令和８年改正個人情報保護法の成立のご報告― 衆議院・参議院の附帯決議（各14項目）の全文と比較分析 ―（個人情報保護法ニュース No.21）
2026/07/13
PDFファイルは下記をご覧ください。
令和８年改正個人情報保護法の成立のご報告― 衆議院・参議院の附帯決議（各14項目）の全文と比較分析 ―（個人情報保護法ニュース No.21）平素より大変お世話になっております。
令和８年４月７日に閣議決定・国会提出された「個人情報の保護に関する法律等の一部を改正する法律案」[1]（以下「改正法」といいます。）は、衆議院の「地域活性化・こども政策・デジタル社会形成に関する特別委員会」（令和８年５月21日可決）及び参議院の「デジタル社会の形成及び人工知能の活用等に関する特別委員会」（令和８年７月８日可決）における審議を経て、令和８年７月10日、参議院本会議において可決され、成立いたしました。改正法は、いわゆる３年ごと見直し（令和２年改正法附則第10条）を踏まえ、個人情報保護法のほか番号法・次世代医療基盤法にも及ぶ大型改正であり、AI開発・統計作成等を含むデータ利活用の促進と権利利益保護の両立をめぐって、多岐にわたる論点を含むものとなりました。
国会での審議状況に関するニュースレター（No.19）[2]では両院審議の主な論点と政府答弁を、統計作成等特例、要配慮個人情報の削除・PETs化、医療情報、AI学習・再識別リスク、特定生体個人情報・こども、課徴金制度等の観点から詳細にご報告いたしました。本号（No.21）では、これを成立の視点からアップデートしたうえで、衆議院・参議院それぞれで付された附帯決議（各14項目）の全文を網羅的に掲載し、両院決議の比較と分析を行います。今後整備される委員会規則・ガイドラインの内容を強く方向づける「予告」として、実務対応の一助となれば幸いです。
令和８年７月13日
弁護士法人三宅法律事務所
| ＊本ニュースレターに関するご質問・ご相談がありましたら、下記にご連絡ください。 弁護士法人三宅法律事務所 弁護士 渡邉雅之（執筆者） TEL 03-5288-1021 FAX 03-5288-1025 Email: m-watanabe@miyake.gr.jp |
令和８年改正個人情報保護法の成立のご報告
― 衆議院・参議院の附帯決議（各14項目）の全文と比較分析 ―
| 【目次】 1 改正法の成立――両院の審議経過と採決 2 改正の全体像と主な内容 3 最大の争点――統計作成等特例（第２条第13項、第30条の２、第31条の３） 4 要配慮個人情報の削除・仮名化・PETs化の方向性 5 医療情報――次世代医療基盤法との関係と医師の守秘義務 6 AI学習・再識別リスクと課徴金制度・団体訴訟 7 特定生体個人情報（顔特徴データ）とこども（16歳未満）の個人情報 8 衆議院の附帯決議（全14項目） 9 参議院の附帯決議（全14項目） 10 衆参附帯決議の比較と分析 11 実務への示唆――委員会規則・ガイドライン整備を見据えた対応 |
1 改正法の成立――両院の審議経過と採決
改正法の審議経過は、次のとおりである。衆議院では、令和８年５月12日の政府質疑で統計作成等特例の射程（公開されていない氏名入り病歴等の要配慮個人情報を本人同意なく取得・提供できるか）が正面から問われ、政府がこれを認める答弁を行った。同月14日の参考人質疑を経て、同月21日に討論・採決が行われ、両案は多数で可決され、個人情報保護法案に対し附帯決議（14項目）が付された。同月26日、衆議院本会議で可決された。
