個人情報保護法の改正案が2026年4月7日に閣議決定され、5月26日に衆議院を通過しました。今国会での成立が見込まれており、最大の目玉は、個人情報を違法に取り扱って財産上の利益を得た事業者に対し、個人情報保護委員会が課徴金の納付を命じられる「課徴金制度」の新設です。これまで違反への対応は指導・勧告・命令が中心でしたが、改正後は悪質・反復的なケースに金銭的な制裁が加わる方向へと、一段重くなります。不動産会社は、問い合わせ(反響)データ、入居申込書、運転免許証やマイナンバーカードの写し、勤務先・年収・連帯保証人の情報、退去者やオーナーの名簿といった、量も質も濃い個人情報の塊を日々扱う業種です。「うちは小さいから関係ない」では済まされない時代の入り口に来ています。本記事は、ウルスタ代表として宅建業を営み、自社で210室規模の賃貸住宅を管理・客付けする立場から、(1)改正案で何が変わるのか、(2)不動産会社が抱える個人情報の棚卸し、(3)すでにある義務の再確認、(4)課徴金時代に向けて今から始める5つの実務、(5)こども・学生の契約での同意、(6)オーナー・入居者・社内への展開まで、施行前のいまだからこそ着手したい準備を整理します。
なぜ今、個人情報なのか — 改正案が衆院を通過した
まず事実関係を正確に押さえます。個人情報保護法は、いわゆる「3年ごと見直し」の仕組みを持っており、社会の変化に合わせて定期的に改正されてきました。今回の改正案は2026年4月7日に閣議決定され、第221回特別国会に提出されたのち、2026年5月26日に衆議院を通過しました。報道によれば、与党と国民民主党の賛成多数で可決されており、参議院での審議を経て今国会での成立が見込まれています。施行は公布から2年以内に政令で定める日とされ、各法律事務所の解説では公布が2026年夏ごろ、施行は2028年ごろになるとの観測が示されています。
つまり、いま起きているのは「制度が変わることが固まりつつある」段階であり、実際に効き始めるまでには準備期間があります。この期間をどう使うかが、来るべき課徴金時代に慌てないための分かれ目です。法律が動くニュースは、不動産会社にとって「お客様にどう説明するか」という営業の話でもあります。改正の方向性を正しく理解しておくことは、コンプライアンス対応であると同時に、オーナーや入居者からの信頼を積み上げる材料にもなります。
改正案の中身 — 不動産実務に効く4つのポイント
個人情報保護委員会が公表した法律案の概要をもとに、中小不動産会社の実務に関係の深い変更点を4つに絞って整理します。
(1)課徴金制度の新設 — 制裁が金銭に及ぶ
今回の改正の核心です。個人情報を違法に取り扱うなどして財産上の利益を得た場合に、個人情報保護委員会がその利益に相当する額の課徴金の納付を命じられる制度が新設されます。これまでの是正の枠組みは指導・勧告・命令が中心で、命令違反に罰則はあったものの、違反そのものに直接お金のペナルティが科される仕組みではありませんでした。改正後は、悪質なケースや反復的な違反に対して、得た利益を吐き出させる金銭的制裁が現実の選択肢になります。報道では、名簿の不正な売買のような悪質業者が主たる想定とされていますが、制度の方向性として「個人情報の杜撰な扱いはコストになる」という認識は、業種・規模を問わず共有しておく必要があります。今回の見直しでは、消費者団体による差止請求の導入は見送られた一方で、課徴金の導入が選ばれました。背景には、名簿の不正流通や大規模な漏えい事案が後を絶たず、これまでの是正手段だけでは抑止力が足りないという問題意識があります。「見つかっても得した者勝ち」をなくすのが課徴金の狙いであり、裏を返せば、個人情報を適正に扱っている会社にとっては公平な競争条件が整う改正だとも言えます。
(2)生体データ等の利用停止請求/(3)こどもの個人情報
身体の一部の特徴に係る情報(いわゆる生体データ)を含む個人情報等について、違法な取扱いがなくても本人が利用停止等を請求できるようになります。賃貸の防犯カメラで顔の画像を扱う場面などは、この論点と無縁ではありません。あわせて、報道や法律事務所の解説によれば、改正案には16歳未満のこどもの個人情報を取得する際に法定代理人(親権者など)の同意を求める規定や、こどもの個人情報を扱うときは本人の最善の利益を優先して考慮する責務規定も盛り込まれるとされています。学生向け賃貸を扱う会社にとっては、申込者が未成年である場合の同意の取り方に直結します。
