2026年4月7日、「個人情報の保護に関する法律等の一部を改正する法律案」の閣議決定がなされ、特に事故がなければ、本年の国会（第221回特別国会）において成立する見込みです。そこで、今回は、速報として、この法律案を読んだ感想をお伝えできればと思います。なお、速報であり、急ぎ作成しているものであるため、誤った情報をお送りしている可能性があるため、あくまで概要を掴んでいただくための資料としてお使いください。
改正案の概要
個人情報保護委員会が公表する概要資料（こちらの概要資料参照）が分かりやすいです。特に重要と思われるものに絞って掲載します。
- 適正なデータ利活用の推進
- AI開発を含む統計情報等の作成のみに利用される場合、一定の要配慮個人情報の取得・個人情報の第三者提供に関して本人同意が不要となります。
- 目的外利用・要配慮個人情報取得・第三者提供に関し、本人の権利利益を害さないことが明らかな取扱いの場合は、本人の同意が不要となります。
- リスクに適切に対応した規律
- 16歳未満の本人である場合、同意取得や通知等について法定代理人を対象とすることを明文化し、未成年者本人の最善の利益を優先して考慮する旨の責務規定が設けられます。
- 顔特徴データ等にの取扱いにおいて、一定事項の周知が義務化されます。
- データ処理等の委託を受けた事業者について、個人データ等の適正な取扱いに係る義務が見直されます。
- 本人の権利利益の保護に欠けるおそれが少ない場合、個人情報の漏えい等発生時の本人への通知義務が緩和されます。
- 不適正利用等の防止
- 個人情報でないが、特定の個人へ働きかけが可能となる情報の不適正利用等が禁止されます。
- 規律遵守の実効性確保
- 違反行為の是正に係る命令の要件が見直されます。また、本人への通知・公表等の必要な措置をとるよう勧告・命令することが可能となります。
- 重大な違反行為に対する課徴金納付命令の制度が設けられます。
なお、改正案は原則として公布日から起算して2年以内の施行が予定されています。余裕はありますが、油断は禁物です。
それでは、以下では、改正案の具体的な中身に触れていきたいと思います。今回は、適正なデータ利活用の推進に係る改正を見ていきます。
適正なデータ利活用の推進
統計作成等に係る新たなルール
改正個情法30条の2と31条の3が、統計作成等に関して新たなルールを定めています。31条の3は個人関連情報に関するものであるため、個人情報に関する30条の2の内容を解説します。感想及び実務上の影響を述べた上で、各項についてざっくりと何を書いているか説明します。改正個情報30条の2は14項もある長大かつ読みにくいものとなっています。
感想及び実務上の影響
14項まである条であり、その中で10個の用語が定義され（さらに「個人情報」の意味内容を変更するような定めもあります。）、かつ、読替規定も複数存在するなど、トップクラスに読みにくいものとなっています。近時の条文作成のお作法としては正しいのかもしれませんが、もっと読みやすい条文にならないものかと思ってしまいます。
また、ルールもかなり詳細で、おそらく本記事の読者の多くと予測される中小企業のご担当者において、（弁護士である私ですら理解に苦しむ部分が多々あったのに）到底理解できるようなものではないと考えます。
30条の2による改正は、統計作成等、具体的にはAI開発を促進するためのものです。そのため、AI開発やデータ分析を専ら行うプロ向けの条項として今後活用される程度であり、それ以外の大多数の事業者は、本条に基づき何か事業を行うことはないように思われます。
その意味で、現状は、実務的な影響は小さいと考えています。
ざっくり解説
1項と5項が重要であり、他の項は参考程度に解説しています。
1項
要配慮個人情報の取得は、原則として本人同意が必要です（改正個情法20条2項。現行法でも同様。）。しかし、統計作成等を行う目的等で、現に公開されている要配慮個人情報を取り扱う必要がある場合、今後改正される個人情報保護規則にしたがって統計作成等の内容など一定事項を公表しているときは、かかる要配慮個人情報を本人の同意なく取得することができるようになります。
「統計作成等」が重要な概念ですが、詳細は今後改正される個人情報保護規則によることになります。現状は、AI開発を主に念頭においているという程度で考えて良いでしょう。
2項
1項で公表することが要請されている事項を、いつまで継続して公表しなければならないかが定められています。1項により取得した要配慮個人情報を取り扱っている期間、公表することが必要です。
3項
1項で公表することが要請されている事項を変更する場合の手続が定められています。詳細は、今後改正される個人情報保護規則によることになりますが、原則として事前の公表が必要です。
4項
1項により取得した要配慮個人情報（これを加工したもので、未だ統計化されていないものを含みます。）について、法令に基づく場合等の極めて限定的な場合を除き、公表された統計作成等の内容を超えて取り扱うことが禁止されます。
