改正個人情報保護法の問題

2026年7月10日、改正個人情報保護法が参議院本会議で可決・成立しました。改正の柱は、AIモデルの学習や統計情報の作成を目的とする場合に限り、個人データの第三者提供や、公開された要配慮個人情報の取得について、本人の同意を不要とする「統計作成等の特例」の新設です。病歴や犯罪歴といったプライバシー性の高い情報も、この特例の対象に含まれます。

⚠️ 本稿は、2026年7月10日の成立時点の情報に基づきます。施行は公布から2年以内（2028年頃の見込み）で、特例の具体的な運用は今後策定される委員会規則やガイドラインに委ねられています。

統計作成等の特例の新設

現行の個人情報保護法では、企業や病院が保有する個人データを外部に提供する際、原則として本人の同意が必要です。病歴、犯罪歴、人種、信条など、差別や偏見につながりうる「要配慮個人情報」の取得についても、原則として本人の同意が求められます。

改正法は、この同意原則に「統計作成等の特例」という例外を設けました。統計情報等の作成にのみ利用される場合に限り、個人データの第三者提供と、公開されている要配慮個人情報の取得について、本人の同意を不要とするものです。個人情報保護委員会は、この統計情報等の作成には「統計作成等であると整理できるAI開発等」が含まれるとしており、AI開発を促進する規制緩和として位置づけられています。

特例が設けられた背景

Web上には、実名報道された事件の記事、判決や行政処分の公表、本人が公表した闘病記録など、結果として病歴や犯罪歴といった要配慮個人情報を含むページが存在します。現行法では、AIの学習に使用する目的で、Web上の情報をクローリングやスクレイピングで自動収集する場合、これらのデータ取得には一人ひとりから個別に同意を得る必要があります。現行法にも、本人・国の機関・報道機関などによって公開された要配慮個人情報を同意なく取得できる例外はありますが、大量のページを自動収集する際に公開主体を確認することが困難なため、学習データの収集の障害になっていました。

新設された取得特例は、この公開主体の確認に代えて、統計作成等目的での利用に限定したうえで、取得者の氏名・名称や統計作成等の内容などを公表することを求めるものです（改正30条の2第1項）。

政府はこの改正を、AI開発の国際競争力を確保するための環境整備として説明しています。松本尚デジタル大臣は閣議決定後の会見で、対応の遅れがAI開発の障害になるとの認識を示しました。

「統計作成等」の定義と担保措置

特例の適用範囲を決めるのが「統計作成等」の定義です。改正法2条13項は、これを「大量の情報から傾向又は性質に係る情報（個人に関する情報であるものを除く）を作成する行為のうち、個人の権利利益を害するおそれが少ないものとして個人情報保護委員会規則で定めるもの」と定義しています。

AI開発に用いられる場合、生データは学習に使われ、成果物は学習済みのAIモデルになります。統計情報と同様に、AIモデルにも個人に関する情報が含まれることは認められていません。

この定義では、成果物が個人情報でなければ良いということになりますが、途中段階の取扱いにも規律が定められています。取得・提供された情報と、それを複製・加工した「生存する個人に関する情報」は、公表した統計作成等に必要な範囲を超えて取り扱うことが禁止されます（目的外利用の禁止、30条の2第4項・9項）。さらに、それらの情報は個人データに当たらない場合であっても第三者への再提供が禁止されます（30条の2第10項・11項）。

しかし、「統計作成等」がどの範囲で該当するかは個人情報保護委員会規則に委ねられており、今後の規則やガイドラインが整備されるまでは不透明です。

課徴金制度と罰則の強化

現行法では、不正なデータ取引で利益を得た事業者でも、委員会の是正命令に従って違反を中止すれば、過去に得た不当な利益を手元に残せました。改正法では、課徴金制度が新設されており、意図的にルールを破って大量のデータで利益を得たケースから、不当な利益を剝奪することが可能になっています。対象となるのは、不適正利用の禁止違反、不正な取得、第三者提供の制限違反、統計作成等の特例に関する違反の4類型です。

