去る2026年7月25日に国会が8日間の期間延長を経て閉会しました。政府提出の64法案が全て成立するという近年では異例の国会において、改正皇室典範、国家情報会議設置法、防災庁設置法、改正刑事訴訟法、副首都法など、連日ニュースをにぎわせた重要法案が可決成立しました。
同国会では、2026年7月、改正個人情報保護法が可決成立しました。本改正は3年ごとの見直し規定に従って、2022年4月1日に全面施行された前回の法改正から4年後である本年、可決成立し、おおよそ2年以内に施行される予定となっています。
当初の想定より改正に長い時間を要した背景として、急速な利用拡大とテクノロジーの進化の加速が同時進行している生成AIへの対応の検討、意見集約に時間がかかったことがあげられます。
今回、可決成立した改正個人情報保護法では、規制緩和と規制強化の両面で大きな特徴が見られますが、同時にデータ活用と個人情報の保護の両立、両者のバランスをどのようにとるのかといった点で数多くの課題も残されています。
今回は、改正個人情報保護法の概要を確認するとともに、今後、どのような点に注目し、かつ留意していくべきかについて、一緒に考察していきたいと思います。
目次
可決成立した改正個人情報保護法の概要
2026年7月に可決成立した改正個人情報保護法は、目的別に4つのテーマに対応した条項で構成されています。
１．データ利活用の推進（同意要件の緩和）
・統計作成等（以下、統計特例と記載）
個人データ等の第三者提供および公開されている要配慮個人情報の取扱いについて、AI開発を含む統計情報等の作成にのみ利用される場合は本人同意不要。
・本人の意思に反しない個人データの第三者提供等
目的外利用、要配慮個人情報取得および第三者提供に関する規制について、取得の状況からみて本人の意思に反しないため、本人の権利利害を害しないことが明らかな取扱いである場合は本人同意不要。（予約サイトで予約したホテルに本人の情報を提供するケース等）
・同意取得困難要件の緩和
生命等の保護または公衆衛生の向上等のために取扱う場合における同意取得困難要件を緩和。本人の同意を得ることが困難であるときのみならず、その他本人の同意を得ないことについて相当の理由があるときも不要。
・病院等による学術研究目的での個人情報の取扱い
学術研究例外の対象である「学術研究機関等」に医療の提供を目的とする機関又は団体が含まれることを明示。
２．リスクに適切に対応した規律
・子供の個人情報の取扱いに関する規律
16歳未満の者について、同意取得や通知等について当該本人の法定代理人を対象とすることを明文化。本人の保有個人データの利用停止等の請求要件を緩和。未成年者の個人情報等の取扱い等について、本人の最善の利益を優先して考慮すべき旨の責務規定を新設。
・顔特徴データ等に関する規律
顔特徴データ等について、その取扱いに関する一定の事項の周知を義務化。利用停止等請求の要件を緩和し、オプトアウト制度に基づく第三者提供を禁止。
・データ処理等の委託を受けた事業者に対する規律
データ処理等の委託を受けた事業者について、委託された個人データ等の適正な取扱いに係る義務の見直しを実施。
・漏えい等報告・本人通知
漏えい等発生時について、本人の権利利益の保護に欠けるおそれが少ない場合は、本人への通知義務を緩和。
３．不適正利用等防止
・個人関連情報に関する規律
個人情報ではない特定の個人への働きかけが可能な情報（電話番号、住所、メールアドレス、CookieID等、いわゆる個人関連情報）について、不適正利用及び不正取得に限り禁止。個人情報と同様の規律を導入。
・オプトアウト制度に関する規律
本人の求めにより提供を停止すること等を条件に同意なく第三者提供を可能とする制度（オプトアウト制度）について、提供先の身元及び利用目的の確認を義務化。
４．規律遵守の実効性確保のための規律
・悪質事案に対応するための刑事罰
個人情報データベース等の不正提供等に係る罰則について、加害目的の提供行為も処罰対象とし法定刑を引き上げ。詐欺行為等により個人情報を不正に取得する行為に対する罰則を新設。
