個人情報保護法の改正案が10日、参議院本会議で賛成多数で可決、成立した。改正法は公布後、2年以内（2028年7月まで）に施行される。

今回の改正は、病歴、犯罪歴、人種、信条といった特に慎重な取り扱いが求められる「要配慮個人情報」について、本人の同意なく民間企業が取得・利用できる範囲を大幅に拡大するものである。
経済界の要望を強く受けたものであり、政府は「統計情報の作成」や「AI開発」といったデータ利活用の推進を目的として掲げる。しかし、専門家からはプライバシー権を侵害するリスクや、法制度上の重大な問題点が指摘されている。一般市民の立場からみて、どのような問題・課題があるのか。

AI開発のため「統計作成等」を定義、同意不要の範囲を拡大

今回の改正個人情報保護法の大きな柱の一つが、新たに「統計作成等」という概念を定義し、これを目的とする場合には本人の同意を不要とする例外を設ける点である。
個人情報保護委員会事務局が2026年4月に公表した「個人情報保護法 いわゆる3年ごと見直しの制度改正方針」によれば、この「統計作成等」には「統計作成等であると整理できるAI開発等を含む」と明記されている。
これにより、AI開発などを目的とする事業者については、本人の同意を得ずにこれに対して個人データを第三者に提供したり、ウェブサイトなどで公開されている要配慮個人情報を取得したりすることが可能になる。

懸念される「プロファイリング」、集団的プライバシー

この点について、同意なく取得された個人情報、特に病歴などの機微な情報が、特定個人の思想や行動を分析・予測する「プロファイリング」に利用されることのリスクが指摘されている。
個人情報保護法制の専門家で、個人情報保護委員会「個人情報保護法のいわゆる3年ごと見直しに関する検討会」に参加した経歴もある森亮二弁護士は、人の「特定の属性」と「ネガティブな結果」を結びつけるAIの推論が多数生成されることの危険性を、具体例とともに指摘する。
森亮二弁護士：「たとえば、①深夜にコンビニを利用し、②特定のサイトを毎日閲覧し、③週3日以上深夜2時以降に飲酒する人は『支払遅延率が高い』などといった統計的推論が、大量に生成されることになる。
このような推論の対象になる『属性』には、顕著といえないものや、本人が自覚していないものも含まれる。にもかかわらず、そういった属性を持つ人が、一律に、差別的に扱われることになりかねない。
そうなれば、『理由は分からないが会社に採用されない』『理由は分からないがお金が借りられない』といった事態が生じて結果的に大きな権利利益の侵害につながるおそれがある。
もちろん、このような統計的推論は日常的に広告等で利用されている。
たとえば①30代の女性で②料理の動画をよく見る人は、『旅行好き』という推論があれば、それに基づいて、①②に当てはまる人に旅行の広告を出す、などといったものだ。
しかし、今回の統計特例でこのような統計的推論が大量に作られる可能性があることを考慮すれば、本人の利益になることが明らかなものを除き、当面、個人へのあてはめを禁止することが適当ではないか。
現状では、『不利益プロファイリング』『差別的プロファイリング』に対する規制も議論も不十分であり、このようなリスクに適切に対応することは困難だ」
もともと今回の法改正の検討過程では、プロファイリングに対する規制強化が重要な論点として挙げられていた。
しかし、日本弁護士連合会の憲法問題対策本部の委員を務める神奈川大学法学部の幸田雅治名誉教授（弁護士）は「個人情報保護委員会の有識者ヒアリングで多くの専門家から改正案に盛り込むべきと指摘されたにもかかわらず、個人情報保護委員会で何ら議論されることなく、いつの間にか消えてしまった」と指摘する。

個人情報の「匿名化」「仮名化」義務付けなし

2026年6月24日の参議院デジタル社会の形成及び人工知能の活用等に関する特別委員会において、立憲民主党の岸真紀子議員は、情報漏えいのリスクを最小限に抑えるための措置として、氏名などを別の記号に置き換える「匿名化」や「仮名化」の義務付けを行わない理由を質問した。
これに対し、松本尚デジタル行財政改革担当大臣は、「AI開発のためには名寄せをする必要がある場合がある」との認識を示した。その上で、データ量が膨大であるため、個人の氏名などの情報を削除することが「技術的に難しい場合」があるとした。
ただし、この点については、「仮名化・匿名化は容易である」との指摘や、「構造化データであって、氏名の削除・置き換えが容易なものについてのみ匿名化するなどの合理的な方法がある」などの指摘がなされている。