(4)統計作成のための第三者提供の同意不要化
統計等の作成を行う第三者に個人情報を提供する場合などについて、本人の同意を不要とする措置も設けられます。データ利活用を後押しする緩和の側面で、規制強化一辺倒の改正ではない点は押さえておきましょう。ただし、ここで「同意が要らなくなる」のはあくまで統計作成等の限られた場面です。反響データを将来の営業や別サービスに使い回すような場面は、引き続き利用目的の特定と本人への明示が前提であることに変わりはありません。緩和と強化の両方が入っているのが今回の改正の特徴です。
課徴金が実際に運用されるのは施行後(2028年ごろの見込み)です。しかし、後述する棚卸し・委託先点検・漏えい初動フローの整備は、いずれも現行法ですでに求められている管理体制の延長線上にあります。施行を待ってから始めるものではなく、今日から無料で着手できる実務です。
不動産会社の個人情報を棚卸しする
対応の出発点は、自社が「どこに・どんな個人情報を・なぜ持っているか」を一覧にすることです。これは現行法でも求められている取組みであり、課徴金制度への備えの土台にもなります。賃貸仲介・管理を念頭に、典型的な個人情報とリスク、いますぐの対応を表にしました。自社の業務に置き換えて埋めてみてください。
| 個人情報の種類 | 主なリスク | いますぐの対応 |
|---|---|---|
| 反響(問い合わせ)・内見予約データ | 取得目的を超えた営業利用・長期放置 | 利用目的の明示と保存期間の設定 |
| 入居申込書・審査書類(年収・勤務先・保証人) | 第三者(保証会社等)への提供範囲が曖昧 | 提供先と目的の整理・同意の取り方を確認 |
| 本人確認書類の写し(免許証・マイナンバーカード) | 過剰取得・複製の散在・番号法との関係 | 取得は最小限に。マイナンバーは別管理 |
| 退去者・旧客の名簿 | 消去ルール不在で放置・名簿流出 | 保存年限と廃棄手順の文書化 |
| オーナー情報・送金口座 | 管理システム・委託先経由の漏えい | 委託先の安全管理措置の確認 |
| 防犯カメラ映像(顔画像) | 告知不足・利用停止請求への未対応 | 掲示・運用ルールと保存期間の明確化 |
棚卸しで多くの会社がつまずくのは「本人確認書類の写し」と「退去者名簿」です。免許証のコピーを申込のたびに取り、フォルダやキャビネットに目的も期限もなく溜め込んでいるケースは珍しくありません。マイナンバーカードは、番号(マイナンバー)部分が番号法(マイナンバー法)の対象で、個人情報保護法とは別の厳格な管理が求められます。本人確認のためにカードを使う場合でも、番号が必要でない手続きで番号部分まで控える必要はありません。退去者名簿も、契約・税務・トラブル対応に必要な期間を決めて保存し、過ぎたものは廃棄するルールがなければ、リスクだけが積み上がっていきます。
すでにある義務を再確認する
課徴金は新しい制裁ですが、守るべき義務の多くはすでに現行法に存在します。2022年4月に全面施行された改正(令和2年改正)で、事業者には次のような対応が求められています。これらができていない状態で課徴金時代を迎えるのが、最も避けたいシナリオです。
第一に、漏えい等が起きた場合の報告と本人通知です。一定の類型(要配慮個人情報の漏えい、不正アクセスによる漏えい、財産的被害のおそれ、1,000人を超える漏えいなど)に当たる場合、個人情報保護委員会への報告と、本人への通知が義務づけられています。報告には速報と確報の二段階があり、速報は「速やかに」、確報は原則30日以内(不正アクセス等は60日以内)とされています。第二に、不適正な利用の禁止です。違法・不当な行為を助長するような使い方は、それ自体が禁じられています。第三に、利用目的の特定・通知・公表。何のために個人情報を使うのかをできる限り具体的に定め、本人に分かるようにしておく必要があります。「サービスの提供のため」といった漠然とした書き方ではなく、賃貸の媒介・管理・更新・送金・各種連絡といった実態に即した記載にしておくと、後の使い回しをめぐるトラブルを防げます。第四に、委託先の監督。賃貸管理システム、客付けポータル、保証会社、火災保険、原状回復業者など、個人情報を渡す相手の安全管理措置を確認し、契約と監督で担保することが求められます。
