個人情報保護法が変わる —— AI活用と引き換えに何が緩み、何が強まるのか

2026年7月10日、個人情報保護法の改正が国会で成立しました。AIモデルの開発や統計分析のために、これまでより広い範囲でデータを利用できるようにする一方、顔認証データや子どもの情報の保護は強化されるという、緩和と強化が同居した改正です。自分のデータがどう扱われるようになるのか、そして地域の事業者は何を見直す必要があるのかを、事実ベースで整理しました。

---

何が・いつ変わったのか —— 3年ごと見直しの一環として成立

個人情報保護法には、3年ごとに施行状況を検討し、必要な措置を講じる旨があらかじめ定められています。今回の改正はこの「3年ごと見直し」の一環として進められたもので、検討は2023年11月から2026年1月まで続けられ、2026年4月7日に改正案として閣議決定されました。

見直しの背景には、デジタル技術の急速な進展に伴って個人情報を含むデータの利活用への需要が高まる一方、個人情報の違法な取扱いによって個人の権利利益が侵害されるリスクも高まっているという事情があります。データを使いたい側の要請と、データを守りたい側の懸念を、どう同じ法律の中に落とし込むかが今回の改正の出発点でした。

その後、国会での審議を経て「個人情報の保護に関する法律等の一部を改正する法律」は2026年7月10日、参議院本会議で可決・成立しました。公布は同年7月17日です。個人情報保護委員会の公式サイトでも、成立日・公布日とともに法律本文や新旧対照表が公開されています。

施行はまだ先です。公布から2年を超えない範囲で政令が定める日に施行するとされており、全面施行は2028年ごろになる見通しです。今後2年ほどの間に、政令や規則、ガイドラインといった具体的な運用ルールが順次決められていきます。

法律の条文だけでは、実務上どこまでが許されてどこからが違反になるのか、細部まで読み取れない部分が残ります。統計作成等特例の運用条件や、課徴金の算定基準といった実務上の要となる部分は、この2年間で公表される政令・規則・ガイドラインを通じて具体化されていく見込みです。

つまり、今すぐ何かの手続きが必要になるわけではありません。ただし、事業者にとっても消費者にとっても、データの扱われ方の前提が変わる改正であることは押さえておく必要があります。

---

AI開発・統計目的なら同意なしでデータ提供が可能に

今回の改正の柱のひとつが、AIや統計分析のためのデータ利活用を進める規律です。新設される「統計作成等特例」により、AIモデルの開発または統計情報の作成を目的とする場合に限り、本人の同意を得ずに第三者へデータを提供できるようになります。

これまでの個人情報保護法では、本人の同意なしに第三者へデータを渡すことは原則として禁止されていました。特に病歴や犯罪歴といった「要配慮個人情報」は、扱いに一段と厳しい制約が課されてきた分野です。

ところが今回の特例では、この要配慮個人情報も対象に含まれています。統計作成やAIモデル開発という目的に限定されているとはいえ、これまで本人同意なしの提供が原則禁止されてきた機微な情報が、同意なしで提供され得る仕組みが新たにできたことになります。

背景には、AI開発には大量のデータを学習に使う必要があり、一人ひとりから個別に同意を取る運用が事実上難しくなっているという事情があります。データ利活用を進めたい産業界の要請と、機微情報の保護をどう両立させるかが、この特例の実務上の焦点になります。

この特例には、運用面での懸念も指摘されています。提供するデータについて氏名を匿名化するよう義務づける規定は設けられておらず、また提供先には海外企業や個人事業主も含まれ得る仕組みになっています。セキュリティ体制が十分でない提供先にデータが渡る可能性が残る、という指摘です。

医療分野の団体である全国保険医団体連合会は、特定の個人を識別できる情報が漏えいする危険性や、医師が負う守秘義務との関係が不明確になることなどを理由に、この特例への懸念を表明しています。AI開発を後押しする側と、機微情報の管理に責任を持つ側との間で、受け止め方が分かれている改正だと言えます。

---

顔認証データと16歳未満の子どもの情報は保護が強化される

一方で、生体データや子どもの情報については、保護を強める方向の改正が行われます。まず、オプトアウト制度（本人が拒否しない限りデータ提供を認める仕組み）に基づいて第三者へデータを提供する際、提供先事業者の身元と利用目的の確認が新たに義務化されます。

さらに、顔認証データなど「特定生体個人情報」と呼ばれる情報は、要配慮個人情報と同じ扱いとなり、オプトアウト方式による第三者提供の対象から外れます。加えて本人は、違法な取扱いといった要件を満たさなくても、自分の特定生体個人情報について利用停止や消去、第三者提供の停止を請求できるようになります。

