まず30秒で全体像
「規制緩和（アクセル）」と「執行強化（ブレーキ）」を同時に積んだ改正です。
成立日
2026.7.10
参議院本会議で可決（衆院通過時に付帯決議）
施行期限
公布後2年以内
2028年頃までに政令で施行日を指定
目玉の緩和
統計作成等の特例
AI開発・統計目的の第三者提供は本人同意不要に（改正法30条の2）
同時に強化
課徴金・罰則
悪質な違反への課徴金制度・不正取得罪の新設
① 何が変わるのか：Before → After
従来は「本人同意」が原則の壁でした。改正後は、AI開発・統計作成に限って壁を迂回する“特例ルート”が新設されます。
改正前同意が原則の壁
👤 本人（顧客・患者・利用者）
▼ 同意して提供
🏢 A社（データを保有する事業者）
▼
🚧 第三者提供には本人同意が原則必要
（例外：匿名加工情報・仮名加工情報・オプトアウト等の限定ルートのみ）
▼
🤖 B社のAI開発には事実上使いにくい
大量データの同意取り直しは非現実的 → 日本のAI開発の足かせと指摘
➔
改正後特例ルートの新設
👤 本人 （個別の同意は不要に）
▼ 取得済みデータ
🏢 A社（提供元）
▼
🚪 統計作成等の特例（改正法30条の2）
公表＋書面合意＋目的拘束などの条件を満たせば通過できる
▼
🤖 B社（提供先）：AIモデルの学習・統計情報の作成に利用可
成果物は「特定の個人に関する情報でないもの」に限定
② 特例のスキーム：誰が・何を・どんな条件で
同意が不要になる代わりに、透明性と目的拘束の「4つの鍵」がかかります。ここが実務の核心です。
提供元
個人情報取扱事業者
顧客データ・購買履歴・診療データ等を保有
本人同意なしで提供OK
➔
個人データ（要配慮含み得る）
提供先
個人情報取扱事業者／行政機関の長等
AIモデル学習・統計情報の作成に利用
🔑 鍵1：公表提供元・提供先の事業者名、統計作成等の内容など一定事項をあらかじめ公表し、公表を継続する
🔑 鍵2：書面等による合意「この提供は特例に基づく」ことを提供元・提供先間で書面等により合意する
🔑 鍵3：目的拘束提供先は統計作成等の目的以外での利用が禁止。第三者への再提供も原則禁止
🔑 鍵4：安全管理提供先にも通常の個人情報保護義務（安全管理措置等）がフルに適用される
⚠ 特例が使えない決定的ライン：個人に対する評価・決定（与信審査、採用選考、個人向けスコアリング、ターゲティング等）のために個人データを扱う行為には適用されない。成果物が「特定の個人に関する情報」になるものは対象外。
③ 具体例：特例でできること／できないこと
「学習で溶かして傾向・性質を取り出す」のはOK、「個人を狙い撃つ」のはNG、と覚えるのが早道です。
✅ 特例ルートでできる（例）
- 複数社の購買履歴を持ち寄り、需要予測AIの学習データにする
- 衣料品チェーンとドラッグストアが来店客データを突合し、横断的な傾向分析AIを開発する（成果物は統計情報）
- 医療データを集めて疾患予測モデル・創薬AIの研究開発に使う
- LLMなど基盤モデルの学習コーパスとして個人データを含むテキストを利用する（統計作成等と整理できる範囲）
- 行政機関へ統計作成目的でデータを提供する
❌ 特例ルートではできない（例）
- 受け取ったデータで個人ごとの信用スコアを算出する
- 特定個人へのターゲティング広告・営業リスト作成に使う
- 採用選考・与信・保険引受など個人への評価・決定に使う
- 提供先がさらに別の会社へ再提供する（原則禁止）
- 公表や書面合意をせずにこっそり提供する（特例の要件を満たさず違法）
④ 最大の争点：要配慮個人情報まで対象になる
