改正個人情報保護法(令和8年)で中小企業はどう備えるか — 課徴金5類型と漏えい報告義務、Lark権限・ログ実装ガイド

「個人情報保護法の改正って大企業の話でしょう」と思っている中小企業の経営者は少なくありません。しかし、現行法の漏えい等報告義務(2022 年 4 月施行済)はすでに従業員 100 名以下の事業者にも適用されており、個人情報保護委員会が公表した 「個人情報保護法 いわゆる 3 年ごと見直しの制度改正方針」(2026 年 1 月 9 日) でも、課徴金制度・違反行為への抑止強化・漏えい時の手続き合理化など、中小企業を含む全事業者に影響する論点が並んでいます。改正法案は 2026 年 4 月 7 日に閣議決定・国会提出された旨が解説されており、第 221 回国会(2026 年 2 月 18 日〜 7 月 17 日)で審議が進行中とされます(2020 年改正と同じスケジュール感なら 5〜6 月成立見込み)。

本記事では、改正の本当の中身を「課徴金制度の仕組み」「団体訴訟の取扱い」「漏えい等報告の合理化」の 3 軸で公式情報に基づいて整理した上で、中小企業が施行までの 2 年間で完成させるべき 5 つの実装ステップを Lark Base / Wiki / Drive の権限設定・監査ログ運用・SSO 強制で具体化します。アウフヘーベンジャパン株式会社は群馬・前橋を拠点に Lark 導入を支援しており、自社 EC 事業でも顧客個人情報の取扱を Lark の権限・監査ログ機能で集約し、月 240 時間あった事務作業を 24 時間まで圧縮しつつ漏えいリスクの可視化を進めた実証データを持っています。

結論 — 改正の本丸は課徴金ではなく「漏えい時の責任追及強化」

改正個人情報保護法の本丸は「課徴金そのもの」ではなく、「日本版課徴金 + 既存の最大 1 億円罰則 + 漏えい報告義務」の三重構造で、中小企業を含む全事業者の責任追及を強化した点です。課徴金は「違反で得た経済的利益の没収」を目的としており、対象は「違法な第三者提供」「目的外利用」など 5 類型に限定され、安全管理措置義務違反による「うっかり漏えい」自体には課されません(出典: 令和 8 年改正の課徴金 5 類型の整理(BUSINESS LAWYERS 弁護士解説))。ただし、漏えい等報告の義務(2022 年 4 月施行済)と法人最大 1 億円の罰則(現行法)は中小企業にも既に適用されており、「うちは関係ない」では済まされない状態です。

では中小企業が今からやるべきことは何か。それは「漏えいを起こさない実装」と「起きたときに速やかに報告できる体制」の 2 つを、施行までの 2 年で完成させることです。鍵となるのは「最小権限の原則(Principle of Least Privilege)」と「監査ログの常時取得・定期レビュー」。Lark は Base「高度な権限」で行/列単位のアクセス制御、3 系統の監査ログ(管理者ログ・メンバー行動監査・OpenAPI ログ)、SAML SSO・組織強制 MFA、日本データセンター選択可能なデータレジデンシーを公式提供しています。本記事ではこれらを中小企業 30 名規模で組み立てる具体テンプレを示します。Lark の業務 DB としての強みは Lark Base が中小企業の業務効率を変える 3 つの理由 も参照してください。

2026 年改正で何が変わるか — 公式情報に基づく事実整理

まず改正の中身を、報道や法律事務所ブログの「ザックリ解説」ではなく、個人情報保護委員会の公表文書と改正法案の条文ベースで整理します。中小企業の経営者・情シスが押さえるべきは次の 4 点です。

論点 1: 日本版課徴金制度の導入 — 5 類型に限定、利益没収型

改正法案で初めて導入される課徴金制度は、対象が次の 5 類型に限定されています(出典: BUSINESS LAWYERS「令和 8 年改正個人情報保護法はどうなる?」)。

• 違法利用が想定される第三者への個人データ提供
• 不当な差別的取扱いが想定される第三者への提供
• 第三者提供制限の違反
• 統計作成等用個人関連情報の目的外利用
• 統計作成等用個人関連情報の第三者提供禁止違反