クラウド型の賃貸管理システムやメール配信、ポータルサイトへの物件・申込連携、保証会社への審査情報の送付、退去後の原状回復やハウスクリーニングの発注 — これらはいずれも個人情報の取扱いを伴う委託です。海外にサーバーがあるサービスを使う場合は、外国にある第三者への提供という別の論点も生じます。まずは「個人情報を渡している相手の一覧」を作ることが、委託先監督の第一歩です。
課徴金時代に向けて今から始める5つの実務
難しく考える必要はありません。施行までの準備期間にやるべきことは、現行法の体制整備を一段ていねいにすることです。費用をかけずに今月から着手できる5つを示します。
1. 利用目的の点検。反響データや申込情報を「何のために使うのか」を改めて言語化し、ホームページのプライバシーポリシーや申込書面の記載と一致させます。将来別の目的(セミナー案内、関連サービスの紹介など)に使う可能性があるなら、その旨を最初に明示しておきます。2. 取得時の同意・最小化の設計。本人確認書類の写しは、本当に必要か・どの範囲かを見直し、過剰取得をやめます。保証会社や火災保険へ情報を渡すなら、その提供先と目的を申込時に分かるようにします。3. 委託先・第三者提供の管理。前章の「個人情報を渡している相手の一覧」をもとに、各委託先の安全管理措置と契約条項を確認します。海外サーバーの利用がないかもあわせてチェックします。4. 保管期間と廃棄ルール。申込書・審査書類・退去者名簿について、保存年限を決め、紙はシュレッダー、データは確実な消去という廃棄手順を文書化します。5. 漏えい時の初動フロー。「誰が・いつまでに・どこへ報告し・本人にどう通知するか」を1枚にまとめ、全員が見られる場所に置きます。USBの紛失、誤送信、不正アクセスなど、起こりがちな事例を想定しておくと現実的です。
当社の210室の運用でも、いちばん効いたのは「本人確認書類の写しを必要な手続き以外では取らない・残さない」と決めたことでした。集めない情報は漏れません。次に効いたのが、退去後の書類の保存年限を決めて、毎年まとめて廃棄する運用です。棚卸しをすると、目的も期限もなく持っている情報がいかに多いかに気づきます。減らすこと自体が、最も確実で安上がりなリスク対策です。
こども・学生の契約での同意 — 学生賃貸の注意点
学生向け賃貸や、未成年が関わる契約を扱う会社は、こどもの個人情報の取扱いに目を向けておきましょう。改正案では、16歳未満のこどもの個人情報の取得等にあたって法定代理人(親権者など)の同意を求める方向が示されています。もともと未成年者の賃貸借契約には民法上、法定代理人の同意が必要ですが、これに加えて個人情報の取得・利用の同意についても、こども本人ではなく親権者を相手にする場面が出てくるという整理です。実務では、高校生・専門学校生など16歳未満が単独で申込むケースは多くありませんが、保護者が契約者・連帯保証人になり、入居者本人が未成年というパターンは起こり得ます。申込書のどこで誰の同意を取るのか、保護者の連絡先や勤務先情報をどう扱うのかを、いまのうちに整理しておくと安心です。たとえば進学に伴う初めての一人暮らしでは、入居者本人が未成年、契約者が親という形で複数人の情報が同時に動きます。誰の同意を・どの書面で・何の目的で取得するのかを一本化しておくと、現場スタッフの判断に迷いがなくなります。施行までに公式のガイドラインやFAQが整備される見込みなので、確定情報は個人情報保護委員会の発表を確認してください。
オーナー・入居者・社内への展開
制度対応は、社内の体制づくりとお客様への説明の両輪で進めると、コンプライアンスが営業の信頼につながります。オーナーに対しては、管理を任せている個人情報(入居者名簿・送金口座など)を自社がどう守っているかを、年次報告や面談の機会に一言添えるだけで安心感が変わります。「個人情報保護法の改正に合わせて、当社では委託先の点検と書類の保存・廃棄ルールを見直しました」と伝えられる管理会社は、それだけで他社と差がつきます。入居者に対しては、申込時の利用目的の説明と、防犯カメラの掲示などの基本を丁寧にしておきます。社内に対しては、漏えい初動フローの共有と、年1回程度の簡単な研修(誤送信を防ぐ宛先確認、書類の持ち出しルール、退職時のデータ返却)を習慣にします。個人情報保護委員会は「STOP!名簿流出」などの注意喚起や、漫画でわかる解説資料を無料で公開しており、研修の素材として使えます。
よくある質問
Q1. 課徴金は、うちのような小さな不動産会社も対象になりますか。
