1. はじめに

2026年（令和8年）7月、「個人情報の保護に関する法律等の一部を改正する法律」（令和8年法律第56号）が成立し、同月17日に公布されました。今回の改正は、大きく次の4つに分かれます。

今回は、このうち①の中心となる「統計作成等」の特例について紹介します。AI開発をはじめとするデータ利活用の需要に応えるため、統計作成等が目的であれば、一定の要件のもとで本人の同意なく個人情報を取得・提供できる仕組みが新しく設けられました。いろいろと話題になった改正点ですが、少し分かりにくいところがありますので、図解などでイメージをつかみやすいように心がけたいと思います。なお、説明を少し簡略化している箇所もありますので、その点はご了承ください。

2. 現行の個人情報保護法

まず、現行の個人情報保護法がどのようになっているのかを確認します（2026年11月14日現在）。「統計作成等」の特例は個人情報等の取得・提供に関するものですから、それに関連する規律をみてみます。なお、以下の記載は改正後の条文番号を付しています。

(1) 取得の場面

まず、病歴などの「要配慮個人情報」を取得するには、原則として本人の同意が必要です（20条2項）。例外もありますが、主体が限られるなどかなり限定されます。そのため、ウェブ上の情報を機械的に大量に集める場合（スクレイピング）、要配慮個人情報が含まれていないかを事前に選り分けることは事実上できない、という問題がありました。

(2) 提供の場面

個人データを第三者に提供するにも、原則として本人の同意が必要です（27条1項）。また、個人情報の利用目的に第三者への提供が含まれるようにしておかなければなりません（17条1項・18条1項）。

さらに、提供先が個人データとして取得することが想定される「個人関連情報」（Cookie情報など）を提供する場合には、提供元において提供先で本人の同意が得られているかを確認する義務があります（31条1項）。すなわち、個人データの第三者提供にあたるか否かは提供元の情報がどのようなものかで決まります。ですから、提供元で個人データでないのであれば（個人を識別できないのであれば）、個人データの提供にはなりません。ただ、提供先でその情報を突合するなどして個人を識別できるようになるのであれば、個人データの第三者提供と同様に提供先で本人の同意がとれているのかを確認しなさい、という決まりです。

さて、これらがAI開発との関係でどのように関わるのかということですが、今回の法改正では横断的なデータ解析のニーズが高まっていることが背景にあるとされています。複数の事業者が有する各種のデータ（例えば、X社の購買データとY社のヘルスケアデータ）をそれぞれ外部の事業者に提供して、個人単位で突合して傾向を把握することにより精度を高められるといいます。その最終成果物が個人情報と関係のないもの（統計情報）であったとしても、それに先立って第三者提供の同意が必要になるとされているわけです。

3. 「統計作成等」とは

そこで、今回の改正では、AI開発などのデータ利活用の推進のために、上のような規定に特例が設けられました。その前提として、改正法では「統計作成等」という概念を作りました。以下のように定義されます（2条13項）。

年代別比率の集計表や統計的規則性を符号化した学習済みパラメータといった二次的な情報を作成する行為がこれに含まれることになるようですが、具体的な範囲は今後の委員会規則で定められます。一方で、特定の個人ごとのスコアやプロファイルを作るように、結果が「個人に関する情報」になるものは対象外です。

4. 特例の内容

このような統計作成等を目的とする場合には、2.で述べたような、要配慮個人情報の取得や個人データの第三者提供に際しての同意などについて緩和措置が認められるようになりました（ただし、統計作成等のみを目的とすることが必要です）。

このあたりは、かなり分かりにくいところですので、以下の簡単な参考図を作ってみました。なお、あくまでも参考図ですので、細部については根拠となる条文を当たってくださるようお願いします。

(1) 取得特例（30条の2第1項）

まず、統計作成等の目的で、現に公開されている要配慮個人情報を取り扱う必要がある場合は、事業者の氏名・名称や統計作成等の内容などを公表していれば、本人の同意なく要配慮個人情報を取得できます（20条2項の特例）。

(2) 提供特例①（30条の2第5項）

また、提供先が統計作成等の目的で個人情報を取り扱う必要がある場合は、次の2つを満たせば、本人の同意なく個人情報を提供できます（27条1項の特例）。ただし、これらの特例により提供を受けた個人情報である場合は、この限りではありません（再提供はできません）。

なお、提供先は、こうして受け取る要配慮個人情報についても、本人の同意なく取得できます（20条2項8号）。

(3) 提供特例②（31条の3第1項）

さらに、個人関連情報を提供する場合にも、提供先が統計作成等の目的で個人関連情報を取り扱うのであれば、提供先の本人同意について確認をする必要がなくなります（31条1項の特例）。要件は提供特例②と同じく、公表と書面による合意です。

5. 特例を利用する事業者の義務

特例は、同意を不要とする代わりに、次のような義務を課しています。

これらの義務は、元の情報だけでなく、複製したり加工したりした情報にも及びます。また、特例に違反する行為は、今回新しく設けられた課徴金の対象にもなり得ます。このようにして改正法は、統計作成等の目的から外れることがないようにしているのです。

もっとも、参入のハードルの低さには懸念も示されています。宇賀克也教授は、「［改正法は］認定制度ではなく、統計作成等を行うとして手を挙げれば、公表や提供元との書面による合意という低いハードルの下でこの特例を利用できることになります。個人情報保護委員会が規則やガイドラインで、最低限講ずるべき加工方法を明示しないと、個人情報保護に対する懸念は払拭できないと思います」と述べています（下記参考文献等3参照）。このあたりは今後の課題となりそうです。

6. 施行時期と今後

改正法の施行日は、一部の規定を除き、公布の日（令和8年7月17日）から2年を超えない範囲内で政令で定める日です。「統計作成等」の具体的な範囲や安全管理措置などは、今後の委員会規則やガイドラインで定められる予定ですので、今後の動向に注意が必要です。