算定方法は「違反行為の対価として得た金銭等の財産上の利益相当額」とされており、EU GDPR の「全世界年商の 4%」とは設計思想が異なる「利益没収型」です。重要なポイントは 「安全管理措置義務違反による大規模漏えい」自体は課徴金の直接対象ではない こと。つまり、社員のうっかりミスで漏えいが起きても、それだけで課徴金が課されるわけではありません。ただし、漏えい後に違法な第三者提供や目的外利用が発生していた場合は対象になり得ます。

論点 2: 適格消費者団体による差止請求・被害回復制度は見送り

当初検討されていた「消費者団体が漏えい時に差止請求や被害回復を求められる制度」は、今回の改正法案には含まれていません(出典: 日経クロステック「個人情報保護委員会が法改正方針、課徴金を導入 消費者団体による請求見送り」)。集団訴訟リスクは現時点では限定的ですが、次回の 3 年ごと見直し(2029 年頃)で再浮上する可能性が指摘されています。

論点 3: 漏えい等報告手続きの合理化(NCO との窓口一本化方針)

2022 年 4 月施行の漏えい等報告義務(個人情報保護委員会への速報 3〜5 日・確報 30〜60 日)は維持されつつ、国家サイバー統括室(NCO)との通報窓口一本化が方針として示されています(出典: 個人情報保護委員会「漏えい等の報告の義務化」)。中小企業にとっては、現状でも 1,000 件以上漏えいすれば必ず報告対象、また「不正アクセスによる漏えい」は件数に関わらず全て報告対象であることを再確認すべきです。

論点 4: 施行は公布から 2 年以内 — 中小企業の猶予期間

改正法は「原則としてその公布の日から起算して 2 年を超えない範囲内において政令で定める日から施行される」とされており(出典: BUSINESS LAWYERS)、仮に 2026 年 6 月公布なら、最遅で 2028 年 6 月までに体制整備が必要です。「2 年もある」のではなく、棚卸し・権限再設計・運用ルール定着・テスト運用を考えると、実質 12〜18 か月の準備期間と捉えるのが現実的です。

「うちは関係ない」では済まない 3 つの理由 — 既施行義務と現状リスク

2026 年改正よりも、すでに施行されている現行法の義務の方が、中小企業にとっては即時のリスクです。「課徴金導入はうちには関係ない」という発想は、現行法のリスクを過小評価しています。

理由 1: 漏えい等報告義務はすでに中小企業にも適用されている(2022 年 4 月〜)

2022 年改正で導入された漏えい等報告義務(個人情報保護委員会への速報 3〜5 日・確報 30〜60 日)は、従業員数や売上規模に関わらず、個人情報を取り扱うすべての事業者に適用されます(出典: 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン Q&A」)。中小規模事業者(従業員 100 名以下)も例外ではありません。報告対象は ①要配慮個人情報の漏えい ②財産的被害が生じるおそれのある漏えい ③不正アクセス等故意による漏えい ④1,000 件超の漏えい の 4 類型で、特に③は件数 1 件でも対象です。

理由 2: 法人罰則は現行法ですでに「最大 1 億円」

個人情報保護委員会の措置命令違反や、不正な利益目的での個人情報データベース提供等に対して、法人には現行法ですでに最大 1 億円の罰金が定められています(個人情報保護法第 178 条・第 179 条、出典: 個人情報保護委員会 FAQ)。課徴金が無くても、悪質な違反には既に厳しい刑事罰が用意されています。

理由 3: 漏えい報告件数は過去最多 — 行政指導の対象になる確率が上がっている

個人情報保護委員会が 2024 年 6 月に公表した 「令和 5 年度個人情報保護委員会 年次報告」 によれば、2023 年度の漏えい等事案の報告件数は 13,279 件(前年比 約 1.6 倍、調査開始以降最多) です。報告件数の急増は、サイバー攻撃や内部不正だけでなく、メール誤送信・USB 紛失など中小企業に多い「うっかり漏えい」も大きな割合を占めると指摘されています。漏えい後に「うちは権限管理もログも何もありませんでした」では、行政指導・公表処分のリスクが現実のものとなります。

