執筆：弁護士 阿久津 透 （ AI・データ（個人情報等）チーム ）
＜連載記事＞ ～ 令和8年個人情報保護法改正 企業が知るべき全ポイント ～
※本記事は令和8年7月16日時点の情報に基づいています。法案は国会審議中であり、成立までに内容が修正される可能性があります。個別の事案については弁護士にご相談ください。
令和8年（2026年）の個人情報保護法改正では、本人同意に関する規律が大きく見直されます。
統計作成等を目的とする場合の本人同意の不要化、契約履行に伴うデータ提供の同意緩和、同意取得困難性要件の緩和、そして学術研究機関等の定義拡大など、データ利活用の推進に向けた改正が盛り込まれています。
本記事（連載第1回はこちら）では、これらの同意規律の見直しについて、企業の実務対応も含めて弁護士が解説します。
１．現行法における同意規律の課題
現行の個人情報保護法では、個人情報の目的外利用（法第18条第1項）や個人データの第三者提供（法第27条第1項）、信仰・病歴・犯罪歴などの差別につながり得る情報である要配慮個人情報の取得（法第20条第2項）については、原則として本人の同意が必要とされています。
| （利用目的による制限）第１８条 １ 個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。 （適正な取得）第２０条 ２ 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。 （第三者提供の制限）第２７条 １ 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。 |
この規定に従えば、例えばホテル予約サイトが予約者の氏名等を宿泊先ホテルに提供するような、契約の履行に不可欠であり本人の意思にも反しないデータ提供に同意が必要になります。
また、個人の権利利益を侵害するおそれが少ない特定の個人との対応関係が排斥された統計情報等の作成や利用であっても同意が必要となり、統計情報等の作成のために複数の事業者が持つデータを共有し横断的に解析するニーズに十分に対応できないという実務上の課題がありました。
今回の改正では、こうした課題に対応するために、いくつかの観点から同意規律の合理化が図られています。
２．統計作成等を目的とする場合の特例
「統計作成等」とは何か
改正法案では「統計作成等」という新たな概念が定義されています。
この「統計作成等」とは、統計の作成その他の大量の情報から当該情報を構成する要素に係る情報を抽出して分類、比較その他の解析を行うことにより、当該大量の情報の傾向又は性質に係る情報（個人に関する情報であるものを除く）を作成する行為のうち、個人の権利利益を害するおそれが少ないものとして個人情報保護委員会規則で定めるものをいいます（改正法第2条第13項）。
統計情報等の作成には、統計作成等であると整理できるAI開発等も含まれると考えられており、AIの学習データとして個人データを利用する場合であっても、改正法に従った対応をすれば本特例の対象となり得ます。
改正ポイント
冒頭に記載したとおり、現行規定では、信仰・病歴・犯罪歴などの差別につながり得る要配慮個人情報の取得（法第20条第2項）や個人データの第三者への提供（法第27条第1項）等については、例外規定に該当する場合を除き、本人の同意が必要とされています。
今回の改正では、統計情報等の作成にのみ利用されることが担保されていること等を条件に、公開されている要配慮個人情報の取得と、個人データの第三者提供が可能となります。
（個人情報保護委員会「個人情報保護法等の一部を改正する法律案について」より抜粋）
統計作成等にのみ利用されることを担保するための規律
もちろん、統計作成等に該当すればあらゆる場面で要配慮個人情報の取得や、個人データの第三者提供が可能となるわけではなく、濫用を防止するための規律が設けられています。
統計作成等の目的による要配慮個人情報の取得は、「現に公開されている要配慮個人情報を取り扱う必要がある場合」に限定され、さらに個人情報保護委員会規則で定める事項を公表していることが求められます（改正法第30条の2第1項）。
統計作成等の目的による個人データの第三者提供に関しては、①個人情報取扱事業者及び当該第三者が個人情報保護委員会規則で定める事項を公表していること、②当該第三者との間の書面（電磁的記録を含む。）による合意により、当該提供がこの項本文の規定によるものである旨が明確に定められていること、が求められます（改正法第30条の2第5項）。
