正取得・利用の類型からなり、対象となる本人の数が1,000人を超えることと、相当の注意を怠らなかった場合の除外規定が条件となっている。構造としては、これはGDPR第83条の行政制裁金制度に対する日本なりの機能的な対応にあたるが、その仕組みは異なる。世界売上高に対する一定割合の上限ではなく、得た利益の吐き出し(不当利得の剥奪)を基本とする制裁だからだ。GDPRの最大制裁金である2,000万ユーロまたは全世界年間売上高の4%に直接対応する規定は、改正が施行された後もAPPIには存在しない。日本の課徴金は事業者の売上高の一定割合ではなく実際に得た利益を上限とするため、理論上は、大手多国籍企業にとってはGDPRの同種の制裁金より小さくなる場合もあれば、1件あたりの利益が大きかった小規模な違反者にとってはより大きくなる場合もあり得る。

この課徴金制度は、現時点では一切執行できない。施行のための政令が発効して初めて効力を持つことになり、その政令は2026年7月17日の公布から概ね2年以内に定められる予定である。

最新動向:2026年APPI改正

前述の課徴金以外の、成立・公布済みだが未施行の改正の主な内容は次のとおりである。

• 「特定生体個人情報」という新区分の新設。 特殊な機器を用いずひそかに取得され得る顔特徴データその他の生体識別子を対象とする(正確な範囲は今後の政令に委ねられる)。新たな積極的開示義務、利用停止請求の要件緩和、そして第27条のオプトアウトによる提供の禁止が伴う。
• 子どものデータに関する変更。 16歳未満については保護者の同意が必要となるほか、未成年者のデータの削除手続が簡素化される。
• リスクに応じた漏えい通知義務の緩和。 漏えい等が本人の権利利益に及ぼすリスクが小さい場合には、個々の本人への通知に代えて、PPCが定める代替的な措置によって通知義務を満たすことができるようになる。
• AI・統計利用に関する例外。 一定の条件のもとでは、統計目的またはAIの学習目的での個人情報の利用について同意を不要とする一方、開示義務が付随する。
• 団体訴訟(差止請求)制度は、法案が国会に提出される前の段階で見送られた。 PPCによる当初の改正大綱の議論には含まれていたものの、成立した2026年改正には含まれていない。

2026年改正は、本記事で扱っている比較の骨子そのものにも及んでおり、読者はこれを見越しておく必要がある。成立した改正法は第27条を複数箇所で改正しており、第27条第1項の同意の例外事由のうち2つを緩和し、学術研究に関する例外規定を書き改め、第27条第2項ただし書のオプトアウト対象外の類型に特定生体個人情報を追加し、新たに提供先の確認義務を定める第27条第7項を新設している。また第28条についても引用関係の整理を行い、仮名加工情報に関する第41条・第42条についても実質的な改正を加え、連絡可能な識別子を含む仮名加工情報・匿名加工情報に対する新たな不適正利用・不正取得の禁止規定を拡張している。これらはいずれもまだ発効しておらず、PPCが施行のための政令・規則・ガイドラインを確定させた段階で、本記事の内容もあらためて確認する必要がある。

GDPRとAPPI両方に対応するための実務指針

GDPRとAPPIの双方の適用を受ける組織は、両制度の方向性が食い違ういくつかの局面に直面する。

この比較のうちEU側の詳細については、GDPRの漏えい通知その他EU特有の仕組みに関するガイドを参照。また、GDPRと米国の主要な州法との比較については、GDPR vs CCPAを参照。

免責事項

本記事は、日本の個人情報保護法(APPI)とEUの一般データ保護規則(GDPR)に関する一般的な法律情報を提供するものであり、法的助言を構成するものではない。本記事の一部の内容、具体的には刑事罰の数値、漏えい通知の正確な期限、APPIの本人の権利に関する章の確定的な範囲などについては、独自に検証した一次条文ではなく、二次的な法解説情報源に依拠しており、その旨を本文中で明示している。本記事で扱う2026年APPI改正は、成立・公布済みであるが、まだ施行されていない。APPIまたはGDPRの適用を受ける組織は、コンプライアンス上の判断にあたって本記事に依拠する前に、該当法域で資格を有する弁護士に相談し、改正に関する詳細についてはPPCが公表する公式ガイドラインを確認すべきである。

参照した情報源

1. 個人情報保護委員会(PPC)公式英語版ポータルサイト。https://www.ppc.go.jp/en/
2. 個人情報保護法(APPI)日本政府公式英訳。https://www.japaneselawtranslation.go.jp/en/laws/view/4241/en
3. 個人情報保護委員会「個人情報の保護に関する法律に係るEU及び英国域内から十分性認定に基づき提供を受けた個人データの取扱いに関する補完的ルール」。https://www.ppc.go.jp/files/pdf/Supplementary_Rules_en.pdf
4. 個人情報保護委員会 法令・政策文書一覧。https://www.ppc.go.jp/en/legal/
5. 個人情報保護委員会「令和8年改正個人情報保護法」情報ページ。https://www.ppc.go.jp/personalinfo/legal/r8kaiseihogohou/
6. 個人情報保護委員会 プレスリリース:APPI改正法の公布(2026年7月17日)。https://www.ppc.go.jp/news/press/2026/260717/
7. 個人情報保護委員会 プレスリリース:令和7年度年次報告(2026年7月7日)。https://www.ppc.go.jp/news/press/2026/260707/
8. 個人情報保護委員会 3年ごと見直し 制度改正大綱(2026年)。https://www.ppc.go.jp/en/topix/triennial_review_2026_02/
9. 規則(EU)2016/679(一般データ保護規則、GDPR)全文。https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A32016R0679
10. 欧州委員会 十分性認定について。https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en

