改正個人情報保護法が成立、病歴など要配慮個人情報も同意なく提供可能に-AI開発を後押しの一方で懸念の声|セキュリティとAIのニュース-セキュリティ対策Lab

投稿日時: 2026年07月10日更新日時: 2026年07月10日

改正個人情報保護法が2026年7月10日、参議院本会議で与野党の賛成多数により可決、成立しました。AIモデルの開発やデータ活用を進める目的に限り、個人データを外部提供する際の本人同意を不要とする特例が新たに設けられ、病歴や犯罪歴といった「要配慮個人情報」もこの特例の対象に含まれます。当サイトでは以前、本改正案が衆議院を通過した段階での内容を詳しく取り上げましたが、今回は参議院での可決・成立という最終段階を踏まえ、法律に盛り込まれたメリットと問題点を整理します。

サマリー

改正個人情報保護法は2026年7月10日、参議院本会議で自民党・日本維新の会・国民民主党・チームみらいなどの賛成多数により可決、成立した。立憲民主党・公明党・参政党・共産党・れいわ新選組・沖縄の風・社民党などは反対した
現行法では、企業や病院が個人データを外部提供する際は原則として本人の同意が必要だが、改正法はAIモデルや統計情報の作成を目的とする場合に限り、この同意を不要とする「統計特例」を新設した
政府はこの特例について、米国や中国に後れを取る国内のAI開発を後押しする狙いがあると説明しており、企業にとっては大量の個人データを集めやすくなるというメリットがあるとしている
一方で、病歴や犯罪歴などプライバシー性が極めて高い「要配慮個人情報」までもが、本人の同意なく外部提供の対象に含まれる点に、当初から批判や懸念の声が相次いでいた
外部提供の際、提供元に氏名の匿名化を義務付ける規定はなく、一定の条件を満たせば海外企業や個人事業主もデータの提供を受けられることから、データ流出や悪用への対策が不十分だとの指摘もある
法令違反の事業者に違反で得た利益相当額を徴収する課徴金制度が新設された一方、被害者に代わって消費者団体が訴訟を起こせる団体訴訟制度は盛り込まれなかった
改正法は公布後2年以内に施行される予定で、統計特例の具体的な運用は今後策定される規則やガイドラインに委ねられている

項目	内容
成立日	2026年7月10日(参議院本会議)
賛成会派	自民党、日本維新の会、国民民主党、チームみらい等
反対会派	立憲民主党、公明党、参政党、共産党、れいわ新選組、沖縄の風、社民党等
新設された主な特例	統計作成等特例(AIモデル・統計情報作成目的での本人同意不要化)
特例の対象	要配慮個人情報(病歴・犯罪歴・信条等)を含む
メリットとされる点	企業による個人データ収集の容易化、国内AI開発competitiveness の向上
問題点として指摘される点	匿名化義務なし、海外企業・個人事業主への提供可能、団体訴訟制度なし
新設された制裁制度	課徴金制度(違反で得た利益相当額を徴収)
施行時期	公布後2年以内

1 何が起きたか-参院本会議で可決・成立
2 改正のメリット-AI開発の後押しという狙い
3 指摘されている問題点
4 医療関係者からの反対の声
5 施行までのスケジュールと今後の課題
6 情報システム部門への示唆
7 出典

何が起きたか-参院本会議で可決・成立

改正個人情報保護法は2026年7月10日、参議院本会議で採決が行われ、自民党、日本維新の会、国民民主党、チームみらいなどの賛成多数により可決、成立しました。一方、立憲民主党、公明党、参政党、共産党、れいわ新選組、沖縄の風、社民党などは反対に回っています。与野党の対立軸が従来の枠組みと必ずしも一致しない、やや珍しい賛否の分かれ方になった点も特徴です。

当サイトで既報の通り、この改正案は2026年5月26日に衆議院本会議で可決され、参議院での審議を経て今回成立に至りました。改正の柱は、AIモデルの学習や統計情報の作成を目的とする場合に限り、個人データを第三者へ提供する際の本人同意を不要とする「統計特例」です。現行法では、企業や病院が保有する個人データを外部へ提供する場合、原則として本人の同意を得ることが義務づけられていましたが、この特例により、AI開発や統計作成という目的に限定したうえで、同意取得のプロセスを省略できるようになります。

改正のメリット-AI開発の後押しという狙い

政府がこの規制緩和を進める背景には、国内のAI開発力の底上げという狙いがあります。報道によれば、政府はAIモデルの学習に必要な大量の個人データを、これまでの同意取得を前提とした枠組みでは集めにくかったとし、米国や中国に後れを取っているとされる国内のAI開発を後押ししたいと説明しています。企業にとっては、AIモデルの訓練や統計分析に使うデータを、これまでより効率的に収集できるようになるというメリットが期待されます。当サイトで既報の通り、この改正の背景には、AI開発競争における良質なデータ確保という産業競争力上の狙いに加え、巨大プラットフォーム事業者と消費者の間の情報の非対称性の是正、そして法令違反によって得た利益を事業者が保持し続けられてしまう、いわゆる「やり得」の構造を是正する狙いもあるとされています。この「やり得」の是正策として、法令に違反した事業者に対し、違反行為で得た利益に相当する金額を徴収できる課徴金制度が新たに創設された点も、改正のプラス面として評価されています。

