顧客データの移行案件の契約書を読み返していると、ニュースで見た「個人情報保護法の改正成立」の見出しが頭をよぎります。委託を受けて作業する自分の義務は、この改正で増えたのでしょうか。個人情報保護法の2026年改正は、データを預かる側のフリーランスエンジニアにとって、契約書の読み方に関わる話です。この記事で押さえるのは、預かったデータは頼まれた範囲で扱い、扱い方は契約で決めておく、という一点です。

1. フリーランスエンジニアが2026年の改正を確かめる理由

個人情報保護法等の一部を改正する法律は、2026年7月10日に国会で成立し、7月17日に公布されました¹。決まったのは法律の骨組みです。個人情報保護委員会は、円滑な施行に向けて、政令・規則・ガイドライン等の整備を進めているとしています¹。

改正の項目のなかに、データ処理等の委託を受けた事業者について、委託された個人データ等の適正な取扱いに係る義務の見直しを行うというものがあります²。顧客のデータベースを移行する、ログを解析する、運用を引き受ける。こうした案件で個人データに触れるフリーランスエンジニアは、この見直しの当事者になりえます。

そのため、契約書に何を書いておくかが、これまで以上に意味を持ちます。次の節から、改正の全体像、いまのルール、委託先に加わる義務、契約で免除される範囲の順に、資料に書かれている範囲で確かめていきます。

2. 改正の全体像と施行時期

施行期日と、まだ決まっていない細目

改正法の施行期日は、原則として公布の日から起算して2年を超えない範囲内です²。公布は2026年7月17日でしたから、施行はこれからです。項目ごとの適用日は、この資料からは読み取れません。

加えて、政令・規則・ガイドライン等は整備が続いています¹。条文の骨組みは見えても、細かな要件はこれから示される段階です。契約書の雛形を直すときは、細目が出そろうまでの間、資料の文言を超えて断定しないことが大切になります。

改正の主な項目

個人情報保護委員会の資料には、委託先の義務のほかにも複数の見直しが並んでいます。AI開発に関わる統計作成の扱い、16歳未満の本人への対応、顔特徴データの周知、漏えい時の本人通知、重大な違反への課徴金です。表1は、各項目について資料の記載を抜き出したものです。

改正の項目	資料の記載
統計作成等とAI開発等	統計情報等の作成（統計作成等と整理できるAI開発等を含む）にのみ利用される場合は、本人同意を不要とする2
16歳未満の本人	同意取得や通知等について、法定代理人を対象とすることを明文化する2
顔特徴データ等	取扱いに関する一定の事項の周知を義務化する2
委託を受けた事業者	委託された個人データ等の適正な取扱いに係る義務の見直しを行う2
漏えい等の本人通知	本人の権利利益の保護に欠けるおそれが少ない場合は、通知義務を緩和する2
重大な違反行為	違反行為によって得られた財産的利益等に相当する額の課徴金の納付を命ずる2

受託する側がまず読みたいのは、表の4行目です。それでも、AI開発に使うデータの同意や、漏えい時の通知の緩和は、委託元との打ち合わせで話題になりえます。

3. 現行のルールと、起きていた事案

委託元が負う監督

現行の規定では、個人データの取扱いを委託する場合、委託元は委託先に対する必要かつ適切な監督を行わなければならないとされています²。つまり、いまの法律で責任の軸にあるのは委託元です。委託先のフリーランスは、その監督を受ける側に立ちます。

この形のもとでは、委託先の取扱いは委託元の目が届く範囲で行われる前提になります。

図の作成：Remogu編集部。個人情報保護委員会「個人情報保護法等の一部を改正する法律について」（2026年7月）をもとに整理したものです

監督が機能せず、範囲を超えた利用が出た事案

個人情報保護委員会の資料は、委託元による監督が十分に機能せず、委託先が委託された業務の範囲を超えて独自に個人データ等を利用する事案も生じていると述べています²。委託元が監督していても、委託先が範囲を超えて使うことが起きていた、という指摘です。

一方で、資料には件数や具体的な事例は書かれていません。どの程度の頻度で起きているのかは、ここからは分かりません。確かなのは、起きた事案があり、それが改正の背景に置かれているという点です。

では、この事案に対して、改正は委託先に何を求めるのでしょうか。

4. 委託先に課される新しい義務

明文化された、範囲を超えて取り扱わない義務

改正では、委託された個人データ等を、委託を受けた業務の遂行に必要な範囲を超えて取り扱ってはならない旨の義務が、委託先に明文規定で課されます²。前の節で見た、範囲を超えた独自の利用に直接こたえる内容です。

これまで、委託先の取扱いを縛るのは主に委託元の監督でした。改正後は、委託先自身が条文の上で義務を負う形になります。契約書に「この範囲で扱う」と書いてあるかどうかにかかわらず、範囲を超えない取扱いが求められます。