同意の形骸化の問題…「泳げないプール」

今回提案された統計特例は、本人の同意による関与を一定の場合に奪うものだが、このような提案が正当化される背景には、「同意の形骸化」の問題がある。
長文・難読なプライバシーポリシーを読んで同意ボタンを押させることには意味がなく、「本人の同意」により事業者の取扱いを統制しようとすることは非現実的である、という考え方がある。
しかし、こうした考え方について、慶應義塾大学法科大学院の山本龍彦教授は「泳げないプール論」という比喩を用いて「不公正だ」と問題提起する。
山本教授：「意図的に泳げない構造のプールを作っておきながら、人々が泳げないことを理由に、『彼らは泳ぐ能力がないのだから、泳ぐことを諦めるべきだ』というのは、フェアではない。
個人情報保護法についていえば、事業者が『多くの人々がデータの利用目的を正確に理解し、実質的な同意をすることが困難である』という既成事実（泳げないプール）を作り出し、それを理由として、『同意』（泳ぐこと）という手続きそのものを不要と結論づけてしまうことの是非が問われるということだ」

人権制約が「法律」ではなく下位規範の「規則」「ガイドライン」で可能に

神奈川大学・幸田名誉教授は、本人の同意を不要とする例外規定の核心部分が、法律ではなく、個人情報保護委員会の「規則」に委ねられていることの問題点を指摘する。
改正案の条文（2条13項）では、「統計作成等」の具体的な定義を「個人の権利利益を害するおそれが少ないものとして個人情報保護委員会規則で定めるもの」としており、国会の議決を経ない委員会規則によって、同意が不要となる範囲が変動しうる構造となっている。
こうした重要な事項を下位の法令に委ねる手法は、「法律による行政の原理」に反するとの批判が強い。
特に、国民の権利を制約する場合には、その要件を、国民代表機関である国会が制定する法律で明確に定めるべきという「侵害留保原則」がある。
この点について、幸田名誉教授は、次のように語る。
幸田名誉教授：「個人情報はプライバシーの最たるものなので、それを本人の同意なく取得することは、人権の制約にあたる。
したがって、本来、国会が法律として定めなければならないはずであり、それを委員会規則で定めるのはありえない。
個人情報保護法1条は同法の目的について『個人情報の有用性に配慮しつつ、個人の権利利益を保護すること』と定めている。重点が置かれているのがあくまで『個人の権利利益保護』なのは明らかだ。
それなのに、『個人の権利利益保護』を蔑ろにし、『利活用』の側面に過度に傾いている」

「統計作成等」以外でも、同意不要の要件を緩和

改正案は、「統計作成等」の例外に加えて、他の場面でも本人の同意を不要とする要件を緩和している。
①「取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかである場合」（改正法27条1項8号など）
たとえば、ホテル予約サイトが宿泊予約のために利用者の情報をホテルに提供するケースなどが想定されている。契約履行に不可欠な情報のやり取りであり、現状でも実務上行われているが、改正案はこの種の行為を法律上、明確に同意不要とする。
②生命等の保護又は公衆衛生の向上等のために取り扱う場合における同意取得困難性要件の緩和
現行法でも、生命の保護などのためには「本人の同意を得ることが困難であるとき」は同意が不要とされている。改正案はこれに加え、「その他本人の同意を得ないことについて相当の理由があるとき」も同意を不要とする（改正法第27条第1項二号など）。
この「相当の理由」という要件に該当する具体的な事例について、法律ではなくガイドライン等で明確化することが想定されている。この点について、幸田名誉教授は、上述した「侵害留保原則」の観点から懸念を示す。

権利侵害された場合の“救済”のしくみは不十分、団体訴訟は見送り

データ利活用の範囲を拡大する一方で、個人の権利が侵害された場合の救済制度の整備は不十分なままであることは否めない。
デジタル行財政改革会議が2025年12月に示した「デジタル行財政改革の今後の取組方針について」では、AI開発のためのデータ利活用円滑化を掲げる一方で、「あわせてガバナンスの確保や規律遵守の実効性確保に向けた事後的な措置を整備」すると記されていた。
しかし、今回の改正法ではこの「事後的な措置」は徹底されていない。被害者に代わって消費者団体などが差止請求を行える「団体訴訟制度」の導入は見送られた。また、違反事業者に対する「課徴金制度」も、対象が大規模な事案に限られるなど、限定的なものにとどまっている。
改正法は2028年7月までに施行される。


編集部おすすめ