日本個人情報保護法（APPI）：2026 年 7 月改正成立將導入課徵金，2025 年度漏洩報告 17,139 件
日本個資法修正法 2026 年 7 月公布，2 年內施行並新增課徵金；2025 年度漏洩報告 17,139 件。
在日本經營事業、或對日本境內的人提供商品與服務，會碰到「個人情報保護法」（APPI）。個人情報保護委員會（PPC）的資料顯示：2026 年 4 月 7 日閣議決定、提交國會的「個人情報保護法等一部修正法」，在 2026 年 7 月 10 日國會成立，7 月 17 日公布，施行日原則上是公布日起 2 年內；修正重點包括對大規模重大違法導入「課徵金」、統計作成等情形的同意例外、16 歲未滿者的規定，以及提高不正提供個人資料庫等的罰則。另一方面，PPC 公布的漏洩等報告處理件數顯示，2025 年度民間事業者（個人情報取扱事業者）的案件共 17,139 件。本文整理現行法的主要義務、罰則，以及修正法的重點，只說明法條與官方資料，不構成法律意見；個別事業是否適用，請洽專業人士或 PPC。
一、現行法的主要義務（e-Gov 條文）
現行個人情報保護法（平成 15 年法律第 57 號）的重點條文：
| 項目 | 條文要點 |
|---|---|
| 個人情報 | 第 2 條：與生存個人有關、可由姓名、生日等識別特定個人的資訊，或含有個人識別符號者 |
| 個人情報取扱事業者 | 第 16 條：將個人情報資料庫等供事業使用者（國家機關、地方公共團體等除外） |
| 利用目的 | 第 17 條：處理個人情報時，須盡可能特定利用目的；變更不得超出與變更前有合理關聯的範圍 |
| 取得 | 第 20 條：不得以不正手段取得；取得要配慮個人情報原則上須事先取得本人同意 |
| 安全管理措施 | 第 23 條：須採取必要且適當的措施，防止個人資料外洩、滅失、毀損 |
| 漏洩等報告 | 第 26 條：發生可能嚴重侵害個人權益、依 PPC 規則所定的事態時，須向 PPC 報告，並通知本人 |
| 第三人提供 | 第 27 條：原則上須事先取得本人同意（法定例外除外） |
| 對外國第三人提供 | 第 28 條：原則上須取得本人同意，並事先提供該外國制度等參考資訊；對已整備相當措施體制者等另有規定 |
| 個人關連情報 | 第 31 條：提供對象可能將其作為個人資料取得時，須確認本人同意等 |
| 本人請求 | 第 33、34 條：本人可請求開示（含以電磁方式提供）、訂正、追加或刪除保有個人資料 |
| 域外適用 | 第 171 條：事業者就對國內者提供商品或服務，在外國處理以國內者為本人的個人情報時，同樣適用本法 |
第 171 條的域外適用意味著，即使事業者在日本以外（包括台灣）處理與日本境內者有關的個人情報，只要是為了對日本境內的人提供商品或服務，仍可能適用日本個資法；實際是否適用，須依具體事實判斷。
二、罰則與命令
PPC 對違反特定義務者可勸告、命令（第 148 條）。違反命令者，行為人處 1 年以下拘禁刑或 100 萬円以下罰金（第 178 條）；個人情報取扱事業者的役員、從業者等為自己或第三人的不正利益而提供或盜用個人情報資料庫，處 1 年以下拘禁刑或 50 萬円以下罰金（第 179 條）；法人的代表者、從業者就第 178、179 條違反行為，法人處 1 億円以下罰金（第 184 條）。第 185 條另有 10 萬円以下過料的規定（例如未依第 30 條第 2 項規定者）。現行條文沒有課徵金制度；修正法將新增。
三、2026 年 7 月修正法的重點
PPC 公布的「個人情報保護法等一部修正法」資料說明，修正的背景是依 2020 年修正法附則第 10 條的「每三年檢討」規定，並依 2025 年 6 月 13 日閣議決定的「資料利活用制度基本方針」等；PPC 於 2026 年 1 月 9 日公布「制度改正方針」。修正法的重點如下：
- 統計作成的同意例外：第三人提供個人資料等，以及取得已公開的要配慮個人情報，若僅用於統計資訊等的作成（含可整理為統計作成的 AI 開發等），不須本人同意；須公布一定事項、提供者與提供對象間以書面合意僅限統計作成等。
- 其他同意例外：因取得狀況而明顯不違反本人意思的處理；因保護生命或公共衛生所需的「同意取得困難」要件放寬；明示「學術研究機關等」包括以提供醫療為目的的機構。
- 16 歲未滿者：同意取得與通知等以法定代理人為對象，放寬利用停止等請求要件，並設置優先考量本人最佳利益的責務規定。