・課徴金の導入
大量の個人情報の取扱いによる悪質な違反行為を実効的に抑止するため、重大な違反行為により個人の権利利益が侵害された場合等について、当該違反行為によって得られた財産的利益等に相当する額の課徴金の納付命令を導入。
以上の改正により、データ活用の推進によるイノベーションの促進を図ると同時に個人の権利や子どものプライバシー保護のバランスをとる仕組みへのアップデートが図られています。
14項目にわたる付帯決議が物語るもの
いっぽうで、改正個人情報保護法の可決成立に際して、衆参両院の委員会において、それぞれ14項目からなる附帯決議が付されました。
付帯決議には法的な強制力（拘束力）はありませんが、行政（この場合、政府や個人情報保護委員会）の今後の検討において、立法府（国会）が法案を可決する際に行政（政府や個人情報保護委員会）につけた注文であり、その内容は強く尊重され、今後の政令や施行規則の検討に際して、その内容が反映されることが通例となっています。
①規則策定の透明性確保
国民や関係者の意見を十分に聴取し、政策決定の透明性と予見可能性を確保する。
②国際整合性とイノベーションへの配慮
EUのGDPRなど海外制度との整合性を図りつつ、AI開発や研究・事業活動が過度に萎縮しないよう配慮する。
③統計作成・AI開発等における個人情報利用
個人が特定されない措置を徹底し、統計利用の範囲を不当に狭めないようにする。
利用状況に関する情報を広く公表する。
④要配慮個人情報の安全管理
統計作成目的で要配慮個人情報を扱う際は、安全管理や委託先監督を徹底する。
⑤プロファイリング規制の検討
閲覧履歴や購買履歴から個人の属性を推測する高度なプロファイリングについて、海外制度も踏まえて規制のあり方を検討する。
⑥プライバシー強化技術（PETs）の推進
産業競争力向上の観点から、PETs活用のための適切な支援策を検討する。
⑦同意不要の例外規定の厳格化
本人の同意を不要とする場合は利用を必要最小限にとどめ、範囲や判断基準を明確化する。
⑧こどもの個人情報保護
子どもの最善の利益を最優先とし、柔軟な同意取得方法を認めつつ、教育・保育現場での適正な取扱いを徹底する。
⑨生体情報の保護強化
顔認証など特定生体個人情報の利用について、本人が認識できるよう十分な周知を行う。
⑩漏えい時の本人通知
通知の代替措置を認める場合でも、その適用範囲や基準を明確にする。
⑪違法な第三者提供への厳格対応
オプトアウト事業者を厳しく監督し、重大違反には緊急命令や課徴金を迅速に適用する。
⑫課徴金制度の透明・実効的運用
ガイドライン整備により事業者の過度な萎縮を防ぎつつ、悪質事業者には実効性ある制裁を科す。
⑬被害者救済制度の検討
差止請求や被害回復のための団体訴訟制度の導入を継続検討する。
⑭個人情報保護委員会の体制強化
監視・監督業務の増加に対応するため、人員と予算の拡充を進める。
これらの付帯決議は、個人情報保護を強化しながら、AI・研究開発やデータ活用を促進するため、透明なルール整備、安全管理の徹底、子ども・生体情報の保護強化、違反への厳格な対応、そして個人情報保護委員会の体制強化を求めたものと言えます。
今後定められる個人情報保護委員会の規則やガイドラインにおいて、国民や関係者の意見を十分に聴取し、政策決定の透明性と予見可能性を確保することが必要となります。政令・施行規則の検討にあたり順次公開されるパブリックコメント（意見公募）の動向についても、注視していく必要があるでしょう。
【参考情報】衆議院の附帯決議：衆議院 附帯決議
【参考情報】参議院の法案情報：参議院 法律案情報
改正個人情報保護法に潜むリスク
今回の改正個人情報保護法については、法案成立前の検討段階から「AI・ビッグデータ活用のための規制緩和が急進的な一方で、個人の権利を保護するための出口規制が弱い」 といった批評が、専門家・消費者団体・医療関係者などから広く寄せられています。
世論にも、その大幅な規制緩和に不安を感じている論調が多く見受けられます。その原因はどこにあるのでしょうか？