制度の主たる想定は、名簿の不正売買のような悪質・反復的な違反とされています。通常の業務を善管注意で運用していれば、軽微なミスで直ちに課徴金、という性質のものではありません。ただし「制裁が金銭に及ぶ」という方向性は規模を問わず共通です。最低限の体制整備(棚卸し・委託先点検・漏えい初動)は、規模に関わらず進めておくべきです。
Q2. 本人確認書類の写しは、どこまで保管してよいですか。
利用目的の範囲で、必要最小限・必要な期間に限るのが原則です。マイナンバーカードを本人確認に使う場合でも、番号(マイナンバー)が不要な手続きで番号部分まで控える必要はありません。マイナンバーは番号法の対象で、個人情報保護法より厳格な管理が求められる点に注意してください。
Q3. 賃貸管理システムやポータルはクラウドですが、委託先管理はどうすれば。
各サービスの安全管理措置を確認し、委託契約で取扱いの範囲・再委託・漏えい時の対応を定め、定期的に監督します。サーバーが海外にある場合は、外国にある第三者への提供という別の規律が関わるため、提供先の所在地も確認しておきましょう。
Q4. 退去した入居者の情報は、いつ消せばよいですか。
利用目的を達成し、契約・税務・トラブル対応などで保存する必要がなくなったら、遅滞なく消去するよう努めることが求められます。実務上は「退去後◯年で廃棄」と保存年限を決め、毎年まとめて廃棄する運用にすると、判断のブレと放置を防げます。
Q5. 万一、漏えいが起きたらどうすればよいですか。
一定の類型に当たる漏えいは、個人情報保護委員会への報告(速報・確報)と本人への通知が義務づけられています。事後に慌てないために、報告先・期限・通知文の雛形を含む初動フローを今のうちに1枚にまとめておくことが最も実効的です。
Q6. 防犯カメラの映像も個人情報ですか。
特定の個人を識別できる顔画像は個人情報に当たります。設置の掲示(取得していることの明示)、利用目的、保存期間、アクセスできる人の限定を決めておきましょう。改正で生体データ等の利用停止請求が認められる点も踏まえ、運用ルールを文書化しておくと安心です。防犯カメラの運用は別記事でも詳しく扱っています。
Q7. まず何から始めればよいですか。
今月やるのは3つです。(1)保有している個人情報の棚卸し表を作る(どこに・何を・なぜ)。(2)利用目的・同意の取り方・委託先(情報を渡している相手)の一覧を点検する。(3)保存年限と廃棄のルール、漏えい時の初動フローを文書にする。いずれも費用ゼロで、施行を待たずに着手できます。
まとめ:信頼が資産の業種ほど、データの扱いが営業力になる
改正個人情報保護法の課徴金制度が実際に効き始めるのは施行後(2028年ごろの見込み)ですが、備えとなる棚卸し・委託先点検・保存廃棄ルール・漏えい初動フローの整備は、現行法の延長線上で今日から無料で始められます。不動産は、お客様の人生で最も大きな取引に、最も濃い個人情報を預かりながら関わる仕事です。だからこそ、データを丁寧に扱う姿勢そのものが、オーナーと入居者の信頼につながり、結果として営業力になります。法改正のニュースを「面倒な規制が増える」と受け取るか、「信頼を積み上げる機会」と捉えるかで、数年後の差は大きく開きます。施行までの準備期間を、自社の管理体制を一段引き上げる時間に使っていきましょう。今日も一件、丁寧に積み上げていきましょう。
ウルスタは、中小不動産会社の物件・契約・顧客情報・対応履歴を一元管理できる業務クラウドを提供しています。誰がどの情報にアクセスできるかの管理も、保存年限に沿った見直しも、日々の入力の延長で整えられます。まずは「どこに何の個人情報があるか」の棚卸しから始めていきましょう。
参考: 個人情報保護委員会「『個人情報の保護に関する法律等の一部を改正する法律案』の閣議決定について(令和8年4月7日)」(課徴金制度の新設・身体の一部の特徴に係る情報等の利用停止等請求・統計等作成のための第三者提供の同意不要化・第221回特別国会提出) / 時事通信「悪質業者に『課徴金』 個人情報保護法改正案、衆院通過」(2026年5月26日) / 各法律事務所等の解説(16歳未満のこどもの個人情報に関する法定代理人同意・こどもの最善の利益を考慮する責務、公布から2年以内に施行・2028年ごろとの観測) / 個人情報保護法 令和2年改正(2022年4月全面施行・漏えい等報告および本人通知の義務化・不適正利用の禁止・委託先の監督) / 番号法(マイナンバーの管理) / いずれも2026年6月時点の公開情報