指摘されている問題点

一方で、この改正には成立前から複数の懸念が示されてきました。最も大きな論点は、病歴や犯罪歴、信条といった、個人情報保護法上「要配慮個人情報」に分類される、プライバシー性が極めて高い情報までもが、この同意不要の特例の対象に含まれる点です。要配慮個人情報は本来、取得すること自体が原則として本人の同意を要する、特に慎重な扱いが求められる情報類型ですが、AIモデルや統計情報の作成目的であれば、この情報についても本人の同意なく外部提供できることになります。

技術的な観点からの懸念も指摘されています。データを外部提供する際、提供元の事業者に対してデータ内の氏名を匿名化することを義務付ける規定は設けられていません。また、一定の条件を満たせば、海外企業や個人事業主もデータの提供を受けられるとされており、プライバシーやセキュリティの体制が十分に整っていない事業者にまでデータが渡る可能性があることから、データ流出や悪用への対策が不十分だとの指摘が相次いでいます。政府は今後策定する規則やガイドラインを通じて不正利用の防止を図るとしていますが、具体的な担保策は施行までの間に定められる規則・ガイドラインに委ねられている状態です。あわせて、被害を受けた本人に代わって消費者団体が差止請求などの訴訟を起こせる団体訴訟制度は、今回の改正には盛り込まれませんでした。当サイトで既報の通り、この団体訴訟制度の不採用や、課徴金制度が「対象者1,000人超・重大な違反」に限定されているといった運用上の制約についても、実効性を疑問視する声が上がっています。

医療関係者からの反対の声

今回の改正を巡っては、医療機関の団体からも明確な反対の意思が示されています。全国保険医団体連合会は、AI開発を目的とすれば医療機関が保有する病歴などの要配慮個人情報を本人の同意なく企業等へ提供できるようになる点について、特定の個人を識別できる情報が漏えいする危険性や、責任の所在の不明確さ、医師の守秘義務違反が問われないかといった懸念が尽きないとして、この改正法を「改悪法案」と表現し、廃案を強く求める声明を発表していました。同団体は、プライバシーやセキュリティの体制確保が十分ではない民間事業者を含む個人情報取扱事業者に対して、要配慮個人情報の第三者提供を公表のみで認めることは極めて危険だと指摘しています。

これに対し、厚生労働大臣は国会審議の中で、統計特例はあくまで統計作成等の目的にのみ利用されることを担保することが重要だとしたうえで、今後策定される規則やガイドラインの中でリスクに応じた具体的な対応策を明確にする方針を示しています。厚生労働省としてもガイドライン等の策定に主体的に関わり、国民の不安や懸念の解消に取り組みたいとしていますが、要配慮個人情報の同意なき第三者提供そのものを法律で禁止する規定にはなっていない点は、今後も議論の的になるとみられます。

施行までのスケジュールと今後の課題

改正法は公布後2年以内に施行される見通しで、当サイトで既報の情報によれば、全面施行は2028年ごろになる見込みです。この間、統計特例の具体的な運用方法や、データ提供を受ける事業者に求められるセキュリティ水準、不正利用を防ぐための実効性のある監視の仕組みなどが、規則やガイドラインの策定を通じて詰められていくことになります。国際的に見ると、EUのGDPRが売上高の4%という巨額の制裁金を科す枠組みを持ち、米カリフォルニア州もAIによる自動意思決定システムについて事前通知義務を課す規定を2026年に施行するなど、諸外国はAIの出力・利用段階における規律を強める方向にあります。これに対し今回の日本の改正は、AIの学習段階でのデータ収集には比較的寛容な姿勢を示す一方、収集後の出力・利用段階における規律については課題が残るという、諸外国とは異なる制度設計になっているとの指摘もあります。

情報システム部門への示唆

AIモデルの開発やデータ活用に取り組む企業にとって、今回の法改正は個人データの収集・活用における選択肢を広げるものです。自社でAIモデルの学習や統計情報の作成のためにデータ収集を検討している場合、この統計特例が具体的にどのような条件で適用されるのかを、今後公表される規則・ガイドラインに沿って正確に把握しておく必要があります。特に、統計特例を根拠に要配慮個人情報を含むデータを外部から取得する場合は、それが本当に統計作成等の目的の範囲内にとどまっているか、目的外利用に該当しないかを慎重に確認する体制を整えることが求められます。

一方で、自社が保有する要配慮個人情報が、他社によって同意なく統計特例の名目で取得・利用されるリスクについても意識しておく必要があります。当サイトで以前紹介したプライバシー侵害の定義や企業が直面するリスクでも触れた通り、法令上の適法性が確保されていたとしても、要配慮個人情報が同意なく流通しているという事実そのものが、顧客や従業員からの信頼を損なうリスクになり得ます。法改正によって形式的に許容される範囲が広がったとしても、自社が実際にどこまでデータを収集・提供するかについては、法令遵守だけでなく、本人が納得できる形で扱えているかという観点から、独自の判断基準を持っておくことをお勧めします。今後策定される規則・ガイドラインの内容を継続的に注視し、施行までの2年間で自社の個人情報管理体制を点検・整備しておくことが望まれます。