１．統計特例の内容
犯罪歴・病歴・思想信条などの要配慮個人情報が、本人同意なしで第三者に提供され得る点が強く懸念されています。
２．出口規制（再識別防止、監督、課徴金など）が弱いことへの不安
専門家からも「利活用を進めるなら、出口規制を強めて、バランスをとるべき」という指摘があります。
３．消費者団体からの批判
法案の検討段階では存在していた「差し止め請求制度」や「被害回復制度」が最終的な法案から削除されたこと。また「課徴金制度」について、その罰金の金額が得た利益を上限とした限定的な内容となったことを批判しています。
４．医療機関・研究者の懸念
「安全管理義務が弱いため、患者データを提供することに不安がある」といった医療関係者の声が広く報じられています。
５．規制改革を推進したい経済界とのせめぎ合い
団体訴訟制度が導入されると、個人情報の不適切な取扱いに対して、消費者団体が企業を訴えることが可能になるため、「訴訟リスクが高まり、イノベーションが阻害される」と主張しています。また、AI・データ利活用を日本の成長戦略の柱と位置付けており、規制の強化はAI開発・データビジネスのスピードを落とすとも主張しています。
AI・データ利活用は、政府としても推進しているため、結果として経済界の主張が色濃く反映された内容になっていると言えそうです。
【参考情報】全国保険医団体連合会【個人情報保護法の廃案を求める声明】
【参考情報】全大阪消費者団体連絡会【個人情報保護法改正案への意見】
【参考情報】AI開発なら同意不要 病歴も渡りうる個人情報保護法改正案の危うさ
グローバル企業が抱えることになる矛盾
AI開発企業にとっては、AI開発を理由に個人情報の利活用の幅を合法的に広げることができるようになったとも言える今回の改正個人情報保護法、その反面、グローバル展開する一般企業やAIを使用するユーザ企業、GDPRに代表される域外適用規定があるプライバシー関連法への対応が必要である企業にとっては、日本の個人情報保護法とGDPR等の法令が要求する規定のギャップの間で難しいかじ取りを迫られることになります。
結局は厳しい法令に合わさざるを得ないグローバル企業
例えば日本企業が、EU居住者のデータを扱う、欧州に子会社を設立する、SaaSを海外で展開する、グローバルの人事データベースを運営する等の業務を遂行する場合、GDPRへの対応を無視できません。
日本法では例外規定で同意不要であっても、GDPRでは法的根拠の立証が必要、EU AI Actでは高リスク用途なら追加義務への対応が必要など、各国のプライバシー関連規制やAI関連規制への対応が並立することになります。その結果、日本の個人情報保護法では例外規定とされていたとしても、同意なしで個人データを取扱うといった運用を実務に載せることが難しい側面が見えてきます。
以下、GDPRの域外適用の仕組みと今回の改正個人情報保護法における規制緩和のギャップをもう少し具体的に掘り下げてみましょう。
①日本企業はGDPRの域外適用に該当し得る
GDPR第3条は、EU域外企業にも適用される条件として次を明示しています。
・EU在住者への商品・サービス提供
・EU在住者の行動モニタリング（アクセス解析・広告など）
日本企業は、上記に対して越境EC、海外向けのサービス提供、Webアクセス解析などを行うだけでGDPRの適用対象になります。例えば、日本企業が国内向けに今回の改正個人情報保護法の統計特例を使って、本人の同意を得ずに合法的に個人データの処理をするケースでは、EU在住者のデータが含まれている場合、GDPRの適用対象となります。
今回の改正個人情報保護法における日本の規制緩和とは相入れないため、企業は基準が大きく異なる各規制への対応を迫られることになるのです。
【関連記事】日本企業はGDPRに対応する必要はある？いま実施すべき対策を紹介
② 改正個人情報保護法の規制緩和はGDPRの義務とは逆方向に進んでいる
改正個人情報保護法の統計特例では、以下の規定を盛り込み、個人データを統計目的（AI開発を含む）に限定して、企業による利活用に関する規制緩和を図っています。
