個人情報保護法（APPI）解説：実務担当者が押さえるべき義務と対応ポイント（2026年版）

日本のサイバーセキュリティ関連法規の解説シリーズの一部です。規制当局、ガイドライン、各法令の全体像については、まず日本のサイバーセキュリティ法・ガイドライン：事業者が知っておくべきことをご覧ください。

**個人情報保護法（APPI / Act on the Protection of Personal Information）**は、日本市場に関わる事業者が最初に直面する法律です。すでにGDPRへの対応を実施している組織にとっては、「APPIはいわば日本版GDPRだ」という理解が出発点として有効です——包括的な個人データ法制、単一の監督機関、実効性のある越境移転規制——という点は共通しています。しかし、実務上重要な細部は異なります。GDPRのコントロールをそのまま流用しても、特定のギャップが残ります。

私はCISSPとCCSPを保有する情報セキュリティの実務者であり、日本における登録セキュリティスペシャリスト（情報処理安全確保支援士）でもあります。「うちはGDPR対応済みだから大丈夫でしょう」と思い込んでいる方にお伝えする、APPIの実務解説がこの記事です。

APPIとは何か

APPIは日本の主要な個人データ保護法であり、**個人情報保護委員会（PPC / Personal Information Protection Commission）**が執行します。PPCはEUのデータ保護機関に広くアナロジーできる独立した機関です。APPIは「個人情報取扱事業者」が個人情報をどのように収集・利用・保管・移転するかを規律します。

PPCは活発に活動しています。2024年度（2024年4月〜2025年3月）には67件で事業者に報告や資料提出を求め、395件で指導・助言を行っています（ICLG, Data Protection 2025–2026 — Japan）。絵に描いた餅ではありません。

APPIはあなたの組織に適用されるか

これが最もよく聞かれる質問であり、多くの事業者にとって答えはイエス——日本に事務所も拠点もサーバーもなくても適用されることがあります。

APPIは域外適用されます。日本に所在する個人の個人情報を、その者への商品・サービスの提供に伴い取り扱う外国事業者はAPPIの対象となります。PPCは海外の事業者にも報告を求め、命令を発することができます（ICLG）。

日本のユーザーを持つ海外SaaSベンダーや、日本向けに商品を発送する欧米の小売業者も、APPIを「他人事」とは言えません。実務上の判断基準は「日本に法人があるか」ではなく、「日本にいる人々のデータを、彼らへの販売に伴い取り扱っているか」です。

APPIとGDPRの違い：実際に問題になるポイント

GDPRで培ったノウハウの大部分は活用できます。しかし次のギャップは活用できません。

経営層に伝えるべき重要ポイント：APPIの法人への最大制裁金（1億円）はGDPRの売上高連動型制裁と比べてはるかに小さい——とはいえ、PPC命令に伴うレピュテーション上・オペレーション上のコストと、後述する漏洩報告のメカニズムを考えると、「リスクを取ればいい」という戦略は得策ではありません。

最も見落とされやすいのが**「要配慮個人情報」の概念**です。GDPRの正当な利益根拠で処理できるカテゴリでも、APPIでは事前の明示的な同意が必要になる場合があります。

APPIにおける越境移転

個人データを日本国外——親会社、クラウドリージョン、海外サポートチームなど——に移転する場合、APPIはこれを制限します。大きく分けて、次のいずれかが必要です。

1. 越境移転についての本人の同意；
2. 日本基準に適合した保護水準を有すると認められた国・地域にある受取先、または日本の基準を充たした体制を整備した受取先；あるいは
3. グローバルCBPRなどの認定済みの枠組みの利用。

GDPRで使用している標準契約条項（SCCs）や十分性認定との比較でそれぞれトレードオフがあります。特にCBPRの経路は日本が積極的に推進しています。

→ 詳細ガイド：グローバルCBPR認証——プロセス・費用・越境移転

漏洩報告：多くの組織が驚く期限

改正APPIにより、個人データ漏洩の報告義務が法定化されました。そのタイミングはGDPR対応に慣れたチームが想定するより厳しいことがあります。PPCへの報告は、漏洩（または疑いのある事案）が要配慮個人情報、財産的被害のおそれ、不正目的の利用（サイバー攻撃を含む）、または1,000件を超える影響個人数に関わる場合に一般的に義務付けられます（IAPP）。

義務が発生した場合、2段階の期限があります。

• PPCへの速報：速やかに——実務上、認知からおおむね3〜5日以内；そして
• 確報：30日以内——ただしサイバー攻撃など不正目的が疑われる場合は60日以内（IAPP）。

インシデント対応の現場では、速報の期限が最も危険です。3日以内に根本原因を特定できることはまずありません——法律もそれを求めていません。求めているのは、とにかく速やかに報告することです。現場でよく見る失敗パターンは、速報を「完璧に仕上げるもの」として扱い、提出できなくなることです。必要になる前に報告経路、判断ツリー、担当者を設計しておくことが重要です。これは設計の問題であり、英雄的対応の問題ではありません。

罰則と執行

2020年改正以降、APPIに違反した個人は最大1年の懲役または最大100万円の罰金、法人は最大1億円の罰金に処される可能性があります（Endpoint Protector）。重要なのは、罰則は通常、事業者が実際の漏洩に対してではなく、PPCの是正命令に従わなかった場合に科されるという点です。

この執行構造は、真摯に対応する事業者に有利です。PPCの指導に応じて是正した事業者と、命令を無視した事業者とでは立場が大きく異なります。

APPI対応チェックリスト（出発点として）

法的アドバイスではなく、実務担当者としての第一ステップです。

• 適用範囲を確認する。 日本にいる人への商品・サービス提供に伴いデータを取り扱っているか？　イエスなら、APPIが適用されます。
• 「要配慮個人情報」を棚卸しする。 他の根拠で処理しているが、実は事前同意が必要なものを洗い出す。
• 個人データ管理の責任者を指定する（APPIにおけるDPOの類似役割、ただしDPOとは異なる）。
• PPC漏洩報告の経路を事前に構築する——3〜5日の速報期限に対応できるよう備える。
• 越境移転の根拠を選択する（同意・基準適合受取先・CBPR）。
• GDPRプログラムとの整合を取り、日本固有のギャップのみを埋める——一から作り直す必要はありません。

まとめ

APPIはGDPRより難しいわけではありません——形が違うだけです。既存のプログラムは大部分を活用できます。必要な作業は、日本固有のギャップ（要配慮個人情報、漏洩報告の期限、移転根拠）を見つけて埋めることです。「GDPRで大丈夫」でも「一から始め直し」でもありません。どちらも正しくありません。

APPIが日本の他の規制当局・法令の中でどのような位置付けにあるかは、全体概要ガイドをご覧ください。

参考文献

• 個人情報保護委員会（PPC）— 公式サイト （2026-06-11 確認）
• 個人情報保護法 — 条文（e-Gov法令検索） （2026-06-11 確認）
• Data Protection Laws and Regulations 2025–2026 — Japan （ICLG, 2026-06-11 確認）
• Japan updates enforcement rules for amended APPI （IAPP, 2026-06-11 確認）
• Practical notes for Japan’s APPI guideline updates （IAPP, 2026-06-11 確認）
• Japan APPI vs. EU GDPR （TermsFeed, 2026-06-11 確認）
• Data Protection in Japan: APPI （Endpoint Protector, 2026-06-11 確認）