2026年7月17日、「個人情報の保護に関する法律等の一部を改正する法律」が公布されました。ストレスチェックの結果は個人情報保護法上の要配慮個人情報に当たるため、この改正は人事・産業保健の実務と無関係ではありません。この記事では、個人情報保護委員会が公表した一次資料（「個人情報保護法等の一部を改正する法律について」令和8年7月）に基づき、ストレスチェック運用に効きうる論点だけを切り出して整理します。
- 改正法は2026年7月10日成立・7月17日公布。施行は「原則として公布の日から起算して2年を超えない範囲内」で政令が定める日（＝遅くとも2028年7月16日まで）
- ストレスチェック実務に効きうるのは、①委託を受けた事業者への規律の見直し、②統計情報等の作成に関する同意の特例、③課徴金制度の導入の3点
- ただし対象範囲や公表事項の詳細は今後の政令・委員会規則等に委ねられており、現時点で確定しているのは「法律の条文」までである
- ストレスチェックは2027年4月に集団分析の匿名化明文化、2028年4月に50人未満事業場への義務化が控える。改正個人情報保護法の施行時期はこれらと重なる
改正個人情報保護法はいつ公布され、いつ施行されるのか？
結論から言うと、公布は2026年（令和8年）7月17日で確定しており、施行日はまだ確定していません。個人情報保護委員会の概要資料には、施行期日について「原則として公布の日から起算して2年を超えない範囲内」と記載されています。具体的な日付は今後の政令で定まるため、現時点で言えるのは「遅くとも2028年7月16日までに施行される」というところまでです。
法案の経緯は、2026年4月7日に閣議決定・国会提出、7月10日に第221回国会で成立、7月17日に公布という流れです（出典：個人情報保護委員会「令和8年改正個人情報保護法について」）。法律名は「個人情報の保護に関する法律等の一部を改正する法律」で、個人情報保護法のほか、マイナンバー法・次世代医療基盤法にも所要の措置が講じられています。
注意すべきは、法律本体が公布されても、事業者が実際に何をすべきかは政令・委員会規則・ガイドラインが出そろうまで確定しない点です。概要資料の複数箇所に「具体的な対象範囲は、制度が円滑に運用されるよう、改正の趣旨を踏まえつつ、委員会規則等で定めることを想定」と明記されています。この記事も、確定した部分と未確定の部分を区別して読んでください。
ストレスチェックの結果は「要配慮個人情報」に当たるのか？
当たります。個人情報保護法第2条第3項が定める要配慮個人情報には、同法施行令第2条第2号により「本人に対して医師その他医療に関連する職務に従事する者……により行われた疾病の予防及び早期発見のための健康診断その他の検査……の結果」が含まれます。ストレスチェックは医師・保健師等の実施者が労働者の心理的な負担の程度を把握するために行う検査であり、その結果はこれに該当すると整理されています。
要配慮個人情報は、取得の時点で原則として本人同意が必要であり、オプトアウトによる第三者提供も認められていません。ストレスチェックの実務が「本人同意なしに事業者へ結果を渡さない」という強い建て付けになっているのは、労働安全衛生法第66条の10第2項の要請に加えて、この個人情報保護法上の位置づけがあるためです。現行法下での具体的な運用はストレスチェックの個人情報保護ガイドで整理しています。
論点1｜外部委託しているストレスチェック機関との契約は見直しが必要か？
見直しの検討は必要になる可能性が高い、というのが現時点の答えです。改正法は「データ処理等の委託を受けた事業者について、委託された個人データ等の適正な取扱いに係る義務の見直しを行う」としています（第30条の3、第58条の2）。
概要資料によれば、見直しの中身は次の2方向です。
委託先に明文で課される義務
委託された個人データ等を、委託を受けた業務の遂行に必要な範囲を超えて取り扱ってはならない義務が、明文規定により委託先に課されます。例外として想定されているのは、法令に基づく場合、および人命の救助・災害の救援その他非常の事態への対応のため緊急の必要がある場合です。
一定の場合に免除される義務
委託先自らは取扱いの方法を決定しないケースについては、委託契約で取扱いの方法の全部を合意し、かつ委託先における取扱状況を委託元が把握するために必要な措置等を合意した場合に、委託先に対する法第4章の各義務規定の適用が原則として免除されます。ただし、上記の「必要な範囲を超えて取り扱ってはならない義務」と安全管理に係る義務は引き続き適用されます。