- 風險因應：顏特徵資料等須周知一定事項，禁止以選擇退出（opt-out）方式提供第三人；對選擇退出制度，須確認提供對象的身分與利用目的；漏洩時若本人權益受損疑慮小，放寬通知本人的義務。
- 實效性確保：放寬命令的要件，並可勸告、命令採取通知本人違法事實或公布等保護措施；提高不正提供個人資料庫等的罰則並新增詐欺取得的罰則；對有經濟誘因、大量個人情報的惡質重大違法，導入課徵金（第 148 條之 3 以下）。
- 施行日：修正法附則第 1 條規定，原則上自公布日（2026 年 7 月 17 日）起算 2 年內、依政令所定日施行；但罰則類的改正（含提高不正提供個人資料庫等的罰則、新增詐欺等不正取得的罰則）自公布日起 6 個月後（2027 年 1 月 17 日）施行；課徵金與統計作成同意例外等，原則為 2 年內的政令日。政令、規則與指引由 PPC 陸續整備，PPC 公告資料中已列出 2026 年 9 月至 10 月的整備方針。
PPC 資料說明，課徵金的對象限於重大違反、大規模案件（以對象行為的本人數 1,000 人為基準），金額相當於違反行為所得的財產上利益；細節以修正法與後續政令為準。
四、漏洩報告的件數
PPC「令和 8 年度第 1 季漏洩等報告處理狀況」（2026 年 9 月 2 日）列出，個人情報取扱事業者的處理件數：2025 年度第 1 至第 4 季分別為 5,007、3,916、4,086 與 4,130 件，合計 17,139 件（本站計算）；2026 年度第 1 季（4–6 月）為 5,451 件。若併計國家機關、地方公共團體等，個人情報的總處理件數 2026 年度第 1 季為 6,101 件。報告對象事態的類別方面，2026 年度第 1 季個人情報取扱事業者的要件別件數為：要配慮個人情報 3,196 件（58.6%）、可能發生財產性損害 1,093 件（20.1%）、不正目的 1,450 件（26.6%）、超過千人 246 件（4.5%）；同一案件可能符合多項要件，因此合計超過 100%。PPC 註明，同一事件常由委託方與受託方雙方各自報告，件數不等於事件數。
怎麼做
- 判斷自己是否為「個人情報取扱事業者」：只要將個人情報資料庫等供事業使用，就適用；法人或個人皆同。
- 對日本境內的人提供商品或服務、並在境外處理其個人資料時，確認第 171 條的域外適用。
- 跨境提供資料（例如在日本取得的資料交給台灣的關係企業）時，依第 28 條確認本人同意、參考資訊與相當措施等要件。
- 發生漏洩等事態時，確認是否屬於 PPC 規則所定的報告對象事態，並依規定時限向 PPC 報告與通知本人。
- 追蹤修正法的施行日與政令、規則：2026 年 7 月 17 日公布，罰則類改正預定 2027 年 1 月 17 日施行，其餘原則在 2 年內；以改正法附則與 PPC「令和 8 年改正個人情報保護法」頁面為準。
容易踩雷
- 把修正法的課徵金說成已經生效：修正法 2026 年 7 月 17 日公布，課徵金的施行日原則上是公布日起 2 年內的政令日，現行條文尚未納入；罰則類改正預定 2027 年 1 月 17 日施行，條號在該日後會重排，本文引用的是現行條號。
- 把漏洩報告件數 17,139 件當成事件數：同一事件可能由委託方與受託方各報一次。
- 以為在台灣處理資料就不受日本法規管：第 171 條有域外適用的規定，須依事實判斷。
- 把統計作成的同意例外當成「AI 開發一律免同意」：修正法限定「僅用於統計資訊等作成」，並須公布、書面合意與禁止目的外利用等。
- 把法人 1 億円罰金當成所有違反的罰則：它是第 178、179 條違反行為的法人罰金；其他義務違反先適用勸告、命令。
常見問題
日本個資法修正了嗎？
2026 年 4 月 7 日閣議決定提交的修正法，已於 7 月 10 日國會成立、7 月 17 日公布，原則上 2 年內施行；新增課徵金、統計作成同意例外與 16 歲未滿規定等。
日本個資法違反會被罰多少？
現行法：違反 PPC 命令者最高 1 年拘禁刑或 100 萬円罰金；為不正利益提供個人資料庫者 1 年以下拘禁刑或 50 萬円罰金，法人最高 1 億円罰金；修正法將新增課徵金，並提高不正提供等的罰則。
日本一年有多少件個資外洩報告？
PPC：2025 年度個人情報取扱事業者的漏洩等報告處理件數 17,139 件（本站由四季件數合計）；2026 年 4–6 月 5,451 件。