個人情報保護法改正案
AIなどのデータ利用で、本人同意なしに提供できる場面を広げつつ、悪用を防ぐルールも見直す改正です。
一言で言うと
個人情報をAIや統計に使える場面を広げながら、どこまで使い、どう守るかの線引きを見直す改正です。
この法案のポイント
何が変わる？
個人情報の使い方の線引きを見直します。
統計作成等に限る場合は、一定の公表や書面合意などを条件に、本人同意なしでデータを提供できる場面を設けます。一方で、顔特徴データや名簿の悪用などには新しいルールを置きます。
なぜ今？
AIやデータ分析で個人情報を使う場面が増えているためです。
政府資料では、データ利用の需要が高まる一方で、違法な取扱いによって個人の権利利益が侵害されるリスクも高まっていると説明されています。
誰に関係する？
個人情報を扱う事業者と、サービスを使う生活者に関係します。
データ分析、AI開発、第三者提供、委託先管理を行う事業者はルール確認が必要になります。生活者側では、顔認識、名簿流通、子どもの個人情報などの扱いに関係します。
詳しく読む
AI・統計利用に本人同意の例外、重大違反には利益相当額の納付へ
🧾 個人情報 / 🤖 AI・統計利用 / 👶 子ども・顔データ / 💴 課徴金
個人情報保護法の改正案です。AI開発にも関わる「統計作成等」では本人同意なしのデータ提供を一定条件で認める一方、16歳未満や顔特徴データの保護、重大な違反への課徴金を新設します。
政府資料はこちらです：個人情報保護委員会「概要資料」
💡 一言で言うと
個人情報を使える場面を広げ、悪用を防ぐルールを見直します。
この法案は、個人情報を「使える場面」と「止める場面」の両方を変えるものです。
AI開発などに使われる統計作成では、一定の公表や書面合意を条件に、本人の同意なしで個人データを第三者に提供できるようにします。
一方で、16歳未満の子ども、顔認証に使う顔特徴データ、名簿販売、違法なデータ取得などには新しいルールを置きます。重大な違反で利益を得た場合には、個人情報保護委員会が課徴金（違反によって得た利益に相当する額の納付）を命じる仕組みも入ります。
🔑 何が変わるのか
主な変更点は次の4つです。
1. AI・統計づくりのためのデータ提供をしやすくする
- 「統計作成等」にだけ使う場合、一定条件で本人同意なしの第三者提供を認めます。
- 公開されている病歴・犯罪歴などの要配慮個人情報も、統計作成等に限って取得できる場合があります。
2. 16歳未満と顔特徴データの保護を厚くする
- 16歳未満の本人について、同意や通知は原則として法定代理人を相手にします。
- 顔特徴データを扱う事業者には、利用目的や利用停止請求の手続などの周知を義務付けます。
3. 名簿販売や連絡可能なデータの悪用に対応する
- オプトアウト制度で名簿を提供する場合、提供先の身元と利用目的の確認を義務付けます。
- メールアドレスやCookie IDなど、単独では個人情報に当たらない場合でも、特定の個人へ働きかけられる情報の不正取得・不適正利用を禁止します。
4. 違反への対応を強める
- 課徴金制度を導入します。
- 個人情報データベース等の不正提供などの罰則を引き上げます。
- 詐欺や不正アクセスなどで個人情報を不正取得する行為にも罰則を設けます。
🏛️ 背景（なぜ今この改正なのか）
政府資料は、デジタル技術の進展で個人情報を含むデータ利用の需要が高まる一方、違法な取扱いで個人の権利利益が侵害されるリスクも高まっている、と説明しています。
もう一つの背景は、個人情報保護法の「3年ごと見直し」です。令和2年改正法には、施行後3年ごとに制度を点検し、必要な措置を講じる規定があります。今回の法案は、その見直しの流れで提出されました。
AI開発や医療・公衆衛生分野でデータを使いたいという要請と、名簿悪用、顔認証、子どもの個人情報などへの対応を、同じ改正案の中で扱っています。
📊 現行制度と改正後の違い
1. AI・統計づくりのためのデータ利用
現行制度では、個人データを第三者に提供する場合、原則として本人の同意が必要です。病歴、信仰、犯罪歴などの要配慮個人情報の取得にも、原則として本人同意が必要です。
改正後は、統計作成等にだけ使う場合に、本人同意なしの第三者提供などを認めます。政府資料では、統計作成等に整理できるAI開発も含むと説明されています。
ただし、提供元・提供先の名称や利用内容の公表、書面による合意、目的外利用や再提供の禁止などが条件になります。具体的な範囲や公表事項は、個人情報保護委員会規則などで定める想定です。
2. 本人の意思に反しないことが明らかな取扱い
現行制度では、ホテル予約サイトから宿泊先ホテルへ予約者情報を渡す場合などでも、条文上は本人同意が必要になる場面がありました。