参議院では、統計作成等特例・課徴金・次世代医療基盤法との関係・プロファイリング等が集中的に審議され、令和８年７月８日にデジタル社会の形成及び人工知能の活用等に関する特別委員会で採決が行われた。要配慮個人情報を統計特例の対象から除く修正案（立憲民主・公明・沖縄の風提出）は少数で否決され、政府原案が多数で可決されたうえで、７会派共同提案による附帯決議（14項目）が議決された。令和８年７月10日、参議院本会議において多数（押しボタン式）で可決され、改正法は成立した。なお、公布日・法律番号は本稿作成時点で未掲載であり、施行日は一部を除き公布日から２年以内の政令指定日とされている。
| 審議段階 | 期日 | 結果 |
| 閣議決定・国会提出 | 令和８年４月７日 | 第221回特別国会に提出 |
| 衆議院 特別委員会 可決 | 令和８年５月21日 | 多数で可決／附帯決議（14項目） |
| 衆議院 本会議 可決 | 令和８年５月26日 | 多数で可決 |
| 参議院 特別委員会 可決 | 令和８年７月８日 | 修正案否決・原案可決／附帯決議（14項目） |
| 参議院 本会議 可決・成立 | 令和８年７月10日 | 多数（押しボタン式） |
2 改正の全体像と主な内容
改正法の主な内容は、①統計等の作成を行う第三者に個人情報を提供する場合等について本人同意を不要とする措置（統計作成等特例）、②16歳未満の者の個人情報等に係る法定代理人への通知等及び最善の利益を優先する責務、③特定生体個人情報（顔特徴データ等）に係る利用停止等請求、④連絡可能個人関連情報の不適正利用・不正取得の禁止、⑤個人情報保護法で初めての課徴金制度の創設・罰則強化等である。データ利活用の促進と権利利益保護の両立を図る一方、本人同意原則の後退や要配慮個人情報の取扱いをめぐり、両院審議で活発な議論が行われた。
3 最大の争点――統計作成等特例（第２条第13項、第30条の２、第31条の３）
審議の最大の焦点は、統計作成等（第２条第13項）を目的とする場合に、本人同意なく――氏名・住所を含む病歴等の要配慮個人情報までも――取得・第三者提供を可能とする特例（第30条の２・第31条の３等）の是非であった。政府は、統計作成等の目的での利用に限り、要配慮個人情報であっても本人同意なく取得・第三者提供の対象となり得ること、行政機関への提供も対象となることを認めた。
もっとも政府は、特例が適用されるのは特定の個人との対応関係が排斥された統計情報等の作成にのみ利用される場合に限られ、個人ごとのスコアリングや個人向け広告・営業への転用は定義上「統計作成等」に含まれない（第２条第13項括弧書）と説明した。名称が「統計」「AI学習」であっても、出力が個人に戻る処理は特例の枠外となる、との整理である。特例は、目的限定に加え、提供元・提供先の名称等の公表、目的外利用の禁止、再提供の制限、書面合意等を要件とし、これらを欠く運用は特例の効果を享受できず第27条第１項違反となり得る。規律の緩和ではなく、高透明・高拘束型の利活用ルートの追加として理解すべきである。
4 要配慮個人情報の削除・仮名化・PETs化の方向性
政府は、統計作成等特例に基づき要配慮個人情報を取り扱う場合について、一律の事前削除・仮名化を法律上の要件とはしないとしつつ、委員会規則・ガイドラインのレベルでは、提供・学習の前に削除・仮名化・匿名化その他のプライバシー強化技術（PETs）による処理を行う方向で運用を具体化する意向を繰り返し示した。すなわち、統計作成等の内容に照らして氏名等が明らかに不要で容易に削除できるにもかかわらず漫然と提供する場合は、提供先が「AI開発等の目的で取り扱う必要がある場合」に限って提供できるという要件（第31条の３関係）を満たさず違法となるとされ、明らかに不要な項目を提供前に削除すべきことが「必要がある場合」要件の解釈として求められる。
