令和８年改正個人情報保護法①～統計作成等に関する特例～

2026年4月7日に「個人情報の保護に関する法律等の一部を改正する法律案」が閣議決定され、法律案の条文が公開されました。
法律案の条文は、個人情報保護委員会のウェブサイトから入手できます。

法律案に含まれる規律内容は様々ありますが、改正の目玉の一つと言われていたAI利活用に向けた「統計作成等に関する特例」の条文をざっと読みましたので、その内容を自分への備忘も兼ねてまとめておきます。

以下は、私自身がこう読むのではないか、と思った内容を記載しただけなので、実際の立案担当者の想定とは違う可能性があります。その前提で読んでいただければと思います。

１　統計作成等に関する特例とは？

「統計作成等に関する特例」とは何か、を一言で言うと以下のとおりです。

「個人データ等の第三者提供」と「公開されている要配慮個人情報」の取得について、統計情報等の作成にのみ利用される場合には、現行法で要求されている本人同意を不要とするもの

この統計情報等の作成には、AI開発等も含むとされているため、この特例によってAI開発の促進が期待されています。

「統計作成等に関する特例」の全体イメージは、以下のような感じです。

２　何ができるようになるのか？

現行法と比較して新しくできるようになることは以下の２つです。
（* 厳密には利用目的の制限規制による同意も不要となるので、利用目的として特定していなかった個人情報の第三者提供等も可能になると思われます。）

• 同意不要の個人データ等の第三者提供

• 同意不要の公開された要配慮個人情報の取得

いずれも「統計作成等」の目的のみに限定されます。

例えば、AIモデルの学習用データとしてのみ用いる目的で、公開されている要配慮個人情報を取得して学習用データとしてモデル学習に利用したり、モデル開発を行う企業に個人データを提供する行為が、本人の同意を取得することなく行えるようになる可能性があります。

３　「統計作成等」とは？

同意不要の「個人データ等の第三者提供」や「公開された要配慮個人情報の取得」が行えるのは、統計作成等を行う目的で個人情報等を取り扱う必要がある場合に限定されています。
AIで言えば、AIモデルの開発のみを目的とするような場合です。

そうすると、この「統計作成等」とは何か？
が重要となります。
改正法の条文（改正2条13項）では以下のように定義されています。

「統計作成」は例示であり、具体的な要件としては、以下の２つなのかなと思います。

①　大量の情報から当該情報を構成する要素に係る情報を抽出して分類、比較その他の解析を行うことにより、当該大量の情報の傾向又は性質に係る情報を作成する行為であること
②　個人の権利利益を害するおそれが少ないこと

①の作成対象となる情報からは「個人に関する情報」が除かれているので、個人との対応関係が排斥されたAIモデルのようなものが想定されていると思います。
また、②では「個人の権利利益を害するおそれが少ないこと」という限定がついているので、将来的にそのようなおそれがある具体的なケースが想定された場合には、「統計作成等」の対象から除外されることになると思われます。

上の①と②の要件を満たす前提で、その詳細は規則に委ねられているため、具体的にどのようなものが「統計作成等」に該当するのか、については法律が成立した後に規則によって具体化されることになります。

４　公開中の要配慮個人情報の取得

⑴　公開中の要配慮個人情報の取得

現行法では、公開されている要配慮個人情報については、原則として本人の同意を得なければ取得することができませんでした（法20条2項）。
改正法では、統計作成等を行う目的で現に公開されている要配慮個人情報を取り扱う必要がある場合には、一定の要件を満たせば、本人同意なく現に公開されている要配慮個人情報を取得できることになります（改正30条の2第1項）。

「現に公開されている」という限定がついているので、過去には公開されていたが、現在は公開されていない要配慮個人情報は対象外と考えられます。

自社でAI開発を行う場合だけではなく、AI開発を行う第三者に提供する目的で取得することも可能です（改正30条の2第1項）。

具体的には、Web上で公開されている情報に含まれている要配慮個人情報をクローリングやスクレイピングによって本人同意なく取得した上で、AI開発の学習用データとして利用したり、AI開発を行う第三者に提供することが可能になると思われます。