ストレスチェックは外部機関へ委託して実施するケースが実務の主流です。上記の免除を受ける前提が「委託契約における取扱い方法の全部の合意」である以上、委託契約書に取扱い方法がどこまで書き込まれているかが、改正後の整理に影響します。契約書に「個人情報を適切に取り扱う」程度の一般条項しか置いていない場合、施行までに具体化しておく余地があります。
ただし、免除の前提となる「必要な措置等」の具体的な内容は委員会規則等で定めるとされており、いま契約を書き換えるのは早すぎます。現段階で有効なのは、委託先ごとに「何のデータを・誰が・どの範囲で扱っているか」を棚卸ししておくことです。
論点2｜集団分析は「統計情報等の作成」の特例で同意不要になるのか？
現時点では断定できません。改正法は、統計情報等の作成にのみ利用されることが担保されていること等を条件に、本人同意なき個人データの第三者提供および公開されている要配慮個人情報の取得を可能とする特例を設けます（第30条の2、第31条の3）。集団分析は個人を特定しない集計・分析であるため、この特例と発想が近い領域です。
もっとも、ストレスチェックの集団分析については、そもそも労働安全衛生規則側で匿名化が前提とされています。2026年6月30日公布・2027年4月1日施行の改正省令（令和8年厚生労働省令第112号）により、労働安全衛生規則第52条の14第1項に「特定の個人を識別することができない方法で」という文言が追加されます（厚生労働省労働基準局長通達 基発0630第2号）。詳細は集団分析の匿名化が省令で明文化された件の解説を参照してください。
つまり、通常の集団分析は個人データの第三者提供という場面に至らないため、個人情報保護法の統計特例に頼るまでもなく処理できるのが基本形です。特例が意味を持ちうるのは、グループ会社をまたいだ横断分析や、外部の研究・分析主体へデータを渡す場面が考えられますが、特例の対象範囲・必要な公表事項は委員会規則等で定めるとされており、該当するかどうかを現時点で判断することはできません。規則の公表を待つべき論点です。
論点3｜課徴金制度はストレスチェックの健康情報にどう効くのか？
改正法は、個人情報保護法として初めて課徴金納付命令の制度を導入します（第148条の3〜第148条の17）。概要資料は制度趣旨を「経済的誘因のある、大量の個人情報の取扱いによる悪質な違反行為を実効的に抑止するため」と説明し、重大な違反行為により個人の権利利益が侵害された場合等について、当該違反行為によって得られた財産的利益等に相当する額の納付を命ずるとしています。
対象は無制限ではありません。概要資料は次のように限定しています。
| 限定の観点 | 内容 |
|---|---|
| 対象行為 | ①不適正な利用の禁止（第19条）違反 ②適正な取得（第20条第1項）違反 ③第三者提供の制限（第27条第1項）違反 ④統計特例違反（目的外利用・第三者提供）の4類型 |
| 主観的要素 | 対象行為を防止するための相当の注意を怠っていない場合か否かで限定 |
| 権利利益の侵害 | 個人の権利利益が侵害され、または侵害される具体的なおそれが生じた場合に限定 |
| 事案規模 | 大規模な事案に限定（対象行為に係る本人の数について1,000人を基準とする） |
この4条件を素直に読むと、通常のストレスチェック運用でうっかり課徴金の対象になる、という性質の制度ではありません。想定されているのは、健康情報を含むデータを本来の目的を超えて販売・広告利用するような、経済的利得を伴う悪質類型です。実際、概要資料の想定事例には、オンラインメンタルヘルスカウンセリングサービスがメールアドレスと健康情報を治療支援目的のみに利用すると説明していた場面が例示されています。
人事担当者が読み取るべきは金額ではなく方向性です。健康情報を「集めた目的の外に持ち出す」ことへの制裁が、勧告・命令の先に一段積み増されたという点に意味があります。ストレスチェック制度では、面接指導の申出をしたことを理由とする不利益な取扱いが労働安全衛生法第66条の10第3項で禁じられ、これを踏まえて厚生労働省の指針が「ストレスチェック結果のみを理由とした不利益な取扱い」も行ってはならないとしています。今回の課徴金導入はこれとは別系統の規律ですが、健康情報を本来の目的の外へ流す行為を抑止する方向という点では同じ向きを向いた改正です。
漏えいが起きたとき、本人への通知義務は緩くなるのか？