図の作成：Remogu編集部。個人情報保護委員会「個人情報保護法等の一部を改正する法律について」（2026年7月）をもとに整理したものです

見直しの対象になる委託先

資料が対象としているのは、データ処理等の委託を受けた事業者です²。ただし、どの業務がどこまで対象になるかは、資料には書かれていません。

この点は政令・規則・ガイドライン等の整備を待つ部分です¹。それまでは、自分の案件で預かるデータの種類と、作業の範囲を、契約書の上で書き出しておくことが手がかりになります。

この義務には、契約で合意した場合に適用が免除される範囲があります。次の節では、その免除の条件を確かめます。

5. 契約で合意すれば免除される範囲

免除が働く二つの合意

委託契約で取扱いの方法の全部について合意し、あわせて、委託元が委託先の取扱いの状況を把握するために必要な措置等について合意した場合は、委託先への法第4章の各義務規定の適用が原則として免除されます²。免除の入口になるのは、契約書の中身です。

条件は二つあります。取扱いの方法の全部についての合意と、状況を把握する措置等についての合意です。方法の一部だけを決めた契約は、「全部」という資料の言葉には当たりません。

一方で、どんな契約書の書き方がこの合意に当たるのかは、資料には書かれていません。政令・規則・ガイドライン等の整備は続いています¹。契約書の文言を決めるときは、資料の言葉をそのまま使い、断定を足さないようにします。

免除の例と、免除されても残る義務

資料は、委託先自らが取扱いの方法を決定しないケースとして、データ入力作業を委託され、委託元の定めた方法で機械的に入力する場合などを想定しています²。方法を決めるのは委託元で、委託先は決められた方法で作業する形です。

ただし、免除されても適用が続く義務が二つあります。委託を受けた業務の遂行に必要な範囲を超えて取り扱ってはならない義務と、安全管理に係る義務です²。前の節で見た明文化された義務は、契約で合意しても残ります。

つまり、合意で免除されるのは法第4章の各義務規定であり、範囲を超えない義務と安全管理の義務は、そこに含まれません。契約書に「方法は委託元が決める」と書いてあっても、預かったデータを範囲の外で使う余地が生まれるわけではありません。

状況を把握する措置の例

委託元が状況を把握するための措置として、資料は、漏えい等が生じたことを知ったときに委託先が委託元に速やかに報告すること等を想定しています²。資料の言葉は「想定」で、細目が確定した要件として示されているわけではありません。

受託する側が契約書を見るときは、報告に関する条項があるかが入口になります。ある場合は、いつ、誰に、どのように伝えるのかが書かれているかを読みます。書かれていない場合は、契約を結ぶ前に委託元と話し合う項目になります。

免除される範囲と残る義務の対応

免除の条件と、免除されても残る義務は、資料では別々の文で述べられています。表2は、それぞれの資料の記載を並べたものです。免除されるのは法第4章の各義務規定の適用で、その入口は二つの合意です。残る二つの義務は、合意の有無にかかわらず適用されます。

区分	内容	資料の記載
免除される	委託先への法第4章の各義務規定の適用	原則として免除する2
免除の条件（1）	取扱いの方法の全部についての合意	委託契約で合意した場合2
免除の条件（2）	委託元が取扱いの状況を把握する措置等についての合意	漏えい等を知ったときに委託元へ速やかに報告すること等を想定2
残る義務（1）	委託を受けた業務の遂行に必要な範囲を超えて取り扱ってはならない義務	免除される場合でも適用される2
残る義務（2）	安全管理に係る義務	免除される場合でも適用される2

6. AI開発の統計作成と課徴金

統計作成にのみ使う場合の同意

個人情報保護委員会の資料によると、個人データ等の第三者提供などについて、統計情報等の作成にのみ利用される場合は、本人同意を不要とします。この統計作成には、統計作成等と整理できるAI開発等が含まれます²。AIの開発に個人データを使う案件で、同意の要否が話題になる場面に関わる項目です。

注意したいのは「にのみ」の語です。同意が不要になるのは、統計情報等の作成にのみ利用される場合です。ほかの目的にも使うデータは、この文言には当たりません。

そのうえで、受託する側には別の軸があります。委託された個人データ等を、委託を受けた業務の遂行に必要な範囲を超えて取り扱ってはならない義務です²。同意の要否の規定が、この義務にどう関わるのかは、資料には書かれていません。

重大な違反への課徴金

改正の項目には、課徴金もあります。重大な違反行為により個人の権利利益が侵害された場合等について、違反行為によって得られた財産的利益等に相当する額の課徴金の納付を命ずることとされています²。対象は重大な違反行為で、資料が示す基準は財産的利益等に相当する額です。