⑵　取得後の一次提供は可能（再提供は禁止）

なお、AI開発を行う第三者に提供する目的で公開されている要配慮個人情報を取得し（改正30条の2第1項）、第三者に一次提供することはできますが（改正30条の2第5項本文）、後述しますとおり、提供先の第三者が更に別の第三者に再提供することは禁止されているので注意が必要です（改正30条の2第5項ただし書、10項、11項）。

一次提供を受けた第三者は、要配慮個人情報を取得することになりますが、この場合、取得者側においても本人同意なく要配慮個人情報を取得できる旨の手当がなされています（改正20条2項8号）。

⑶　一定事項の公表

本人同意不要の公開中の要配慮個人情報の取得を行うためには一定の事項を公表する必要があります。
具体的には、インターネットの利用その他の規則で定める方法により、以下の①～③を公表しなければなりません（改正30条の2第1項）。

①　取得者の氏名・名称
②　行おうとする統計作成等の内容（第三者提供を行う場合にはその旨）
③　その他規則で定める事項

取得者は、取得した要配慮個人情報、当該要配慮個人情報の全部または一部の複製・加工情報（生存した個人に関する情報に限る）を取り扱っている期間は、上記の事項を継続公表する必要があります（改正30条の2第2項）。

公表事項を変更する場合には、事前にその旨および変更内容を公表する必要がありますが（改正30条の2第3項本文）、氏名・名称の変更といった軽微変更については事後公表で足りることとされています（改正30条の2第3項ただし書）。

⑷　目的外利用の禁止

取得者は、取得した要配慮個人情報およびその複製・加工情報（生存した個人に関する情報に限る）については、公表した統計作成等・第三者提供を行うために必要な範囲を超えて取り扱うことができません（改正30条の2第4項）。

⑸　安全管理措置義務

取得者は、取得した要配慮個人情報およびその複製・加工情報（生存した個人に関する情報に限る）が、「個人データ」に該当する場合には、現行法と同様、安全管理措置義務、従業者の監督義務、委託先の監督義務を負うことになると思われます（法23条～25条）。

また、上記の各情報は、「個人データ」に該当しないことも想定されます。その場合には現行法の安全管理措置に関する各義務（法23条～25条）は直接適用されないことになりますが、改正法では非個人データに該当する上記の各情報についても法23条～25条を準用することによりカバーしています（改正30条の2第14項）。

この準用規定においては、安全管理措置によって防止すべき対象から「滅失」と「毀損」が除外されています（改正30条の2第14項）。これは立案担当者としては対象となる情報については、「漏えい」を防止すれば足りると考えているためと思われます。

５　個人情報・個人関連情報の第三者提供

⑴　個人データ等の第三者提供

現行法では、個人データや要配慮個人情報を第三者に提供する場合には、本人の同意が必要とされていました（法27条1項、20条2項）。
個人関連情報を提供先が個人データとして取得することが想定される場合も本人同意を要することとされていました（法31条1項1号）。

改正法では、提供先の第三者が個人情報（統計作成等の特例により取得した要配慮個人情報を含む）や個人関連情報を統計作成等の目的で取り扱う必要がある場合には、一定の要件を満たせば、本人の同意なく、それらの個人情報や個人関連情報を第三者に提供できることとしています（改正30条の2第5項、31条の3第1項）。

これによって、AI開発を行う能力がある企業等に対して、本人の同意を要せずに学習用データとして個人データや個人関連情報などを提供して、それらを学習用データとして利用したAIモデルの開発を行うことが可能となると思われます。