中小企業が施行までに完成させるべき 5 つの実装ステップ

「権限管理と監査ログを整備せよ」と言われても、何から手を付けるかは難しい問題です。当社が中小企業に伴走支援するときに使う 5 ステップを示します。順序が重要で、棚卸しを飛ばして権限設計に進むと「何を守るのか」が定義されないまま器だけ整える失敗に陥ります。

Step 1: 個人情報の棚卸し — 「どこに何があるか」を Lark Base 1 枚に集約

最初にやるべきは「自社が保有する個人情報を全件、所在と件数とアクセス可能者付きでリスト化する」ことです。共有フォルダ・SaaS・Excel・紙台帳に散らばっている個人情報を一枚の Lark Base テーブルに集約し、フィールドは「データ名 / 所在 / 件数 / 主担当 / 副担当 / アクセス可能者 / 取得目的 / 保管期間 / 削除トリガ」の 9 項目を最低限置きます。アウフヘーベンジャパンの自社 EC では、楽天 RMS の購入者情報・Amazon セラーセントラルの注文情報・自社サイトの会員情報・配送業者連携用ピッキングリスト・経理の請求書 PDF など、19 系統が初回棚卸しで判明しました。「気づいたら 19 系統あった」のが中小企業の実態で、まず可視化しないと議論が始まりません。Base の使い方は Lark Base 30 日 Excel 移行プラン に整理しています。

Step 2: 最小権限の原則を適用 — Lark Base の行/列レベル権限で再設計

棚卸しで可視化された個人情報に対し、「業務上必要な人だけが、必要な範囲だけアクセスできる」状態(最小権限の原則)を作ります。Lark Base には「高度な権限」機能があり、ビュー単位・行単位・列単位で閲覧/編集権限を細かく設定できます(出典: Lark 公式ヘルプ「Base の高度な権限を使用する」)。たとえば顧客 DB に対して「営業担当者は自分が担当する行のみ閲覧可」「カスタマーサポートは顧客名・電話番号・問い合わせ履歴の列のみ閲覧可、クレジットカード情報の列は不可視」「経理は支払履歴の列のみ編集可」のように設計できます。共有フォルダの「読める/読めない」の二択では実現できない粒度です。

Step 3: 監査ログを常時取得 — Lark の 3 系統ログを月次レビュー運用に乗せる

Lark の管理コンソールでは 「管理者ログ」「メンバー行動監査」「OpenAPI ログ」の 3 系統 が取得できます(出典: Lark 公式ヘルプ「管理者ログを使用する」、「メンバーの行動監査機能を使用する」、「OpenAPI ログを使用する」)。メンバー行動監査では Docs・Messenger・Meetings・Calendar・Mails・Account Activity 等の操作履歴が記録されます。中小企業に推奨する運用は「①月初に前月分のログを管理者がダウンロード ②異常アクセス(深夜のダウンロード集中、退社者の不自然なアクセス等)を 30 分でレビュー ③Lark Base の『監査ログレビュー記録』テーブルに結果と対処を記録」の月次サイクル。これを 2 年間継続するだけで、漏えい時の説明責任が格段に楽になります。なお監査ログの保存期間・エクスポート形式の詳細はプランや管理コンソールバージョンによって変わるため、最終確認は管理画面で行ってください。

Step 4: 漏えい等報告の手順を「48 時間以内に動ける」状態に整備

漏えい等報告の速報は「漏えいを知った時から概ね 3〜5 日以内」と定められています。中小企業で多い失敗は「経営者に報告が上がるまで 1 週間かかり、速報期限を過ぎる」というケース。対策として、Lark Base に「漏えい等インシデント管理」テーブルを作り、「発見者 → 直属上司 → 情報セキュリティ責任者 → 経営者」へのエスカレーションを Lark Messenger の通知ワークフローで自動化します。報告書のひな型(個人情報保護委員会の 「漏えい等の報告の義務化」 ページの様式を参考)を Lark Wiki に格納しておけば、48 時間以内に下書きまで作れます。