課徴金は行政上の金銭的不利益処分であり、財産への強制執行によって回収されます。そのため、違反行為で得た利益が費消・隠匿されていれば、回収は困難になります。また、課徴金を支払えない場合に懲役刑などの刑事罰へ切り替わる仕組みはありません（悪質な不正取得などは、別途、直罰規定の対象となります）。

このほか、個人情報データベース等の不正提供罪に「損害を加える目的」が追加され、法定刑が引き上げられたほか、詐欺・暴行・不正アクセスなどによる不正取得への直罰規定が新設されました。また、違反事業者が命令に従わない場合に、クラウド事業者や SNS事業者へ流通防止を要請できる根拠規定が設けられたことなど、執行面の強化も盛り込まれています。

改正法の懸念点

改正には、審議の過程で複数の懸念が提起されています。

✏️ 参議院での採決は、自民党・日本維新の会・国民民主党・チームみらいなどが賛成、立憲民主党・公明党・参政党・共産党・れいわ新選組・沖縄の風・社民党などが反対に回りました。与野党の対立軸が従来の枠組みと必ずしも一致しない分かれ方になった点も、この改正の特徴です。

国際的な位置づけ

AIの学習に個人データを使う際、本人の同意を必要とするか。必要としないなら、何を条件とするか。この点で、日本の改正は諸外国と異なる設計をとっています。

日本の改正は、同意を外す条件を、事業者が満たすべき手続（目的の限定と公表）に置いています。EUのような個別の比較衡量テストや、カリフォルニア州のようなリスク評価・オプトアウト権は、今回の改正には含まれていません。なお EUでは、正当な利益を根拠とする処理に対し、本人が異議を申し立てると、処理を続けるには事業者側が優越する正当な根拠を示さなければなりません。日本の利用停止請求は、権利利益が害されるおそれを本人の側が示して請求する仕組みであり、負担の所在が逆になっています。

日本の利用を止める手段にある「利用停止請求」は、本人の権利として残されていますが、請求には自分のデータが使われていることを知っている必要があります。特例で公表されるのは事業者の名称と統計作成等の内容であり、誰のデータを扱っているかは示されません。本人への個別通知の義務もないため、自分が対象に含まれるかどうかを確認する手段が実質的にありません。

実効性と監視体制

この改正法は、データの取得・提供という入口で、本人同意という関門を外しました。その代わりに置かれたのが、利用過程を縛る目的外利用の禁止と再提供の禁止です。一方で、作られた AIモデルや統計情報が実際にどう使われるかという出力・利用の段階に、新たな規律は設けられていません。

たとえば、統計や学習の成果が、採用の合否、融資の可否、保険料の算定といった個人の選別に使われる場合です。AIが下した判断に対して本人が説明を求めたり、異議を申し立てたりする権利は、この改正には含まれていません。カリフォルニア州が雇用・融資・住宅などの「重要な決定」にオプトアウト権を認めているのとは対照的です。

生データの保存期間

特例で扱われるのは、統計に加工される前の生のデータです。成果物である統計情報は個人を特定しないものでなければなりませんが、Web上から収集した時点、あるいは他社から提供を受けた時点では、要配慮個人情報を含む個人データが、特定の個人を識別できる形で事業者の手元に存在します。提供時に匿名化を義務付ける規定もありません。

この保存については、対象の情報が個人データに当たらない場合であっても、安全管理措置義務（法23条）、従業者の監督義務（法24条）、委託先の監督義務（法25条）が準用されます。

しかし、これらの安全管理措置は、従業者への教育・研修や、施錠可能な場所への保管、間仕切りや座席配置の工夫、アクセス権限の設定や、退職者のアクセス権限の無効化など、事業者に体制整備を求めるガイドライン的な内容です。法的義務でありながら、具体的に何をすべきかは条文に書かれておらず、その履行は事実上、事業者の自主的な判断に委ねられています。