子どもの情報についても具体的な変更があります。16歳未満の本人に関しては、同意の取得や通知などの対象を法定代理人(保護者など)とすることが法律上明文化され、本人の保有個人データについて利用停止等を請求する際の要件も緩和されます。

AI活用のためのデータ提供を広げる一方で、顔認証のような取り返しのつきにくい生体情報や、判断能力が未成熟な子どもの情報については、本人の関与を強める。今回の改正は、情報の性質によって規律の強弱を使い分ける構成になっています。

顔認証データが特別扱いされる理由は、パスワードとは違って本人が「変更できない」情報だからです。漏えいや不正利用が起きた場合の取り返しのつきにくさが、要配慮個人情報と同水準の保護を与える根拠になっています。子どもの情報についても、本人が自分の意思で同意の是非を十分に判断できるとは限らない年齢層であることを踏まえ、法定代理人の関与を前提にする形へと整理されました。

---

課徴金制度は新設されたが、対象は限定的

実効性を担保する仕組みとして、個人情報保護法として初めて課徴金制度が導入されます。法律に違反した事業者に対し、違反によって得た利益に相当する額の納付を命じることができるようになる制度です。

ただし、この課徴金の対象は無制限ではありません。対象者数が1,000人を超え、かつ重大な違反と判断される場合に限定されています。この限定的な対象範囲については、実効性そのものを疑問視する指摘も出ています。

もうひとつ見送られた仕組みがあります。消費者団体などが被害者に代わって事業者を提訴できる団体訴訟制度は、今回の改正には盛り込まれませんでした。違反への抑止力をどこまで強められるかは、今後の運用実績を見ないと判断しにくい部分です。

課徴金制度の新設は、これまで指導や勧告が中心だった個人情報保護委員会の権限を一段階強めるものです。ただし対象範囲が限定されている以上、多くの事業者にとって直接の実務負担が急に増えるわけではなさそうです。

これまで個人情報保護法違反に対する行政の対応は、是正勧告や命令といった行政指導が中心で、直接的な金銭的制裁の手段を持ちませんでした。課徴金制度が実際に機能するかどうかは、対象範囲の限定という制約の中で、個人情報保護委員会がどこまで積極的に運用するかにかかっています。

---

地域の事業者・利用者は何に備えればいいか

通販サイトや会員制のサービスを運営している事業者にとって、今回の改正は他人事ではありません。顧客データをAI開発や分析目的で外部に提供する場合のルールが変わるため、今のデータの取扱い方法を一度点検しておく価値があります。

特に、顧客の会員情報や購買履歴を分析ツールやAIサービスに渡している場合、その提供が今回新設された特例の枠組みに沿っているか、あるいは従来どおり本人同意が必要な範囲にとどまっているかを整理しておくと、施行後の対応がスムーズになります。

地域の工房や小規模な通販事業者にとっても無関係な話ではありません。顧客の購買データをもとにおすすめ商品を提案するAIツールを導入したり、外部のマーケティング支援サービスにデータを渡したりする場面は、規模の大小を問わず増えています。どの範囲のデータを、どんな目的で、どこまで外部に渡しているのかを棚卸ししておくことは、今回の改正への備えであると同時に、顧客との信頼関係を守ることにもつながります。

消費者・利用者の立場からも知っておきたい点があります。自分の医療情報や生体情報を含むデータが、統計作成やAIモデル開発という目的であれば、同意なしに利用される場面が今後広がっていくということです。これは特定の企業だけの話ではなく、制度そのものの変化です。

まだ施行まで時間はありますが、政令やガイドラインが具体化していく過程で、実際の運用がより明確になっていきます。事業者・消費者のどちらの立場でも、この改正が「何を」「どこまで」変えるのかを継続的に確認していく姿勢が必要になりそうです。

---

まとめ

2026年7月に成立した改正個人情報保護法は、AI開発・統計分析のためのデータ利活用を広げる規律と、顔認証データや子どもの情報を守る規律を、同じ法律の中に併せ持つ内容になりました。課徴金制度という新しい抑止力も加わりましたが、対象範囲は限定的です。

施行は2028年ごろが見込まれており、具体的な運用ルールはこれから決まっていきます。自分のデータがどう扱われるようになるのか、事業者としてどこを見直す必要があるのか。今回の骨格を押さえておけば、今後発表される政令やガイドラインのニュースも、より具体的に受け止められるはずです。

法律の名前だけを聞くと縁遠く感じますが、通販の会員登録や店舗のポイントカード、スマートフォンのアプリなど、日常のあちこちで個人情報は既に動いています。今回の改正がその流れをどう変えるのか、施行までの数年間、折に触れて確認していく価値のあるテーマです。

---

この記事を含む特集

• 八王子で暮らすなら知っておきたい法律の話（暮らしの13制度を場面から引く手引き）

参考文献