Step 5: SSO/MFA・データレジデンシー設定で「入り口」を固める

権限と監査ログを整えても、認証の入り口が脆弱なら漏えいは止まりません。Lark は SAML 2.0 SSO に対応しており、Okta・Google Workspace・Azure AD など主要 IdP との連携が可能です(出典: Lark 公式ヘルプ「SAML 2.0 SSO ログインを設定する」)。さらに、管理者が組織全体に二段階認証(MFA)を強制する設定も提供されています(出典: Lark Admin Help「Turn on two-step verification for organization members」)。データレジデンシー(データ保存先の選択)は「米国・シンガポール・日本」の 3 拠点から組織単位で選択でき、日本国内保管を要件とする取引先対応にも応えられます(出典: Lark 公式ヘルプ「データレジデンシーサービスの紹介」)。各機能のプラン要件は変動するため、契約前に Lark 公式プランページ で要確認です。

Lark の権限・ログ・認証機能 — 公式仕様の最新スナップショット(2026 年 6 月時点)

5 ステップの実装に使う Lark 側の主要機能を、公式ヘルプの URL 付きでまとめます。中小企業 30 名規模の社内コンプライアンス監査や、取引先からの「個人情報の管理体制を説明してほしい」という依頼にそのまま使える一覧です。

注: 上記機能のプラン別利用可否(Starter / Pro / Enterprise の機能差)は公式ヘルプでは個別記事ごとに記載が異なり、SSO や監査ログの一部は Pro / Enterprise が前提と二次情報源にあります。最終確認は Lark 公式プランページ または Lark 営業窓口へ。Lark の料金プラン詳細は Lark vs kintone 比較 や M365 値上げから Lark への移行判断 でも触れています。

自社 EC 事業での実装例 — 顧客 DB の最小権限切り出し

アウフヘーベンジャパンは自社 EC 事業(楽天・Amazon・自社サイト)を運営しており、楽天 RMS・Amazon セラーセントラル・自社サイト DB の 3 系統から顧客個人情報が継続的に流入しています。Lark Base への集約と権限再設計を以下の手順で実施しました。

第一に、楽天・Amazon・自社サイトの注文情報は Lark Base「顧客取引マスター」テーブルに 1 件 1 行で統合。フィールドは「注文 ID / モール / 注文日 / 顧客名 / 配送先住所 / 電話番号 / メール / 商品 / 金額 / 配送業者 / ピッキング状態」の 11 列。ここで列レベル権限を設定し、「ピッキング担当(パート社員)は注文 ID・配送先住所・電話番号・商品・ピッキング状態の 5 列のみ閲覧可、顧客名と金額は非表示」 としました。配送先住所は配達のために必須、電話番号は不在時連絡のために必須、しかしマーケティング分析に使う顧客名や金額は業務上不要だからです。

第二に、配送業者に渡すピッキングリストは Lark Base のビューを「本日出荷分」フィルターで切り出し、CSV エクスポート時に顧客名・金額列を含めない設定にしました。これだけで、外部業者に渡る個人情報量は半分以下に削減できました。第三に、月初に管理者ログとメンバー行動監査を 30 分でレビューする運用を 14 か月継続し、過去のレビュー記録は Lark Base「監査ログレビュー記録」テーブルに残しています。これがあれば、万一の漏えい時に「事業者として何をやっていたか」を即時説明できます。月 240 時間の事務作業を月 24 時間に圧縮した自社実証(中小 EC 事業者の Lark 活用 240h → 24h)は、こうした権限・ログ運用の上に成り立っています。

施行までに完成させる 60 日 実装プラン(週次ロードマップ)

5 ステップを 60 日(約 9 週間)に展開した週次プランです。30 名規模の中小企業で、情シス担当 1 名 + 業務側キーパーソン 2〜3 名のリソースを想定しています。

このプランで重要なのは Week 9 の「リハーサル」です。多くの中小企業は手順を整備しても訓練しないため、いざ漏えいが起きた瞬間に手順書が機能しません。誤送信 1 件と不正アクセス 1 件の想定シナリオで「発見 → 直属上司 → 情シス → 経営者 → 報告書ドラフト」までを 48 時間で回せることを 1 度通すと、本番の動きが大きく変わります。DX 推進全体での失敗回避は 中小企業 DX 失敗率 64% を回避する 5 ステップ もあわせてご覧ください。

よくある質問

Q1. 課徴金はうちの会社にも課されるのですか?