PETsとは、個人情報をそのまま保持・開示することなくデータの分析・学習・統計処理を可能とする技術の総称であり、差分プライバシー、秘密計算（秘匿計算）、連合学習（フェデレーテッド・ラーニング）、合成データ、AIによるマスキング・フィルタリング、アンラーニング等を含む。これらを①提供前（削除・匿名加工・仮名化）、②学習時（差分プライバシー・秘密計算・連合学習）、③出力時（フィルタリング）、④事後対応（アンラーニング・再識別検証）の各段階で重畳的に組み合わせることが、安全管理措置及び「復元されることを防止するために必要かつ適切な措置」の中核となる。この方向性は、個人情報保護委員会が令和５年６月２日に公表したOpenAIに対する注意喚起[3]（学習用データセットに加工する前に要配慮個人情報を削除し又は非識別化する措置を求めたもの）とも軌を一にする。統計作成等特例を要配慮個人情報に用いる企業は、生データのまま取り扱わない設計を前提に準備することが望ましい。
5 医療情報――次世代医療基盤法との関係と医師の守秘義務
慎重な立場の委員からは、次世代医療基盤法では認定事業者に限って医療データの取扱いが認められるのに対し、本特例では非認定の一般事業者でも要配慮個人情報を取得しAI開発に利用できることとなり、特別法より一般法の方が緩やかになる「逆転現象」ではないかとの批判が示された。政府は、個人情報保護法は分野横断の一般法であり、本特例は統計作成等に限った同意不要の特例である点で次世代医療基盤法とは目的が異なると説明した。
医師の守秘義務との関係について、厚生労働省は、統計特例に基づく第三者提供であっても直ちに守秘義務違反の違法性が阻却されるわけではなく、行為の相当性等を総合考慮して判断されると答弁した。本法が定める各要件（公表、目的外利用・第三者提供の禁止、安全管理措置、書面合意等）に従った提供であることは相当性を肯定する一要素となるが、医療機関からの提供はなお個別に相当性の判断を要する。後述のとおり、参議院附帯決議第４項は、病歴等を含む要配慮個人情報の第三者提供につき、医療分野ガイドラインの改正、医師等の守秘義務や生命科学・医学系研究倫理指針との関係の明確化を明記しており、医療・ヘルスケア・研究機関にとって今後のガイドライン改正が最重要となる。
6 AI学習・再識別リスクと課徴金制度・団体訴訟
参考人質疑では、「基盤モデルの学習は匿名化のプロセスではない」との指摘がなされ、学習用データが個人情報であれば基盤モデルからの復元やメンバーシップ推論攻撃のリスクが残ることが論じられた。これに対し政府は、統計作成等特例では大量の個人情報を「個人に関する情報に当たらない状態」まで加工することが求められ、再識別・漏えいリスクは極めて低いと答弁したが、学習前の段階でこそPETs・削除・非識別化による対処が必要であるとの指摘は、後述の参議院附帯決議第３項（AIモデル等による特定個人の識別又は要配慮個人情報の推知リスクの勘案）に結実している。
個人情報保護法で初めて導入される課徴金制度（第148条の３以下）については、両院で「額が低く対象も狭い」との批判が示された。政府は初めての導入ゆえ「スモールスタート」にならざるを得ないとし、附則第14条の３年ごと見直しを通じて水準・対象要件を検証するとした。対象は不適正利用・不正取得・違法な第三者提供・統計作成等特例の目的外利用等に絞られ、安全管理措置義務違反（第23条）が対象に含まれていない点には特に強い不満が示された。団体による差止請求・被害回復制度は今回見送られた。後述のとおり、衆参双方の附帯決議が課徴金の透明性・実効性の確保（参院は将来の課徴金額・対象要件の継続的検討を明記）と、団体訴訟制度の導入検討の継続を求めている。
7 特定生体個人情報（顔特徴データ）とこども（16歳未満）の個人情報