---

最終更新日:2026-07-23。引用した法令は2026-07-23時点で施行されている版を反映している。2026年APPI改正については、本記事全体を通じて成立・公布済みだが施行されてはいないものとして記述している。

よくある質問

日本のAPPI第27条のオプトアウトによる提供とは何か。なぜGDPRにはこれに類する制度がないのか。

APPI第27条第2項により、事業者は、本人にあらかじめ提供の事実を通知する(または本人が容易に知り得る状態に置く)こと、PPCに届け出ること、そしてオプトアウトの求めに応じることを条件に、本人の同意を得ることなく個人データを第三者に提供できる。GDPRでは、同意によらない提供にはすべて第6条に基づく個別に正当化された法的根拠が必要であり、通常の商業的な第三者提供について、届出をすれば足りるという登録制の仕組みはGDPRには存在しない。

第27条のオプトアウトによる提供が絶対にできないデータとは何か。

オプトアウトの仕組みからは、要配慮個人情報、APPIの不正取得の規定に違反して取得されたデータ、そしてその事業者自身がすでに他の事業者のオプトアウトを経由して取得したデータが除外される。最後の除外は、オプトアウトされたデータが複数の事業者間で数珠つなぎにされることを防ぐものである。成立・公布済みだが未施行の2026年改正が施行されると、改正後の第27条第2項ただし書により、特定生体個人情報もこの除外リストに加わることになる。

APPIにおける仮名加工情報と匿名加工情報の違いは何か。

仮名加工情報(第2条第5項)は、APPI上あくまで個人情報に該当する。保持している鍵と照合すれば理論上は再識別が可能である。この地位を持つことで、事業者は改めて同意を得ることなく社内でデータの目的を変更できるが、第三者への提供は一切禁止され、そのデータについて漏えい報告義務や本人の権利に関する義務からも免除される。匿名加工情報(第2条第6項)は、PPC規則が定める、法定された不可逆的な技術的基準に従って加工された情報である。この基準を満たせば、そのデータは個人情報の定義から外れ、法の規制のほとんどが完全に適用されなくなる。

GDPRの仮名化は、APPIの仮名加工情報という地位と同じ働きをするのか。

いいえ。GDPR第4条第5項の仮名化はセキュリティ・リスク低減のための措置であり、用いる技術にかかわらず仮名化されたデータは完全にGDPRの適用対象のままである。APPIの仮名加工情報は、特定の規制上の緩和(社内での自由な目的変更、漏えい報告義務・本人の権利からの適用除外)を受けられる、法定された独自の地位であり、その引き換えとして第三者への提供が一切できないという厳格なルールを負う。単なるセキュリティ上の管理策ではなく、構造化されたトレードオフである。

なぜEUや英国由来の個人データは、日本国内で収集されたデータよりも厳格に扱われるのか。

日本とEU・英国との相互の十分性認定には条件が付されている。PPCの補完的ルールは、EU・英国由来の個人データについて、通常のAPPIを超える義務を課している。具体的には、追加のカテゴリー(性生活、性的指向、労働組合への加入)を要配慮データとして扱うこと、利用目的をEU・英国で開示された当初の目的まで追跡すること、非十分性認定の第三国への再提供を制限すること、そのデータから作成した仮名加工情報を統計目的のみに限定すること、そのデータから作成した匿名加工情報について再識別用の鍵の削除を求めることなどである。これらのルールは、データがEUまたは英国に由来するという理由でのみ適用され、日本国内で収集されたデータには適用されない。

日本の2026年APPI改正は、現在すでに施行されているのか。

いいえ。法案は2026年7月10日に衆参両院で可決・成立し、同年7月17日に公布されたが、まだ施行されていない。日本では、公布された法律は別途政令によって施行される仕組みであり、その政令は公布から概ね2年以内、遅くとも2028年7月頃までに定められる予定である。PPCは現在、施行のための政令・規則・ガイドラインの策定を進めている段階にある。新設された課徴金を含め、2026年改正のすべての規定は、依然としてまだ発効していない。

越境移転について、日本が現在「十分」と認めている国はどこか。

APPI第28条の十分性認定国の地位を持つのは、EU・EEA(全EU加盟国に加えアイスランド、リヒテンシュタイン、ノルウェー)と英国のみである。これは相互の枠組みであり、欧州委員会がGDPR第45条に基づき日本を十分と認定したのと同じ2019年1月23日に、PPCもEUを十分性認定国として指定している。米国を含め、他のいかなる国も現時点でこの地位を日本との間で得ていない。

APPIにはGDPRのような行政制裁金制度はあるのか。

まだない。現行のAPPIは、規制の実効性をPPCの命令違反に対する刑事責任によって担保しており、GDPRに匹敵するような行政罰金は存在しない。2026年改正により、日本で初めての行政上の金銭的不利益処分である課徴金が新設され、これは世界売上高の一定割合ではなく違反によって得た経済的利益を基準に算定されるが、この課徴金はまだ施行されていない。施行のための政令が発効して初めて効力を持つことになり、それは遅くとも2028年7月頃までと見込まれている。