⑵　再提供の禁止

提供先は、提供を受けた個人情報や個人関連情報などを更に第三者に再提供することを禁止されています。
この再提供禁止に関する条項が一番読み解きづらかったです。
おそらく発想としては、以下の３段構えで再提供の穴を失くそうとしているのだと思います。

• 改正によって追加される統計等の作成に関する特例を利用した再提供は禁止する（改正30条の2第5項ただし書、31条の3第1項ただし書）。

• さらに現行法の通常の個人データの第三者提供のスキームによる提供も禁止する（改正30条の2第10項、31条の3第6項）。

• それに加えて、非個人データとして提供されることを防ぐために、非個人データについても第三者提供を禁止する（改正30条の2第11項、31条の3第7項）。

なお、再提供は禁止されていますが、いわゆる委託や共同利用による提供は可能とされています（改正30条の2第10項、12項、30条の3第6項、8項）。
この部分は一部現行法を読み替えています。

⑶　外国にある第三者への提供

統計等の作成目的の規定を利用して第三者提供をする場合には、本人の同意は要しないこととされていますが、提供先が「外国にある第三者」である場合には、提供先がいわゆる「基準適合体制」を整備している必要があります（改正30条の2第5項）。

また、法28条3項のような、必要な措置や当該措置に関する情報の公表義務が課されています（改正30条の2第13項、30条の3第9項）。

⑷　一定事項の公表

本人同意不要の個人データ等の第三者提供を行うためには一定の事項を公表する必要があります。
具体的には、インターネットの利用その他の規則で定める方法により、以下の①～③を公表しなければなりません（改正30条の2第5項1号、31条の3第1項1号）。

①　提供元・提供先の氏名・名称
②　行おうとする統計作成等の内容
③　その他規則で定める事項

提供先は、受領した個人情報、個人関連情報ならびに当該情報の全部または一部の複製・加工情報（生存した個人に関する情報に限る）を取り扱っている期間は、上記の事項を継続公表する必要があります（改正30条の2第6項、31条の3第2項）。

公表事項を変更する場合には、事前に提供元・提供先がその旨および変更内容を公表する必要がありますが（改正30条の2第7項、31条の3第3項）、提供先の氏名・名称の変更といった軽微変更については事後公表で足りることとされています（改正30条の2第7項・8項、31条の3第3項・4項）。

⑸　書面による合意

本人同意不要の個人データ等の第三者提供を行うためには一定事項の公表に加えて、「統計作成等」のみを目的とした提供である旨の提供元・提供先間における書面（電磁的記録を含む）による合意が必要とされています（改正30条の2第5項2号、31条の3第1項2号）。

⑹　目的外利用の禁止

提供先は、受領した個人情報、個人関連情報およびその複製・加工情報（生存した個人に関する情報に限る）については、公表した統計作成等を行うために必要な範囲を超えて取り扱うことができません（改正30条の2第9項、31条の3第5項）。

⑺　安全管理措置義務

提供先は、受領した個人情報、個人関連情報およびその複製・加工情報（生存した個人に関する情報に限る）が、「個人データ」に該当する場合には、現行法と同様に安全管理措置義務、従業者の監督義務、委託先の監督義務を負うことになると思われます（法23条～25条）。

また、上記の各情報は、「個人データ」に該当しないことも想定されます。その場合には現行法の安全管理措置に関する各義務（法23条～25条）は直接適用されませんが、改正法では非個人データに該当する上記の各情報についても法23条～25条を準用することによりカバーしています（改正30条の2第14項、31条の3第10項）。

この準用規定においては、安全管理措置によって防止すべき対象から「滅失」と「毀損」が除外されています（改正30条の2第14項、31条の3第10項）。これは立案担当者としては対象となる情報については、「漏えい」を防止すれば足りると考えているためと思われます。

⑻　記録義務

個人データの第三者提供時における提供元の記録義務に関する規定が、本人同意不要の個人データ等の第三者提供を行う場合には、準用されています（改正30条の2第14項、31条の3第10項）。