顔特徴データについて、改正法は一定事項の周知義務、違法行為の有無を問わない利用停止等請求（第35条第７項・第８項）、オプトアウトによる第三者提供の適用除外（第27条第２項）を導入し、カメラ設置施設の入口等への掲示を委員会規則で求める方針が示された。16歳未満の者については、利用停止等請求の要件緩和、法定代理人への読替え（第40条の２）、最善の利益を優先する責務規定（第58条の３）が設けられる。審議では、親の所得と学業成績等を結び付けるプロファイリングによる差別的利用や、DV・虐待事案で加害親が法定代理人として同意し得る問題が論じられた。これらの論点は、後述の附帯決議（生体：機器周辺・検知対象者が認識できる場所への掲示／こども：最善の利益の最優先と発達段階の勘案）に反映されている。
8 衆議院の附帯決議（全14項目）
令和８年５月21日、衆議院地域活性化・こども政策・デジタル社会形成に関する特別委員会において付された附帯決議は、次の14項目である。[4]
| 一 本法に基づいて個人情報保護委員会規則等を定めるに当たっては、個人情報保護委員会の独立性を踏まえつつ、個人の権利利益を最大限に尊重するとともに、個人情報等の有用性に配慮した適正な利活用との両立を図る観点から、あらかじめ国民や団体等の関係者から意見を聴取し、その意見を的確に反映するなど、政策決定過程の透明性と予見可能性を十分に確保すること。 二 欧州連合の一般データ保護規則をはじめとする諸外国の制度との整合性に留意し、我が国における人工知能（AI）開発等を含む研究開発及び事業活動が過度に萎縮することのないよう配慮すること。 三 AI開発等を含む統計作成等の取扱いについては、他の情報と照合して特定の個人を識別することができないようにするための措置を確実に講ずること。また、統計作成等の概念が限定的に解釈され、実質的な適用範囲が狭められることのないよう留意すること。さらに、統計作成等に係る事項の公表については、本人が容易に知り得る状態に置かれるよう、個人情報取扱事業者や行政機関の長等において公表するのみならず、個人情報保護委員会においても状況の把握に努め、必要な情報を公表すること。 四 個人情報取扱事業者による統計作成等を目的とする要配慮個人情報の取扱いに際しては、漏えいや不適正な利用等による個人の権利利益の侵害が生じないよう、十分な安全管理措置及び委託先の監督を徹底させること。 五 広告の閲覧履歴や商品の購入履歴等から信条等の機微な情報を推知する等の精度の高いプロファイリングの手法が普及しているという指摘を踏まえ、プロファイリングに係る規制の在り方について、諸外国における法制度等を基に引き続き検討を行うこと。 六 プライバシー強化技術（PETs）の活用に当たっては、我が国の産業競争力の向上にも資する観点から、適切なインセンティブの在り方について検討すること。 七 取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかな取扱いである場合として個人情報保護委員会規則で定める場合に本人の同意取得を不要とすることについては、個人情報取扱事業者等の恣意的な判断や濫用によって個人の権利利益が侵害されることのないよう、当該特例に基づく個人情報の利用又は提供を必要最小限とするとともに、個人情報保護委員会規則によってその具体的な範囲や判断基準を明記すること。 八 こどもの個人情報の取扱いに際しては、児童の権利に関する条約及び諸外国における取組事例を踏まえて、こども基本法の精神にのっとり、こどもにとっての最善の利益を最優先に考慮すること。また、こどもの個人情報に係る同意取得に当たっては、消費者及び事業者双方に過度な負担を生じさせないよう、柔軟な手法を許容すること。さらに、教育や保育の現場において、こどもの個人情報の適正な取扱いが確実に行われるよう、法令やガイドラインについての周知を徹底すること。 九 特定生体個人情報の取扱いについては、本人の関与が困難な状態で不適正な取扱いが行われるリスクが高いことに鑑み、義務化される周知行動の実効性を確保する方策を検討し明らかにするとともに、同情報が取り扱われている旨及び本人からの利用停止請求等の手段について監視カメラやセンサー等の機器の周辺に分かりやすく掲示する等の方法による周知を個人情報取扱事業者に徹底させること。 