日本 2026 年个人信息保护法修订法

新特例允许在担保数据仅用于统计信息等作成（含可整理为统计作成的 AI 开发）的前提下，无本人同意地进行个人数据第三方提供，以及取得已公开的要配虑个人信息。配套约束包括：公表一定事项（取得者或提供元与提供先的名称、拟进行的统计信息等作成内容等）；第三方提供场合须由提供元与提供先以书面就“仅以统计信息等作成为目的”达成合意；取得者与提供先被禁止目的外利用与再提供。具体对象范围与公表事项由委员会规则另行规定。

触发条件

拟与日本企业共享数据训练模型、或从日本合作方接收数据用于模型开发的中国 AI 企业；亦适用于以网络抓取方式取得已公开要配虑个人信息用于训练的情形。

时限：须在政令指定的施行日前完成部署；施行期日原则上为 2026-07-17 起 2 年内

做完之后应留存的证据

• · 统计信息等作成用途的公表页面与存档
• · 提供元—提供先书面合意（限定为统计信息等作成目的）
• · 目的外利用与再提供禁止的技术与流程控制记录
• · 统计化处理流程说明与输出样本
• · 特例适用范围的内部法务判定备忘

首次达标投入估算：10–25 人日（估算，非承诺）

处理人脸特征数据等的，须周知一定事项：事业者的名称、地址、代表者姓名，处理人脸特征数据等的事实，其利用目的，作为其来源的身体特征内容，以及响应停止利用请求的手续。同时放宽本人请求停止利用的要件（不问是否存在违法行为），并禁止以选择退出制度为依据向第三方提供人脸特征数据等。周知方式与对象范围由政令与委员会规则规定。

触发条件

在日本销售或部署人脸识别、身份核验、门禁、零售客流分析、具身智能视觉感知产品的中国企业，以及为日本客户处理人脸特征数据的中国供应商。

做完之后应留存的证据

• · 人脸特征数据处理周知文本与公示位置记录
• · 人脸特征数据处理台账（来源身体特征、目的、保存期限）
• · 停止利用请求受理与执行记录
• · 禁止以选择退出方式提供的系统配置证明

首次达标投入估算：10–25 人日（估算，非承诺）

本人未满 16 岁时，同意取得与通知等须以其法定代理人为对象（设有例外：事业者不知本人未满 16 岁有正当理由、法定代理人已许可本人营业且系就该营业取得、本人无法定代理人等）。同时放宽该本人的保有个人数据停止利用等请求要件，并新设责务规定：处理未成年人个人信息等时，须按其年龄与发展程度优先考虑其最佳利益，努力采取必要措施以免损害其权利利益。

触发条件

在日本运营教育、陪伴、游戏、社交或消费级 AI 应用，用户中可能包含未满 16 岁者的中国企业。

做完之后应留存的证据

• · 年龄判定机制与准确性评估记录
• · 法定代理人同意取得流程与记录
• · 未成年人最佳利益评估文件
• · 面向未成年人的功能限制与默认设置说明

首次达标投入估算：8–20 人日（估算，非承诺）

修订法以明文规定对受托方课以义务：不得超出所受托业务遂行所必要的范围处理被委托的个人数据等（法令依据、以及为救助生命、救灾或应对非常事态而有紧急必要的情形除外）。同时，若委托合同就处理方法的全部达成合意、并就委托方掌握受托方处理状况所需措施达成合意，则该受托方原则上免除第四章各项义务的适用，但“不得超范围处理”与安全管理义务仍适用。

触发条件

为日本客户提供数据标注、模型微调、推理托管、客服外包的中国供应商；把日本客户数据用于改进自有模型属典型超范围处理。

做完之后应留存的证据

• · 委托合同中处理方法与掌握措施的完整约定
• · 受托数据与自有数据的技术隔离证明
• · 禁止自用的内部管控与访问日志
• · 紧急事态例外适用的记录

首次达标投入估算：8–20 人日（估算，非承诺）

对含有可用于联系特定个人的记述（住居或工作地等所在地、电话号码、邮箱地址、Cookie ID 等）的个人关联信息，新设与个人信息相同的不当利用禁止与不正当取得禁止；含此类记述的假名加工信息与匿名加工信息同样适用。这意味着即便数据在本方不构成“个人信息”，以欺骗方式取得或用于助长违法行为仍属违法。

触发条件

经营广告投放、线索获取、用户识别、跨设备归因或数据交易业务，并在日本处理 Cookie ID、邮箱或设备标识的中国企业。

做完之后应留存的证据

• · 个人关联信息来源合法性核查记录
• · 数据供应商尽调与合同承诺
• · 用途限制与禁止清单（含禁止助长违法行为）
• · 取得方式说明与用户告知文本

首次达标投入估算：6–15 人日（估算，非承诺）

依选择退出届出制度向第三方提供个人数据时，须事前确认该提供先的身份（姓名或名称、地址、代表者姓名）与利用目的；就确认事项作虚假陈述的，将成为过料对象。取得该个人数据时其已由本人、国家机关或地方公共团体公开的等情形除外。

触发条件

在日本以名簿或数据集形式对外提供个人数据的企业；中国企业在日本采购名单类数据时应要求供应商证明其已履行此项核查。

做完之后应留存的证据

• · 提供先身份与利用目的确认记录
• · 选择退出届出文件
• · 提供先尽调与合同条款
• · 公开来源例外适用的证据

首次达标投入估算：3–8 人日（估算，非承诺）

课徵金以“违法行为所获财产性利益”为计算基础，并以行为人是否怠于相当注意作为限定条件。企业应据此：建立并留存能证明已尽相当注意的内控证据（合规审查、数据来源核查、内部审批）；对第 19、20(1)、27(1) 条及统计特例相关处理建立专项台账；并能在受调查时区分与违法行为相关与无关的收益。官方概要以“对象行为涉及本人数 1,000 人”为大规模基准。

触发条件

在日本大规模处理个人信息、且商业模式与数据处理直接挂钩的中国 AI 企业（广告、推荐、数据服务、模型训练）。

做完之后应留存的证据

• · 相当注意义务履行证据包（审查、审批、培训）
• · 高风险处理活动专项台账
• · 与处理活动关联的收入口径说明与核算底稿
• · 违规发现后的中止与整改记录

首次达标投入估算：8–20 人日（估算，非承诺）