また、入手した生データの保存期間については、改正法には盛り込まれていません。ただし、今後、個人情報保護委員会が規則やガイドラインに追加する可能性や、現行法の消去努力義務（22条）が適用される余地はあります。

AIモデルに残る個人情報

開発されたAIモデルから個人情報が完全に消去されたかを一律に証明できる技術は存在しません。2026年6月17日の参議院特別委員会で、立憲民主党の石垣のりこ議員の質疑に対し、松本デジタル大臣がこれを認めています。
政府は、世界のAI開発競争を踏まえ、事前審査や第三者による監査の制度を設けない方針を示しました。

AIモデルが学習データを保持していることは、研究で確認されています。2021年、Carliniらの研究チームは、GPT-2への問い合わせを繰り返すことで、個人を特定できる情報を含んだ学習データの文章を数百件抽出しました。

2023年には、Google DeepMindらの研究チームが、ChatGPTに特定の単語を延々と繰り返すよう指示することで、事前学習データをそのまま出力させました。出力には、実在する人物の氏名・携帯電話番号・メールアドレスが含まれており、研究チームは ChatGPTの安全対策が記憶を消去していないと指摘しています。

AIモデルに個人情報が残っていないことを確認する手段がないまま、要配慮個人情報を含むデータが学習に使われることになります。利用停止を請求しても、学習済みのモデルから自分の情報が消えたかどうかを、本人が知る方法はありません。

歯止めとしての限界

特例による提供の場合も、第三者提供の記録を作成・保存する義務があります（法29条）。記録には、本人の同意を得たことに代えて、特例に基づく提供である旨を記載します。ただし、この記録は事業者間の授受の履歴で、データの不正利用や流出の予防にはなりません。

提供するデータ自体に、出所を示す技術的な措置（電子透かしや来歴情報の埋め込みなど）は義務付けられていないため、加工されたデータから提供元を特定することはできません。事業者による不正な利用や流出の発覚は、内部からの通報や捜査機関の情報など、外部の端緒に依存することになります。

義務の遵守を監督するのは個人情報保護委員会です。委員会は報告徴収・立入検査（法146条）、指導・助言、勧告・命令の権限を持ち、改正では権限強化も盛り込まれました。ただし委員会は、委員長と委員8名（うち4名は非常勤）の合議体と、各省庁出身の職員からなる事務局で構成されており、国内で個人データを扱う膨大な事業者を常時監視できる体制ではありません。

名簿販売業者への初の緊急命令（2025年）

2025年5月、個人情報保護委員会は、名簿販売業者（ビジネスプランニング）に対し、制度開始以来初となる緊急命令を発出しました。この業者は、2023年5月から2024年10月まで、特殊詐欺グループへ個人情報を販売していました。発覚の端緒となったのは、警察が特殊詐欺の捜査の過程で得た情報の提供です。委員会はこの情報を受けて、2025年4月18日に立入検査を実施し、違反を把握しました。

この業者は、オプトアウト規定に基づいて委員会に届出をしている登録業者でした。制度の枠内にいる事業者が、約1年半にわたって特殊詐欺グループへの提供を続け、それが委員会の監視では検知されませんでした。発覚したのは、警察の捜査という別の経路があったためです。

約1年半のあいだに渡った名簿について、その悪用実態や被害の全容を、委員会は明らかにしていません。いったん渡った名簿を回収する手段はありません。

個人情報保護の重要性

今回の特例は、統計作成という目的であれば個人の権利利益を害するおそれは少ない、という前提に立っています。また、個人情報の保護をめぐっては、「一般市民のデータに、統計以外の価値はない」「自分の情報が漏れても実害はない」という意見もあります。