十 漏えい等の報告に係る本人への通知の代替措置が許容される場合については、個人情報取扱事業者等の恣意的な判断、濫用及び拡大解釈によって本人の権利利益が侵害されることのないよう、個人情報保護委員会規則によって具体的な対象範囲や判断基準を明記すること。 十一 オプトアウト届出事業者における個人データの不適切な第三者提供が行われることのないよう、同事業者に対する監視・監督等を徹底すること。また、いわゆる闇名簿に流用されている等の重大な違反行為が判明した場合には緊急命令を躊躇なく発出するとともに、課徴金納付命令を速やかに発出するなど、個人情報の不適正な取扱いから生じた収益の剥奪等に万全を期すること。 十二 課徴金制度の運用に当たっては、個人情報取扱事業者等が過度に萎縮することのないよう、課徴金納付命令の基準等について明確なガイドラインを策定するなど、その運用の透明性の確保に努めること。また、課徴金対象行為を繰り返す悪質な事業者に対しては、当該行為を着実に抑止するため、課徴金額の算定基礎の適切かつ確実な把握に努めるなど、実効性ある課徴金制度の構築に努めること。 十三 個人情報の違法な取扱いに起因する個人の権利利益の侵害に対する拡大防止及び事後的な救済を図るため、団体による差止請求制度及び被害回復制度について、導入に向けた検討を引き続き行うこと。また、検討に際しては、消費者及び事業者の双方の意見に十分に配慮すること。 十四 本法によって個人情報保護委員会の監視・監督等に係る業務の増加が見込まれることに鑑み、同委員会の人員及び予算の更なる充実に向けて取り組むこと。 |
9 参議院の附帯決議（全14項目）
令和８年７月８日、参議院デジタル社会の形成及び人工知能の活用等に関する特別委員会において、政府原案可決後に付された附帯決議は、次の14項目である。[5]
| 一 本法に基づいて個人情報保護委員会規則等を定めるに当たっては、個人情報保護委員会の独立性を踏まえつつ、個人の権利利益を最大限に尊重するとともに、個人情報等の有用性に配慮した適正な利活用との両立を図る観点から、あらかじめ国民や団体等の関係者から幅広く聴取した意見を的確に反映するなど、政策決定過程の透明性と予見可能性を十分に確保すること。 二 我が国におけるAI開発等を含む研究開発及び事業活動が過度に萎縮することのないよう、また、個人の権利利益が適正に保護されるよう、欧州連合の一般データ保護規則をはじめとする諸外国の制度との整合性を踏まえ、本邦の統計作成等の概念が適正に解釈されるよう留意すること。 三 AI開発等を含む統計作成等の取扱いについては、他の情報と照合するなどして、特定の個人を識別することができないようにするための措置を確実に講ずること。その際、AIモデル等が行う特定個人の識別又は要配慮個人情報の推知のリスクを十分に勘案すること。また、外国企業を含む個人情報取扱事業者や行政機関の長等による統計作成等に係る事項の公表については、本人が容易に知り得る状態に置かれるよう、個人情報保護委員会においてモニタリングを行い、必要な情報を公表するとともに、報告徴収等を適宜実施するなどして、適切な監督に万全を期すこと。 四 個人情報取扱事業者による統計作成等を目的とする要配慮個人情報の取扱いに際しては、漏えいや不適正な利用等による個人の権利利益の侵害が生じないよう、個人情報保護委員会による重点的な監督の対象とすること。特に病歴等を含む要配慮個人情報の第三者提供に関しては、医療分野の事情を踏まえたガイドラインを改正するなどして、医師等の守秘義務や人を対象とする生命科学・医学系研究に関する倫理指針等との関係等を明確に示すこと。また、他の法令において別段の定めがある場合にはこれを尊重し、その整合性の確保と事業者への周知徹底に努めること。 