今回の国会審議で賛否が最も割れたポイントです。「アクセル」と「懸念」を並べて見ます。
🚀 推進側の論理（政府・賛成会派）
米国・中国に後れを取る国内AI開発の競争力を高めるには、大量・多様な実データが不可欠。特例の成果物は「特定の個人に関する情報でない」ことが要件で、公表・目的拘束などの担保もある――という整理。
賛成：自民党・日本維新の会・国民民主党 ほか
⚠️ 懸念側の論理（反対会派・医療関係者ら）
病歴犯罪歴人種信条障害
機微性の高い要配慮個人情報が本人の知らないところで外部提供され得る。提供時の氏名匿名化義務がない点、公表ベースの透明性で本人が実際に気づけるのかという点への批判が強く、「改悪」として廃案を求める声も上がった。
反対：立憲民主党・公明党・参政党・共産党 ほか／衆院通過時に付帯決議
⑤ 同時に入った「ブレーキ」：執行強化の三本柱
緩和とセットで、悪質事案への制裁は大幅に重くなりました。特例の要件を外れた提供はこの網にかかります。
💰課徴金制度の新設
不正取得・不正利用などの違反で得た利益相当額を徴収できる制度を導入。
対象：本人数1,000人超規模の大規模事案で、個人の権利利益の侵害があった場合
⚖️罰則の強化・新設
個人情報データベース等不正提供罪に「加害目的」類型を追加。詐欺・不正アクセスによる不正取得罪を新設。
「盗んででも集める」行為そのものを犯罪化
🚨緊急命令
権利利益の侵害が切迫している場合、従来必要だった「勧告」を経ずに、個人情報保護委員会が直ちに命令を出せる。
勧告→命令の二段階を省略できる緊急ルート
⑥ 一緒に押さえたい：その他の主な改正項目
報道はAI特例に集中していますが、実務インパクトはむしろこちらが大きい企業もあります。
🧬 特定生体個人情報（顔特徴データ等）
利用の周知義務、利用停止請求の強化、オプトアウトによる第三者提供の禁止など、生体データ特有の規律を新設。
🧒 16歳未満の子どもの保護
法定代理人（保護者）の関与義務、「子どもの最善の利益」考慮責務を明文化。
📇 連絡可能個人関連情報
単体では個人情報でないメールアドレス等について、不正利用・不正取得を禁止する規律を新設。
📄 委託先規律の明文化
委託された業務の範囲外でのデータ取扱いを明確に禁止。既存の委託契約の見直しが必要に。
📮 漏えい通知の合理化
権利利益保護に支障がない場合は、代替措置による対応を許容し、通知負担を緩和。
🏥 医療・学術研究
病院等の医療機関を学術研究例外の対象に明示。公衆衛生・生命保護の場面での同意要件も緩和。
⑦ タイムライン：いつから効くのか
2026年6月
衆議院通過（統計特例に付帯決議、新設罰則には異論も）
2026〜2027年
個人情報保護委員会が政令・委員会規則を整備（「権利利益を害するおそれが少ない行為」の具体化、公表事項の詳細など）＝実務の細部はここで決まる
〜2028年頃
公布から2年以内に政令で定める日に施行（2028年7月17日が期限）
⑧ 企業側の実務チェックリスト（施行までにやること）
- 自社データのうち「AI開発・統計作成に使いたいもの」と「個人への評価・決定に使うもの」を棚卸しして線引きする（特例が使えるのは前者だけ）
- 特例利用を見込むなら、公表文面・書面合意のひな形・目的拘束条項を準備する
- データ提供契約・委託契約を見直す（委託範囲外取扱いの禁止が明文化されたため）
- 要配慮個人情報を扱う場合は、レピュテーションリスクを含めて特例利用の可否を経営判断として検討する
- 課徴金・不正取得罪を前提に、データの入手経路の適法性を監査できる体制を作る
- 委員会規則（今後公表）を定点観測する――特例の使い勝手は規則の書きぶりで決まる