5項
個人情報の第三者提供は、原則として本人同意が必要です（改正個情法18条及び改正個情法27条1項。現行法でも同様。）。しかし、国内の第三者及び一定のセキュアな体制（基準適合体制）を整備している国外の第三者が統計作成等を行う目的等で、個人情報を取り扱う必要がある場合で、①提供元及び提供先のいずれも、今後改正される個人情報保護規則にしたがって統計作成等の内容など一定事項を公表していること並びに②提供元・提供先間の契約で本項に基づく個人情報の提供だと明記されているときは、本人の同意なく個人情報の第三者提供ができるようになります。
なお、公開されている要配慮個人情報の取得に関し、本項の提供をする目的でかかる取得を行う場合であっても、1項の適用があります。
また、A→Bの第三者提供が本項に基づくものである場合、B→Cの第三者提供について本項は使えません。
6項
5項で個人情報の提供を受け、統計作成等を実施する者について、5項で公表することが要請されている事項を、いつまで継続して公表しなければならないかが定められています。5項により取得した個人情報（これを加工したもので、未だ統計化されていないものを含みます。）を取り扱っている期間、公表することが必要です。
7項・8項
5項で個人情報の提供を受け、統計作成等を実施する者において、5項で公表することが要請されている事項を変更する場合の要件が定められています。原則として、提供元・提供先の双方において、公表事項の変更を公表する必要があります。
9項
5項で提供された個人情報（これを加工したもので、未だ統計化されていないものを含みます。）について、これを取り扱う者は、法令に基づく場合等の極めて限定的な場合を除き、公表された統計作成等の内容を超えて取り扱うことが禁止されます。
10項
1項・5項により本人の同意なく要配慮個人情報・個人情報（これらを加工したもので、未だ統計化されていないものを含みます。）を取り扱えている事業者が、さらに第三者にこれらに係る個人データを提供することを原則として禁止するものです。
なお、通常の個人データの第三者提供における本人同意の例外（個情法27条5項（改正なし））と同様の例外が認められています。
11項
個人関連情報の第三者提供の関係で、規律を調整するものです。今回は個人情報に絞っていますので、詳細は割愛します。
12項
本条に関する個人情報の提供に関し、通常の個人データの第三者提供における本人同意の例外（個情法27条5項（改正なし））と同様の例外が認められる旨を定めるものとなります。
13項
5項により国外の第三者に個人情報の提供を行う場合において、提供元の事業者が継続して基準適合体制を整備できるかチェックするとともに、これに関して一定事項を公表することを定めるものとなります。
14項
現在も個人情報に関して適用される各種の義務が準用されることを定めるものとなります。
本人の権利利益を害さないことが明らかな場合の本人同意不要ルール
改正個情法18条3項、20条2項及び27条1項が、本人同意に関して新たなルールを定めています。すなわち、日本の個人情報保護法は、元来、個人情報取扱事業者は、①プライバシーポリシーなどで特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱う場合（18条1項）、②要配慮個人情報を取得する場合（20条1項）及び③個人データを第三者に提供する場合（27条1項）において、本人の同意を必要としていました。
今回の改正では、次のような場合において、本人同意が不要となる旨が定められています。
- 本人との間の契約の履行のために必要やむを得ないことが明らかである場合
- 本人の意思に反しないため本人の権利利益を害しないことが明らかである場合として個人情報保護委員会規則で定める場合
後者については機動的に例外を定められるようにするという目的があるものと想定されますが、現在どのようなものが規則で定められるのか不明瞭な状況です。また、前者についても、現状でもプライバシーポリシーで明記するか、又は黙示の同意があるといった形で整理して適法に利用しているケースが大半に思われます。
その意味で、実務上の影響はやはり小さいのではと考えています。
なお、日本の本人同意ルールは批判の大きいところで、外国の個人情報保護法令ではより多様で、実質的な考慮を可能とする定めがあります。今般の改正では、「契約履行のため」という取扱いが認められることになったのは、1つ大きな進歩であると思われます。他方、より実質的な考慮を可能とする条項は見送られており、「本人の権利利益を害しないことが明らかである場合」のみであればかかる条項も実現できた可能性があるのに、「本人の意思に反しないため」という限定がかかってしまっています。この点は、残念ではあります。