一部の場面では緩和されますが、健康情報がその恩恵を受けると考えるのは早計です。改正法は、漏えい等発生時について「本人の権利利益の保護に欠けるおそれが少ない場合」は本人への通知義務を緩和し、代替措置による対応を認めるとしています（第26条第2項）。
概要資料が挙げる想定は「サービス利用者の社内識別子（ID）等、漏えいした情報の取得者において、それ単体ではおよそ意味を持たない情報のみが漏えいした場合」です。ストレスチェックの結果は要配慮個人情報であり、それ単体で意味を持たない情報とは性質が異なります。緩和の具体的な対象範囲も委員会規則等で定めるとされているため、現行どおり通知する前提で体制を維持しておくのが安全です。
2027年・2028年に何が重なるのか？
ストレスチェックまわりでは、制度変更が短期間に重なります。時系列で並べると次のとおりです。
| 時期 | 内容 | 根拠 |
|---|---|---|
| 2027年4月1日 | 集団分析を「特定の個人を識別することができない方法で」実施することが省令に明記 | 令和8年厚生労働省令第112号（2026年6月30日公布） |
| 2028年4月1日 | 労働者数50人未満の事業場にもストレスチェックが義務化 | 改正労働安全衛生法（施行日は政令で確定済み） |
| 2028年7月16日まで | 改正個人情報保護法が施行（具体的な日は政令で決定） | 個人情報の保護に関する法律等の一部を改正する法律（2026年7月17日公布） |
50人未満義務化のスケジュールと準備の考え方はストレスチェック義務化はいつから？で詳しく整理しています。
ここで押さえておきたいのは、2028年に「ストレスチェックを実施する事業場の数が一気に増える」ことと「個人情報保護法の規律が一段厳しくなる」ことが同じ時期に起きるという点です。新たに対象となる小規模事業場は、健康情報を扱う体制をゼロから作ることになります。制度の締切だけを見て実施方法を急いで決めると、個人情報の取扱いの設計が後回しになりやすい構図です。
いま人事・産業保健担当者が着手すべきことは？
規則が出そろっていない段階でやるべきことは、契約の書き換えではなく現状把握です。
いま着手して無駄にならない4点
次の4点は、改正内容が最終的にどう固まっても取り組みが無駄になりません。
- 委託先の棚卸し：ストレスチェックの実施委託先・システムベンダー・産業医紹介など、健康情報に触れる事業者を洗い出し、それぞれ何のデータをどの範囲で扱っているかを一覧化する
- 委託契約の記載レベルの確認：取扱い方法が具体的に書かれているか、一般条項どまりかを確認する。後者なら、施行に向けた改定候補として印を付けておく
- 目的外利用が起きうる経路の点検：集団分析の結果を人事施策の検討に使う場面など、当初の利用目的を超えかねない社内フローがないかを確認する
- 健康情報取扱規程の更新予定を入れておく：2027年4月の省令改正と2028年の各施行に向けて、規程の見直しタイミングをあらかじめ年間計画に組み込む
いま急いでやらなくてよい3点
逆に、いま先回りしても作り直しになることもはっきりしています。統計特例を前提としたデータ連携の設計、課徴金を想定した特別な体制構築、漏えい時通知フローの縮小——これらはいずれも委員会規則の内容次第で前提が変わるため、先回りしても作り直しになります。
まとめ
「個人情報の保護に関する法律等の一部を改正する法律」は2026年7月17日に公布され、施行は原則として公布から2年以内に政令で定める日となります。ストレスチェック実務に効きうるのは、委託を受けた事業者への規律の見直し（第30条の3）、統計情報等の作成に関する同意の特例（第30条の2、第31条の3）、課徴金制度の導入（第148条の3〜）の3点です。
いずれも対象範囲の詳細は今後の政令・委員会規則に委ねられており、現時点で確定しているのは条文までです。2027年4月の集団分析匿名化の明文化、2028年4月の50人未満義務化と時期が重なることを踏まえ、まずは健康情報に触れる委託先と社内フローの棚卸しから着手することをおすすめします。
参考：個人情報保護委員会「令和8年改正個人情報保護法について」／同「個人情報保護法等の一部を改正する法律について」（令和8年7月）／厚生労働省労働基準局長通達 基発0630第2号（令和8年6月30日）
この記事をシェア
健康情報の取扱い、社内の流れを整理できていますか？
ストレスチェックの実施体制づくりから、委託先を含めたデータの流れの棚卸し、システム面の設計まで、FUNBREWがご相談に応じます。法改正の情報整理からでもお気軽にどうぞ。