詳細は規則の制定を待つ必要がありますが、改正法の条文を見る限り、プライバシーポリシーでの公表や、データ提供に関する契約書の改訂が必要になると考えられます。
３．取得状況から明らかな場合の同意不要化
改正法では、目的外利用や要配慮個人情報の取得、個人データの第三者提供の場面で、個人データ等の取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかである場合には、本人の同意は不要としています（改正法第18条第3項第7号、同第20条第2項第7号、同第27条第1項第8号）。
想定事例としては、ホテル予約や海外送金のケースが挙げられています。
（個人情報保護委員会「個人情報保護法等の一部を改正する法律案について」より抜粋）
いずれの改正法の条文を見ても、契約の履行のために必要やむを得ないことが明らかである場合その他当該個人データの取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかである場合として個人情報保護委員会規則で定める場合というように、詳細は規則に委ねられています。
４．同意取得困難性要件の緩和
現行法では、個人情報の目的外利用、要配慮個人情報の取得、個人データの第三者提供について、生命・身体・財産の保護のために必要がある場合や公衆衛生の向上・児童の健全な育成の推進のために特に必要がある場合には本人同意が不要となりますが、いずれの場合も「本人の同意を得ることが困難であるとき」という要件を満たす必要がありました。
| 例：（利用目的による制限）第１８条 ３ 前二項の規定は、次に掲げる場合については、適用しない。 ①法令（条例を含む。以下この章において同じ。）に基づく場合 ②人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。 ③公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。 |
改正法では、この要件を緩和し、「本人の同意を得ることが困難であるとき」のみならず、「その他本人の同意を得ないことについて相当の理由があるとき」についても、本人からの同意取得が不要となります。
この緩和の背景には、事業者・本人の同意取得手続に係る負担を軽減し、個人情報のより適正かつ効果的な活用及びより実効的な個人の権利利益の侵害の防止につなげるという目的があります。
「相当の理由がある」場合に関しては、公衆衛生の向上等のために特に必要である一方で、本人のプライバシー等の侵害を防止するために必要かつ適切な措置（氏名等の削除、提供先との守秘義務契約の締結等）が講じられているため、当該本人の権利利益が不当に侵害されるおそれがない場合等が想定されています。
具体的な事例については、ガイドライン等において明確になる想定です。
５．学術研究機関等の定義拡大
現行法では、学術研究を目的として個人情報の取扱いに関する例外が認められる「学術研究機関等」は、大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者に限定されています（法第16条第8項）。このため、病院等の医療提供機関は「学術研究機関等」に該当せず、この例外規定を活用できませんでした。
しかし、医学・生命科学の研究においては、研究対象となる診断・治療の方法に関する臨床症例の分析が必要不可欠であり、病院等の医療の提供を目的とする機関又は団体による研究活動が広く行われている実態があります。
そこで改正法では、「学術研究機関等」の定義に、病院その他の医療の提供を目的とする機関若しくは団体又はそれらに属する者が含まれることが明確にされました。
これにより、病院や診療所等が行う臨床研究や疫学研究などにおいて、学術研究例外に依拠した個人情報の取扱いが可能となります。
６．企業の実務対応
統計作成等の特例は、AI開発やデータ分析を事業の中核とする企業にとって大きなメリットがあります。
改正法施行までの期間に、自社のデータ利活用において、統計作成等に該当し得る処理がどこにあるかを棚卸ししておくと、施行後の特例に基づく利活用がスムーズになります。
また、特例の利用には公表義務、書面による合意など、現行法にはない様々なルールが追加されます。これに対応するためには、プライバシーポリシーやデータ授受に関連する契約書雛形の改定が必要になってきます。
現時点からデータ利活用に関連する社内のドキュメントを整理、点検しておくことが推奨されます。
次回（第3回）は「16歳未満のこどもの個人情報規律を解説」について、企業の実務対応も含めて詳しく解説します。
個人情報保護法の改正対応についてのご相談は、GVA法律事務所までお問い合わせください。