改正法案の課徴金対象は「違法な第三者提供」「目的外利用」など 5 類型に限定されており、安全管理措置義務違反による「うっかり漏えい」自体は直接対象になりません(出典: BUSINESS LAWYERS)。ただし、漏えい後に違法な提供や目的外利用があった場合は対象になり得ます。また課徴金が無くても、現行法ですでに法人最大 1 億円の罰金(個人情報保護法第 178 条等)、漏えい等報告義務、行政指導・公表処分があるため「課徴金が無いから安心」ではありません。

Q2. 中小企業(従業員 100 名以下)も漏えい等報告の義務はありますか?

あります。漏えい等報告義務(2022 年 4 月施行)は事業規模に関係なく、個人情報を取り扱う全事業者が対象です(出典: 個人情報保護委員会 ガイドライン Q&A)。特に「不正アクセス等による漏えい」は件数 1 件でも報告対象で、速報は 3〜5 日以内です。中小企業が「報告漏れ」をしないためにも、Lark Base + Messenger でエスカレーション フローを自動化しておくことを推奨します。

Q3. Lark の監査ログはどのプランから使えますか?

Lark 管理コンソールでは「管理者ログ」「メンバー行動監査」「OpenAPI ログ」の 3 系統が提供されています(出典: Lark 公式ヘルプ)。各機能のプラン別利用可否や保存期間、エクスポート方法の詳細は管理コンソール内表示や Lark 公式プランページ、もしくは Lark 営業窓口での確認が確実です。中小企業で「監査ログを取り、月次でレビューする」運用を組むこと自体は、契約プランに関わらず実装可能な範囲があります。

Q4. Lark のデータは日本国内に保管できますか?

はい。Lark のデータレジデンシー機能では「米国・シンガポール・日本」の 3 拠点から組織単位で保存先を選択できます(出典: Lark 公式ヘルプ「データレジデンシーサービスの紹介」)。一組織につき 1 拠点が原則ですが、メンバー単位で別拠点に保存することも可能とされています。「データは国内保管が条件」という取引先の要求にも応えられます。

Q5. 退職した社員のデータはどう扱われますか?

Lark の管理コンソールでは、退職処理時に Docs・メール・承認・カレンダーを他のメンバーへ移管するか、削除するかを選択できます(出典: Lark Admin Help「Transfer employee data and handle offboardings」)。削除設定にした場合でも 90 日以内なら復元可能です。アカウントを完全削除する操作(Terminate)後はデータが完全消去されます。これにより、退職時の個人データ・業務情報の漏えいリスクと、業務継続性の両立が可能です。

「うちの権限・ログは今どうなっているか」を 60 分で診断

改正個人情報保護法は「課徴金は限定的、しかし漏えい報告義務は既に全事業者が対象、そして報告件数は過去最多」という三重の状況下で、中小企業に「やってきたことを説明できる体制」を求めています。Lark の権限・監査ログ・SSO・データレジデンシー機能は、その説明責任に必要な部品を一式提供しますが、組み立ては会社ごとに最適解が変わります。アウフヘーベンジャパンは群馬・前橋を拠点に Lark 導入を支援しており、自社 EC 事業での実証(月 240h → 24h、顧客個人情報の権限・ログ実装)を踏まえた設計をご提案できます。Lark Partner CSM Certificate は 2026 年 6 月取得予定です。

本記事に関連する記事:
・Lark Base が中小企業の業務効率を変える 3 つの理由
・Lark Base 30 日 Excel 移行プラン
・Lark Wiki で属人化を 30 日で解消する
・Lark 承認ワークフロー実装ガイド
・中小企業 DX 失敗率 64% を回避する 5 ステップ
・M365 値上げから Lark への移行判断 60 日
・中小 EC 事業者の Lark 活用事例 — 月 240h → 24h の実証