五 広告の閲覧履歴や商品の購入履歴等から、信条等の機微な情報を推知する等の精度の高いプロファイリングの手法が普及しているという指摘を踏まえ、プロファイリングに係る規制の在り方について、諸外国における法制度等を基に引き続き検討を行うこと。 六 プライバシー強化技術（PETs）の活用に当たっては、我が国の産業競争力の向上にも資する観点から、その技術動向の調査研究及び事業者による積極的な活用の促進に努めるとともに、適切なインセンティブの在り方について検討すること。 七 本人との間の契約の履行のために必要やむを得ないことが明らかな場合、その他取得の状況から見て本人の意思に反しないため本人の権利利益を害しないことが明らかである場合として、個人情報保護委員会規則で定める場合に本人の同意取得を例外的に不要とすることについては、当該例外に基づく個人情報の利用又は提供が必要最小限となるよう、個人情報保護委員会規則によって、その具体的な範囲や判断基準を明記し、個人情報取扱事業者等の恣意的な判断や濫用を防止すること。 八 こどもの個人情報の取扱いに際しては、児童の権利に関する条約及び諸外国における取組事例を踏まえて、こどもを心身の発達の過程にあるものと定義するこども基本法の精神にのっとり、年齢その他の諸事情を勘案しつつ、こどもにとって最善の利益を最優先に考慮すること。また、こどもの個人情報に係る同意取得に当たっては、消費者及び事業者双方に過度な負担を生じさせないよう柔軟な手法を許容すること。さらに、教育や保育の現場において、こどもの個人情報の適正な取扱いが確実に行われるよう、法令やガイドラインについての周知を徹底すること。 九 特定生体個人情報の取扱いについては、本人の関与が困難な状態で不適正な取扱いが行われるリスクが高いことに鑑み、義務化される周知行動の実効性を確保する方策を検討し、明らかにするとともに、同情報が取り扱われている旨及び本人からの利用停止請求等の手段について、監視カメラやセンサー等の機器の周辺及び当該機器の検知対象者が十分認識できる場所等に分かりやすく掲示する等の方法による周知を個人情報取扱事業者に徹底させること。 十 漏えい等の報告に係る本人への通知の代替措置が許容される場合については、個人情報取扱事業者等の恣意的な判断、濫用及び拡大解釈によって本人の権利利益が侵害されることのないよう、個人情報保護委員会規則によって具体的な対象範囲や判断基準を明記すること。 十一 オプトアウト届出事業者における個人データの不適切な第三者提供が行われることのないよう、同事業者に対する監視監督等を徹底すること。また、いわゆる闇名簿に流用されている等の重大な違反行為が判明した場合には、緊急命令を躊躇なく発出するとともに、課徴金納付命令を速やかに発出するなど、個人情報の不適正な取扱いから生じた収益の剥奪等に万全を期すること。 十二 課徴金制度の運用に当たっては、課徴金納付命令の基準等について明確なガイドラインを策定するなど、その運用の透明性の確保に努めること。また、課徴金対象行為を繰り返す悪質な事業者に対しては、当該行為を着実に抑止するため、課徴金額の算定基礎の適切かつ確実な把握に努め、将来の課徴金額の見直しに向けて検討を行うほか、課徴金対象行為を限定する要件については、今後の個人情報保護委員会による権限行使等の状況を踏まえ、見直し等の継続的な検討を行うなど、実効性のある課徴金制度の構築に努めること。 十三 個人情報の取扱いに起因する個人の権利利益の侵害に対する拡大防止及び事後的な救済を図るため、団体による差止請求制度及び被害回復制度について導入に向けた検討を引き続き行うこと。また、検討に際しては、消費者及び事業者の双方の意見に十分に配慮すること。 十四 本法によって個人情報保護委員会の監視・監督等に係る業務の増加が見込まれることに鑑み、同委員会の人員及び予算の更なる充実に向けて取り組むこと。 |