・同意は不要
・データの匿名化の義務はなし
・統計化された後の再識別防止（統計化されたデータから元の個人データをリバースエンジニアリングすること）などの規制はなし
・課徴金は「得た利益相当額」のみ
・団体訴訟・差止め請求はなし
一方、GDPRではデータ主体の権利を保護する目的で以下のような厳しい規制や義務が課されています。
・同意または厳格な法的根拠が必須
・匿名化は事実上必須
・再識別防止は技術的に厳格
・制裁金は売上高の最大4％
・代表訴訟・差止めが可能
・DPO（Data Protection Officer）の設置義務
・DPIA（Data Protection Impact Assessment：データ保護影響評価）の実施義務
一見しただけで両者の間に相当のギャップがあることが分かります。一般企業が日本向け、欧州向けに運用ルールを変えることの業務負荷や法令順守のコスト、法令違反を指摘された結果課される高額な制裁金のリスクを考慮した結果、最終的に「GDPRに対応した運用」に合わさざるを得ないといった状況が考えられます。
【関連記事】GDPRと個人情報保護法の違いとは？日本企業として知っておきたいポイント
【関連記事】GDPRの制裁金をランキング形式で紹介！法令を遵守したデータ分析方法とは？
日本人がデータ主体として抱えることになるリスク
1. 日本の規制緩和は、“外国企業にも等しく門戸が開かれる”という観点
今回の改正個人情報の規制緩和は「国内企業のデータの利活用を促す」だけでなく、外国企業にも同じ門戸を開くことになります。
外国企業が日本人の匿名化されていない個人データを本人の同意なしで統計目的で自由に使うことができるという今回の改正により起こりうる構図は、現在の世界の潮流から鑑みても異例なものであり、専門家の間でも懸念が指摘されているポイントのひとつとなっています。
統計特例では、統計等作成者を日本法人に限定していないため、公益目的、研究目的、統計目的であれば、現状では、国籍を問わず利用することができます。外国企業による利用や国際的なデータ流出、再識別リスクの国際的拡散といったリスクが存在することになります。
AIの分野では、開発力、データ処理能力、資本力、国際的な研究ネットワークなどの観点で、現時点では、外国企業が圧倒的な優位にあり、今回の改正個人情報保護法による規制緩和が、外国のAI開発企業により有効に働く結果となる可能性があります。
他国からは合法的に入手できない日本人の顕名データを万が一の法令違反時の制裁は利益相当額といった極めて低いリスクで大量に入手できる理想的な環境を求め、外国企業が日本市場でAI開発を加速するといった事態も十分に起こり得ます。
EU市民のデータはGDPRで強固に守られ、日本人のデータは外国に安く使われ、日本人の要配慮個人情報（センシティブデータ）が合法的に外国のAIに吸い込まれるといった状況の出現は、日本に居住する一人の市民としては受入れがたい事態です。今後の施行令、ガイドライン等でどのように私達の安全が確保されていくのか、その過程を注視する必要があります。
2. 顔特徴データ等に関する規律と統計特例の関係性
今回の改正法では新たに「特定生体個人情報」という概念が導入されました。これには、顔、指紋、虹彩、静脈等の身体的特徴から本人を識別するために生成されたデータが含まれます。顔認証システムで利用される顔特徴データ（顔テンプレート）、顔画像を解析して生成した特徴量、顔認証データベースに保存される識別情報などがその典型例です。
①本人による利用停止請求権の拡大
改正前は、事業者が顔特徴データを適法に取得・利用している限り、本人がその利用停止を求めることは容易ではありませんでした。改正法では、特定生体個人情報については、違法な取扱いがなくても本人が利用停止や消去を求められる仕組みが導入されました。
顔特徴データのような情報は、漏えいした場合の影響が大きく、一度漏えいするとパスワードのように容易に変更することができないため、本人のコントロールを強化する必要があります。顔特徴データを特にセンシティブな生体情報として位置付け、本人が事後的にコントロールできる権利を強化しています。