改正後は、契約の履行に必要で、取得の状況から本人の意思に反しないことが明らかな場合、本人同意なしの第三者提供などを認めます。
政府資料は、ホテル予約や海外送金を想定例に挙げています。具体的な対象範囲は、委員会規則などで定める想定です。
3. 生命・身体の保護や公衆衛生
現行制度では、生命・身体・財産の保護や公衆衛生の向上のためでも、「本人の同意を得ることが困難」という要件がありました。
改正後は、それに加えて、本人の同意を得ないことについて相当の理由がある場合も同意不要とします。
氏名の削除や提供先との守秘義務契約など、本人の権利利益を守る措置が取られている場合を想定しています。
4. 病院などの医学研究
現行制度では、本人同意が不要になり得る「学術研究例外」の主体は、大学や研究所、学会などが中心でした。
改正後は、「学術研究機関等」に、病院や診療所など医療の提供を目的とする機関・団体が含まれることを明示します。
医学・生命科学の研究で、臨床症例の分析が行われている実態に合わせる改正です。
5. 16歳未満の子どもの個人情報
現行制度では、子どもの個人情報について、法定代理人から同意を得るべき場面は主にガイドラインやQ&Aで示されていました。
改正後は、16歳未満の場合、同意取得や通知などについて、原則として本人の法定代理人を対象とすることを法律に明記します。
また、16歳未満の保有個人データについては、違法行為の有無を問わず利用停止などを請求できる場面を広げます。未成年者の個人情報を扱う事業者には、本人の最善の利益を優先して考慮する責務規定も置かれます。
6. 顔特徴データ
顔認証などに使う顔特徴データは、本人が気づかないうちに取得されやすく、同じ人を長く識別し続ける性質があります。
改正後は、事業者に対し、名称・住所・代表者、顔特徴データを扱うこと、利用目的、元となった身体的特徴、利用停止請求の手続などの周知を義務付けます。
本人は、一定の場合を除き、違法行為の有無を問わず利用停止などを請求できます。顔特徴データをオプトアウト制度で第三者提供することも禁止されます。
7. 名簿販売とオプトアウト制度
現行制度では、本人が求めれば提供を止めることなどを条件に、本人同意なしで個人データを第三者提供できる「オプトアウト届出制度」があります。
改正後は、この制度で第三者提供する場合、提供先の氏名・名称、住所、代表者氏名、利用目的を事前に確認しなければなりません。確認事項を偽った場合は、過料の対象になります。
いわゆる闇名簿への流出を防ぐため、名簿を渡す側にも確認義務を置く改正です。
8. 課徴金と罰則
現行制度では、違反事業者が勧告・命令後に違反をやめれば、違反で得た利益が残る場合がありました。
改正後は、重大な違反で個人の権利利益が侵害された場合などに、違反で得た財産上の利益に相当する額の課徴金を命じる制度を設けます。政府資料では、対象行為に係る本人の数について1,000人を基準とする大規模事案に限定すると説明されています。
罰則も見直します。個人情報データベース等の不正提供などは、刑の上限を1年以下の拘禁刑または50万円以下の罰金から、2年以下の拘禁刑または100万円以下の罰金へ引き上げます。詐欺や不正アクセスなどで個人情報を不正取得した場合の罰則も新設します。
👥 影響を受ける人・対象者
生活者に関係するのは、主に次の場面です。
- AI開発や統計作成のために、データが本人同意なしで使われる場合があります。
- 16歳未満の子どもの個人情報では、保護者など法定代理人の関与が法律上明確になります。
- 顔認証システムを使う施設やサービスでは、利用目的などの周知が求められます。
- 名簿を扱う事業者には、提供先確認の義務が加わります。
- 個人情報を大量に扱う企業や委託先には、目的外利用、漏えい、違法提供への対応がより重くなります。
📅 施行日と経過措置
施行日は、原則として公布の日から2年以内の政令で定める日です。
ただし、罰則の引上げなど一部の規定は、公布の日から6か月後に施行されます。
顔特徴データの周知や、施行前に行われた同意の扱いなどについては、附則で経過措置が置かれています。
🗣️ 国会での位置づけ
この法案は内閣提出法案です。令和8年4月7日に国会へ提出され、衆議院では5月21日に委員会可決、5月26日に本会議で可決されました。
その後、参議院に送付され、6月12日に「デジタル社会の形成及び人工知能の活用等に関する特別委員会」へ付託されています。
衆議院委員会では附帯決議が付いており、本人同意を不要とする特例の具体的範囲や判断基準を、個人情報保護委員会規則で明記することなどを求めています。
🔗 参考リンク
リアルタイム速報はXで → @kokkai_sokuho