10 衆参附帯決議の比較と分析
衆参の附帯決議はいずれも14項目であり、項目の配列・骨格は共通する。もっとも、参議院附帯決議は衆議院附帯決議を単に踏襲したものではなく、参議院審議で強く問題となった事項を踏まえて、いくつかの項目を具体化・強化している。二院目・審議終盤ほど論点が積み上がる典型であり、実務上は参議院決議が「宿題リスト」の完成形として、下位法令（委員会規則・ガイドライン）の内容を予告する機能を担う。主な差分は次のとおりである。
| 項目 | 衆議院 | 参議院における追加・強化点 |
| 意見反映（第１項） | 関係者から意見を聴取し、透明性・予見可能性を確保 | 「幅広く聴取した意見を的確に反映」と表現を強化 |
| 統計作成等の解釈（第２・３項） | 再識別防止措置の確実な実施、概念の狭隘化の防止 | AIモデル等による特定個人の識別・要配慮個人情報の推知リスクの勘案を明記 |
| 公表・監督（第３項） | 本人が容易に知り得る状態、個情委による状況把握・情報公表 | 外国企業を含む事業者につき、個情委のモニタリング・報告徴収を明記 |
| 要配慮個人情報（第４項） | 十分な安全管理措置及び委託先監督の徹底 | 個情委の重点監督、医療分野ガイドライン改正、医師等の守秘義務・生命科学/医学系研究倫理指針との関係の明確化、他法令の尊重を明記 |
| PETs（第６項） | インセンティブの在り方の検討 | 技術動向の調査研究・事業者による積極的な活用促進を追加 |
| 同意不要の例外（第７項） | 「本人の意思に反しないことが明らか」な場合の範囲・判断基準の明記 | 「本人との契約の履行のため必要やむを得ない場合」を明示し、利用・提供を必要最小限とすることを明記 |
| こども（第８項） | 最善の利益の最優先、柔軟な同意取得、現場周知 | こども基本法の「心身の発達の過程にあるもの」定義を踏まえ、「年齢その他の諸事情」の勘案を追加 |
| 特定生体個人情報（第９項） | 機器周辺への分かりやすい掲示 | 検知対象者が十分認識できる場所等への掲示を追加 |
| 課徴金（第12項） | 運用の透明性、悪質事業者への実効的抑止 | 将来の課徴金額の見直し・対象要件の継続的検討を明記 |
| 団体訴訟・体制（第13・14項） | 導入に向けた検討継続／個情委の人員・予算充実 | 同旨（表現の細部を除きほぼ共通） |
分析上、特に重要なのは次の３点である。
- AIモデルによる推知リスクの明文化（参院第３項）である。「基盤モデルの学習は匿名化ではない」という参考人の指摘を受け、統計作成等特例における非識別化を、出力・推論段階のモデル反転・属性推定リスクまで視野に入れて評価すべきことが、立法府の要請として明確化された。事業者は、入力データの削除・仮名化にとどまらず、モデル出力からの再識別・推知可能性の検証を安全管理措置の一部として位置付ける必要がある。
- 要配慮個人情報の「重点監督」化と医療分野の別扱い（参院第４項）である。要配慮個人情報を統計特例で扱う場面は個情委の重点監督の対象とされ、特に病歴等については医療分野ガイドラインの改正・守秘義務・研究倫理指針との関係整理が明記された。これは、修正案（要配慮情報を統計特例から除外）が否決された一方で、法文で落とした歯止めを決議＋規則・ガイドラインに委ねる立法技術であり、医療・ヘルスケア・研究機関にとって今後のガイドライン改正が最重要の実務論点となることを意味する。
- 見送られた制度の将来検討の明記である。プロファイリング規制（両院第５項）、課徴金の対象・水準（参院第12項）、団体差止・被害回復制度（両院第13項）は、いずれも今回の改正で見送られ又は限定されたが、附則第14条の３年ごと見直しに向けた継続検討課題として決議に明記された。これらは次期改正の主要論点として残り、中期的な制度動向として注視を要する。