資料には、課徴金の具体的な額や、どの行為が重大な違反行為に当たるのかは書かれていません。細目は整備が続く政令・規則・ガイドライン等の側にあります¹。金額や適用の線引きを、この記事から読み取ることはできません。

図の作成：Remogu編集部。個人情報保護委員会「個人情報保護法等の一部を改正する法律について」（2026年7月）をもとに整理したものです

同意の話も課徴金の話も、委託を受けた作業の途中で話題になりえます。次の節で、受託した案件で何から確かめるかを順に並べます。

7. 受託した案件で確かめる順番

契約を結ぶ前の五つの確認

ここまでの内容は、受託した案件で確かめる五つの点に整理できます。最初は、預かるデータを業務の範囲を超えて使わないかです²。次に、取扱いの方法を契約で全部合意しているかを見ます²。

三つ目は、安全管理の義務が免除されても残ると押さえているかです²。四つ目は、漏えいに気づいたときに委託元へ報告する段取りで、資料はこの報告を把握の措置として想定しています²。五つ目は、施行時期と細目がまだ確定していないと知っているかです²。

順番には理由があります。最初の二つは契約の文面そのものを見る作業で、後の三つは契約を結んだあとの動き方に関わります。契約書を開いたら、上から順に当てはめれば、どこが未確認かが見えます。

確認の観点と根拠の対応

五つの確認は、それぞれ資料のどの記載に対応するのかを並べました。第1と第3は、免除の有無にかかわらず適用される義務に関わります。第2と第4は免除の条件に、第5は施行の時期に関わる点です。

順番	確かめること	資料の記載
1	預かるデータを、業務の範囲を超えて使わないか	業務の遂行に必要な範囲を超えて取り扱ってはならない義務を、委託先に明文規定で課す2
2	取扱いの方法を、契約で全部合意しているか	取扱いの方法の全部と把握の措置等を合意した場合は、各義務規定の適用を原則として免除する2
3	免除されても安全管理の義務は残ると知っているか	安全管理に係る義務は免除される場合でも適用される2
4	漏えいに気づいたとき、委託元へ報告する段取りがあるか	漏えい等を知ったときに速やかに委託元へ報告すること等を想定2
5	施行時期と細目が未確定だと知っているか	施行期日は原則として公布から2年を超えない範囲内、政令等は整備中2

図の作成：Remogu編集部。個人情報保護委員会「個人情報保護法等の一部を改正する法律について」（2026年7月）をもとに整理したものです

契約書を読み返す手が止まらなくなるまで

冒頭の場面に戻ります。顧客データの移行案件の契約書を読み返し、改正成立のニュースで手が止まったときに、何を見ればよいのかは、ここで定まりました。改正で明文化されたのは、業務の遂行に必要な範囲を超えて取り扱ってはならないという義務です²。契約で決めるのは、取扱いの方法と、状況を把握する措置です²。

預かったデータは頼まれた範囲で扱い、扱い方は契約で決めておきます。この一文に、五つの確認は収まります。施行は公布から2年を超えない範囲内で、細目は整備の途中です²。だからこそ、いま結ぶ契約書の文面で、範囲と方法を書き出しておく意味があります。

Remogu（株式会社LASSIC運営）は、リモートワーク案件特化のエンジニアマッチングで、案件の90%以上がフルリモート可能です³。まず登録して、自分の経験に合う案件の条件を見比べてみてください。

8. よくある質問

改正はいつから適用されますか

改正法は2026年7月17日に公布されました¹。施行期日は、原則として公布の日から起算して2年を超えない範囲内です²。項目ごとの適用日は、資料からは読み取れません。政令・規則・ガイドライン等の整備も続いています¹。

委託を受けるフリーランスの義務は増えますか

委託された個人データ等を、委託を受けた業務の遂行に必要な範囲を超えて取り扱ってはならない義務が、委託先に明文規定で課されます²。契約で取扱いの方法の全部などを合意すれば、法第4章の各義務規定の適用は原則として免除されます²。ただし、範囲を超えない義務と安全管理の義務は、免除される場合でも残ります²。

AIの学習にデータを使うときの同意はどうなりますか

統計情報等の作成にのみ利用される場合は、本人同意を不要とします。統計作成等と整理できるAI開発等も、これに含まれます²。対象になる範囲の細目は、政令・規則・ガイドライン等の整備が続いている段階です¹。

※公開中の案件数は時期によって変わります。記事中の案件の傾向は執筆時点のものです。

出典・参考情報

＊1 個人情報保護委員会「令和８年 改正個人情報保護法について」（2026年10月・2026年10月確認）
＊2 個人情報保護委員会「個人情報保護法等の一部を改正する法律について」（2026年7月・2026年10月確認）
＊3 Remogu（株式会社LASSIC運営）公開情報：扱う案件の90%以上がフルリモート可能