個人情報の流出に関する実害は可視化されにくく、データは加工されるため実態の把握が困難です。しかし、流出した情報から生じる被害には、特殊詐欺・悪徳商法の標的化、SIMスワップ詐欺によるアカウント乗っ取り、なりすまし、フィッシングの精度向上、ストーカー被害などが報告されています。

闇名簿の流通

ビジネスプランニングの事案では、一般市民の名簿が特殊詐欺グループに渡っており、氏名・住所・年齢といった基本的な情報が、詐欺の標的リストとして取引されていました。

特殊詐欺や強盗事件で使われる名簿は、種類ごとにランク付けされて売買されています。2022年から2023年にかけて発生した広域連続強盗事件でも、名簿のターゲットリストに基づいて犯行がなされたとの指摘があります。入手経路は、企業からの流出、従業員による持ち出し、行政機関からの流出など複数存在します。2023年には、NTT西日本の子会社で元派遣社員が900万件以上の個人情報を持ち出した事件が発生しました。

流出した情報は、ダークウェブでも取引されます。氏名・住所・電話番号・銀行口座番号などをセットにした個人情報が、1件あたり数千円で売られているとの報告があります。

匿名化と再識別

国立情報学研究所の専門家は、データに含まれる名前を削除するといった単純な匿名化では、データに含まれる個人が誰であるかわかってしまうリスクを排除できないと指摘しています。

氏名や住所を削除しても、年齢・性別・婚姻状況といった属性は残ります。2019年に発表された米国を対象とする研究では、こうした人口統計学的な属性を15個組み合わせることで、対象者の99.98%を正しく再識別できるとされています。一部を抽出しただけの不完全なデータセットであっても、再識別は可能とされ、匿名化の有効性そのものに疑問が投げかけられました。経済産業省の匿名加工情報作成マニュアルも、カード利用明細やPOSデータについて、利用頻度の低い加盟店や特定商品の購入日から個人が識別されるリスクを挙げています。

プロファイルを扱う事業者

収集された断片的な情報からプロファイルを構築し、販売することを業とする事業者が存在します。日本では名簿販売事業者と呼ばれ、消費者庁の実態調査によれば、個人情報の取得・統合（名寄せ）・加工に加え、特定の属性に着目して個人データを抽出しリスト化する事業が行われています。2014年に発覚したベネッセコーポレーションの個人情報流出では、流出した情報が複数の名簿販売事業者に転売されました。

米国では、この事業がデータブローカーとして大規模に成立しています。Acxiomは全世界の25億人分のデータを保有していると公表しています。収集元は公的記録、Web上の行動追跡、SNSのスクレイピング、ポイントプログラム、位置情報など多岐にわたり、財務状況、健康の兆候、政治的傾向、家族構成といった項目を含むプロファイルが、広告主、保険会社、雇用主、法執行機関に販売されています。

更新履歴

関連記事

• 
  Androidのセキュリティ問題

  Androidは世界的に最も普及しているモバイルOSですが、構造上の仕組みによりセキュリティパッチの配信が遅れたり、サポート期間が不統一であるなどの課題を抱えています。本稿では、Googleによる個人…

• 
  脱Googleの手引き – プライバシー重視の環境構築

  脱Google（De-Google）活動は、利便性と引き換えに利用者の膨大なデータを収集しているGoogleを、日常のインターネット利用から排除しようとする草の根の取り組みです。本稿では、Google…

• 
  Googleの個人情報収集問題とプライバシー対策

  Googleは検索や地図、YouTube、決済サービスなどを通じて膨大な個人情報を収集し、広告配信やAI概要の基盤として収益を挙げています。Googleサービスの利用による個人情報の利用方法やリスク、…

• 
  Android向け日本語キーボード

  Google日本語入力の更新停止により Android の日本語入力環境が実質的に Gboard へ一本化された状況を踏まえ、日本語 IME が少ない要因とクラウド変換によるデータ送信の構造的リスク、…