11 実務への示唆――委員会規則・ガイドライン整備を見据えた対応
以上を踏まえた実務対応の要点は、次のとおりである。
- 統計作成等特例の利用可否は、出力が「個人に戻るか否か」で線引きされる。名称が「統計」「AI学習」であっても、個人向け営業・与信・選別への転用は特例の枠外であり、課徴金の対象となり得る。
- 要配慮個人情報を統計作成等特例に用いる場合は、生データのまま取り扱わず、提供・学習の前に削除・仮名化又はPETsによる処理を行う設計を前提とすべきである。これはガイドライン・委員会規則で整備が見込まれる方向であり、令和５年のOpenAI注意喚起以来の委員会の一貫した姿勢とも整合する。特に病歴等の医療情報については、参議院附帯決議第４項を踏まえた医療分野ガイドラインの改正動向を注視し、次世代医療基盤法・守秘義務・研究倫理指針との関係を整理しておくことが望ましい。
- 課徴金の導入により、個人情報の取扱いは経営リスクとして管理する必要があり、違反時に「相当の注意」を尽くしたことを示せる内部統制・記録・委託先監督の体制整備が鍵となる。あわせて、AIモデルからの再識別・要配慮情報の推知リスクの検証、特定生体個人情報の周知・利用停止請求対応、こどもの個人情報の発達段階に応じた保護措置、オプトアウト届出事業者の監督強化について、附帯決議の要請を先取りした準備が求められる。
- 施行は段階的（一部を除き公布日から２年以内）であるため、委員会規則・ガイドラインの整備状況を先取りした準備が実務対応の要となる。附帯決議が個情委規則・ガイドラインに反映される過程を注視し、パブリックコメントの機会を活用することが重要である。
なお、本ニュースレターは一般的な情報提供を目的とするものであり、個別の事案への対応については別途ご相談ください。公布・施行スケジュールや委員会規則・ガイドライン等の最新情報を適宜ご確認ください。
[1]『「個人情報の保護に関する法律等の一部を改正する法律案」の閣議決定について（令和８年４月７日）』（https://www.ppc.go.jp/news/press/2026/260407/）。成立の経過・議案要旨・採決態様は参議院ホームページ「議案情報（第221回国会・閣法第54号）」による。
[2]個人情報保護法ニュースNo.19「令和８年改正個人情報保護法案 国会審議状況のご報告――衆議院・参議院 特別委員会における主な論点と政府答弁・附帯決議」（令和８年７月）。（https://www.miyake.gr.jp/notice/%e4%bb%a4%e5%92%8c%ef%bc%98%e5%b9%b4%e6%94%b9%e6%ad%a3%e5%80%8b%e4%ba%ba%e6%83%85%e5%a0%b1%e4%bf%9d%e8%ad%b7%e6%b3%95%e6%a1%88%e3%80%80%e5%9b%bd%e4%bc%9a%e5%af%a9%e8%ad%b0%e7%8a%b6%e6%b3%81%e3%81%ae/）
[3] 個人情報保護委員会「OpenAIに対する注意喚起の概要」（令和５年６月２日）（https://www.ppc.go.jp/files/pdf/230602_alert_AI_utilize.pdf）。法第147条に基づき、OpenAI, L.L.C.及びOpenAI OpCo, LLCに対し、機械学習のための情報収集に関して、学習用データセットに加工する前に要配慮個人情報を削除し又は特定の個人を識別できないようにする措置等を求めたもの。
[4]衆議院ホームページ「第221回国会閣法第54号 附帯決議」（令和８年５月21日 地域活性化・こども政策・デジタル社会形成に関する特別委員会）。
[5]参議院デジタル社会の形成及び人工知能の活用等に関する特別委員会会議録（令和８年７月８日）。