②AI・顔認証技術の普及への対応
データ利活用を促進しつつも、特定生体個人情報について特別の保護が必要と判断し、新たな規律を設けた背景としては、以下の点があげられます。
・AIによる画像解析の高度化
・防犯カメラと顔認証の普及
・オンライン本人確認の拡大
・事業者による顔特徴データの大規模利用
今後、顔特徴データを利用している企業は、以下の対応が必要になります。
・顔特徴データを保有しているかの確認
・特定生体個人情報への該当性の判断
・利用停止請求への対応体制整備
・保管期間や利用目的の見直し
データ主体側の観点としては、改正個人情報保護法によって、「顔認証システムに登録された自分の顔特徴データを削除してほしい」という要求を、従来よりも強い法的根拠に基づいて行えるようになります。
【関連記事】カメラの画像データは個人情報なのか？法令遵守とプライバシーへの配慮
③顔特徴データに統計特例が適用される余地
統計特例は、「統計作成のために必要な範囲であれば、本人同意なしで第三者提供可能」としており、ここに顔特徴データが統計特例の対象となり得る余地が存在しています。例えば、スクレイピングの技術を使えば、顔の画像はインターネットから大量に取得できますし、統計特例を使って、別の識別符号（ID・行動履歴・購買履歴など）と顔の画像データを紐付けることで、高い精度で本人を特定できる極めて危険なデータベースになり得ます。
EU AI Actでは、顔認識データベースのスクレイピングをUnacceptable risk（許容できないリスク）として、明確に禁止しています。
【関連記事】2026年8月に迫る本格適用フェーズ EU AI Actの自社への影響を再確認しよう
これらの顔特徴データは、日本の改正個人情報保護法下では、統計情報やAI開発の目的であれば、本人同意なしで第三者提供できる余地があります。また、統計特例は日本企業に限定していないため、外国企業や個人にも顔特徴データが流通する可能性やリスクが存在することになります。
改正個人情報保護法の可決に付帯された決議では、統計作成・AI開発等における個人情報利用にあたって、個人が特定されない措置の徹底、閲覧履歴や購買履歴から個人の属性を推測する高度なプロファイリングについて、海外の関連規制も踏まえた規制のあり方を検討すべき旨が示されました。
私たちの顔特徴データの安全がどのように確保されるのか、今後の施行令、ガイドライン等の取決めを注意深く見ていく必要があります。
規制緩和と規制強化を同時に実現することの難しさ
データ分析の事業を長年営む当社としても、今回の改正個人情報保護法はその動向を長らく注視して参りましたが、改めて、規制緩和が目指すもの、規制強化が目指すもの、それぞれの目的はよく理解できるものの、同時に実現することで抱えることになる矛盾について、深く考えさせられる機会となりました。
データ活用の推進が成長戦略の柱であることに疑いの余地はないのですが、同時に個人の安全や人権は守らなければなりません。
GDPRが制定されてちょうど10年目の今年、当初厳しすぎると思われた制裁も、国家予算の規模を優に超える巨大プラットフォームの絶大な力、そこに吸い込まれる個人データのデータ主体たる個人の人権の保護、進化し続けるテクノロジーを適切にコントロールし、企業に法令順守を強く促すための厳しい制裁というバランスにおいては、多くの国々で有効なフレームワークとして受け入れられつつある現状を再認識する機会にもなりました。
今後、施行まで2年程度をかけて、施行令、施行規則、ガイドライン等が整えられていくことになりますが、我々の安全がどのように確保されるのか、現時点ではまだ曖昧である各種規定、個人データの再識別を防ぐ技術的な制約、高度なプロファイリングへの規制、特定生体個人情報と統計特例との関連性などが、今度どのように明確にされていくのか、一人ひとりが関心をもって、自分ごととして注視していく必要があるでしょう。
