個人情報保護法が改正・公布 AI活用とプライバシー保護はどう両立するのか｜2026年7月17日版
個人情報保護法の改正法が7月17日に公布された。最大の変更は、統計情報などの作成だけに利用する場合、AI開発を含めて本人同意なしのデータ利用・第三者提供を認める特例を設けたことだ。
一方で、顔特徴データの扱いを厳しくし、悪質な違反には課徴金を科す仕組みも導入する。データ活用を広げる改正であると同時に、個人の情報がどこまで守られるのかを、これまで以上に具体的に問う改正でもある。
- AI開発など「統計情報等の作成」に限る場合、本人同意を不要とする特例を新設
- 16歳未満の情報、顔特徴データの保護を強化
- 大量の個人情報を扱う悪質な違反には課徴金を導入
- 原則として、公布から2年以内に政令で定める日から施行
何が変わるのか
今回の改正法は、4月に国会へ提出され、7月10日に可決・成立した。個人情報保護委員会は、デジタル技術の進展でデータ利用の需要が高まる一方、違法利用による権利侵害のリスクも高まっていることを改正の背景に挙げている。
本人同意が不要となる範囲
新設される特例では、個人データの第三者提供や公開されている要配慮個人情報の取得について、統計情報等の作成にのみ利用される場合は本人同意を不要とする。政府資料は、この「統計情報等」に整理できるものとしてAI開発等を含めている。
ただし、何にでも使える制度ではない。特例の対象は、特定の人に働きかけるためではなく、一般的・汎用的な分析結果を得るための利用を念頭に置く。施行までに政令、委員会規則、ガイドラインが検討されるため、対象となるデータや事業者の実務上の判断基準は、これから具体化される。
保護を強める部分もある
規制緩和だけが改正の中身ではない。主な保護強化策は次の通りだ。
- 16歳未満の本人について、同意取得や通知の相手を法定代理人とすることを明文化
- 未成年者の情報を扱う際、本人の最善の利益を優先して考慮する責務を規定
- 顔特徴データを扱う事業者に一定事項の周知を義務づけ、オプトアウトによる第三者提供を禁止
- 大量の個人情報を扱い、経済的利益を得た悪質な違反に課徴金を科す仕組みを新設
- 不正取得や加害目的での個人情報提供への罰則を整備・強化
顔認証カメラや子ども向けサービスの利用が広がるなか、本人が気づかないまま取得されやすい情報への歯止めを置いた点は、生活者に直結する変更だ。
なぜ今、同意の特例を設けるのか
医療、研究、行政、企業のサービスでは、大量のデータを分析して新たな知見を得る場面が増えている。AIの学習・開発でも、データの質と量が結果を左右するため、提供のたびに一人ひとりの同意を取り直す方法だけでは進めにくいケースがある。
政府は、データの利活用を円滑にしながら、違反への制裁や高リスクなデータへの保護を厚くすることで、利用と保護を両立させる考えだ。
ここがポイント: 同意が不要になるのは「AIなら何でも」ではなく、統計情報等の作成だけに利用する場合の特例である。実際にどこまで許されるかは、施行までに整備されるルールの具体性で決まる。
生活者が気にしておきたい3つの論点
制度の評価は、法律の条文だけでは定まらない。事業者がどのデータを、どの目的で、どの安全管理の下で扱うかが重要になる。
1. 要配慮個人情報をどう守るか
病歴、信条、犯罪歴などは、差別や不利益につながり得る「要配慮個人情報」とされる。改正法は統計情報等の作成に限って同意不要の特例を置く一方、データが統計化される前の段階で漏えいした場合の影響は小さくない。
医療・消費者・労働関係の団体からは、特例の対象や判断基準を明確にし、利用を必要最小限に限定すべきだという声が出ている。全国消費者団体連絡会も、施行に向けた規則やガイドラインに幅広い関係者の意見を反映し、透明性と予見可能性を確保するよう求めた。
2. 「統計目的」の確認を誰が担うか
事業者が統計情報等の作成を理由に特例を使う際、利用目的の説明が曖昧なら、本人は自分の情報がどう扱われたのかを判断しにくい。
課徴金や命令の制度は、違反後の抑止力として重要だ。しかし、利用が始まる前に目的、提供先、管理方法を点検できる仕組みが伴わなければ、生活者の不安は解消しない。個人情報保護委員会が今後つくるガイドラインには、現場で迷わない具体性が求められる。
3. 企業に必要となる準備
企業や医療機関、データ処理を受託する事業者は、「同意が不要になる」という部分だけを切り取れない。むしろ、利用目的が特例の範囲に収まるか、委託先も含めて安全管理ができているか、本人への説明が十分かを確認する必要がある。
特に確認したい項目は次の3点だ。
- 収集・提供するデータが、統計情報等の作成以外に使われない設計になっているか
- 再識別、目的外利用、漏えいを防ぐ技術的・組織的な管理を整えているか
- 顔特徴データや未成年者の情報など、追加の保護が必要な情報を区分して扱えるか
施行までに見るべきこと
改正法は一部を除き、公布から2年以内に政令で定める日から施行される。現時点で、生活者が直ちにサービスの設定を変える必要があるわけではない。
ただ、施行準備の過程で出る政令、委員会規則、ガイドラインは重要だ。特例の対象となる「統計情報等」の範囲、医療情報を含む要配慮個人情報の安全管理、違反時の課徴金の基準が明確になるかで、今回の改正は「信頼できるデータ利用」になるか、それとも説明不足を残す制度になるかが分かれる。
今後は、個人情報保護委員会が示す具体的なルールと、企業・医療機関が利用目的をどこまで分かりやすく開示するかを追う必要がある。